Richieste di accesso dell'interessato: un processo di risposta tracciabile

Una richiesta di accesso dell'interessato mette alla prova la capacità di un'organizzazione di collegare una persona alle informazioni che detiene su di lei, spiegare come tali informazioni vengono utilizzate e fornire una risposta difendibile. La parte difficile raramente è esportare il profilo di un cliente. È trovare le registrazioni collegate, risolvere le corrispondenze di identità, proteggere le informazioni di altre persone e dimostrare che cosa è stato verificato.

Per un CTO si tratta di una capacità operativa con confini giuridici. Le applicazioni devono offrire percorsi di ricerca utilizzabili; i responsabili dei sistemi hanno bisogno di responsabilità chiare; i revisori hanno bisogno del contesto delle fonti; e la comunicazione finale richiede una consegna sicura. Un'informativa privacy non può sostituire questi meccanismi.

Un processo tracciabile collega ricezione, ricerche, decisioni di revisione e consegna. Dovrebbe consentire a un secondo revisore di rispondere a quattro domande: abbiamo cercato nei posti giusti? Abbiamo identificato la persona giusta? Abbiamo fornito le informazioni richieste? Possiamo spiegare ciò che è stato trattenuto?

Capire che cosa deve contenere la risposta

Ai sensi dell'articolo 15 del GDPR, una persona può ottenere la conferma che sia o meno in corso un trattamento di dati personali che la riguardano, l'accesso a tali dati e informazioni sul trattamento. In inglese la richiesta di accesso dell'interessato viene spesso abbreviata in SAR o DSAR, ma non è necessario che la richiesta usi questi termini.

Un'e-mail con scritto «Inviatemi tutto ciò che avete su di me» può essere una richiesta valida. La persona non deve spiegare le proprie motivazioni né utilizzare un modulo interno. Un modulo può facilitare la ricezione, ma non dovrebbe diventare un ostacolo all'esercizio del diritto.

La risposta ha due componenti distinte: i dati personali in quanto tali e la spiegazione che li accompagna. Un elenco di categorie come «dati di contatto, acquisti e registrazioni dell'assistenza» non sostituisce una copia dei dati.

Queste risposte devono riflettere il contesto di trattamento effettivo della persona. Un'informativa privacy standard è un utile riferimento, ma può non spiegare un'escalation insolita dell'assistenza, una valutazione in fase di selezione o una specifica comunicazione a terzi.

La responsabilità di rispondere spetta al titolare del trattamento. Se la vostra organizzazione agisce come responsabile del trattamento, inoltrate la richiesta al titolare e prestate assistenza secondo gli accordi applicabili. L'articolo 28 impone al responsabile del trattamento di assistere il titolare in relazione ai diritti dell'interessato, tenendo conto della natura del trattamento. Un'impresa può essere titolare per la gestione degli account e responsabile per i contenuti ospitati per conto dei clienti, quindi occorre determinare il ruolo per ciascun insieme di dati pertinente.

Creare un fascicolo prima di raccogliere i dati

Create un identificativo della pratica e conservate la richiesta originale. Registrate il momento in cui è pervenuta per la prima volta all'organizzazione, non soltanto quello in cui il team privacy ha aperto un ticket. Formate i team di assistenza, risorse umane, vendite e le altre funzioni a contatto con il pubblico affinché riconoscano le richieste e le inoltrino tempestivamente.

Il fascicolo iniziale dovrebbe contenere i recapiti del richiedente, gli identificativi noti, il testo della richiesta, la data di ricezione, il termine calcolato, il responsabile, il revisore ed eventuali rappresentanti che agiscono per conto della persona. Registrate la corrispondenza successiva nella stessa pratica.

Evitate di inserire i dati da comunicare, in forma grezza, in un service desk ampiamente accessibile. Un ticket generico può rimandare a un fascicolo ad accesso limitato senza esporre esportazioni sensibili a chiunque si occupi di assistenza.

