Table of Contents

Разбиране на исканията за изтриване на данни съгласно GDPR в Ирландия

Заявките за изтриване на данни представляват крайъгълен камък на Общия регламент за защита на данните (GDPR) и са официално известни като право на невалидност или право на забравяне. . . . . За ирландските организации, обработката на тези искания правилно не е просто правно задължение съгласно Закона за защита на данните GDPR и Ирландския закон за защита на данните 2018, това е критичен компонент на изграждането и поддържането на доверие с клиенти, служители и други субекти на данни.

Правото на изтриване е посочено в член 17 от GDPR. Той дава право на лицата да поискат от организацията да заличи личните си данни без ненужно забавяне. Това право обаче не е абсолютно и трябва да бъде балансирано спрямо други правни задължения като изисквания за запазване съгласно данъчното право, трудовото право или разпоредбите за борба с изпирането на пари. Ирландските организации трябва внимателно да се справят с тези изисквания за взаимодействие, като гарантират, че те спазват законните искания за заличаване, като съхраняват данни, когато това е необходимо за спазване или защита на правни претенции.

Кога се прилага правото на изтриване?

Правото на физическо лице да изтрие личните данни се прилага при няколко конкретни обстоятелства.

  • Основните данни вече не са необходими[ за целта, за която първоначално са събрани или обработени.
  • Поликът оттегля съгласието, на което се основава обработването, и няма друго правно основание за обработването.
  • Индивидуалните обекти на обработка[ съгласно член 21(1) (преработка въз основа на законни интереси или обществен интерес) и няма императивни законни основания.
  • Лични данни са били незаконно обработени (напр. събрани без валидно правно основание).
  • Припазване на правно задължение в правото на ЕС или на държава-членка изисква заличаване.
  • Лични данни са събрани от дете (под 16 в Ирландия) във връзка с услугите на информационното общество (напр. социалните медии) съгласно член 8.

Изключения, при които не може да бъде предоставено изтриване

Организацията в Ирландия може и трябва да откаже заличаване в определени случаи. GDPR предвижда изключения, които включват:

  • Движение на правото на свобода на изразяване и информация.
  • Спазване на правно задължение (напр. запазване на трудовите възнаграждения за седем години от изискванията на ирландските членове на Комисията по приходите).
  • Изпълнението на задача, която се изпълнява в обществен интерес или в упражняването на официални правомощия.
  • Целта на архивирането в обществен интерес, научни или исторически изследвания или статистически цели, при които заличаването би накърнило сериозно постигането на тези цели.
  • Установяване, упражняване или защита на правни искове.

Ирландските организации трябва да документират причините за отказ за изтриване на данни и да информират субекта на данните за отказа, причините и правото си да подават жалби до Комисията за защита на данните (DPC) в срок от един месец от получаването на искането. DPC, Ирландия го прави независим надзорен орган, определя стандарта за съответствие и може да наложи значителни глоби за искания за неправомерно изпълнение.

Стъпка по стъпка процес за управление на заявките за изтриване на данни в Ирландия

По-долу е разширен наръчник стъпка по стъпка, съобразен с ирландския регулаторен контекст.

1. Получаване и въвеждане на заявка

Всяка достоверна комуникация от субект на данни, който иска да бъде отхвърлена, следва да се третира като официална заявка. Това включва искания по електронна поща, пощенски писма, устни искания или онлайн формуляри. Организациите следва да регистрират всяко искане незабавно в централизиран регистър, който записва получената дата, самоличността на искането (подлежи на проверка), както и конкретните данни, които искат да бъдат изтрити.

Важно е да се направи разграничение между искане за заличаване от искане за поправка, ограничаване на обработването или преносимост. Ако намерението на лицето е неясно, свържете се с тях в рамките на същото потвърждение, за да се изясни обхватът на искането им по член 12 от GDPR.

2. Проверете самоличността на жабока

Преди да продължите с отстраняване на данни, трябва да потвърдите, че искащият е този, който твърди, че е. Съгласно GDPR и ирландски насоки, можете да поискате допълнителна информация, за да потвърдите самоличността си, но не трябва да изисквате прекомерно количество данни.

  • Искане за копие на правителствено издаден идентификационен номер (паспорт или свидетелство за управление) с несъществени данни, редактирани.
  • Изпращане на имейл или SMS код за проверка на регистрирания адрес за контакт.
  • Проверка чрез двуфакторна идентификация, ако потребителят има акаунт с вашата услуга.

