Vilka handlingar behöver ni vid en begäran om tillgång eller radering?
Om någon ber dig om tillgång till sina uppgifter eller om radering av dem behöver du ett antal dokument för att hantera begäran noggrant: ett mottagningsbekräftelse med datum, ett sätt att fastställa identiteten för den som ber, en översikt över vad du faktiskt behandlar om denna person, ett skriftligt beslut med motivering, och eventuellt ett meddelande där du förlänger tidsfristen. Tillsammans utgör dessa dokument det dossier med vilket du kan visa vad som frågades och vad du gjorde med det.
Den del där det finns mest osäkerhet är inte själva listan utan identitetskontrollen. För få frågor är en risk eftersom du då möjligen kan ge uppgifter till fel person; för många frågor är också en risk, eftersom förordningen just ber dig att inte begära mer uppgifter än vad som är nödvändigt för att fastställa identiteten. En fullständig kopia av ett identitetsbewis är vanligtvis inte nödvändigt för det och för dessutom in nya uppgifter i spelet som du måste skydda och förstöra i tid.
Fastställa identitet utan att fråga för mycket
I praktiken fungerar det ofta med uppgifter du redan har: ett kundnummer, en tidigare känd e-postadress, eller ett kort återringningssamtal. Endast om det finns tvivel om vem som gör begäran är ytterligare verifiering lämplig. Myndigheten för samhällsskydd och beredskap och EDPB-riktlinjerna fokuserar uttryckligt på detta, just för att det är den punkt där organisationer oftast överkompenserar. En fast arbetsmetod för identitetskontroll, som du fastställer en gång och sedan upprepar, förhindrar att du måste uppfinna detta på nytt varje gång.
Vad hör annars till dossiet
Vid sidan av identitetskontrollen hör en översikt över de behandlade uppgifterna själva till dossiet: var de kommer ifrån, vem de har delats med, och hur länge du redan har dem. Den översikten hämtar du i praktiken från ditt behandlingsregister, om det är i ordning. Utan register måste du ta reda på detta per begäran manuellt i dina system, vilket tar mer tid och ger mer risk för ett ofullständigt svar. I kunskapsbanken förklaras det per situation vad ett fullständigt svar innebär.
Vid en raderingsbegäran kommer ett extra dokument: bedömningen av om det finns en lagstadgad bevaringsskyldighet som försvårar radering (tillfälligt), till exempel för skatterelaterade uppgifter. Du dokumenterar denna bedömning skriftligt, även om resultatet är att du inte raderar (helt). Det dokumentet är lika viktigt som själva raderingen, eftersom det visar att ett medvetna val har gjorts och ingen glömd begäran.
Varför detta hänger ihop med ditt register och dina verktyg
En begäran om tillgång eller radering rör sällan ett system. Kunduppgifter finns ofta i ett CRM, ett bokföringspaket och ett e-postprogram samtidigt, och för var och en av dem ligger frågan om och hur länge radering är möjlig. Den som i förväg kartlagt vilka SaaS-verktyg som innehåller vilka uppgifter behöver inte upptäcka detta på nytt per begäran. Du kan kontrollera om dina inställningar stämmer överens med vad förordningen kräver genom vägledningen om integritet och dataskydd.
Själva beslutet är också ett dokument: ett kort brev eller e-postmeddelande som anger vad som frågades, vad du gjorde, och inom vilken tid. Den tidsfristen är fastställd i förordningen och löper från mottagandet, inte från när du hinner ta itu med det. En sammanfattning av vanliga frågor om dessa tidsfrister och undantag finns hos vanliga frågor om begäranden från registrerade.
Det lönar sig att dokumentera, även efter att ansökan är avslutad
Det dossier som du samlar in när du tar emot en begäran är inte bara avsett för det tillfället. Det visar också, om en tillsynsmyndighet eller den registrerade själv senare frågar efter det, att begäran har identifierats, bedömts och hanterades inom den fastställda tidsfristen. Huruvida er nuvarande arbetsmetod redan täcker detta är något som ni bäst diskuterar med en jurist eller med Myndigheten för dataskydd om ni är osäker på en konkret situation.
Vill ni på några minuter se hur detta blir konkret för er verksamhet, utan att först behöva ta reda på allt själva? Gör den kostnadsfria snabbkontrollen eller starta ett affärskonto för att hålla er register och begäranden organiserat.