Data Subject Rights and Consent Management
Domain ini menguji cara memenuhi permintaan subjek data dan mengelola persetujuan sebagai proses yang dapat dibuktikan, bukan sekadar formulir.
Hak subjek data
- Memperoleh informasi tentang identitas pengendali, dasar kepentingan hukum, tujuan, dan akuntabilitas.
- Melengkapi, memperbarui, dan memperbaiki data.
- Mengakses dan memperoleh salinan data.
- Mengakhiri pemrosesan dan menghapus data.
- Menarik kembali persetujuan.
- Mengajukan keberatan atas pengambilan keputusan otomatis, termasuk profiling yang berdampak signifikan.
- Menunda atau membatasi pemrosesan.
- Memperoleh dan menggunakan data dalam format yang dapat dibaca mesin (portabilitas).
- Menggugat dan menuntut ganti rugi.
Manajemen persetujuan
Bukti minimum yang harus tersedia: identitas subjek, waktu dan kanal persetujuan, versi teks pemberitahuan, tujuan spesifik yang disetujui, dan status penarikan. Persetujuan bersifat granular per tujuan; menambah tujuan baru berarti meminta persetujuan baru. Penarikan harus semudah pemberian, tanpa hambatan berlapis.
Contoh terapan
Pelanggan menarik persetujuan pemasaran dan meminta penghapusan akun. Perusahaan tetap wajib menyimpan data transaksi untuk kewajiban perpajakan dan anti pencucian uang. Penalaran: hak penghapusan tidak absolut; pengendali menghapus data yang tidak lagi diperlukan, membatasi pemrosesan sisanya hanya untuk tujuan hukum, menghentikan pemasaran segera, dan menyampaikan alasan penolakan sebagian secara tertulis kepada subjek data.
Jebakan
- Memperlakukan hak penghapusan sebagai absolut dan mengabaikan retensi wajib.
- Diam atau tidak memilih dianggap persetujuan.
- Satu centang untuk semua tujuan pemasaran dan profiling.
- Tidak mencatat penarikan sehingga data tetap dipakai untuk kampanye.