Det vanligaste misstaget vid hantering av en begäran från en registrerad person ligger inte i den tidsfrist inom vilken du svarar, utan i innehållet i ditt svar. Företag skickar ofta antingen för få uppgifter tillbaka på en åtkomstbegäran, eller raderar på en raderingsbegäran uppgifter som de faktiskt måste behålla. Båda felen uppstår för att begäran behandlas som en enkel åtgärd, medan det faktiskt först måste besvaras ett antal frågor.
Kärnan i misstaget är detta: en begäran om åtkomst eller radering kräver en bedömning per uppgift, inte en knapp som du aktiverar. Den som raderar en komplett personaljournal för att en tidigare anställd begär det, kan lätt radera uppgifter som enligt en annan juridisk skyldighet måste behållas, såsom skatte- eller arbetsrättsliga bevarandefrister. Den som på en åtkomstbegäran endast skickar en export från ett system, saknar ofta uppgifter som finns någon annanstans, till exempel i en separat Excelfil eller i en ledares brevlåda.
Varför detta fel förekommer så ofta
GDPR ger registrerade personer rätten till åtkomst och, under vissa förutsättningar, rätten till radering. Båda rättigheterna är inte obegränsade. Rätten till radering gäller till exempel inte när det finns en juridisk bevaringsskyldighet, eller när uppgifterna är nödvändiga för att fastställa, utöva eller försvara ett rättsligt krav. Detta onderskiljande finns inte i en enkel checklista, och det gör det svårt för någon som hanterar detta för första gången.
En andra anledning är att uppgifter i ett genomsnittligt litet och medelstort företag är spridda: i CRM-systemet, i bokföringen, i e-post, ibland i en chattapp. En begäran besvaras ofta från ett system, medan den registrerade har rätt till en fullständig bild. Det är precis där ett aktuellt register över behandlingsaktiviteter gör skillnad: om du i förväg redan har dokumenterat vilka system som innehåller personuppgifter och från vem, behöver du inte ta reda på det under tidstryck när en begäran kommer in.
Det andra misstaget: identiteten kontrolleras inte
Vid sidan av den innehållsmässiga bedömningen går det ofta snett redan i första steget: att fastställa vem som gör begäran. En begäran om åtkomst eller radering innehåller ofta känslig information, och den informationen bör endast nå fram till den registrerade personen själv. Att behandla en begäran för snabbt utan att verifiera identiteten kan leda till att uppgifter från en person hamnar hos fel person. Samtidigt gäller: en onödigt krävande identitetskontroll försenar behandlingen och kan uppfattas som en barriär som inte står i proportion till begäran.
Hur du undviker detta misstag
Det första steget är att korrekt dokumentera själva begäran: vad efterfrågas exakt, av vem, och vilket datum kom den in. Från den tidpunkten löper den juridiska tidsfristen, och den tidsfristen gäller oavsett om begäran kommer via e-post, telefon eller brev.
Det andra steget är att kontrollera i vilka system denna persons uppgifter finns. Ett register över behandlingsaktiviteter som är aktuellt påskyndar detta avsevärt, eftersom du då redan vet vilka verktyg och leverantörer som behandlar uppgifter om anställda eller kunder. Den som ännu inte har detta centralt dokumenterat kan läsa i kunskapsbas med förklaringar för varje situation vad som exakt ska ingå i ett register innan en begäran kommer in.
Det tredje steget är att bedöma per uppgift om radering eller utlämnande är tillåten, i stället för att behandla hela journalen på en gång. Om du är osäker på en juridisk bevaringsskyldighet som motsätter sig begäran, är det klokt att inhämta juridisk rådgivning här; tillsynsmyndigheten nämner detta onderskiljande i sina riktlinjer, men resultatet beror på den specifika situationen.
Slutligen hjälper det att ha en fast process på förhand för denna typ av begäranden, så att man inte uppfinner på nytt vem som är ansvarig för vad vid varje begäran. Svar på vanliga frågor om detta ämne finns samlade på ett överskådligt sätt i samlingen med vanliga frågor, och den som vill se hur gdpria.eu anger källan för varje svar läser det på sidan förklaring av hur informationen fram kommer.
Ett väl underhållet register och en fast process förhindrar inte att en begäran kommer in, men förhindrar väl att det går fel under tidspress. Den som helst vill ordna detta strukturellt i stället för att på nytt utreda det fall för fall kan gratis orientera sig på ett affärskonto och på så sätt få ordning på översikten per system och per begäran.
Är du nyfiken på hur din egen situation ser ut? Den kostnadsfria snabbkontrollen ger i ett par frågor en första indikation, utan att du behöver ett konto för det.