Datuen gaia ulertzea GDPRren eta Irlandako legearen arabera

Datuen gaien kexak pertsona fisikoen ezegonkortasunaren adierazpen formalak dira, erakunde batek bere datu pertsonalak nola tratatzen dituen jakiteko. Datuak Babesteko Erregelamendu Orokorraren arabera, Europar Batasuneko pertsona guztiek dute eskubidea erreklamazioa aurkezteko dagokion kontrol-agintaritzari, baldin eta datuen babeserako eskubideak urratu direla uste badute. Irlandan, dagokion aginpidea Datuak Babesteko Batzordea da (DPC). Irlandan jarduten duten erakundeentzat, kexa horiek eraginkortasunez kudeatzea ez da lege-betebehar bat, baizik eta konfiantza publikoa eraikitzeko eta mantentzeko giltzarria.

Lege-markoa: GDPR eta Datuen Babeserako Legea 2018

DBEOk zuzenean aplikatzen du Irlandan, 2018ko Datuen Babeserako Legeak osatua, eta horrek zenbait deogazio eta prozedura-xehetasun ematen ditu. DPCk kontrol-agintaritza bati kexatzeko eskubidea ematen die, baldin eta haien datu pertsonalen tratamenduak araudia urratzen duela uste badute. Irlandan, DPC izendatutako kontrol-agintaritza da, kexak ikertzeko, erabakiak emateko eta zigorrak ezartzeko ahalmena duena. 2018ko Datuen Babeserako Legeak erreklamazioak kudeatzeko prozedura-mekanismoak azaltzen ditu, DPCk bere betebeharra barne, arrazoizko aurrerapenaren berri emateko eta erreklamazioak egiteko epearen barruan egiteko.

DBEOren 57. artikuluak kontrol-agintariei eskatzen die datu-gaiek egindako kexak kudeatzeko, gaia behar den neurrian ikertzeko eta eskatzaileari aurrerapen eta emaitzaren berri emateko. Horrek erakundeei eskatzen die DPCrekin lankidetzan aritzeko ikerketa-aldian. Oinarri legal hauek ulertzea ezinbestekoa da Irlandako banakoen datu pertsonalak prozesatzen dituen edozein erakunderentzat.

Datuak Babesteko Batzordearen (DPC) eginkizuna

DPC erakunde independentea da, Irlandan banakoen datuak babesteko eskubideak defendatzeaz arduratzen dena. Kexak jasotzen eta ikertzen ditu, bere kabuz nahi dituen kontsultak egiten ditu eta GDPRren mende betetzea behartzen du. DPCk gidak argitaratzen ditu, jokabide-kodeak igortzen ditu eta erabakien erregistro publikoa mantentzen du. Erakundeentzat, DPCrekin harreman eraikitzailea eraikitzeak, kexak modu proaktiboan zuzenduz, indartze-ekintza areagotuen arriskua arindu dezake. DPCk espero du erakundeek barneko kexak egitea, erregulazio-prozedurara iritsi aurretik.

Datu-gai bat DPCra zuzenean kexu denean, DPC-k normalean erakundearekin harremanetan jarriko da, aldez aurretik, formalki ikertu aurretik erantzuna bilatzeko. Horrek aukera ematen die erakundeei gaia zuzenean auzi-hartzailearekin ebazteko, eta, ondorioz, emaitza azkarragoa eta merkeagoa lortzen da.

Kexa mota arruntak

Irlandan, gai ugariren inguruko kexak daude.

  • ]Azpi-sarbide-eskaerak: Atzerapenak edo hutsegiteak datu pertsonalen kopiak ematean edo gehiegizko tasak kobratzean, kexa arruntenak dira.
  • ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇
  • Datu pertsonalak ez dira zuzenak edo osatugabeak, atzerapen bidegaberik gabe zuzendu behar dira.
  • Interes legitimoan oinarritutako marketin edo prozesamendu zuzenaren inguruko kexak sarri gertatzen dira.
  • Datu-basearen jakinarazpena: gizabanakoak kexatu egin daitezke beren eskubide eta askatasunetarako arrisku handia sortzen duen ez-betetze baten berri eman ez izanaz.
  • Prozesu gehiegi edo bidegabea: beharrezko edo legezko oinarririk gabe prozesatzeari buruzko kexak.

