Table of Contents

Розуміння запитів щодо видалення даних під час GDPR в Ірландії

Запити щодо видалення даних утворюються у вигляді стразу Регламенту Загального регламенту захисту даних (GDPR) і формально відомі як право викорінення або «право бути забутим». Для ірландських організацій, обробка цих запитів правильно не означає правове зобов’язання за Законом про захист даних GDPR та Ірландського Закону про захист даних 2018 року, є критичним компонентом побудови та підтримки довіри з клієнтами, співробітниками та іншими суб’єктами даних.

Право на видалення окреслено у статті 17 GDPR. Вона надає можливість особам, які вимагають, щоб організація видали свої персональні дані без зайвих затримок. Однак це право не є абсолютним і має бути збалансованим проти інших юридичних зобов'язань, таких як вимоги до утримання під податковим законом, трудового законодавства або антигроші, що відмиваються правила. Ірландські організації повинні уважно орієнтуватися на ці вимоги, що стосуються дотримання законних вимог, що забезпечують дотримання правових вимог при збереженні даних, де необхідно для дотримання або захисту правових вимог.

Коли права на заставу?

Право на отримання персональних даних, що стержняються, застосовується в декількох конкретних обставинах. Організація повинна визнати дійсний запит, коли будь-які з наступних умов будуть відповідати:

  • Персональні дані не потрібні для того, щоб він був спочатку зібраний або оброблений.
  • Універсал виводить згоду на яку ґрунтується обробка, а інший правовий майданчик для обробки.
  • Окрема об'єкти для обробки] за ст. 21(1) (обробка на основі законних інтересів або публічного інтересу) і не переймаються законних підстав.
  • Персональні дані були незаконно оброблені (наприклад, зібрані без чинного законодавства).
  • Поповнення з юридичним зобов'язанням] в державному праві ЄС або члена вимагає видалення.
  • Студентські дані зібрані з дитини (до 16 років в Ірландії) щодо надання послуг інформаційного суспільства (наприклад, соціальних медіа) за ст. 8.

Виняток, де не буде продано

У деяких випадках, якщо Ви не хочете, щоб забезпечити право на порушення законодавства, а також не вводити в дію.

  • Виконувати право свободи слова та інформації.
  • Відповідає юридичним зобов’язанням (наприклад, збереження записів про заробітну плату за сім років вимогам до комісійних винагород Ірландію).
  • Виконання завдання, здійсненого в публічному інтересі або в процесі здійснення службового органу.
  • Мета роботи у суспільному інтересі, науковій або історичній науковій діяльності, або статистичні цілі, де епохуція буде серйозно погіршувати досягнення цих цілей.
  • Створення, здійснення або захист юридичних претензій.

Ірландські організації повинні документувати причини відмови від видалення даних та повідомити суб'єкт даних про відмову, причини та їх право скаржитися на Комісія з захисту даних (ДПЦ) протягом одного місяця отримання запиту. Незалежний контроль за ДГНК, незалежний контроль Ірландії, встановлює стандарт відповідності та може накладати значні штрафи за неправомірні запити.

Процес управління запитами щодо видалення даних в Ірландії

Створення надійного, багаторазового робочого процесу для обробки запитів видалення даних зменшує ризик та оперативне злиття. Нижче наведено розширений покроковий посібник, який пошитий ірландським регуляторним контекстом.

1. Отримати і увійти запит

Будь-який кідний зв'язок з даними, що вимагає видалення, слід розглядати як формальний запит. Це включає в себе електронні листи, поштові листи, дієслові запити або онлайн форми. Організація повинні увійти кожен запит негайно в централізованому реєстрі, який записує дату, отриману, особистість запиту (приклад до перевірки), і конкретні дані, які хочуть скидати. розумний п'яти-денний початковий період затримання встановлює позитивний тон.

Важливо відрізнити запит видалення з запиту на виправлення, обмеження обробки або перенесення. Якщо намір індивіда незнімний, зв'яжіться з ними в рамках того ж, що не зважується, щоб уточнити обсяг їх запиту за статтею 12 GDPR.

2. Перевірити ідентифікацію запиту

Перед тим як приступити до будь-якого видалення даних, необхідно підтвердити, що запитувач є, хто стверджує, що він повинен бути. Під керівництвом GDPR та Ірландської політики ви можете запросити додаткову інформацію, щоб підтвердити ідентичність, але не потрібно зайвих сум даних. До простих заходів відносяться:

  • Покупка для копіювання державного ідентифікаційного документа (транспорту або водіння) з неоцінними деталями, що перевизнаються.
  • Відправка повірки електронної пошти або SMS-коду на зареєстровану контактну адресу.
  • Перевірка через двофакторну автентифікацію, якщо користувач має обліковий запис з вашим сервісом.

