Τι είναι το αίτημα πρόσβασης υποκειμένου δεδομένων (DSAR);

Τα προσωπικά στοιχεία του καταστήματός σας έχουν γίνει πολύ πιο εύκολα στη συλλογή, αποθήκευση, ανάλυση και κοινή χρήση τεράστιων ποσοτήτων προσωπικών δεδομένων στην ψηφιακή εποχή, καθώς αποδεικνύεται από μεγάλους παίκτες τεχνολογίας στα μέσα κοινωνικής δικτύωσης και στις μηχανές αναζήτησης . Αυτοί οι μεγάλοι παίκτες τεχνολογίας μπορούν να αποθηκεύουν μόνιμα τεράστια αρχεία των προσωπικών μας δεδομένων και των διαδικτυακών δραστηριοτήτων μας ακόμη και εν αγνοία μας. Δεν υπάρχει σχεδόν καμία εταιρεία τεχνολογίας σήμερα που δεν συλλέγει και δεν αποθηκεύει τα προσωπικά δεδομένα των χρηστών της.

Τι είναι το DSAR;

Για το λόγο αυτό, έχει καταστεί πιο κρίσιμο από ποτέ για τα υποκείμενα των δεδομένων (προσδιορισμένα ή αναγνωρίσιμα πρόσωπα των οποίων τα προσωπικά δεδομένα διατηρούνται από εταιρείες) να έχουν το δικαίωμα να γνωρίζουν εάν ένας οργανισμός αποθηκεύει και χρησιμοποιεί τα δεδομένα τους, καθώς και να έχουν το δικαίωμα να πρόσβαση και, ενδεχομένως, λήψη αντιγράφου αυτών των δεδομένων. Αυτό αναφέρεται συνήθως ωςΑιτήματα πρόσβασης υποκειμένου δεδομένων (DSAR).

Το DSAR είναι ένα αίτημα που υποβάλλεται από ένα υποκείμενο δεδομένων σε έναν υπεύθυνο επεξεργασίας δεδομένων (οργανισμούς που συλλέγουν και διατηρούν προσωπικά δεδομένα και καθορίζουν τον τρόπο επεξεργασίας τους) για πρόσβαση στα δεδομένα που συλλέγονται σχετικά με αυτά.

Εάν ένας οργανισμός συλλέγει και χρησιμοποιεί δεδομένα ενός ατόμου, αυτός ο οργανισμός πρέπει να του παραχωρήσει πρόσβαση στα δεδομένα του. Το DSAR είναι ένα από τα πιο θεμελιώδη δικαιώματα στους νόμους περί προστασίας δεδομένων σε όλο τον κόσμο. Η ΕΕ, οι ΗΠΑ και άλλες ανεπτυγμένες δημοκρατίες έχουν εφαρμόσει νόμους που ρυθμίζουν την πρόσβαση σε προσωπικά δεδομένα και άλλα μέτρα ενδυνάμωσης των υποκειμένων των δεδομένων που δίνουν στα άτομα τον έλεγχο των δεδομένων τους.

Οι ΗΠΑ Γενικός Κανονισμός Προστασίας Δεδομένων (GDPR) , οι ΗΠΑ Νόμος περί φορητότητας και λογοδοσίας ασφάλισης υγείας (HIPAA) , καιΝόμος περί απορρήτου καταναλωτών της Καλιφόρνια (CCPA), μεταξύ άλλων, όλοι έχουν εφαρμόσει το DSAR ως μέρος του θεμελιώδους δικαιώματος στην προστασία δεδομένων.

Για παράδειγμα, η αιτιολογική σκέψη 63 του GDPR αναφέρει ότι:Το υποκείμενο των δεδομένων θα πρέπει να έχει το δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα που έχουν συλλεχθεί σχετικά με αυτό και να ασκεί αυτό το δικαίωμα εύκολα και σε εύλογα χρονικά διαστήματα, να γνωρίζει και να επαληθεύει τη νομιμότητα της επεξεργασίας.» Περαιτέρω, το άρθρο 2 του ΚΠολΔ αναφέρει τα εξής: «...Το νομοθετικό σώμα σκοπεύει να προωθήσει το δικαίωμα των Καλιφορνέζων στην ιδιωτική ζωή παρέχοντας στους καταναλωτές έναν αποτελεσματικό τρόπο ελέγχου των προσωπικών τους στοιχείων διασφαλίζοντας τα ακόλουθα δικαιώματα:…(4) Το δικαίωμα των Καλιφορνέζων να έχουν πρόσβαση στα προσωπικά τους στοιχεία.»

