Krótka odpowiedź
Samych praw w tym roku się nie zmienia. Prawo do wglądu, sprostowania, usunięcia, ograniczenia, sprzeciwu i przenoszenia jest określone w samym RODO, a ten tekst nie jest przepisywany co roku. To, co się zmienia, to sposób, w jaki te wnioski docierają do przedsiębiorstw i jak organy nadzorujące oraz Europejskie Rady Ochrony Danych (EDPB) je wyjaśniają. Dla dyrektora lub menedżera HR ma to praktyczne znaczenie, choć tekst ustawy się nie zmienia.
To nie oznacza, że nic nie musisz śledzić. Wytyczne Urzędu Ochrony Danych Osobowych i EDPB są regularnie uzupełniane, na przykład o to, jak sprawdzić tożsamość wnioskodawcy lub jak postępować z wnioskiem przysłanym przez czat lub media społecznościowe. Te uzupełnienia nie są nowym prawem, ale bardziej precyzyjnym wdrożeniem istniejącego obowiązku.
Co nie zmienia się w samym prawie
Istota pozostaje niezmieniona: osoba, której dane dotyczą, może zapytać, jakie dane ją dotyczą i są przez ciebie przetwarzane, może żądać sprostowania danych nieprawidłowych i pod pewnymi warunkami może prosić o usunięcie. Termin, w którym musisz odpowiedzieć, jest określony w samym RODO i nie podlega dorocznej przeglądzie. Przedsiębiorstwa, które myślą, że w tym roku wprowadzono nowy, krótszy lub dłuższy termin odpowiedzi, prawdopodobnie mylą to z wewnętrznymi ustaleniami lub komunikatami, które nie dotyczą samego tekstu ustawy.
Również podstawy wyłączenia, takie jak obowiązek przechowywania wynikający z ustawy, który uniemożliwia usunięcie, pozostają niezmienione. To, co może się zmienić, to jak ściśle organy nadzorujące interpretują te wyjątki w swoich wytycznych. To nie jest zmiana ustawy, ale może oznaczać, że uzasadnienie wystarczające rok temu musi być teraz bardziej precyzyjnie udokumentowane.
Co w tym roku się zmienia
Trzy rozwoje są istotne dla małych i średnich przedsiębiorstw bez tego, że sama ustawa została zmieniona. Po pierwsze, wnioski coraz częściej przychodzą cyfrowo, przez formularz kontaktowy, chatbota lub odpowiedź w mediach społecznościowych, zamiast listownie. To nie zmienia obowiązku, ale zmienia pytanie, czy wniosek zostanie rozpoznany jako formalny wniosek i czy na czas dotrze do właściwej osoby w organizacji.
Po drugie, rośnie uwaga skupiona na wnioskach dotyczących zautomatyzowanego przetwarzania, na przykład gdy dane zostały wykorzystane do zbudowania profilu lub gdy aplikacja AI dostarczyła informacje do decyzji. EDPB regularnie rozwija ten temat. Przedsiębiorstwa korzystające z narzędzi AI do kontaktu z klientami lub oceny pracowników powinny wiedzieć, jakie dane w nich się znajdują, zanim wpłynie wniosek. To bezpośrednio dotyczy pytań dotyczących RODO i narzędziami AI w praktyce.
Po trzecie toczy się szeroka dyskusja na temat oceny RODO jako całości na poziomie europejskim. Rozpatruje się, czy zasady dla mniejszych organizacji mogą być prostsze, ale konkretne zmiany ustawodawcze nie zostały na razie ustalone. To, co jeszcze nie jest ustalone, podajemy tutaj jako takie: nie ma ostatecznej daty ani zawartości, a spekulowanie na ten temat nie pomaga przedsiębiorcy pójść dalej.
Dla kogo to istotne
Te zmiany dotyczą szczególnie organizacji, które mają wiele punktów kontaktu z klientami lub pracownikami: biuro z obsługą klienta, firmę instalacyjną z formularzem oferty na stronie internetowej lub dział HR przetwarzający dane z kandydatów. Im więcej kanałów, przez które ktoś się kontaktuje, tym większa szansa, że wniosek wpłynie gdzieś bez rozpoznania jako formalny wniosek zgodnie z RODO. To nie jest ryzyko prawne, które oceniamy tutaj, ale punkt praktyczny wart dyskusji wewnętrznej.
Istotna jest również relacja z umowami przetwarzania danych: gdy klient wzniesie wniosek, ale dane znajdują się u zewnętrznego dostawcy SaaS, dostawca musi mieć możliwość współpracy w sprawach dostępu lub usunięcia. Czy jest to prawidłowo uregulowane umownie, możesz sprawdzić za pośrednictwem często zadawane pytania dotyczące umów przetwarzania danych i narzędzi SaaS.
Jak śledzić to bez konieczności ciągłego ustalania od nowa
Ponieważ tekst ustawy jest stabilny, ale jego interpretacja się zmienia, najważniejsze jest wiedzieć, skąd pochodzi aktualna stanowisko i kiedy się zmienia. gdpria.eu łączy każdy temat ze wskazaniem miejsca w RODO i wytycznymi EDPB oraz Urzędu Ochrony Danych Osobowych, dzięki czemu nie musisz sam śledzić zmian. W przypadku podejrzenia naruszenia bezpieczeństwa danych możesz na przykład najpierw w kilku pytaniach sprawdzić, gdzie się znajdujesz, zanim podejmiesz dalsze kroki.
Chcesz wiedzieć, jak tego rodzaju informacje są śledzone i gdzie pochodzi źródło? Przejdź bezpłatny szybki przegląd lub przeczytaj tematy w bazie wiedzy i sam zdecyduj, czy wymagany jest dalszy krok.