Lovene om privatliv giver den enkelte rettigheder over sine data. Brugere kan bede om at se, hvad du har samlet, rette forkerte data, slette dem eller tage dem med et andet sted hen. Sådanne anmodninger er almindelige og juridisk bindende. Du skal have processer til at håndtere dem hurtigt og fuldstændigt. Dette kapitel handler om de vigtigste rettigheder og om, hvordan du gør dem til en del af hverdagen.
De vigtigste rettigheder
Ret til indsigt
Brugere kan bede om en kopi af alle de data, du har om dem. Du har 30 dage (GDPR) til at give dem. Data skal være i et almindeligt format, der kan flyttes (CSV, PDF). Du skal tage alle typer data med: hændelser i analytics, oplysninger om kontoen, kommunikation og købshistorik.
Det er kompliceret, fordi data ofte ligger i flere systemer. Du skal søge i alle systemer, samle data, gøre dem læsbare og sende dem sikkert.
Ret til berigtigelse (rettelse)
Brugere kan bede om at få forkerte data rettet. Hvis dit system viser en brugers navn som "Jhn" i stedet for "John", kan vedkommende bede om at få det rettet. Du skal rette det hurtigt. Det gælder alle data, som brugeren siger er forkerte.
Ret til sletning
Det er beskrevet i det forrige kapitel. Brugere kan bede om at få deres data slettet. Du har 30 dage til at følge anmodningen (med undtagelser for juridiske forpligtelser).
Ret til at begrænse behandlingen
Brugere kan bede dig om at begrænse, hvordan du bruger deres data. Eksempel: "Brug ikke mine data til markedsføring, men du må gerne gemme dem til administration af min konto." Du skal følge begrænsningen og markere data som begrænsede i dine systemer.
Ret til dataportabilitet
Brugere kan bede om deres data i et format, de kan tage med til en anden virksomhed. Det er især vigtigt, når man skifter tjeneste. Du skal give data i et struktureret og almindeligt format (JSON, CSV). Data skal kunne læses af maskiner, så brugeren kan importere dem et andet sted.
Ret til indsigelse
Brugere kan gøre indsigelse mod, at deres data behandles til bestemte formål. Bruger du data til markedsføring, kan de gøre indsigelse. Du skal stoppe, medmindre du har en tvingende juridisk grund til at fortsætte.
Rettigheder ved automatiske afgørelser
Bruger du algoritmer til at træffe afgørelser om brugere (kreditvurdering eller ret til tjenester), har brugerne ret til at forstå, hvordan afgørelsen blev truffet, og til at bede om, at et menneske ser på den. Det rækker ud over analytics, men er godt at vide.
Sådan bygger du et forløb til anmodninger om indsigt
Trin 1: Lav en måde at sende anmodninger på
Gør det nemt for brugerne at sende anmodninger. Muligheder: en formular på nettet, en e-mailadresse (anmodninger-om-data@dinvirksomhed.dk) eller en selvbetjeningsportal i indstillingerne for kontoen. Gør den let at finde (link i sidefoden, i privatlivspolitikken og i indstillingerne for kontoen).
Trin 2: Bekræft identiteten
Tjek, at anmodningen kommer fra den rigtige bruger eller en bemyndiget repræsentant. Bed om bekræftelse via e-mail, bekræftelse med adgangskode eller bekræftelse med billedlegitimation (efter hvor følsomt det er). Du vil ikke sende persondata til en, der udgiver sig for at være en anden.
Trin 3: Find ud af, hvilke data du skal give
Søg i alle systemer, hvor brugerens data findes: konti, analytics, support, e-maillister, CRM og sikkerhedskopier. Saml det hele. Tag med: e-mails sendt til brugeren, indsendte formularer, supporthenvendelser, køb, hændelser fra tracking, indstillinger og historik over kommunikation.
Vær fuldstændig. En almindelig fejl er at give nogle data, men ikke alle. Hvis en myndighed undersøger sagen og finder data, du ikke har oplyst om, er det et problem.
Trin 4: Gør det læsbart
Giv data i et tydeligt format. Rå udtræk fra en database er ikke godt nok. Lav et struktureret dokument: først oplysninger om kontoen, så hændelser og så kommunikation. Brug tabeller og tydelige overskrifter. Har brugeren brug for portabilitet, så giv et format, som kan importeres (JSON, CSV).
Trin 5: Send det sikkert
Send ikke persondata i ukrypteret e-mail. Brug en sikker tjeneste til at sende filer (et sikkert downloadlink, der udløber, krypteret e-mail eller SFTP). Bed om bekræftelse på modtagelsen.
Trin 6: Skriv det ned
Log anmodningen: hvornår den kom, hvornår den blev behandlet, hvilke data du gav, og hvordan du sendte dem. Det er dit bevis på, at du har fulgt reglerne, hvis en myndighed undersøger sagen.
Håndter anmodninger i stor skala
Automatisk eller manuelt
For små virksomheder er det muligt at håndtere anmodninger i hånden. Har du millioner af brugere, skal du automatisere. Byg et system, der modtager anmodninger, bekræfter identiteten, søger i databaser, gør data læsbare og leverer dem, alt sammen med så lidt manuelt arbejde som muligt.
Skabeloner og tjeklister
Lav skabeloner til svar: "Vi modtog din anmodning den [dato]. Her er dine data..." Lav tjeklister: kontodata, tjek, analytics, tjek, support, tjek. Tjeklister forhindrer, at du ved et uheld glemmer en type data.
