Skilgreindar beiðnir um að hægt sé að fjarlægja gögn á Írlandi um greiðslu úr höndum GDPR

Gögnaúrfellingun er hornsteinn almenns gagnaverndar reglugerðar (GDPR) og er formlega þekktur sem réttur til tímasetningar eða réttur til að gleyma. Fyrir írsk samtök, er þessi framvinda ekki einungis lagaleg skylda samkvæmt GDPR og Írska gagnaverndinni 2018, það er mikilvægur þáttur í byggingu og viðhaldi trausts hjá viðskiptavinum, starfsmönnum og öðrum gögnum.

Réttur til tímasetningar er gefinn upp í 17. grein GDPR. Það gefur einstaklingum kraft til að biðja um að samtök eyði persónulegum gögnum sínum án þess að það sé nokkuð seint. Hinsvegar er þessi réttur ekki alger og verður að gæta jafnvægis gegn öðrum lagalegum skyldum eins og að draga úr kröfum um að vera í skatti, vinnulög eða viðburðarbréf. Írskar stofnanir verða að rata varlega í þessar samlöguðu kröfur, tryggja að þær virði réttmætar tímasetningar meðan þær geyma gögn þar sem þörf er á meðferðarheldni eða varnarkröfum lögfræðilegra fullyrðinga.

Hvenær er réttinn til að koma í veg fyrir það?

Einstakir ráðherrar hafa rétt til að þurrka út gögn sem þeim er sleppt úr, eiga við í nokkrum sérstökum tilfellum.

  • Persónulegu gögnin eru ekki lengur nauðsynleg í þeim tilgangi að þau hafi upphaflega verið tekin eða unnið úr þeim.
  • "Hætti einstaklingurinn samþykki sem vinnslunni er byggt á, og það er enginn annar löglegur grundvöllur til vinnslu.
  • Einstakir hlutir til að vinna úr í grein 21 (Algjör framsókn byggð á réttmætum áhugamálum eða opinberum áhuga) og það eru engin yfirskrift lögleg tilefni.
  • ] Gögn umPersonal hafa verið unnin með ólöglegum hætti (t.d. safnað án gildandi grunna).
  • Samvinna með lagalegri skyldu í ESB eða aðildarríkjunum krefst tímamarka.
  • gögnum umPersonal hefur verið safnað frá barni (undir 16 á Írlandi) í tengslum við upplýsingaþjónustu (t.d. félagslega fjölmiðla) í grein 8.

Undantekningar þar sem ekki er hægt að vera sannorður

Ef til vill og verða að hafna því í vissum tilvikum að stofnunin sjái til undantekninga, þar á meðal:

  • Að iðka réttinn til tjáningarfrelsis og upplýsinga.
  • Samræmist lagalegum skyldum (t.d. að safna launaskrám í sjö ár eftir kröfur írsku Revenue-stjórnenda).
  • Starfið var framkvæmt í þágu almennings eða í opinberum tilgangi þar sem yfirvöld réðu ríkjum.
  • Það að leggja fram markmið í þágu almennings, vísinda - eða sagnfræðirannsókna eða tölfræðilegan tilgang þar sem tímaskeið gæti dregið verulega úr því að þessi markmið næðu fram að ganga.
  • Stofnsetning, líkamsæfingar eða vörn lagalegra fullyrðinga.

Írsk samtök verða að skrá ástæðurnar fyrir því að þau neita að eyða gögnum og upplýsa gagnaefni um neitun, ástæður og rétt þeirra til að kvarta við gagnaeftirlitið innan mánaðar frá því að þau fá beiðnina. DPC, Írland, óháð stjórnsýslumenn, setur staðal fyrir meðferðarheldni og getur komið á verulegum sektum fyrir rangar beiðnir.

Name

Að staðfesta öflugt og endurteknanlegt verklag til að meðhöndla úrfellingarbeiðnir dregur úr lagalegri áhættu og ringlun. Hér fyrir neðan er útvíkkaður leiðarvísi sem er sniðinn að tengslum írsku stjórnkerfanna.

1. móttaka og skrifa inn beiðnina

Öll trúverðug samskipti frá gagnaviðfangi sem fer fram á tíma ættu að fara fram sem formleg beiðni um. Þetta felur í sér beiðnir um tölvupóst, bréf, munnleg beiðni eða prentform. Samtökin ættu að skrá allar beiðnir strax í miðlægum kassa sem skráir daginn, auðkennisskírteinið (mann til að staðfesta), og þau sérsniðnu gögn sem þau vilja eyða. Sanngjarnt fimm vinnudaga upphafstími setur jákvæðan tón.

