Artikkel 21 GDPR
Rett til å protestere
En registrert har rett til å motsette seg behandling av hans eller hennes personopplysninger av et selskap. I noen tilfeller er det en absolutt forpliktelse for selskaper å slutte å behandle hvis den registrerte har innvendinger. Imidlertid kan selskapet i noen situasjoner ha rett til å fortsette behandlingen til tross for innvendingen mottatt.
Rett til å protestere mot behandling av personopplysninger
Artikkel 21 i GDPR regulerer den registrertes rett til å protestere mot behandling av personopplysninger. Denne retten er en av de åtte grunnleggende rettighetene som GDPR gir de registrerte.
Situasjoner der de registrerte har rett til å protestere mot behandling av personopplysninger
En registrert har rett til å motsette seg behandling av hans eller hennes personopplysninger i visse situasjoner. Disse er beskrevet nedenfor:
Alminnelig interesse
Om foretaket behandler personopplysningene for å utføre en oppgave i allmennhetens interesse.
Utøvelse av offentlig myndighet
Når behandlingen utføres under utøvelse av offentlig myndighet som den behandlingsansvarlige er pålagt å gjøre, For eksempel, hvis enheten behandler personopplysningene for å utføre en oppgave i utøvelsen av statlig myndighet.
Berettiget interesse
Når et selskap behandler personopplysninger på grunnlag av den legitime interessen som forfølges av det juridiske grunnlaget. Noen av de vanligste unntakene er:
Direkte markedsføring
Hvis et selskap behandler personopplysninger for direkte markedsføringsformål. For eksempel e-postadresser til tidligere kunder for å kunne sende tilbud.
Formål knyttet til vitenskapelig eller historisk forskning
Om formålet med behandlingen er vitenskapelig eller historisk.
Statistiske formål
Når et selskap behandler personopplysninger for statistiske formål.
Stoppet ikke direkte markedsføring etter at de registrerte hadde reist innvendinger
Et selskap i Sverige gjennomførte direkte markedsføring via e-post. Noen registrerte har reist innvendinger mot selskapets behandling av deres personopplysninger for dette formålet. Registrantene ønsket at selskapet skulle stoppe direkte markedsføring til dem. På den annen side hadde det ikke tatt tilstrekkelige tekniske og organisatoriske tiltak for å tilfredsstille denne retten. Selskapet fortsatte utilsiktet å sende nyhetsbrev med direkte markedsføring til registrerte til tross for deres innvendinger. Derfor, ifølge den svenske tilsynsmyndigheten (den svenske myndigheten for personvern), måtte selskapet betale en bot på SEK 350 000.
Selskapet kan i noen tilfeller ha rett til å fortsette behandlingen til tross for innvendinger
I følgende situasjoner kan et selskap fortsette behandlingen til tross for den registrertes innvendinger:
Gjennomgang av berettiget interesse ved hjelp av en ny interesseavveining
Et selskap kan behandle personopplysninger etter en interesseavveining, basert på legitim interesse som lovlig grunnlag. Dersom det er innvendinger mot slik databehandling, kan foretaket vurdere den berettigede interessen på nytt. Formålet med gjennomgangen er å se om det er tvingende legitime grunner for at dataene fortsatt skal behandles, til tross for innvendingen. Dette gjøres ved å foreta en ny interesseavveining. I den nye interesseavveiningen kan selskapet konkludere med at det har en avgjørende berettiget interesse i behandlingen. Det vil si at selskapets interesser er legitime og tilsidesetter den registrertes interesser, rettigheter og friheter. I slike tilfeller har selskapet rett til å fortsette behandlingen, selv om den registrerte har påberopt seg retten til å motsette seg behandlingen.
Vær oppmerksom på at dette ikke gjelder behandling av personopplysninger som utføres spesielt med henblikk på direkte markedsføring. Den registrerte har en absolutt rett til å protestere, som kan reises når som helst av den registrerte. Hvis det gjøres innvendinger mot direkte markedsføring, kan selskapet ikke lenger behandle personopplysningene for dette formålet. I så fall skal behandlingen av personopplysninger opphøre uten at selskapet har mulighet til å gjennomgå.
Rettslige krav
Bedrifter kan i noen tilfeller måtte fortsette å behandle personopplysninger når det er nødvendig for eksempel for å opprette, forsvare eller avgjøre juridiske krav. I slike tilfeller er behandling tillatt dersom det er nødvendig for disse formålene, til tross for den registrertes innvendinger mot behandlingen.
Selskapet skal informere den registrerte dersom selskapet fortsetter å behandle etter en innsigelse. I tillegg må selskapet informere den registrerte om alle andre grunnleggende rettigheter til den registrerte i henhold til GDPR. Slik som retten til innsyn og retten til korrigering.
Selskapet kan avvise en forespørsel
Bedrifter har rett til å bevise identiteten til en registrert som ønsker å påberope seg en rettighet, for eksempel retten til å protestere. I tillegg må foretaket som hovedregel etterkomme anmodningen vederlagsfritt.
I visse tilfeller kan imidlertid selskapet avslå den registrertes anmodning om å utøve sine rettigheter. Dette gjelder hvis forespørselen er åpenbart ubegrunnet eller overdreven. For eksempel, hvis datasubjektet gjentatte ganger ber om det samme. I slike tilfeller skal selskapet informere den registrerte om årsakene til beslutningen om å avvise forespørselen. I visse tilfeller kan det også være tillatt for foretaket å kreve et gebyr som er rimelig for å oppfylle rettigheten, i stedet for å nekte å etterkomme anmodningen.
Lær mer om flere rettigheter
Lær mer om flere rettigheter
Selskaper bør i visse tilfeller legge til rette for overføring av personopplysninger til andre selskaper. For eksempel, hvis et selskap driver en sosial medietjeneste og datasubjektet ønsker å overføre sine personopplysninger til en annen sosial medietjeneste. Vær oppmerksom på at dette bare gjelder hvis det juridiske grunnlaget er: Samtykke eller avtale med registrerte.