Hvis du ikke reagerer på en anmodning fra den registrerede inden for den lovpligtige frist, pålægges der ikke automatisk en bøde. GDPR fungerer anderledes: forordningen fastlægger en frist, inden for hvilken du skal reagere, og hvad der sker, hvis du ikke gør det, afhænger af, hvad den registrerede gør derefter. Vedkommende kan indgive en klage til tilsynsmyndigheden eller indgive sag ved de civile domstole. Begge veje findes ved siden af hinanden og udelukker ikke hinanden.
Det handler altså ikke om et fast beløb, der følger af, at du ikke overholdt fristen, men om en situation, hvor du ikke kan dokumentere, at du har opfyldt din forpligtelse. Det er en anden position end når du reagerer i tide, selv hvis svaret på selve anmodningen er mere kompliceret.
Hvad GDPR foreskriver om fristen
Forordningen giver den registrerede ret til at få et svar på en anmodning om indsyn, berigtigelse eller sletning inden for en måned. Måneden begynder, når du modtager anmodningen, ikke når du går i gang med at behandle den fagligt. Den person, der vurderer anmodningen, hvad der er nødvendigt for at kontrollere identiteten, og hvilke systemer der skal søges, tæller alt sammen inden for denne periode.
Selve lovteksten er det sted at vende tilbage til, hvis du er i tvivl om den præcise ordlyd; i knowledge bank kan du finde det korte svar og kilder til det for hvert emne. Det er bevidst ikke en betalt funktion: sporbarhed til kilden er en del af et system, der siger, at du selv skal kunne kontrollere, hvor noget kommer fra.
Hvad der sker, når fristen udløber
Hvis måneden udløber uden svar, kan den registrerede betragte det som en selvstændig misligholdelse, uafhængigt af spørgsmålet om, hvorvidt I i sidste ende havde kunnet afvise anmodningen. Datatilsynet behandler klager over denne type situationer, og tilsynsmyndigheden beslutter selv, hvordan en klage håndteres. Vi kan ikke afgive udtalelse om dette for jeres specifikke tilfælde; det er op til tilsynsmyndigheden eller, hvis der er tvivl om jeres situation, en juridisk rådgiver.
Hvad der står fast: et for sent svar ser i praksis anderledes ud end intet svar. En virksomhed, der forklarer, hvorfor noget tager længere tid, er i en anden position end en virksomhed, der slet ikke svarer. Denne forskel er relevant, selv om der ikke findes en formel til at udtrykke denne forskel i en procentdel eller beløb.
Forlængelse af fristen: hvornår er det tilladt
GDPR-forordningen giver mulighed for at forlænge fristen, hvis en anmodning er kompleks, eller hvis der modtages mange anmodninger på samme tid. Denne forlængelse er ikke automatisk: I skal informere den registrerede inden for den oprindelige måned om, at I har brug for mere tid, og hvorfor. Den, der undlader dette og først lader høre fra sig efter den første måned, har ikke benyttet forlængelsen på korrekt vis, selvom der materielt set måske var grund til mere tid.
Dette er præcis det punkt, hvor virksomheder ofte går galt i byen: ikke fordi de ikke ønsker at svare, men fordi ingen har noteret datoen for, hvornår anmodningen ankom. En anmodning pr. e-mail, der ligger og venter, til nogen får tid, er det hyppigste scenarie.
Hvad man skal gøre, hvis man bemærker, at fristen er i fare
Hvis I er tæt på deadline eller netop har mistet den, er første skridt stadig at svare, med en kort forklaring på, hvad der skete. Stilhed er den situation, der giver den registrerede mest anledning til at fortsætte med en klage eller til domstolene. Et sent, men fuldstændigt svar, med en klar registrering af, hvornår anmodningen ankom, og hvad der blev gjort, viser, at der faktisk blev gjort noget.
Registrer i alle tilfælde: modtagelsesdatoen, hvem der vurderede anmodningen, og hvilken vurdering der blev foretaget. Hvis du er i tvivl om, hvorvidt en anmodning er berettiget, eller hvad du præcis skal fremlægge, er siden med ofte stillede spørgsmål et godt udgangspunkt, og for de mere komplicerede tilfælde er en jurist den rette vej.
Sådan overvåges en løbende tidsfrist
Det sværeste ved denne forpligtelse er ikke indholdet af svaret, men at følge tiden, fra det øjeblik en anmodning modtages et sted i organisationen: på receptionen, i en generel indbakke eller direkte hos en medarbejder. gdpria.eu lader denne tidsfrist på én måned løbe automatisk, så snart en anmodning er registreret, med en advarsel i god tid, før fristen udløber. Hvordan dette system er opbygget, og hvor de underliggende regler kommer fra, er forklaret på siden hvor det forklares, hvor oplysningerne kommer fra.
Om det for dit firma er en meningsfuld tilføjelse, afhænger af, hvor mange anmodninger du modtager, og hvordan du håndterer det i dag. Du kan oprette en forretningskonto uden forpligtelse; vidensbanken og den første vurdering forbliver gratis tilgængelige.
Vil du først se, hvor du står? De gratis dele af gdpria.eu giver per emne det korte svar og kildehenvisningen i lovteksten, uden at du har brug for en konto.