Πίνακας 1.0 | DSAR βάσει του GDPR έναντι του CCPA

Οι περισσότερες υλοποιήσεις DSAR δίνουν σε ένα άτομο το δικαίωμα να λάβει επιβεβαίωση ότι μια εταιρεία συλλέγει ή δεν συλλέγει τα δεδομένα του και του παρέχει πληροφορίες σχετικά με τον τρόπο χρήσης των δεδομένων του, συμπεριλαμβανομένης της δυνατότητας να ζητήσει διόρθωση ή διαγραφή των δεδομένων που συλλέγονται. Ωστόσο, ενδέχεται να υπάρχουν μικρές αποκλίσεις ανάλογα με τους τοπικούς νόμους περί προστασίας δεδομένων σας. Αυτό βοηθά τα άτομα να ασκούν έλεγχο στα δεδομένα τους που τηρούνται από έναν οργανισμό και να ελέγχουν ότι τα χρησιμοποιούν νόμιμα. Στις επόμενες ενότητες, θα εμβαθύνουμε στην έννοια του DSAR στο πλαίσιο του Συμμόρφωση GDPR .

Σε τι διαφέρει το DSAR από το αίτημα FOI;

Οι άνθρωποι μερικές φορές μπερδεύουν το DSAR με το Αιτήματα Ελευθερίας Πληροφοριών (FOI). . Αυτό συνήθως οδηγεί σε παρεξηγήσεις κατά την υποβολή αιτημάτων πρόσβασης. Αν και ακούγονται παρόμοια, είναι πολύ διαφορετικά.

Ο καλύτερος τρόπος για να προσδιορίσετε εάν χρειάζεται να ξεκινήσετε ένα αίτημα DSAR ή FOI είναι να σκεφτείτε το είδος των πληροφοριών που ζητάτε. Κάντε τον εαυτό σας την ερώτηση: ποιες πληροφορίες ζητάω;

Εάν οι πληροφορίες που ζητάτε σχετίζονται με εσάς και τα δεδομένα σας, τότε απαιτείται DSAR. Εάν οι πληροφορίες που ζητάτε αφορούν τον αριθμό των μοναδικών χρηστών διαδικτύου για κινητά σε ένα δεδομένο έτος, για παράδειγμα, τότε αυτό που χρειάζεστε είναι ένα αίτημα FOI. Τα FOI χρησιμοποιούνται συνήθως από δημοσιογράφους που θέλουν να βρουν εθνικά δεδομένα για να υποστηρίξουν τις ειδήσεις τους. Ο παρακάτω πίνακας υπογραμμίζει τις βασικές διαφορές μεταξύ DSAR και FOI:

Πίνακας 2.0 | Διαφορά μεταξύ DSAR και FOI

Πώς πρέπει τα υποκείμενα των δεδομένων να ξεκινήσουν το DSAR;

Το DSAR μπορεί να ξεκινήσει από οποιονδήποτε τα προσωπικά του δεδομένα φυλάσσονται και υφίστανται επεξεργασία από υπεύθυνο επεξεργασίας δεδομένων. Δεν υπάρχει επίσημη διαδικασία για την έναρξη ή την υποβολή αιτήματος. Ένα υποκείμενο δεδομένων μπορεί να ξεκινήσει το DSAR στα μέσα κοινωνικής δικτύωσης, προφορικά μέσω τηλεφώνου, να συμπληρώσει και να υποβάλει μια φόρμα DSAR σε μια διαδικτυακή πύλη ή να στείλει ένα email. Τα άτομα δεν είναι υποχρεωμένα να παρέχουν κανένα λόγο για την έναρξη DSAR και δεν απαιτείται συγκεκριμένη μορφή λέξεων. Θα μπορούσατε απλά να πείτε, 'Θα ήθελα να λάβω ένα αντίγραφο των δεδομένων που έχετε για εμένα' και αυτό θα θεωρηθεί DSAR. Ωστόσο, συνιστάται τα υποκείμενα των δεδομένων να υποβάλλουν αιτήματα γραπτώς. Αυτό δημιουργεί ένα αρχείο της ζήτησης και για τα δύο μέρη, συμπεριλαμβανομένης της ημερομηνίας υποβολής, των τύπων δεδομένων που ζητούνται και άλλων σχετικών πληροφοριών για ευκολότερη παρακολούθηση.