Assegnate le responsabilità prima della prima esportazione. Il responsabile della pratica coordina scadenze e corrispondenza; i responsabili dei sistemi garantiscono la copertura delle ricerche; un revisore privacy o legale valuta le limitazioni; e una persona autorizzata approva il rilascio. In una piccola organizzazione una persona può ricoprire più ruoli, ma per le comunicazioni sensibili un controllo indipendente resta utile. Se è stato nominato un DPO, preservatene il ruolo indipendente di consulenza e sorveglianza, invece di renderlo responsabile di ogni estrazione tecnica o decisione organizzativa sul trattamento.

Considerare la gestione delle scadenze come un controllo

L'articolo 12, paragrafo 3 impone di intervenire senza ingiustificato ritardo e, comunque, di norma entro un mese dal ricevimento della richiesta. Se necessario, tenuto conto della complessità e del numero delle richieste, il termine può essere prorogato di due mesi. Il richiedente deve esserne informato entro il primo mese, con l'indicazione dei motivi.

Utilizzate un calcolo basato sul calendario invece di presumere che un mese equivalga a 30 giorni. Registrate il calcolo del termine applicabile e programmate un punto decisionale interno anticipato. Una raccomandazione pratica è verificare la copertura delle ricerche e l'eventuale necessità di proroga con largo anticipo rispetto alla scadenza del primo mese.

Una proroga non è una concessione automatica per carenza di personale. Documentate le circostanze specifiche, ad esempio registrazioni storiche distribuite che richiedono un'ampia revisione di dati di terzi. Se l'organizzazione decide di non dare seguito alla richiesta, l'articolo 12, paragrafo 4, impone di informare la persona entro un mese dei motivi e della possibilità di proporre reclamo e ricorso giurisdizionale.

Tenete traccia separatamente delle domande sull'identità e delle richieste di chiarimento. Non inserite nel processo una presunta ripartenza o sospensione dei termini senza verificare la posizione giuridica applicabile. Ponete tempestivamente le domande necessarie e portate avanti il lavoro che può procedere in sicurezza.

Verificare l'identità in modo proporzionato

L'articolo 12, paragrafo 6, consente di richiedere ulteriori informazioni in caso di ragionevoli dubbi sull'identità. L'obiettivo è impedire la comunicazione a un impostore, non raccogliere un ulteriore insieme di dati identificativi non necessario.

Un account autenticato e un canale di contatto consolidato possono offrire una garanzia sufficiente per le normali registrazioni dell'account. Una richiesta proveniente da un indirizzo sconosciuto e relativa a informazioni storiche e sensibili sul rapporto di lavoro può richiedere verifiche più rigorose. Se è coinvolto un rappresentante, verificatene i poteri oltre all'identità pertinente.

Registrate il motivo del dubbio, le prove richieste e l'esito della verifica. È preferibile registrare che un controllo ha avuto esito positivo piuttosto che conservare a tempo indeterminato un documento d'identità completo. Applicate una regola di conservazione adeguata a qualsiasi materiale di verifica conservato.

La pianificazione interna e le ricerche ad accesso limitato possono spesso iniziare prima che l'identità sia accertata; la comunicazione dei dati no. Tenete separate queste attività, così che la verifica protegga la persona senza ritardare inutilmente l'individuazione delle fonti.

Chiarire senza restringere tacitamente la richiesta

Se una persona menziona sia le registrazioni dell'account sia un rapporto di lavoro, chiarite se desidera entrambe. Quando l'organizzazione detiene un grande volume di informazioni, chiedere quali attività o periodi siano rilevanti può rendere la risposta più utile. Spiegate che cosa comprende l'ambito proposto e conservate la risposta della persona.

Non interpretate il silenzio come consenso a cercare soltanto nel sistema più semplice. Se il chiarimento resta in sospeso, il responsabile della pratica ha bisogno di una decisione documentata sull'ambito e, ove opportuno, di un parere legale. Le spiegazioni del richiedente possono orientare le ricerche, ma per esercitare il diritto di accesso non dovrebbe essere necessario conoscere i nomi dei vostri database o i vostri identificativi interni.

