Wzrost liczby wniosków DSAR: przetwarzanie wsadowe dla zgodności z RODO
Art. 12 RODO wyznacza termin jednego miesiąca. Organizacje muszą odpowiedzieć na Wnioski o Dostęp do Danych Osobowych (DSAR) w ciągu 30 dni. Sprawy złożone mogą otrzymać 60-dniowe przedłużenie. Termin biegnie od momentu otrzymania wniosku. Nie obowiązuje okres karencji. Przekroczenie terminu samo w sobie stanowi naruszenie.
W 2024 r. kary nakładane przez organy ochrony danych (DPA) upowszechniły wiedzę o prawach do danych. Irlandzka DPC nałożyła na LinkedIn karę 310 milionów euro za stosowanie reklamy behawioralnej bez ważnej zgody. Na Meta nałożyła karę 251 milionów euro za nieterminowe zgłoszenie naruszenia ochrony danych. Każda kara skutkowała kampanią informacyjną. Coraz więcej osób dowiadywało się o przysługujących im prawach. Wolumen wniosków DSAR wzrósł.
Skoordynowane Ramy Egzekwowania Prawa EROD z 2024 r. skupiały się na naruszeniach prawa dostępu. Organizacje, które nie mogą wykazać prawidłowej obsługi wniosków DSAR, są teraz poddawane większej kontroli.
Zapoznaj się z naszym przeglądem zgodności i praktykami bezpieczeństwa, aby dowiedzieć się, jak wspieramy realizację obowiązków wynikających z RODO.
Problem danych osobowych osób trzecich
Odpowiedzi na wnioski DSAR rodzą jeden konkretny problem: dane osobowe osób trzecich.
Podmiot danych żąda wszystkich rekordów na swój temat. Te rekordy mogą zawierać dane innych osób. Notatka z działu obsługi klienta może zawierać numer telefonu innego klienta. Wątek e-mailowy może ujawniać adres współpracownika. Rekord skargi może dotyczyć osoby trzeciej. Przesłanie takich rekordów narusza prawa innych osób. To osobne naruszenie.
Należy przejrzeć każdy dokument. Przed wysłaniem trzeba usunąć wszelkie odniesienia do osób trzecich. Operator telekomunikacyjny obsługujący 300 wniosków DSAR miesięcznie ma do czynienia z ok. 50 dokumentami na jeden wniosek. Oznacza to 15 000 dokumentów każdego miesiąca — tylko na potrzeby obsługi wniosków DSAR.
Trzyosobowy zespół nie jest w stanie temu sprostać. Ręczna weryfikacja nie mieści się w ramach czasowych jednego miesiąca przy takiej skali.
Architektura przetwarzania wsadowego
Preset odpowiedzi na wnioski DSAR rozwiązuje ten problem. Preset skanuje każdy dokument, wyszukuje wszystkie imiona i nazwiska, dane kontaktowe oraz inne identyfikatory, a następnie anonimizuje każde trafienie — z wyjątkiem danych dotyczących osoby składającej wniosek. Jej imię, nazwisko i numer konta podajemy na początku zadania.
Inni klienci wymienieni w rekordach są anonimizowani. Pracownicy wymienieni w notatkach serwisowych są anonimizowani. Osoby trzecie w wiadomościach e-mail są anonimizowane. Wszystko to odbywa się przed skompletowaniem pakietu dokumentów.
Przetworzenie 50 dokumentów zajmuje minuty — nie godziny. Zespół ds. zgodności sprawdza wyniki pod kątem przypadków brzegowych. Czas odpowiedzi skraca się z tygodni do dni.
Odwiedź naszą stronę o encjach, aby zobaczyć, jakie typy danych preset domyślnie wykrywa.
Co decyduje o tym, że proces jest wiarygodny prawnie
Trzy elementy czynią procedurę obsługi wniosków DSAR wiarygodną.
Szybkość. Narzędzia wsadowe eliminują wąskie gardło powodujące opóźnienia przy dużej skali.
Dokładność. Preset musi usuwać dane PII osób trzecich bez ingerencji w dane samego podmiotu składającego wniosek. Dobrze skonfigurowany preset obsługuje to rozróżnienie.
Ślad audytowy. Art. 5 ust. 2 RODO wymaga dowodu zgodności. Operacje wsadowe rejestrują, które dokumenty zostały przetworzone, jaki preset zastosowano i kiedy. Ten dziennik stanowi Twój dowód.