Obsługuj żądania dostępu i usunięcia we wszystkich swoich formularzach

Rozdział III RODO przyznaje osobom wypełniającym Twoje formularze szereg praw. Dwa, z którymi będziesz się spotykać najczęściej:

• Dostęp (art. 15). Potwierdzenie, czy przetwarzasz ich dane, kopia tych danych oraz informacje, takie jak cele, odbiorcy i okres przechowywania.
• Usunięcie (art. 17). Usunięcie danych, gdy między innymi nie są już potrzebne, zgoda została wycofana albo osoba wnosi sprzeciw i nie ma nadrzędnej podstawy do ich zachowania. Art. 17 ust. 3 wymienia wyjątki, na przykład dane, które musisz zachować ze względu na obowiązek prawny.

Osoby mogą też żądać sprostowania (art. 16) lub ograniczenia (art. 18), otrzymać przenośną kopię danych, które same przekazały, gdy przetwarzanie opiera się na zgodzie lub umowie (art. 20), oraz wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21), które można wtedy kontynuować tylko z ważnych prawnie uzasadnionych podstaw.

Art. 12 ust. 3 wyznacza termin: odpowiedz bez zbędnej zwłoki i w ciągu miesiąca od otrzymania żądania, który można przedłużyć o kolejne dwa miesiące w przypadku żądań złożonych lub licznych, jeśli w ciągu pierwszego miesiąca poinformujesz o tym osobę. Odpowiedź jest zazwyczaj bezpłatna (art. 12 ust. 5).

Jeśli masz uzasadnione wątpliwości, kto składa żądanie, możesz poprosić o dodatkowe informacje potwierdzające tożsamość (art. 12 ust. 6). W przypadku danych z formularzy proporcjonalnym sprawdzeniem jest często odpowiedź z adresu e-mail widocznego w zgłoszeniach. Unikaj żądania większej ilości danych, na przykład skanu dokumentu tożsamości, niż jest to uzasadnione w danym przypadku. Szczegółowo kwestie weryfikacji tożsamości i zakresu kopii omawiają Wytyczne 01/2022 Europejskiej Rady Ochrony Danych dotyczące prawa dostępu.

Jesteś administratorem, więc to Ty odpowiadasz na żądanie. Formward jest Twoim podmiotem przetwarzającym i zgodnie z art. 28 ust. 3 lit. e oraz punktem 8 DPA pomaga Ci narzędziami, a nie odpowiada w Twoim imieniu. Żądanie, które trafi bezpośrednio do Formward, kierujemy do Ciebie.

Konsola DSAR znajduje się w panelu w sekcji Żądania osób, których dane dotyczą, dostępnej od planu Personal. Działa na podstawie adresów e-mail.

1. Wyszukiwanie. Wpisz adres e-mail danej osoby. Konsola przeszukuje wszystkie formularze w przestrzeniach roboczych, do których należysz, i znajduje zgłoszenia, w których adres występuje w dowolnym miejscu treści, także w polach tekstowych oraz we wcześniejszych wersjach edytowanych odpowiedzi. Wyniki są pogrupowane według formularza i zawierają datę, podgląd oraz nazwy załączonych plików. Wyświetlane są także weryfikacje odbiorców powiadomień i akceptacje DPA powiązane z tym adresem.
2. Eksport. Pobierz wynik w formacie JSON. Zawiera każde pasujące zgłoszenie z jego formularzem, datą i podglądem treści. W przypadku długich zgłoszeń lub załączonych plików otwórz zgłoszenie w panelu, aby przekazać osobie pełną kopię.
3. Usunięcie. Po potwierdzeniu Formward usuwa każde pasujące zgłoszenie we wszystkich Twoich formularzach wraz z załączonymi plikami, historią odpowiedzi i rekordami dostarczenia webhooków, a także pasujące weryfikacje odbiorców. Otrzymujesz certyfikat usunięcia jako plik JSON: skrót adresu e-mail, liczbę usuniętych rekordów, listę dotkniętych formularzy i czas.
4. Historia. Każde wyszukiwanie i każde usunięcie jest zapisywane w historii żądań, a usunięcia także w dzienniku audytu przestrzeni roboczej. Osoba jest tam identyfikowana za pomocą skrótu jednokierunkowego, nigdy przez adres e-mail.

Zanim cokolwiek usuniesz, sprawdź jedną rzecz: wyszukiwanie dopasowuje adres jako tekst, więc anna@example.com pasuje również do joanna@example.com. Najpierw przejrzyj wyniki dla poszczególnych formularzy. A jeśli formularz nigdy nie pytał o adres e-mail, wyszukaj zgłoszenia po imieniu lub numerze telefonu.

1. Zapisz datę wpływu żądania, ponieważ od tego dnia liczy się miesiąc.
2. Potwierdź tożsamość w sposób proporcjonalny, zwykle odpowiadając na adres zapisany w systemie.
3. Przeszukaj konsolę DSAR, a następnie miejsca, których ona nie obejmuje: skrzynki z powiadomieniami, arkusze kalkulacyjne, CRM zasilane webhookami, wyeksportowane pliki.
4. W przypadku dostępu wyślij kopię razem z informacjami z art. 15: cele przetwarzania, odbiorcy, okres przechowywania i pozostałe prawa tej osoby.
5. W przypadku usunięcia sprawdź, czy ma zastosowanie wyjątek z art. 17 ust. 3, następnie usuń dane i zachowaj certyfikat.
6. Odpowiedz w ciągu miesiąca albo w tym samym terminie wyjaśnij, dlaczego potrzebujesz więcej czasu.

Krótki okres przechowywania sprawia, że każdy z tych kroków jest łatwiejszy. Szablon formularza kontaktowego i przewodnik po formularzu kontaktowym zbierają adres e-mail, a to właśnie po nim wyszukuje konsola.