Το DSAR είναι έγκυρο εάν είναι σαφές ότι το υποκείμενο των δεδομένων ή το ενδιαφερόμενο άτομο ζητά τα δεδομένα του. Το υποκείμενο των δεδομένων μπορεί να ζητήσει από τρίτο μέρος (όπως δικηγόρο, εργολάβο, συγγενή ή φίλο) να ξεκινήσει μια DSAR για λογαριασμό τους. Η ευθύνη του τρίτου μέρους είναι να παρέχει αποδεικτικά στοιχεία για την εξουσία του να ενεργεί για λογαριασμό του ατόμου.

Πώς πρέπει οι ελεγκτές δεδομένων να εκπληρώσουν ένα DSAR;

Σε πολλούς οργανισμούς, το Υπεύθυνος Προστασίας Δεδομένων ή ΥΠΔ (κάποιος του οποίου η δουλειά διασφαλίζει ότι ο οργανισμός προστατεύει σωστά τα προσωπικά δεδομένα σύμφωνα με την ισχύουσα τοπική νομοθεσία) είναι υπεύθυνος για το χειρισμό των DSAR. Αλλά όποια και αν είναι η περίπτωση, θα πρέπει να υπάρχει κάποιος ορισμένος εντός του οργανισμού για να επιβλέπει τις διαδικασίες DSAR και να τεκμηριώνει όλα τα αιτήματα για να αποδείξει τη λογοδοσία και τη συμμόρφωση και να διασφαλίσει ότι οι απαντήσεις παρέχονται εντός συμφωνημένων χρονικών πλαισίων.

Δεδομένου ότι ο χρόνος είναι ουσιαστικός όταν απαντάτε σε ένα DSAR, είναι καλή ιδέα να βεβαιωθείτε ότι έχετε μια καθιερωμένη διαδικασία DSAR εκ των προτέρων για την άμεση αντιμετώπιση των αιτημάτων πρόσβασης. Τα ακόλουθα βήματα συνιστώνται όταν αντιμετωπίζετε το DSAR:

1. Επαληθεύστε την ταυτότητα του υποκειμένου: Το πρώτο βήμα για την αντιμετώπιση ενός αιτήματος είναι να επαληθεύσετε την ταυτότητα του αιτούντος για να διασφαλίσετε ότι δεν έχετε να κάνετε με έναν απατεώνα. Εάν στείλετε δεδομένα θέματος σε λάθος άτομο, ενδέχεται να διαπράξετε παραβίαση δεδομένων. Αφού προσδιορίσετε την ταυτότητα του αιτούντος, μπορείτε στη συνέχεια να προσδιορίσετε εάν διαθέτετε όλες τις πληροφορίες που χρειάζεστε για να εκπληρώσετε το αίτημα πριν διανείμετε με ασφάλεια τις πληροφορίες.
2. Κατανοήστε τη φύση του αιτήματος : Ελέγξτε το DSAR για να προσδιορίσετε τι θέλει να μάθει ο αιτών. Είναι απλώς ένα αίτημα πρόσβασης ή επικαλούνται άλλα δικαιώματα, όπως η διαγραφή ή η διόρθωση ανακριβών δεδομένων; Πρέπει επίσης να καθορίσετε πόσο χρόνο θα σας πάρει για να απαντήσετε στο αίτημα για να μάθετε εάν θα χρειαστείτε περισσότερο χρόνο για να απαντήσετε. Εάν απαιτείται περισσότερος χρόνος για να απαντήσετε, εξηγήστε το στο υποκείμενο των δεδομένων και ζητήστε παράταση.
3. Επιθεωρήστε τα δεδομένα: Αφού συλλέξετε τα δεδομένα, ελέγξτε εάν τα δεδομένα πρέπει να τροποποιηθούν. Πριν στείλετε τα δεδομένα στο υποκείμενο των δεδομένων, θα πρέπει να τα ελέγξετε για να βεβαιωθείτε ότι δεν περιλαμβάνει άλλα υποκείμενα των δεδομένων. Διαφορετικά, ενδέχεται να διαπράττετε παραβίαση δεδομένων.
4. Συσκευάστε τα δεδομένα : Αφού συλλέξετε όλα τα δεδομένα, καθορίστε την καταλληλότερη μορφή για την παροχή των πληροφοριών. Αυτό θα εξαρτηθεί από το είδος των πληροφοριών που παρέχετε και το σχέδιο πρέπει να είναι κάτι οικείο και εύκολα προσβάσιμο.
5. Στείλτε τα δεδομένα στο θέμα : Το τελευταίο βήμα είναι να στείλετε την απάντησή σας στο υποκείμενο των δεδομένων. Τεκμηριώστε τις επικοινωνίες σας με τους αιτούντες, ώστε να υπάρχει μια διαδρομή ελέγχου για να αποδείξετε τη λογοδοσία και τη συμμόρφωση. Πριν στείλετε τις πληροφορίες, βεβαιωθείτε ότι τα υποκείμενα των δεδομένων γνωρίζουν τα δικαιώματά τους, συμπεριλαμβανομένου του δικαιώματος καταγγελίας. Όπου είναι δυνατόν, συνιστάται να παρέχετε στα υποκείμενα των δεδομένων ασφαλή απομακρυσμένη πρόσβαση για λήψη των δεδομένων τους.