Trasformare la mappa dei dati in un piano di ricerca

La ricerca dovrebbe partire dalle attività di trattamento e dai sistemi collegati alla persona, non dal pulsante di esportazione più facile da trovare. Una mappa dei dati utile individua applicazioni, archivi documentali, responsabili del trattamento, titolarità e relazioni tra gli identificativi.

Un cliente può avere un ID account, un ID di fatturazione, un ID di assistenza, un vecchio indirizzo e-mail e un identificativo pseudonimo per le analisi. Un dipendente può avere identificativi per anagrafica del personale, buste paga, controllo degli accessi e dispositivi. Se queste relazioni non sono comprese, una ricerca per nome può produrre sia omissioni sia false corrispondenze.

Create un registro delle fonti per la pratica. Ogni riga dovrebbe indicare una fonte, il relativo responsabile, il metodo di ricerca, l'insieme di identificativi, la posizione dei risultati, i limiti e il revisore. Registrate anche le ricerche senza risultati, oltre a quelle andate a buon fine.

Cercare oltre la registrazione principale

I dati personali possono comprendere opinioni, valutazioni, preferenze dedotte, note interne e registrazioni di attività. Non si limitano alle informazioni inserite dalla persona stessa. Allo stesso tempo, non ogni documento che menziona un nome costituisce interamente dati personali di quella persona da comunicare.

Includete allegati pertinenti, ticket archiviati, file condivisi e sistemi secondari utilizzati dall'azienda. Cercate gli identificativi storici se restano collegati alla persona. Per la posta elettronica, individuate i custodi e il contesto pertinenti invece di esportare alla cieca ogni messaggio che contiene un cognome diffuso.

I log tecnici richiedono interpretazione. Un orario di accesso, un identificativo di dispositivo o un evento di accesso dell'assistenza possono essere dati personali se collegati al richiedente. Documentate il significato dei campi e se un orario è in UTC o in ora locale. Le identità dei dipendenti presenti nei log di accesso richiedono una valutazione separata; non date per scontato che ogni nome di operatore debba essere comunicato solo perché compare accanto a un evento.

Anche i backup richiedono una valutazione esplicita. Registratene finalità, accessibilità, conservazione e se determinate informazioni pertinenti esistono soltanto lì. Non considerate ogni backup escluso automaticamente e non ripristinate un intero ambiente di produzione in uno spazio di revisione non controllato. Se necessario, sottoponete a escalation le questioni di recupero e di ambito.

Rendere riproducibili i risultati delle ricerche

Conservate dettagli sufficienti affinché un altro revisore autorizzato possa capire come è stata svolta la ricerca. Possono rientrarvi il testo della query, le impostazioni dello strumento, la copertura temporale, la versione dell'esportazione e i limiti noti. Non copiate credenziali o segreti nel fascicolo.

Utilizzate una data di riferimento comune per l'estrazione e registrate le modifiche che intervengono durante la gestione. Stabilite come verrà trattata l'attività successiva, invece di lasciare che responsabili diversi esportino istantanee incoerenti senza spiegazione.

Tenete le esportazioni delle fonti separate dalle copie di lavoro. Assegnate riferimenti stabili ai file o ai gruppi di record, quindi collegate le decisioni di revisione a tali riferimenti. La deduplicazione può ridurre il lavoro di revisione, ma verificate se record apparentemente identici contengano annotazioni, destinatari o orari diversi.

Una ricerca senza risultati non prova l'assenza di dati se la query ha utilizzato l'identificativo sbagliato o se l'esportazione ha omesso gli elementi archiviati. Chiedete ai responsabili di confermare la copertura, non soltanto di aver cliccato su «Esporta».

