Cea mai frecventă greșeală în gestionarea unei cereri de la o persoană vizată nu stă în termenul în care răspundeți, ci în conținutul răspunsului dumneavoastră. Companiile trimit adesea fie prea puține date înapoi la o cerere de acces, fie șterg la o cerere de ștergere date pe care ar fi trebuit să le păstreze. Ambele greșeli apar pentru că cererea este tratată ca o singură acțiune simplă, în timp ce de fapt trebuie mai întâi să răspundeți la o serie de întrebări.
Esența greșelii este aceasta: o cerere de acces sau ștergere necesită o evaluare pe bază de date, nu o operațiune automată. Cine șterge un dosar complet de personal pentru că un fost angajat o cere, poate foarte bine să șteargă date care trebuie să rămână păstrate pe baza unei alte obligații legale, cum ar fi termenele de păstrare fiscale sau de drept al muncii. Cine la o cerere de acces trimite doar o exportare dintr-un singur sistem, ratează adesea date care se află în altă parte, de exemplu într-un fișier Excel separat sau în inbox-ul unui manager.
De ce această greșeală apare atât de des
GDPR acordă persoanelor vizate dreptul la acces și, sub anumite condiții, dreptul la ștergere. Ambele drepturi nu sunt nelimitate. Dreptul la ștergere nu se aplică, de exemplu, atunci când există o obligație legală de păstrare, sau când datele sunt necesare pentru a stabili, exercita sau apăra un drept în instanță. Această distincție nu se află într-o simplă listă de control și asta o face dificilă pentru cineva care o tratează pentru prima dată.
Un al doilea motiv este că în medie într-o companie mică și medie datele sunt răspândite: în CRM, în contabilitate, în e-mail, uneori într-o aplicație de chat. O cerere este adesea răspunsă din unui singur sistem, în timp ce persoana vizată are dreptul la o imagine completă. Aceasta este exact unde un registru curent de activități de prelucrare face diferența: dacă ați documentat deja din timp ce sisteme conțin date cu caracter personal și ale cui, nu trebuie să o aflați sub presiune de timp atunci când o cerere intră.
A doua greșeală: nu verificați identitatea
Pe lângă evaluarea conținutului, lucrurile se dau adesea peste cap la pasul inițial: determinarea cine depune cererea. O cerere de acces sau ștergere conține adesea informații sensibile și acele informații ar trebui să ajungă doar la persoana vizată. Gestionarea prea rapidă a unei cereri fără a verifica identitatea poate duce la faptul că datele unei persoane ajung la o persoană greșită. În același timp, se aplică: o verificare prea strictă a identității încetinește gestionarea și poate fi percepută ca o barieră neproporționată cu cererea.
Cum evitați această greșeală
Primul pas este să înregistrați bine cererea în sine: ce se cere exact, de cine și la ce dată a intrat. De la acel moment, termenul legal începe să curgă și acel termen se aplică indiferent dacă cererea vine prin e-mail, telefon sau scrisoare.
Al doilea pas este să verificați în ce sisteme se află datele acestei persoane. Un registru de activități de prelucrare care este actualizat accelerează asta considerabil, pentru că atunci știți deja ce instrumente și furnizori prelucrează date de angajați sau clienți. Cine nu a centralizat asta încă, poate citi bază de cunoștințe cu explicații pentru fiecare situație ce trebuie exact să se afle într-un registru înainte ca o cerere să vină.
Al treilea pas este să evaluați pentru fiecare dată dacă ștergerea sau divulgarea este permisă, în loc să tratați dosarul complet dintr-o dată. Dacă aveți îndoieli cu privire la o obligație legală de păstrare care se opune cererii, este recomandabil să cereți sfaturi juridice în acest privință; autoritatea de supraveghere menționează această distincție în orientările sale, dar rezultatul depinde de situația specifică.
În cele din urmă, ajută să aveți un proces fix în avans pentru acest tip de cereri, pentru ca la fiecare cerere să nu se reinventeze cine este responsabil pentru ce. Răspunsurile la întrebările frecvente pe această temă sunt grupate clar în colecția de întrebări frecvente, iar cine dorește să vadă cum gdpria.eu indică sursa fiecărui răspuns, o citește pe pagina explicație despre cum se creează informația.
Un registru bine ținut și un proces fix nu previn sosirea unei cereri, dar previn ca aceasta să meargă prost sub presiune timpului. Cine preferă să reglementeze aceasta structural în loc să o reinventeze pe fiecare caz, poate să se orienteze gratuit pe un cont de afaceri și să pună în ordine prezentarea generală per sistem și per cerere.
Sunteți curios cum arată propria dumneavoastră situație? Verificarea rapidă gratuită oferă în câteva întrebări o primă indicație, fără a fi nevoie de un cont.