Artikel 16 i GDPR
Ret til berigtigelse
I henhold til GDPR har registrerede ret til at få deres personoplysninger berigtiget, hvis de er ukorrekte. Desuden har de registrerede ret til at få personoplysninger kompletteret, hvis de er ufuldstændige.
Ret til berigtigelse for registrerede
Retten til berigtigelse er en af de otte (8) grundlæggende rettigheder, som registrerede har i henhold til GDPR. Databeskyttelsesforordningens artikel 16 regulerer retten til berigtigelse af personoplysninger.
Tidsramme for gennemførelse af en berigtigelse efter modtagelse af den registreredes anmodning
Når en virksomhed modtager en anmodning om berigtigelse fra den registrerede, skal den svare inden for en rimelig frist. Ifølge hovedreglen skal virksomheden behandle sagen inden for en måned.
Virksomheden kan dog forlænge denne frist i visse tilfælde. Hvis virksomheden har brug for en forlængelse af fristen, underretter den den registrerede herom inden for den første måned og giver en begrundelse herfor. Fristen kan forlænges med højst to måneder.
Bemærk, at virksomheden skal begrunde sin beslutning om at forlænge fristen. En af grundene til, at det kan være tilladt at forlænge fristen, er, hvis den vedrører en kompleks anmodning. Alternativt, hvis virksomheden har modtaget mange anmodninger på kort tid.
Få betalt for at rette personlige data
I nogle tilfælde kan en virksomhed opkræve et gebyr for at rette personoplysninger. I langt de fleste tilfælde er det dog ikke tilladt at opkræve et gebyr. Et eksempel på, hvornår det kan være tilladt at opkræve gebyr, er, om det vedrører en urimelig eller ubegrundet anmodning. For eksempel, hvis en person anmoder om berigtigelse eller anden ret hver uge. I sådanne tilfælde skal gebyret være rimeligt og dermed ikke overdrevent.
Nægte at efterkomme en registrerets anmodning om berigtigelse af personoplysninger i henhold til GDPR
Virksomheder skal berigtige personoplysninger, der er unøjagtige, enten efter anmodning eller ved virksomhedens egen opdagelse af ukorrekte personoplysninger. I nogle tilfælde kan en virksomhed dog anse personoplysningerne for at være korrekte eller fuldstændige, selv om den registrerede ikke anser dem for at være korrekte eller fuldstændige.
Virksomheden skal underrette den registrerede, hvis de nægter at berigtige personoplysningerne. Oplysningerne skal bl.a. omfatte grundene til afslag. Derudover underretter virksomheden den registrerede om dennes ret til at indgive en klage til den nationale tilsynsmyndighed i sager vedrørende GDPR.
En virksomhed har ikke lettet kundens ret til berigtigelse af personoplysninger
Den svenske databeskyttelsesmyndighed bemærkede, at en internationalt kendt virksomhed ikke lettede kundens ret til berigtigelse, da han ønskede at få sin e-mailadresse berigtiget. Desuden manglede den pågældende virksomhed tekniske foranstaltninger, der gjorde det muligt for kunden selv at ændre sin e-mailadresse. Som følge heraf opfyldte virksomheden ikke kravene i GDPR. Konsekvensen for virksomheden var en irettesættelse i stedet for en bøde (se betragtning 148 i GDPR). En irettesættelse er en form for skriftlig advarsel, der ofte udstedes i tilfælde af mindre overtrædelser.
Virksomheder kan bevise den registreredes identitet, før virksomheden begynder at behandle anmodningen
En virksomhed, der modtager en anmodning om at opfylde en rettighed i henhold til GDPR, skal først kontrollere den registreredes identitet. For eksempel, når du anmoder om retten til berigtigelse og andre rettigheder.
Her er nogle eksempler på rettigheder, som registrerede ikke kan udøve, hvis de ikke kan identificeres af virksomheden:
Ret til:
Adgang
Adgang til personoplysninger.
Rettelse
Få personoplysninger rettet eller udfyldt.
Sletning
Få personoplysninger slettet.
Begrænsning af forarbejdning
Få virksomheden til at begrænse behandlingen af personoplysninger.
Flytning af personoplysninger
Flytning af personoplysninger mellem forskellige systemer (dataportabilitet).
Virksomhederne bør informere om en afsluttet berigtigelse
Hvis personoplysninger berigtiges efter anmodning fra den registrerede, underretter virksomheden om berigtigelsen. Virksomheden skal give oplysningerne om berigtigelsen til eventuelle tredjeparter, som virksomheden har videregivet personoplysningerne til. Dette skal gøres for at sikre, at de også korrigerer personoplysningerne i overensstemmelse hermed.
Dette oplysningskrav finder dog ikke anvendelse, hvis en sådan anmeldelse ville indebære en uforholdsmæssig stor indsats fra virksomhedens side. Det gælder heller ikke, hvis virksomheden kan påvise, at det ville være umuligt for dem at gøre det. Desuden har den registrerede ret til at få oplysninger fra virksomheden om, til hvilke tredjeparter virksomheden har videregivet den registreredes personoplysninger.
Flere rettigheder i henhold til GDPR
Ret til sletning
Registrerede har i henhold til GDPR ret til at bede en virksomhed om at slette den registreredes personoplysninger, som de behandler. Dette betyder dog ikke altid, at virksomheden skal slette personoplysningerne, da der er visse undtagelser i henhold til loven. Virksomheder skal bl.a. slette personoplysninger, hvis de ikke længere er nødvendige til det formål, hvortil de blev indsamlet, eller hvis retsgrundlaget er samtykke, og den registrerede trækker det tilbage.