Segnalare le fonti mancanti finché c'è tempo per intervenire

Un responsabile del trattamento che non ha risposto, un archivio inaccessibile e un'esportazione non riuscita sono problemi diversi. Registrate ciascuno esplicitamente, con un responsabile e un'azione successiva. Una ricerca non riuscita non deve comparire nel registro come «nessun dato trovato».

Per l'assistenza dei responsabili del trattamento, specificate gli identificativi, i dati richiesti, il periodo pertinente e il formato della risposta, poi verificate se il materiale restituito copre la richiesta. Gli accordi contrattuali di assistenza dovrebbero prevedere un referente utilizzabile e un percorso di escalation. L'obbligo di risposta del titolare non si trasferisce a un fornitore solo perché la raccolta dipende da quel fornitore.

Se una lacuna mette a rischio la completezza o i tempi, segnalatela prima del rilascio. Valutate ulteriori ricerche, un'eventuale proroga legittima e la spiegazione necessaria per il richiedente. Non nascondete una copertura non risolta dietro una dichiarazione generica secondo cui tutti i sistemi sono stati verificati.

Valutare pertinenza, contesto e diritti dei terzi

La raccolta produce un insieme di dati candidato, non un pacchetto di risposta. La revisione umana deve stabilire se ogni elemento riguarda il richiedente, se è comprensibile e se la sua comunicazione incide sui diritti di qualcun altro.

Utilizzate un semplice registro delle decisioni: comunicare, comunicare con oscuramenti, escludere perché non pertinente, oppure trattenere in base a una limitazione applicabile. Registrate il riferimento alla fonte, il revisore, il motivo e l'eventuale escalation. Per decisioni ripetitive di routine può essere appropriata una regola documentata applicata in blocco, purché le eccezioni restino visibili.

Fornire dati comprensibili, non un'esportazione priva di spiegazioni

La copia deve consentire alla persona di comprendere i propri dati. Le esportazioni strutturate possono funzionare bene se nomi delle colonne, codici, relazioni e orari sono spiegati. Un file di database pieno di codici di stato non documentati è tecnicamente leggibile, ma potrebbe non essere comprensibile.

A volte un estratto è sufficiente; a volte è necessario il contesto del documento per comprendere le informazioni. Per esempio, «punteggio di rischio: 42» dice poco senza il significato del punteggio e il contesto della valutazione. Valutate se siano necessari ulteriori estratti o documenti, invece di presumere che si debbano inviare tutti i documenti originali o che una sintesi sia sempre sufficiente.

Per i processi decisionali automatizzati applicabili, spiegate in termini comprensibili la logica utilizzata, l'importanza e le conseguenze previste. Un algoritmo grezzo o una vaga affermazione secondo cui «l'IA valuta il rischio» potrebbero non rispondere alla domanda. Coinvolgete il responsabile del sistema e il revisore legale per stabilire che cosa richieda l'articolo 15, paragrafo 1, lettera h), per quel caso d'uso.

Oscurare in modo selettivo e verificare il risultato

L'articolo 15, paragrafo 4, tutela i diritti e le libertà altrui. Una conversazione condivisa può contenere informazioni sul richiedente, i dati dell'account di un altro cliente e circostanze private di un dipendente. Valutate ogni elemento invece di trattenere per impostazione predefinita l'intera conversazione.

L'oscuramento dovrebbe preservare, per quanto possibile, il contesto significativo per il richiedente. Riservatezza, proprietà intellettuale o privacy di un'altra persona possono richiedere protezione, ma un'etichetta generica «riservato» non costituisce un'analisi completa. Possono applicarsi anche limitazioni previste dal diritto nazionale; registrate la base giuridica effettiva e il ragionamento.

L'oscuramento tecnico richiede un proprio controllo di qualità. Rimuovete, ove necessario, testo nascosto, commenti, revisioni tracciate, metadati dei documenti, fogli di calcolo nascosti e allegati incorporati. Verificate che i riquadri neri non possano essere rimossi e che il testo sottostante non possa essere copiato. Riaprite i file finali con un visualizzatore diverso dallo strumento di modifica.

