Software til indsigtsanmodninger skal hjælpe virksomheden med at finde de rigtige oplysninger, vurdere dem og give personen et forståeligt svar. En portal og en nedtælling er kun dele af opgaven. Det svære ligger ofte i at opdage anmodningen, søge på tværs af systemer og afgøre, hvordan oplysninger om flere personer kan udleveres forsvarligt.
Denne guide følger én anmodning fra modtagelse til afslutning og omsætter hvert trin til noget, I kan afprøve hos en leverandør. Den juridiske vurdering bliver hos virksomheden. Et system kan understøtte beslutningen, registrere begrundelser og styre opgaver, men bør ikke automatisk afgøre identitet, undtagelser eller retten til at modtage bestemte oplysninger.
Afgræns, hvad løsningen skal understøtte
Indsigt efter artikel 15 omfatter bekræftelse af, om der behandles oplysninger om personen, adgang til oplysningerne og information om behandlingen. Retten adskiller sig fra aktindsigt efter andre regelsæt og fra retten til dataportabilitet. Den, der beder om oplysninger, behøver ikke bruge ordet GDPR eller kende artikelnummeret. Medarbejderen skal kunne forstå indholdet af henvendelsen og sende den videre til rette funktion.
En kunde kan i samme mail bede om indsigt, rettelse og sletning. Softwaren bør kunne forbinde delopgaverne uden at give dem samme vurdering eller et misvisende fælles svar. Berigtigelse efter artikel 16, sletning efter artikel 17 og dataportabilitet efter artikel 20 har forskellige betingelser. Registrer derfor både den oprindelige henvendelse og virksomhedens forståelse af de enkelte ønsker.
Brug vejledningen om indsigtsretten til den grundlæggende afgrænsning. I indkøbet er spørgsmålet, om systemet kan støtte den afgrænsning, vise hvad der mangler og bevare beslutningerne. Et produkt, der kun genererer en standardbesked, kan være utilstrækkeligt til sager med mange systemer eller flere typer rettigheder, selv om beskeden indeholder korrekte lovhenvisninger.
Registrer den faktiske modtagelse
En særlig formular kan gøre modtagelsen enklere, men må ikke blive den eneste praktiske indgang. Relevante anmodninger kan komme til virksomhedens almindelige kontaktpunkter. Kundeservice og HR skal derfor kende en enkel videresendelsesrutine. I demonstrationen bør leverandøren registrere en anmodning fra en almindelig mail uden at kræve, at personen begynder forfra i portalen.
Bevar oprindelig modtagelsesdato, kanal og indhold. Det er ikke nødvendigvis tidspunktet, hvor koordinatoren opretter sagen, der starter fristen. Hvis en henvendelse først bliver genkendt flere dage senere, skal historikken vise dette, og årsagen bør bruges til at forbedre modtagelsesrutinen. Et system, der automatisk sætter alle frister ud fra oprettelsesdatoen, kan skjule en reel forsinkelse.
Lad en modtagelseskvittering forklare, hvad der sker videre, uden at love et bestemt resultat. Personen kan have brug for en kontaktvej eller hjælp til at præcisere en uklar henvendelse. Registrer også behov for et tilgængeligt svarformat. Gennemsigtighed og kommunikation efter artikel 12 handler om, at informationen faktisk kan forstås, ikke blot om at en automatisk besked bliver sendt.
Kontroller identiteten efter behov
Virksomheden skal undgå at udlevere oplysninger til en forkert person, men må ikke indsamle unødvendige identitetsoplysninger. Artikel 12, stk. 6, giver mulighed for at anmode om yderligere nødvendige oplysninger ved rimelig tvivl om identiteten. Et standardkrav om pas til alle ansøgere er derfor ikke en passende erstatning for en konkret vurdering.
Afprøv to forskellige situationer. En kunde skriver gennem en allerede autentificeret konto om almindelige ordreoplysninger. En anden henvendelse kommer fra en ukendt mailadresse og vedrører følsomme personaledata. Systemet bør give plads til forskellige kontrolhandlinger og en begrundelse for dem. Dokumentationen kan ofte beskrive den gennemførte kontrol uden at opbevare en fuld kopi af identitetsdokumentet bagefter.
