Wyciąg z rejestru zgodnie z RODO – jak firmy realizują prawa osób, których dane dotyczą

Krótka odpowiedź: Gdy osoba fizyczna występuje o dostęp do swoich danych osobowych, organizacja musi być w stanie zidentyfikować wniosek, zweryfikować tożsamość w sposób proporcjonalny, zgromadzić odpowiednie dane, rozpatrzyć ewentualne ograniczenia oraz udzielić odpowiedzi w terminach określonych przez RODO. Dobry sposób pracy sprawia, że każdy wniosek jest traktowany w sposób jednolity i może zostać zweryfikowany w późniejszym czasie.

Czym jest wyciąg z rejestru zgodnie z RODO?

Prawo dostępu oznacza, że osoba, której dane dotyczą, może uzyskać potwierdzenie, czy jej dane osobowe są przetwarzane, a jeśli tak, uzyskać dostęp do tych danych oraz informacji m.in. o celu, kategoriach danych, odbiorcach, okresie przechowywania i przysługujących prawach. Dlatego wniosek należy rozpatrywać szerzej niż tylko poprzez wyeksportowanie listy z systemu IT.

Dla jakich praw firmy muszą mieć ustalone procedury?

• prawo dostępu i wyciąg z rejestru
• sprostowanie nieprawidłowych danych
• usunięcie danych, gdy spełnione są ku temu przesłanki
• ograniczenie przetwarzania
• przenoszenie danych w stosownych przypadkach
• sprzeciw, m.in. wobec marketingu bezpośredniego
• informacje o zautomatyzowanym podejmowaniu decyzji, gdy mają zastosowanie takie przepisy

Różne prawa mają różne przesłanki. Standaryzowana lista kontrolna zmniejsza ryzyko traktowania każdego wniosku tak, jakby wszystkie prawa funkcjonowały w ten sam sposób.

Krok po kroku: od wniosku do zamknięcia sprawy

1. Zarejestruj wniosek. Odnotuj, kiedy wpłynął, czego dotyczy żądanie oraz jakie dane kontaktowe zostały użyte.
2. Oceń tożsamość. Żądaj tylko tych dodatkowych informacji, które są faktycznie niezbędne, aby uniknąć przekazania danych niewłaściwej osobie.
3. Ogranicz zakres wyszukiwania. Zidentyfikuj systemy, podmioty przetwarzające, wiadomości e-mail, systemy zarządzania sprawami oraz inne źródła, w których mogą znajdować się odpowiednie dane.
4. Przejrzyj wyniki. Wydanie wyciągu z rejestru nie może naruszać praw i wolności innych osób.
5. Odpowiedz w zrozumiały sposób. Informacje należy przekazać w sposób jasny i przejrzysty, a dokumentacja powinna wykazywać, jak dokonano oceny.
6. Zamknij i sprawdź. Zapisz podstawy decyzji, datę i podjęte działania zgodnie z procedurami dokumentacyjnymi firmy.

Ile czasu ma firma?

RODO zakłada, że osoba, której dane dotyczą, powinna otrzymać informacje o podjętych działaniach bez zbędnej zwłoki, a najpóźniej w ciągu miesiąca. W bardziej złożonych sytuacjach termin ten może zostać pod pewnymi warunkami przedłużony, jednak osoba zainteresowana musi zostać poinformowana o przedłużeniu i jego przyczynach. Wewnętrzny rejestr spraw powinien zatem zawierać datę końcową odpowiedzi oraz osobę odpowiedzialną.

Typowe błędy

• brak wspólnego punktu przyjmowania wniosków
• zbyt szczegółowa weryfikacja tożsamości, prowadząca do zbierania większej liczby danych niż to konieczne
• pomijanie danych znajdujących się u podmiotów przetwarzających
• udostępnianie informacji o innych osobach bez należytej weryfikacji
• brak dokumentacji uzasadniającej częściowe lub całkowite odrzucenie wniosku
• przekroczenie terminu z powodu braku osoby odpowiedzialnej za sprawę

Praktyczna dokumentacja

Dla organizacji obsługujących regularne wnioski skutecznym rozwiązaniem jest połączenie dziennika spraw z szablonami odpowiedzi, weryfikacją tożsamości, wsparciem decyzji oraz punktami kontrolnymi dla każdego z praw. Dzięki temu proces staje się szybszy i łatwiejszy do wykazania podczas kontroli wewnętrznej.

Zobacz pakiet RODO Mallbutiken dotyczący wyciągów z rejestru i praw osób, których dane dotyczą.

Powiązana dokumentacja RODO

Sprawny przepływ realizacji praw często wiąże się z firmowym rejestrem czynności przetwarzania (ROPA), podstawami prawnymi oraz procedurami na wypadek incydentów. Im lepiej zmapowane są działania przetwarzania, tym zazwyczaj szybciej można odnaleźć właściwe dane w razie wpłynięcia wniosku.

FAQ

Czy wyciąg z rejestru musi być zawsze dostarczony w formacie, którego żąda dana osoba?

Format powinien być przystępny i zrozumiały, jednak względy praktyczne i prawne mogą wpłynąć na sposób przekazania materiałów. Ważne jest, aby osoba, której dane dotyczą, mogła faktycznie zapoznać się z informacjami wymaganymi przez RODO.

Czy firma może pobierać opłaty?

Z założenia informacje i działania podejmowane zgodnie z przepisami o prawach osób są bezpłatne. RODO przewiduje ograniczone wyjątki w przypadku wniosków ewidentnie bezzasadnych lub nadmiarowych.

Czy wszystko musi być udokumentowane?

Warto udokumentować, jak wniosek został rozpatrzony, które systemy sprawdzono, jakich ocen dokonano i kiedy udzielono odpowiedzi. Dokumentacja wspiera rozliczalność zgodnie z RODO.

Artykuł zawiera informacje ogólne i nie zastępuje porady prawnej w indywidualnym przypadku.