Den hyppigst begåede fejl ved behandling af en anmodning fra en registreret person ligger ikke i fristen for dit svar, men i indholdet af dit svar. Virksomheder sender ofte enten for få data tilbage ved en anmodning om indsigt eller sletter ved en anmodning om sletning data, som de faktisk skal opbevare. Begge fejl opstår, fordi anmodningen behandles som én simpel handling, mens der faktisk skal besvares en række spørgsmål først.
Kernen i fejlen er dette: en anmodning om indsigt eller sletning kræver en vurdering per dataelement, ikke en knap, som du aktiverer. Hvis nogen sletter en komplet personalemappe, fordi en tidligere medarbejder anmoder om det, kan personen uden videre slette data, der skal opbevares på grund af en anden juridisk forpligtelse, såsom skatte- eller arbejdsretlige opbevaringsperioder. Hvis nogen ved en anmodning om indsigt kun sender en eksport fra ét system, mangler personen ofte data, der findes andre steder, f.eks. i en separat Excel-fil eller i en leders postkasse.
Hvorfor denne fejl forekommer så ofte
GDPR giver registrerede personer ret til indsigt og under visse betingelser ret til sletning. Begge rettigheder er ikke ubegrænsede. Retten til sletning gælder f.eks. ikke, når der er en juridisk opbevaringspligt, eller når dataene er nødvendige for at etablere, udøve eller forsvare et retskrav. Denne forskel fremgår ikke af en simpel tjekliste, og det gør det vanskeligt for nogen, der behandler dette for første gang.
En anden grund er, at data i en gennemsnitlig lille til mellemstor virksomhed er spredt: i CRM'et, i regnskabet, i e-mail, nogle gange i en chat-app. En anmodning besvares ofte fra ét system, mens den registrerede person har ret til et komplet billede. Det er præcist her, at et aktuelt register over behandlingsaktiviteter gør forskellen: hvis du på forhånd har dokumenteret, hvilke systemer der indeholder personoplysninger og fra hvem, behøver du ikke at undersøge det under tidspres på det tidspunkt, hvor en anmodning indkommer.
Den anden fejl: identitet ikke verificeret
Ud over den faglige vurdering går det ofte galt ved det første trin: at fastslå, hvem der stiller anmodningen. En anmodning om indsigt eller sletning indeholder ofte følsomme oplysninger, og disse oplysninger bør kun nå den registrerede person selv. Hvis du behandler en anmodning for hurtigt uden at verificere identiteten, kan det resultere i, at data fra én person kommer til den forkerte person. Samtidigt gælder: en unødigt streng identitetsbekræftelse forsinker behandlingen og kan opfattes som en barriere, der ikke står i forhold til anmodningen.
Sådan undgår du denne fejl
Det første trin er at dokumentere anmodningen selv ordentligt: hvad bedes der præcis om, af hvem, og på hvilken dato blev det modtaget. Fra det tidspunkt begynder den juridiske frist at løbe, og denne frist gælder, uanset om anmodningen modtages pr. e-mail, telefon eller brev.
Det andet trin er at kontrollere, i hvilke systemer denne person har data. Et register over behandlingsaktiviteter, der er opdateret, fremskynder dette væsentligt, fordi du allerede ved, hvilke værktøjer og leverandører der behandler data for medarbejdere eller kunder. For dem, der endnu ikke har organiseret dette centralt, kan der læses om videnbase med forklaring pr. situation hvad der præcis skal være i et register, før en anmodning indkommer.
Det tredje trin er at vurdere per dataelement, om sletning eller videregiveelse er tilladt, i stedet for at behandle hele dossieret på én gang. Hvis du er i tvivl om en juridisk opbevaringspligt, der er i strid med anmodningen, er det klogt her at søge juridisk rådgivning; tilsynsmyndigheden nævner denne forskel i sine retningslinjer, men resultatet afhænger af den specifikke situation.
Til sidst er det en stor hjælp at have en fast proces på forhånd for denne type anmodninger, således at man ikke skal genopfinde hjulet ved hver anmodning om, hvem der er ansvarlig for hvad. Svar på ofte stillede spørgsmål om dette emne er samlet på ét overblik i samlingen af ofte stillede spørgsmål, og den der gerne vil se, hvordan gdpria.eu angiver kildehenvisningen for hvert svar, læser det på siden forklaring på, hvordan informationen er fremstillet.
Et vel vedligeholdt register og en fast proces forhindrer ikke, at der modtages en anmodning, men de sikrer, at den ikke går galt under tidspress. Den som hellere vil håndtere dette strukturelt i stedet for at skulle finde ud af det igen for hver enkelt sag, kan gratis orientere sig på en erhvervskonto og således få overblikket over system for system og anmodning for anmodning i orden.
Er De nysgerrig efter, hvordan jeres egen situation ser ud? Den gratis quick-scan giver på få spørgsmål en første indikation, uden at De skal have en konto for det.