Jakie dokumenty są potrzebne w przypadku wniosku o dostęp lub usunięcie danych?
Gdy ktoś zażąda od Państwa dostępu do swoich danych lub ich usunięcia, potrzebne będą Państwu następujące dokumenty: potwierdzenie otrzymania wniosku z datą, sposób na ustalenie tożsamości wnioskodawcy, przegląd danych faktycznie przetwarzanych na temat tej osoby, pisemną decyzję z uzasadnieniem, a ewentualnie zawiadomienie o przedłużeniu terminu. Łącznie dokumenty te tworzą dossier, które pozwala wykazać, co zostało poproszone i jakie działania podjęto w tym zakresie.
Część, która budzi największe wątpliwości, to nie sama lista, lecz weryfikacja tożsamości. Zbyt mało pytań stanowi ryzyko, ponieważ Państwo mogą wówczas przypadkowo ujawnić dane osobie nieupoważnionej; zbyt wiele pytań również stanowi ryzyko, ponieważ RODO wymaga, aby nie żądać więcej danych niż jest niezbędne do ustalenia tożsamości. Pełna kopia dokumentu tożsamości zwykle nie jest w tym celu konieczna i dodatkowo wprowadza nowe dane osobowe, które Państwo muszą zabezpieczyć i zniszczyć we właściwym czasie.
Ustalenie tożsamości bez przesady
W praktyce często wystarczają dane, które już Państwo posiadają: numer klienta, wcześniej znany adres e-mail lub krótka rozmowa kontrolna. Dodatkowa weryfikacja staje się wskazana dopiero wtedy, gdy istnieją wątpliwości dotyczące tego, kto składa wniosek. Urząd Ochrony Danych Osobowych i wytyczne EDPB zwracają na to jawnie uwagę, właśnie dlatego że jest to punkt, w którym organizacje najczęściej przesadzają. Stała procedura weryfikacji tożsamości, którą Państwo raz ustalą, a następnie będą stosować, zapobiega konieczności na nowo wymyślania tego procesu przy każdym wniosku.
Co powinno się znaleźć w dossier
Oprócz weryfikacji tożsamości dossier powinno zawierać przegląd samych przetwarzanych danych: skąd pochodzą, z kim zostały udostępnione i jak długo je Państwo przechowują. Ten przegląd uzyskuje się w praktyce z rejestru działań przetwarzania, jeśli jest on prawidłowo prowadzony. Bez rejestru musicie Państwo przy każdym wniosku ręcznie przeszukiwać swoje systemy, co zajmuje więcej czasu i zwiększa ryzyko niekompletnej odpowiedzi. W bazie wiedzy znajduje się wyjaśnienie dla każdej sytuacji, co stanowi pełną odpowiedź.
W przypadku wniosku o usunięcie dochodzi dodatkowy dokument: ocena, czy istnieje ustawowy obowiązek przechowywania, który (tymczasowo) uniemożliwia usunięcie, na przykład w przypadku danych podatkowych. Ocenę tę dokumentuje Państwo na piśmie, również jeśli wynikiem jest to, że nie usuwają Państwo (całkowicie) danych. Dokument ten jest równie ważny jak samo usunięcie, ponieważ wykazuje, że podjęto świadomą decyzję, a nie zapomniano o wniosku.
Dlaczego wiąże się to z Państwa rejestrem i narzędziami
Wniosek o dostęp lub usunięcie danych rzadko dotyczy jednego systemu. Dane klientów są często przechowywane jednocześnie w CRM-ie, pakiecie księgowym i programie pocztowym, a w każdym z nich pojawia się pytanie, czy i jak długo usunięcie jest możliwe. Jeśli wcześniej ustali Państwo, które narzędzia SaaS zawierają jakie dane, nie będą Państwo musieli tego odkrywać na nowo przy każdym wniosku. Czy Wasze ustawienia są zgodne z tym, co wymaga rozporządzenie, możecie sprawdzić za pośrednictwem objaśnień dotyczących ochrony prywatności i bezpieczeństwa danych.
Sama decyzja jest również dokumentem: krótkim pismem lub e-mailem, w którym podano, o co zostało poproszone, co zrobiliście i w jakim terminie. Termin ten jest ustalony w rozporządzeniu i biegnie od momentu otrzymania, a nie od momentu, w którym macie Państwo na to czas. Przegląd często zadawanych pytań na temat tych terminów i wyjątków znajduje się w sekcji często zadawane pytania dotyczące wniosków osób, których dotyczą dane.
Dokumentowanie się opłaca, nawet po rozpatrzeniu wniosku
Plik, który zbudowałaś podczas rozpatrywania wniosku, nie jest przeznaczony tylko na ten jeden moment. Pokazuje również, gdyby w przyszłości o dane zapytała uprawniona do nadzoru organ lub sama osoba, której dane dotyczą, że wniosek został rozpoznany, oceniony i rozpatrzony w wyznaczonym terminie. Czy Twoja obecna procedura to już obejmuje, to warto przedyskutować z prawnikiem lub z Urzędem Ochrony Danych Osobowych, jeśli masz wątpliwości dotyczące konkretnej sytuacji.
Chcesz w kilka minut zobaczyć, jak to konkretnie wygląda w Twojej firmie, bez konieczności samodzielnego zapoznania się ze wszystkim? Wykonaj bezpłatną szybką ocenę lub otwórz konto biznesowe, aby przejrzyście prowadzić swój rejestr i wnioski.