Dataskyddsförordningen ger alla personer rättigheter gentemot verksamheter som behandlar uppgifter om dem. Som anställd har du själv rättigheterna, och du kan bli den första som får en förfrågan från en kund eller kollega.
Rättigheterna
- Information (artikel 13 och 14): att få veta hur uppgifterna används.
- Tillgång (artikel 15): att få veta om verksamheten behandlar uppgifter om dig, få en kopia och få veta ändamål, mottagare och lagringstid.
- Rättelse (artikel 16): felaktiga uppgifter ska rättas, och ofullständiga kan kompletteras.
- Radering (artikel 17, ”rätten att bli bortglömd”): i vissa fall, till exempel när uppgifterna inte längre behövs eller samtycket har återkallats. Rätten är inte absolut. Om lagen kräver att verksamheten behåller uppgifterna gäller inte radering.
- Begränsning (artikel 18): att uppgifterna lagras men inte används vidare medan en tvist klaras ut.
- Dataportabilitet (artikel 20): att få uppgifter som du själv har lämnat i ett vanligt maskinläsbart format. Gäller för automatisk behandling på grundval av samtycke eller avtal.
- Invändning (artikel 21): mot behandling som bygger på berättigat intresse eller en uppgift av allmänt intresse, och alltid mot direkt marknadsföring.
- Automatiserade beslut (artikel 22): rätt att inte bli föremål för ett beslut som enbart bygger på automatiserad behandling, inbegripet profilering, om det har rättsliga eller liknande följder. Det finns undantag, till exempel när beslutet är nödvändigt för ett avtal eller bygger på uttryckligt samtycke. Då har du som huvudregel rätt till mänsklig granskning av ärendet, att framföra din åsikt och att bestrida beslutet.
Tidsfristen: en månad
Verksamheten ska svara utan onödigt dröjsmål och senast inom en månad efter att begäran har mottagits (artikel 12.3). Fristen kan förlängas med ytterligare två månader om begäran är komplicerad eller om det kommer många, men då måste personen få besked inom den första månaden, med en motivering.
Huvudregeln är att svaret är kostnadsfritt. Verksamheten får bara ta ut en rimlig avgift eller avslå om begäran är uppenbart ogrundad eller orimlig.
Vad gör du om du får en förfrågan?
En förfrågan behöver inte använda bestämda ord. Skriver en kund ”Jag vill se vad ni har sparat om mig” eller ”radera mig” är det en begäran om rättigheter.
- Ignorera den inte. Fristen löper från den dag verksamheten tar emot förfrågan, även när den hamnar hos dig.
- Skicka den genast vidare till den som ansvarar för dataskydd eller till den funktion som verksamheten har bestämt, och skriv ner datumet då du fick den.
- Lämna inte ut något själv om du inte har fått besked om det. Det måste först klaras ut vem som frågar.
- Lova inget som du inte kan stå för, som radering av allt.
Kontroll av identitet
Verksamheten ska försäkra sig om att det är rätt person som frågar. Annars kan en bedragare få tillgång till andras uppgifter, och det är i sig en överträdelse. Kan du inte vara säker kan verksamheten be om nödvändig kompletterande information för att bekräfta identiteten. Kunden ska inte behöva skicka mer än nödvändigt, och fødselsnummer ska vanligtvis inte krävas.
När andras uppgifter finns i dokumentet
Rätten till tillgång får inte inkräkta på andras rättigheter. Finns uppgifter om andra personer i dokumentet måste de ofta maskeras innan kopian skickas ut. Det gör verksamhetens ansvariga, inte den enskilda handläggaren på egen hand.
Klagomål till Datatilsynet
Har verksamheten inte svarat eller avslagit utan goda skäl kan personen lämna in ett klagomål till Datatilsynet. Datatilsynets beslut kan som huvudregel överklagas till Personvernnemnda (den norska nämnden för överklagande av dataskyddsbeslut, personopplysningsloven § 22). Personen kan också vända sig till domstol och kräva skadestånd (lektion 9).