Hvilke rettigheder er der for persondata?

Det korte svar: Med GDPR har man otte grundlæggende rettigheder, som giver en person kontrol over sine personoplysninger. Man har ret til indsigt, rettelse, sletning, dataportabilitet og mere – og som virksomhed har man pligt til at respektere og reagere på individers personanmodninger inden for 30 dage.

Rettigheder over personoplysninger bygger på princippet om, at det er individet – og ikke virksomheden – der ejer sine egne data. Som dataansvarlig har man derfor pligt til at respektere, at den enkelte har ret til at bestemme, hvad der sker med deres personoplysninger. Det gælder både retten til at give og trække samtykke tilbage, og retten til indsigt i, hvordan data bliver brugt, delt og opbevaret.

I denne guide gennemgår vi de 8 rettigheder for persondata der er under GDPR – den centrale datalovgivning i EU. Mange andre landes regler læner sig op ad de samme principper, og derfor er det afgørende at forstå og respektere disse rettigheder, uanset hvor jeres virksomhed eller brugere befinder sig.

Retten til indsigt/information betyder, at I skal lade folk vide, hvilke personoplysninger der indsamles om dem, og til hvilket formål.

Gør det klart, hvem der indsamler dataene, og hvor længe de vil blive opbevaret. Hvis I vil dele personens data med andre, skal I oplyse om det. Endelig skal Ifortælle folk, hvordan de kan indgive en klage, hvis de ønsker det.

De oplysninger, I giver, skal være klare og lette at forstå. Vi foreslår, at I anfører følgende i jeres privatlivspolitik:

• Oplysninger om jeres virksomhed og kontaktoplysninger
• Jeres formål med indsamling og behandling af data
• Jeres retsgrundlag for indsamling og behandling af data
• Oplysninger og kontaktoplysninger om enhver tredjepart, som I deler oplysninger med
• Om oplysningerne vil blive anvendt til automatiseret beslutningstagning
• Jeres opbevaringsperiode for data
• en liste over deres rettigheder som registrerede
• Sådan indgiver I en klage

Retten til berigtigelse giver folk mulighed for at bede dig om at opdatere eller rette eventuelle unøjagtige eller ufuldstændige oplysninger, som I har om dem.

Hvis I får denne type anmodning, skal I svare inden for 30 dage. Først skal I kontrollere, om dataene virkelig er unøjagtige. Når I har bekræftet, at der faktisk er behov for ændringer, skal I foretage dem. Derefter skal I svare på personens anmodning med en bekræftelse af de foretagne ændringer.

Retten til at blive glemt er retten til at få personoplysninger slettet. Det gælder f.eks. under visse omstændigheder:

• Personoplysningerne er ikke længere nødvendige til det formål, hvortil de blev indsamlet.
• Personen trækker sit samtykke tilbage
• Personoplysningerne er blevet behandlet ulovligt
• Personen gør indsigelse mod behandlingen, og I har ingen juridisk grund til at fortsætte behandlingen
• Personoplysningerne skal slettes for at overholde en retlig forpligtelse i EU eller en medlemsstats lovgivning, som I er omfattet af

Der er også nogle undtagelser, hvor I kan afvise en persons anmodning om at blive glemt. F.eks. hvis oplysningerne anvendes i offentlighedens interesse eller til juridiske formål.

Man skal svare på anmodninger om at blive glemt inden for 30 dage med en bekræftelse på, at personens data er blevet slettet.Man bør også underrette eventuelle tredjeparter eller yderligere databehandlere, som man har delt oplysningerne med, og anmode dem om også at slette dem. Kan man bevise, at det er umuligt eller ville kræve en uforholdsmæssig stor indsats at slette personens oplysninger? I så fald kan datatilsynsmyndighederne fritage én for denne forpligtelse.

Folk kan bede jer om at begrænse den måde, I bruger deres personlige oplysninger på. I dette tilfælde kan I beholde dataene, men I bør ikke bruge dem.

I skal efterkomme anmodninger om at begrænse behandlingen i følgende situationer:

• Dataene er unøjagtige
• Behandlingen er ulovlig
• I har ikke længere brug for at bruge oplysningerne, men personen ønsker, at oplysningerne bevares med henblik på et retskrav
• I træffer foranstaltninger til at verificere en anmodning om sletning af data

I bør svare på anmodninger om at begrænse databehandlingen inden for 30 dage. Når I begrænser behandlingen, må I ikke bruge oplysningerne, med visse undtagelser. Medmindre I f.eks. har brug for dem i forbindelse med juridiske krav eller for at beskytte andre personers rettigheder.

Hvis I vil bruge personens oplysninger igen, skal I informere dem og få deres samtykke på forhånd.

Dataportabilitet skal gøre det let for folk at få/videresende en kopi af deres egne personoplysninger. Personen kan bede jer om at overføre sine oplysninger direkte til en anden person.

Når I får en anmodning om dataportabilitet, skal I levere dataene i et struktureret, almindeligt anvendt og maskinlæsbart format. Sørg for at gøre det inden for 30 dage. Dette gælder for alle digitale data, som personen har givet jer ved samtykke eller kontrakt. Det omfatter data relateret til den enkeltes adfærd: deres søgninger, lokaliseringsdata, browserhistorik og meget mere.