Ved en anmodning om sletning, også kaldet retten til at blive glemt, giver GDPR én måned. Denne måned begynder at løbe fra det tidspunkt, du modtager anmodningen, ikke fra det tidspunkt, du erkender, at det er en officiel GDPR-anmodning. Hvis en anmodning er kompliceret, eller hvis du modtager mange på samme tid, må du forlænge fristen med to måneder. Du skal dog informere den registrerede herom inden for den første måned med begrundelse for udskydelsen.
I praksis føles én måned kortere end det er. En anmodning om sletning kommer ofte ikke ind som et formelt dokument, men som en e-mail, et telefonopkald eller en besked via kontaktformularen på hjemmesiden. På det tidspunkt, hvor nogen i organisationen genkender det som en GDPR-anmodning og videresender det til den rette person, er der allerede gået tid, som ikke medregnes i fristen.
Det, der sætter uret i gang
Fristen begynder på det tidspunkt for modtagelsen, uanset gennem hvilken kanal anmodningen kommer. Det betyder, at en anmodning, som modtages af kundeservice, en sælger eller en receptionist, sætter uret i gang på samme måde som en anmodning, der modtages direkte af ledelsen eller HR-afdelingen. Mange virksomheder opdager først efterfølgende, at en besked, som lå i en indbakke i tre uger, faktisk var en anmodning om sletning. Den, der ønsker at begrænse denne risiko, gør klogt i at gøre det klart for hele organisationen, hvordan sådan en besked genkendes, og hvor den skal sendes med det samme.
Hvor fristen løber fast i praksis
Det meste af forsinkelsen opstår ikke ved beslutningen om at slette, men ved at finde alle de steder, hvor dataene ligger. Et navn og en e-mailadresse kan optræde samtidigt i et CRM-system, et faktureringsprogram, en mailingliste, en sikkerhedskopi og hos en ekstern part, som behandler data for dig, såsom en bogholder eller et marketingværktøj. Alle disse steder skal gennemgås, og for hver databehandler, som behandler data på dine vegne, skal du kontrollere, hvordan og om denne udfører sletningen. Et overblik over, hvilke værktøjer der indeholder hvilke data, sparer meget søgearbejde i denne proces. I videnbasen er det forklaret for hver situation, hvad GDPR kræver af dig, og hvad det bygger på.
En anden kilde til forsinkelse er spørgsmålet om, hvorvidt sletning overhovedet er relevant. Ikke alle anmodninger fører automatisk til sletning. Data, som du skal opbevare på grund af en juridisk forpligtelse, såsom bestemte dele af den økonomiske administration eller personelfiles inden for en lovpligtig bevaringsperiode, falder uden for sletningspligten, så længe denne forpligtelse løber. Data, som er nødvendige for at fastslå, udøve eller begrunde et retskrav, kan også være en undtagelse. Det er op til organisationen selv at vurdere, hvilken undtagelse der gælder i et konkret tilfælde, eventuelt med hjælp fra en jurist, og i tilfælde af tvivl kan Datatilsynet give yderligere klarhed herom.
Hvornår forlængelse er tilladt, og hvornår det ikke er
Forlængelsen på to måneder er ikke automatisk, som du bare kan påberåbe dig. GDPR knytter denne mulighed til kompleksiteten af anmodningen eller antallet af anmodninger, du skal behandle samtidigt. En enkelt, enkel anmodning om at fjerne en adresse fra en mailingliste er ikke let kompleks nok til at bruge tre måneder på. En anmodning, hvor data er spredt over flere systemer og adskillige år, kan være det. Det vigtige er, at du informerer den registrerede inden for den første måned om, at du forlænger fristen, og hvorfor; hvis du ikke gør det, løber den oprindelige frist på én måned bare videre.
Praktisk: holde fristen håndterbar
De fleste forsinkelser kan undgås ved på forhånd at vide, hvor data er placeret, i stedet for at skulle finde det ud igen ved hver anmodning. Et fast overblik over de anvendte systemer, hvem der behandler hvilke data i dem, og hvilke aftaler der ligger fast med eksterne parter, gør forskellen mellem en anmodning, der er behandlet inden en uge, og en anmodning, der tager hele måneden. Hvis man lader dette overblik køre sammen med et system, der selv overvåger fristen, behøver man ikke længere at stole på kalenderen. Mere om, hvordan sådan en tilgang fungerer i praksis, og hvor oplysningerne er baseret på, findes på den side, der forklarer, hvor oplysningerne kommer fra.
Anmodninger om sletning kommer sjældent på et fast tidspunkt, og netop derfor er det let at lade de første dage af fristen gå ubrugt. Hvis man ønsker at få fristen til at løbe, så snart en anmodning modtages, kan man indstille det via en erhvervskonto. For lignende spørgsmål om anmodninger fra registrerede er der også et overblik med kortere svar.
Hvis De er i tvivl om, hvorvidt en konkret anmodning, der modtages hos Dem, falder under sletningspligten, eller hvilken undtagelse der kunne være relevant, er det en vurdering, der varierer fra situation til situation, og som De bedst drøfter med en jurist eller med Datatilsynet. Hvis De først selv hurtigt gerne vil se, hvor De nogenlunde står, kan De foretage den gratis quick-scan eller gennemgå emnerne i videnbanken.