Riktiga personuppgifter kräver en bestämd källa, en ansvarig person och en väg för att stoppa fel från att spridas. En lista utan tomma fält kan fortfarande innehålla fel adress, fel anställningsstatus eller en bedömning som används långt efter att förutsättningarna ändrats. Börja därför med vad uppgiften ska användas till och vilken skada ett fel kan orsaka.
Den här arbetsgången hjälper systemägare och verksamhetsansvariga att förebygga fel i den löpande behandlingen. Resultatet blir en fältmatris, regler för uppdatering och ett granskningsprotokoll som går att använda i nästa förändring av ett register. När en person redan har begärt rättelse behövs också rutinen för rättelse enligt artikel 16.
Vad riktighetsprincipen kräver
Artikel 5.1 d GDPR innebär att personuppgifter ska vara riktiga och vid behov uppdaterade. Bedömningen görs i förhållande till behandlingens ändamål. Alla rimliga åtgärder ska vidtas för att felaktiga uppgifter ska rättas eller raderas utan dröjsmål. IMY betonar att verksamheten behöver rutiner som faktiskt kan korrigera och ta bort oriktiga uppgifter. IMY: grundläggande principer.
Det innebär inte att varje register måste kontrolleras med samma intervall eller mot samma externa källa. En leveransadress behöver vara användbar inför leveransen. Ett dokument som visar vart en tidigare försändelse skickades kan behöva återge just den då använda adressen. Felet uppstår om den historiska adressen senare presenteras som personens aktuella kontaktadress.
Riktighet gäller också uppgifter som kommer från en leverantör, ett offentligt register eller en annan avdelning. Att informationen har köpts befriar inte mottagaren från att bedöma om den går att använda för det egna ändamålet. Beskriv detta ändamål innan ni väljer kontroller, gärna tillsammans med arbetet om ändamålsbegränsning och vidareanvändning.
1. Börja med de fel som påverkar människor
Välj först ett flöde där felaktiga uppgifter kan få konkreta följder. Löneutbetalning, avslutade behörigheter, utskick med privata uppgifter och beslut om tillgång till en tjänst är användbara startpunkter. Gör en lista över de uppgifter som avgör vad systemet gör. Ett namn kan vara viktigt för kommunikationen medan ett internt person-ID styr vilken betalning eller behörighet som förändras.
Beskriv ett felutfall för varje kritiskt fält. Skriv exempelvis ”avslutad anställning står kvar som aktiv, vilket kan behålla åtkomst” eller ”ny kontaktadress återställs av nattlig import”. Formuleringen hjälper er att välja kontrollen. Ett formatkrav på datum löser inte problemet med en import som använder en gammal källa.
Ta med kopior utanför huvudsystemet. En korrekt HR-post hjälper inte om behörighetslistan ligger i ett fristående kalkylark. Använd systemkartan med dataflöden för att hitta integrationer, exporter och manuella listor som måste ingå i rutinen.
2. Skriv en fältmatris med ett faktiskt beslut
Följande exempel gäller ett fiktivt företag som administrerar personal och behörigheter. Det visar hur ansvar kan fördelas; tidsvalen är företagets interna beslut och inga lagstadgade standardfrister.
| Uppgift och användning | Godkänd källa | Kontroll och utlösande händelse | Ansvar och hantering av konflikt |
|---|---|---|---|
| Anställningens slutdatum för stängning av åtkomst | HR:s beslutade avslutsärende | Jämför planerat avslut med genomförd kontostängning | HR bekräftar datum; IT kontrollerar utfallet och eskalerar avvikelse |
| Arbetsplats för leverans av utrustning | Bekräftad beställning | Beställaren bekräftar mottagningsplats före utskick | Support stoppar leveransen om beställning och katalog skiljer sig |
| Bankkonto för lön | Godkänd ändringsprocess i lönesystemet | Ändring verifieras genom fastställd säker kanal | Löneansvarig utreder motstridiga instruktioner före utbetalning |
| Chef för godkännande av behörigheter | Fastställd organisationsändring | Kontroll när chef byts och när ny behörighet beställs | HR äger uppgiften; behörighetsägaren godkänner åtkomsten |
Till varje rad hör även var uppgiften kopieras, hur en rättelse sprids och vilken dokumentation som visar att kontrollen genomfördes. Undvik att skapa ett nytt register med fullständiga personuppgifter bara för att följa upp kontrollen. Ett ärendenummer, resultat och ansvarig räcker ofta bättre än kopierade kontonummer eller anställningshandlingar.
3. Skilj formatkontroll från verifiering
En formatkontroll kan upptäcka att ett datum är omöjligt eller att en e-postadress saknar en nödvändig del. Den kan inte bevisa att uppgiften tillhör rätt person. Ett bekräftelsemeddelande visar normalt tillgång till en brevlåda vid den tidpunkten, men bevisar inte automatiskt en viss juridisk identitet.
Anpassa därför verifieringen till konsekvensen. En ändring av ett visningsnamn behöver inte samma förfarande som en ändring av mottagarkonto. Vid ett misstänkt mejl om nytt lönekonto bör verksamheten använda en redan etablerad kontaktväg, inte telefonnumret i samma misstänkta meddelande. Beskriv vem som får godkänna ändringen och hur ersättare arbetar när den ordinarie ansvarige saknas.
