GDPR gav alla i EU en uppsättning konkreta rättigheter över sina personuppgifter. Länge var de mest en teoretisk möjlighet. Nu har medvetenheten hunnit ikapp – och företag som inte har rutiner på plats får problem.
Undersökningar visar återkommande att en stor majoritet av svenskarna känner till att de har rätt att få veta vad företag lagrar om dem, och att många överväger att använda den rätten. Steget från att känna till till att faktiskt begära är fortfarande stort, men det krymper – särskilt när ett företag hamnar i blåsväder.
Vad du faktiskt har rätt till
- Registerutdrag. Du har rätt att få veta vilka personuppgifter en organisation behandlar om dig, varför, hur länge och vem de delas med. Kostnadsfritt, i regel inom en månad.
- Rättelse. Felaktiga uppgifter ska korrigeras utan onödigt dröjsmål.
- Radering – ”rätten att bli glömd”. Gäller när uppgifterna inte längre behövs för sitt ändamål eller när samtycket dras tillbaka. Den är inte absolut: bokföringslagen och andra regler kan kräva att viss information sparas.
- Dataportabilitet. Rätt att få ut dina uppgifter i ett maskinläsbart format och flytta dem till en annan leverantör.
- Invändning mot direktmarknadsföring. Den här är absolut. Säger du nej till marknadsföring ska det upphöra, punkt.
”Ett registerutdrag är det billigaste sättet för en kund att ta reda på om ditt företag har koll. Svaret syns direkt i hur lång tid det tar.”
Så begär du ut dina uppgifter
Det behöver inte vara krångligt. Skriv till organisationens dataskyddsombud eller kundtjänst, ange att du begär ett registerutdrag enligt dataskyddsförordningen, och identifiera dig på det sätt de begär. Var tydlig med vilken e-postadress, vilket kundnummer eller vilka konton begäran gäller.
Får du inget svar inom en månad, eller får du ett svar som uppenbart inte besvarar frågan, kan du vända dig till Integritetsskyddsmyndigheten. I praktiken räcker ofta en påminnelse om att den möjligheten finns.
För dig som ska svara på begäran
Här ligger den verkliga utmaningen, och den är sällan juridisk. Den är teknisk och organisatorisk. För att kunna svara på ett registerutdrag behöver du veta var personuppgifterna faktiskt finns – och i de flesta organisationer finns de på fler ställen än någon har kartlagt.
De är i CRM-systemet, i e-postklienten, i nyhetsbrevsverktyget, i supportärenden, i analysplattformen, i backuper, i den där Excel-filen som en säljare har på skrivbordet och hos tre underleverantörer. En begäran som ska besvaras på en månad blir snabbt ett projekt om ingen har gjort förarbetet.
Det förarbetet är enkelt att beskriva och jobbigt att göra: en aktuell registerförteckning, en utsedd ansvarig, en dokumenterad process och en färdig mall för svaret. Organisationer som har det klarar en begäran på timmar. De som inte har det upptäcker under stress hur lite de vet om sin egen datahantering.
Se det som en möjlighet
Det finns ett perspektiv som ofta går förlorat i suckandet över regelbördan. Ett snabbt, begripligt och komplett svar på ett registerutdrag är ett av de starkaste förtroendebyggande ögonblick ett företag kan få. Kunden har ställt en obekväm fråga och fått ett rakt svar.
De företag som har byggt självbetjäning – där kunden kan se, ladda ner och radera sina uppgifter direkt i sitt konto – slipper dessutom hanteringen helt. Det kostar en utvecklingsinsats en gång och sparar arbete för alltid. Att fyra av fem säger sig vilja använda sina rättigheter är alltså inget hot. Det är en påminnelse om att bygga rätt från början.