Σύμφωνα με τον GDPR, για παράδειγμα, οι υπεύθυνοι επεξεργασίας δεδομένων δεν επιτρέπεται να χρεώνουν χρέωση για την εκπλήρωση του DSAR. Ωστόσο, υπάρχουν ορισμένες περιπτώσεις όπου μπορεί να καθοριστεί μια λογική τιμή για διοικητικά έξοδα, εάν το αίτημα είναι αβάσιμο ή υπερβολικό. Μπορείτε επίσης να αρνηθείτε να συμμορφωθείτε με ένα DSAR εάν είναι προδήλως αβάσιμο ή προδήλως παράλογο. Εάν αρνηθείτε να συμμορφωθείτε με ένα αίτημα, πρέπει να ενημερώσετε το άτομο για τους λόγους, το δικαίωμά του να υποβάλει καταγγελία στην εποπτική αρχή και την επιλογή να επιβάλει την ελευθερία του μέσω των δικαστηρίων.

Ποιες πληροφορίες υποχρεούνται να παρέχουν οι υπεύθυνοι επεξεργασίας δεδομένων σε μια απάντηση DSAR;

Σε γενικές γραμμές, ένας υπεύθυνος επεξεργασίας δεδομένων είναι υποχρεωμένος να επιβεβαιώσει ότι επεξεργάζεται προσωπικά δεδομένα. Είναι επίσης υποχρεωμένοι να παρέχουν αντίγραφο αυτών των προσωπικών δεδομένων κατόπιν αιτήματος εντός καθορισμένου χρονικού πλαισίου.

Ανάλογα με τις πληροφορίες που ζητούνται, ο υπεύθυνος επεξεργασίας υποχρεούται επίσης να παρέχει άλλες συγκεκριμένες πληροφορίες όπως:

• Πληροφορίες σχετικά με δικαιώματα διόρθωσης, περιορισμούς επεξεργασίας, καθώς και δικαιώματα για λήθη ή διαγραφή.
• Πληροφορίες σχετικά με αυτοματοποιημένους αλγόριθμους λήψης αποφάσεων που βασίζονται σε AI χρησιμοποιώντας προσωπικά δεδομένα
• Πηγές που χρησιμοποιούνται για τη συλλογή προσωπικών δεδομένων (εάν τα δεδομένα δεν συλλέγονται απευθείας από το άτομο)
• Πληροφορίες σχετικά με το χρονικό διάστημα που ο οργανισμός διατηρεί τα προσωπικά δεδομένα (περίοδος διατήρησης δεδομένων)
• Τρίτα μέρη με τα οποία ο οργανισμός μοιράζεται προσωπικά δεδομένα εάν υπάρχουν
• Κατηγορίες προσωπικών δεδομένων που επεξεργάζεται ο οργανισμός
• Σκοπός επεξεργασίας προσωπικών δεδομένων

