Klient chce usunięcia swoich danych. Co musisz zrobić?

Klient pisze: „Proszę usunąć moje konto i wszystkie moje dane”. W aplikacji masz przycisk do zamknięcia konta. Co jednak z fakturą, historią reklamacji i adresem e-mail w narzędziu do wysyłki wiadomości?

Przy żądaniu usunięcia sprawdź, do czego nadal potrzebujesz konkretnych danych i czy masz podstawę, żeby je zachować. RODO, czyli unijne rozporządzenie o ochronie danych osobowych, daje klientowi prawo do ich usunięcia m.in. wtedy, gdy nie są już potrzebne do celu, w którym je zebrano. Są też wyjątki, np. obowiązek zachowania dokumentu. Faktura może więc pozostać, a zbędne dane z profilu powinny zniknąć. Podstawę stanowi prawo do usunięcia danych w RODO.

Czy klient musi podać przepis albo wypełnić formularz?

Załóżmy, że taką wiadomość dostaje Celina. Wspólnie z Jakubem i Tymkiem prowadzi aplikację z płatnymi kontami. Klient zakończył korzystanie z usługi i chce usunięcia danych. Tymek czyta maila i ma wątpliwość: „Nie podał żadnego przepisu. Musimy w ogóle rozpatrywać taką prośbę?”.

Tak. Brak numeru przepisu nie pozwala zignorować jasnego żądania. Klient nie musi też przepisywać wiadomości do specjalnego formularza. Celina przyjmuje więc prośbę, zapisuje datę jej otrzymania i termin odpowiedzi. Gdyby klient napisał tylko „usuńcie to”, trzeba byłoby ustalić zakres: usunięcie zdjęcia z profilu i usunięcie wszystkich danych to różne sprawy.

Jakub sprawdza teraz, czy prośba pochodzi od właściciela konta. Jeśli masz uzasadnione wątpliwości co do tożsamości osoby, możesz poprosić o dodatkowe informacje potrzebne do jej potwierdzenia. Dobierz je do ryzyka. Prośba wysłana z zalogowanego konta nie uzasadnia automatycznie żądania skanu dowodu. Takie podejście opisuje poradnik Europejskiej Rady Ochrony Danych o obsłudze żądań.

Klient Celiny już zakończył korzystanie z aplikacji. Przy aktywnej usłudze trzeba jeszcze ustalić, czy chce ją zakończyć, czy usunąć tylko część informacji. Dane niezbędne do wykonania trwającej umowy mogą nadal mieć podstawę przetwarzania, ale nie obejmuje to automatycznie wszystkiego, co zebrała aplikacja.

Konto jest nieaktywne. Czy sprawa jest załatwiona?

Tymek zagląda do panelu: konto ma status „nieaktywne”. Celina sprawdza jednak narzędzie mailingowe i nadal widzi na liście adres klienta. Znajduje też jego rozmowy z obsługą. Zmiana statusu konta nie usunęła danych ani nie objęła pozostałych narzędzi.

Zanim potwierdzą klientowi wykonanie prośby, zbierają więc listę miejsc, w których są jego informacje. Tymek sprawdza bazę aplikacji i załączniki, Celina wiadomości i mailing, a Jakub dokumenty rozliczeniowe z księgowością. Przy Twoim produkcie lista może obejmować również analitykę i kopie zapasowe. Wyznacz osobę odpowiedzialną za sprawę oraz ustal, kto może wykonać i potwierdzić działania w każdym z tych miejsc.

Co zrobić z fakturą i historią klienta?

Jakub wraca z kolejnym pytaniem: skoro fakturę trzeba zachować, może zostawić całe konto na wypadek kontroli? Obowiązek zachowania jednego dokumentu nie uzasadnia przechowywania całej historii aktywności. Trzeba rozdzielić informacje według tego, do czego nadal są potrzebne:

• Profil klienta. Jeżeli cel jego prowadzenia ustał i nie ma innej podstawy dalszego przetwarzania, usuń dane. Sam status „nieaktywny” tego nie załatwia.
• Adres używany do marketingu. Żądanie może obejmować cofnięcie zgody lub sprzeciw wobec marketingu. Zachowanie faktury nie pozwala dalej wysyłać reklam.
• Dokumenty rozliczeniowe i informacje potrzebne do roszczeń. Jeśli przepisy wymagają zachowania faktury albo określone dane są niezbędne do ustalenia, dochodzenia lub obrony roszczeń, oceń ten zakres osobno. Ogranicz dostęp i wykorzystanie do uzasadnionego celu.

