เคล็ดลับที่ดีที่สุดเกี่ยวกับวิธีการตอบสนองต่อคำขอการเข้าถึงของเจ้าของข้อมูล

เผยแพร่แล้ว: 2022-07-19

หากบริษัทของคุณได้รับคำขอเข้าถึงเจ้าของข้อมูล (DSAR) การตอบสนองอย่างรวดเร็วและถูกต้องเป็นสิ่งสำคัญ การไม่ทำเช่นนั้นอาจส่งผลให้มีบทลงโทษจากสำนักงานคณะกรรมการข้อมูล (ICO) ในบล็อกโพสต์นี้ เราจะให้คำแนะนำเกี่ยวกับวิธีตอบสนองต่อ DSAR ในเวลาที่เหมาะสมและมีประสิทธิภาพ

คำขอเข้าถึงเจ้าของข้อมูล (DSAR) คืออะไร

แหล่งที่มา

DSAR เป็นคำขอจากบุคคลเพื่อขอข้อมูลเกี่ยวกับตนเองที่จัดโดยองค์กร ซึ่งอาจรวมถึงชื่อ รายละเอียดการติดต่อ หรือข้อมูลส่วนบุคคลอื่นๆ ที่องค์กรมีอยู่ในไฟล์ GDPR ให้สิทธิ์แก่บุคคลในการสร้าง DSAR และองค์กรต้องตอบกลับภายในหนึ่งเดือน

หากบุคคลทำ DSAR ด้วยวาจา องค์กรต้องให้การยืนยันเป็นลายลักษณ์อักษรภายในห้าวัน มีข้อยกเว้นบางประการสำหรับสิทธิในการจัดทำ DSAR ซึ่งรวมถึงความมั่นคงของชาติหรือการสอบสวนทางอาญา อย่างไรก็ตาม ในกรณีส่วนใหญ่ บุคคลมีสิทธิ์เข้าถึงข้อมูลของตน หากคุณมีคำถามใดๆ เกี่ยวกับการสร้าง DSAR โปรดติดต่อหน่วยงานคุ้มครองข้อมูลในพื้นที่ของคุณ

เคล็ดลับสำคัญในการตอบสนองต่อ DSAR

ต่อไปนี้คือเคล็ดลับ 10 ข้อที่จะช่วยให้คุณตอบสนองได้อย่างมีประสิทธิภาพ:

อ่าน DSAR อย่างระมัดระวัง: เมื่อคุณได้รับ DSAR ให้ใช้เวลาในการอ่านอย่างละเอียด สิ่งนี้จะช่วยให้คุณเข้าใจว่าบุคคลนั้นต้องการข้อมูลใดและคุณสามารถให้ข้อมูลได้หรือไม่
ตรวจสอบข้อมูลประจำตัวของผู้ขอ: ก่อนดำเนินการ DSAR ใด ๆ คุณควรตรวจสอบตัวตนของผู้ขอเพื่อให้แน่ใจว่าพวกเขาเป็นคนที่พวกเขากล่าวว่าเป็น ซึ่งสามารถทำได้โดยขอ ID ที่ออกโดยหน่วยงานราชการหรือยืนยันตัวตนผ่านวิธีการอื่น
ตรวจสอบว่าคำขอนั้นถูกต้องหรือไม่: เมื่อคุณได้ยืนยันตัวตนของผู้ขอแล้ว คุณจะต้องพิจารณาว่าคำขอนั้นถูกต้องหรือไม่ ซึ่งหมายความว่าบุคคลนั้นมีสิทธิ์เข้าถึงข้อมูลที่ร้องขอภายใต้กฎหมายคุ้มครองข้อมูล
รวบรวมข้อมูลที่ร้องขอ: หากคุณพิจารณาว่า DSAR นั้นถูกต้อง คุณจะต้องรวบรวมข้อมูลที่ร้องขอ ซึ่งอาจต้องทำงานร่วมกับแผนกอื่นๆ หรือบุคคลภายในองค์กรของคุณที่มีสิทธิ์เข้าถึงข้อมูลที่เกี่ยวข้อง
เตรียมคำตอบ: เมื่อคุณรวบรวมข้อมูลที่ร้องขอทั้งหมดแล้ว คุณจะต้องเตรียมคำตอบของคุณ นี้ควรรวมถึงจดหมายปะหน้าสรุปข้อมูลที่ให้ไว้และเอกสารสนับสนุนใด ๆ
ตรวจสอบคำตอบ: ก่อนส่งคำตอบของคุณ คุณควรตรวจสอบเพื่อให้แน่ใจว่าข้อมูลที่ร้องขอทั้งหมดถูกรวมและถูกต้อง คุณควรตรวจสอบด้วยเพื่อให้แน่ใจว่าไม่มีคำตอบใดที่อาจเป็นอันตรายต่อบุคคลหรือข้อมูลของพวกเขา
ส่งคำตอบ: เมื่อคุณตรวจสอบและสรุปคำตอบของคุณแล้ว คุณจะต้องส่งไปยังผู้ขอ สามารถทำได้ทางไปรษณีย์ อีเมล หรือวิธีอื่นที่ระบุใน DSAR
เก็บบันทึกคำขอและการตอบสนอง: การเก็บบันทึกทั้ง DSAR และการตอบกลับของคุณเป็นสิ่งสำคัญในกรณีที่มีคำถามหรือประเด็นใด ๆ สิ่งนี้จะช่วยคุณติดตาม DSAR ทั้งหมดที่คุณได้รับและตอบกลับ
ขอความช่วยเหลือหากคุณต้องการ: หากคุณไม่แน่ใจว่าจะตอบสนองต่อ DSAR อย่างไรหรือมีคำถามอื่นๆ คุณควรขอความช่วยเหลือจากผู้เชี่ยวชาญด้านการปกป้องข้อมูลที่มีคุณสมบัติเหมาะสม พวกเขาจะสามารถให้คำแนะนำแก่คุณเกี่ยวกับวิธีที่ดีที่สุดในการดำเนินการ และตรวจสอบให้แน่ใจว่าคำตอบของคุณเป็นไปตามกฎหมายคุ้มครองข้อมูล
ทำให้มันเรียบง่ายและชัดเจน : บุคคลมีสิทธิที่จะรู้ว่าข้อมูลส่วนบุคคลใดที่ถูกเก็บไว้เกี่ยวกับพวกเขา เหตุใดจึงถูกเก็บไว้ และวิธีการใช้ข้อมูลนั้น คุณควรให้ข้อมูลนี้อย่างชัดเจนและรัดกุม
โปร่งใส: ตรงไปตรงมาเกี่ยวกับกระบวนการและสิ่งที่บุคคลสามารถคาดหวังจากคุณได้ แจ้งให้พวกเขาทราบว่าจะมีความล่าช้าในการดำเนินการตามคำขอหรือไม่และเพราะเหตุใด
อย่าพยายามปิดบังสิ่งใด: บุคคลนั้นมีสิทธิ์ในข้อมูลทั้งหมดที่คุณเก็บไว้ ดังนั้นอย่าพยายามปกปิดสิ่งใดๆ สิ่งนี้จะทำลายความสัมพันธ์ของคุณกับบุคคลนั้นและอาจนำไปสู่การดำเนินคดีทางกฎหมาย
เก็บไว้เป็นความลับ: ข้อมูลทั้งหมดที่ให้ไว้เพื่อตอบสนองต่อคำขอเข้าถึงเจ้าของข้อมูลต้องเป็นความลับ ซึ่งรวมถึงคำขอและข้อมูลที่คุณให้ในการตอบกลับ
ตอบกลับภายในเวลาที่กำหนด : คุณต้องตอบกลับคำขอเข้าถึงเจ้าของข้อมูลภายในหนึ่งเดือนหลังจากได้รับ หากคุณไม่สามารถทำได้ตามกำหนดเวลานี้ ให้บุคคลนั้นทราบและอธิบายเหตุผล
ให้ข้อมูลในรูปแบบที่เข้าใจง่าย : บุคคลมีสิทธิได้รับข้อมูลในรูปแบบที่อ่านง่ายและเข้าใจได้ง่าย หลีกเลี่ยงศัพท์แสงหรือภาษาทางเทคนิคหากทำได้
อย่าตั้งสมมติฐาน : คำขอเข้าถึงเจ้าของข้อมูลทุกรายการจะแตกต่างกัน อย่าตั้งสมมติฐานว่าบุคคลต้องการหรือต้องการอะไร หรือจะใช้ข้อมูลที่คุณให้มาอย่างไร