Вносител: Ако искането се отправя от името на друго лице (например от родител или законен настойник), поискайте доказателство за това, че лицето е упълномощено да действа. Ирландското право изисква строга обработка на исканията на трети лица за предотвратяване на неразрешено заличаване.

Ако не можете да проверите самоличността си, имате право да откажете искането за заличаване, но трябва да уведомите незабавно заявителя и да обясните каква информация трябва да предоставят, за да се върне.

3. Оценка на законността и обхвата на искането

След потвърждаване на самоличността, се преценява дали искането попада в едно от условията на член 17 (вж. по-ранните раздели).

  • Правна основа:[ На какви основания първоначално се обработват данните? Ако се основава на съгласие, което е било оттеглено, заличаването е задължително, освен ако не се прилага изключение.
  • Задължения за задържане:[ В Ирландия членовете на Комисията за приходите изискват от работодателите да запазят определени записи (напр. P60s, P45s, записи на заплатите) в продължение на седем години. По същия начин, Устава на ограниченията 1957 (изменен) може да изисква запазване на данни за договор или претенции за срок до шест години.
  • Витални интереси:[ Ако обработването е необходимо за защита на жизненоважните интереси на субекта на данните или на друго лице, изтриването може да бъде спряно.
  • Обществено здраве или безопасност:[ Организациите в областта на здравеопазването или социалните грижи може да се нуждаят от запазване на данни за целите на общественото здраве в съответствие с ирландските здравни разпоредби.

Документирайте вашите констатации за оценка и правното основание за Вашето решение. Ако искането е сложно (напр. включва множество системи, архивиране или процесори на данни на трета страна), имайте предвид, че срокът за отговор (един месец) може да бъде удължен с до два допълнителни месеца съгласно член 12(3), при условие че информирате лицето в рамките на първия месец, включително причините за забавянето.

4. Разположете всички случаи на данните за отделните лица

Тази стъпка често е най-голямото предизвикателство за ирландските организации, особено тези с фрагментирани ИТ системи, наследени бази данни, хартиени файлове, или обширни процесори на данни на трети страни. Пълното упражнение за картиране на данни е от съществено значение. Изтриването на данни не е ефективно, ако копията остават в архивирани архивирани архиви, CRM системи, имейл сървъри, клауд съхранение, или служители електронни таблици.

Практически съвети за цялостно откриване на данни:

  • Претърсете всички бази данни, складове за данни и езера за данни.
  • Проверете имейл архиви (например, обмен или Office 365 политика за задържане).
  • Преглед на трупи и съхранение на метаданни.
  • Свържете се с трети страни процесори (например доставчици на SaaS, HR платформи, маркетингови инструменти) и поискайте потвърждение, че те ще изтрият данните съгласно Вашето споразумение за обработка на данни (DPA). Съгласно GDPR член 28, обработващите лични данни трябва да подпомагат администратора при изпълнението на задълженията за изтриване.
  • Запомнете, че може да се наложи възстановяване, изменение и повторно възстановяване, или в някои случаи архивирането трябва да бъде презаписано по време на цикъла на естественото въртене. Ако заличаването от архивиране е технически невъзможно (напр. архивиране на ленти), можете да ограничите по-нататъшното обработване на тези архивирани файлове до следващия планиран презапис, при условие че документирате това и уведомите субекта на данните.

5. Безопасно изтриване на данните

След като сте намерили всички случаи, изтрийте данните по начин, който предотвратява възстановяването. Ирландската комисия за защита на данните съветва, че методите за изтриване следва да бъдат пропорционални на риска и чувствителността на данните.

  • Дигитални данни:[ Използвайте сигурни инструменти за изтриване, които презаписват файлове със случайни модели (напр. методи, съответстващи на DOD за твърди дискове). За облачни данни, се гарантира, че доставчикът потвърждава заличаването от всички излишни копия.
  • Физични данни:[ Има хартиени записи настърган и унищожени от сертифицирана служба за унищожаване. Поддържане на сертификат за унищожаване на одитни пътеки.
  • Осредства за изпитване/развитие:[ Уверете се, че в системите за изпитване или постановка не съществуват копия от данните.

Когато заличаването не е възможно поради технически ограничения (напр. при неизменни резервни копия), вместо това трябва да ограничите обработката, докато данните бъдат презаписани по естествен път. Това ограничение следва да бъде съобщено на субекта на данните.

