Personvernforordningen gir alle personer rettigheter overfor virksomheter som behandler opplysninger om dem. Som ansatt har du rettighetene selv, og du kan bli den første som får en henvendelse fra en kunde eller kollega.
Rettighetene
- Informasjon (artikkel 13 og 14): å få vite hvordan opplysningene brukes.
- Innsyn (artikkel 15): å få vite om virksomheten behandler opplysninger om deg, få en kopi og få vite formål, mottakere og lagringstid.
- Retting (artikkel 16): uriktige opplysninger skal rettes, og ufullstendige kan utfylles.
- Sletting (artikkel 17, «retten til å bli glemt»): i bestemte tilfeller, for eksempel når opplysningene ikke lenger trengs, eller samtykket er trukket tilbake. Retten er ikke absolutt. Hvis loven krever at virksomheten beholder opplysningene, gjelder ikke sletting.
- Begrensning (artikkel 18): at opplysningene lagres, men ikke brukes videre, mens en tvist avklares.
- Dataportabilitet (artikkel 20): å få opplysninger du selv har gitt, i et vanlig maskinlesbart format. Gjelder for behandling på grunnlag av samtykke eller avtale som skjer automatisk.
- Protest (artikkel 21): mot behandling som bygger på berettiget interesse eller offentlig oppgave, og alltid mot direkte markedsføring.
- Automatiserte avgjørelser (artikkel 22): rett til ikke å bli gjenstand for en avgjørelse som utelukkende bygger på automatisert behandling, inkludert profilering, hvis den har rettslige eller tilsvarende følger. Unntak finnes, for eksempel når avgjørelsen er nødvendig for en avtale eller bygger på uttrykkelig samtykke. Da har du som hovedregel rett til at et menneske vurderer saken, til å si din mening og til å bestride avgjørelsen.
Fristen: én måned
Virksomheten skal svare uten ugrunnet opphold og senest innen én måned etter at henvendelsen er mottatt (artikkel 12 nr. 3). Fristen kan forlenges med ytterligere to måneder hvis henvendelsen er komplisert eller det kommer mange, men da må personen få beskjed innen den første måneden, med begrunnelse.
Hovedregelen er at svaret er gratis. Virksomheten kan ta et rimelig gebyr eller avslå bare hvis henvendelsen er åpenbart grunnløs eller uforholdsmessig.
Hva gjør du hvis du får en henvendelse?
En henvendelse trenger ikke bruke bestemte ord. Skriver en kunde «Jeg vil se hva dere har lagret om meg» eller «slett meg», er det en rettighetsforespørsel.
- Ikke ignorer den. Fristen løper fra den dagen virksomheten mottar henvendelsen, også når den havner hos deg.
- Send den straks videre til den som er ansvarlig for personvern eller til den funksjonen virksomheten har bestemt, og skriv ned datoen du mottok den.
- Ikke utlever noe selv hvis du ikke har fått beskjed om det. Det må først avklares hvem som spør.
- Ikke lov noe du ikke kan stå inne for, som sletting av alt.
Kontroll av identitet
Virksomheten skal forsikre seg om at det er riktig person som spør. Ellers kan en svindler få innsyn i andres opplysninger, og det er i seg selv et brudd. Kan du ikke være sikker, kan virksomheten be om nødvendig tilleggsinformasjon for å bekrefte identiteten. Kunden skal ikke måtte sende mer enn nødvendig, og fødselsnummer skal vanligvis ikke kreves.
Når andres opplysninger står i dokumentet
Innsynsretten skal ikke krenke andres rettigheter. Står opplysninger om andre personer i dokumentet, må de ofte sladdes før kopien sendes ut. Dette gjør virksomhetens ansvarlige, ikke den enkelte saksbehandleren på egen hånd.
Klage til Datatilsynet
Har virksomheten ikke svart eller avslått uten god grunn, kan personen klage til Datatilsynet. Vedtak fra Datatilsynet kan som hovedregel påklages til Personvernnemnda (personopplysningsloven § 22). Personen kan også gå til domstolene og kreve erstatning (leksjon 9).