Jakub ustala więc z księgowością retencję, czyli okres przechowywania danych dla danego celu: właściwy przepis, termin i sposób jego liczenia. Przy roszczeniach trzeba wskazać, do czego dane są potrzebne i kiedy ponownie ocenić tę potrzebę. „Może kiedyś się przydadzą” nie wystarczy do zachowania całej bazy.

Odmowa usunięcia wymaga konkretnej podstawy. Cofnięcie zgody prowadzi do usunięcia danych, gdy na niej opierało się przetwarzanie i nie ma innej podstawy. Prawo do usunięcia obejmuje też m.in. dane przetwarzane bezprawnie. Przesłanki i wyjątki wyjaśnia UODO w materiale o prawie do usunięcia danych. Sam fakt, że ktoś był klientem, nie rozstrzyga sprawy.

Ile czasu ma zespół na odpowiedź?

Celina sprawdza zapisany termin odpowiedzi, żeby prośba nie utknęła między zespołem a księgowością.

Działaj bez zbędnej zwłoki; informację o podjętych działaniach przekaż najpóźniej w ciągu miesiąca od otrzymania żądania. To miesiąc, nie uniwersalne 30 dni. W razie potrzeby, ze względu na skomplikowany charakter żądania lub liczbę żądań, termin można przedłużyć o kolejne dwa miesiące. O przedłużeniu i jego przyczynach trzeba poinformować w pierwszym miesiącu. Zasady określa art. 12 ust. 3 i 4 RODO.

Potwierdzenie „otrzymaliśmy wiadomość” nie zastępuje informacji o realizacji lub uzasadnionej odmowie. Nie daje też dodatkowego miesiąca na obsługę. Zwykłe żądanie obsługujesz bezpłatnie; opłata lub odmowa z powodu ewidentnie nieuzasadnionego albo nadmiernego charakteru prośby to wyjątek, który firma musi umieć wykazać.

A co z dostawcami i kopiami zapasowymi?

Tymek może usunąć dane w aplikacji, ale nie zarządza samodzielnie wszystkimi narzędziami. Sprawdza więc, jak zlecić dostawcy systemu obsługi klienta usunięcie danych i skąd będzie wiedział, że ten je wykonał.

Jeżeli dostawca przetwarza dane w imieniu firmy i zgodnie z jej instrukcjami, jest w tym zakresie podmiotem przetwarzającym, nazywanym też procesorem. Ma pomagać w obsłudze żądań. Kanał zlecenia usunięcia i sposób potwierdzenia sprawdź w umowie powierzenia, często oznaczonej skrótem DPA. Jeśli to Ty utrzymujesz dane w imieniu klienta biznesowego, wykonuj żądanie zgodnie z jego instrukcjami i swoim upoważnieniem.

O usunięciu poinformuj odbiorców, którym wcześniej ujawniono dane, chyba że jest to niemożliwe lub wymaga niewspółmiernie dużego wysiłku. Na żądanie osoby poinformuj ją o tych odbiorcach. Obowiązek ten określa art. 19 RODO. Przy niezależnych partnerach trzeba również ustalić podział odpowiedzialności za dane klientów.

Celina pyta jeszcze o awarię: „A jeśli przywrócimy aplikację z wczorajszej kopii, te dane wrócą?”. Tymek musi uwzględnić to przed zamknięciem sprawy. Zaplanuj usunięcie danych z backupów albo inne rozwiązanie zapobiegające przywróceniu usuniętych informacji do użycia. Takie podejście zaleca CNIL w poradniku dla projektujących obsługę praw osób, po francusku. Samo istnienie backupu nie uzasadnia odmowy. Zmiana nazwiska na numer też nie wystarczy, jeśli osobę nadal można zidentyfikować.