Erreklamazio mota bakoitzak testuinguru-erantzun bat eskatzen du. Adibidez, SAR atzeratu bati buruzko kexa bat berehala ebatzi daiteke eskatutako informazioa emanez eta atzerapena azalduz, gehiegizko tratamenduari buruzko kexak datuen babeserako eraginaren ebaluazioa eta prozedura-aldaketa behar izan ditzake.

Robust Complaint Handling System eraikitzea

Kexak kudeatzeko sistema eraginkorra proaktiboa, gardena eta ongi dokumentatua da. Erakundeek beren prozesuak diseinatu behar dituzte GDPRren lege-betebeharrak betetzeko, eta, era berean, Irlandako DPCren itxaropenak ere aztertu behar dituzte.

Kexa-prozedura erabilerraza diseinatzea

Prozedura erraza izan behar da interesdunek aurkitu eta erabiltzeko. Eman helbide elektroniko, web-inprimaki edo posta-helbide bat datuak babesteko kexen kasuan. Informazio hori erakundearen pribatutasun-oharran, webgunearen orri-oinean eta datu-bilketako edozein puntutan sartu behar da. Prozedurak zehaztu behar du kexatzaileak eman behar duen informazioa, hala nola identitatea, kexaren izaera eta edozein ebidentzia euskarri. Saihestu forma konplexu, eta ezikusi egin arazoei.

Kexa bat jasotzen denean, aitortu 2-3 laneguneko epean. Aitortza horrek salaketa kudeatzen duenaren izena, ebazpenerako aurreikusitako denbora-lerroa eta jarraipena egiteko erreferentzia-zenbakia sartu beharko lituzke. Fase honetan gardentasunak itxaropenak kudeatzen eta DPCra igotzeko aukera murrizten laguntzen du.

Denbora-lerroak eta erantzun-betebeharrak

DBEOren baitan, erakundeek erantzun behar diete datu-gaiei, atzerapenik gabe eta edozein kasutan, hilabete bateko epean, erreklamazio baten testuinguruan, epe bera aplikatuko da azpiko gaia ebazteko, eta ez bakarrik aitortu baino. Hilabete bateko epea bi hilabetera luzatu daiteke, bolumen-eskaera konplexuetarako, baina interesdunari jakinarazi behar zaio hedapena eta arrazoiak hasierako hilabetean. Erakundeek erreklamazio-data, emandako hedapenak eta azken ebazpenaren dataren hasiera-data.

Erakundeak ezin badu hilabete bateko epean erreklamazioa ebatzi, kexatzailearen aurrerakuntza jakinarazi beharko du. Adibidez, "Zure gaira sartzeko eskaeran oso datu-bolumen handia aztertzen ari gara, bi aste barru azterketa hau burutzea espero dugu". Gardentasunak tentsioa zabaltzen du eta kexua erakusten du gaia serioski hartzen ari dela.

Ikerketa eta dokumentazioa

Kexa bakoitzak ikerketa egituratu bat eragin beharko luke. Kexarekin lotutako izapide-jarduera guztiak identifikatu, erregistro garrantzitsuak bildu eta elkarrizketa-langileak bildu. Adibidez, gehiegizko marketin-mezu elektronikoen kexak baimen-erregistroak, aukera-mekanismoak eta posta elektronikoko ezarpenak berrikusi beharko lituzke. Ikerketak zehaztu beharko luke GDPRren ez-betetze bat gertatu den ala ez eta, hala bada, erro-kausaina.

Urrats bakoitzean dokumentua: kexa jaso zeneko data, esleitutako pertsona, emaitzak, hartutako zuzenketak eta azken erantzuna eskatzaileari bidali zitzaiona. Dokumentazio hau kritikoa da gero kexa DPCra igotzen bada, betetzeko ahalegin ona erakusten duelako. Prozesuak hobetzeko ikaskuntza-baliabide gisa ere balio du.

Kasu bakoitza hasieratik amaieraraino jarraitzen duen kexa zentralizatua gorde. Erregistroak kexa mota, datuen subjektuaren identitatea (barneko pribatutasunerako baimenduta), ebazpen-data eta hartutako edozein ekintza sartu beharko lituzke. Erregistro hau aldizka aztertu, gai sistemikoak adieraz ditzaketen ereduak identifikatzeko.