Important: Якщо запит здійснюється від імені іншої особи (наприклад, батьківського або юридичного опікунського), запит докази органу особи, який має право діяти. Ірландське право вимагає суворого поводження з сторонніми запитами, щоб запобігти несанкціонованому видаленню.

Якщо ви не змогли перевірити особу, ви маєте право відмовити у задоволенні вимог, але ви повинні повідомити запитувача оперативно і пояснити, яку інформацію, яку необхідно надати повторному підзвіту.

3. Сприяє спадковості та нагляду запиту

Після підтвердження особи, чи замовляється запит на одну з умов статті 17 (див. раніше розділ). Розглянемо такі фактори:

  • Правова основа: На яких підставах були дані спочатку оброблені? Якщо вона спирається на згоду, яка була вилучена, видалення обов'язково, якщо виняток застосовно.
  • Потенційні зобов’язання: У Ірландії Ревенсери вимагають роботодавців для збереження певних записів (наприклад, P60s, P45s, записів про оплату) протягом семи років. Аналогічно, Статут Лімітацій 1957 (як змінено) може вимагати збереження контракту або даних, пов’язаних із заявою протягом шести років.
  • Вітал інтереси: Якщо обробка необхідна для захисту життєвих інтересів суб'єкта даних або іншої особи, видалення може бути захований.
  • Публічне здоров’я або безпека: Організація в галузі охорони здоров’я або соціального догляду може знадобитися зберігати дані для цілей громадського здоров’я, в рамках яких є ірландці.

Документація ваших результатів оцінки та правової бази для вашого рішення. Якщо запит є складним (наприклад, передбачає декілька систем, резервних копій, або сторонніх процесорів даних), зверніть увагу, що часовий ряд для відповіді (один місяць) може бути продовжений до двох додаткових місяців за статтею 12(3), надана вами інформація про особу протягом першого місяця, включаючи причини затримки.

4. Знайдіть всі інстанції даних індивіда

Цей крок часто є найбільш складним для ірландських організацій, особливо тих, хто з фрагментованими ІТ-системами, баз даних про спадщину, паперових файлів або великих сторонніх процесорів даних. Повне використання даних є важливим. Видалення даних не є ефективним, якщо копії залишаються в архівованих резервних копії, CRM-системи, поштових серверах, хмарних сховищах або співробітників електронних таблиць.

Практичні поради щодо всебічного відкриття даних:

  • Пошук по всіх базах даних, складах даних та озер даних.
  • Перевірити архіви електронної пошти (наприклад, Exchange або Office 365).
  • Перегляд журналів та метаданих.
  • Зв'язатися з сторонніми процесорами (наприклад, SaaS-провайдерами, HR-платформами, маркетинговими інструментами) та підтвердженням запиту, що вони будуть видаляти дані відповідно до договору обробки даних (DPA). Під час обробки даних, процесори повинні допомогти контролеру виконати зобов'язання щодо усунення несправностей.
  • Пам'ятайте, що резервні дані можуть бути відновлені, змінені, і знову резервні копії, або в деяких випадках резервні копії повинні бути перезаписані під час його природного циклу обертання. Якщо видалення з резервних копій технічно нездійсненний (наприклад, гарячі резервні копії), ви можете обмежити подальшу обробку цих резервних копій до наступного запланованого перезапису, за умови, що ви документуєте це і повідомляєте суб'єкта даних.

5. Надійно видаляти дані

Після того, як ви встановили всі екземпляри, використовуйте дані таким чином, що запобігає реконструкцію. Комісія з питань захисту даних Ірландська рекомендує методи видалення повинні бути пропорційні ризику та чутливості даних.

  • Digital data: Використовуйте інструменти для безпечного видалення, які перезаписують файли з випадкових шаблонів (наприклад, методи додання жорсткого диска). Для хмарних даних, переконайтеся, що провайдер підтверджує видалення з усіх резервних копій.
  • Фізіальні дані: У статті записуються подрібнені та виводяться завіреними службами знищення. Забезпечити сертифікат знищення для слухових причепів.
  • Test/development середовищ: Забезпечити, що копії даних існують в тесті або ст старінні системи.

Де видалення не можливо через технічні обмеження (наприклад, в незмінних резервних копіях), ви повинні замість обмеження обробки, поки дані перезаписуються природним чином. Це обмеження повинно бути повідомлено суб'єкта даних.

