Solicitud de archivo de trabajo debido al Reglamento General de Protección de Datos (GDPR)

He recibido una solicitud para proporcionar al cliente todos sus archivos (incluidos los documentos de InDesign) debido al Reglamento General de Protección de Datos (GDPR). Mi cliente también quiere que elimine los archivos de mi máquina. Realmente no me siento cómodo haciendo esto, ya que el tiempo involucrado también se perdería, ya que no querrán pagar.

¿Cómo debo responder a tal solicitud?

TL: DR El cliente está fundamentalmente equivocado sobre el tipo de datos cubiertos por GDPR, aunque posiblemente haya cosas en los archivos que están cubiertos por él. No debe enviarles los archivos, aunque debe responder con cualquier información personal que contenga.

Estoy haciendo parte del trabajo de protección de datos para mi empresa, así que he estado leyendo mucho sobre esto. Definitivamente no soy un abogado, por lo que un montón de esto debería tomarse con una pizca de sal. Dicho esto, este ejemplo tiene un curso de acción correcto bastante claro:

• GDPR cubre solo información personal relacionada con individuos https://ec.europa.eu/info/law/law-topic/data-protection/reform/what-does-general-data-protection-regulation-gdpr-govern_en

• Esto significa que lo único afectado en su diseño por GDPR es la información personal

• Por lo tanto, su respuesta solo debe cubrir la información personal contenida en su diseño. ¿Puso una dirección de correo electrónico personal en la de ellos? ¿Hay un nombre o dirección de cliente en el texto? alguna foto de clientes o personas en general? Si es así, envíeles un correo electrónico indicando la información personal que encontró en el diseño y preguntándoles si desean que elimine esos bits específicos

• Si dicen que sí, elimine las direcciones de correo electrónico / cualquier nombre / fotos del cliente y cualquier otra información personal que pueda encontrar.

• Recuerde eliminarlo también de cualquier copia de seguridad que tenga y del historial del archivo. Si se siente amigable, es posible que desee señalar que esto hará que los archivos sean más difíciles de usar para ellos

• No pueden forzarlo a entregar la propiedad de los archivos bajo GDPR. A menos que se indique en el contrato, siguen siendo su propiedad intelectual.

Editar: olvidé un poco importante. Esto solo se aplica a los datos personales de la persona que realiza la solicitud. Cualquier otra cosa, incluso los datos de uno de sus empleados, no están cubiertos, y probablemente no pueda ni deba entregar ninguno de los datos. Sus empleados deberán realizar sus propias solicitudes de sus datos personales. Sin embargo, para protegerte, probablemente valga la pena revisar y eliminar cualquier información personal innecesaria que tengas.

Espero que sea útil!

Realmente no importa POR QUÉ el cliente quiere que elimines tus archivos y les envíes todo.

Me parece que el cliente está usando GDPR como excusa y nada más. Quiero decir, prácticamente cualquier diseño es material promocional y cualquier información personal posible (nombre, dirección, contacto, correo electrónico, etc.) se hizo pública a través de las promociones. No son "datos personales almacenados". Su cliente está siendo terriblemente incompleto aquí, en mi opinión.

Cargo por la entrega del archivo. Después de recibir el pago, envíe los archivos y una carta explicando que todos los archivos se eliminarán de sus máquinas y copias de seguridad y ya no conservará ningún archivo relacionado con el cliente, una vez que se le haya notificado que recibió los archivos. Luego entre y elimine todo después de recibir la confirmación del recibo (ya que han pagado por esto).

Recuerde, incluso si le pagan , no puede enviarles ninguna fuente o imagen de stock que haya comprado y utilizado. Esos son por lo general con licencia para usted y compartir esos artículos pondría usted en incumplimiento de un acuerdo de licencia relacionados con ellos. El cliente deberá ir y comprar las fuentes e imágenes necesarias para admitir los diseños.

Es el problema del cliente si luego necesita algo alterado o creado. Simplemente necesita estar seguro de que le pagan por los archivos.

