Hvilke dokumenter har du brug for ved en anmodning om indsigt eller sletning?
Når nogen anmoder dig om indsyn i sine oplysninger eller om sletning deraf, har du brug for en række papirer for omhyggeligt at håndtere anmodningen: en modtagesekvittering med dato, en måde at fastslå identiteten på anmoderen, en oversigt over, hvad du faktisk behandler om denne person, en skriftlig afgørelse med begrundelse, og eventuelt en meddelelse, hvor du forlænger fristen. Sammen udgør disse papirer det dossier, som du kan bruge til at vise, hvad der blev anmodet om, og hvad du gjorde ved det.
Det område, hvor der er mest usikkerhed, er ikke selve listen, men identitetskontrollen. At stille for få spørgsmål er en risiko, fordi du muligvis kan videregive oplysninger til den forkerte person; at stille for mange spørgsmål er også en risiko, fordi GDPR netop anmoder om ikke at opsamle flere oplysninger end nødvendigt for at fastslå identiteten. En fuldstændig kopi af et identitetsdokument er normalt ikke nødvendig til det formål og introducerer desuden nye oplysninger, som du skal sikre og skal ødelægge rettidigt.
Fastslå identitet uden overspørgsmål
I praksis fungerer det ofte med oplysninger, du allerede har: et kundenummer, en tidligere kendt e-mailadresse eller en kort tilbageringningskontrol. Først hvis der er tvivl om, hvem der fremsætter anmodningen, er yderligere verifikation relevant. Datatilsynet og EDPB-retningslinjerne behandler dette område eksplicit, netop fordi dette er det punkt, hvor organisationer oftest overreagerer. En fast arbejdsmåde for identitetskontrol, som du fastlægger én gang og derefter gentager, forhindrer, at du skal opfinde dette på ny hver gang.
Hvad skal ellers være i dossieret
Ud over identitetskontrollen skal dossieret indeholde en oversigt over selve de behandlede oplysninger: hvor de kommer fra, hvem de er blevet delt med, og hvor længe du har haft dem. I praksis henter du denne oversigt fra dine behandlingsaktivitetsoptegnelser, hvis de er i orden. Uden optegnelser skal du manuelt søge gennem dine systemer for hver anmodning, hvilket tager mere tid og øger risikoen for et ufuldstændigt svar. I vidensbanken finder du forklaret situation for situation, hvad et fuldstændigt svar indebærer.
Ved en sletningsanmodning kommer der et ekstra dokument på: afvejningen af, om der er en lovbestemmelse om opbevaring, der (midlertidigt) forhindrer sletning, f.eks. ved skattemæssige oplysninger. Du dokumenterer denne afvejning skriftligt, også hvis resultatet er, at du ikke (helt) sletter. Dette dokument er lige så vigtig som selve sletningen, fordi det viser, at der blev foretaget et bevidst valg og ikke glemte anmodningen.
Hvorfor dette hænger sammen med dine optegnelser og dine værktøjer
En anmodning om indsyn eller sletning berører sjældent ét system. Kundeoplysninger er ofte lagret i et CRM-system, et regnskapsprogram og et e-mailprogram på én gang, og for hver af dem ligger spørgsmålet om, hvorvidt og hvor længe sletning er mulig. Hvis du på forhånd har kortlagt, hvilke SaaS-værktøjer der indeholder hvilke oplysninger, behøver du ikke at genopdage det for hver anmodning. Om dine indstillinger passer med det, forordningen anmoder om, kan du kontrollere via vejledningen om databeskyttelse og datasikkerhed.
Afgørelsen selv er også et dokument: et kort brev eller en e-mail, hvor det står, hvad der blev anmodet om, hvad du gjorde, og inden for hvilken frist. Denne frist er fastsat i forordningen og løber fra modtagelsestidspunktet, ikke fra det tidspunkt, hvor du får tid til at arbejde på det. En oversigt over hyppigt stillede spørgsmål om disse frister og undtagelser kan findes under ofte stillede spørgsmål om anmodninger fra registrerede.
Dokumentation lønner sig også efter håndtering
Mappen, som du samler ved en anmodning, er ikke kun beregnet til det ene øjeblik. Den viser også, hvis en tilsynsmyndighed eller den registrerede selv spørger senere, at anmodningen er blevet erkendt, vurderet og behandlet inden for det fastlagte tidsrum. Om din nuværende arbejdsmetode dækker det, er noget, du bedst kan drøfte med en jurist eller med Datatilsynet, hvis du er i tvivl om en konkret situation.
Ønsker du i løbet af et par minutter at se, hvordan det bliver konkret for dit virksomhed, uden at du først skal finde ud af alt selv? Udfør det gratis hurtigt-scan eller start en forretningskonto for at holde dit register og anmodninger overskueligt.