Πώς να προετοιμαστείτε για προκλήσεις που σχετίζονται με το DSAR

Ο όγκος της προσπάθειας που απαιτείται για να ανταποκριθεί σε ένα DSAR δεν είναι τόσο εύκολος όσο φαντάζονται οι περισσότεροι άνθρωποι. Η εύρεση των προσωπικών πληροφοριών που υποτίθεται ότι πρέπει να παρέχετε μπορεί να είναι δύσκολη, κυρίως εάν ο οργανισμός σας ασχολείται με μαζική συλλογή και επεξεργασία δεδομένων. Επομένως, η απόκριση σε DSAR απαιτεί προσεκτική κατανόηση των προσωπικών πληροφοριών που αποθηκεύετε, πού βρίσκονται και του σκοπού τους.

Είναι επίσης σημαντικό να σημειωθεί ότι υπάρχουν κίνδυνοι που σχετίζονται με την εκπλήρωση ενός αιτήματος για το υποκείμενο των δεδομένων που πρέπει να γνωρίζετε, μερικοί από τους οποίους περιλαμβάνουν:

• Η επεξεργασία δεδομένων θα πρέπει να συγκεντρώνεται σε ασφαλή χώρο εργασίας για να αποφευχθεί η διαρροή προσωπικών δεδομένων.
• Η δραστηριότητα πρέπει να τεκμηριώνεται για να αποδεικνύει τη λογοδοσία και τη συμμόρφωση.
• Οι αιτούντες δεν είναι αξιόπιστοι. πρέπει να πιστοποιήσετε την ταυτότητά τους για να διαπιστώσετε την ταυτότητά τους.
• Οι απαντήσεις των καταναλωτών θα πρέπει να είναι κρυπτογραφημένες για την αποφυγή παραβιάσεων δεδομένων.
• Η διαχείριση των προθεσμιών είναι κρίσιμη για την επιτυχή εκπλήρωση των DSAR.
• Τα δεδομένα που παραδίδονται σε λάθος άτομο μπορεί να είναι καταστροφικά.

Ωστόσο, υπάρχουν τρόποι με τους οποίους μπορείτε να προετοιμάσετε καλύτερα τον οργανισμό σας τα προσωπικά στοιχεία του καταστήματός σας για τις προκλήσεις που συνεπάγεται η ανταπόκριση στα DSAR. Συνιστώνται τα ακόλουθα μέτρα:

• Εφαρμόστε πολιτικές διακυβέρνησης δεδομένων: Οι οργανισμοί με καθιερωμένες πολιτικές διακυβέρνησης δεδομένων είναι σε καλύτερη θέση για να ανταποκριθούν κατάλληλα στα DSAR και να αμυνθούν εάν προσαχθούν ποτέ ενώπιον των ρυθμιστικών αρχών.
• Εφαρμόστε μια απλή διαδικασία DSAR: Δεδομένου ότι ο χρόνος είναι ουσιαστικός όταν απαντάτε σε ένα DSAR, είναι καλή ιδέα να βεβαιωθείτε ότι έχετε μια καθιερωμένη διαδικασία DSAR εκ των προτέρων για να ανταποκρίνεστε στα αιτήματα γρήγορα. Μπορεί να θέλετε να δημιουργήσετε μια τυπική διαδικασία λειτουργίας ή διάγραμμα ροής διεργασιών για να σας βοηθήσει να χειρίζεστε τα αιτήματα διεξοδικά και έγκαιρα, σύμφωνα με τις απαιτήσεις των υφιστάμενων τοπικών κανονισμών, όπως ο GDPR.
• Εκπαιδεύστε το προσωπικό σας: Τα υποκείμενα των δεδομένων μπορούν θεωρητικά να υποβάλουν ένα DSAR κάθε φορά που επικοινωνούν με ένα μέλος της ομάδας σας. Επομένως, πρέπει να βεβαιωθείτε ότι οι υπάλληλοι που καλύπτονται από το χειρισμό αιτημάτων μπορούν να αναγνωρίσουν ένα όταν το δουν και να ξέρουν πώς να ανταποκριθούν.
• Διορίστε έναν ΥΠΔ: Θα πρέπει να διορίσετε κάποιον ή μια ομάδα ειδικών για να αναλάβει την ευθύνη για την ανταπόκριση σε DSAR. Αυτός μπορεί να είναι ο Υπεύθυνος Προστασίας Δεδομένων σας, ο Διευθυντής Προστασίας Προσωπικών Δεδομένων (CPO) ή άλλοι αρμόδιοι υπάλληλοι που είναι εξοικειωμένοι με τις απαιτήσεις συμμόρφωσης.

