För en begäran om rättelse eller en invändning mot behandling gäller samma frist som för en begäran om tillgång eller radering: en månad efter mottagandet. GDPR tillåter att denna frist förlängs med högst två månader om begäran är komplicerad eller om många begäranden kommer in samtidigt, men då måste du informera den registrerade inom den första månaden om att du förlänger fristen och varför.
Det som ofta går fel i praktiken är inte själva fristen utan när fristen börjar löpa. Vid rättelse och invändning finns dessutom en innehållslig fråga som inte förekommer vid en begäran om tillgång: är begäran berättigad? Det tar tid att bedöma, och denna bedömningstid räknas inom samma månad.
Vad klockan mäter exakt
Månaden börjar när begäran kommer till dig, inte när du känner igen den som sådan. Ett e-postmeddelande till kundtjänsten med "detta stämmer inte, åtgärda detta" är redan en rättelsebegäran, även om ingen har noterat det sådan. Samma gäller för en invändning: en kund som skriver "jag vill inte längre att ni använder mina uppgifter för detta ändamål" behöver inte nämna ordet invändning. Tillsynsmyndigheterna bedömer hur en begäran handlagts utifrån mottagandetidpunkten, inte utifrån tidpunkten för erkännandet. Den som inte dokumenterar denna skillnad förlorar ofta dagar innan begäran finns på agendan som en begäran.
Rättelse: ofta snabb, men med ett villkor
En korrigering av en adress eller telefonnummer är vanligtvis enkel och snabb att handlägga. Det blir svårare när den registrerade hävdar att en bedömning, anteckning eller journalanteckning är felaktig. Det handlar då inte om ett faktiskt fel utan om en innehållslig bedömning, och det kräver samordning med den som gjort anteckningen. Denna samordning måste genomföras inom månaden, och det lyckas bara om begäran direkt når rätt person i stället för att ligga kvar hos den som ramlade över e-postmeddelandet.
Invändning: bedöm, honorera inte automatiskt
En invändning mot behandling behöver inte automatiskt beviljas. Förordningen anger att en organisation kan väga huruvida det finns tvingande berättigade intressen att fortsätta behandlingen, till exempel vid ett pågående avtal eller en rättslig skyldighet. Denna avvägning måste motiveras och återkopplas till den registrerade inom samma frist. Många företag underskattar hur mycket tid denna motivering tar, eftersom de glömmer att säga "nej" på en invändning måste vara lika väl underbyggt som att säga "ja".
Där fristen fastnar i praktiken
I de flesta fall fastnar fristen inte på innehållet utan på tre igenkännbara punkter. Det första är igenkännandet: begäran ses inte som sådan och ligger kvar i en inkorg. Det andra är verifiering: innan du ändrar uppgifter eller stoppar en behandling måste du vara ganska säker på att den som begär det faktiskt är den registrerade, och denna kontroll tar tid som inte alltid är planerad. Det tredje är samordning inom organisationen själv: en personaljournal eller en kundbedömning sitter ofta inte hos en enda person, och utan en fast kontaktperson tar sökningen längre tid än beslutet. En kunskapsbas där varje typ av begäran förklaras separat hjälper till att göra denna skillnad i förväg i stället för först vid den första begäran.
Vad räknas som i tid
Att svara i tid innebär att den registrerade får ett innehållsrikt svar inom tidsfristen, ett motiverat avslag eller ett meddelande om att tidsfristen förlängs. En mottagningsbekräftelse utan innehål räknas inte som slutbehandling. Precisom för att rättelse och invändning ofta kräver en innehållsmässig bedömning i större utsträckning än en åtkomstbegäran, är det klokt att tidigt under månaden bestämma vem inom organisationen som gör denna bedömning och på grundval av vilken information. De vanliga frågor om begäranden från registrerade ger per situation ett kort svar på vad som faller inom respektive utanför denna tidsfrist.
Huruvida en konkret begäran är berättigad, och hur ni motiverar ett avslag, skiljer sig från situation till situation och är något som ni vid osäkerhet konsulterar en jurist eller Integritetsmyndigheten om. Det gdpria.eu gör är att själv övervaka tidsfristen: så snart en begäran registrerats börjar tidsfristen löpa automatiskt, inklusive det ögonblick då en förlängning måste tillkännages. På hur det fungerar finns var denna tidslogik kommer ifrån och hur den följs upp.
Vill ni för ert eget företag se hur en sådan begäran ser ut i praktiken och var ni står nu? Den kostnadsfria snabbkontroll på gdpria.eu ger i ett par frågor en första indikation, och med ett affärskonto dokumenterar ni hanteringen av varje begäran tillsammans med motsvarande tidsfrist.