Personer som virksomheten har opplysninger om, har rettigheter etter artikkel 12–22 i databeskyttelsesforordningen. Det er ofte ansatte i front som først hører om dem: på telefonen, i butikken eller i en e-post. Du må derfor kjenne rettighetene og vite hva du gjør når noen bruker dem.
Rettighetene
- Informasjon (artikkel 13 og 14): Personen skal vite hvem som behandler opplysningene, hvorfor, hvor lenge, og hvilke rettigheter personen har. Det skjer vanligvis i en personvernerklæring.
- Innsyn (artikkel 15): Personen kan få vite om virksomheten behandler personens opplysninger, og få en kopi av dem samt en rekke opplysninger om behandlingen. Retten kan ikke krenke andres rettigheter, for eksempel kan du ikke gi ut opplysninger om en annen person.
- Retting (artikkel 16): Uriktige opplysninger skal rettes.
- Sletting (artikkel 17), også kalt «retten til å bli glemt»: Opplysninger skal slettes, for eksempel hvis de ikke lenger er nødvendige eller samtykket er trukket tilbake. Retten gjelder ikke hvis loven krever at virksomheten lagrer dem.
- Begrensning (artikkel 18): Opplysningene kan bare lagres og ikke brukes, for eksempel mens en tvist om riktigheten avgjøres.
- Dataportabilitet (artikkel 20): Personen kan få utlevert sine egne opplysninger i et vanlig, maskinlesbart format og flytte dem, hvis behandlingen bygger på samtykke eller avtale og skjer automatisk.
- Protest (artikkel 21): Personen kan protestere mot behandling som bygger på berettiget interesse eller allmennhetens interesse. Mot direkte markedsføring er retten ubetinget: Da må virksomheten stoppe.
- Automatiske avgjørelser (artikkel 22): Personen har som utgangspunkt rett til ikke å være underlagt en avgjørelse som utelukkende er truffet automatisk, for eksempel profilering, når den har rettslig eller tilsvarende betydelig virkning.
Fristen
Virksomheten skal svare uten unødig opphold og senest innen en måned etter at den har mottatt henvendelsen. Fristen kan forlenges med ytterligere to måneder hvis henvendelsen er kompleks eller det er mange. Personen skal da få beskjed om forlengelsen og årsaken innen den første måneden (artikkel 12 nr. 3). Svaret er som utgangspunkt gratis.
Hvis virksomheten ikke kan oppfylle henvendelsen, må den fortelle personen hvorfor, og at det er mulig å klage til Datatilsynet og bringe saken inn for domstolene.
Hva gjør du hvis noen ber om noe?
- Ikke stopp opp, og ikke avvis. En henvendelse kan komme i hvilken som helst form, også muntlig eller i en kunde-e-post. Den trenger ikke nevne GDPR.
- Send den straks videre til den personen eller funksjonen som har ansvaret for henvendelser hos dere. Fristen løper fra mottaket.
- Ikke gi ut opplysninger selv før identiteten er kontrollert. Ellers risikerer du å gi opplysninger til feil person. Virksomheten kan be om nødvendige opplysninger for å bekrefte identiteten.
- Ikke slett eller endre opplysningene for å gjøre dem pene etter at noen har bedt om innsyn. Det er ulovlig å endre dem for å skjule noe.
Klage og erstatning
Personen kan klage til Datatilsynet (artikkel 77). Den som har lidd skade, har rett til erstatning (artikkel 82). Det er domstolene som avgjør den.
Husk: Fristen på en måned løper også mens henvendelsen ligger i innboksen din.