Wniosek o dostęp do danych RODO rzadko przychodzi jako formalne pismo z powołaniem na art. 15. Częściej jest to jedno zdanie w rozmowie o zamówieniu: „proszę o kopię wszystkiego, co o mnie zapisaliście”. Jeśli operator potraktuje je jak zwykłe pytanie i zamknie wątek, termin może minąć, zanim ktokolwiek odpowiedzialny o nim usłyszy.
Ogólne zasady przetwarzania danych z czatu, czyli role, obowiązek informacyjny i retencję, opisujemy w artykule live chat a RODO. Tekst nie jest poradą prawną; ostateczną odpowiedź przygotowuje osoba, której firma powierzyła sprawy ochrony danych. Opisujemy zasady unijnego RODO; poza UE, na przykład w Wielkiej Brytanii, obowiązują własne przepisy i wytyczne krajowego organu nadzorczego.
Po czym poznać wniosek w zwykłej rozmowie
Wniosek nie musi mieć określonej formy ani nazwy. Wystarczy, że osoba daje do zrozumienia, że chce wiedzieć, jakie jej dane przetwarzasz, albo prosi o ich kopię. Na czacie brzmi to zwykle tak: „co o mnie macie w systemie”, „proszę o wszystkie moje rozmowy”, „chcę zobaczyć, jakie dane zebraliście”.
Wytyczne EDPB 01/2022 w sprawie prawa dostępu wskazują, że RODO nie stawia osobie wnioskującej wymagań formalnych, a firma nie ocenia jej intencji. Wytyczne nie rozstrzygają, kto w twojej firmie ma odpowiadać na wnioski. EDPB, wytyczne 01/2022.
Odróżnij wniosek od prośby o pojedynczą informację: pytanie, dokąd poszła paczka, to zwykła sprawa zamówienia. W razie wątpliwości lepiej oznaczyć rozmowę jako możliwy wniosek i dopytać, niż pominąć go po cichu. Według EDPB ogólna prośba obejmuje co do zasady wszystkie dane osoby, a przy dużej ilości danych firma może poprosić o doprecyzowanie zakresu.
Pierwsza odpowiedź: potwierdź wpływ, nie wysyłaj danych
Operator pierwszej linii nie powinien od razu wklejać historii rozmów ani danych z profilu. Jego zadaniem jest potwierdzić przyjęcie, wyjaśnić następny krok i zostawić ślad, którego nie zgubi kolejna zmiana. EDPB uznaje za dobrą praktykę pisemne potwierdzenie wpływu razem z informacją, od którego do którego dnia biegnie miesięczny termin.
„Dziękuję, przyjęliśmy prośbę o informację, jakie dane o Pani/Panu przetwarzamy, razem z ich kopią. Data wpływu: 7 października. Odpowiedź przygotuje osoba odpowiedzialna za ochronę danych, najpóźniej do 7 listopada. Jeśli będziemy potrzebować potwierdzenia, że rozmawiamy z właścicielem konta, napiszemy na adres e-mail przypisany do konta.”
Zapisz wniosek w miejscu, które ma właściciela i historię. Zgłoszenie z numerem, przypisaną osobą i notatką wewnętrzną zawierającą datę wpływu, dokładny cytat prośby i kanał pozwala każdemu sprawdzić, na jakim etapie jest sprawa. Sama notatka nie powinna powtarzać danych, o które chodzi we wniosku.
Termin: miesiąc od wpływu, nie od przekazania
Art. 12 ust. 3 RODO wymaga udzielenia informacji o działaniach podjętych w związku z wnioskiem bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od jego otrzymania. Termin można przedłużyć o kolejne dwa miesiące ze względu na skomplikowany charakter lub liczbę wniosków, ale o przedłużeniu i jego przyczynach trzeba poinformować w ciągu pierwszego miesiąca. Pierwsza kopia danych jest bezpłatna.
Art. 12 i 15 RODO w oficjalnej wersji opublikowanej w EUR-Lex. Sam przepis nie mówi, jak liczyć dni w kalendarzu; przykłady obliczania terminu podają wytyczne EDPB. Rozporządzenie (UE) 2016/679 w EUR-Lex.
EDPB wyjaśnia, że termin biegnie od dnia, w którym wniosek dotarł do firmy jednym z jej oficjalnych kanałów, nawet jeśli nikt go jeszcze nie przeczytał. W przykładzie z wytycznych wniosek z 5 marca trzeba obsłużyć najpóźniej 5 kwietnia. Czat obsługi na twojej stronie zwykle jest takim kanałem, więc liczy się chwila wiadomości klienta, a nie dzień przekazania sprawy dalej.
Weryfikacja tożsamości proporcjonalna do ryzyka
Kopia historii rozmów wysłana niewłaściwej osobie to naruszenie, a nie wykonanie prawa dostępu. Art. 12 ust. 6 RODO pozwala poprosić o dodatkowe informacje, gdy firma ma uzasadnione wątpliwości co do tożsamości. Nie oznacza to automatycznego żądania skanu dowodu: według EDPB jest to nieproporcjonalne, gdy osoba jest już uwierzytelniona, na przykład zalogowana na konto.
Najlepiej potwierdzić osobę kanałem, który już łączy się z jej danymi: odpowiedzią z adresu e-mail z konta lub zamówienia, logowaniem albo numerem telefonu znanym z wcześniejszych kontaktów. Poziomy takiej weryfikacji opisujemy w poradniku o weryfikacji tożsamości klienta przy zamówieniu. Zapisz w zgłoszeniu, jak i kiedy potwierdzono osobę. Według EDPB wyjaśnianie wątpliwości co do tożsamości może wstrzymać bieg terminu, dlatego dzień wysłania prośby o potwierdzenie też trafia do notatki.