Betetzeko eta etengabe hobetzeko jardunbiderik onenak

Kexak ez dira jarduera bakar bat, erakunde baten datuen babeserako gobernu orokorraren parte da. Kexaren datuak betetzean, etorkizuneko arazoak saihesten laguntzen du eta erakundeko egoera hobetzen du.

Langileen prestakuntza eta kontzientzia

Datu pertsonalak kudeatzen dituzten langile guztiak datuen babeserako printzipioetan, erakundearen kexa-prozeduran eta kexa posibleak nola ezagutu behar dira. Prestakuntza urtero freskatu behar da, gutxienez, eta datuak babesteko legeetan aldaketa esanguratsuak gertatzen direnean. Datuak babesteko ofizialen (DPO) rol-espezializazioa, bezeroarentzako arreta-taldeak eta ITko langileak gomendagarriak dira. Adibidez, bezeroaren arreta-ordezkariek jakin beharko lukete nola igo erreklamazio bat DPOra atzerapenik gabe.

Langileek ere ulertu behar dute kexak hobetzeko aukerak direla, ez hutsegiteak. Kultura bat sustatzea, langileek datuak babesteko gai posibleak berehala markatzen dituzten bitartean kexak igotzeko arriskua murrizten duena. Prestakuntzan zehar izandako kexa simulatuak langileak erantzun egokiak egiten lagun dezake.

Gardentasuna eta komunikazioa

Erakundeek pribatutasun-ohar argiak eduki behar dituzte, datu-gaiek beren eskubideak nola erabili eta kexaka dezaketen azaltzeko. DPCk gardentasunean duen orientazioari buruz] azpimarratzen du pribatutasun-oharrak erraz eta erraz egin daitezkeela hizkuntza arruntean idatzita. Erreklamazio bat jasotzen bada, etengabe eguneratzen da, ikerketa aurrera egiten ari dela esaten bada ere. Erakunde isil batek askotan goratzea eragiten du.

Erabaki bat jakinarazteko, zehaztu. Kexak onartzen badira, azaldu zein ekintza zuzen hartuko diren. Ez bada onartzen, azaldu zergatik, dagozkion legezko xedapenak aipatuz. Eman kexatzaileari arazoa DPCri erreferentzia egiteko eskubideari buruzko informazioa, emaitzarekin pozik ez badaude.

Datu-babesaren eraginaren ebaluazioak

Tratamendu-jarduera jakin bati buruzko kexak errepikatzeak adieraz dezake Datuen Babeserako Eraginaren Ebaluazioa behar dela edo lehendik dagoen DPIA eguneratu behar dela. Adibidez, bezeroen fidelizazio-programa bateko datu-bilketa gehiegizkoa dela eta hainbat kexa sortzen badira, erakundeak atzera bota beharko lituzke prozesu horren beharrezkotasuna eta proportzioa. DPIA bat egiteak arriskuak eta arintasunak identifikatu ditzake, etorkizuneko kexak gutxituz.

DPIA-ri buruzko gidalerroek (FLT:1) erreklamazio-datuak arrisku-ebaluaziorako sarrera gisa hartzen dituen esparrua ematen dute. Irlandako erakundeek erreklamazio-ereduak sartu beharko lituzkete DPIA-ren berrikuspen zikloetan.

Kexak ikastea

Kexa-datuak etengabeko hobekuntzarako adimen-iturri gisa tratatu. Aztertu joerak hiruhilekoan: SARen kexak handitzen ari dira? Zuzenketa-eskaerak etengabe gaizki kudeatuta daude? Erabili aurkikuntzak prozedurak eguneratzeko, langileak berrabiatzeko edo pribatutasun-oharrak berrikusteko. Adibidez, gehiegizko marketin-mezu elektronikoei buruzko kexak sarri agertzen badira, berrikusi baimen-mekanismoak eta ezeztapen-prozesuak. Sistema bikoitzeko bat ezartzeak kexa horiek murriztu ditzake.

Kontuan izan kexa anonimoak barne-lanetan (edo datuen babeserako betearazpen-txosten batean) argitaratzen direla, erakundeak kexak serio hartzen dituela eta horietan jarduten duela frogatzeko.

