Databeskyttelsesforordningen giver alle personer rettigheder over for virksomheder, der behandler oplysninger om dem. Som medarbejder har du selv rettighederne, og du kan blive den første, der får en henvendelse fra en kunde eller kollega.
Rettighederne
- Information (artikel 13 og 14): at få at vide, hvordan oplysningerne bruges.
- Indsigt (artikel 15): at få at vide, om virksomheden behandler oplysninger om dig, få en kopi og få at vide formål, modtagere og opbevaringstid.
- Berigtigelse (artikel 16): urigtige oplysninger skal rettes, og ufuldstændige kan udfyldes.
- Sletning (artikel 17, »retten til at blive glemt«): i bestemte tilfælde, for eksempel når oplysningerne ikke længere er nødvendige, eller samtykket er trukket tilbage. Retten er ikke absolut. Hvis loven kræver, at virksomheden beholder oplysningerne, gælder sletning ikke.
- Begrænsning (artikel 18): at oplysningerne opbevares, men ikke bruges videre, mens en tvist afklares.
- Dataportabilitet (artikel 20): at få oplysninger, du selv har givet, i et almindeligt maskinlæsbart format. Gælder for automatisk behandling på grundlag af samtykke eller aftale.
- Indsigelse (artikel 21): mod behandling, der bygger på legitim interesse eller en offentlig opgave, og altid mod direkte markedsføring.
- Automatiske afgørelser (artikel 22): ret til ikke at være genstand for en afgørelse, der udelukkende bygger på automatisk behandling, herunder profilering, hvis den har retsvirkning eller tilsvarende følger. Der findes undtagelser, for eksempel når afgørelsen er nødvendig for en aftale eller bygger på udtrykkeligt samtykke. Så har du som hovedregel ret til, at et menneske vurderer sagen, til at give din mening til kende og til at anfægte afgørelsen.
Fristen: én måned
Virksomheden skal svare uden unødig forsinkelse og senest inden for én måned efter modtagelsen af henvendelsen (artikel 12, stk. 3). Fristen kan forlænges med yderligere to måneder, hvis henvendelsen er kompliceret, eller der kommer mange, men så skal personen have besked inden for den første måned med en begrundelse.
Hovedreglen er, at svaret er gratis. Virksomheden kan kun opkræve et rimeligt gebyr eller afslå, hvis henvendelsen er åbenbart grundløs eller uforholdsmæssig.
Hvad gør du, hvis du får en henvendelse?
En henvendelse behøver ikke bruge bestemte ord. Skriver en kunde »Jeg vil se, hvad I har gemt om mig« eller »slet mig«, er det en anmodning om rettigheder.
- Ignorer den ikke. Fristen løber fra den dag, virksomheden modtager henvendelsen, også når den havner hos dig.
- Send den straks videre til den, der har ansvaret for databeskyttelse, eller til den funktion, virksomheden har bestemt, og skriv datoen ned, hvor du modtog den.
- Udlever ikke noget selv, hvis du ikke har fået besked på det. Det skal først afklares, hvem der spørger.
- Lov ikke noget, du ikke kan stå inde for, som sletning af alt.
Kontrol af identitet
Virksomheden skal sikre sig, at det er den rigtige person, der spørger. Ellers kan en svindler få indsigt i andres oplysninger, og det er i sig selv et brud. Kan du ikke være sikker, kan virksomheden bede om nødvendige yderligere oplysninger for at bekræfte identiteten. Kunden skal ikke skulle sende mere end nødvendigt, og fødselsnummer bør normalt ikke kræves.
Når andres oplysninger står i dokumentet
Indsigtsretten må ikke krænke andres rettigheder. Står der oplysninger om andre personer i dokumentet, skal de ofte overstreges, før kopien sendes ud. Det gør virksomhedens ansvarlige, ikke den enkelte sagsbehandler på egen hånd.
Klage til Datatilsynet
Har virksomheden ikke svaret eller afslået uden god grund, kan personen klage til Datatilsynet. Afgørelser fra Datatilsynet kan som hovedregel påklages til Personvernnemnda (det norske klagenævn for databeskyttelse, personopplysningsloven § 22). Personen kan også gå til domstolene og kræve erstatning (lektion 9).