Răspunsul scurt
Drepturile în sine nu se schimbă în acest an. Dreptul la acces, rectificare, ștergere, limitare, obiecție și portabilitate sunt prevăzute în RGPD însuși, iar acel text nu se rescrie anual. Ceea ce se schimbă este modul în care aceste cereri ajung la companii și cum autorități de supraveghere și autoritățile europene de protecție a datelor (EDPB) le oferă explicații. Pentru un director sau manager HR, aceasta face diferență în practică, chiar dacă nimic nu se schimbă în textul legii.
Aceasta nu înseamnă că nu trebuie să monitorizați nimic. Orientările Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal și ale EDPB sunt actualizate regulat, de exemplu cu privire la modul în care verificați identitatea unui solicitant sau cum tratați o cerere care vine printr-o funcție de chat sau pe rețelele de socializare. Aceste completări nu sunt o nouă lege, dar o interpretare mai precisă a unei obligații existente.
Ce nu se schimbă în legea în sine
Nucleul rămâne neschimbat: o persoană vizată poate cere ce date prelucrați despre ea, poate cere corectarea datelor inexacte și poate cere ștergerea în anumite condiții. Termenul în care trebuie să răspundeți este prevăzut în RGPD însuși și nu este supus revizuirii anuale. Companiile care cred că în acest an a fost introdusă o nouă perioadă de răspuns mai scurtă sau mai lungă, probabil confundă aceasta cu acorduri interne sau cu comunicări care nu privesc textul legii în sine.
Și temeiurile de exceptare, cum ar fi o obligație legală de păstrare care împiedică ștergerea, rămân neschimbate. Ceea ce se poate schimba este modul în care autoritățile de supraveghere interpretează aceste excepții în orientările lor. Nu este o modificare a legii, dar poate însemna că o justificare care a fost suficientă anul trecut trebuie documentată mai precis în acest an.
Ce se mișcă în acest an
Trei evoluții sunt relevante pentru IMM, fără ca legea în sine să fi fost modificată. În primul rând, cererile vin din ce în ce mai des în format digital, prin intermediul unui formular de contact, unui chatbot sau unui răspuns pe rețelele de socializare, mai degrabă decât prin scrisoare. Aceasta nu schimbă nimic în obligație, dar schimbă dacă o cerere este recunoscută ca o cerere formală și dacă ajunge la timp la persoana potrivită din organizație.
În al doilea rând, crește atenția acordată cererilor care se referă la prelucrarea automată, de exemplu atunci când datele au fost utilizate pentru a construi un profil sau când o aplicație AI a furnizat informații pentru o decizie. EDPB dezvoltă în continuare acest subiect. Prin urmare, companiile care utilizează instrumente AI pentru contact cu clienții sau evaluare a personalului ar trebui să știe ce date conțin acestea, înainte ca o cerere să sosească. Aceasta se referă direct la întrebările care se pun în jurul RGPD și instrumente AI în practică.
În al treilea rând, se poartă o discuție mai amplă cu privire la evaluarea RGPD în ansamblu, la nivel european. Se analizează dacă regulile pentru organizații mai mici ar putea fi mai simple, dar modificări concrete ale legii nu au fost stabilite în prezent. Ceea ce nu este încă stabilit, îl raportăm aici ca atare: nu este cunoscută o dată sau un conținut definitiv, iar speculațiile în acest sens nu ajută un antreprenor.
Pentru cine este relevant
Aceste schimbări afectează mai ales organizații care au multe momente de contact cu clienții sau angajații: un birou cu serviciu pentru clienți, o companie de instalații cu un formular de ofertă pe site, sau o departament HR care prelucrează date de candidatori. Cu cât mai mulți canale prin care cineva ia contact, cu atât mai mare șansa ca o cerere să ajungă undeva fără ca cineva să o recunoască ca o cerere formală în legea privind protecția datelor. Nu este un risc juridic pe care îl evaluez aici, dar este un punct practic care merită o discuție internă.
De relație cu contractele dvs. cu procesatorii este, de asemenea, relevantă: dacă un client vă trimite o solicitare, dar datele se află la un furnizor extern de SaaS, acel furnizor trebuie să poată coopera la accesarea sau ștergerea datelor. Puteți verifica dacă acest lucru este bine reglementat contractual prin intermediul întrebări frecvente despre contractele cu procesatorii și instrumentele SaaS.
Cum puteți urmări aceasta fără să o reluați de fiecare dată
Deoarece textul legii este stabil, dar interpretarea sa se schimbă, este important mai ales să știți de unde provine poziția actuală și când se modifică. gdpria.eu leagă fiecare subiect de sursă în GDPR și de liniile directoare ale EDPB și ale Autorității pentru protecția datelor, astfel încât să nu trebuiască să urmăriți singuri dacă ceva s-a adaptat. De exemplu, în cazul unei suspiciuni de încălcare a datelor, puteți mai întâi verifica în câteva întrebări unde vă aflați, înainte de a lua alte măsuri.
Doriți să știți cum sunt urmărite acest tip de informații și de unde provin citările? Faceți scanarea rapidă gratuită sau citiți subiectele din baza de cunoștințe și decideți singur dacă este necesară o etapă următoare.