Personer som företaget har uppgifter om har rättigheter enligt artikel 12–22 i dataskyddsförordningen. Det är ofta anställda i fronten som först får höra om dem: i telefon, i butiken eller i ett e-postmeddelande. Du måste därför känna till rättigheterna och veta vad du gör när någon använder dem.
Rättigheterna
- Information (artikel 13 och 14): Personen ska veta vem som behandlar uppgifterna, varför, hur länge och vilka rättigheter personen har. Det sker normalt i en integritetspolicy.
- Tillgång (artikel 15): Personen kan få veta om företaget behandlar personens uppgifter, och få en kopia av dem samt en rad upplysningar om behandlingen. Rätten får inte inkräkta på andras rättigheter, till exempel får du inte lämna ut uppgifter om en annan person.
- Rättelse (artikel 16): Felaktiga uppgifter ska rättas.
- Radering (artikel 17), också kallad "rätten att bli bortglömd": Uppgifter ska raderas, till exempel om de inte längre är nödvändiga eller om samtycket har återkallats. Rätten gäller inte om lagen kräver att företaget sparar dem.
- Begränsning (artikel 18): Uppgifterna får bara lagras och inte användas, till exempel medan en tvist om riktigheten avgörs.
- Dataportabilitet (artikel 20): Personen kan få ut sina egna uppgifter i ett vanligt, maskinläsbart format och flytta dem, om behandlingen bygger på samtycke eller avtal och sker automatiskt.
- Invändning (artikel 21): Personen kan invända mot behandling som bygger på berättigat intresse eller allmänt intresse. Mot direkt marknadsföring är rätten ovillkorlig: Då måste företaget sluta.
- Automatiserade beslut (artikel 22): Personen har som utgångspunkt rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, till exempel profilering, när det har rättslig eller på liknande sätt betydande verkan.
Fristen
Företaget ska svara utan onödigt dröjsmål och senast inom en månad efter att begäran har kommit in. Fristen kan förlängas med ytterligare två månader om begäran är komplex eller om det är många. Personen ska då få besked om förlängningen och orsaken inom den första månaden (artikel 12.3). Svaret är som utgångspunkt gratis.
Om företaget inte kan uppfylla begäran måste det tala om för personen varför, och att det går att klaga hos Datatilsynet och pröva saken i domstol.
Vad gör du om någon ber om något?
- Stanna inte upp, och avvisa inte. En begäran kan komma i vilken form som helst, också muntligt eller i ett kundmejl. Den behöver inte nämna GDPR.
- Skicka den genast vidare till den person eller funktion som ansvarar för begäranden hos er. Fristen löper från mottagandet.
- Lämna inte ut uppgifter själv innan identiteten har kontrollerats. Annars riskerar du att ge uppgifter till fel person. Företaget kan be om nödvändiga uppgifter för att bekräfta identiteten.
- Radera eller ändra inte uppgifterna för att göra dem snyggare sedan någon har bett om tillgång. Det är olagligt att ändra dem för att dölja något.
Klagomål och skadestånd
Personen kan klaga hos Datatilsynet (artikel 77). Den som har lidit skada har rätt till ersättning (artikel 82). Det är domstolarna som avgör den.
Kom ihåg: Fristen på en månad löper också medan begäran ligger i din inkorg.