Prova e parë e vërtetë e një programi të mbrojtjes së të dhënave rrallë është një inspektim. Është një email nga një klient ose një ish-punonjës që nis: "Dëshiroj një kopje të të gjitha të dhënave që mbani për mua." Sipas Ligjit 124/2024 ai email nis një afat ligjor, dhe mënyra si i përgjigjeni është një nga sinjalet më të qarta nëse përputhshmëria juaj është e vërtetë apo vetëm në letër. Inspektori vjen një herë. Kërkesat vijnë vazhdimisht, dhe secila është një provë e vogël e dokumentuar nëse programi funksionon kur askush nuk po shikon.

Çfarë kërkon ligji

Nenet 12-21 të Ligjit 124/2024 i japin çdo individi një sërë të drejtash mbi të dhënat e veta. Janë ekuivalenti shqiptar i Neneve 12-22 të GDPR, prandaj një organizatë që tashmë u përgjigjet kërkesave sipas rregullave të BE-së punon mbi të njëjtin shabllon dhe nuk fillon nga e para. Këto nuk janë abstraksione; çdo e drejtë bie mbi tavolinën e dikujt si detyrë konkrete me afat.

  • Aksesi. Personi mund të pyesë çfarë të dhënash mbani, pse i përpunoni, me kë i ndani dhe sa gjatë i ruani. Kjo është kërkesa më e zakonshme dhe më e vështira për t'u përmbushur plotësisht, sepse të dhënat personale ndodhen në sisteme që nuk janë projektuar kurrë të kërkohen sipas subjektit.
  • Korrigjimi. Mund t'ju kërkojnë të ndreqni të dhëna të pasakta ose të plotësoni të dhëna të paplota: një adresë e gabuar, një emër i shkruar keq, një gjendje civile e vjetëruar në një dosje.
  • Fshirja. Mund t'ju kërkojnë të fshini të dhënat e tyre, ndonëse kjo e drejtë tërhiqet kur keni detyrim ligjor për t'i ruajtur. Një ish-punonjës nuk mund të fshijë të dhënat e pagave që duhet t'i mbani për qëllime tatimore dhe të punës.
  • Kufizimi. Mund t'ju kërkojnë të ngrini përpunimin derisa një mosmarrëveshje të zgjidhet, kështu që të dhënat mbeten por nuk preken.
  • Transportueshmëria. Kur përpunimi mbështetet në pëlqim ose në kontratë dhe është i automatizuar, mund të kërkojnë të dhënat në një format të strukturuar dhe të lexueshëm nga makina, ose t'i dërgohen një ofruesi tjetër.
  • Kundërshtimi. Mund të kundërshtojnë përpunimin e bazuar në interesat tuaja legjitime, dhe marketingun e drejtpërdrejtë pa asnjë kusht. Kundërshtimi ndaj marketingut duhet nderuar gjithmonë, pa asnjë test balancimi.
  • Vendimet e automatizuara. Kanë të drejtën të mos i nënshtrohen një vendimi me efekte juridike ose të ngjashme të marrë vetëm me mjete të automatizuara, dhe të kërkojnë shqyrtim njerëzor.

Neni 12 cakton afatin. Duhet të përgjigjeni brenda 30 ditësh nga marrja e kërkesës. Kur kërkesa është komplekse mund ta zgjasni deri në 60 ditë gjithsej, por vetëm nëse e njoftoni personin brenda 30 ditëve të para se po e zgjasni dhe pse. Përpara se të veproni duhet të verifikoni identitetin e kërkuesit, që të mos i jepni të dhënat e njërit personit tjetër. Dhe duhet të jeni në gjendje të tregoni çfarë bëtë: kërkesën, hapat, vendimin dhe datën.

E drejta për të refuzuar ekziston por është e ngushtë. Mund ta refuzoni ose ta përmbushni pjesërisht një kërkesë vetëm mbi baza ligjore të përcaktuara, dhe duhet t'i shpjegoni ato me shkrim. Heshtja, ose humbja e afatit, është në vetvete shkelje.

Afati 30-ditor në praktikë

Afati është më i rreptë nga sa duket, sepse nuk janë 30 ditë për t'u përgjigjur. Janë 30 ditë për të verifikuar identitetin, për të gjetur të dhënat në çdo sistem, për t'i shqyrtuar për informacion të palëve të treta, për të vendosur rezultatin ligjor dhe për të dërguar përgjigjen. Përgjigjja është hapi i fundit, jo e gjithë dritarja.

Merrni një kërkesë aksesi drejtuar një banke. Një ish-mbajtës llogarie kërkon gjithçka që mbahet për të. Të dhënat ndodhen në sistemin bankar bazë, në CRM, në dosjen e kredisë, në regjistrimet e qendrës së thirrjeve, në regjistrat e kontrollit kundër pastrimit të parave, dhe në email. Disa prej tyre përmendin klientë të tjerë në llogari të përbashkëta. Disa i nënshtrohen ruajtjes së detyrueshme. Tridhjetë ditë për të gjetur, shqyrtuar, redaktuar dhe paketuar të gjitha këto nuk janë bujare, dhe afati nisi ditën që mbërriti emaili, jo ditën që dikush e vuri re.

Zgjatja deri në 60 ditë është lehtësim i vërtetë, por është me kusht. Zgjateni në heshtje dhe thjesht keni humbur afatin. Qëndrimi i sigurt është ta trajtoni afatin 30-ditor si rregull dhe zgjatjen si përjashtim të dokumentuar, kurrë si zgjidhje që thirret pasi ka kaluar koha.