Συχνές ερωτήσεις DSAR

Τι είναι ένα DSAR σύμφωνα με το GDPR;

Ο Γενικός Κανονισμός για την Προστασία Δεδομένων (GDPR) περιλαμβάνει μια απαίτηση σύμφωνα με την οποία οι κάτοχοι πληροφοριών πρέπει να επιτρέπουν στα υποκείμενα αυτών των αρχείων να λαμβάνουν μια αναφορά των πληροφοριών που διατηρούνται για αυτά. Το άτομο με το οποίο σχετίζονται τα δεδομένα ονομάζεται «υποκείμενο δεδομένων» και η απαίτηση για λεπτομέρειες ονομάζεται αίτημα πρόσβασης, επομένως, μια έρευνα για λεπτομέρειες από ένα άτομο για να ανακαλύψει τις προσωπικές πληροφορίες που διατηρούνται σχετικά με αυτό ονομάζεται αίτημα πρόσβασης υποκειμένου δεδομένων. DSAR).

Τι πρέπει να περιλαμβάνεται σε ένα αίτημα DSAR;

Η απάντηση σε ένα αίτημα DSAR πρέπει να περιλαμβάνει έναν αριθμό πεδίων. Πολλές εταιρείες εκπληρώνουν τα αιτήματα με ένα πρότυπο που μπορεί να συμπληρωθεί αυτόματα από αποθηκευμένα δεδομένα. Εάν η εταιρεία διατηρεί πολλά αρχεία για ένα συγκεκριμένο άτομο, είναι υποχρεωμένη μόνο να παράσχει τις λεπτομέρειες του ζητούμενου πλαισίου.

Εκτός από τα ίδια τα δεδομένα, η εταιρεία υποχρεούται να παρέχει πληροφορίες σχετικά με τον τρόπο διατήρησης και χρήσης αυτών των πληροφοριών. Ακολουθεί μια λίστα με τους παράγοντες για τους οποίους ένα άτομο μπορεί να ζητήσει πληροφορίες σχετικά με:

• Προσωπικές πληροφορίες
• Επιβεβαίωση ότι επεξεργάζεστε τα προσωπικά τους δεδομένα
• Η νομική βάση για την επεξεργασία των δεδομένων
• Η περίοδος για την οποία θα αποθηκεύσετε τα δεδομένα τους
• Πληροφορίες σχετικά με τον τρόπο λήψης των δεδομένων
• Πληροφορίες σχετικά με την αυτοματοποιημένη λήψη αποφάσεων και τη δημιουργία προφίλ
• Τα στοιχεία των τρίτων με τα οποία μοιράζεστε τις πληροφορίες τους

Ποια είναι η διαφορά μεταξύ DSAR και SAR;

Το SAR σημαίνει Αίτημα πρόσβασης στο θέμα και το DSAR σημαίνει αίτημα πρόσβασης ψηφιακού θέματος. Για τα πρότυπα προστασίας δεδομένων, όπως το GDPR, αυτοί οι δύο όροι σημαίνουν ουσιαστικά το ίδιο πράγμα. Ενώ τα DSAR σχετίζονται μόνο με δεδομένα που διατηρούνται σε υπολογιστές, τα πρότυπα προστασίας δεδομένων δεν καλύπτουν εγγραφές που βασίζονται σε χαρτί, επομένως δεν υπάρχει δυνατότητα πρόσβασης εκτός από ένα DSAR. Παρόλο που το SAR είναι μικρότερο από το DSAR, χρησιμοποιείται σπάνια. Το βιομηχανικό πρότυπο είναι η αναφορά στο DSAR κατά τη συζήτηση αιτημάτων για λεπτομέρειες σχετικά με την αποθήκευση και την επεξεργασία προσωπικών δεδομένων.