En registrerad persons begäran är varje begäran från någon vars personuppgifter du behandlar, där den personen använder en av de rättigheter som GDPR ger honom eller henne. Det sträcker sig längre än de två mest kända formerna, åtkomst och radering. Förordningen erkänner också rätten till rättelse, rätten att begränsa behandlingen, rätten till dataöverförbarhet och rätten att invända mot en viss behandling. Alla dessa begäran faller under samma kategori och väcker samma skyldighet: du måste svara på dem.
Den detalj som oftast över ses när det gäller detta ämne är att en begäran inte behöver ha någon särskild form. En kund som skriver i ett vanligt e-postmeddelande "jag vill veta vilka uppgifter ni har om mig" eller en före detta anställd som säger till skranken "kan mitt namn tas bort från ert system" gör redan en begäran på detta sätt, även utan formulär, utan att använda ordet GDPR och utan att det kommer genom en särskild kontaktperson. Det är just denna informella mottagning som ofta blir fel: inte när begäran behandlas, utan när den erkänns.
Vilka rättigheter omfattas av en registrerad persons begäran
GDPR ger någon vars uppgifter du behandlar ett antal sammanhängande rättigheter. Åtkomst innebär att någon får veta vilka uppgifter du har om honom eller henne och för vilket ändamål. Rättelse innebär att felaktiga uppgifter måste kunna korrigeras. Radering, även kallad rätten att bli glömd, innebär att uppgifter måste raderas i vissa situationer. Begränsning innebär att uppgifter tillfälligt inte får användas, till exempel under en diskussion om deras korrekthet. Dataöverförbarhet ger någon rätten att få uppgifter som han eller hon själv har tillhandahållit i ett vanligt format. Och invändning ger någon möjligheten att invända mot en specifik behandling, till exempel mot användning av hans eller hennes uppgifter för marknadsföring.
Ingen av dessa rättigheter är villkorslös. GDPR knyter särskilda villkor och undantag till varje rättighet, och huruvida en begäran faktiskt måste bifallas beror på situationen. Det är också precis därför som allmän förklaring här aldrig kan ersätta ett omdöme om ett enskilt fall.
Varför igenkänning är svårare än behandling
Många företag fokuserar på processen efter en begäran: vem svarar, inom vilken tidsfrist och med vilket dokument. Det är riktigt, men det är inte den första flaskhalsen. Den första flaskhalsen är att en begäran sällan kommer genom den kanal som du hade inrättat för det. Den kommer till den anställde som svarar i telefonen, till kollegan som hanterar kundsupport-brevlådan eller till kontorschefen som råkar stå i foajén. Om ingen i organisationen vet att en sådan mening redan är en begäran, börjar klockan för dig att gå utan att du vet om det.
Det är också anledningen till att tillsynsmyndigheter i sina riktlinjer betonar att en begäran inte är bunden till en specifik kanal eller en specifik formulering. Den ansvariga organisationen, inte den registrerade personen, bär bördan att erkänna en begäran så snart den görs. kunskapsbanken med förklaringar för varje rättighet för den registrerade personen går djupare in på vad som räknas som en giltig begäran för var och en av dessa rättigheter och vad som inte gör det.
Vad detta betyder för din organisation
I praktiken fungerar det bäst om alla som har kundkontakt vet att meningar som "ta bort mig från er fil" eller "skicka allt ni har om mig" är en signal att vidarebefordra till den person som handlägger ansökningar. Det är ingen juridisk utbildning, det är igenkänning av ett mönster. Först när ansökningen har identifierats och vidarebefordrats kommer frågan upp om hur ni identifierar den, vad ni exakt måste tillhandahålla och inom vilken tidsram.
GDPR själv anger en tidsfrist på en månad för att svara på en ansökning, med möjlighet att förlänga den i mer komplicerade fall. Denna tidsfrist börjar löpa från det ögonblick då ansökningen gjordes, inte från det ögonblick då den hamnar hos rätt person. Den som vill övervaka det ögonblicket utan att behöva komma ihåg det manuellt kan låta det köras via ett system som startar klockan automatiskt. hur gdpria.eu övervakar denna tidsfrist visar var denna automatisering är baserad.
Vad du kan göra om du är osäker
Inte varje meddelande som verkar vara en ansökning är det heller, och inte varje ansökning måste beviljas helt. Osäkerhet om detta hör till genomförandet, inte till igenkänningen: så snart någon gör klart att han vill använda en av sina rättigheter är det upp till er att ta det på allvar och bedöma, om nödvändigt tillsammans med en jurist eller Datainspektionen, vad som exakt måste göras. svar på frågor som företag ofta ställer om detta behandlar ett antal av dessa gränsfallen.
Vill du veta var din organisation står innan en ansökning faktiskt kommer in? Den kostnadsfria snabbkontroll på dataintrång och ansökningar på några få frågor görs begripliga ger en första indikation, och kunskapsdatabasen förklarar per rättighet vad GDPR säger om det, med källreferensen inkluderad.