En registrerad person som begär insynen, rättelse eller radering av sina uppgifter har rätt till ett svar inom en månad efter mottagandet av begäran. Det är huvudregeln i GDPR. Om det gäller en begäran med komplicerad omfattning, eller om ni får flera samtidigt, erbjuder förordningen möjlighet att förlänga denna tidsfrist med högst två månader — förutsatt att ni informerar den registrerade personen om detta inom den första månaden och förklarar varför.
I praktiken är den lagstadgade tidsfristen sällan problemet. Det som företag brukar fastna på är processen före detta: att fastställa vem som exakt begär vilka uppgifter, ta reda på vilka system dessa uppgifter finns i, och bedöma om det finns undantag innan ni raderar eller lämnar något. Företag som inte hade organiserat denna process märker att klockan redan har börjat gå innan någon internt har granskat begäran.
När börjar tidsfristen löpa
Tidsfristen börjar när begäran når er, inte när ni behandlar den innehållsmässigt. En begäran per e-post till en allmän adress, via receptionen eller till en enskild medarbetare räknas lika mycket. Det innebär att ett företag där sådana meddelanden inte snabbt vidarebefordras till rätt person förlorar tid som inte kan återtas. Den som exakt vet vad en giltig begäran är och vart den ska gå vinner här de första och viktigaste dagarna.
Vad förlängning betyder i praktiken
Möjligheten till förlängning är inte fritt spelrum för att vänta tills det passar. GDPR kopplar förlängningen till begärans egen komplexitet — till exempel för att uppgifter är spridda över flera system eller år, eller för att det först måste fastställas om utlämnande berör andras rättigheter. En begäran som helt enkelt har legat på hög räknas inte dit. Tillsynsmyndigheter och domstolar tittar på begärans karaktär, inte på hur stressad verksamheten är.
Var genomförningstiden bryter ihop i praktiken
Tre punkter återkommer ständigt. För det första identitetskontrollen: ni måste vara rimligt säker på att ni lämnar ut uppgifter till den person som de avser, utan att fråga efter onödigt mycket tilläggsuppgifter. För det andra spridningen av uppgifter över olika SaaS-verktyg — en CRM, ett bokföringsprogram, ett e-postprogram — vilket gör att en begäran snabbt rör flera ställen samtidigt. För det tredje frågan om uppgifter som egentligen redan borde ha raderats ännu finns någonstans i en säkerhetskopia eller en gammal fil. Detta senare hänger nära samman med bevarandeperioder som inte har fastställts skarpt.
Ett företag som i förväg vet vilka personuppgifter det bearbetar och var behöver inte söka när en begäran kommer utan kan titta direkt. Det är exakt därför ett aktuellt register över behandlingsaktiviteter är mer än en formalitet: det är uppslagsverket med vilket ni hanterar en begäran inom tidsfristen i stället för att söka efter den. I kunskapsbanken förklaras ämnena per situation, inklusive källan i den officiella texten.
Vad ni själva kan göra för att hålla er inom tidsfristen
Fastställ vem som känner igen en begäran och vart den ska gå. Se till att det är klart vilka uppgifter som finns i vilket verktyg, så att ni inte behöver leta på nytt vid varje begäran. Och etablera i förväg en rutin för identitetskontrollen, så att den inte improviseras när klockan redan går. Om ni är osäker på om en specifik begäran faller under huvudregeln eller förlängningen kan det vara bäst att presentera det för en jurist eller kontrollera med Datainspektionen.
Huruvida en händelse kring uppgifter är anmälningspliktig är en annan fråga än tidsfristen för en registrerad persons begäran — andra regler och en kortare tidsfrist gäller där. Om ni är osäker på om något faller i denna kategori kan ni kontrollera detta i några frågor med en indikation. Hur gdpria.eu kopplar tidsfrister, mallar och påminnelser per åliggande till ert eget register läser ni på sidan som förklarar var informationen kommer från.
Vill du veta hur ditt företag mår just nu, utan att det kostar något direkt? Gör den kostnadsfria snabbkontrollen eller läs de avsnitt som verkar passa din situation bäst via vanliga frågor om begäranden från registrerade.