Det korte svar
Rettighederne selv ændrer sig ikke i år. Retten til indsigt, berigtigelse, sletning, begrænsning, indsigelse og dataportabilitet er fastsat i GDPR selv, og den tekst bliver ikke omskrevet årligt. Hvad der ændrer sig, er den måde, hvorpå disse anmodninger når virksomheder, og hvordan tilsynsmyndigheder og de europæiske databeskyttelsesudvalg (EDPB) giver vejledning herom. For en direktør eller HR-chef betyder det praktisk forskel, selvom der ikke ændrer sig noget ved lovteksten.
Det betyder ikke, at du ikke behøver at holde styr på noget. Retningslinjer fra Datatilsynet og EDPB bliver jævnligt opdateret, for eksempel om hvordan du bekræfter identiteten på en anmoder, eller hvordan du håndterer en anmodning, der kommer gennem en chatfunktion eller sociale medier. Disse opdateringer er ikke nye love, men snarere en mere præcis fortolkning af en eksisterende forpligtelse.
Hvad der ikke ændrer sig i selve loven
Kernen forbliver uændret: en registreret person må spørge, hvilke data du behandler om ham eller hende, må få urigtige data rettet, og kan under visse betingelser anmode om sletning. Fristen, inden for hvilken du skal svare, er fastsat i GDPR selv og er ikke genstand for årlig revision. Virksomheder, der tror, at en ny, kortere eller længere svarmulighed er indført i år, blander det sandsynligvis med interne aftaler eller kommunikation, der ikke omhandler selve lovteksten.
De undtagelsesgrunde, såsom en lovbestemt opbevaringspligt, der forhindrer sletning, er også uændret. Hvad der kan ændre sig, er hvor strengt tilsynsmyndigheder fortolker disse undtagelser i deres retningslinjer. Det er ikke en lovændring, men det kan betyde, at en begrundelse, som var tilstrækkelig sidste år, skal være mere præcis registreret i år.
Hvad der er i bevægelse i år
Tre udviklingen er relevante for små og mellemstore virksomheder uden at loven selv er ændret. For det første kommer anmodninger i stigende grad digitalt ind via en kontaktformular, en chatbot eller et svar på sociale medier i stedet for pr. post. Det ændrer ikke på forpligtelsen, men på spørgsmålet om, hvorvidt en anmodning bliver genkendt som en formel anmodning og på passende vis når den rigtige person i organisationen.
For det andet vokser opmærksomheden omkring anmodninger, der vedrører automatiseret behandling, for eksempel når data er blevet brugt til at opbygge en profil, eller en AI-applikation har givet input til en beslutning. EDPB udreder dette emne regelmæssigt. Virksomheder, der bruger AI-værktøjer til kundekontakt eller personaleansættelse, gør derfor klogt i at vide, hvilke data der ligger i dem, før der kommer en anmodning. Det rør direkte ved de spørgsmål, der stilles omkring GDPR og AI-værktøjer i praksis.
For det tredje føres der en bredere debat om evaluering af GDPR som helhed på europæisk niveau. Deri ses der på, om reglerne for mindre organisationer kan forenkles, men konkrete lovændringer er på nuværende tidspunkt ikke vedtaget. Hvad der endnu ikke er afgjort, oplyser vi også som sådan: der kendes ingen definitiv dato eller indhold, og at spekulere herom hjælper en iværksætter ikke videre.
For hvem dette gør en forskel
Disse ændringer berører især organisationer med mange kontaktpunkter med kunder eller medarbejdere: et kontor med kundeservice, en installatørvirksomhed med et tilbudsformular på webstedet, eller en HR-afdeling, der behandler ansøgningsdata. Jo flere kanaler, hvorigennem nogen kontakter, desto større er chancen for, at en anmodning kommer ind et sted uden, at nogen genkender det som en formel GDPR-anmodning. Det er ikke en juridisk risiko, som vi bedømmer her, men snarere et praktisk punkt, der er værd at diskutere internt.
Det er også relevant at kigge på dit forhold til dine databehandleraftaler: hvis en kunde sender en anmodning til dig, men dataene ligger hos en ekstern SaaS-leverandør, skal denne leverandør kunne medvirke til indsigt eller sletning. Du kan kontrollere, om dette er ordnet godt kontraktmæssigt via ofte stillede spørgsmål om databehandleraftaler og SaaS-værktøjer.
Sådan holder du orden uden at skulle undersøge det hver gang
Fordi lovteksten er stabil, men fortolkningen af den ændrer sig, handler det først og fremmest om at vide, hvor den aktuelle tilstand kommer fra, og hvornår den ændrer sig. gdpria.eu forbinder hvert emne med kildehenvisningen i GDPR'en og retningslinjerne fra EDPB og Datatilsynet, så du ikke selv behøver at holde øje med, om noget er blevet ændret. Hvis du har mistanke om et dataindbreak, kan du for eksempel først undersøge dig frem til, hvor du står, før du tager yderligere skridt.
Vil du vide, hvordan denne type information bliver vedligeholdt, og hvor kildehenvisningen kommer fra? Udfør den gratis hurtige scanning eller læs igennem emnerne i videnbanken, og bestem selv, om der er behov for et næste skridt.