ข้อมูลใดที่ควรรวมอยู่ในการตอบสนอง DSAR

แหล่งที่มา

การตอบสนองคำขอเข้าถึงเจ้าของข้อมูล (DSAR) ควรรวมถึงข้อมูลส่วนบุคคลทั้งหมดที่เก็บไว้กับบุคคล ข้อมูลนี้ควรรวมถึงข้อมูลที่สามารถใช้ระบุตัวบุคคลได้ เช่น ชื่อ ที่อยู่ วันเกิด หรือรายละเอียดการติดต่อ

นอกจากนี้ คำตอบควรรวมถึงข้อมูลที่รวบรวมเกี่ยวกับบุคคล เช่น ประวัติการเข้าชมหรือประวัติการซื้อ สุดท้าย คำตอบควรอธิบายด้วยว่าได้ดำเนินการขั้นตอนใดบ้างในการปกป้องข้อมูลของบุคคลจากการเข้าถึงโดยบุคคลที่ไม่ได้รับอนุญาต

โดยการให้ข้อมูลนี้ การตอบสนองของ DSAR ช่วยให้แน่ใจว่าข้อมูลของบุคคลนั้นได้รับการคุ้มครองและปกคลุมด้วยความโปร่งใส

เคล็ดลับในการรวบรวมและตรวจสอบคำขอเข้าถึงข้อมูลของเจ้าของข้อมูล

GDPR กำหนดภาระหน้าที่ที่เข้มงวดให้กับองค์กรในการจัดการข้อมูลส่วนบุคคล รวมถึงคำขอเข้าถึงเรื่อง (SAR) นี่คือเคล็ดลับยอดนิยมของเราในการรวบรวมและตรวจสอบ SAR:

ตรวจสอบให้แน่ใจว่าคุณมีทีมเฉพาะหรือบุคคลที่รับผิดชอบในการจัดการ SAR ซึ่งจะช่วยให้มั่นใจได้ว่าคำขอจะได้รับการจัดการอย่างทันท่วงทีและเป็นไปตาม GDPR
กำหนดขั้นตอนในการจัดการกับ SAR รวมถึงกระบวนการที่ชัดเจนในการระบุเจ้าของข้อมูล การยืนยันตัวตน และการค้นหาข้อมูลที่เกี่ยวข้อง
ตอบสนองต่อ SAR ภายในหนึ่งเดือน เว้นแต่จะมีเหตุผลที่ดีในการขยายระยะเวลานี้ หากคุณต้องการขยายระยะเวลา คุณต้องแจ้งเจ้าของข้อมูลภายในหนึ่งเดือนหลังจากได้รับคำขอ
ตรวจสอบให้แน่ใจว่าคุณมีระบบในการติดตามคำขอและดูแลให้ได้รับการจัดการอย่างทันท่วงที
ให้เฉพาะเจาะจงที่สุดเท่าที่จะเป็นไปได้เมื่อตอบสนองต่อ SAR โดยเฉพาะอย่างยิ่งกับข้อมูลที่คุณให้และเหตุผลสำหรับการตัดสินใจใดๆ ที่คุณทำ
หากคุณตั้งใจที่จะระงับข้อมูลจากเจ้าของข้อมูล โปรดทราบว่าคุณต้องมีพื้นฐานทางกฎหมายที่ถูกต้องในการทำเช่นนั้น
เก็บบันทึก SAR ทั้งหมดที่ได้รับ รวมถึงรายละเอียดวิธีจัดการและผลลัพธ์ ซึ่งจะช่วยให้คุณระบุพื้นที่ที่กระบวนการของคุณสามารถปรับปรุงได้
ตรวจสอบขั้นตอนของคุณเป็นประจำเพื่อให้แน่ใจว่าเหมาะสมกับวัตถุประสงค์และสอดคล้องกับ GDPR
เตรียมพร้อมที่จะจัดการกับ SAR ที่ซับซ้อน ซึ่งอาจทำให้คุณต้องค้นหาข้อมูลจำนวนมาก ซึ่งอาจใช้เวลานานและใช้ทรัพยากรมาก ดังนั้นการวางแผนจึงมีความสำคัญ
ขอคำแนะนำทางกฎหมายหากคุณไม่แน่ใจเกี่ยวกับวิธีการจัดการ SAR หรือหากคุณเชื่อว่าคำขอนั้นไม่มีมูลหรือมากเกินไป

