Розгляд справжнього запиту DSAR

Що таке Розгляд справжнього запиту DSAR?

Стаття 15 GDPR надає кожному право на копію персональних даних, які ви про нього зберігаєте, а на відповідь у вас є один календарний місяць. Перевірена клієнтка просить надати все. Ви звіряєте її особу з даними, що вже є в базі, підтверджуєте отримання запиту, шукаєте в CRM, зверненнях до підтримки, платформі виставлення рахунків і журналах доступу, приховуєте персональні дані інших людей у її листуванні зі службою підтримки та складаєте пакет відповіді, що охоплює всі відомості, яких вимагає стаття 15.

Що ви дізнаєтесь у Розгляд справжнього запиту DSAR

• Перевіряйте особу заявника пропорційними заходами, не вимагаючи зайвих особистих документів.
• Знаходьте персональні дані в CRM, зверненнях до підтримки, платформі виставлення рахунків і журналах доступу, а не лише в очевидній системі.
• Приховуйте персональні дані інших осіб у спільних записах, якщо їх розкриття негативно вплине на цих людей.
• Складайте повний пакет відповіді, який містить усі відомості, яких вимагає стаття 15, і вкладайтеся в місячний строк.
• Документуйте кожен крок розгляду запиту, щоб відповідь можна було обґрунтувати за принципом підзвітності.

Розгляд справжнього запиту DSAR — Кроки навчання

1. Вступ

   Сьогодні ви розглядаєте справжній запит DSAR від перевіреної клієнтки. Він вимагає уваги до строків, пошуку даних і приховування даних інших осіб.

2. Отримання запиту DSAR

   Аліса отримує новий лист у робочій поштовій скриньці. З теми листа зрозуміло, що це офіційний запит суб'єкта даних на доступ. Лист надійшов від jennifer.martinez@acme-corp.com — перевіреної клієнтки, чия компанія має чинний договір із компанією CloudServe Technologies.

3. Перевірка особи

   Перш ніж братися за запит, Аліса має переконатися, що його справді надіслала Дженніфер Мартінес. Проте GDPR вимагає, щоб перевірка була пропорційною: Аліса не повинна створювати зайвих перешкод. Запит надійшов з електронної адреси, яка вже пов'язана з обліковим записом клієнта, і містить правильний ідентифікатор клієнта. Тож Аліса може обґрунтовано вважати, що запит надіслала саме Дженніфер.

4. Реєстрація запиту

   Аліса відкриває чергу запитів DSAR на порталі захисту даних. Запит Дженніфер уже зареєстровано автоматично з сьогоднішньою датою, від якої починається відлік місячного строку на відповідь. Система показує все, що потрібно, щоб звірити особу заявниці з наявними записами про клієнтів.

5. Надсилання підтвердження отримання

   Особу підтверджено, і тепер Аліса має надіслати Дженніфер лист із підтвердженням отримання. У ньому сказано, що запит отримано, і показано, коли чекати на відповідь. Добра практика — підтверджувати отримання запитів DSAR одразу, хоча GDPR суворо цього й не вимагає.

6. Пошук даних

   Тепер Аліса має знайти персональні дані Дженніфер в усіх системах компанії. GDPR вимагає надати всі персональні дані, які зберігаються про людину, а не лише ті, що лежать на видноті, як у CRM. Аліса має перевірити: записи в CRM, звернення до підтримки, платформи виставлення рахунків, листування електронною поштою, системні журнали та всі резервні копії, у яких можуть бути персональні дані.

7. Запуск пошуку даних

   Аліса вводить адресу електронної пошти Дженніфер, щоб шукати в усіх підключених системах. Портал захисту даних автоматично перевіряє CRM, систему звернень до підтримки, платформу виставлення рахунків і журнали доступу. У результатах пошуку — дані з кількох джерел: в одних лише дані Дженніфер, в інших також дані інших людей.

8. Дзвінок керівника: вимоги до приховування даних

   Аліса переглядає результати пошуку й помічає: у кількох зверненнях до підтримки є дані інших працівників ACME Corp, яких додали в копію листування. Їй потрібні вказівки, як поводитися з даними інших осіб. Вона говорить із керівником, Девідом Ченом, про вимоги до приховування даних.

9. Перегляд і приховування даних

   За вказівками Девіда Аліса переглядає зібраний експорт даних і зважує кожен фрагмент даних інших осіб: - електронні адреси інших працівників ACME Corp у ланцюжках листів зі зверненнями до підтримки: приховати; - внутрішні номери звернень, за якими можна дізнатися про дані інших клієнтів: приховати; - імена працівників компанії CloudServe, які розглядали її звернення до підтримки: залишити, бо вони діяли в межах службових обов'язків. Аліса має надати Дженніфер усі її власні дані й водночас захистити приватність інших людей.

10. Приховування даних інших осіб

    Аліса уважно переглядає кожне джерело даних і приховує дані інших осіб, щоб їх захистити. Портал захисту даних допомагає: підсвічує дані, які можуть належати іншим особам, але остаточне рішення щодо кожного приховування ухвалює Аліса. Вона стежить, щоб усі персональні дані Дженніфер лишалися видимими, а дані інших людей були належно приховані.