6. Повідомте запитувача та документування

Після видалення, надсилайте підтвердження суб’єкта даних в межах строку дії (зазвичай через місяць). До підтвердження необхідно включити:

  • Які дані були видалені (загальна характеристика).
  • Де було видалено з (систем, відділів).
  • Будь-які дані, які не можуть бути видалені та законні підстави для збереження.
  • Інформація про право на вирішення питань захисту даних, якщо вони незадоволені.

Додайте детальний запис всього процесу. Цей запис повинен містити:

  • Оригінальні деталі перевірки та ідентифікації.
  • Оцінка нот і рішень.
  • Журнали відкриття та видалення даних.
  • Корреспонденти з запитувачем та будь-яким стороннім процесорам.
  • Дата завершення.

Ці записи повинні зберігатися в безпеці і зберігати принаймні до тих пір, поки не буде потенційний період скарги (по-перше, до двох років від завершення запиту). Згідно з цим, DPC може вимагати їх під час розслідування.

7. Огляд, Аудит та вдосконалення

Обробка запиту видалення даних не є закінченням процесу. Організація повинна періодично виконувати перевірки практики управління даними, включаючи зразок запиту видалення. Розглянемо ці пункти огляду:

  • Чи не викривали всі системи? Чи залишаєте на одній системі дані копії в іншому?
  • Час відповідей протягом місяця (або розширено)
  • Чи можна виставити будь-які візерунки неповності?
  • Чи можна записати дані з змінами законодавства про зберігання даних до дати з Ірландською мовою?

Використовуйте інсайти з перевірок для відновлення вашої карти даних та видалення SOPs. Постійне вдосконалення знижує ризик невідповідності та побудови дружньої культури.

Ірландсько-Спецальний правовий пейзаж та роль Комісії з захисту даних

У Ірландії є право на те, що організації повинні відповідати не тільки з ГП, але й з Актом захисту даних 2018 року, яка переносить певні положення GDPR та вводить додаткові національні дерогментації. Закон про захист даних 2018 року, наприклад, вказує на виключення для обробки для журналістики, академічних, літературних або художніх цілей. Також вона визначає обробку персональних даних для «особистісних або побутових цілей».

Комісія з захисту даних (ДПЦ) є лідером для більшості випадків, що переходять на міжнародні стандарти GDPR в рамках ЄС (за умови розташування багатьох технологічних багатонаціональних місць в Ірландії). Як такі, ірландські організації всіх розмірів повинні бути в курсі виконання ДПК. ДГНК видала суттєві штрафи за порушення, пов’язані з правом викорінення, включаючи випадки, коли організації не вдалося адекватно видаляти дані або не вдалося обробляти запити в межах кінцевого терміну.

Key Irish регламенти, які впливають на збереження даних та видалення даних:

  • Ревеню Уповноважених: Записи, що стосуються податку та ПДВ, повинні бути збережені протягом шести років з кінця податкового року. Це включає дані про заробітну плату, рахунки та надходження.
  • Законодавство: Умови зайнятості (Інформаційно-інформаційні) Акти та Організація Акту робочого часу вимагають збереження певних записів співробітників (наприклад, робочих годин, слизок заробітної плати) щонайменше трьох років.
  • Статистика Лімітацій 1957: Договірні претензії мають шість-річний термін обмеження. Для багатьох організацій, що зберігають дані для потенційного судового захисту є дієвим законним підставою для відмови від викорінення цього періоду.
  • Анти-гроші, що відмивають та протитерористичних фондів: Кримінальне право (порушення та фінансування терористів) Акти 2010-2021 вимагають відмітки суб’єктів для збереження даних ідентифікації клієнтів та транзакцій протягом п’яти років після завершення бізнес-з’єднання або завершення операції.

Ці зобов’язання створюють дотримання тягару: організація може мати зберігати деякі дані з юридичних причин, коли вони стирають інших для того ж індивіда. Це підкреслює необхідність системи класифікації гранульованих даних та чітких графіків зберігання.

Практичні поради для ірландських організацій (Кращі практики)

Впровадження сильного управління даними є найефективнішим способом обробки запитів від видалення. Нижче наведено ефективні кращі практики, що ґрунтуються на керівництва DPC.

Створення прозорих, письмових поліцій

Розробити Політику прав на предмет даних, яка включає в себе конкретну розділ про право на видалення. Ця політика повинна детально описати процес, відповідальні члени персоналу, процедури зарахування, а також як запити від неповнолітніх. Забезпечити політику схвалено керівництвом старшого керівництва і щорічно переглядати.

Поїзд Все Відступний персонал

Запити щодо видалення даних можуть бути використані через будь-який канал, який знаходиться на сайті, не тільки офіцер з захисту даних (DPO). Співробітники з пошуку, команди з продажу та агенти з підтримки клієнтів повинні бути навчені, щоб визнати запит щодо видалення та негайно його засвідчувати. Щорічне навчання з питань захисту від GDPR повинно включати приклади та імітації.

