En person, der anmoder om adgang til, berigtigelse eller sletning af sine oplysninger, har ret til et svar inden en måned efter modtagelsen af anmodningen. Det er hovedreglen i GDPR'en. Hvis det drejer sig om en anmodning med kompleks omfang, eller hvis du modtager flere samtidigt, giver forordningen mulighed for at forlænge fristen med højst to måneder — under forudsætning af at du informerer personen herom inden for den første måned og præciserer hvorfor.
I praksis er den lovbestemte frist sjældent problemet. Hvor virksomheder går i stå, er processen før: at fastsætte hvem der præcist anmoder om hvilke oplysninger, at finde ud af i hvilke systemer disse oplysninger befinder sig, og at vurdere om der gælder undtagelser, før du sletter eller oplyser noget. Virksomheder, der ikke havde indrettet denne proces, bemærker at uret allerede er gået en uge, før nogen internt har set på anmodningen.
Hvornår begynder fristen at løbe
Fristen starter i det øjeblik anmodningen når dig, ikke når du behandler den indholdsmæssigt. En anmodning pr. e-mail til en generel adresse, via receptionen eller til en individuel medarbejder tæller lige meget. Det betyder at en virksomhed, hvor sådanne beskeder ikke hurtigt bliver videresendt til den rigtige person, mister tid som ikke kan indhentes igen. Den, der præcist ved hvad en gyldig anmodning er og hvor den skal landet, vinder her de første og vigtigste dage.
Hvad forlængelse betyder i praksis
Muligheden for forlængelse er ikke en blanc check til at vente til det passer. GDPR'en forbinder forlængelsen til kompleksiteten af selve anmodningen — for eksempel fordi oplysninger er spredt over flere systemer eller år, eller fordi det først skal fastsættes om oplysningsmæssig udgivelse påvirker andres rettigheder. En anmodning, der simpelthen er blevet efterladt, falder ikke ind herunder. Tilsynsmyndigheder og domstole ser på arten af anmodningen, ikke på arbejdspresset i sagen.
Hvor gennemløbstiden i praksis går i stå
Tre punkter kommer gentagne gange op. For det første identitetskontrol: du skal rimeligvis være sikker på at du oplyser gegevens til den person, de vedrører, uden dermed at anmode om unødvendigt meget supplerende information. For det andet spredningen af oplysninger over forskellige SaaS-værktøjer — et CRM, en bogholderipakke, et e-mailprogram — hvorved én anmodning hurtigt vedrører flere steder samtidigt. For det tredje spørgsmålet om oplysninger, der egentlig allerede skulle være slettet, stadig er der et eller andet sted i en sikkerhedskopi eller en gammel fil. Det sidste hænger tæt sammen med opbevaringsfristerne, der ikke er skarp fastsat.
En virksomhed, der på forhånd ved hvilke personoplysninger den behandler hvor, behøver ikke at søge ved en anmodning men kan se direkte. Det er præcis grunden til at et aktuelt behandlingsregister er mere end en formalitet: det er opslagsværket, som du behandler en anmodning indenfor fristen med i stedet for at søge efter den. I videnbanken er emnerne pr. situation forklaret, inklusiv kildestedet i den officielle tekst.
Hvad du selv kan gøre for at blive inden for fristen
Fastlæg hvem der genkender en anmodning og hvor den skal hen. Sørg for at det er klart hvilke oplysninger der befinder sig i hvilket værktøj, så du ikke ved hver anmodning behøver at finde ud af hvor du skal søge. Og indfør på forhånd en rutine for identitetskontrol, så den ikke bliver opfundet ad hoc i det øjeblik uret allerede løber. Den, der er i tvivl om en specifik anmodning falder under hovedreglen eller forlængelsen, kan bedst præsentere det for en jurist eller kontrollere hos Datatilsynet.
Om en begivenhed omkring oplysninger er anmeldelsespligtig, er et andet spørgsmål end fristen for en anmodning fra en person — der gælder andre regler og et kortere ur. Er du i tvivl om noget falder i denne kategori, kan du det med et par spørgsmål med en indikation kontrollere. Hvordan gdpria.eu forbinder fristerne, skabeloner og påmindelser pr. forpligtelse til dit eget register, læser du på den side, der forklarer, hvor oplysningerne kommer fra.
Vil du gerne vide, hvordan din virksomhed klarer sig lige nu, uden at det koster noget med det samme? Foretag den gratis hurtig-scan, eller læs de emner, der synes mest relevante for din situation via ofte stillede spørgsmål om anmodninger fra registrerede.