Право на видалення даних

Що це означає

Право на видалення - вимога суб’єкта даних стерти його персональні дані, коли підстава для обробки відпала: мета досягнута, згоду відкликано, заперечення задоволено або дані оброблялися незаконно. Умови задає GDPR, а не внутрішня політика фірми.

Це не право стертися будь-коли і всюди. Якщо дані потрібні для обов’язку за законом, наприклад для архівації документів, або для захисту правових вимог, у видаленні відмовляють і заявникові пояснюють причину.

Від видалення слід відрізняти обмеження обробки: дані залишаються збереженими, але, крім зберігання, з ними більше нічого не роблять. Видаленням можна вважати і незворотну анонімізацію, але не псевдонімізацію, за якої за допомогою додаткової інформації дані знову можна пов’язати з конкретною людиною.

Як це працює на практиці

Заяву розглядають без невиправданої затримки, щонайпізніше за один місяць, а якщо випадок складний, строк подовжують. Відповідь готує відповідальна особа, якщо її призначено, і в ній має бути сказано, що стерто, що залишилось і на якій правовій підставі.

Видалення охоплює всі копії, включно з резервними і системами обробника, якого зв’язує договір про обробку. Бухгалтерську і зарплатну систему при цьому не чистять: дані там лише обмежують до кінця строку зберігання.

Коли колишній покупець клієнта вимагає видалення, ми допомагаємо розкласти дані: контакт у списку для email-маркетингу видаляють одразу, рахунки й договори залишаються до кінця строку зберігання, а листування щодо відкритої дебіторки - до її погашення. Кожна категорія має свою підставу і свою дату видалення.

На що звернути увагу

Фірми за заявою стирають і рахунки, і розрахункові листки. Під час податкової перевірки документа потім бракує, витрату не визнають і податок донарахують із санкцією, хоча обов’язок зберігати облікову документацію має перевагу над вимогою про видалення.

Протилежна помилка - пропустити запит або відповісти пізно. Строк спливає від доставки на будь-який контакт компанії, зокрема на загальний e-mail, а прострочення - окреме порушення, про яке суб’єкт може повідомити наглядовому органу. Допомагає журнал запитів, який ведуть поруч із реєстром операцій з обробки.