6. Уведоми жабокодателя и документирай резултата

След заличаването, изпратете потвърждение на субекта на данните в рамките на предвидения срок (обикновено един месец). Потвърждението следва да включва:

  • Какви данни е изтрит (общо описание).
  • Когато е била изтрита (системи, отдели).
  • Всички данни, които не могат да бъдат изтрити, и правното основание за съхранение.
  • Информация за правото им да подават жалба до Комисията за защита на данните, ако са недоволни.

Поддържане на подробен запис на целия процес. Този запис трябва да включва:

  • Оригиналните данни за искането и проверката на самоличността.
  • Бележки и решения за оценка.
  • Дневници на действията по откриване и изтриване на данни.
  • Кореспонденция с лицето, което иска да бъде уведомено за него, и с всички обработващи лични данни от трети страни.
  • Дата на завършване.

Тези записи трябва да бъдат съхранявани в тайна и запазени поне докато има потенциален период на подаване на жалба (обикновено до две години от приключването на искането).

7. Преглед, одит и подобряване

Организацията следва да планира периодични одити на своите практики за управление на данни, включително извадка от искания за заличаване. Помислете върху тези точки за преглед:

  • Дали изтриването на данни в една система е оставило копия в друга?
  • Времената за отговор в рамките на едномесечния (или удължения) срок ли бяха?
  • Има ли някакви модели на непълнота?
  • Промени в графика за съхранение на данни към момента с ирландското законодателство?

Използвайте прозренията от одитите, за да усъвършенствате вашите данни, картографиране и изтриване SOPs. Непрекъснатото подобрение намалява риска от неспазване и изгражда благоприятна за неприкосновеността на личния живот култура.

Ирландско-конкретен правен пейзаж и ролята на Комисията за защита на данните

Работейки в Ирландия, организациите трябва да спазват не само Закона за защита на данните, но и Закона за защита на данните 2018, който транспонира някои разпоредби на GDPR и въвежда допълнителни национални дерогации. Законът за защита на данните 2018 например определя кога се прилагат изключения за обработка на журналистически, академични, литературни или художествени цели.

Комисията за защита на данните (DPC) е водещата власт по повечето трансгранични случаи на GDPR в рамките на ЕС (поради местоположението на много технологични мултинационални дружества в Ирландия). Тъй като такива ирландски организации с всички размери следва да бъдат запознати с приоритетите за изпълнение на ДПК. ДПК е издала значителни глоби за неизпълнение на правото на изтриване, включително случаи, при които организациите не са успели адекватно да заличат данните или не са успели да обработват заявки в рамките на предвидените срокове.

Основни ирландски разпоредби, които засягат запазването и заличаването на данни:

  • Позоваващи се членове на Комисията:[ Регистрите, свързани с данъка и ДДС, трябва да бъдат запазени за срок от шест години след края на данъчната година.
  • Законодателството за наемане на работа:[ Условията за работа (информационна) Act Act Act и Организацията на работното време изискват запазване на някои записи на служителите (напр. работни часове, фишове за заплати) в продължение на най-малко три години.
  • Статут на ограничения 1957:[ Договорните искове имат шестмесечен давностен срок.За много организации запазването на данни за потенциална защита на съдебните спорове е валидна законова основа за отказ от заличаване за този период.
  • Анти-платежни и контра-терористични средства: Наказателното правосъдие (парично пране и финансиране на тероризма) Деяния 2010-2021 изискват определени лица да запазят данните за идентифициране и извършване на сделки с клиенти в продължение на пет години след приключване на бизнес отношенията или при приключване на сделката.

Тези задължения създават тежест за спазването: дадена организация може да се наложи да запази някои данни по правни причини, докато изтрива други за едно и също лице. Това подчертава необходимостта от система за класификация на данните с зърнести данни и ясни графици за съхранение.

Практически съвети за ирландските организации (най-добри практики)

Прилагането на силно управление на данните е най-ефективният начин за справяне с искания за изтриване. По-долу са най-добрите практики, които могат да се предприемат, са основани на ръководството на ДПК.

Създаване на ясни, писмени политики

Разработване на политика за правата на субектите на данни, която включва конкретен раздел относно правото на изтриване. Тази политика следва да подробно процеса, отговорните служители, ескалационни процедури, както и начина на работа с искания от непълнолетни.