อันตรายจากการไม่ตอบสนองต่อคำขอเข้าถึงของเจ้าของข้อมูล

แหล่งที่มา

หากคุณเลือกที่จะไม่ตอบสนองต่อคำขอเข้าถึงเจ้าของข้อมูล คุณอาจละเมิด GDPR ซึ่งอาจส่งผลให้ต้องเสียค่าปรับสูงถึง 20 ล้านยูโรหรือสี่เปอร์เซ็นต์ของรายรับประจำปีทั่วโลกของคุณ แล้วแต่จำนวนใดจะสูงกว่า นอกจากนี้ คุณอาจจะต้องชดใช้ค่าเสียหายให้กับบุคคลที่ส่งคำขอ

การไม่ตอบสนองต่อคำขอเข้าถึงเจ้าของข้อมูลยังทำให้องค์กรของคุณเสี่ยงที่จะเกิดความเสียหายต่อชื่อเสียง หากมีการแจ้งว่าคุณไม่ปฏิบัติตาม GDPR บุคคลอาจสูญเสียความไว้วางใจในองค์กรของคุณและเลือกที่จะทำธุรกิจที่อื่น ซึ่งอาจส่งผลกระทบอย่างมีนัยสำคัญต่อผลกำไรของคุณ

นอกจากนี้ การไม่ตอบสนองต่อคำขอเข้าถึงเจ้าของข้อมูลอาจขัดขวางความสามารถของคุณในการปฏิบัติตามข้อกำหนด GDPR อื่นๆ เช่น การลดขนาดข้อมูลและความถูกต้องของข้อมูล หากคุณไม่มีข้อมูลที่ร้องขอ คุณจะไม่สามารถปฏิบัติตามหลักการเหล่านี้ได้ ซึ่งอาจนำไปสู่ค่าปรับเพิ่มเติมจากหน่วยงานกำกับดูแล

สุดท้าย หากคุณได้รับคำขอเข้าถึงเจ้าของข้อมูลจากบุคคลที่เป็นลูกค้าหรือพนักงานขององค์กรของคุณด้วย การไม่ตอบสนองอาจเป็นอันตรายต่อความสัมพันธ์นั้น บุคคลนั้นอาจรู้สึกว่าคุณไม่ให้ความสำคัญกับความเป็นส่วนตัวและเลือกที่จะยุติการเชื่อมโยงกับองค์กรของคุณ

อย่างที่คุณเห็น ความเสี่ยงมากมายเกี่ยวข้องกับการไม่ตอบสนองต่อคำขอเข้าถึงเจ้าของข้อมูล หากคุณได้รับคำขอดังกล่าว สิ่งสำคัญคือต้องปรึกษากับที่ปรึกษากฎหมายเพื่อให้แน่ใจว่าคุณกำลังดำเนินการตามขั้นตอนที่เหมาะสมในการปฏิบัติตาม

บทสรุป

การตอบสนองต่อคำขอเข้าถึงเจ้าของข้อมูลอาจเป็นเรื่องที่น่ากลัว แต่การปฏิบัติตามกฎหมายเป็นสิ่งสำคัญ เมื่อปฏิบัติตามคำแนะนำเหล่านี้ คุณจะสามารถตอบสนองต่อคำขอของลูกค้าได้ คุณเคยจัดการกับคำขอเข้าถึงเจ้าของข้อมูลหรือไม่? ประสบการณ์ของคุณคืออะไร? แจ้งให้เราทราบ!