Kratek odgovor
Sama pravica se letos ne spreminja. Pravica do dostopa, odprave, brisanja, omejevanja, ugovora in prenosljivosti je navedena v samem GDPR, besedilo pa se ne prepisuje letno. Kar se res spreminja, je način, kako ta prošnje prispejo v podjetja in kako jih razlagajo nadzorni organi in evropski nadzorniki za varstvo podatkov (EDPB). Za direktorja ali vodje kadrovske službe je to praktična razlika, čeprav se besedilo zakona ne spremeni.
To ne pomeni, da vam ni treba ničesar beležiti. Smernice Nadzornega organa za varstvo podatkov in EDPB se redno dopolnjujejo, na primer o tem, kako preverjate istovetnost osebe, ki je vložila prošnjo, ali kako se lotite prošnje, ki je prispela prek funkcije za klepet ali družbenih medijev. Te dopolnitve niso nov zakon, temveč natančnejša razlaga že obstoječe obveznosti.
Kaj se v samem zakonu ne spremeni
Bistvo ostaja nespremenjeno: posameznik sme vprašati, katere podatke o njem obdelujete, sme zahtevati popravek nepravilnih podatkov in pod določenimi pogoji zahtevati brisanje. Rok, v katerem mora biti odgovoren, je predpisan v GDPR in ni predmet letne spremembe. Podjetja, ki mislijo, da je letos uveden nov, krajši ali daljši rok za odgovore, to verjetno zamenjavajo z notranjimi dogovori ali z informacijami, ki niso vezane na samo besedilo zakona.
Tudi izjemne osnove, kot je zakonska obveznost čuvanja podatkov, ki preprečuje brisanje, ostajajo nespremenjene. Kar se lahko spreminja, je to, kako strogo nadzorni organi te izjeme razlagajo v svojih smernicah. To ni sprememba zakona, vendar lahko pomeni, da je utemeljitev, ki je bila zadostna lani, treba letos natančneje dokumentirati.
Kaj se letos res spreminja
Tri razvojne linha so za mala in srednja podjetja pomembne, čeprav se zakon sam ni spremenil. Prvič, prošnje prihajajo vedno pogosteje digitalno prek kontaktnega obrazca, chatbota ali odziva na družbenih medijih, namesto po pismu. To ne spremeni obveznosti, ampak spremenilo se je vprašanje, ali je prošnja prepoznana kot formalna in pravočasno prispe do prave osebe v organizaciji.
Drugič, narašča pozornost do prošenj, ki se nanašajo na avtomatizirano obdelavo, na primer kadar so podatki uporabljeni za izdelavo profila ali je istovetnost AI-aplikacije prispevala podatke za odločitev. EDPB to temo redno obdeluje naprej. Podjetja, ki za stike s strankami ali ocenjevanje zaposlenih uporabljajo AI-orodja, bi bila zato dobro priporočena, da vedo, kateri podatki so v njih, preden prispe prošnja. To se neposredno nanaša na vprašanja, ki se pojavljajo v zvezi s GDPR in AI-orodja v praksi.
Tretjič, na evropski ravni poteka širša razprava o celostnem ovrednotenju GDPR. Pri tem se preučuje, ali se pravila za manjše organizacije lahko poenostavijo, vendar konkretne spremembe zakona trenutno niso sprejete. Kaj še ni potrdljeno, to tu tudi navedemo kot takšno: ni znane dokončne roke ali vsebine, in ugibanje o tem ne pomaga podjetnika.
Za kogar je to prav
Te spremembe se osredotočajo predvsem na organizacije, ki imajo veliko stikov s strankami ali zaposlenimi: pisarno s storitvijo za stranke, inštalacijsko podjetje z obrazcem za ponudbo na spletnem mestu ali oddelek za kadre, ki obdeluje podatke prijav. Več kot je kanalov, prek katerih se nekdo obrne, večja je verjetnost, da kjer koli prispe prošnja, ne da bi jo nekdo prepoznal kot formalno GDPR-prošnjo. To ni pravno tveganje, ki ga tukaj ocenjujemo, ampak je gotovo praktični vidik, ki ga je vredno razpravljati znotraj organizacije.
Prav tako je pomembna povezava s pogodbi z obdelovalci: če je naročnik pri vas vložil zahtevo, podatki pa se nahajajo pri zunanjem izvajalcu storitev SaaS, mora biti ta izvajalec sposoben sodelovati pri dostopanju ali brisanju. Ali je to dobro urejeno v pogodbi, lahko preverite prek pogosto postavljena vprašanja o pogodbah z obdelovalci in orodjih SaaS.
Kako to spremljate, ne da bi se vsakič znova premislovali
Ker je besedilo zakona stabilno, razlaga pa se spreminja, je najpomembnejše vedeti, od kod prihaja trenutno stanje in kdaj se spremeni. gdpria.eu povezuje vsako temo z nahajališčem v Uredbi, smernicami EDPB in Uradu za zaščito podatkov, tako da vam ni treba sami slediti, ali se je kaj spremenilo. V primeru sum na varnostno napako lahko na primer najprej v nekaj vprašanjih preverite, kaj velja zate, preden se lotite nadaljnjih korakov.
Želite vedeti, kako se takšne informacije spremljajo in od kod prihaja navajanje virov? Opravite brezplačno hitro preverjanje ali preberite teme v bazi znanja in sami odločite, ali je potreben naslednji korak.