Si el cliente no quiere pagar nada ... no le dé los archivos, no elimine nada . Son tus archivos . Ninguna parte externa puede obligarlo a hacer nada con los activos de su negocio (que no sean las fuerzas del orden).

Si el cliente comienza a hacer gofres y se vuelve beligerante y exige archivos, simplemente rechace cortésmente a menos que se reciba el pago.

En el peor de los casos, pierde a este cliente (lo que va a hacer de todos modos por el sonido de las cosas), y el cliente siente que necesita hacer un espectáculo del asunto y presentar una demanda o algo así. El traje, en mi opinión, tiene una baja probabilidad. Sin embargo, pueden mencionarlo para usarlo como una táctica para intimidarlo para que haga lo que quiere. Si bien no soy abogado , dudo que ganen una demanda que lo obligue a eliminar sus activos comerciales.

En resumen, mi postura sería:

Estoy feliz de. El precio de todos los archivos es $ X. Una vez que se reciba el pago, reenviaré todo lo que tengo y luego lo eliminaré de mis sistemas una vez que sepa que lo ha recibido.

Cliente:

No estamos pagando

Yo:

Entonces lo siento. No entregaré archivos ni eliminaré nada sin pago.

Cliente:

Nosotros demandaremos!

Yo:

Bueno. Eres libre de hacer lo que consideres necesario. El precio de los activos de mi empresa en relación con el trabajo que he completado para [nombre de la empresa] es $ x. Estoy muy feliz de cumplir con su solicitud una vez que se reciba el pago. Gracias.

He trabajado en proyectos altamente secretos donde los datos de la empresa eran privados y pretendían permanecer privados dentro de un grupo pequeño. Esto siempre se me presentó como datos altamente confidenciales que "no se deben compartir con nadie". No estoy hablando de ningún acuerdo de confidencialidad, datos más generales de los que tenía conocimiento para completar un proyecto (principalmente los datos financieros de la empresa). Los clientes de estos proyectos siempre presentaron este asunto por adelantado al comienzo de los proyectos. Entonces, estaba al tanto de la confidencialidad. Pero incluso tratando con compañías multimillonarias de esta manera, nunca me pidieron que elimine y elimine mis archivos, simplemente me pidieron que mantenga la privacidad de los archivos.

Si estos clientes me pidieran que eliminara cosas y les enviara todos los archivos, ciertamente entendería la solicitud . Pero también les cobraría por entregar archivos.

Si solo quisieran que eliminara archivos sin entregarlos, probablemente negociaría un acuerdo ... como en ... elimino los datos privados de las piezas pero mantengo el diseño intacto para usarlo como muestras de cartera. Dándoles la aprobación de los diseños alterados para que puedan verificar que la información privada haya sido eliminada.

Trabajo por contrato : si tiene un contrato de trabajo por contrato, o es un "empleado", entonces ellos son los dueños de todo. Cumplir con su solicitud sin pago o emisión. Los archivos no son tuyos.

Este no es un consejo legal, así que no lo tome como tal. Es posible que desee leer en GDPR. Pero no solo google para ir directamente a la fuente:

1. Lo que la comisión europea tiene que decir sobre GDPR
2. La regulación actual también está disponible

Ahora GDPR no dice nada sobre la liberación de archivos fuente. En cambio, es bastante razonable en su alcance. Lo que básicamente dice es:

• Los datos personales son importantes.
• Debe tener un motivo para almacenar datos personales.
• Debe documentar qué datos almacena, por qué, para qué propósito y por cuánto tiempo. Tan simple como sea posible, con el documento disponible para sus clientes.
• La persona a quien pertenecen los datos personales tiene derecho a solicitar una revisión de los datos. Esto se puede hacer de muchas maneras, pero no especifica que eso significa que debe proporcionarlo en la forma exacta en que lo almacenó.
• La persona tiene derecho a hacer correcciones a los datos personales.
• La persona tiene derecho a solicitar la eliminación de los datos personales.
• También le dice que no puede usar los datos sin restricciones
  • Por lo tanto, no puede simplemente dárselo a terceros
• Debe proteger dichos datos de terceros y el mal uso.

