资料已交供应商后代表要求删除

已知与未知

虚构情景：Persatuan Fiktif Pengurus Kemudahan 的一位代表来信：“请删除我的所有资料。”活动前，报名名单已发给证件印刷商、餐饮供应商和手机应用供应商。

• 已知：请求的原文、收到日期、代表的报名资料。
• 已知：哪些供应商收到过名单（如果有发送记录）。
• 未知：每家供应商仍持有什么、以什么形式、依据什么协议。
• 未知：是否有资料因其他目的仍需保留，例如账务或持续的会员资格。这是个人数据保护负责人要回答的问题，而不是活动团队的决定。

谁有权决定

决定权不在活动团队，而在贵机构指定的数据保护负责人，必要时由法律顾问提供意见。

如果贵机构没有指定负责人，首要行动就是把这个缺口提交给高层。

• 数据保护负责人：是否以及如何处理该请求、对代表的答复及时间。
• 法律顾问：任何法律或合同问题，包括供应商协议。
• 活动负责人：收集事实、掌握供应商联系方式，并按负责人指示告知代表进展。
• 供应商：在贵机构书面询问时，告知其持有的资料。

现实的步骤及其内容

以下是需要准备的协调步骤，具体采取哪些回应由数据保护负责人选择。

沟通

措辞要简短、有礼、中性。在数据保护负责人确认之前，不要说会做什么或不会做什么。

• 对代表：“感谢您的来信。我们已把您的请求转交[机构]负责数据保护的人员，对方会就后续步骤与您联系。”
• 对数据保护负责人：“[日期]收到[代表]的请求。数据曾于[日期]为[用途]发给[供应商]。请指示我们如何回应，以及应向供应商询问什么。”
• 对每家供应商：“请书面确认您持有[活动]中代表的哪些个人资料、什么形式、依据什么条款。在我们确认之前，请勿删除或更改任何内容。”
• 内部：“在[负责人]答复之前，请勿删除或修改与此请求相关的代表记录。”

后续跟进与预防

• 建立登记表，记录每家收到代表资料的供应商、用途、字段和交付日期。
• 只向每家供应商提供其所需字段。报名表字段精简工具可帮助团队在收集或分享前逐个字段提出质疑。
• 在协议中询问供应商如何处理、归还或删除活动数据，措辞请法律顾问核对。
• 把数据保护负责人的姓名写进运行表和交接资料包。
• 把请求、处理路径和答复记录在决策日志里。另见邮件泄露联系方式和赞助方索取代表资料。