Mikilvægt er að greina brottfallsbeiðni frá beiðni um endurvinnslu, takmörkun á vinnslu eða bætur. Ef einstaklingurinn sem vill gera það er ekki ljóst, hafðu þá samband við hann innan sömu viðurkenningar til að útskýra umfang beiðninnar í 12. grein GDPR.

2. Staðfestu auðkenni þess sem biður um hjálp.

Áður en gagnataka er framkvæmd verður þú að staðfesta að sá sem leitar eftir upplýsingum sé sá sem hann segist vera. Undir GDPR og í írskum viðmiðunarreglum getur þú beðið um frekari upplýsingar til að staðfesta auðkenni, en þú mátt ekki krefjast of mikilla gagna. Einföld aðferð felur í sér:

  • Beiðni um afrit af auðkenni opinberra aðila (leyfi eða ökuskírteini) með ónauðsynlegum smáatriðum sem hafa verið gerð.
  • Sendi staðfestingu tölvupóst eða SMS kóða til skráðs tengiliðsfangs.
  • Staðfesting með auðkenningu ef notandinn hefur aðgang að þjónustu þinni.

mikilvægt: [3] Ef beiðnin er gerð fyrir hönd annars einstaklings (t.d. af forráðamanni eða lögráðamanni), biðja um sönnun fyrir einstaklingsbundna heimild til að framkvæma. Írsk lög krefjast strangrar meðhöndlunar á beiðni um að eyða fóstri á þriðja hlutanum.

Ef þú getur ekki staðfest auðkennið áttu rétt á að hafna úrfellingarbeiðninni, en þú verður að láta þann sem biður vita tafarlaust og útskýra hvaða upplýsingar þeir þurfa að veita til að endurskrifa.

3.

Þegar staðfest hefur verið hvort beiðnin fellur undir eitt af 17. grein (sjá kafla hér að framan).

  • ]]Legal grunnur: Á hvaða forsendum voru gögnin upphaflega unnin? Ef það byggist á samþykki sem hefur verið dregið úr, er nauðsynlegt að tímamörk séu tímakaup nema undantekning eigi við.
  • ábyrgðarskyldur: Á Írlandi, þurfa yfirmenn Revenueforsetar að halda fast við ákveðnar skrár (t.d., P60s, P45s, launaskrám) í sjö ár. Á sama hátt getur verið nauðsynlegt að draga úr samningum eða fullyrða-tengdum gögnum í allt að sex ár.
  • Áhugi [FLT:] Ef vinnslu er nauðsynleg til að vernda mikilvægi þess sem á við eða annan einstakling, má fresta tímatöku.
  • Heilbrigðismál eða öryggi: Samtök í heilbrigðis- eða félagsmálum getur þurft að halda gögnum til heilbrigðisþjónustu, í samræmi við reglur í írsku heilbrigðiskerfi.

Settu fram niðurstöður mats þíns og lagalegan grunn ákvörðunarinnar. Ef beiðnin er flókin (t.d. með fleiri kerfum, varaeiningum eða gagnavinnsluforritum þriðja aðila) skaltu hafa í huga að tími til að svara (einn mánuður) má lengja um allt að tvo mánuði í viðbót í 12. grein (1], svo framarlega sem þú lætur einstaklinginn vita innan fyrsta mánaðar, þar með talið ástæður þess að fresta.

4. Finna allar upplýsingar um einstakar upplýsingar

Þetta er oft erfiðast fyrir írsk samtök, einkum þá sem hafa klofið IT kerfi, arfleifð gagnagrunna, pappírsskrár eða umfangsmiklar gagnavinnslur. Algert gagnakort er nauðsynlegt. Gagnaúrfell er ekki áhrifaríkt ef afrit eru enn í afrituðum varakerfi, CMMM kerfi, póstþjónum, skýjageymslum eða starfsmannadreifiblöðum.

