Uzņēmuma mājaslapā ir publicēta privātuma politika, taču kādu dienu pienāk vēstule: “Lūdzu, atsūtiet visus manus personas datus un pēc tam tos izdzēsiet.” Šajā brīdī svarīgs vairs nav tikai teksts vietnē. Uzņēmumam jāspēj atrast informāciju, saprast pieprasījuma apjomu un sniegt cilvēkam pamatotu atbildi. Tieši šādas situācijas parāda, vai datu aizsardzība darbojas arī ikdienā.

Vispārīgā datu aizsardzības regula jeb GDPR piešķir cilvēkiem tiesības attiecībā uz viņu personas datiem. Uzņēmuma uzdevums ir nodrošināt saprotamu veidu, kā šīs tiesības izmantot. Šis ceļvedis koncentrējas uz konkrētu procesu: no mājaslapā norādītā saziņas kanāla līdz pieprasījuma izpildei. Tas ir vispārīgs skaidrojums; sarežģītos gadījumos nepieciešams individuāls juridisks izvērtējums.

1. Privātuma politika kā ceļš uz reālu palīdzību

Privātuma politikā nepietiek uzskaitīt tiesības piekļūt datiem, tos labot vai dzēst. Apmeklētājam jāsaprot, kam rakstīt un ko sagaidīt pēc sazināšanās. Norādiet uzņēmuma kā datu pārziņa identitāti un kontaktinformāciju, kā arī datu aizsardzības speciālista kontaktinformāciju, ja tāds ir iecelts. Izvēlētajam saziņas kanālam jābūt regulāri uzraudzītam.

Praktisks risinājums ir skaidri nosaukta sadaļa par personas datu tiesību īstenošanu. Tajā paskaidrojiet, ka cilvēks var aprakstīt savu vajadzību brīvā formā. Nav jāpieprasa juridisko terminu pārzināšana vai konkrēta panta nosaukšana. Arī vēstule “nevēlos vairs saņemt reklāmu” var būt tiesību īstenošanas pieprasījums, nevis vienkārši klientu apkalpošanas komentārs.

• Novietojiet privātuma politikas saiti viegli atrodamā mājaslapas vietā, piemēram, kājenē.
• Norādiet saziņas kanālu, kuru uzņēmums patiešām pārbauda.
• Izskaidrojiet iespēju iesniegt sūdzību Datu valsts inspekcijā.
• Neierobežojiet pieprasījumus tikai ar vienu obligātu veidlapu.

Darbiniekiem jāzina, kur pārsūtīt pieprasījumu, ja tas pienāk pārdošanas e-pastā vai citā uzņēmuma saziņas kanālā. Klientam nav jāorientējas uzņēmuma iekšējā struktūrā.

2. Atšķiriet pieprasījuma veidu un tā robežas

Dažādām tiesībām ir atšķirīgs saturs un piemērošanas nosacījumi. Tāpēc pirms darbību sākšanas noskaidrojiet, ko cilvēks vēlas panākt. Ja pieprasījums ietver vairākas darbības, tās jāvērtē atsevišķi. Piekļuves pieprasījumu nedrīkst automātiski aizstāt ar dzēšanu, savukārt atteikšanās no reklāmas nenozīmē visu ar klientu saistīto dokumentu iznīcināšanu.

• Piekļuve datiem: cilvēks var saņemt apstiprinājumu par apstrādi, savu personas datu kopiju un regulā noteikto papildu informāciju.
• Datu labošana: iespējams prasīt neprecīzu datu labošanu un nepilnīgu datu papildināšanu.
• Dzēšana: piemērojama noteiktos apstākļos, taču nav absolūta.
• Apstrādes ierobežošana: noteiktās situācijās dati jāsaglabā, ierobežojot to turpmāku izmantošanu.
• Iebildumi: īpaši jānošķir iebildumi pret tiešo tirgvedību, kurai attiecīgā apstrāde jāpārtrauc.
• Datu pārnesamība: noteiktos apstākļos attiecas uz personas sniegtajiem datiem, ja automatizēta apstrāde balstās piekrišanā vai līgumā.

Piemēram, klients var prasīt dzēst mārketinga profilu, bet uzņēmumam joprojām var būt pienākums saglabāt grāmatvedības dokumentus. Atbildē paskaidrojiet šo atšķirību, norādot konkrēto saglabāšanas pamatojumu un piemērojamo termiņu vai tā noteikšanas kritērijus. Vispārīga frāze “likums neļauj” nav pietiekami informatīva.

3. Reģistrējiet pieprasījumu un pārbaudiet identitāti samērīgi

Saņemot pieprasījumu, reģistrējiet saņemšanas datumu, saturu, atbildīgo darbinieku un atbildes termiņu. Parasti informācija par veiktajām darbībām jāsniedz bez nepamatotas kavēšanās un ne vēlāk kā viena mēneša laikā pēc pieprasījuma saņemšanas. Tas nav automātiski tas pats, kas 30 dienas.

Ja nepieciešams, ņemot vērā pieprasījumu sarežģītību un skaitu, termiņu var pagarināt vēl par diviem mēnešiem. Par pagarinājumu un tā iemesliem cilvēks jāinformē pirmā mēneša laikā. Darbinieku atvaļinājumi vai nesakārtota dokumentu glabāšana paši par sevi nav pamats uzskatīt pagarinājumu par pašsaprotamu.

Pirms datu izsniegšanas vai būtiskām izmaiņām pārliecinieties, ka pieprasītājs ir attiecīgā persona vai tās pilnvarots pārstāvis. Ja pastāv pamatotas šaubas par identitāti, drīkst prasīt papildu informāciju, kas nepieciešama tās apstiprināšanai. Tomēr personu apliecinoša dokumenta kopija nedrīkst kļūt par automātisku prasību katrā gadījumā.

