GDPR: Indsigtsanmodninger – sådan håndterer du dem
Flere og flere virksomheder oplever at modtageindsigtsanmodninger fra personer, som ønsker at vide, hvilke personoplysninger virksomheden har registreret om dem. Læs med her, hvordan man som virksomhed kan håndtere indsigtsanmodninger professionelt og rettidigt.
Det er en grundlæggende ret i henhold til GDPR, at personer kan få indsigt i, hvilke oplysninger der behandles om dem.
Ved indsigtsanmodninger efter GDPR er det vigtigt, at virksomheden sikrer, at det faktisk er den registrerede person, der fremsætter anmodningen. Ellers risikerer man at udlevere personoplysninger til en uvedkommende – hvilket i sig selv er et brud på databeskyttelsesreglerne.
Sådan sikrer du identiteten ved indsigtsanmodninger
Anmod om ID: Bed om en kopi af billed-ID (f.eks. pas eller kørekort) og sammenhold med de oplysninger, I har om personen. Det skal ske på en sikker måde – fx via krypteret mail eller en sikker uploadløsning.
Brug allerede registrerede oplysninger: Hvis personen tidligere har oprettet en konto med login, kan man validere identiteten ved at kræve, at anmodningen fremsættes via den pågældende konto.
Stil kontrolspørgsmål: Hvis der er tvivl, kan man stille relevante kontrolspørgsmål, som kun den registrerede burde kunne svare på – men det må ikke være for omfattende eller krænkende.
Vurder proportionalitet: Der må ikke stilles krav om mere identifikation, end hvad der er nødvendigt. Det afhænger af, hvor følsomme oplysningerne er – jo mere følsomme, jo højere krav.
Afvisning ved tvivl: Hvis du ikke med rimelighed kan bekræfte identiteten, må du gerne afvise at imødekomme anmodningen – men du skal oplyse personen om hvorfor, og hvilke oplysninger du har brug for for at kunne gå videre.
Hvis I modtager en indsigtsanmodning skal I oplyse:
De konkrete oplysninger, som er registreret om personen. De skal udleveres i kopiform/pdf.
Hvad du bruger oplysningerne om personen til og hvorfor
Hvor længe du gemmer oplysningerne
Om du giver oplysningerne videre til andre og i så fald til hvem
Om du har fået oplysningerne fra andre end personen selv, og i så fald fra hvem
Om du overfører oplysningerne til usikre tredjelande.
Det er vigtigt at være opmærksom på, at der som udgangspunkt ikke må opkræves betaling for behandling af en indsigtsanmodning, og at svaret skal gives inden for 30 dage.
På Datatilsynets hjemmeside kan du finde både en vejledning til håndtering af indsigtsanmodninger og en skabelon til besvarelse, som kan gøre arbejdet lettere og mere struktureret.
Mange indsigtsanmodninger opstår i praksis, fordi den registrerede oplever, at deres oplysninger er blevet behandlet uden lovligt grundlag. Et klassisk eksempel er nyhedsbreve sendt uden gyldigt samtykke. Derfor er det afgørende at sikre, at al behandling af personoplysninger har en klar hjemmel – typisk samtykke eller en legitim interesse – og at dokumentationen er på plads.
Vores bedste råd
Sørg for, at jeres databehandling er i orden fra starten – så mindsker I risikoen for både indsigtsanmodninger og potentielle klagesager.