Czy obsługę takich wniosków można zautomatyzować?

Tymek ma już listę systemów i pyta, czy przy następnej prośbie trzeba będzie powtarzać wszystko ręcznie. Rejestrację, przekazywanie zadań i wykonanie ustalonych działań można w dużej części zautomatyzować. Najpierw trzeba jednak ustalić reguły: jak potwierdzasz tożsamość, co usuwasz, co zachowujesz i kiedy sprawa wymaga osobnej oceny. CNIL opisuje m.in. funkcje usuwania danych i automatyczne powiadamianie podmiotów przetwarzających.

W aplikacji tej trójki mogłoby to działać tak:

• Wiadomość lub prośba z konta tworzy sprawę z datą wpływu, terminem i osobą odpowiedzialną. System uwzględnia też prośby przesłane poza formularzem.
• Po odpowiedniej weryfikacji i ustaleniu zakresu system zleca działania w aplikacji i u dostawców, zgodnie z zatwierdzonymi regułami. Dane objęte obowiązkiem przechowywania trafiają do osobnej obsługi.
• Nieudane usunięcie lub brak potwierdzenia od dostawcy powoduje alert i zatrzymuje potwierdzenie pełnej realizacji. Status „zlecono” nie jest traktowany jak „wykonano”.
• Na podstawie potwierdzonych wyników powstaje odpowiedź: co usunięto, co pozostało i dlaczego.

Na początek zalecam przekazywać człowiekowi odmowy, spory i niejasne przypadki. Prosty, prawidłowo zweryfikowany wniosek może przejść ustaloną ścieżkę automatycznie. Nie każda sprawa wymaga ręcznego klikania, ale system potrzebuje sprawdzonych reguł i testów. Samo rozpoznanie przez AI słów „usuń moje dane” nie wystarcza do uruchomienia kasowania ani napisania uzasadnienia odmowy.

Jak Celina zamyka sprawę?

Celina zbiera potwierdzenia Tymka, Jakuba i dostawców. Dzięki temu może odpowiedzieć klientowi konkretnie, zamiast poprzestać na „konto zostało zamknięte”. Wyjaśnia, jakie dane usunięto, jakie pozostały, z jakiego powodu i przez jaki okres będą przechowywane albo jak ten okres jest ustalany. Przy odmowie, również częściowej, podaje przyczynę oraz informację o możliwości skargi do organu nadzorczego i skorzystania z ochrony sądowej.

Wewnętrznie zachowują zwięzły zapis: datę i zakres prośby, sposób sprawdzenia tożsamości, decyzję, wykonane działania i datę odpowiedzi. Do wykazania realizacji nie potrzebujesz automatycznie kopii wszystkich usuniętych danych. Zakres i czas przechowywania samego zapisu też muszą odpowiadać jego celowi.

Jeżeli przy podobnej próbie w Twojej firmie wychodzi, że nikt nie wie, co usuwa przycisk w aplikacji, w ramach wsparcia RODO dla firm technologicznych ustalamy przepływ danych, retencję i odpowiedzialność zespołu oraz dostawców. To podstawa do określenia, które działania można powierzyć narzędziom, a które wymagają oceny konkretnej sprawy.

Przed kolejnym takim mailem przejdź cały proces na koncie testowym. Sprawdź również awarię jednego z narzędzi i przywrócenie kopii zapasowej. Dopiero wtedy zobaczysz, czy za komunikatem „usunięto” stoją wykonane działania.

Wyjaśnienia pojęć i przepisów

Retencja danych

Okres, przez który przechowujesz konkretne dane do określonego celu. Różne informacje o tej samej osobie mogą mieć różne terminy usunięcia. Termin powinien wynikać z rzeczywistej potrzeby lub obowiązku, a nie z samej możliwości przechowywania.

Podmiot przetwarzający, czyli procesor

Odrębna firma lub inny podmiot, który przetwarza dane osobowe w imieniu administratora i zgodnie z jego instrukcjami. Administrator decyduje o celu i zasadniczych sposobach przetwarzania. Procesor pomaga mu obsługiwać żądania osób na zasadach określonych w umowie powierzenia.