] [Smögulegar ábendingar fyrir ítarlegar upplýsingar:[FLT:]

  • Leita í öllum gagnagrunnum, gagnageymslum og gagnavötnum.
  • Gáðu að póstsafni (t.d. skipti eða á skrifstofu 365 uppsöfnunarstefnu).
  • Endurskoða annála og metagögn.
  • Hafðu samband við þá sem vilja hlut (t.d. SaaS þjónusta, HR vettvang, markaðstæki) og fá staðfestingu á því að þeir muni eyða gögnunum í samræmi við gagnavinnslusamninginn (DPA). Undir 28. grein GDPR-ferlisins verða stjórar að aðstoða við að uppfylla kröfur tímamarka.
  • Muna að það gæti þurft að endurskrifa og breyta afritum og endurraða þeim, eða í sumum tilvikum, til að yfirskrifa þær í náttúrulegu snúningsferli. Ef úrfelling úr afritum er tæknilega óaðgengileg (t.d. afrit), getur þú takmarkað viðbæturnar þar til næsta áskrift er skrifað, svo framarlega sem þú skráir þetta og lætur gögnin vita.

5. Eyða nákvæmlega gögnunum

Þegar öll tilvik hafa verið fundin skal þurrka út gögnin með þeim hætti að það kemur í veg fyrir endurbyggingu. Írska gagnaverndarnefndin ráðleggur að úrfellingaraðferðir skuli vera í hlutfalli við áhættu og næmi gagna.

  • [3] Digital upplýsingar:[3.%] Nota öruggar úrklipputól sem skrifa yfir skrár með slembisniði (t.d. DoD samhæfðar aðferðir fyrir harða drifin). Fyrir skýjagögn, tryggir að þjónustan staðfestir úrfellingu úr öllum afritum af rauðum lit.
  • ] [Fjölfræðigögn:] Láttu skrá skrár tættar og farga með lögskráðri gereyðingarþjónustu. Halda skírteini um eyðileggingu fyrir endurskoðunarslóðir.
  • ]Test/ þróunarumhverfi: [3. LT:1] tryggja að engin afrit af gögnum séu til í prófunum eða stigunarkerfum.

Þar sem ekki er hægt að eyða lyfinu vegna tæknilegra takmarkana (t.d. í óstökkkvæmum afritunum) verður þú í stað þess að takmarka vinnsluna þar til gögnin eru yfirskrifuð á náttúrulegan hátt. Þessar takmarkanir skal hafa samband við gagnaefnið.

6 Gefðu gaum að beiðni og skrá hjá þeim sem biður um hjálp.

Eftir úrfellinguna skal senda gagnaþáttinn á innan við lögboðnum tímaramma (venjulega einn mánuður). Staðfestingin skal fela í sér:

  • Upplýsingar um hvernig gögnum hefur verið eytt (almenn lýsing).
  • Ūar sem ūví hefur veriđ eytt úr (kerfis, deildum).
  • Allar upplýsingar sem ekki var hægt að eyða og lagalegar forsendur fyrir uppsöfnun.
  • Upplýsingar um rétt þeirra til að leggja fram kvörtun hjá gagnaverndarnefndinni ef þeir eru óánægðir.

Halda nákvæma skrá yfir allt ferlið. Þessi plata ætti að innihalda:

  • Frumlegar ķskir og upplũsingar um persķnuskilríki.
  • Matspunktar og ákvarđanir.
  • Skýrslur um uppgötvun og úrfellingu gagna.
  • Virđing viđ kröfđunarmanninn og alla ūriđja ađila.
  • Dagsetning fullkomnunar.

Þessar skrár verður að geyma örugga og geyma að minnsta kosti svo lengi sem hugsanleg kvörtunartími (venjulega allt að tvö ár frá því að beiðninni lýkur).

7. Upprifjun, heyrn og framfarir

Að meðhöndla úrfellingu gagna er ekki lok ferlisins. Samtökin skulu skipuleggja reglulegt eftirlit með þeim aðferðum sem þeir fara með, þ.m.t. sýni af úrfellum.

  • Var gagnaúrfelling í einu kerfi eftir afrit í öðru?
  • Voru svartímar innan eins mánaðar (eða framlengdra) tímalínu?
  • Voru einhver mynstur vanþroska?
  • Eru gagnasöfnun fram til þessa með breytingum á írskri löggjöf?

Beita innskotssjónum til að hreinsa gagnavörpunar og úrfellingatölu. Stöðugur bati dregur úr hættunni á ósamræmi og byggir upp einkavinamenningu.

Irsk-fokleg lögfræðileg landfræði og hlutverk gagnaverndunarnefndar

Að framkvæma rekstur á Írlandi þýðir að samtök verða ekki aðeins að fylgja GDPR heldur einnig gagnaverndinni 2018 sem flytur ákveðnar GDPR ráðstafanir og kynnir fleiri landsbundnar yfirlýstur. Gagnaverndin 2018 skilgreinir til dæmis þegar undanþágu er krafist af blaðamönnum, bókmenntum, bókmenntum eða listrænum tilgangi. Hún skilgreinir einnig framvinnslu á persónulegum gögnum fyrir Δ persónuupplýsingar eða heimilislífstilgang.

