For en anmodning om berigtigelse eller indsigelse mod behandling gælder samme frist som for en anmodning om indsigt eller sletning: en måned efter modtagelsen. GDPR tillader at forlænge denne frist med højst to måneder, hvis anmodningen er kompliceret eller der kommer mange anmodninger på samme tid, men så skal du underrette den registrerede inden for den første måned om, at du forlænger, og hvorfor.
Hvad der ofte går galt i praksis, er ikke selve fristen, men det tidspunkt, hvor den begynder at løbe. Ved berigtigelse og indsigelse kommer der desuden et indholdsmæssigt spørgsmål ind i billedet, som ikke gør det ved en indsigtsanmodning: er anmodningen berettiget? Det tager tid at vurdere, og denne vurderingstid falder inden for samme måned.
Hvad uret præcist måler
Måneden starter på det tidspunkt, hvor anmodningen modtages hos dig, ikke på det tidspunkt, hvor du genkender den som sådan. En e-mail til kundeservice med "det her er ikke rigtigt, ret det til" er allerede en anmodning om berigtigelse, selv hvis ingen har noteret det sådan. Det samme gælder for en indsigelse: en kunde, der skriver "jeg vil ikke længere have, at I bruger mine data til dette formål" behøver ikke at nævne ordet indsigelse. Tilsynsmyndighederne kigger ved vurderingen af en behandling på modtagelsestidspunktet, ikke på genkendelsestidspunktet. Hvem der ikke fastslår denne forskel, mister ofte dage, før anmodningen ligger på dagsordenen.
Berigtigelse: ofte hurtig, men med en betingelse
En rettelse af en adresse eller telefonnummer behandles normalt let og hurtigt. Det bliver sværere, når den registrerede hævder, at en vurdering, notat eller journalnotering er forkert. Her handler det ikke længere om en faktisk fejl, men om en indholdsmæssig vurdering, og det kræver koordinering med den person, der har foretaget noteringen. Denne koordinering skal passe inden for måneden, og det lykkes kun, hvis anmodningen med det samme går til den rigtige person i stedet for at blive liggende hos den, der tilfældigvis åbnede e-mailen.
Indsigelse: vurdere, ikke automatisk imødekomme
En indsigelse mod behandling behøver ikke automatisk at blive imødekommet. Forordningen angiver, at en organisation kan afveje, om der er tvingende legitime grunde til at fortsætte behandlingen alligevel, for eksempel ved en igangværende kontrakt eller en juridisk forpligtelse. Denne afvejning skal oplyses på motiveret vis tilbage til den registrerede inden for samme frist. Mange virksomheder undervurderer, hvor meget tid denne begrundelse tager, fordi de glemmer, at at sige "nej" til en indsigelse skal være lige så velunderbygget som at sige "ja".
Hvor fristen i praksis bliver stående fast
I de fleste tilfælde bliver fristen ikke stående fast på indholdet, men på tre genkendelige punkter. Det første er genkendelse: anmodningen bliver ikke set som sådan og bliver liggende i en indbakke. Det andet er verifikation: før du ændrer data eller stopper en behandling, skal du være rimelig sikker på, at anmoderen også rent faktisk er den registrerede, og denne kontrol tager tid, som ikke altid er planlagt. Det tredje er koordinering inden for organisationen selv: en HR-journal eller en kundebedømmelse sidder ofte ikke hos én person, og uden et fast kontaktpunkt varer søgningen længere end beslutningen. En videnbase, hvor hver type anmodning forklares separat hjælper med at foretage denne skelnen på forhånd i stedet for først ved den første anmodning.
Hvad tæller som rettidig
At svare til tiden betyder, at den registrerede får et konkret svar inden for fristen, en begrundet afslag eller en meddelelse om, at fristen forlænges. En kvitteringsmeddelse uden indhold tæller ikke som behandlet. Netop fordi korrektion og indsigelse oftere kræver en indholdsmæssig vurdering end en indsigelsesanmodning, er det klogt tidligt på måneden at bestemme, hvem i organisationen der foretager denne vurdering, og på grundlag af hvilke informationer. ofte stillede spørgsmål om anmodninger fra registrerede giver per situation et kort svar på, hvad der falder henholdsvis ikke falder inden for denne frist.
Hvorvidt en konkret anmodning er berettiget, og hvordan du dokumenterer et afslag, varierer fra situation til situation, og hvis du er i tvivl, bør du konsultere en juridisk rådgiver eller Datatilsynet. Hvad gdpria.eu gør, er at overvåge selve fristen: så snart en anmodning er registreret, begynder fristen automatisk at løbe, herunder det tidspunkt, hvor en forlængelse skal meddeles. På hvordan det fungerer fremgår hvor denne fristlogik kommer fra, og hvordan den holdes ved lige.
Vil du se, hvordan sådan en anmodning ser ud i praksis for din egen virksomhed, og hvor du står nu? Den gratis lyntest på gdpria.eu giver på få spørgsmål en første indikation, og med en erhvervskonto dokumenterer du behandlingen af hver anmodning med den tilhørende frist.