Ka edhe një kurth të dytë kohor: verifikimi i identitetit nuk e ndalon afatin. Nëse ju duhet më shumë informacion për të konfirmuar se kush është dikush, kërkojeni menjëherë dhe regjistrojeni shkëmbimin, por mos e trajtoni përgjigjen e ngadaltë të kërkuesit si justifikim për humbjen e afatit tuaj. Ndërtojeni hapin e verifikimit që të zgjasë ditë, jo javë.

Bazat e refuzimit dhe kurthet në to

Refuzimi është aty ku organizatat me qëllime të mira rrëshqasin më shpesh: ose refuzojnë shumë lehtë, ose përmbushin kërkesa që duhej t'i kishin vënë në pikëpyetje. Dy skenarë e tregojnë formën.

Një ish-punonjës dërgon kërkesë fshirjeje tre muaj pas largimit, duke kërkuar fshirjen e të gjitha të dhënave. Nuk mund të pajtoheni thjesht. Të dhënat e pagave, deklaratat tatimore dhe kontributet shoqërore mbartin detyrime ruajtjeje që mbizotërojnë mbi fshirjen. Mund të fshini regjistrimin në listën e marketingut dhe historikun e bisedave të brendshme, por dosja e personelit mbetet për periudhën ligjore. Përgjigjja e saktë është përmbushje e pjesshme me shpjegim me shkrim se çfarë u fshi saktësisht, çfarë u mbajt, dhe mbi çfarë baze ligjore. Jo një "jo" i prerë, dhe jo një "po" i përgjithshëm.

Kurthi i kundërt është kërkesa që në të vërtetë i përket dikujt tjetër. Mbërrin një email që kërkon historikun e transaksioneve të një klienti të caktuar, nga një adresë që duket e besueshme. Përmbusheni pa verifikuar identitetin dhe keni shkaktuar vetë një cenim të të dhënave personale. Verifikimi i identitetit nuk është pengesë burokratike. Është kontrolli që e ndalon procesin e kërkesave të kthehet në një kanal sulmi.

Ku gabojnë organizatat

Përsëriten tri dështime. I pari është afati: kërkesat mbërrijnë në një kuti të përbashkët, rrinë të pavëna re për tri javë, dhe 30 ditët kanë ikur para se dikush të ketë verifikuar identitetin ose mbledhur të dhënat. I dyti është gjurma e auditit: kërkesa trajtohet joformalisht me email dhe biseda, kështu që kur Komisioneri pyet si e trajtuat, nuk ka çfarë të tregohet. I treti është verifikimi i identitetit, ose i anashkaluar, që është shkelje në vetvete, ose i trajtuar aq ngathët sa e vonon një kërkesë legjitime përtej afatit.

Asnjëra prej tyre nuk është problem njohurish. Janë probleme procesi, dhe zgjidhen me një proces të përcaktuar pune, jo me më shumë përpjekje nga njerëz të zënë.

Si e trajton PrivaxisOS

Moduli i kërkesave të subjekteve e kthen detyrimin në një proces pune të kontrolluar. Një formular publik kërkese qëndron në faqen tuaj, në shqip si parazgjedhje, që çdo person të paraqesë kërkesë pa pasur llogari. Verifikimi i identitetit konfirmon se kërkuesi është i vërtetë përpara se të lëvizë ndonjë e dhënë. Një panel i brendshëm tregon çdo kërkesë, kush e ka në ngarkim, në ç'fazë është, dhe sa ditë mbeten nga afati ligjor, kështu që afati është i dukshëm dhe jo i mbajtur mend.

Ekipi juaj mund të kërkojë sqarime, të kërkojë prova shtesë identiteti, të zgjasë afatin me justifikim të regjistruar, ose ta përmbushë, refuzojë apo përjashtojë kërkesën, secila me baza ligjore të përcaktuara, kështu që një fshirje e pjesshme ose një refuzim e mbart arsyetimin në regjistër. Një kronologji e plotë regjistron çdo veprim me përdorues, vulë kohore dhe shënime, ndërsa kontrollet e dukshmërisë i mbajnë shënimet e brendshme private nga kërkuesi.

Qëllimi nuk është programi në vetvete. Është që afati, kontrolli i identitetit dhe gjurma e auditit të pushojnë së varuri nga kujtesa e dikujt dhe të fillojnë të zbatohen nga sistemi. Kur Komisioneri pyet si e trajtuat një kërkesë tetë muaj më parë, përgjigjja është një regjistrim me vulë kohore, jo një kërkim nëpër kutitë e emailit.

I njëjti disiplinim shkallëzohet. Një kërkesë aksesi menaxhohet me dorë. Njëzet kërkesa njëkohësisht, secila me afatin e vet, secila në fazë të ndryshme, secila me kombinim tjetër verifikimi, redaktimi dhe gjykimi ligjor, nuk menaxhohen. Një proces i kontrolluar e provon vlerën pikërisht kur vëllimi rritet: një incident publik, një fushatë marketingu që bezdis një grup klientësh, ose një valë ish-punonjësish që ushtrojnë fshirjen njëkohësisht. Pikërisht atëherë shembet procesi i bazuar në kuti emaili dhe kujtesë.

Një kontroll i shkurtër gatishmërie

A keni kanal të qartë ku njerëzit të paraqesin kërkesa? A mund ta verifikoni identitetin përpara se të zbuloni të dhëna? A ka secila kërkesë një përgjegjës, me afatin të dukshëm? A dini cilat kërkesa mund t'i refuzoni ligjërisht, dhe a mund t'i shpjegoni bazat me shkrim? A mund të nxirrni, sipas kërkesës, një regjistrim se si u trajtua një kërkesë e kaluar? Nëse ndonjë përgjigje është e pasigurt, kërkesa e radhës është rrezik, jo rutinë.