《2025年数据（使用与访问）法案》(DUAA)是英国数据保护法律框架的重要组成部分，与保留欧盟法律版本的《通用数据保护条例》(UK GDPR)以及《2018年数据保护法》(DPA)共同构成英国现行的数据保护制度。
DUAA规定，数据控制者必须建立并提供投诉处理机制，以便数据主体就企业对其个人数据的处理方式提出投诉。英国信息专员办公室（ICO）表示，在大多数情况下，数据主体应首先向数据控制者提出投诉；如问题未能得到解决，再进一步向ICO投诉。因此，如果企业未能建立健全的投诉处理机制，可能会引发ICO对相关事项以及企业其他业务和隐私合规情况的调查。企业应充分了解自身承担的相关义务，并建立符合要求的投诉处理流程，以确保履行法律规定的数据保护责任。
数据控制者有哪些义务？
DUAA第103条在DPA中新增第164A条。该新条款规定，如果数据主体认为数据控制者在处理其个人数据时违反了UK GDPR，数据主体有权向数据控制者提出投诉。
数据控制者必须通过采取相应措施，为数据主体提出投诉提供便利，例如提供可通过电子方式及其他方式填写的投诉表格。
数据控制者必须在收到投诉后的30日内确认收到该投诉。
数据控制者必须在不无故延迟的情况下采取适当措施回应投诉，例如就投诉事项作进一步调查，并向提出投诉的数据主体告知处理进展及最终结果。
实际案例
在新的投诉机制下，可能存在许多不同情况促使数据主体提出投诉。以下列举几个可能引发隐私投诉的情形，以说明相关隐私问题。请注意，以下并非详尽清单：
- 数据主体访问请求（DSARs）
根据UK GDPR第15条，个人有权查阅其个人数据。如果企业无视数据主体访问请求（DSAR），未能在法定的一个月期限内作出回应，或者在无权这样做的情况下拒绝提供或删减相关信息，数据主体可以根据DUAA提出正式投诉。
- 直接营销及退出订阅
根据UK GDPR，个人在任何时候均享有绝对权利，可以反对其个人数据被用于直接营销。如果个人选择退出营销或撤回同意后，企业仍继续向其发送营销电子邮件或短信，则构成违反UK GDPR的行为，数据主体可以就此向企业提出投诉。
- 数据泄露
根据UK GDPR第33条和第34条，企业在知悉发生个人数据泄露后，如可行，必须在72小时内向ICO报告，除非该泄露不太可能对个人的权利和自由造成风险。对于可能对个人权利和自由造成较高风险的数据泄露，企业还必须在不无故延迟的情况下通知受影响的数据主体。如果企业未能在上述规定的期限内完成通知，可能导致受数据泄露影响的数据主体提出投诉。需要注意的是，即使某项数据泄露不属于企业必须向ICO报告的情形，数据主体仍然可以就该数据泄露向企业提出投诉。
企业应如何满足这些要求？
为了满足这些新要求，企业需要建立符合DPA规定的投诉处理机制，同时确保员工获得充分的培训和指导，以便能够识别投诉，并按照规定妥善处理投诉。
- 企业应提供可通过电子方式及其他方式使用的投诉表格。
- 员工应接受相关培训，以便识别通过其他方式提出的投诉，因为即使企业提供了投诉表格，数据主体也并不必须使用该表格提出投诉。
- 建立适当的内部管理机制，确保在规定期限内向数据主体确认收到投诉、报告处理进展，并在投诉处理完成后告知最终结果。
- 保存所有收到的投诉、采取的调查措施以及调查结果的记录。
- 根据需要审查并更新隐私声明、隐私政策及其他相关文件，以反映投诉处理流程，并提供相应的联系方式等信息。
- 考虑企业是否需要设立专门的隐私职能岗位，例如数据隐私官或数据隐私经理，或设立专门部门，以负责处理投诉及其他隐私合规事项。
3CS如何提供帮助
新的投诉处理要求为数据控制者增加了另一项需要应对的隐私合规风险。无论是更新现有的内部管理机制，还是从头建立相关制度，我们都可以协助您制定切实可行、符合合规要求并适合企业实际情况的投诉处理流程。
我们还可以就一系列隐私法律问题为客户提供建议，包括合规审计、员工培训、内部管理机制审查，以及协助起草隐私声明、数据处理协议、处理活动记录及其他重要的数据保护文件。
如需获取专业建议和指导，请联系我们。
