Na žiadosť o vymazanie, známu aj ako právo na zabudnutie, dáva GDPR lehotu jeden mesiac. Tento mesiac sa začína plynúť v momente, keď žiadosť dostanete, nie v momente, keď si uvedomíte, že ide o oficiálnu žiadosť podľa GDPR. Ak je žiadosť zložitá alebo dostanete veľa žiadostí naraz, môžete lehotu predĺžiť o dva mesiace. Musíte to však oznámiť dotknutej osobe v priebehu prvého mesiaca spolu s odôvodnením odsúťaženia.
V praxi je ten jeden mesiac kratší, ako sa zdá. Žiadosť o vymazanie často prichádza nie ako formálny dokument, ale ako e-mail, telefonát alebo správa cez kontaktný formulár na webovej stránke. Do času, keď ju niekto v organizácii rozpozná ako žiadosť podľa GDPR a presmeruje ju na správnu osobu, už uplynul čas, ktorý sa nepočíta do lehoty.
Čo spustí hodiny
Lehota sa začína plynúť v momente prijatia, bez ohľadu na to, ktorým kanálom žiadosť prichádza. To znamená, že žiadosť, ktorá dorazí na zákaznícky servis, k predajcovi alebo recepcii, spustí hodiny rovnako ako žiadosť, ktorá dorazí priamo k vedeniu alebo personálnemu oddeleniu. Mnohé podniky objavujú až neskôr, že správa, ktorá tri týždne ležala v doručenej pošte, bola v skutočnosti žiadosťou o vymazanie. Kto chce obmedziť toto riziko, mal by v rámci organizácie jasne definovať, ako sa takáto správa rozpozná a kde by mala okamžite smerať.
Kde sa lehota v praxi spomaľuje
Väčšina meškania nevzniká pri rozhodnutí o vymazaní, ale pri hľadaní všetkých miest, kde sú údaje uložené. Meno a e-mailová adresa sa môžu vyskytnúť súčasne v systéme CRM, fakturačnom balíčku, zozname rozsiela, zálohách a u externe tretej strany, ktorá údaje spracováva v mene vašej organizácie, ako je účtovný alebo marketingový nástroj. Všetky tieto miesta je treba preskúmať a u každého spracovateľa, ktorý údaje spracováva v mene vašej organizácie, je treba overiť, či a ako vymazanie vykonáva. Prehľad o tom, ktoré nástroje obsahujú aké údaje, vám v tomto procese ušetrí veľa vyhľadávacieho úsilia. V znalostnej základni je na situáciu podľa situácie vysvetlené, čo od vás GDPR požaduje a na čom je to založené.
Druhým zdrojom meškania je otázka, či je vymazanie vôbec na mieste. Nie každá žiadosť automaticky vedie k vymazaniu. Údaje, ktoré musíte uchovávať na základe zákonnej povinnosti, ako sú určité časti finančnej evidencie alebo personálnych spisu v rámci zákonnej doby uchovania, spadajú mimo povinnosti vymazať, pokiaľ táto povinnosť trvá. Aj údaje potrebné na určenie, uplatnenie alebo zdôvodnenie právneho nároku môžu predstavovať výnimku. Ktorá výnimka je v konkrétnom prípade použiteľná, je na posúdení samotnej organizácie, prípadne s právnikom, a v prípade pochybností môže Úrad na ochranu osobných údajov poskytnúť ďalšie objasnenie.
Kedy je predĺženie povolené a kedy nie
Predĺženie o dva mesiace nie je automatizmus, ktorý si môžete tak len tak zobrať. GDPR viažu túto možnosť na zložitosť žiadosti alebo počet žiadostí, ktoré musíte spracovať naraz. Jedna jednoduchá žiadosť o odstránenie adresy zo zoznamu rozsiela nie je skoro dosť zložitá na to, aby trvala tri mesiace. Žiadosť, pri ktorej sú údaje rozptýlené v niekoľkých systémoch a po dobu viacerých rokov, môže byť. Dôležité je, aby ste dotknutú osobu v priebehu prvého mesiaca informovali o tom, že predĺžujete lehotu a prečo; ak tak neurobíte, pôvodná lehota jeden mesiac jednoducho pokračuje.
Praktické: držať lehotu zvládnuteľnú
Väčšinu oneskorenia je možné predchádzať tým, že si vopred poznámete, kde sa údaje nachádzajú, namiesto toho, aby ste to pri každej žiadosti znovu zisťovali. Pevný prehľad používaných systémov, kto v nich spracúva aké údaje a aké dohody existujú s externými stranami, tvorí rozdiel medzi žiadosťou vyriešenou do týždňa a žiadosťou, ktorá si vyžaduje celý mesiac. Kto nechá tento prehľad fungovať v systéme, ktorý sám monitoruje lehotu, už nemusí spoliehať sa na kalendár. Viac o tom, ako takýto prístup v praxi funguje a na čom sú informácie založené, nájdete na stránka, ktorá vysvetľuje, odkiaľ pochádzajú informácie.
Žiadosti o vymazanie zriedka prichádzajú v pevne stanovenom čase, a práve preto je ľahké nechať uplynúť prvé dni lehoty nevedomky. Kto chce, aby sa lehota počítala od chvíle, keď žiadosť príde, môže to nastaviť cez obchodný účet. Na podobné otázky týkajúce sa žiadostí subjektov údajov nájdete aj prehľad s kratšími odpoveďami.
Nie ste si istí, či konkrétna žiadosť, ktorá vám príde, podlieha povinnosti vymazať, alebo ktorá výnimka by mohla byť použiteľná? Ide o posúdenie, ktoré sa líši podľa situácie, a najlepšie je ho prerokovať s právnikom alebo s Úradom na ochranu osobných údajov. Chcete si najskôr rýchlo zobraziť, kde ste na tom? Potom môžete absolvovať bezplatnú rýchlu kontrolu alebo prejsť témami v našej databáze poznatkov.