En repræsentant kan handle på personens vegne. Her skal virksomheden vurdere både identiteten og bemyndigelsen i forhold til den konkrete anmodning. Bed leverandøren vise, hvordan korrespondance og fuldmagt håndteres, og hvem der godkender udleveringen. Kontroller også, at repræsentanten ikke automatisk får adgang til tidligere sager eller oplysninger, som ligger uden for bemyndigelsen.
Beregn frister uden at gøre undtagelser automatiske
Efter GDPR artikel 12 skal virksomheden reagere uden unødig forsinkelse og senest en måned efter modtagelsen. En måned er ikke en generel frist på 30 dage. Fristen kan forlænges med op til to yderligere måneder, når det er nødvendigt under hensyn til anmodningernes kompleksitet og antal. Personen skal inden den første måned have besked om forlængelsen og begrundelsen.
Software bør derfor skelne mellem den oprindelige frist, interne delopgaver og en konkret besluttet forlængelse. Forlængelse må ikke være en standardindstilling, som bruges, fordi en medarbejder har travlt. Lad demonstrationen indeholde en sag tæt på månedsskiftet, en intern overskredet delopgave og en begrundet forlængelse. Kontrollér datoerne mod den gældende juridiske beregning, før systemet tages i brug.
En anmodning om præcisering er heller ikke en generel pauseknap. Hvis virksomheden behandler mange oplysninger, kan afklaring være relevant, men personen kan stadig ønske adgang til det hele. Få den ansvarlige til at vurdere betydningen af identitetsafklaring og andre konkrete forhold for fristen. Systemet skal bevare modtagelsesdatoen og vise begrundelsen for enhver ændring i den beregnede frist.
Brug fortegnelsen som søgekort
En fortegnelse kan vise, hvilke processer og systemejere der er relevante, men indeholder normalt ikke alle oplysninger om en bestemt person. Software til fortegnelsen kan derfor hjælpe med at fordele søgningen, mens selve søgningen foretages i de relevante kilder. Det er vigtigt at skelne mellem en registreret systemrelation og en teknisk integration, der faktisk kan hente data.
Lav en søgeplan med relevante identifikatorer og begrundede afgrænsninger. Navn, kundenummer og tidligere mailadresse kan give forskellige resultater. Medtag både strukturerede systemer og relevante mails, dokumenter eller manuelle registre. En kortlægning af IT-systemer og afhængigheder kan finde kilder, som ikke fremgår af den første sagsbeskrivelse. Systemejeren bør dokumentere, hvor og hvordan der er søgt.
Prøv en integration med kendte eksempeloplysninger. Læg én post i et understøttet system, én i et arkiv og én under et gammelt kundenummer. Bed derefter leverandøren vise både fund og blinde vinkler. Et søgeresultat på nul må ikke automatisk betyde, at virksomheden ikke behandler oplysninger om personen. Det kan også skyldes manglende adgang, en fejl i forbindelsen eller et utilstrækkeligt søgekriterium.
Mens søgningen foregår, skal virksomheden sikre, at relevante oplysninger ikke forsvinder på en måde, som hindrer opfyldelsen af den modtagne anmodning. Det kræver særlig opmærksomhed ved korte opbevaringsperioder og automatiske slettejob. Aftal en kontrolleret fremgangsmåde for den konkrete sag, så nødvendigt materiale kan behandles, uden at virksomheden indfører et generelt og ubegrænset stop for al sletning.
Registrer, hvilke kilder der er undersøgt, og hvilke der endnu mangler. Hvis en databehandler skal bistå, bør opgaven have en ansvarlig kontakt og en intern frist, som giver tid til virksomhedens egen gennemgang. Det er ikke tilstrækkeligt at videresende hele anmodningen og antage, at leverandøren leverer et færdigt svar. Virksomheden skal samle bidragene, kontrollere mangler og tage stilling til den samlede udlevering.
Bevar sammenhængen i de fundne oplysninger
Personoplysninger kan være vurderinger, noter, logposter og kommunikation, ikke kun stamdata i en kundetabel. En teknisk kode kan kræve forklaring for at være forståelig. Et udtræk bør derfor bevare relevant sammenhæng og forklare forkortelser, felter og tidsangivelser. Den registrerede skal kunne forstå de oplysninger, der vedrører vedkommende, frem for at modtage en samling ufortolkede systemfiler.
