Katere dokumente potrebujete pri zahtevi za dostop ali izbris?
Če vas nekdo prosi za dostop do svojih podatkov ali njihov izbris, potrebujete več dokumentov, da lahko zahtevek natančno obravnavate: potrdilo o prejemu z datumom, način za ugotavljanje identitete vlagatelja, pregled tega, kaj dejansko obdelujete o tej osebi, pisno odločbo z utemeljitvijo in po potrebi obvestilo, s katerim podaljšate rok. Ti dokumenti skupaj tvorijo spis, s katerim lahko pokažete, kaj je bilo zahtevano in kaj ste naredili s tem.
Del, o katerem obstaja največ negotovosti, ni sam seznam, temveč nadzor identitete. Premalo vprašanj je tveganje, ker potem morda podatke posredujete napačni osebi; preveč vprašanj je tudi tveganje, ker GDPR prav zahteva, da ne zahtevate več podatkov, kot je potrebno za ugotavljanje identitete. Popoln fotokopija osebnega dokumenta za to običajno ni potrebna in poleg tega v igro vstopi nove podatke, ki jih morate spet zaščititi in pravočasno uničiti.
Ugotavljanje identitete brez traženja preveč podatkov
V praksi pogosto deluje s podatki, ki jih že imate: številka stranke, prejšnji znani e-poštni naslov ali kratka povratna kontrola. Le če obstaja dvom o tem, kdo je vložil zahtevek, se ponuja dodatna preverjanja. Autorità za varstvo podatkov in smernice EDPB se temu izrecno posvečata prav zato, ker je to točka, na kateri organizacije najpogosteje pretiravajo. Fiksni postopek nadzora identitete, ki ga enkrat določite in nato ponavljate, preprečuje, da bi to vsakokrat znova morali iznova izmisliti.
Kaj se mora še znašti v spisu
Poleg nadzora identitete se v spis spada pregled samih obdelanih podatkov: od kod prihajajo, s kom so deljeni in kako dolgo jih že imate. To preglednost v praksi zajemete iz svojega registra obdelovalnih dejavnosti, če je le-ta v redu. Brez registra morate ta podatek pri vsakem zahtevku ročno iskati v svojih sistemih, kar vzame več časa in bolj daje možnosti za nepopoln odgovor. V bazi znanja boste našli razloženo za vsako situacijo, kaj pomeni popoln odgovor.
Pri zahtevku za izbris je dodatni dokument: presoja, ali obstaja zakonska dolžnost hrambe, ki (začasno) preprečuje izbris, na primer pri davčnih podatkih. To presojo ste zapisali, tudi če je rezultat, da (v celoti) ne brišete. Ta dokument je prav tako pomemben kot sam izbris, ker kaže, da je bila narejena premišljena odločitev in ne pozabljen zahtevek.
Zakaj je to povezano z vašim registrom in vašim orodjem
Zahtevek za dostop ali izbris redko zadeva en sistem. Podatki o strankah se pogosto hkrati nahajajo v upravljavcu odnosov s strankami, knjižničnem paketu in e-poštnem programu, in pri vsakem od njih se pojavi vprašanje, ali in kako dolgo je izbris mogoč. Kdor je vnaprej ugotovil, kateri SaaS-orodja vsebujejo katere podatke, te pri vsakem zahtevku ne mora znova odkrivati. Ali se vaše nastavitve pri tem ujemajo z zahtevami uredbe, lahko preverite prek navodila o zasebnosti in varnosti podatkov.
Tudi odločitev sama je dokument: kratko pismo ali e-pošta, v kateri je zapisano, kaj je bilo zahtevano, kaj ste storili in v katerem roku. Ta rok je določen v uredbi in teče od trenutka prejema, ne od trenutka, ko se lahko nanj lotite. Pregled pogosto postavljenih vprašanj o teh rokih in izjemah je na voljo pri pogosto postavljana vprašanja o zahtevah prosilcev.
Dokumentiranje se splača, tudi po zaključku obravnave
Mapa, ki jo gradite pri zahtevku, ni namenjena samo za ta en trenutek. Prav tako pokaže, če se nadzorni organ ali sama oseba, na katero se nanašajo osebni podatki, kasneje obrneta nanj, da je zahtevek priznan, ocenjen in rešen v postavljenem roku. Ali vaš trenutni postopek to že pokriva, je najbolje, da razjasnite s pravnikom ali z Uradom za varstvo osebnih podatkov, če dvomite o konkretni situaciji.
Ali želite v nekaj minutah videti, kako se to konkretno izvrši za vaše podjetje, brez da bi morali najprej vse sami raziskati? Opravite brezplačno hitro preverjanje ali začnite poslovni račun, da lahko na pregleden način vodite svoj register in zahtevke.