Probleme frecvente în practica operatorilor de date cu caracter personal. Soluții privind gestionarea drepturilor persoanelor vizate

Este de așteptat ca implementarea GDPR să fi intrat, deja, în reflexul operatorilor de date cu caracter personal, în cei aproape trei ani și jumătate care s-au scurs de la momentul la care acesta a devenit aplicabil. Și, într-adevăr, gestionarea solicitărilor persoanelor vizate a devenit un exercițiu constant în activitatea operatorilor. Aceștia se văd nevoiți a angrena cunoștințe și resurse însemnate pentru a adresa conform, în practică, cerințele aplicabile în materie, mai ales în cazurile în care fluxurile și regulile interne nu sunt încă adaptate pentru a facilita acest proces.

În practică, multitudinea de scenarii experimentate a conturat și o serie de confuzii sau erori de abordare, în special vizând aspectele în care regulamentul (pare că) nu se pronunță. În cele ce urmează, ne propunem să răspundem la unele dintre cel mai des întâlnite întrebări ale operatorilor de date cu caracter personal cu privire la gestionarea drepturilor persoanelor vizate.

Primirea solicitărilor. „Trebuie sa iau în calcul o solicitare verbală? Dar o solicitare primită pe Facebook?”

Răspunsul este da. O cerere de exercitare a drepturilor poate fi primită în cadrul organizației în diverse forme, prin diferite canale de comunicare și poate fi adresată în termeni mai specifici sau mai generali.

Astfel, pe lângă cererile primite pe canalul dedicat comunicării cu persoana vizată (cum ar fi o adresă de e-mail specifică sau formulare dedicate exercitărilor de drepturi), persoana vizată are libertatea de a transmite o solicitare valabilă, prin orice alt canal disponibil, în scris sau verbal. Spre exemplu, persoanele vizate își pot exercita în mod valabil drepturile prin transmiterea unei solicitări scrise via e-mail, dar pe o altă adresă decât cea dedicată (cum ar fi cea specifică reclamațiilor sau sesizărilor, relației cu clienții etc.), prin fax sau scrisoare folosind datele de contact generale ale organizației, prin intermediul formularelor generale de contact/feedback, sau chiar prin intermediul serviciilor de mesagerie ale rețelelor de socializare, pe care operatorul este prezent (mesaje private în rețelele de socializare). De asemenea, va reprezenta o exercitare valabilă a drepturilor transmiterea unei solicitări verbale, prin intermediul unui apel telefonic la orice număr de contact oficial al operatorului, sau direct, către un reprezentat al operatorului, la punctul de lucru al acestuia.

Operatorul trebuie să țină cont de aceste tipuri de exercitare valabilă a drepturilor, pe care este nevoit să le gestioneze, cu adresarea tuturor cerințelor aplicabile. Astfel, este de esența conformării ca operatorul să se asigure că poate identifica și califica corect orice solicitare a persoanelor vizate, în oricare din modalitățile alese de acestea pentru exercitarea drepturilor.

Măsurile recomandabile pentru operatori includ:

− instruirea personalului (ex. prin programe de training, testări, proceduri obligatorii) în special a celui implicat în fluxurile având contact direct cu persoanele vizate (relații clienți/informații/sesizări și reclamații/punctele de lucru). Este esențial ca operatorul să se asigure că aceștia sunt în măsură să recunoască cererile persoanelor vizate și cunosc pașii ce trebuie urmați;

− adaptarea/implementarea unor proceduri interne și stabilirea responsabilităților;

− pregătirea unor fluxuri dedicate (formulare dedicate, adresa de e-mail/contact dedicată) pentru exercitarea drepturilor, în măsura în care acestea nu există. Astfel, persoanele vizate s-ar putea adresa operatorului cu precădere pe aceste canale, fiind redus riscul de a primi solicitări pe alt flux. Atenție însă, utilizarea acestora nu este obligatorie pentru persoanele vizate, iar operatorul este obligat să țină cont, în continuare, și de solicitările primite prin orice alte mijloace (…).

Materialul integral poate fi consultat aici.