För en begäran om radering, även kallad rätten att bli glömd, ger dataskyddsförordningen en tidsfrist på en månad. Den månaden börjar löpa från det ögonblick då ni mottar begäran, inte från det ögonblick då ni inser att det handlar om en officiell begäran enligt dataskyddsförordningen. Om en begäran är komplicerad, eller om ni får många begäran samtidigt inom kort tid, får ni förlänga tidsfristen med två månader. Det måste ni då meddela till den registrerade inom den första månaden, tillsammans med anledningen till förlängningen.
I praktiken är en månad kortare än vad det känns som. En begäran om radering kommer ofta inte in som ett formellt dokument, utan som ett e-postmeddelande, ett telefonsamtal eller ett meddelande via kontaktformuläret på webbplatsen. När någon i organisationen inser att det handlar om en begäran enligt dataskyddsförordningen och skickar den vidare till rätt person har redan tid förflutit som inte räknas in i tidsfristen.
Det som startar klockan
Tidsfristen börjar löpa från mottagandet, oavsett vilken kanal begäran kommer via. Det betyder att en begäran som tas emot av kundtjänst, en säljare eller en receptionist startar klockan precis lika mycket som en begäran som går direkt till ledningen eller personalavdelningen. Många företag upptäcker i efterhand att ett meddelande som legat i en brevlåda i tre veckor faktiskt var en begäran om radering. Den som vill begränsa denna risk gör klokt i att göra det klart inom organisationen hur ett sådant meddelande identifieras och vart det omedelbar ska skickas vidare.
Där tidsfristen i praktiken fastnar
Det mesta av förseningen uppstår inte vid beslutet att radera, utan när man ska hitta alla platser där uppgifterna finns. Ett namn och en e-postadress kan förekomma samtidigt i ett CRM-system, ett faktureringsprogram, en e-postlista, en säkerhetskopia och hos en extern part som behandlar data för er räkning, till exempel en revisor eller ett marknadsföringsverktyg. Alla dessa platser måste granskas, och för varje databehandlare som behandlar data för er måste ni kontrollera om och hur den genomför raderingen. En översikt över vilka verktyg som innehåller vilka uppgifter sparar mycket sökarbete i denna process. I kunskapsbanken förklaras per situation vad dataskyddsförordningen kräver av er och vad det baseras på.
En andra källa till försening är frågan om radering är aktuell överhuvudtaget. Inte varje begäran leder automatiskt till radering. Uppgifter som ni är skyldiga att spara enligt lag, till exempel vissa delar av den finansiella redovisningen eller personalhandlingar inom en lagstyrd bevarandetid, faller utanför raderingsskyldigheten så länge denna skyldighet gäller. Uppgifter som är nödvändiga för fastställandet, utövandet eller styrningen av ett rättsligt anspråk kan också utgöra ett undantag. Vilken undantag som gäller i ett konkret fall är upp till organisationen själv att bedöma, eventuellt med hjälp av en jurist, och vid osäkerhet kan Datainspektionen ge mer vägledning om detta.
När förlängning är tillåten och när den inte är det
Förlängningen med två månader är inte något automatiskt som ni helt enkelt kan åberopa. Dataskyddsförordningen kopplar denna möjlighet till komplexiteten i begäran eller till antalet begäran som ni måste hantera samtidigt. En enkel, enkel begäran om att ta bort en adress från en e-postlista är inte snabbt tillräckligt komplex för att ta tre månader. En begäran där uppgifter är spridda över flera system och flera år kan det vara. Det är viktigt att ni meddelar den registrerade inom den första månaden att ni förläng och varför; gör ni inte det fortsätter den ursprungliga tidsfristen på en månad helt enkelt.
Praktiskt: hålla tidsfristen hanterbar
Det mesta av förseningarna går att undvika genom att veta i förväg var data lagras, i stället för att behöva söka upp det på nytt för varje förfrågan. En fast översikt över de system som används, vem som bearbetar vilka data i dem och vilka avtal som finns med externa parter gör skillnaden mellan en förfrågan som hanteras inom en vecka och en som tar hela månaden. Den som låter denna översikt köras tillsammans med ett system som övervakar fristen själv, behöver inte längre lita på kalendern. Mer om hur detta tillvägagångssätt fungerar i praktiken och var informationen är baserad finns på sidan som förklarar var informationen kommer från.
Förfrågningar om radering kommer sällan vid en fast tidpunkt, och just därför är det lätt att låta de första dagarna av fristen förflyta oanvända. Den som vill låta fristen löpa från det ögonblick en förfrågan anländer kan ställa in det via ett affärskonto. För motsvarande frågor om förfrågningar från registrerade finns det också en översikt med kortare svar.
Är du osäker på om en konkret förfrågan som du mottar omfattas av raderingsplikten, eller vilka undantag som kan gälla? Det är en bedömning som varierar från situation till situation, och som du bäst diskuterar med en jurist eller med Datainspektionen. Vill du först själv snabbt se ungefär var du står, kan du genomföra den kostnadsfria snabbkontrollen eller gå igenom avsnitten i kunskapsbanken.