Det korta svaret
Själva rättigheterna förändras inte i år. Rätten till tillgång, rättelse, radering, begränsning, invändning och portabilitet finns i GDPR själv, och den texten skrivs inte om varje år. Det som förändras är hur dessa förfrågningar kommer in till företag och hur tillsynsmyndigheter och de europeiska dataskyddsmyndigheterna (EDPB) förklarar detta. För en verkställande direktör eller HR-chef gör det skillnad i praktiken, även om det inte ändras något i lagtexten.
Det betyder inte att du inte behöver hålla reda på något. Riktlinjer från Datainspektionen och EDPB uppdateras regelbundet, till exempel om hur du verifierar en förfrågarens identitet eller hur du hanterar en förfrågan som kommer in via en chattfunktion eller sociala medier. Dessa uppdateringar är ingen ny lag, men en mer exakt tillämpning av en befintlig skyldighet.
Vad som inte förändras i själva lagen
Kärnan förblir oförändrad: en registrerad får fråga vilka uppgifter du behandlar om honom eller henne, får låta felaktiga uppgifter korrigeras och kan under vissa villkor begära radering. Tidsfristen inom vilken du måste svara fastställs i GDPR själv och är inte föremål för årlig omprövning. Företag som tror att en ny, kortare eller längre svarstid införts i år förväxlar det förmodligen med interna avtal eller meddelanden som inte handlar om själva lagtexten.
De undantag som finns, till exempel en laglig bevaringsskyldighet som hindrar radering, är också oförändrade. Det som kan förändras är hur strängt tillsynsmyndigheter tolkar dessa undantag i sina riktlinjer. Det är ingen lagändring, men det kan innebära att en motivering som räckte förra året måste dokumenteras mer exakt i år.
Vad som förändras i år
Tre utvecklingar är relevanta för små och medelstora företag, utan att själva lagen har ändrats. För det första kommer förfrågningar alltmer digitalt, via ett kontaktformulär, en chattbot eller ett svar på sociala medier, istället för per brev. Det ändrar ingenting vid skyldigeten, men väl frågan om en förfrågan känns igen som en formell förfrågan och kommer fram i tid till rätt person i organisationen.
För det andra växer uppmärksamheten på förfrågningar som rör automatiserad behandling, till exempel när uppgifter har använts för att bygga upp en profil eller en AI-tillämpning har tillhandahållit data för ett beslut. EDPB utvecklar detta ämne regelbundet. Företag som använder AI-verktyg för kundkontakt eller personalutvärdering bör därför veta vilka uppgifter som finns i dem innan en förfrågan kommer in. Det berör direkt de frågor som väcks kring GDPR och AI-verktyg i praktiken.
För det tredje förs en bredare diskussion om utvärderingen av GDPR som helhet på europeisk nivå. Här undersöks om reglerna för mindre organisationer kan förenklas, men konkreta lagändringar är för närvarande inte fastställda. Det som ännu inte är bestämt rapporterar vi här som sådan: ingen slutlig datum eller innehåll är känt, och att spekulera om detta hjälper en företagare inte vidare.
För vem detta är relevant
Dessa förändringar berör särskilt organisationer som har många kontaktpunkter med kunder eller anställda: ett kontor med kundservice, ett installationsföretag med ett offertformulär på webbplatsen eller en HR-avdelning som behandlar ansökningsuppgifter. Ju fler kanaler genom vilka någon kontaktar dig, desto större är risken att en förfrågan kommer in någonstans utan att någon känner igen den som en formell GDPR-förfrågan. Det är ingen juridisk risk som vi bedömer här, men väl en praktisk punkt som är värd att diskutera internt.
Det är också relevant att se till relationen med era databehandlingsavtal: om en kund ställer en begäran till er, men uppgifterna lagras hos en extern SaaS-leverantör, måste leverantören kunna medverka vid insyn eller radering. Du kan kontrollera om detta är korrekt reglerat i avtalet via vanliga frågor om databehandlingsavtal och SaaS-verktyg.
Hur du håller detta aktuellt utan att behöva lösa det varje gång
Eftersom lagtexten är stabil men tolkningen av den förskjuts är det framför allt viktigt att veta var den aktuella ståndpunkten kommer ifrån och när den ändras. gdpria.eu kopplar varje ämne till källan i GDPR och till riktlinjerna från EDPB och Datainspektionen, så att du inte själv behöver hålla koll på om något har ändrats. Vid misstanke om ett dataintrång kan du till exempel först kontrollera var du står i ett par frågor, innan du vidtar ytterligare åtgärder.
Vill du veta hur den här typen av information hålls uppdaterad och var källhänvisningen kommer ifrån? Gör den kostnadsfria snabbkontrollen eller läs igenom ämnena i kunskapsbanken och bestäm själv om en uppföljande åtgärd är nödvändig.