Adgang til personoplysninger er ikke en ubetinget ret til alle dokumenter. I nogle situationer kan dokumentuddrag eller hele dokumenter dog være nødvendige for en tro og forståelig gengivelse af oplysningerne, som EU-Domstolen præciserede i C-487/21. Systemet bør understøtte den konkrete vurdering og sikre, at udvælgelsen ikke ændrer meningen. Opdeling i kategorier er nyttig, hvis personen stadig kan se forbindelserne mellem relevante oplysninger.
I en tænkt kreditsag kan en intern vurdering være lige så vigtig som navn og adresse. Hvis personen samtidig anfægter rigtigheden, bør indsigtsmaterialet og sagen om rettelse af kreditoplysninger holdes forbundet. Ret ikke historikken lydløst under indsigtsbehandlingen. Dokumenter, hvad der blev fundet, hvad der senere blev ændret, og hvorfor ændringen fandt sted.
Foretag en konkret vurdering af andre personers rettigheder
Artikel 15, stk. 4, beskytter andres rettigheder og frihedsrettigheder ved udlevering af en kopi. Det betyder ikke, at alle navne på kolleger eller alle oplysninger, der også vedrører andre, automatisk skal fjernes. Virksomheden skal vurdere den konkrete konflikt og finde en løsning, der beskytter rettighederne uden at afskære mere indsigt end nødvendigt.
Afprøv et dokument, hvor en leder kommenterer ansøgerens arbejdsindsats, og en anden medarbejders private forhold optræder i samme afsnit. Demonstrationen bør vise, hvordan relevante oplysninger bevares, mens oplysninger, der konkret bør beskyttes, kan maskeres. En person skal kunne begrunde valget. Automatisk genkendelse af navne kan hjælpe med gennemgangen, men kan ikke alene afgøre, om navnet skal udelades.
Kontrollér den eksporterede fil efter maskering. Tekst kan være skjult visuelt og stadig kunne kopieres, søges eller læses i metadata. Prøv også vedhæftninger og tidligere dokumentversioner. Gem en sikret intern version og den faktiske udleveringsversion med passende adgang. EDPB’s endelige retningslinjer om indsigt beskriver både rettens rækkevidde og behovet for konkrete begrænsningsvurderinger.
Udarbejd hele svaret, ikke kun datafilen
Svaret skal passe til den behandling, som faktisk vedrører personen. Artikel 15 omfatter blandt andet formål, kategorier af oplysninger, modtagere eller kategorier af modtagere og opbevaringsperiode eller kriterierne for den. Hertil kommer relevante rettigheder, klageadgang, tilgængelig information om kilden, når oplysningerne ikke er indsamlet hos personen, og information om visse automatiske afgørelser, herunder profilering.
Oplysninger om modtagere kræver særlig opmærksomhed. Når personen ikke har valgt andet, skal de faktiske modtagere som udgangspunkt identificeres. Kategorier kan ikke frit vælges som en mindre præcis erstatning, når modtagerne kan identificeres. EU-Domstolens afgørelse i C-154/21 beskriver undtagelser, hvor identifikation er umulig, eller virksomheden godtgør, at anmodningen er åbenbart grundløs eller overdreven efter artikel 12, stk. 5. I en demonstration bør systemet derfor kunne samle konkrete modtagere for sagen frem for blot at indsætte ordet «samarbejdspartnere».
Test også, om samme person har forskellige opbevaringsperioder for forskellige oplysninger. En faktura og en markedsføringsprofil kan følge forskellige regler. Svaret skal hjælpe personen med at forstå forskellen og det relevante starttidspunkt eller kriterium. Et fælles standardfelt med «lovpligtige frister» kan være utilstrækkeligt, selv om det teknisk set er udfyldt.
Ved overførsel til et tredjeland eller en international organisation har personen også ret til information om de relevante garantier efter artikel 46. En generel privatlivspolitik kan give et udgangspunkt, men bør ikke ukritisk indsættes som hele svaret. Kontrollér, at beskrivelserne stemmer med den aktuelle sag, og at oplysninger om modtagere er tilstrækkeligt konkrete efter gældende ret og praksis.
