Обробка справжнього запиту DSAR

Що таке Обробка справжнього запиту DSAR?

Стаття 15 надає кожному право отримати копію персональних даних, які про нього зберігає організація, а на відповідь є один календарний місяць. Перевірена клієнтка просить надати все. Ви звіряєте її особу з відомостями, що вже є в базі, підтверджуєте отримання запиту, шукаєте дані в CRM, зверненнях до підтримки, платформі виставлення рахунків та журналах доступу, приховуєте персональні дані інших людей у її листуванні зі службою підтримки й збираєте пакет відповіді, який охоплює кожен пункт статті 15.

Що ви дізнаєтесь у Обробка справжнього запиту DSAR

• Перевіряйте особу заявника пропорційними заходами, не вимагаючи надмірних особистих документів
• Знаходьте персональні дані в CRM, зверненнях до підтримки, платформі виставлення рахунків та журналах доступу, а не лише в очевидній системі
• Приховуйте у спільних записах персональні дані, розкриття яких негативно вплине на інших осіб
• Збирайте повний пакет відповіді з усіма відомостями, яких вимагає стаття 15, у межах місячного строку
• Документуйте кожен крок обробки запиту, щоб відповідь можна було обґрунтувати за принципом підзвітності

Обробка справжнього запиту DSAR — Кроки навчання

1. Вступ

   Сьогодні ви обробите справжній запит DSAR від перевіреного клієнта. Такий запит вимагає пильної уваги до строків, пошуку даних і приховування даних інших осіб.

2. Отримання запиту DSAR

   Аліса отримує у своїй робочій скриньці новий лист. Тема вказує, що це офіційний запит суб'єкта даних на доступ. Лист надійшов від jennifer.martinez@acme-corp.com — перевіреної клієнтки, чия компанія має чинний договір із CloudServe Technologies.

3. Перевірка особи

   Перш ніж обробляти запит, Аліса має переконатися, що його справді подала Дженніфер Мартінес. Проте GDPR вимагає, щоб перевірка була пропорційною: Аліса не повинна створювати зайвих перешкод. Лист надійшов з електронної адреси, яка вже пов'язана з обліковим записом клієнтки, і містить правильний ідентифікатор клієнта, тож Аліса обґрунтовано впевнена, що запит подала саме вона.

4. Реєстрація запиту

   Аліса відкриває чергу DSAR на порталі захисту даних. Вона бачить, що запит Дженніфер автоматично зареєстровано із сьогоднішньою датою, і від цієї дати починається місячний відлік строку відповіді. Система показує всі відомості, потрібні, щоб звірити особу заявниці з наявними записами про клієнтів.

5. Надсилання підтвердження отримання

   Особу підтверджено, тож Аліса має надіслати Дженніфер лист із підтвердженням отримання запиту. Він засвідчує, що запит отримано, і повідомляє, у який строк очікувати відповіді. Добра практика — підтверджувати отримання запитів DSAR без зволікань, хоча GDPR цього прямо не вимагає.

6. Пошук даних

   Тепер Аліса має знайти персональні дані Дженніфер в усіх системах компанії. GDPR вимагає надати всі персональні дані, які зберігаються про людину, а не лише ті, що лежать на видноті, як-от у CRM. Аліса має перевірити записи CRM, звернення до підтримки, системи виставлення рахунків, електронне листування, системні журнали та всі резервні копії, у яких можуть бути персональні дані.

7. Запуск пошуку даних

   Аліса вводить електронну адресу Дженніфер, щоб шукати в усіх підключених системах. Портал сам звертається до CRM, системи звернень до підтримки, платформи виставлення рахунків та журналів доступу. Пошук знаходить дані з кількох джерел: в одних лише дані Дженніфер, в інших є й дані інших людей.

8. Дзвінок керівникові — вимоги до приховування даних

   Переглядаючи результати пошуку, Аліса помічає, що в кількох зверненнях до підтримки є дані інших працівників ACME Corp, яких додали в копію. Їй потрібні вказівки, як поводитися з даними інших осіб. Вона телефонує своєму керівникові Девіду Чену, щоб обговорити вимоги до приховування.

9. Перегляд і приховування даних

   За вказівками Девіда Аліса переглядає зібраний експорт даних і зважує кожен фрагмент даних інших осіб: - електронні адреси інших працівників ACME Corp у листуванні за зверненнями до підтримки: приховати - внутрішні ідентифікатори звернень, за якими можна дізнатися про дані інших клієнтів: приховати - імена працівників CloudServe, які вели її звернення: залишити, бо вони діяли у своїй професійній ролі Аліса має надати Дженніфер усі її власні дані й водночас захистити приватність інших людей.

10. Приховування даних

    Аліса ретельно переглядає кожне джерело даних і приховує те, що стосується інших осіб. Портал допомагає, виділяючи дані, які можуть належати іншим людям, але остаточне рішення про кожне приховування ухвалює Аліса. Вона стежить, щоб усі персональні дані Дженніфер залишилися видимими, а відомості про інших людей були належно приховані.