Samla inte rutinmässigt in ID-kopior för att förbättra datakvaliteten. Bedöm vilka uppgifter som verkligen behövs för kontrollen och om en mindre ingripande metod räcker. Fältmatrisen för uppgiftsminimering hjälper till att pröva varje nytt obligatoriskt fält innan det läggs till.
4. Låt uppdateringen nå rätt system
Bestäm vilken källa som har företräde för varje uppgift. En generell regel om att ”senaste ändringen vinner” kan göra att en gammal filimport skriver över en verifierad rättelse. Registrera därför när uppgiften avsåg att gälla, när den registrerades och varifrån den kom när dessa skillnader behövs för ändamålet.
I ett praktiskt felscenario ändrar en anställd sin kontaktadress i HR-portalen. Nästa natt importerar ett äldre administrationssystem den tidigare adressen tillbaka. Åtgärden är då inte ytterligare en manuell rättelse. Systemägaren behöver ändra flödets företrädesregel, korrigera berörda kopior och verifiera utfallet efter nästa schemalagda körning.
Om ett mottagande system är otillgängligt ska rättelsen inte försvinna i en tyst kö. Bestäm vem som följer upp misslyckad synkronisering, om användningen behöver stoppas och hur återförsök dokumenteras. I rutinen för säkerhetsloggning kan ni skilja nödvändiga spår av ändringen från onödiga kopior av uppgifternas innehåll.
5. Hantera historik, bedömningar och invändningar varsamt
Markera om en post beskriver en händelse, ett aktuellt förhållande eller en bedömning. ”Medarbetaren deltog inte i mötet den 3 september” är ett kontrollerbart påstående. ”Behöver mer stöd i presentationer” är en bedömning som kräver sammanhang, upphovsperson och tidpunkt för att kunna förstås. Fel person, fel datum eller ett felaktigt faktaunderlag måste utredas även när posten innehåller en åsikt.
En invändning mot en bedömning kan inte avgöras med en generell regel att alla åsikter alltid ska stå kvar. Bedöm rättelse, komplettering, begränsning och eventuell radering utifrån de tillämpliga bestämmelserna och ändamålet. Om personen bestrider riktigheten ger artikel 18.1 a rätt till begränsning under den tid som behövs för att kontrollera riktigheten. Den begränsningen måste få praktisk effekt i de system som använder uppgiften. GDPR: artiklarna 16–19.
Särskilda dokumentations- och arkivregler kan påverka hur ändringar görs. Bevara inte ett felaktigt aktuellt värde bara för att historik behövs. En rättelsespårning kan i stället visa vad som tidigare registrerats, vad som ändrats och varför, med åtkomst anpassad till behovet.
6. Följ upp kvalitet utan att skapa en ny datainsamling
Välj mätetal som visar om fel faktiskt hindras. Antal öppna synkroniseringsfel, tid till genomförd rättelse och återkommande fel från samma källa är mer användbara än enbart andelen ifyllda fält. Ett register kan vara fullständigt och ändå systematiskt fel.
Ett ifyllt granskningsprotokoll kan lyda: ”Septemberkontroll av avslutade konton: två behörigheter kvar efter bekräftat avslut. Båda stängda. Orsak: separat projektverktyg saknades i avslutsflödet. IT lägger till verktyget; HR och systemägaren kontrollerar nästa avslut tillsammans. Kontrollunderlag sparas i behörighetsärendet med begränsad åtkomst.” Det beskriver både åtgärd och lärdom utan att sprida personaluppgifter i en allmän rapport.
Om felaktiga uppgifter har använts i automatiserade beslut enligt artikel 22 räcker det inte att korrigera indata framåt. Utred vilka beslut som påverkades och om de behöver omprövas. Även andra konsekvenser, exempelvis fel mottagare av ett utskick, kan kräva en separat incidentbedömning.
Vanliga frågor
Måste vi kontrollera alla uppgifter varje år?
GDPR anger ingen gemensam årlig kontroll för alla register. Välj händelser och intervall utifrån ändamål, förändringstakt och konsekvenser av fel. Dokumentera varför kontrollen är tillräcklig och ändra den när återkommande avvikelser visar att den inte fungerar.
Ska varje mottagare få information om rättelsen?
Artikel 19 kräver att rättelse, radering eller begränsning enligt de angivna bestämmelserna meddelas varje mottagare som uppgifterna lämnats till, om det inte är omöjligt eller medför oproportionerlig ansträngning. Personen ska informeras om dessa mottagare om hen begär det. Dokumentera en eventuell undantagsbedömning och skilj den från den tekniska uppgiften att rätta egna system.
Kan en leverantör garantera riktigheten åt oss?
Leverantörens åtagande kan vara en del av kontrollen, men behöver följas upp mot den användning ni faktiskt gör. Ange hur gamla uppgifter får vara, vilka ändringar som ska meddelas och hur fel rättas. Spara underlaget tillsammans med övriga bevis för ansvarsskyldighet, så att källvalet går att förstå även när ansvariga byts ut.