GDPR giver ethvert menneske rettigheder over sine oplysninger. De gælder kunder, elever, patienter, ansatte og alle andre. Som ansat kan du få en anmodning, eller du kan selv ville bruge rettighederne.
Ret til information
Efter artiklerne 13 og 14 skal folk have at vide, hvem der behandler deres oplysninger, hvorfor, på hvilket grundlag, hvor længe de opbevares, og hvilke rettigheder de har. Det sker ofte i en privatlivspolitik eller et informationsark. Hvis oplysningerne ikke kommer fra personen selv, skal informationen gives inden for rimelig tid og senest inden for en måned.
Ret til indsigt (registerudskrift)
Efter artikel 15 har den registrerede ret til at få at vide, om oplysninger om vedkommende behandles. Vedkommende har også ret til at få en kopi af oplysningerne og information om formål, modtagere, opbevaringstid og hvorfra oplysningerne stammer. Den første kopi er gratis.
Øvrige rettigheder
- Berigtigelse (artikel 16): urigtige oplysninger skal berigtiges, og ufuldstændige skal udfyldes.
- Sletning, "retten til at blive glemt" (artikel 17): oplysningerne skal blandt andet slettes, når de ikke længere er nødvendige, eller når samtykket trækkes tilbage. Retten er ikke absolut. Oplysninger, som loven kræver, at man opbevarer, må ikke slettes.
- Begrænsning (artikel 18): oplysningerne må midlertidigt kun opbevares, for eksempel mens en berigtigelse vurderes.
- Dataportabilitet (artikel 20): i visse tilfælde ret til at få sine oplysninger i et maskinlæsbart format og flytte dem.
- Indsigelse (artikel 21): ret til at gøre indsigelse mod behandling, der bygger på legitim interesse eller samfundets interesse. Mod direkte markedsføring er der en absolut ret til indsigelse, og behandlingen skal da ophøre.
- Automatiske afgørelser (artikel 22): en person har ret til ikke at blive underlagt afgørelser, der udelukkende bygger på automatisk behandling, og som har retsvirkning eller på tilsvarende måde i betydelig grad påvirker personen.
Hvor hurtigt skal vi svare?
Efter artikel 12 skal organisationen svare uden unødig forsinkelse og senest inden for en måned. Fristen kan forlænges med yderligere to måneder, hvis anmodningen er kompliceret, eller der er kommet mange anmodninger, men den registrerede skal da have besked inden for den første måned. Svaret skal normalt være gratis. Ved åbenbart ubegrundede eller overdrevne anmodninger kan organisationen opkræve et gebyr eller afslå.
Fristen regnes fra den dag, organisationen modtager anmodningen. Den begynder altså ikke først, når den rigtige person læser den.
Sådan håndterer du en anmodning
- Genkend den. En anmodning behøver ikke nævne GDPR. "Hvilke oplysninger har I om mig?" eller "Slet mine oplysninger" er nok. Den kan komme via e-mail, brev, telefon, chat eller i en butik.
- Send den videre med det samme til den, organisationen har udpeget, for eksempel databeskyttelsesrådgiveren eller en funktion for databeskyttelsesspørgsmål.
- Ændr eller slet intet, for at du kan undgå at vise det. Det er ikke tilladt.
- Udlever ikke oplysninger selv, medmindre du har fået til opgave at gøre det. Organisationen skal først kontrollere, at den, der spørger, virkelig er den, oplysningerne handler om.
- Afslå ikke på eget initiativ. Det er organisationens afgørelse, og der kan kræves en vurdering af, hvad der må udleveres.
Klage og retlig prøvelse
Den, der mener, at reglerne ikke overholdes, kan indgive en klage til IMY (artikel 77). Man kan også gå til domstolene og kræve erstatning (artikel 82), hvis man har lidt skade.