En anmodning fra en registreret person er enhver anmodning fra en person, hvis personoplysninger du behandler, hvorved denne person benytter en af de rettigheder, som GDPR giver ham. Det går ud over de to mest kendte former, adgang og sletning. Forordningen anerkender også ret til berigtigelse, ret til begrænsning af behandlingen, ret til dataportabilitet og ret til at gøre indsigelse mod en bestemt behandling. Alle disse anmodninger falder ind under samme kategori og udløser samme forpligtelse: du skal reagere på den.
Den detalje, som oftest overses i forbindelse med dette emne, er, at en anmodning ikke behøver nogen bestemt form. En kunde, der i en almindelig mail skriver "jeg vil gerne vide, hvad I har af mig" eller en tidligere medarbejder, der ved skranken siger "må mit navn fjernes fra dit system" indgiver dermed allerede en anmodning, selv uden formular, uden at bruge ordet GDPR og uden at det kommer gennem en fast kontaktperson. Det er netop denne uformelle indgivelse, der ofte går galt: ikke ved behandlingen af anmodningen, men ved genkendelsen af den.
Hvilke rettigheder falder ind under en anmodning fra en registreret person
GDPR giver en person, hvis oplysninger du behandler, et antal indbyrdes forbundne rettigheder. Adgang betyder, at en person må vide, hvilke oplysninger du har om ham, og hvad de bruges til. Berigtigelse betyder, at forkerte oplysninger skal kunne korrigeres. Sletning, også kaldet ret til at blive glemt, betyder, at oplysninger skal slettes i visse situationer. Begrænsning betyder, at oplysninger midlertidigt ikke må bruges, for eksempel under en diskussion om deres rigtighed. Dataportabilitet giver en person ret til at modtage oplysninger, som han selv har leveret, i et almindeligt format. Og indsigelse giver en person mulighed for at protestere mod en specifik behandling, for eksempel mod brug af hans oplysninger til marketing.
Ingen af disse rettigheder er ubetinget. GDPR knytter egne betingelser og undtagelser til hver enkelt ret, og hvorvidt en anmodning faktisk skal imødekommes, afhænger af situationen. Det er også præcis grunden til, at almindelig vejledning her aldrig kan erstatte en vurdering af et individuelt tilfælde.
Hvorfor genkendelse er sværere end behandling
Mange virksomheder fokuserer deres opmærksomhed på processen efter en anmodning: hvem reagerer, inden for hvilken tidsramme, med hvilket dokument. Det er berettiget, men det er ikke det første problem. Det første problem er, at en anmodning sjældent kommer ind gennem den kanal, du havde indrettet til det. Den kommer ind hos medarbejderen, der tager telefonen, hos kollegen, der administrerer kundeservicens mailboks, eller hos kontormanageren, der tilfældigvis står i lobbyen. Hvis ingen i organisationen ved, at sådan en sætning allerede er en anmodning, begynder klokken at køre for dig uden, at du er klar over det.
Det er også grunden til, at tilsynsmyndigheder i deres retningslinjer understreger, at en anmodning ikke er bundet til en specifik kanal eller en specifik formulering. Den ansvarlige organisation, ikke den registrerede person, bærer byrden med at genkende en anmodning, så snart den fremsættes. vidensbanken med forklaringer for hver enkelt ret for den registrerede person går dybere ind i, hvad der tæller som en gyldig anmodning for hver enkelt af disse rettigheder, og hvad der ikke gør.
Hvad dette betyder for din organisation
I praksis fungerer det bedst, hvis alle, der har kontakt med kunder, ved, at sætninger som "fjern mig fra jeres register" eller "send mig alt, hvad I har om mig" er et signal til at videregive til den person, der håndterer anmodninger. Det er ikke juridisk uddannelse, det er genkendelse af et mønster. Først når anmodningen er genkendt og videregivet, opstår spørgsmålet om, hvordan du identificerer den, hvad du præcist skal levere, og inden for hvilken frist.
GDPR selv nævner for reaktionen på en anmodning en frist på én måned, med mulighed for at forlænge denne i mere komplicerede tilfælde. Denne frist begynder at løbe fra det moment, anmodningen er indgivet, ikke fra det moment, den når den rigtige person. Hvis du vil overvåge dette moment uden at skulle huske det manuelt, kan du lade det løbe via et system, der starter uret automatisk. hvordan gdpria.eu overvåger denne frist viser, hvor denne automatisering er baseret.
Hvad du kan gøre, hvis du er usikker
Ikke enhver besked, der ligner en anmodning, er det også, og ikke enhver anmodning skal fuldt imødekommes. Usikkerhed herom er en del af gennemførelsen, ikke af genkendelsen: så snart nogen giver til kende, at han vil udøve en af sine rettigheder, er det din opgave at behandle det alvorligt og at vurdere, om nødvendigt med en jurist eller Datatilsynet, hvad der præcist skal ske. svar på spørgsmål, som virksomheder ofte stiller herom behandler en række af disse grænsetilfælde.
Vil du vide, hvor din organisation står, før der faktisk kommer en anmodning? Den gratis hurtig-scan på datalæk og anmodninger i få spørgsmål skal gøre klart giver en første indikation, og videnbanken forklarer for hver ret, hvad GDPR siger herom, med kildehenvisningen.