También aborda algunas cosas sobre cómo obtener el consentimiento, etc.

Por lo tanto, su cliente puede solicitar revisar los datos que ha almacenado y la política de retención de datos que tiene (para fines de pago, por ejemplo). Este no tiene que ser el archivo inDesign, puede copiar las partes relevantes del texto, por ejemplo, y enviarlo al cliente, por ejemplo, si y solo si son los datos del cliente para empezar.

Pero no soy abogado, no sé casi nada acerca de cómo un abogado europeo interpretaría las definiciones relativamente poco precisas.

PD: Si crees que GDPR es realmente estricto y pesado. Sí, es solo un síntoma de tener que legalizar un comportamiento razonable. Cuando algo que debería haber estado haciendo de todos modos se inscribe en una ley, se pierde todo tipo de comportamiento razonable, ya que una ley es un instrumento muy contundente que se aplica a todos los que tienen alcance, sea razonable o no.

GDPR es una situación complicada y todo depende del tipo de contrato que tenga con su cliente. Por lo tanto, esto es principalmente un problema legal antes de llegar a la parte de InDesign.

Además, el RGPD es un problema legal importante para las empresas y uno que implica múltiples costos y el RGPD no lo obliga a usted como proveedor externo a entregar los archivos de forma gratuita.

En teoría, pueden tomar medidas para proteger el trabajo propietario realizado por terceros, pero en la práctica, por otro lado, puede establecer un precio por la entrega de los archivos.

Sin embargo, si hizo el trabajo como empleado, probablemente no tendrá mucho con qué jugar y tendrá que suministrar todo y eliminar todo de su computadora personal.

También vea esta pregunta: el cliente a largo plazo quiere archivos de trabajo

No entiendo qué GDPR tiene que ver con sus archivos.

Si está trabajando en los Datos personales que le proporcionó su cliente, entonces elimina esos archivos y otros que contienen los datos (por ejemplo, archivos de trabajo) y emite una declaración al cliente de que lo ha hecho.

Esto protege al cliente en caso de que surja algo; pueden mostrar que los datos fueron destruidos.

Proporcionar archivos para ellos es algo totalmente diferente y requiere una tarifa. Ya sea descrito en el contrato o declarado en uno completamente nuevo solo para manejar los archivos.

Esas dos cosas no están conectadas entre sí. Incluso en el RGPD, las guías de "buenas prácticas" establecen que los archivos de datos deben destruirse y no devolverse al proveedor.

Según el RGPD, debe eliminar los datos personales. No dice nada acerca de sus archivos comerciales o sus productos. No los regales. No estás obligado a dar esos archivos.

Solo está obligado a proporcionar una descripción general de los datos recopilados, este podría ser un archivo de texto que describe qué datos tiene dónde. También está obligado cuando se le solicite actualizar los datos o eliminarlos.

Además, no olvide las leyes fiscales. En virtud de la mayoría de las leyes fiscales, debe conservar los datos durante X años si recibió dinero para fines de auditoría. Eliminar esta información puede ser ilegal / causar muchos problemas cuando se realiza una auditoría.

Lo que tendrá que hacer es auditar qué información personal tiene del cliente dónde (que ya debería tener)

Envíe capturas de pantalla de datos personales en los documentos que ha realizado. Envíe un resumen de qué datos tiene dónde. Haga una lista de datos que no pueda eliminar legalmente (facturas impresas, extractos de cuentas bancarias, etc.), pero dígale cuándo se eliminarán cuando haya expirado el plazo de auditoría. Puede anonimizarlo en el software de auditoría, anote que la información real se encuentra en los documentos archivados impresos para la auditoría.

Documente también la solicitud de eliminación. Guárdelo impreso en una carpeta en algún lugar, notifique a la entidad privada que también es un lugar donde se almacenarán sus datos, para que pueda cubrirse el culo.

Recuerde que puede anonimizar datos en lugar de eliminarlos directamente. Por lo tanto, cambiar los correos electrónicos a nobody@example.com para preservar la estabilidad del software de contabilidad, etc.)