Najczęstszy błąd w obsłudze żądania osoby, której dane dotyczą, nie leży w terminie, w jakim udzielamy odpowiedzi, ale w zawartości tej odpowiedzi. Firmy często wysyłają zbyt mało danych zwrotnie w przypadku żądania dostępu albo usuwają dane, które powinny nadal przechowywać w przypadku żądania usunięcia. Oba błędy powstają, ponieważ żądanie traktuje się jako jedną prostą czynność, podczas gdy naprawdę należy najpierw odpowiedzieć na szereg pytań.
Istota błędu jest taka: żądanie dostępu lub usunięcia wymaga oceny dla każdego konkretnego zbioru danych, a nie operacji na włącznik-wyłącznik. Osoba, która usunie całą teczkę personalną, ponieważ o to prosi były pracownik, może bez problemu usunąć dane, które z mocy innego obowiązku prawnego muszą być nadal przechowywane, na przykład z powodu terminów przechowywania dla celów podatkowych lub pracowniczych. Osoba, która przy żądaniu dostępu wysyła tylko eksport z jednego systemu, często nie uwzględnia danych znajdujących się gdzie indziej, na przykład w osobnym pliku Excel lub w skrzynce pocztowej kierownika.
Dlaczego ten błąd występuje tak często
RODO przyznaje osobom, których dane dotyczą, prawo dostępu i — pod pewnymi warunkami — prawo do usunięcia. Oba prawa nie są ograniczone. Prawo do usunięcia na przykład nie ma zastosowania, gdy istnieje ustawowy obowiązek przechowywania lub gdy dane są niezbędne do ustalenia, wykonywania lub obrony roszczeń. To rozróżnienie nie znajduje się na prostej liście kontrolnej i to sprawia trudności dla kogoś, kto zajmuje się tym po raz pierwszy.
Drugi powód to fakt, że dane w średniej małej lub średniej firmie rozrzucone są po różnych systemach: w CRM, w rachunkowości, w poczcie elektronicznej, czasem w aplikacji czatu. Żądanie jest zwykle realizowane na podstawie jednego systemu, podczas gdy osoba, której dane dotyczą, ma prawo do pełnego obrazu. To dokładnie obszar, gdzie aktualny rejestr przetwarzania robi różnicę: jeśli wcześniej udokumentowali Państwo, które systemy zawierają dane osobowe i czyich danych dotyczą, nie musicie tego ustalać pod presją czasu w momencie, gdy żądanie się pojawi.
Drugi błąd: nie weryfikujemy tożsamości
Poza oceną merytoryczną często dochodzi do błędu już na pierwszym etapie: ustaleniu, kto składa wniosek. Wniosek o dostęp lub usunięcie zawiera często informacje wrażliwe, a informacje te powinny trafić wyłącznie do samego zainteresowanego. Zbyt szybkie rozpatrzenie wniosku bez weryfikacji tożsamości może spowodować, że dane jednej osoby trafią do osoby niewłaściwej. Jednocześnie obowiązuje zasada: zbyt surowa kontrola tożsamości spowalnia rozpatrzenie wniosku i może być postrzegana jako bariera nieproporcjonalna do złożonego wniosku.
Jak uniknąć tego błędu
Pierwszym krokiem jest prawidłowe zarejestrowanie samego wniosku: co dokładnie się prosi, kto to prosi i kiedy wniosek wpłynął. Od tego momentu biegnie termin ustawowy, a termin ten obowiązuje niezależnie od tego, czy wniosek wpłynął pocztą elektroniczną, telefonicznie czy listem.
Drugi krok to sprawdzenie, w których systemach znajdują się dane tej osoby. Rejestr przetwarzania, który jest aktualny, znacznie to przyspieszył, ponieważ wówczas już wiesz, które narzędzia i dostawcy przetwarzają dane pracowników lub klientów. Ci, którzy jeszcze tego nie mają scentralizowanego, mogą przeczytać baza wiedzy z wyjaśnieniami dla każdej sytuacji co dokładnie powinno znaleźć się w rejestrze, zanim wpłynie żądanie.
Trzeci krok to ocena dla każdych danych, czy usunięcie lub ujawnienie jest dozwolone, zamiast rozpatrywania całego pliku na raz. W przypadku wątpliwości dotyczących obowiązku prawnego przechowywania, który jest przeciwny żądaniu, rozsądne jest uzyskanie tu porady prawnej; organ nadzoru wyróżnia to rozróżnienie w swoich wytycznych, ale wynik zależy od konkretnej sytuacji.
Ponadto warto mieć z góry ustalony proces dla tego typu żądań, aby przy każdym żądaniu nie trzeba było na nowo zastanawiać się, kto za co odpowiada. Odpowiedzi na najczęściej zadawane pytania na ten temat zostały przejrzyście zebrane w zbiorze najczęściej zadawanych pytań, a kto chce zobaczyć, jak gdpria.eu wskazuje źródło każdej odpowiedzi, przeczyta to na stronie wyjaśnienie dotyczące powstania informacji.
Prawidłowo prowadzony rejestr i ustalony proces nie zapobiegają wpływowi żądania, ale zapobiegają jego błędnemu rozpatrzeniu pod presją czasu. Kto woli rozwiązać to strukturalnie, zamiast każdorazowo na nowo szukać rozwiązania, może bezpłatnie zapoznać się z kontem biznesowym i w ten sposób uporządkować przegląd dla każdego systemu i każdego żądania.
Ciekawi Panią/Pana, jak wygląda Pana/Pani własna sytuacja? Bezpłatne szybkie skanowanie daje w kilku pytaniach pierwsze wskazanie, bez konieczności posiadania konta.