Dla wniosku o sprostowanie lub wniesienia sprzeciwu wobec przetwarzania obowiązuje ten sam termin co dla wniosku o dostęp lub usunięcie danych: miesiąc od otrzymania. RODO zezwala na przedłużenie tego terminu maksymalnie o dwa miesiące, jeśli wniosek jest skomplikowany lub wpłynęło wiele wniosków jednocześnie, ale wówczas należy poinformować osobę, której dane dotyczą, w ciągu pierwszego miesiąca o przedłużeniu i jego przyczynach.
Co w praktyce często idzie nie tak, to nie sam termin, ale moment, w którym zaczyna się jego bieg. W przypadku sprostowania i sprzeciwu istotne znaczenie ma dodatkowo kwestia merytoryczna, która nie pojawia się przy wnioskach o dostęp: czy wniosek jest zasadny? Ocena tego wymaga czasu, a czas oceny mieści się w ramach tego samego miesiąca.
Co dokładnie mierzy zegar
Miesiąc rozpoczyna się w momencie, gdy żądanie do Pani/Pana dociera, a nie w momencie, gdy Pani/Pan je jako takie rozpoznaje. Wiadomość e-mail do obsługi klienta z treścią "to nie jest prawidłowe, to zmień" stanowi już żądanie sprostowania, nawet jeśli nikt tego nie zanotował. Analogicznie jest w przypadku sprzeciwu: klient, który pisze "nie chcę, aby Pani/Pan używał moich danych do tego celu" nie musi używać słowa sprzeciw. Organy nadzorcze oceniając wykonanie żądania zwracają uwagę na moment jego otrzymania, a nie moment rozpoznania. Kto nie dokumentuje tego rozróżnienia, zazwyczaj traci dni zanim żądanie zostanie wpisane na agendę jako żądanie.
Sprostowanie: często szybko, ale z zastrzeżeniem
Korekta adresu lub numeru telefonu jest zwykle prosta i szybka do przetworzenia. Trudniej jest, gdy osoba, której dane dotyczą, twierdzi, że ocena, notatka lub wpis w dokumentacji jest nieprawidłowy. Tutaj nie chodzi już o błąd faktyczny, lecz o ocenę merytoryczną, a ta wymaga uzgodnienia z osobą, która dokonała wpisu. Takie uzgodnienie musi nastąpić w ciągu miesiąca i jest to możliwe tylko wtedy, gdy żądanie trafia od razu do właściwej osoby, a nie czeka u osoby, która przypadkowo otworzyła wiadomość e-mail.
Sprzeciw: ocena, nie automatyczne uwzględnienie
Sprzeciw wobec przetwarzania danych nie musi być automatycznie uwzględniany. Rozporządzenie wskazuje, że organizacja może rozważyć, czy istnieją naglące słuszne powody, aby kontynuować przetwarzanie, na przykład w przypadku trwającej umowy lub obowiązku ustawowego. Ta ocena musi zostać uzasadniona i przekazana osobie, której dane dotyczą, w tym samym terminie. Wiele firm niedocenienia, ile czasu zajmuje to uzasadnienie, bo zapominają, że powiedzenie "nie" na sprzeciw musi być równie dobrze uzasadnione jak powiedzenie "tak".
Gdzie termin w praktyce się zatrzymuje
W większości przypadków termin nie zatrzymuje się na zawartości, ale na trzech rozpoznawalnych punktach. Pierwszy to rozpoznanie: wniosek nie jest postrzegany jako taki i pozostaje w skrzynce odbiorczej. Drugi to weryfikacja: zanim zmodyfikujesz dane lub zatrzymasz przetwarzanie, musisz być uzasadniony pewny, że wnioskodawca jest rzeczywiście osobą, której dane dotyczą, a ta kontrola wymaga czasu, który nie zawsze jest zaplanowany. Trzeci to koordynacja w samej organizacji: plik HR lub ocena klienta często nie znajduje się u jednej osoby, a bez ustalonego punktu kontaktowego poszukiwanie trwa dłużej niż decyzja. Jeden baza wiedzy, w której każdy typ żądania jest wyjaśniony osobno pomaga dokonać tego rozróżnienia z góry, zamiast dopiero przy pierwszym żądaniu
Co liczy się jako na czas
Своeveczne reagowanie oznacza, że osoba, której dotyczą dane, otrzymuje w wyznaczonym terminie merytoryczną odpowiedź, uzasadnioną odmowę lub komunikat o przedłużeniu terminu. Potwierdzenie otrzymania bez treści nie liczy się jako załatwienie sprawy. Właśnie dlatego że sprostowanie i sprzeciw częściej wymagają oceny merytorycznej niż wniosek o dostęp, rozsądnie jest wziąć we wczesnym okresie miesiąca ustalić, kto w organizacji dokonuje tej oceny i na podstawie jakich informacji. Često postavljana pitanja o zahtjevima osoba čiji su podaci obrađeni często zadawane pytania dotyczące wniosków osób, których dotyczą dane zawierają dla każdej sytuacji krótką odpowiedź na to, co wchodzi, a co nie wchodzi w zakres tego terminu.
Czy konkretny wniosek jest zasadny i jak uzasadnić odmowę, różni się w zależności od sytuacji i w przypadku wątpliwości powinien Pan skonsultować się z prawnikiem lub Urzędem Ochrony Danych Osobowych. Co gdpria.eu robi, to monitoruje sam termin: gdy tylko wniosek zostanie zarejestrowany, termin rozpoczyna się automatycznie, w tym moment, w którym przedłużenie musi być ogłoszone. Na jak to działa podano, skąd pochodzi ta logika terminów i jak jest monitorowana.
Chcesz zobaczyć dla swojej firmy, jak taki wniosek wygląda w praktyce i gdzie się znajdujesz? Bezpłatna szybka ocena na gdpria.eu podaje w kilka pytań pierwsze wskazanie, a dzięki kontu biznesowemu możesz dokumentować obsługę każdego wniosku wraz z odpowiadającym mu terminem.