Typiske fejl ved håndtering af anmodninger om data
Du svarer ikke i tide: Fristen på 30 dage er ikke valgfri. Overskrider du den, er det et brud. Sæt påmindelser og hold styr på fristerne.
Du giver ufuldstændige data: Hvis du giver nogle data, men ikke alle, følger du ikke reglerne. Sørg for, at din søgning dækker alle systemer.
Dårlig formatering: Rå udtræk fra en database følger ikke reglerne. Gør data læsbare.
Du bekræfter ikke identiteten: Sender du persondata til en, der udgiver sig for at være en anden, har du et ansvar. Bekræft altid.
Du ignorerer nye anmodninger: Hvis den samme bruger sender flere anmodninger, så håndter hver enkelt. Gå ikke ud fra, at de tidligere dækker det.
Du tager gebyr: GDPR tillader kun gebyr, hvis anmodningerne er åbenbart ubegrundede eller overdrevne. Brug ikke gebyrer til at afskrække berettigede anmodninger.
Brugernes rettigheder og driften
Det er en byrde i driften at håndtere anmodninger om data. Men virksomheder, der respekterer brugernes rettigheder, skaber tillid, undgår bøder, tiltrækker kunder, der går op i privatliv, og tiltrækker dygtige folk (medarbejdere sætter pris på at arbejde for ordentlige virksomheder). Prisen i drift er en investering i kultur og i at følge reglerne.
Byg brugernes rettigheder ind i dit produkt
Den klogeste vej er at bygge brugernes rettigheder ind i produktet fra start. Giv brugerne en selvbetjeningsportal, hvor de kan se deres data, hente dem, slette dem og ændre indstillinger. Det mindsker arbejdet i support og giver brugerne magt. De fleste moderne apps har det (indstillinger for kontoen, eksport af data og knapper til at slette kontoen).
Hvordan får jeg en systematisk tjekliste, så jeg tager alle en brugers data med i mit svar?
Lav en oversigt: (1) Kontosystemer (e-mail, navn, telefon, indstillinger). (2) Analytics (hændelser, tidspunkter, oplysninger om enhed og placering). (3) Kommunikation (sendte e-mails, supporthenvendelser og chatlogs). (4) Transaktioner (køb, refusioner og mislykkede betalinger). (5) Data hos tredjepart (data delt med leverandører). Søg i hvert system på bruger-id. Stol ikke på manuelle søgninger, men automatiser. Skriv ned, hvad du søgte i, og hvornår.
Hvordan formaterer og leverer jeg bedst svaret på en anmodning om indsigt?
Lav et PDF- eller HTML-dokument med afsnit: "Dine kontooplysninger", "Din aktivitet" og "Kommunikation". Brug tabeller til hændelser (dato, handling og detaljer). Ved anmodninger om portabilitet skal du også give CSV eller JSON. Send sikkert: et downloadlink med adgangskode (udløber efter 14 dage), krypteret e-mail eller en sikker tjeneste til at sende filer. Bed brugeren bekræfte modtagelsen. Gem en kopi af, hvordan du leverede, til dine optegnelser.
Hvornår kan jeg tage gebyr for en anmodning om indsigt, og hvor meget?
GDPR: tag kun gebyr, hvis anmodningen er "åbenbart ubegrundet eller overdreven" (meget sjældent). Som regel er det gratis. CCPA: kun et rimeligt gebyr. I praksis: tag ikke gebyr for den første anmodning, men kun for gentagne anmodninger fra den samme bruger inden for kort tid (ud over det, der er useriøst). Svar altid gratis på den første anmodning. Skriv din politik tydeligt i din privatlivspolitik.
Hvordan håndterer jeg data, jeg virkelig ikke kan finde, og skal jeg blive ved med at lede?
En rimelig søgning: søg i alle live systemer, du styrer, og tjek sikkerhedskopier, hvis du har adgang til dem. Findes data ikke i dine primære systemer, er det i orden. Har du fundet nogle data (der er analytics, men ingen kontooplysninger), så skriv ned, hvilke systemer du har tjekket. Skriv til brugeren: "Vi har søgt i [liste over systemer] og fundet [X]. Vi fandt ikke data i [Y systemer], fordi [årsag]."
Hvordan går jeg juridisk til værks med anmodninger fra en, der handler på en brugers vegne?
Trin 1: bed den bemyndigede om en skriftlig fuldmagt fra brugeren (bekræftet legitimation for børn og personer, der ikke selv kan handle). Trin 2: tjek, at underskriveren er den, vedkommende siger. Tjek mod legitimation. Trin 3: tjek, at fuldmagten dækker den bestemte type anmodning (indsigt, sletning og så videre). Trin 4: svar til den bemyndigede eller til brugeren (tjek reglerne i landet, for nogle kræver en kopi til brugeren). Gem fuldmagten i din sag.
Hvad er min handlingsplan, hvis jeg i dag ikke overholder fristerne for anmodninger om data?
Med det samme: (1) Find alle åbne anmodninger og forlæng fristen med 30 dage med en forklaring. (2) Lav et system til at følge anmodninger (et regneark som minimum og et værktøj til anmodninger om privatliv i stor skala). (3) Udpeg en ejer (én person med ansvaret). (4) Sæt en intern frist på 20 dage (10 dages buffer før lovens frist på 30 dage). (5) Skriv processen ned: anmodning modtaget → søg i systemer → gør svaret læsbart → send. Test først med en prøveanmodning.