W przypadku wniosku o usunięcie, zwanego również prawem do bycia zapomnianym, RODO wyznacza termin jednego miesiąca. Miesiąc zaczyna się liczyć od momentu otrzymania wniosku, a nie od momentu, gdy uznają Państwo, że chodzi o formalny wniosek wynikający z RODO. Jeśli wniosek jest skomplikowany lub otrzymają Państwo wiele wniosków w krótkim czasie, mogą Państwo przedłużyć termin o dwa miesiące. Musicie Państwo o tym powiadomić osobę, której dane dotyczą, w ciągu pierwszego miesiąca, wraz z uzasadnieniem przedłużenia.
W praktyce jeden miesiąc jest krócej niż się wydaje. Wniosek o usunięcie często nie przychodzi jako dokument formalny, lecz jako wiadomość e-mail, rozmowa telefoniczna lub wiadomość przez formularz kontaktowy na stronie internetowej. Do czasu, gdy ktoś w organizacji rozpozna to jako wniosek wynikający z RODO i przekaże go właściwej osobie, już mija czas, który się nie wlicza do terminu.
Co powoduje, że licznik się kręci
Termin zaczyna się liczyć od momentu otrzymania wniosku, niezależnie od kanału, przez który przychodzi. Oznacza to, że wniosek, który trafia do działu obsługi klienta, sprzedawcy lub recepcji, uruchamia licznik tak samo, jak wniosek, który trafia bezpośrednio do kierownictwa lub działu HR. Wiele firm odkrywa dopiero z czasem, że wiadomość, która trzy tygodnie leżała w skrzynce odbiorczej, był zwyczajnym wnioskiem o usunięcie. Kto chce ograniczyć to ryzyko, powinien jasno określić w organizacji, jak rozpoznawane są takie wiadomości i dokąd mają trafiać natychmiast.
Gdzie termin praktycznie ulegnie opóźnieniu
Większość opóźnień nie wynika z decyzji o usunięciu, lecz z wyszukiwania wszystkich miejsc, gdzie dane się znajdują. Imię i adres e-mail mogą jednocześnie występować w systemie CRM, pakiecie rozliczeniowym, liście adresowej, kopii zapasowej i u strony trzeciej, która przetwarza dla Państwa dane, takiej jak księgowy lub narzędzie marketingowe. Wszystkie te miejsca muszą być sprawdzone, a w przypadku każdego podmiotu przetwarzającego dane w Waszym imieniu, musicie Państwo sprawdzić, czy i w jaki sposób przeprowadza on usunięcie. Przegląd narzędzi i zawartych w nich danych zaoszczędza wiele pracy poszukiwawczej. W bazie wiedzy dla każdej sytuacji wyjaśniono, co wymaga od was RODO i na czym opiera się ten wymóg.
Drugim źródłem opóźnień jest pytanie, czy usunięcie w ogóle powinno mieć miejsce. Nie każdy wniosek automatycznie skutkuje usunięciem. Dane, które musicie Państwo przechowywać na mocy obowiązku ustawowego, takie jak określone części dokumentacji finansowej lub teczki pracownicze w ramach terminu przechowywania ustawowego, nie podlegają obowiązkowi usunięcia, dopóki obowiązek trwa. Również dane niezbędne do ustalenia, wykonywania lub uzasadnienia roszczenia mogą stanowić wyjątek. To do samej organizacji należy ocena, który wyjątek ma zastosowanie w konkretnym przypadku, ewentualnie z pomocą prawnika, a w razie wątpliwości urząd ochrony danych może w tym zakresie udzielić dodatkowych wyjaśnień.
Kiedy przedłużenie jest dozwolone, a kiedy nie
Przedłużenie o dwa miesiące nie jest rzeczą automatyczną, którą można po prostu zastosować. RODO wiąże tę możliwość ze złożonością wniosku lub z liczbą wniosków, które musicie Państwo jednocześnie rozpatrzować. Pojedynczy, prosty wniosek o usunięcie adresu z listy adresowej zwykle nie jest wystarczająco skomplikowany, aby zajął trzy miesiące. Wniosek, w którym dane rozproszone są na wiele systemów i wiele lat, może być wystarczająco skomplikowany. Ważne jest, aby w ciągu pierwszego miesiąca powiadomić osobę, której dane dotyczą, że przedłużacie termin i dlaczego; jeśli tego nie zrobicie, pierwotny termin jednego miesiąca po prostu będzie obowiązywać.
Praktycznie: zachowanie termin na przystępnym poziomie
Większość opóźnień można uniknąć, jeśli wcześniej wiadomo, gdzie znajdują się dane, zamiast szukać ich na nowo przy każdym żądaniu. Stały przegląd używanych systemów, tego, kto w nich przetwarza jakie dane i jakie umowy obowiązują z zewnętrznymi podmiotami, robi różnicę między żądaniem obsłużonym w ciągu tygodnia a żądaniem trwającym pełny miesiąc. Kto pozwala temu przeglądowi działać wraz z systemem, który sam monitoruje termin, nie musi już polegać na kalendarzu. Więcej na temat tego, jak takie podejście działa w praktyce i na czym opiera się informacja, znajduje się na strona wyjaśniająca, skąd pochodzą informacje.
Żądania usunięcia rzadko przychodzą w ustalonym momencie, i właśnie dlatego łatwo pozwolić, aby pierwsze dni terminu upłynęły niewykorzystane. Kto chce, aby termin liczył się od momentu wpłynięcia żądania, może to ustawić za pośrednictwem konta biznesowego. W przypadku podobnych pytań dotyczących żądań osób, których dane dotyczą, dostępny jest również przegląd z krótszymi odpowiedziami.
Czy zastanawia się pan/pani, czy konkretne żądanie, które do pana/pani wpłynęło, podlega obowiązkowi usunięcia, czy która wyjątek mogłaby mieć zastosowanie? To ocena, która różni się w zależności od sytuacji i którą najlepiej omówić z prawnikiem lub z Prezesem Urzędu Ochrony Danych Osobowych. Czy pan/pani chce najpierw szybko zobaczyć, gdzie mniej więcej się pan/pani znajduje? Wtedy może pan/pani przeprowadzić bezpłatną szybką ocenę lub przejrzeć tematy w bazie wiedzy.