GDPR gir ethvert menneske rettigheter over opplysningene sine. De gjelder kunder, elever, pasienter, ansatte og alle andre. Som ansatt kan du få en forespørsel, eller du kan selv ønske å bruke rettighetene.
Rett til informasjon
Etter artiklene 13 og 14 skal folk få vite hvem som behandler opplysningene deres, hvorfor, på hvilket grunnlag, hvor lenge de oppbevares og hvilke rettigheter de har. Det skjer ofte i en personvernerklæring eller et informasjonsark. Hvis opplysningene ikke kommer fra personen selv, skal informasjonen gis innen rimelig tid, og senest innen en måned.
Rett til innsyn (registerutskrift)
Etter artikkel 15 har den registrerte rett til å få vite om opplysninger om vedkommende behandles. Vedkommende har også rett til å få en kopi av opplysningene og informasjon om formål, mottakere, lagringstid og hvor opplysningene kommer fra. Den første kopien er gratis.
Øvrige rettigheter
- Retting (artikkel 16): uriktige opplysninger skal rettes, og ufullstendige skal utfylles.
- Sletting, «retten til å bli glemt» (artikkel 17): opplysningene skal slettes blant annet når de ikke lenger trengs, eller når samtykket trekkes tilbake. Retten er ikke absolutt. Opplysninger som loven krever at man oppbevarer, kan ikke slettes.
- Begrensning (artikkel 18): opplysningene kan midlertidig bare lagres, for eksempel mens en retting vurderes.
- Dataportabilitet (artikkel 20): i visse tilfeller rett til å få opplysningene sine i et maskinlesbart format og flytte dem.
- Protest (artikkel 21): rett til å protestere mot behandling som bygger på berettiget interesse eller allmenn interesse. Mot direkte markedsføring finnes det en absolutt rett til å protestere, og behandlingen skal da opphøre.
- Automatiserte avgjørelser (artikkel 22): en person har rett til ikke å være gjenstand for avgjørelser som utelukkende bygger på automatisert behandling, og som har rettsvirkning eller på tilsvarende måte i betydelig grad påvirker personen.
Hvor raskt må vi svare?
Etter artikkel 12 skal organisasjonen svare uten ugrunnet opphold og senest innen en måned. Fristen kan forlenges med ytterligere to måneder hvis forespørselen er komplisert eller det har kommet mange forespørsler, men den registrerte skal da få vite det innen den første måneden. Svaret skal normalt være gratis. Ved åpenbart grunnløse eller uforholdsmessige forespørsler kan organisasjonen ta et gebyr eller avslå.
Fristen regnes fra den dagen organisasjonen mottar forespørselen. Den begynner altså ikke først når riktig person leser den.
Slik håndterer du en forespørsel
- Kjenn den igjen. En forespørsel trenger ikke å nevne GDPR. «Hvilke opplysninger har dere om meg?» eller «Slett opplysningene mine» er nok. Den kan komme via e-post, brev, telefon, chat eller i en butikk.
- Send den videre med en gang til den organisasjonen har utpekt, for eksempel personvernombudet eller en funksjon for personvernspørsmål.
- Ikke endre eller slett noe for å slippe å vise det. Det er ikke tillatt.
- Ikke gi ut opplysninger selv med mindre du har fått i oppdrag å gjøre det. Organisasjonen må først kontrollere at den som spør, virkelig er den opplysningene handler om.
- Ikke avslå på eget initiativ. Det er organisasjonens avgjørelse, og det kan kreves en vurdering av hva som kan gis ut.
Klage og rettslig prøving
Den som mener at reglene ikke følges, kan sende en klage til IMY (artikkel 77). Man kan også gå til domstolen og kreve erstatning (artikkel 82) hvis man har lidd skade.