DSAR w świetle RODO i CCPA – zrozumienie kluczowych różnic

Ochrona danych jest obecnie jednym z kluczowych priorytetów organizacji. Z tego samego powodu przepisy dotyczące ochrony danych zaostrzyły się w różnych częściach świata. Badanie ujawnia, że ​​do ubiegłego roku tylko 10% globalnej populacji miało chronione dane. Badanie wskazuje również, że około 65% danych populacji zostanie zapewnione do końca 2023 roku. Badanie Cisco Consumer Privacy Survey pokazuje, że 84% osób martwi się o prywatność danych w świecie cyfrowym i chce mieć większą kontrolę nad sposobem wykorzystywania swoich danych. W związku z rosnącymi obawami użytkowników końcowych, organy ustawodawcze wprowadziły pewne przepisy o ochronie danych, które dają konsumentom prawo do ujawniania swoich danych. Można argumentować, że europejskie Ogólne Rozporządzenie o Ochronie Danych (RODO) przyznaje mieszkańcom prawo do żądania dostępu do danych (DSAR). Podobnie istnieje wiele innych przepisów dotyczących prywatności danych, takich jak kalifornijska ustawa o ochronie prywatności konsumentów (CCPA), kanadyjska ustawa PIPEDA i brazylijska ustawa LGPD. Przyjrzyjmy się kluczowym różnicom między DSAR a RODO. 

Czym jest DSAR?

Żądania dostępu do danych (DSAR) nie są nowością, ponieważ firmy i organy rządowe korzystają z nich od wielu lat. Jednak przepisy dotyczące ochrony danych i prywatności wprowadziły szereg zmian, które ułatwiają konsumentom wnioskowanie o dostęp do danych. Żądanie dostępu do danych to prośba osoby, której dane dotyczą, skierowana do Twojej firmy. Zgodnie z wymogami regulacyjnymi, masz obowiązek jak najszybciej przekazać wszystkie informacje.  

Artykuł 15 RODO stany,

„Osoba, której dane dotyczą, powinna mieć prawo dostępu do danych osobowych, które jej dotyczą, oraz możliwość łatwego i rozsądnego wykonywania tego prawa, a także prawo do bycia świadomym i weryfikacji legalności przetwarzania.”

Zgodnie z Tytuł 1.81.5 CCPA, 

(a) Konsument ma prawo w dowolnym momencie zażądać od firmy sprzedającej dane osobowe konsumenta osobom trzecim, aby nie sprzedawała danych osobowych konsumenta. Prawo to można nazwać prawem do rezygnacji.

(b) Przedsiębiorstwo, które sprzedaje dane osobowe konsumentów osobom trzecim, musi powiadomić konsumentów, zgodnie z podrozdziałem (a) sekcji 1798.135, że dane te mogą zostać sprzedane oraz że konsumenci mają „prawo do rezygnacji” ze sprzedaży swoich danych osobowych.

(c) Przedsiębiorstwo, które otrzymało od konsumenta polecenie, aby nie sprzedawać jego danych osobowych lub, w przypadku małoletniego konsumenta, nie otrzymało zgody na sprzedaż danych osobowych małoletniego konsumenta, zostanie objęte zakazem prowadzenia działalności.

DSAR zgodnie z RODO i CCPA

Zgodnie z RODO i CCPA, żądanie DSAR ma następujące różnice i podobieństwa:

DSAR – kluczowe zagadnienia 

W przypadku DSAR istnieją pewne typowe oczekiwania. Oto kilka z nich:

• Firma odpowie na prośbę lub podejmie działania 
• Odpowiedź będzie zawierać wszystkie informacje 
• Akcja będzie miała miejsce w określonym okresie

Jednym z podstawowych wymogów dla firm jest dokumentowanie otrzymania odpowiedzi na wniosek. Firmy muszą śledzić datę otrzymania wniosku i datę udzielenia odpowiedzi. 

Firmy mają określony limit czasowy na odpowiedź na żądanie DSAR. Zgodnie z RODO, firmy muszą odpowiedzieć na żądanie w ciągu 30 dni. Z drugiej strony, ustawa CCPA nałożyła 45-dniowe ograniczenie na odpowiedź. Inne terminy obejmują:

• 10 dni roboczych na potwierdzenie otrzymania wniosku 
• 15 dni roboczych na odpowiedź na prośby o rezygnację 
• 90 dni roboczych na poinformowanie sprzedawców o konieczności niesprzedawania informacji o konsumentach
• Dwa lata na prowadzenie rejestru żądań 

DSAR – kluczowe wyjątki 

W pewnych okolicznościach organizacje mogą mieć pewne wyjątki od obowiązku DSAR. Częstym wyjątkiem w ramach RODO jest niewspółmiernie duży nakład pracy. Firmy nie mogą korzystać z wyjątków DSAR w przypadku braku odpowiedzi na żądania.

Kalifornijska ustawa o ochronie prywatności konsumentów (CCPA) zezwala organizacjom na usuwanie wniosków. Na przykład, jeśli konsument zażąda usunięcia danych przed upływem okresu gwarancji, firma ma prawo to zrobić. 

Mówiąc prościej, istnieje wiele wyjątków od zasady DSAR, które różnią się w zależności od jurysdykcji, przepisów stanowych i wielu innych czynników. 

Lista kontrolna DSAR dla organizacji

Oto w jaki sposób przedsiębiorstwa mogą zdecydować się na odpowiadanie na zapytania DSAR:

• System, który może efektywnie odbierać i przetwarzać wszystkie żądania
• Weryfikacja tożsamości osób, których dane dotyczą, po otrzymaniu wniosków 
• Zbieranie danych i przegląd przetworzonych żądań
• Plany naprawcze 
• Plany dostarczenia żądanych informacji 

Czy firmy mogą odmówić odpowiedzi na wniosek DSAR? Tak, w pewnych okolicznościach firmy mogą odrzucić wniosek. Oto niektóre z tych powodów:

• Nie jest zachowywany format danych osobowych umożliwiający wyszukiwanie i dostęp
• Zgodność jest celem przetwarzania danych osobowych 
• Informacje nie są wykorzystywane w celach komercyjnych 
• Dane te są wykorzystywane do celów bezpieczeństwa narodowego lub egzekwowania prawa
• Podmiot danych wielokrotnie składał wnioski o przerwanie działania systemu

Na wynos

Ochrona danych i prywatność to główne kwestie, którymi zajmują się organy ścigania. W różnych regionach świata obowiązują różne przepisy, takie jak RODO w UE, CCPA w Kalifornii, LGPD w Brazylii itd. Wniosek o dostęp do danych osobowych (DSAR) daje konsumentom prawo dostępu do swoich danych. Zgodnie z CCPA i RODO, DSAR zapewnia osobom, których dane dotyczą, przejrzystość i kontrolę. Chociaż istnieją pewne wyjątki od DSAR w pewnych sytuacjach, osoby, których dane dotyczą, nadal mają prawo żądać dostępu, usunięcia lub zamknięcia swoich danych osobowych. 

Masz pytania dotyczące ochrony danych i prywatności? Nasi eksperci są zawsze do Twojej dyspozycji.