Oseba, ki zahteva dostop, popravek ali izbris svojih podatkov, ima pravico do odgovora v roku enega meseca od prejema zahtevka. To je glavno pravilo GDPR. Če gre za zahtevek zapletene narave ali če prejmete več zahtevkov hkrati, vam Uredba omogoča, da ta rok podaljšate za največ dva meseca — vendar le, če o tem obvestite to osebo v prvem mesecu in pojasnite, zakaj.
V praksi je zakonski rok redko problem. Kjer se podjetja zatikajo, je postopek pred tem: ugotoviti, kdo točno kaj zahteva, najti v katerih sistemih so ti podatki, in presoditi, ali veljajo izjeme, preden kaj izbrišete ali posredujete. Tisti, ki tega postopka niso uredili vnaprej, opazijo, da se ura že teka, preden ga notranji kdo sploh pogleda.
Kdaj se rok začne teči
Rok se začne, ko zahtevek pri vas prispe, ne šele, ko ga vsebinsko obravnavate. Zahtevek po e-pošti na splošni naslov, preko recepcije ali posameznemu zaposljencu šteje enako. To pomeni, da podjetje, kjer se taka sporočila ne pošiljajo hitro pravilni osebi, izgubi čas, ki ga ne more nadoknaditi. Kdor natančno ve, kaj je veljaven zahtevek in kam mora prisesti, tu zmaga prve in najpomembnejše dneve.
Kaj v praksi pomeni podaljšanje
Možnost podaljšanja ni dovolilnica, da čakate, dokler vam ne paše. GDPR povezuje podaljšanje s kompleksnostjo samega zahtevka — na primer ker so podatki razpršeni po več sistemih ali letih, ali ker je treba najprej ugotoviti, ali bi posredovanje vplivalo na pravice drugih. Zahtevek, ki je preprosto ostal ležati, pod to ne spada. Nadzorni organi in sodniki gledajo na naravo zahtevka, ne na zasedenost v poslovnem procesu.
Kje se rok v praksi ustavi
Tri točke se vedno pojavljajo. Prvič, preverjanje identitete: razumljivo prepričani morate biti, da podatke posredujete osebi, za katero veljajo, ne da bi pri tem zahtevali nepotrebno veliko dodatnih informacij. Drugič, razpršenost podatkov po različnih SaaS-orodjih — npr. CRM, računovodski program, e-pošta — zato en zahtevek hkrati zadene več mest. Tretjič, vprašanje, ali podatki, ki bi jih bilo treba že izbrisati, še nekje obstajajo v varnostni kopiji ali stari datoteki. Slednje je tesno povezano s rokom hrambe, ki ni jasno opredeljen.
Podjetje, ki vnaprej ve, katere osebne podatke kje obdeluje, pri zahtevku ne more več iskati, ampak lahko takoj poišče. Zato je aktualagen register obdelave več kot formalnost: to je priročnik, s katerim zahtevek rešite v roku namesto da bi ga iskali. V vednostni bazi so teme razložene po situacijah, vključno z navedbo v uradnem besedilu.
Kaj lahko naredite, da ostanete v roku
Zapišite, kdo zahtevek prepozna in kam gre. Poskrbite, da je jasno, kateri podatki so v katerem orodju, da pri vsakem zahtevku ne morate znova ugotavljati, kje iskati. Vnaprej vzpostavite rutino za preverjanje identitete, da je ne izmislite ad hoc, ko se ura že teka. Kdor se sprašuje, ali specifičen zahtevek spada pod glavno pravilo ali podaljšanje, je najbolje, da to predstavi pravniku ali preverim pri Avstrijskem uradu za zaščito podatkov.
Ali je dogodek s podatki meldinogen, je drugačno vprašanje kot rok za zahtevek osebe — veljajo drugačna pravila in krajša ura. Če dvomite, ali kaj spada v to kategorijo, to v nekaj vprašanjih z indikacijo preverite. Kako gdpria.eu povezuje roke, predloge in opominjanja po obveznosti z vašim lastnim registrom, preberite v stran, ki pojasnjuje, od koder prihajajo podatki.
Želite vedeti, kako je vaše podjetje trenutno postavljeno, brez da bi vam to takoj kaj stalo? Naredite brezplačni hiter pregled ali preberite teme, ki se vam zdijo najbolj relevantne za vašo situacijo prek pogosta vprašanja o zahtevah posameznikov.