Всички служители, които са от значение за обучението

Заявките за изтриване на данни могат да влязат през всеки канал, който е насочен към клиенти . . Не може да се случи не само с служителя по защита на данните (DPO). Reception персонал, търговски екипи, и агенти за поддръжка на клиенти трябва да бъдат обучени да признаят искане за изтриване и да го ескалират незабавно.

Изпълнение на дневник за изтриване на данни

Използвайте защитен, одитируем лог (за предпочитане специален модул във вашия софтуер за управление на личните данни), за да проследите всяко искане от получаване до затваряне. Важни полета включват:

  • Референтен номер на искането
  • Дата на получаване и потвърждение, изпратено
  • Използван метод за проверка на самоличността
  • Открити места за данни
  • Прилаган метод за изтриване
  • Всички запазени данни и правно основание
  • Дата на завършване
  • Всякакви оплаквания или препоръки за ДПК

Използване на технология за автоматизиране на Откритие

Ръчно откриване на данни е погрешен-протен. Инвестирайте в инструменти за откриване на данни, които индексират структурирани и неструктурирани данни в мрежовите дискове, сървъри за електронна поща и клауд приложения. Тези инструменти могат да автоматизират намирането на лични идентификатори (име, електронна поща, PPS номер), така че заявките за изтриване могат да бъдат изпълнени по-бързо и по-задълбочено.

Партньор с процесори от трети страни

Вашите споразумения за обработка на данни с продавачите трябва да включват ясни задължения за подпомагане на заявките за изтриване. Уверете се, че процесът на управление на продавача включва тримесечни проверки, че обработващите могат да отговарят на вашите изтрити СЛАС. За облачни услуги използвайте вградените им инструменти (напр., AWS S3 обект изтриване, Microsoft 365 почистване на съответствието) и да проверите трупите.

Предоставяне на изрични инструкции на вашия уебсайт

Улеснете субектите на данни да подават заявки за изтриване чрез публикуване на специален формуляр или имейл адрес (напр., dataprotection@ yourcompany.ie). Съгласно член 12, трябва да предоставите информация за действията, предприети по искане гонене на ненужно забавяне и във всеки случай в рамките на един месец от получаването. . . . Като ясен процес на вашата страница политика за поверителност намалява объркването и избягва ненужни забавяния.

Общите падове и как да ги избягваме

Дори и със солиден процес организациите често се препъват.

1. Неуспешна идентификация на искането. Ако клиентът казва год. го премахнете от системата си, това е валидна заявка за невалидно. Не го третирайте като просто затваряне на сметка или отказ от участие.

2. Забавяне на отговора. Едномесечен часовник започва от момента, в който получите искането, а не когато проверявате самоличността. Ако имате нужда от проверка на самоличността, информирайте за това жабката и паузирайте часовника само след като поискате допълнителна информация. DPC очаква незабавни действия.

3. Забравяйки за архивиране и архиви. Много организации изтриват на живо бази данни, като оставят архивирани имейли или архивни записи недокоснати. Това води до фалшиво чувство за съответствие. Както бе отбелязано по-рано, управлението на архивиране трябва да бъде част от процеса.

4. Отказ от невалидни права без оправдание. Ако откажете, представете подробно обяснение, позоваващо се на конкретното освобождаване и информирайте субекта на данните за правото им да се оплаче на DPC. . . . Отказове като . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

5. Пренебрегването на искането от бивши служители. Бившите служители все още са субекти на данни. Те могат да поискат заличаване на личните им данни от Вашите HR системи, при спазване на задължения за задържане.

Ресурси за ирландски организации

За да останат в съответствие, ирландски организации следва редовно да се консултират със следните ресурси:

Заключение

За ирландските организации необходимостта да се балансират индивидуалните права със задълженията за запазване на закона е постоянно предизвикателство, но то може да се управлява чрез ясни политики, задълбочено обучение, системно откриване на данни и щателна документация. Като се внедрява правото на изтриване в ежедневните операции, вместо да се третира като случайна злополука, организациите намаляват регулаторния риск, насърчават доверието със заинтересованите страни и допринасят за спазване на поверителността на цифровата среда в Ирландия.

Започнете с одит на текущия процес срещу стъпките, посочени по-горе. Ако се идентифицират пропуски, създаване на план за възстановяване с срокове и присвояване на собственост. Усилията, които инвестирате днес в управлението на заявки за заличаване правилно ще плащат дивиденти в съответствие и репутация в продължение на години, които предстои.