Gögnaverndunarnefndin (DPC) er helsta yfirvald allra stærða fyrir flest tilfelli á milli landa í ESB (vegna staðsetningu margra tækniþjóða á Írlandi). Þar sem fyrirtæki af öllum stærðum ættu í írskum stofnunum að vera meðvituð um forgangsatriði varðandi eftirlit varðandi eftirlit með rannsóknaráætlunar. DPC hefur gefið út verulegar fár aðgerðir vegna mistaka sem tengjast því að tímarnir séu réttir, þar sem samtökum tekst ekki að eyða nægum gögnum eða hafa ekki getað unnið úr beiðnim innan þeirra tímamarka sem sett eru.

Key írskar reglur sem hafa áhrif á gagnasöfnun og úrfellingu:

  • ]Rayue framkvæmdastjórar: [3] Skrár sem tengjast skatti og vatt verður að geyma í sex ár frá lokum skattársins. Þar á meðal eru launaupphæðir, reikningar og kvittanir.
  • [Fræðingarlöggjöf] The Terms of Working Time Act] krefst þess að ákveðnar starfsmannaskrár (t.d. vinnutímar, launafall) séu geymdar í að minnsta kosti þrjú ár.
  • ] \ \ ] \ \ \ t af takmörkunum, 1957: [3] staðhæfingar um samdráttarhæfni hafa sex ára tímabil. Fyrir mörg samtök er innifalið gögn um hugsanlegan málsvörn gegn málamiðlun gildur grundvöllur til að hafna tímamörkum fyrir þann tíma.
  • ] And-money þvættingur og andhryðjuverkafjármögnun: Glæpadómurinn (Money Lauering og Hryðjuverkamaðurinn Findansg) Postulasagan 2010-2021 krefst þess að tilnefndir aðilar haldi auðkennis- og viðskiptaupplýsingum í fimm ár eftir að viðskiptasambandi lýkur eða að viðskiptum er lokið.

Þessar skyldur mynda meðferðarheldniálag: stofnun gæti þurft að geyma gögn fyrir lagalegar ástæður en taka aðra í tíma fyrir sama einstaklinginn. Þetta undirstrikar þörfina fyrir flokkunarkerfi fyrir kyrningagögn og áráætlun fyrir gegnflæðiskerfi.

Hagnýt ráð fyrir írsk samtök (Best Deilings)

Að koma á sterkum stjórnum gagna er áhrifaríkasta leiðin til að bregðast við úrfellingarbeiðnum. Hér fyrir neðan eru bestu aðferðir sem hægt er að framkvæma og byggjast á leiðbeiningum DPC.

Staðfestu skýr, skrifuð stefnuatriði

Þróun gagnastefnu fyrir réttindastefnu sem felur í sér sérstakan hluta af rétti til tímasetningar. Þessi stefna ætti að gera ráðstafanir til að tryggja að þeir sem fara með forystu í starfi, ábyrgir starfsmenn, vaxandi starfshættir og umhveri þeirra sem eru undir lögaldri séu samþykktir af forystu eldri starfsmanna og endurskoða árlega.

Þjálfaðu allt viðeigandi starfsfólk

Gögnaútrýmingarbeiðni getur komið í gegnum alla viðskiptavina-netrás ◯ ekki aðeins gagnaverndandi starfsmann (DPO). Endurröðunarlið, sölulið og stuðningsmenn viðskiptavina skal þjálfa til að bera kennsl á úrfellabeiðni og auka hana strax. Árleg þjálfun á GDPR skal fela í sér tilvikarannsóknir og eftirlíkingar.

@ info: tooltip

Notaðu örugga, endurskoðuða annál (helst sérstæða einingu í einkastjórnunarhugbúnaði þínum) til að fylgjast með hverjum beiðni um að þú viljir loka. Á mikilvægu svæði eru:

  • Beiðniartilvísananúmer
  • Send/ út
  • Auðkennispróf notuð
  • Vista sem
  • Misnotkunaraðferð beitt
  • Öll gögn sem viðhéldu og lagaleg
  • Dagsetning fullklárunar
  • Allar kvartanir eða tilvísanir um DPC

Notaðu tæknina til að finna sjálf (ur)

Handvirk uppgötvun er villulýsing. Innblásin í gagnauppgötvun sem sýnir grunn og óskipulagðar upplýsingar um netdrif, tölvupóstþjóna og skýjaforrit. Þessi tól geta notað sjálfvirka auðkenningu (nafn, tölvupóst, PPS númer) svo hægt sé að framkvæma úrklippubeiðnir hraðar og nákvæmari.