Per i casi sensibili, separate la preparazione dall'approvazione. Una persona esegue gli oscuramenti; un'altra verifica sia le comunicazioni accidentali sia le rimozioni eccessive. Mantenete ad accesso limitato la fonte non oscurata e distinguetela chiaramente dalla copia da rilasciare.

Assemblare e consegnare una risposta completa

Create un pacchetto di risposta con una lettera di accompagnamento, i dati personali, una guida ai formati o ai codici e le informazioni richieste sul trattamento. Spiegate le limitazioni rilevanti o le decisioni di non comunicare in un linguaggio comprensibile per il richiedente, senza esporre le informazioni protette.

Verificate le informazioni sui destinatari rispetto alle comunicazioni effettive che riguardano la persona. Un catalogo aggiornato dei fornitori può includere fornitori che non hanno mai ricevuto i suoi dati e omettere un fornitore precedente che li ha ricevuti. Allo stesso modo, le risposte sulla conservazione dovrebbero distinguere i diversi insiemi di dati invece di indicare un unico periodo per tutto.

Prima dell'approvazione, eseguite un controllo di rilascio:

• Il destinatario e il canale di consegna corrispondono al richiedente verificato o al rappresentante autorizzato.
• Tutte le fonti previste hanno un esito, comprese le limitazioni non risolte.
• La copia contiene i dati del richiedente e non la registrazione simile di un'altra persona.
• Le informazioni di cui all'articolo 15 sono complete e coerenti con le registrazioni raccolte.
• Oscuramenti, allegati, nomi dei file e contenuti nascosti sono stati verificati.
• La risposta spiega le vie di reclamo applicabili e le decisioni rilevanti.
• Le modalità di consegna e di accesso sono adeguate alla sensibilità delle informazioni.

L'articolo 32 richiede una sicurezza adeguata al rischio; non prescrive un unico metodo di consegna universale. Un download autenticato con accesso limitato può essere adatto. In alcune circostanze può essere appropriato un trasferimento cifrato o un altro canale controllato. Evitate di inviare esportazioni sensibili come normale allegato e-mail solo perché è comodo.

Verificate l'esperienza del destinatario. Riesce ad aprire il formato, comprendere i contenuti e scaricare il pacchetto prima che l'accesso scada? Conservate la prova dell'invio o della messa a disposizione della risposta e distinguetela dalla prova che vi sia stato effettivamente accesso.

La pratica dovrebbe conservare la richiesta originale, la corrispondenza, le ricerche, le motivazioni della revisione, la risposta approvata e la registrazione della consegna secondo una policy di conservazione adeguata. Il pacchetto assemblato concentra un rischio per la privacy: limitatene l'accesso, eliminate le copie temporanee ed evitate di conservare a tempo indeterminato ogni esportazione grezza soltanto per dimostrare la responsabilizzazione.

Trattare contributi spese, rifiuti e cancellazione come decisioni distinte

Le richieste sono di norma gratuite. Ai sensi dell'articolo 12, paragrafo 5, una richiesta manifestamente infondata o eccessiva può giustificare un contributo spese ragionevole basato sui costi amministrativi oppure il rifiuto di soddisfarla. Incombe al titolare l'onere di dimostrare tale condizione. L'articolo 15, paragrafo 3, consente inoltre di addebitare un contributo spese ragionevole basato sui costi amministrativi per ulteriori copie.

Una richiesta ampia, una controversia di lavoro o un carico di lavoro scomodo non sono di per sé sufficienti. Sottoponete a revisione legale i contributi spese e i rifiuti proposti, documentate le prove e fornite la spiegazione e le informazioni sui mezzi di ricorso richieste. Non lasciate che il personale di assistenza in prima linea decida se le motivazioni di una persona siano accettabili.