Впровадження журналу видалення даних

Використовуйте захищений, аудитований журнал (докладно виділений модуль у програмному забезпеченні конфіденційності) для відстеження кожного запиту від отримання до закриття. До основних напрямків відносяться:

  • Запит на довідку
  • Дата отриманого та незрівняного збору
  • Метод перевірки ідентичності
  • Відкриті місця
  • Спосіб видалення наноситься
  • Будь-які дані, що зберігаються та правові основи
  • Дата завершення
  • Будь-які скарги або реферали DPC

Використовуйте технології для автоматизації Discovery

Настанова відкриття даних є помилково-проне. Інвест у інструменти виявлення даних, які індексують структуровані та неструктуровані дані по мережевих приводах, серверах електронної пошти та хмарних додатках. Ці інструменти можуть автоматично знаходити особисті ідентифікатори (ім'я, електронна пошта, PPS номер), щоб видалення запитів можна виконати швидше і більш ретельно.

Партнер з сторонніми технологічними процесами

Угоди з постачальниками даних повинні включати чіткі зобов'язання щодо надання допомоги у вирішенні запитів. Забезпечити процес управління постачальником включає в себе щоквартальні перевірки, які процесори можуть відповідати вашим видаленням SLAs. Для хмарних сервісів використовуйте свої вбудовані інструменти (наприклад, AWS S3 об'єкт видалення, Microsoft 365 комплаєнс хірург) і перевірте журнали.

Забезпечити розширювальну інформацію на вашому сайті

Зробіть це легко для суб'єктів даних, щоб подати запит щодо видалення шляхом публікації спеціальної форми або електронної адреси (наприклад, захист даних@yourcompany.ie). За статтею 12, необхідно надати інформацію про дії, прийняті на запит «без затримки та в будь-якому випадку протягом місяця отримання». Здійснивши процес на сторінці політики конфіденційності, зменшує плутанини та уникає зайвих затримок.

Загальні Питви та Як уникнути

Навіть при твердому процесі організації часто струнають. Вивчіть з цих часових помилок.

1. Виключення для визначення запиту Якщо клієнт каже: «Видалити мене з вашої системи», яка є дійсним запитом про видалення. Не лікуйте його як простий закриття облікового запису або відхиляння. Поїздовий персонал, щоб закріпити будь-яку неоднорідну мову.

2. Виявлення відповіді]. За місяць починається з моменту отримання запиту, не коли ви перевіряєте ідентичність. Якщо вам потрібна перевірка особи, повідомте запитувача і проповідіте годинник тільки після запиту додаткової інформації. DPC очікується оперативна дія.

3. Забудовуючи про резервні копії та архіви Багато організацій вилучають живі бази даних, залишаючи архівовані листи або резервні копії стрічки, які передаються. Це призводить до помилкового почуття відповідності. Як зазначив раніше, керівництво резервного копіювання повинно бути частиною процесу.

4. Використовуємо тирси без обґрунтування ] Якщо ви відмовтеся, надайте детальне пояснення, що посилює конкретне звільнення і повідомляють суб'єкт даних, що їх права скаржитися на DPC. Генетичні відмови, такі як «ми зберігаємо всі дані з юридичних причин», ймовірно, будуть завдані.

5. Прогнозування від колишніх співробітників] Ex-employees є ще суб'єктами даних. Вони можуть вимагати видалення своїх особистих даних з ваших HR-систем, підпорядкованих зобов'язанням затримки. Забезпечити процес охоплює лівки і випускники.

Ресурси для ірландських організацій

Для того, щоб залишатися відповідальними, Ірландські організації повинні регулярно консультуватися з наступними ресурсами:

Висновок

Обробка запитів на видалення даних є ознакою культури захисту від зрілих даних. Для ірландських організацій необхідно балансувати окремі права з зобов'язаннями з правовим утриманням є постійним викликом, але це може бути керований шляхом чітких політик, ретельного навчання, системного відкриття даних та безглуздої документації. З'єднання права на видалення в повсякденні операції, а не лікуючи його як випадковий інцидент, організації знижують нормативний ризик, довірити страху зі своїми зацікавленими сторонами, а також сприяти конфіденційності-респектруванню цифрового середовища в Ірландії.

Почати перевірку поточного процесу на кроки, викладені вище. Якщо ви виявите зазори, створіть план посередництва з своєчасністю та призначте власність. Навколо, що ви вносите сьогодні в управлінні делеційними запитами, правильно сплачуєте дивіденди з дотриманням та репутацією протягом багатьох років.