Hvis virksomheden ikke imødekommer anmodningen, skal personen uden unødig forsinkelse og senest en måned efter modtagelsen oplyses om grunden samt muligheden for at klage og søge retsmidler. Systemet bør kræve en begrundet beslutning og vise, hvem der har godkendt den. Vejledningen om Datatilsynet kan støtte forståelsen af klagevejen; en afslagsknap bør ikke skjule disse oplysninger.
Udlever sikkert og gem passende dokumentation
Udleveringsformen skal passe til oplysningernes karakter og de konkrete risici. En sikker portal kan være egnet, hvis personen reelt kan få adgang og hente materialet. En elektronisk anmodning besvares som udgangspunkt elektronisk i en almindeligt anvendt form, medmindre personen anmoder om andet. Undersøg, hvordan løsningen hjælper personer, som ikke kan bruge den valgte kanal.
Afprøv en forkert mailadresse, et udløbet link og en anmodning om genfremsendelse. Hvem opdager fejlen, og hvordan undgås udlevering til en uvedkommende? En log over afsendelse er nyttig dokumentation, men fortæller ikke alene, at hele materialet var tilgængeligt og korrekt. Sørg for, at den ansvarlige kan kontrollere både modtager og udleveringspakke før afsendelse.
Fastlæg derefter opbevaring af selve sagen. I kan have behov for at dokumentere behandlingen af anmodningen, men det betyder ikke, at alle indsamlede kopier og identitetsbilag skal gemmes ubegrænset. Skeln mellem nødvendigt beslutningsspor, midlertidige arbejdsfiler og udleveringsmateriale. Fortegnelsen over behandlingsaktiviteter bør også afspejle virksomhedens behandling af oplysninger i rettighedssager.
Sammenlign leverandører med den samme prøvesag
Giv kandidaterne identiske fiktive oplysninger og samme opgave. Prøvesagen bør omfatte flere identifikatorer, en relevant tredjepartsoplysning, en uklar systemkode og en medarbejder, der er fraværende. Lad jeres egne brugere gennemføre forløbet. Noter, hvad systemet kan gøre direkte, hvad der kræver opsætning, og hvad leverandøren blot lover at udvikle senere.
Vurder rollefordeling, integrationer, maskering, dansk kommunikation og eksport som selvstændige punkter. Indhent pris for jeres forventede sagsmængde, lagerbehov og antal bidragydere. Nogle tilbud kan have særskilte omkostninger til forbindelser eller bistand, men det skal fremgå af det konkrete tilbud. Brug prisguiden og den bredere sammenligning af GDPR-software til de kommercielle spørgsmål.
Beslutningsgrundlaget bør vise, om virksomheden faktisk kan gennemføre en sag med passende kvalitet. Antallet af automatiske trin er ikke et selvstændigt succeskriterium. En løsning, der gør mangler synlige og understøtter faglig vurdering, kan være mere brugbar end en løsning, der afslutter sagen hurtigt på et ufuldstændigt datagrundlag. Den organisatoriske ramme kan sættes med den danske GDPR-guide.
Ofte stillede spørgsmål
Kan vi kræve betaling for indsigt?
Den første kopi er som udgangspunkt gratis. For yderligere kopier kan der opkræves et rimeligt gebyr baseret på administrative omkostninger. Åbenbart grundløse eller overdrevne anmodninger kan efter artikel 12, stk. 5, give mulighed for et rimeligt gebyr eller afslag, men virksomheden har bevisbyrden. Gentagelse eller et besværligt sagsforløb er ikke i sig selv tilstrækkeligt.
Kan AI automatisk godkende udleveringen?
Et værktøj kan foreslå kategorisering, søgeord eller maskering, men virksomheden skal kontrollere både manglende og fejlagtige fund. Særligt vurderingen af andre personers rettigheder og undtagelser kræver kontekst. Kræv adgang til originalmaterialet, mulighed for at rette forslag og en godkendelse fra en ansvarlig person, før oplysningerne sendes.
Er et automatisk standardsvar nok, hvis vi ikke finder data?
Nej, ikke uden en forsvarlig undersøgelse. Kontrollér først, at de relevante kilder og identifikatorer er undersøgt, og at integrationsfejl ikke er blevet fortolket som manglende oplysninger. Hvis virksomheden efter undersøgelsen ikke behandler oplysninger om personen, skal svaret afspejle det klart. Bevar passende dokumentation for søgningen og vurderingen.