Félagi með þríþættum örgjörva

Í gagnavinnslusamningum þínum við sölumenn ættu að fela í sér skýrar skyldur til að aðstoða við úrfellingarbeiðnir. Gakktu úr skugga um að þeir sem vilja sjá um um stjórnunarferlið séu til staðar til að uppfylla úrklippuleyfin. Til að fá skýjaþjónustuna skaltu nota innbyggð tæki þeirra (t.d. AWS S3 hlutúrfell, Microsoft 365 meðferðarheldnir (e. reachation)) og staðfesta annála.

Veitið nánari leiðbeiningar á vefsvæðinu

Gerðu það auðvelt fyrir gagnaþegi að leggja fram úrfellingarbeiðni með því að gefa út sérstakt form eða tölvupóstfang (t.d. gagnavernd@ þinn eigin sameignarfélag). Í 12. grein verður þú að veita upplýsingar um aðgerðir sem gerðar eru á beiðni um að ekki sé um óþarfa töf á og ef það gerist innan mánaðar frá kvittun.

Algengar tálgryfjur og hvernig á að forðast þær

Jafnvel þótt samtök hrasi með föstu ferli hrasa þau oft.

] 1. Ef þú svarar ekki beiðninni. Ef viðskiptavinur segir ◯ Vinsamlegast fjarlægðu mig úr kerfinu þínu, sem er gild tímaspurn. Ekki meðhöndla það sem einfaldan lokun reiknings eða val-out. Þjálfaðu staf til að fá svar.

2. Seinkun svarsins. Klukkunni er lokið eftir 1 mánaðar klukkuna þegar þú færð beiðnina, ekki þegar þú staðfestir auðkenni. Ef þú þarft auðkennisvottorð, láttu þá vita afgangsmanninn og gefðu aðeins upp klukkuna eftir að þú biður um frekari upplýsingar. DPC væntir þess að þú gerir eitthvað í snatri.

] 3. Gleymdu afritum og afritum. [3.3] Margir stofnanir eyða lifandi gagnagrunnum á meðan þeir skilja afrituð póst - eða varamerki ónothæf. Þetta leiðir til falskrar meðferðarheldni. Eins og fram hefur komið fyrr verður varameðferðin að vera hluti af ferlinu.

4. Endurgjöf án réttlætingar.] Ef þú neitar, færðu ítarlega skýringu á því að undanþegi og upplýstu gagnaþáttinn um rétt sinn til að kvarta yfir DPC. Almennar hafnanir eins og ◯ við höldum öllum gögnum af lagalegum ástæðum, verða líklega véfengdar.

[1]5. Að hunsa beiðni fyrrverandi starfsmanna. Ex-employes eru enn gögn. Þeir geta beðið um úrfellingu á persónulegum gögnum sínum úr mannauðskerfinu þínu, sem er háð því að loka skyldum. Gakktu úr skugga um að ferlið nái til útgöngumanna og Alumni.

Auðlindir fyrir írsk samtök

Til að halda sér innan ramma ættu írsk samtök að leita reglulega upplýsinga í eftirfarandi efnum:

Niðurstaða

Að takast á við kröfur um eyðingu gagna er rétt merki um þroskaða gagnamenningu. Fyrir írsk samtök er nauðsynlegt að hafa jafnvægi á einstaklingsbundnum réttindum og lagalegum skyldum, en það er stöðugt vandamál, en hægt er að ráða við þær með skýrri stefnu, ítarlegri þjálfun, kerfisbundnum uppgötvunum og nákvæmum heimildum. Með því að leggja réttinn á að taka þátt í daglegum aðgerðum í stað þess að meðhöndla þær sem einstakan atvik, draga úr hættu á stjórnsýslu, efla traust með hagsmunaaðilum sínum og stuðla að því að nota sér eigin ábyrgð í stafrænu umhverfi á Írlandi.

Byrjaðu á því að endurskoða núverandi ferli gegn þeim skrefum sem lýst er hér að ofan. Ef þú berð kennsl á bil, skaltu setja upp áætlun um aðlögun með tímamörkum og úthluta eign. Það sem þú leggur á þig í dag til að sjá um úrfellingarbeiðnir munu borga rétt í samræmi við meðferðarheldni og mannorð fyrir árin sem þú ætlar að koma.