Pentru o cerere de ștergere, cunoscută și sub denumirea de dreptul de a fi uitat, Regulamentul GDPR acordă o perioadă de o lună. Această lună începe să curgă din momentul în care primiți cererea, nu din momentul în care recunoașteți că este o cerere oficială conform GDPR. Dacă o cerere este complicată sau primiți mai multe cereri în același timp, puteți prelungi termenul cu două luni. Trebuie să informați în acest caz persoana vizată în decursul primei luni, cu menționarea motivului amânării.
În practică, o lună pare mai scurtă decât pare. O cerere de ștergere nu vine adesea ca un document formal, ci ca un e-mail, un telefon sau un mesaj prin formularul de contact de pe site. Până în momentul în care cineva din organizație o recunoaște ca o cerere conform GDPR și o transmite persoanei potrivite, timp s-a scurs deja și nu se numără în termenul acordat.
Ce pune în mișcare ceasul
Termenul începe din momentul primirii, indiferent de canalul prin care vine cererea. Aceasta înseamnă că o cerere care ajunge la serviciul de clienți, unui vânzător sau unui recepționer pune în mișcare ceasul la fel ca o cerere care ajunge direct la conducere sau la departamentul HR. Multe companii descoperă abia ulterior că un mesaj care a stat trei săptămâni într-o cutie de intrare era pur și simplu o cerere de ștergere. Cine dorește să limiteze acest risc ar trebui să clarifice în cadrul organizației cum se identifică un astfel de mesaj și către cine trebuie transmis imediat.
Unde termenul are dificultăți în practică
Cea mai mare parte a întârzierilor nu apare la decizia de ștergere, ci la găsirea tuturor locurilor în care se află datele. Un nume și o adresă de e-mail pot apărea simultan într-un sistem CRM, un pachet de facturare, o listă de distribuție, o copie de siguranță și la o parte externă care procesează date pentru dumneavoastră, cum ar fi un contabil sau un instrument de marketing. Toate aceste locuri trebuie verificate, și pentru fiecare procesor care procesează date în numele vostru, trebuie să verificați dacă și cum efectuează ștergerea. Un registru care indică ce instrumente conțin ce date economisește mult timp de căutare. În baza de cunoștințe se explică pentru fiecare situație ce cere Regulamentul GDPR de la dumneavoastră și pe ce se bazează aceasta.
O a doua sursă de întârziere este întrebarea dacă ștergerea este deloc posibilă. Nu fiecare cerere duce automat la ștergere. Datele pe care trebuie să le păstrați din motive de obligație legală, cum ar fi anumite părți ale registrelor financiare sau dosarele personalului în termenul legal de păstrare, nu se supun obligației de ștergere atât timp cât acea obligație rămâne în vigoare. De asemenea, datele necesare pentru stabilirea, exercitarea sau susținerea unei acțiuni în justiție pot constitui o excepție. Decide organizația însăși care excepție se aplică în cazul concret, eventual cu ajutorul unui jurist, și în caz de îndoială, Autoritatea de Protecție a Datelor poate oferi mai multă claritate.
Când prelungirea este permisă și când nu
Prelungirea cu două luni nu este un automatism pe care îl puteți invoca pur și simplu. Regulamentul GDPR leagă această posibilitate de complexitatea cererii sau de numărul de cereri pe care trebuie să le gestionați simultan. O singură cerere simplă de a elimina o adresă dintr-o listă de distribuție nu este ușor suficient de complexă pentru a necesita trei luni. O cerere în care datele sunt răspândite pe mai multe sisteme și mai mulți ani poate fi suficient de complexă. Important este să informați persoana vizată în decursul primei luni că prelungiți și de ce; dacă nu o faceți, termenul inițial de o lună pur și simplu continuă.
Practic: menținerea termenului ușor de gestionat
Cea mai mare parte a întârzierilor pot fi evitate dacă știți în prealabil unde se află datele, în loc să le căutați din nou la fiecare cerere. Un inventar stabil al sistemelor utilizate, al modului în care fiecare entitate procesează datele din acestea și al acordurilor cu terțe părți face diferența între o cerere finalizată într-o săptămână și una care durează întreaga lună. Cine ține acest inventar sincronizat cu un sistem care monitorizează termenul de la sine, nu mai trebuie să se bazeze pe calendar. Mai multe informații despre cum funcționează această abordare în practică și despre sursele pe care se bazează aceste informații se găsesc pe pagina care explică de unde provin informațiile.
Cererile de ștergere rareori vin la un moment fix, și tocmai din acest motiv este ușor să lași primele zile ale termenului nefolosite. Cine vrea ca termenul să meargă de la primirea unei cereri, poate face asta prin intermediul unui cont profesional. Pentru întrebări similare despre cererile persoanelor vizate, există și un inventar cu răspunsuri mai scurte.
Aveți îndoieli dacă o anumită cerere pe care o primiți se încadrează în obligația de ștergere sau care excepție ar putea fi aplicabilă? Aceasta este o evaluare care diferă în funcție de situație, și este cel mai bine să o discutați cu un jurist sau cu Autoritatea pentru Protecția Datelor. Dacă doriți mai întâi să vedeți rapid unde vă situați, puteți face verificarea rapidă gratuită sau să parcurgeți subiectele din baza de cunoștințe.