Anche accesso e cancellazione richiedono valutazioni diverse. Se qualcuno chiede una copia e poi la cancellazione, tenete traccia esplicitamente di entrambi i diritti. Non cancellate le evidenze necessarie per rispondere alla richiesta di accesso senza considerare l'interazione tra i due.

L'articolo 17 prevede eccezioni, tra cui i casi in cui il trattamento è necessario per adempiere un obbligo legale o per l'esercizio di un diritto in sede giudiziaria. Individuate l'obbligo effettivo, le registrazioni interessate e il periodo di conservazione applicabile. I periodi variano a seconda della giurisdizione e del tipo di registrazione; «lo richiede l'amministrazione» non è una spiegazione adeguata.

Gli obblighi di conservazione possono limitare la cancellazione, ma non eliminano di per sé il diritto di accesso. Cancellate ciò che deve essere cancellato, conservate ciò che ha una base valida e controllate l'uso successivo. Qualsiasi decisione di limitazione del trattamento dovrebbe essere valutata secondo le regole applicabili, invece di essere considerata una conseguenza automatica di ogni rifiuto di cancellazione.

Una cattiva gestione dei diritti di accesso può comportare reclami, provvedimenti delle autorità e possibili richieste di risarcimento. L'articolo 83, paragrafo 5, colloca le violazioni dei diritti degli interessati nella fascia più elevata di sanzioni amministrative pecuniarie, fino a 20 milioni di euro o al 4 % del fatturato mondiale annuo, se superiore. Le conseguenze effettive dipendono dai fatti; la lezione operativa è garantire sia un intervento tempestivo sia le evidenze di una risposta completa.

Esempio pratico: un cliente con identificativi storici

Consideriamo, a titolo illustrativo, un'azienda di software che agisce come titolare del trattamento per gli account dei clienti e i dati di fatturazione. Un ex cliente richiede tutti i dati personali che lo riguardano. Supponiamo che l'azienda disponga di un database applicativo, un servizio di fatturazione, una piattaforma di assistenza, la posta elettronica del personale e un servizio di analisi ospitato da un responsabile del trattamento. Sono ipotesi esemplificative, non tempi di risposta attesi né funzionalità di prodotto.

La richiesta arriva tramite l'assistenza il 4 maggio. Il responsabile della pratica registra immediatamente la ricezione e calcola il termine ordinario. Il mittente usa un nuovo indirizzo, quindi il team pone domande di verifica proporzionate attraverso un canale di contatto consolidato dell'account. Non chiede per impostazione predefinita un passaporto.

La persona conferma un precedente indirizzo e-mail. Le registrazioni dell'applicazione collegano entrambi gli indirizzi a un unico ID account; la fatturazione utilizza un ID cliente separato. Il registro delle ricerche riporta queste relazioni, così che i responsabili non cerchino soltanto il nuovo indirizzo.

L'assistenza trova ticket e allegati. La fatturazione fornisce fatture e registrazioni sullo stato dei pagamenti, non dati non pertinenti dei titolari delle carte. Le ricerche nella posta elettronica riguardano l'account manager e il responsabile di un'escalation dell'assistenza. Al responsabile del trattamento che gestisce le analisi vengono richiesti le registrazioni pertinenti e le corrispondenze tra identificativi applicabili.

La revisione individua una nota interna che descrive il reclamo del cliente e un allegato che contiene informazioni su un altro cliente. La nota viene valutata come dato personale relativo al richiedente. L'allegato viene sottoposto a oscuramenti mirati. Un'esportazione degli eventi viene fornita con un glossario dei campi e una spiegazione del fuso orario.

La risposta spiega le finalità del trattamento, i destinatari pertinenti, la conservazione per ciascun insieme di dati, i diritti, le fonti e le garanzie applicabili ai trasferimenti. Il revisore conferma che la ricerca copre i ticket di assistenza archiviati. Il pacchetto approvato viene consegnato tramite un canale autenticato e l'evento di consegna viene registrato.

