Om du inte svarar på en registrerad persons förfrågan inom den lagstadgade tidsfristen, uppkommer ingen böta som automatiskt tas ut. GDPR fungerar på ett annat sätt: förordningen anger en tidsfristen för ditt svar, och vad som händer om du inte följer den beror på vad den registrerade gör därefter. De kan lämna in ett klagomål till Datainspektionen eller vädja till domstol. Båda vägen finns parallellt och utesluter inte varandra.
Det handlar alltså inte om ett fast belopp som följer av att du missat datumet, utan om en situation där du inte kan bevisa att du uppfyllt din skyldighet. Det är en annan ställning än när du svarar i tid, även om svaret på själva förfrågan är mer komplicerat.
Vad GDPR föreskriver om tidsfristen
Förordningen ger den registrerade rätt att få svar på en förfrågan om tillgång, rättelse eller radering inom en månad. Denna månad börjar när du mottar förfrågan, inte när du börjar arbeta med den i praktiken. Vem som bedömer förfrågan, vad som behövs för att kontrollera identiteten och vilka system som måste genomsökas räknas allt in inom denna period.
Själva lagstexten är källan att fallback på när du är osäker på exakt formulering; i kunskapsbanken kan du per ämne hitta det korta svaret och källan. Det är avsiktligt ingen betald funktion: spårbarhet till källan är en del av ett system som säger att du själv måste kunna kontrollera var något kommer ifrån.
Vad som händer när tidsfristen går ut
Om månaden går utan svar kan den registrerade betrakta det som en självständig försummelse, oberoende av frågan om du i slutändan skulle ha kunnat avslå förfrågan. Datainspektionen behandlar klagomål i sådana situationer, och tillsynsmyndigheten avgör själv hur ett klagomål hanteras. Vi kan inte göra något uttalande om ditt specifika fall; det är upp till tillsynsmyndigheten eller, om du är osäker på din ställning, en jurist.
Vad som är visst: ett sent svar ser annorlunda ut än inget svar alls. Ett företag som förklarar varför något tar längre tid är i en annan ställning än ett företag som inte svarar alls. Denna skillnad är relevant, även om det inte finns någon formel för att uttrycka denna skillnad i en procentsats eller ett belopp.
Förlängning av tidsfristen: när får det ske
GDPR ger möjlighet att förlänga tidsfristen om en förfrågan är komplex eller om många förfrågningar kommer in samtidigt. Denna förlängning är inte automatisk: du måste meddela den registrerade inom den ursprungliga månaden att du behöver mer tid, och varför. Om någon försummar det och först hörs av efter den första månaden har förlängningen inte använts på rätt sätt, även om det innehållsmässigt kanske fanns anledning till mer tid.
Det här är precis den punkt där företag ofta går vilse: inte för att de inte vill svara, utan för att ingen har dokumenterat datumet när förfrågan kom in. En förfrågan via e-post som förblir liggande tills någon har tid är det vanligaste scenariot.
Vad du ska göra om du märker att tidsfristen är i fara
Om du är nära deadline eller just har missat den är första steget fortfarande att svara, med en kort förklaring av vad som hände. Tystnad är den situation som mest gör att den registrerade tenderar att gå vidare till ett klagomål eller domstol. Ett sent men fullständigt svar, med en tydlig dokumentation av när förfrågan kom in och vad som gjordes, visar att något faktiskt gjordes.
Dokumentera i varje fall: mottagandedatumet, vem som har granskat begäran och vilken avvägning som gjordes. Om du är osäker på om en begäran är befogad eller vad du exakt ska tillhandahålla, är sidan med vanliga frågor en första utgångspunkt, och för de svårare fallen är en jurist fortfarande vägen framåt.
Hur man övervakar en löpande tidsfrist
Det svåraste med denna skyldighet är inte innehållet i svaret, utan att hålla koll på klockan så snart en begäran anländer någonstans i organisationen: vid mottagningen, i en gemensam postlåda eller direkt till en anställd. gdpria.eu låter denna tidsfrist på en månad automatiskt löpa så snart en begäran har registrerats, med en signal långt innan datumet löper ut. Hur det systemet är uppbyggt och var de underliggande reglerna kommer från förklaras på sidan där det förklaras var informationen kommer ifrån.
Huruvida det är en lämplig tillägg för ditt företag beror på hur många begäran du får och hur du redan registrerar det. En affärskonto är utan bindning att bekika; kunskapsbanken och den första granskningen förblir kostnadsfria.
Vill du först se var du står? De kostnadsfria delarna av gdpria.eu ger per ämne det korta svaret och hänvisningen i lagstiftningen, utan att du behöver något konto för det.