Osoba, której dane dotyczą, która prosi o dostęp, sprostowanie lub usunięcie swoich danych, ma prawo do odpowiedzi w ciągu jednego miesiąca od otrzymania wniosku. To jest główna zasada wynikająca z RODO. Jeśli chodzi o wniosek o złożonej zawartości lub otrzymujesz kilka wniosków jednocześnie, rozporządzenie daje możliwość przedłużenia tego terminu o maksymalnie dwa miesiące — pod warunkiem, że powiadomisz osobę, której dane dotyczą, w ciągu pierwszego miesiąca i wyjaśnisz dlaczego.
W praktyce ustawowy termin rzadko stanowi problem. Gdzie firmy się zacinają, to proces poprzedzający: ustalenie, kto dokładnie prosi o jakie dane, sprawdzenie, w jakich systemach te dane się znajdują, i ocena, czy stosują się wyjątki przed usunięciem lub udostępnieniem czegokolwiek. Kto nie przygotował tego procesu, odkrywa, że zegar już biegnie przez tydzień, zanim ktoś wewnątrz spojrzy na wniosek.
Kiedy termin zaczyna się liczyć
Termin rozpoczyna się w momencie, gdy wniosek do Ciebie dotrze, a nie w momencie, gdy go merytorycznie podejmiesz. Wniosek e-mailem na ogólny adres, przez recepcję lub do indywidualnego pracownika liczy się w ten sam sposób. To oznacza, że firma, gdzie takie wiadomości nie są szybko przekazywane właściwej osobie, traci czas, który nie może już być nadrobiony. Kto dokładnie wie, czym jest prawidłowy wniosek i gdzie powinien trafić, wygrywa tutaj pierwsze i najważniejsze dni.
Co przedłużenie oznacza w praktyce
Możliwość przedłużenia nie jest pustą kartą do czekania, aż się spodoba. RODO wiąże przedłużenie ze złożonością samego wniosku — na przykład dlatego, że dane rozrzucone są w kilku systemach lub latach, lub dlatego, że najpierw trzeba ustalić, czy udostępnienie narusza prawa innych osób. Wniosek, który po prostu leżał i nie był rozpatrywany, nie podlega tej kategorii. Organy nadzoru i sądy patrzą na charakter wniosku, a nie na zajętość biurka.
Gdzie przepustowość w praktyce się załamuje
Trzy punkty pojawiają się za każdym razem. Po pierwsze weryfikacja tożsamości: musisz mieć uzasadnioną pewność, że udostępniasz dane osobie, której dane dotyczą, bez niepotrzebnego zbierania dodatkowych informacji. Po drugie rozproszenie danych w różnych narzędziach SaaS — CRM, oprogramowanie księgowe, program pocztowy — przez co jeden wniosek szybko dotyka kilka miejsc jednocześnie. Po trzecie pytanie, czy dane, które właściwie powinny już być usunięte, wciąż znajdują się w kopii zapasowej lub starym pliku. To ostatnie jest ściśle powiązane z okresami przechowywania, które nie są wyraźnie określone.
Firma, która z góry wie, jakie dane osobowe gdzie przetwarza, nie musi przy wniosku szukać, ale może od razu sprawdzić. To właśnie dlatego aktualny rejestr przetwarzania to coś więcej niż formalność: to podręczny dokument, za pomocą którego rozpatrujesz wniosek w terminie zamiast go szukać. W bazie wiedzy tematy wyjaśniono na podstawie sytuacji, w tym ze wskazaniem źródła w tekście oficjalnym.
Co sam możesz zrobić, aby dotrzymać terminu
Określ, kto rozpoznaje wniosek i gdzie trafia. Upewnij się, że jasne jest, które dane znajdują się w jakim narzędziu, aby przy każdym wniosku nie trzeba było na nowo ustalać, gdzie szukać. I przygotuj z góry procedurę weryfikacji tożsamości, aby nie była wymyślana na zawsze w momencie, gdy zegar już biegnie. Kto wątpi, czy konkretny wniosek podlega zasadzie głównej, czy przedłużeniu, powinien najlepiej przedstawić to prawnikowi lub skontaktować się z Urzędem Ochrony Danych Osobowych.
To, czy zdarzenie związane z danymi wymaga zgłoszenia, to inna kwestia niż termin na wniosek osoby, której dane dotyczą — obowiązują tam inne zasady i krótszy zegar. Jeśli masz wątpliwości, czy coś wchodzi w tę kategorię, możesz to sprawdzić w kilku pytaniach z wskazówką. Jak gdpria.eu łączy terminy, szablony i przypomnienia dla każdego obowiązku z Twoim własnym rejestrem, przeczytasz na strona wyjaśniająca, skąd pochodzą informacje.
Chcesz wiedzieć, jak wygląda Twoja firma w tej chwili, bez żadnych kosztów? Wykonaj bezpłatne szybkie skanowanie lub przeczytaj tematy, które wydają się najbardziej odpowiadać Twojej sytuacji, poprzez najczęściej zadawane pytania dotyczące wniosków osób, których dane dotyczą.