Accesso ai dati personali (DSAR) ai sensi del GDPR e del CCPA: comprendere le principali differenze.

La protezione dei dati è una delle principali preoccupazioni delle organizzazioni al giorno d'oggi. Per questo motivo, le leggi sulla protezione dei dati sono aumentate in diverse parti del mondo. Uno studio rivela che solo il 10% della popolazione mondiale aveva dati protetti fino all'anno scorso. Lo studio afferma inoltre che circa Il 65% dei dati della popolazione sarà garantito entro la fine del 2023. Il sondaggio Cisco sulla privacy dei consumatori mostra che l'84% delle persone è preoccupato per la privacy dei dati nel mondo digitale e desidera un maggiore controllo su come vengono utilizzati i propri dati. Date le crescenti preoccupazioni degli utenti finali, gli organi legislativi hanno imposto alcune normative sulla protezione dei dati che conferiscono ai consumatori il diritto di divulgare i propri dati. In particolare, il Regolamento generale sulla protezione dei dati (GDPR) europeo garantisce ai residenti il ​​diritto di richiedere l'accesso ai dati personali (DSAR). Analogamente, esistono molte altre normative sulla privacy dei dati, come il California Consumer Privacy Act (CCPA), il PIPEDA in Canada e l'LGPD in Brasile. Analizziamo le principali differenze tra il diritto di accesso ai dati personali previsto dal GDPR e dal CCPA. 

Che cos'è il DSAR?

Le richieste di accesso ai dati personali (DSAR) non sono una novità, dato che aziende e autorità governative le utilizzano da molti anni. Tuttavia, le normative sulla protezione dei dati e sulla privacy hanno introdotto diverse modifiche che rendono più agevole per i consumatori richiedere l'accesso ai propri dati. Una DSAR è una richiesta presentata da un interessato alla vostra azienda. In base ai requisiti normativi, siete obbligati a fornire tutte le informazioni nel più breve tempo possibile.  

Articolo 15 del GDPR stati,

“L'interessato deve avere il diritto di accedere ai dati personali che lo riguardano e di esercitare tale diritto in modo semplice e a intervalli ragionevoli, nonché di essere informato sulla licealità del trattamento e di verificarne la correttezza.”

Secondo Titolo 1.81.5 del CCPA, 

(a) Il consumatore ha il diritto, in qualsiasi momento, di chiedere a un'impresa che vende a terzi informazioni personali che lo riguardano di non vendere tali informazioni. Questo diritto può essere definito come diritto di opt-out.

(b) Un'impresa che vende informazioni personali dei consumatori a terzi deve fornire ai consumatori un avviso, ai sensi della sottosezione (a) della Sezione 1798.135, che tali informazioni possono essere vendute e che i consumatori hanno il “diritto di opporsi” alla vendita delle proprie informazioni personali.

(c) È vietato operare a un'impresa che abbia ricevuto istruzioni da un consumatore di non vendere le informazioni personali del consumatore o, nel caso di informazioni personali di un consumatore minorenne, che non abbia ricevuto il consenso a vendere le informazioni personali del consumatore minorenne.

Richiesta di accesso ai dati personali (DSAR) ai sensi del GDPR e del CCPA

Ai sensi del GDPR e del CCPA, la richiesta di accesso ai dati personali (DSAR) presenta le seguenti differenze e analogie:

DSAR – Considerazioni chiave 

Con DSAR, ci sono alcune aspettative comuni. Eccone alcune:

• L'azienda risponderà alla richiesta o intraprenderà un'azione 
• La risposta includerà tutte le informazioni 
• L'azione si svolgerà in un periodo definito

Per le aziende, uno dei requisiti fondamentali è quello di conservare una registrazione dell'avvenuta risposta alla richiesta. Le aziende devono tenere traccia della data di ricezione e della data di risposta. 

Le aziende hanno un determinato limite di tempo per rispondere alle richieste di accesso ai dati personali (DSAR). Secondo il GDPR, le aziende devono rispondere alla richiesta entro 30 giorni. D'altra parte, il CCPA ha imposto un limite di 45 giorni per le risposte. Altri termini temporali includono:

• 10 giorni lavorativi per la conferma di ricezione della richiesta 
• 15 giorni lavorativi per rispondere alle richieste di disiscrizione 
• 90 giorni lavorativi per informare i fornitori di non vendere le informazioni dei consumatori
• Due anni per la conservazione del registro delle richieste 

DSAR – Le principali eccezioni 

Esistono alcune eccezioni al diritto di accesso alle informazioni (DSAR) per le organizzazioni in determinate circostanze. Un'eccezione comune prevista dal GDPR è lo sforzo sproporzionato. Le aziende non possono avvalersi delle eccezioni al DSAR per non rispondere alle richieste.

Il California Consumer Privacy Act (CCPA) consente alle organizzazioni di soddisfare le richieste di cancellazione. Ad esempio, se un consumatore richiede la cancellazione prima della scadenza del periodo di garanzia, l'azienda è autorizzata a farlo. 

In parole più semplici, esistono numerose eccezioni alla legge DSAR, che variano a seconda delle giurisdizioni, delle leggi statali e di molti altri fattori. 

Lista di controllo DSAR per le organizzazioni

Ecco come le aziende possono scegliere di rispondere alle richieste di accesso ai dati personali (DSAR):

• Un sistema in grado di ricevere ed elaborare in modo efficiente tutte le richieste
• Verifica dell'identità degli interessati al momento della ricezione delle richieste 
• Raccolta dati e revisione delle richieste elaborate
• piani di risanamento 
• Piani per la fornitura delle informazioni richieste 

Le aziende possono rifiutarsi di rispondere a una richiesta di accesso ai dati personali (DSAR)? Sì, in determinate circostanze, le aziende possono rifiutare una richiesta. Ecco alcuni di questi motivi:

• Non viene mantenuto un formato ricercabile e accessibile delle informazioni personali
• La conformità è lo scopo del trattamento dei dati personali 
• Le informazioni non vengono utilizzate per scopi commerciali. 
• I dati vengono utilizzati per motivi di sicurezza nazionale o per l'applicazione della legge.
• L'interessato ha presentato molteplici richieste di interruzione del sistema

Punti chiave

La protezione dei dati e la privacy sono le principali preoccupazioni degli organi e delle organizzazioni preposte all'applicazione della legge. Diverse regioni del mondo hanno imposto varie normative, come il GDPR nell'UE, il CCPA in California, la LGPD in Brasile, ecc. La richiesta di accesso ai dati da parte dell'interessato (DSAR) garantisce ai consumatori il diritto di accedere ai propri dati. Ai sensi del CCPA e del GDPR, la DSAR offre visibilità e controllo agli interessati. Sebbene esistano alcune eccezioni alla DSAR in determinate situazioni, gli interessati mantengono comunque la libertà di richiedere l'accesso, la cancellazione o la chiusura delle proprie informazioni personali. 

Hai domande sulla protezione dei dati e sulla privacy? I nostri esperti sono sempre a tua disposizione per aiutarti.