Izmantojiet situācijai piemērotu pārbaudi, piemēram, autentificētu klienta kontu vai jau zināmu saziņas kanālu. Izvērtējiet arī informācijas sensitivitāti un konta pārņemšanas risku. Ja nepieciešams precizējums, jautājiet tikai būtisko un neizmantojiet precizēšanu kā paņēmienu procesa novilcināšanai.

4. Atrodiet datus visās iesaistītajās sistēmās

Mājaslapa bieži ir tikai sākumpunkts. Personas dati var nonākt e-pastā, CRM, rēķinu vadības sistēmā, internetveikalā vai klientu atbalsta sarunu vēsturē. Pieprasījuma izpildei nepieciešams pārskatāms saraksts ar vietām, kur uzņēmums glabā vai izmanto konkrētās personas informāciju.

1. Nosakiet meklēšanai nepieciešamos identifikatorus, piemēram, e-pasta adresi vai klienta numuru.
2. Pārbaudiet attiecīgās sistēmas un darba saziņas kanālus.
3. Noskaidrojiet, kuri pakalpojumu sniedzēji apstrādā datus uzņēmuma uzdevumā.
4. Apkopojiet atrasto informāciju un izvērtējiet citu personu datu aizsardzību.
5. Dokumentējiet pieņemtos lēmumus un izpildītās darbības.

Līgumā ar datu apstrādātāju jābūt paredzētai palīdzībai datu subjektu tiesību pieprasījumu izpildē. Praktiski svarīgi jau iepriekš zināt, kā pieprasīt datu eksportu, labošanu vai dzēšanu. Pakalpojuma sniedzēja iesaiste neatbrīvo uzņēmumu kā pārzini no pienākuma organizēt atbildi cilvēkam.

Ja vietnē darbojas MI konsultants, meklēšanas tvērumā var būt arī sarunu ieraksti un ar tiem saistītie identifikatori. Savukārt rezerves kopijām vajadzīga atsevišķi izvērtēta dzēšanas un atjaunošanas kārtība. Nedrīkst apsolīt tūlītēju pilnīgu izdzēšanu, ja tehniski tas nenotiek; jānovērš arī nepamatota dzēsto datu atgriešanās aktīvā lietošanā.

5. Sagatavojiet drošu un saprotamu atbildi

Atbildes mērķis nav tikai paziņot, ka pieprasījums ir “apstrādāts”. Cilvēkam jāsaprot, kas izdarīts, kāda informācija tiek sniegta un vai kāda pieprasījuma daļa nav izpildīta. Piekļuves gadījumā ar datu kopiju vien var nepietikt: jāsniedz arī prasītā informācija par apstrādes nolūkiem, saņēmējiem, glabāšanu un citiem regulā noteiktajiem aspektiem.

Pirms nosūtīšanas pārbaudiet, vai materiālos nav nepamatoti atklāti citu cilvēku dati. Tas nenozīmē, ka drīkst automātiski atteikt visu pieprasījumu. Bieži iespējams aizklāt nesaistīto informāciju vai sagatavot izrakstu, saglabājot pieprasītāja datu pilnīgumu un saprotamību. Datu kopijai jābūt uzticamai un cilvēkam izmantojamai.

Izvēlieties riskam atbilstošu piegādes veidu. Sensitīvas informācijas nosūtīšana parastā e-pasta pielikumā ne vienmēr būs piemērota. Ja izmantojat aizsargātu failu vai lejupielādes saiti, paredziet arī drošu piekļuves nodošanu un saprātīgu pieejamības laiku.

Pieprasījumu izpilde parasti ir bez maksas. Acīmredzami nepamatotu vai pārmērīgu pieprasījumu gadījumos regula paredz izņēmumus, taču uzņēmumam jāspēj tos pamatot. Ja pieprasījumu neizpildāt, sniedziet atteikuma iemeslus un informāciju par sūdzības iesniegšanas un tiesību aizsardzības iespējām.

6. Pārvērtiet solījumus atkārtojamā darba kārtībā

Nelielam uzņēmumam noder īsa iekšējā instrukcija: kurš saņem pieprasījumus, kurš pārbauda identitāti, kurās sistēmās jāmeklē dati un kurš apstiprina atbildi. Norādiet arī aizvietotāju. Pieprasījumu uzskaitē glabājiet tikai nepieciešamo informāciju, ierobežojiet piekļuvi un nosakiet pamatotu glabāšanas termiņu.

Pirms procesa ieviešanas izmēģiniet to ar izdomātu situāciju un testa datiem. Vai darbinieks atrod privātuma politikas kontaktu? Vai iespējams iegūt saprotamu datu kopiju? Vai mārketinga atteikums nonāk visās vajadzīgajās sistēmās? Šāds izmēģinājums palīdz pamanīt atbildības un tehnisko iespēju neatbilstības, neizmantojot īsta klienta informāciju.

99web.lv piedāvā profesionālu mājaslapu par 9,99 €/mēn. ar PVN, iekļaujot hostingu, SSL, uzturēšanu un MI rediģēšanas kredītus. Lapu var būvēt pats ar MI vai izvēlēties no kataloga. Papildus pieejami CRM, e-pasta sistēmu un citi biznesa risinājumi; projektu vadītājs ir pieejams jebkurā brīdī. Tehniskie rīki neatceļ uzņēmuma juridiskos pienākumus, taču to izvēlē vērts apspriest arī datu piekļuves un dzēšanas vajadzības. Izmēģiniet 99web.lv un speriet pirmo soli — reģistrēties.