Emerge un miglioramento: l'identificativo di fatturazione mancava dalla mappa dei dati. Il team assegna un'attività correttiva per aggiornare quella relazione e verificarla durante la prossima esercitazione. La richiesta ha prodotto sia una risposta sia un miglioramento misurabile della copertura futura.

Usare l'automazione entro confini di revisione espliciti

L'automazione può supportare lo smistamento delle richieste in arrivo, i promemoria, la ricerca degli identificativi, la preparazione delle esportazioni, la deduplicazione e le proposte di oscuramento. Il suo valore dipende dalla copertura delle fonti e dalle autorizzazioni. Un connettore che cerca soltanto nelle registrazioni attive non può giustificare l'affermazione che è stato consultato un archivio.

La preparazione assistita dall'IA dovrebbe restare una bozza. Validate corrispondenze di identità, materiale omesso, sintesi, oscuramenti e conclusioni giuridiche. Non sottoponete un pacchetto di dati da comunicare a un ambiente di modelli non approvato. Applicate il principio del privilegio minimo, valutazioni adeguate dei responsabili del trattamento e dei trasferimenti e controlli sulla conservazione e sugli usi successivi.

Il modello documentato di evidenze e responsabilità di Secani può supportare la governance di questo lavoro: modellare i sistemi e i fornitori pertinenti, assegnare responsabili e revisori e collegare le evidenze a requisiti e decisioni. I limiti delle ricerche e le responsabilità mancanti possono diventare attività, mentre collegamenti alle fonti, commenti, approvazioni e marcature temporali preservano la traccia della revisione. Le ricerche sottostanti, le valutazioni giuridiche e la consegna sicura richiedono comunque un processo operativo implementato in modo adeguato.

Domande che emergono dopo la consegna

E se il richiedente segnala una registrazione mancante?

Riaprite la valutazione della copertura invece di considerare la consegna come prova di completezza. Verificate l'identificativo, la fonte e i limiti della ricerca originale. Se la risposta era incompleta, predisponete tempestivamente un'integrazione adeguata e conservate la spiegazione insieme al registro della decisione originale. Aggiornate il metodo di ricerca se l'omissione rivela un errore ripetibile.

E se l'organizzazione non detiene alcun dato personale?

Dopo ricerche adeguate, rispondete confermando che non è in corso alcun trattamento di dati personali, invece di lasciare la richiesta senza risposta. Mantenete le evidenze delle ricerche proporzionate alle circostanze. Distinguete un risultato realmente negativo dall'impossibilità di individuare un account con gli identificativi forniti.

E se il pacchetto raggiunge la persona sbagliata?

Contenete immediatamente l'accesso, ove possibile, e avviate la valutazione della violazione dei dati personali. Non date per scontato che ogni consegna errata debba automaticamente essere notificata, né che una richiesta di restituzione risolva il problema. Valutate le informazioni esposte, i destinatari e i rischi ai sensi degli articoli 33 e 34 e documentate la decisione sulla notifica separatamente dalla correzione della risposta alla richiesta di accesso.

Esercitarsi prima della prossima richiesta reale

Partite da un esempio controllato e da un insieme noto di record predisposti. Includete un identificativo vecchio, un riferimento a terzi, un elemento archiviato e una registrazione detenuta da un responsabile del trattamento. Verificate se il processo individua ciascuno di essi e produce una risposta comprensibile e oscurata in modo sicuro.

Misurate le fonti non coperte, le responsabilità non assegnate, gli errori sugli identificativi, le rilavorazioni in fase di revisione e i problemi di consegna, non solo la rapidità con cui si chiude un ticket. Aggiornate la mappa dei dati e le istruzioni di ricerca in base ai risultati. Un'esercitazione utile si conclude con una copertura verificata, responsabili nominati per le azioni correttive e un registro della risposta che un altro revisore possa seguire.