Ez-konpliantzia eta DPCrekin duen konpromisoaren ondorioak

Datuen gaien kexak eraginkortasunez ez betetzeak ondorio larriak ekar ditzake, bai legezkoak bai izen handikoak. DPCk eskubidea du neurri zuzentzaileak igortzeko, errepresaliak barne, datuen gai-eskaerak betetzeko, aldi baterako edo behin betiko izapideak egiteko debekuak betetzeko, eta administrazio-finazioak 20 milioi € edo urteko fakturazioaren %4raino.

Zigor eta kalte erreputatibo potentzialak

Zigor ekonomikoetatik haratago, DPCk bere web orrian argitaratzen ditu bere erabakiak, eta horrek publizitate negatiboa sor dezake. DPCren ikerketa zail batek ikerketa luzeak, kostu legalak eta bezeroaren konfiantza galtzea eragin ditzake. Adibidez, DPCren ikerketa atzeratuak teknologia-enpresa nagusiei buruz. erakusten du nola konpondu gabeko edo gaizki kudeatutako kexak betearazpen-ekintza handiak eragin ditzakeen. Tamaina guztietako antolakuntzak aztertu egin behar dira; DPCren milaka kudeaketak eta enpresa txiki eta ertainen aurka.

Kalte handiak eragin ditzake Irlandan, non datuen babesari buruzko kontzientzia handia dagoen kontsumitzaileen artean. Gaizki kudeatzen den kexa batek bezero potentzialak honda ditzake eta negozio-harremanak kaltetu. Aitzitik, kexak kudeatzeko prozesu sendo bat frogatzea lehiakideen arteko ezberdintasun bat izan daiteke.

DPCk nola ikertzen dituen erreklamazioak

Datu-gai batek DPCri zuzenean kexa bat jartzen dionean, DPCk lehenik eta behin ebaluatuko du erreklamazioa onargarri den ala ez. Onartuz gero, DPCk antolakuntzarekin harremanetan jarriko da eta erantzun bat eskatuko du 21 eguneko epean. Erakundeak egitateen azalpen argia eman beharko du, kexa ebazteko hartutako urratsak eta dagokion dokumentazioa. DPCk erabaki beharko du ea beste ekintza bat egin behar duen, ebazpen informala, ikerketa formala edo bere kabuz egindako ikerketa.

DPCrekin lankidetzan aritzeko prozesuak ondo dokumentatutako kexak kudeatzeko eta erregistroak dituzten erakundeek ebazpen azkarragoak lortzen dituzte sarri. DPCk espero du erakundeak proaktiboak izatea; erakunde batek salaketa ebatzi eta ahalegin hori dokumentatu badu, DPCk kasua itxi edo emaitza ez hain larriago bat eman dezake. DPCren kexa orria aztertzen du, norbanakoaren ikuspegitik, eta erakundeek ulertzen dute zer esperientzia duten kexatzaileei buruz.

Ondorioa:

Datuen gaien kexak eraginkortasunez kudeatzea oinarrizko baldintza da DBEOren eta Datuak Babesteko 2018 Legearen arabera, Irlandan jarduten duten erakundeentzat. Erreklamazio-prozedura argi, eskuragarri eta puntuala ezarriz, sakon ikertuz eta urrats bakoitza dokumentatuz, erakundeek barneko mailan kexa gehienak ebatzi ditzakete eta DPCri eskalatzea saihestu.

Praktikarik onenak, hala nola langile erregularren prestakuntza, komunikazio gardena eta etengabeko hobekuntza, kexa-datuetan oinarrituta, ez bakarrik betetzea bermatzen, baita konfiantza publikoa indartzen ere. Erreklamazioak ez dira soilik arauzko oztopoak, eta atzeraelikadura-mekanismo baliotsuak dira, datuak prozesatzeko praktiken hutsuneak agerian uzten dituztenak. Ikuspegi hori hartzen duten erakundeek kexak aukera bihur ditzakete, bai eta datuen hobekuntza operatiboa eta bai gobernantza indartsuagoa ere.

DPC gero eta aktiboago dagoen arau-ingurune batean, eta gizabanakoek beren eskubideak hobeto ezagutzen dituztenean, kexa-erakuspen proaktiboa abantaila estrategikoa da. Kexu-kultura errespetuzko eta eraginkorra eraikitzeko inbertitzen duten erakundeek hobeto hornituko dira datuak babesteko lege irlandarraren konplexutasunean nabigatzeko, beren bezeroen eta publikoaren konfiantza mantenduz.