Mapa źródeł danych z obsługi
Wniosek dotyczy danych w całej firmie, ale zespół obsługi najlepiej wie, co powstało w jego kanałach. Odpowiedź ma oddawać stan z chwili wpływu wniosku; danych usuniętych wcześniej zgodnie z zasadami retencji nie da się wydać. Tabela pokazuje przykładowy podział dla fikcyjnego sklepu z akcesoriami rowerowymi.
Przesuń tabelę w bok, aby zobaczyć wszystkie kolumny.
| Źródło | Co może zawierać | Na co uważać |
|---|---|---|
| Historia rozmów i zgłoszeń | Wiadomości, załączniki, zmiany statusu | Dane innych osób w tej samej rozmowie |
| Notatki wewnętrzne | Ustalenia zespołu dotyczące klienta | Nie pomijaj ich z góry; decyzję podejmuje osoba odpowiedzialna |
| Profil kontaktu | Imię, e-mail, telefon, firma, atrybuty | Ten sam klient w kilku kanałach |
| Nagrania sesji i ścieżka wizyt | Odwiedzone strony, zdarzenia, nagrane wizyty | Wizyty przypisane do kontaktu po identyfikacji |
| Prośby o oddzwonienie | Imię, numer telefonu, temat, termin | Może mieć osobny okres przechowywania |
Nagrania sesji to osobny zakres, o którym łatwo zapomnieć. Jeśli są powiązane z kontaktem, wchodzą w przegląd; zasady ich zbierania i maskowania opisujemy w artykule nagrywanie sesji a RODO. Art. 15 ust. 4 RODO zastrzega, że prawo do kopii nie może niekorzystnie wpływać na prawa i wolności innych osób. Przed wydaniem historii rozmów sprawdź więc, czy nie zawiera danych osób trzecich, na przykład współpracownika klienta. Gdy w rozmowie pojawiły się dane szczególnie wrażliwe, zajrzyj do poradnika o danych wrażliwych na czacie.
Przekazanie i odpowiedź: kolejność działań
Obsługa klienta zbiera materiał, ale o treści odpowiedzi, przedłużeniu terminu czy ograniczeniu kopii decyduje osoba wskazana przez firmę. Poniższa kolejność sprawdza się w małym zespole bez działu prawnego.
- Przyjęcie.Operator potwierdza wpływ, cytuje prośbę w notatce i zapisuje datę oraz kanał.
- Przypisanie.Zgłoszenie dostaje jedną osobę odpowiedzialną i termin roboczy krótszy niż miesiąc.
- Weryfikacja.Osoba odpowiedzialna potwierdza tożsamość przez znany kanał i zapisuje sposób potwierdzenia.
- Zebranie danych.Zespół przegląda każde źródło z mapy i odnotowuje także te, w których nic nie znalazł.
- Odpowiedź.Kopia danych i informacje z art. 15 ust. 1 trafiają do klienta bezpiecznym kanałem, a zgłoszenie zamyka się z datą wysyłki.
Odpowiedź obejmuje nie tylko kopię, ale też informacje z art. 15 ust. 1: cele przetwarzania, kategorie danych, odbiorców, okres przechowywania, przysługujące prawa i źródło danych, jeśli nie pochodzą od klienta. Część z nich można oprzeć na polityce prywatności, lecz EDPB zaznacza, że trzeba je dopasować do konkretnej osoby.
Jak uporządkujesz to w Meetlead
W Meetlead wniosek zapiszesz jako zgłoszenie z numerem, przypisaniem i notatkami wewnętrznymi, a oś zdarzeń pokaże, kto i kiedy coś zmienił. Profil kontaktu prowadzi do ścieżki wizyt z odnośnikami do nagrań, rozmów, oddzwonień i zgłoszeń, więc służy jako mapa miejsc do sprawdzenia w obrębie jednej witryny. Eksport CSV listy klientów zawiera dane z profili, a nie pełną historię rozmów i nagrań. Kompletną kopię dla klienta przygotowuje człowiek, przeglądając każde źródło.
Okresy przechowywania wiadomości i nagrań są konfigurowalne. Gdy wniosek jest w toku, osoba odpowiedzialna powinna sprawdzić, czy objęte nim dane nie znikną przed wysłaniem odpowiedzi; EDPB oczekuje, że przy krótkich okresach przechowywania sposób obsługi wniosku uwzględni ten czas. Jak działa sam obieg spraw, opisujemy w poradniku o systemie zgłoszeń w obsłudze klienta.
Pytania o wniosek z art. 15 w obsłudze
Czy muszę odpowiedzieć, jeśli klient nie napisał „RODO” ani „art. 15”? Tak, jeśli z treści wynika, że chce wiedzieć, jakie jego dane przetwarzasz, albo dostać ich kopię. Wytyczne EDPB podkreślają brak wymagań formalnych. Jeśli prośba jest niejasna, dopytaj o zakres i zapisz to pytanie w zgłoszeniu.
Czy mogę pobrać opłatę albo odmówić? Pierwsza kopia jest bezpłatna. Rozsądną opłatę RODO dopuszcza przy kolejnych kopiach, a przy wnioskach ewidentnie nieuzasadnionych lub nadmiernych, zwłaszcza powtarzających się, także odmowę. Ciężar wykazania takiego charakteru spoczywa na firmie, a EDPB podkreśla, że pole do uznania wniosku za ewidentnie nieuzasadniony jest bardzo wąskie.
