Artikkel 16 GDPR
Rett til korrigering
Under GDPR har de registrerte rett til å få sine personopplysninger korrigert hvis de er unøyaktige. I tillegg har de registrerte rett til å få personopplysninger komplettert hvis de er ufullstendige.
Den registrertes rett til korrigering
Retten til korrigering er en av de åtte (8) grunnleggende rettighetene til registrerte under GDPR. Artikkel 16 i GDPR regulerer retten til korrigering av personopplysninger.
Tidsramme for gjennomføring av en retting etter mottak av den registrertes anmodning
Når et selskap mottar en forespørsel om korrigering fra den registrerte, skal det svare innen rimelig tid. Selskapet må som hovedregel behandle saken innen en måned.
På den annen side kan selskapet forlenge denne fristen i visse tilfeller. Hvis selskapet trenger en forlengelse av fristen, skal det informere den registrerte tilsvarende innen den første måneden og oppgi årsakene. Denne perioden kan forlenges opp til maksimalt to ekstra måneder.
Vær oppmerksom på at selskapet må begrunne sin beslutning om å forlenge perioden. En grunn til at en forlengelse av tid kan tillates er hvis det gjelder en kompleks forespørsel. Alternativt, hvis selskapet har mottatt et svært høyt antall forespørsler innen kort tid.
Gebyr for korrigering av personopplysninger
I noen tilfeller kan et selskap kreve et gebyr for korrigering av personopplysninger. I de aller fleste tilfeller er det imidlertid ikke tillatt å kreve gebyr. Et eksempel på når lading kan tillates, er om det gjelder en urimelig eller ubegrunnet forespørsel. For eksempel, hvis en person ber om retting eller annen rett hver uke. I slike tilfeller må gebyret være rimelig og derfor ikke overdreven.
Nekter å etterkomme den registrertes anmodning om å rette personopplysninger i henhold til GDPR
Bedrifter skal rette unøyaktige personopplysninger, enten på forespørsel eller på selskapets egen deteksjon av unøyaktige personopplysninger. På den annen side kan et selskap i noen tilfeller anse personopplysningene for å være nøyaktige eller fullstendige, selv om den registrerte ikke anser dem for å være nøyaktige eller fullstendige.
Et selskap la ikke til rette for kundens rett til korrigering av personopplysninger
Den svenske DPA fant at et internasjonalt kjent selskap ikke tilrettela for kundens rett til korrigering da han ønsket at hans e-postadresse skulle rettes opp. I tillegg hadde det aktuelle selskapet ingen tekniske tiltak for å gjøre det mulig for kunden å endre sin e-postadresse selv. Selskapet fulgte derfor ikke GDPR. Konsekvensen for selskapet var en reprimande i stedet for en bot (se betraktning 148 GDPR). En reprimande er en form for skriftlig advarsel som ofte pålegges i tilfeller av mindre overtredelser.
Bedrifter kan bevise identiteten til den registrerte før selskapet begynner å håndtere forespørselen
Et selskap som mottar en forespørsel om å tilfredsstille en rettighet under GDPR, må først verifisere identiteten til den registrerte. For eksempel når du ber om retten til korrigering og andre rettigheter.
Her er noen eksempler på rettigheter som registrerte ikke kan utøve hvis de ikke kan identifiseres av selskapet. Retten til å:
Tilgang
Tilgang til personopplysninger.
Korreksjon
Har personopplysninger rettet eller fullført.
Sletting
Innhente sletting av personopplysninger.
Begrensning av behandling
Gjør din bedrift begrense behandlingen av dine personlige data.
Flytte personopplysninger
Flytte personopplysninger mellom ulike systemer (dataportabilitet).
Foretakene skal underrette om en rettelse som er foretatt
Hvis personopplysninger blir korrigert på forespørsel fra den registrerte, skal selskapet informere om korrigeringen. Foretaket skal gi opplysninger om rettingen til enhver tredjemann som foretaket har gitt personopplysningene til. Dette skal gjøres for å sikre at de også korrigerer personopplysningene tilsvarende.
Dette opplysningskravet får imidlertid ikke anvendelse dersom en slik melding vil pålegge foretaket en for stor byrde. Det gjelder heller ikke dersom virksomheten kan vise at det ville være umulig for dem å gjøre det. Videre har den registrerte rett til å få informasjon fra selskapet om tredjepartene som selskapet har avslørt personopplysningene til den registrerte.
Flere rettigheter i GDPR
Rett til sletting
Under GDPR har de registrerte rett til å be et selskap om å slette personopplysningene til den registrerte de behandler. Dette betyr imidlertid ikke alltid at selskapet må slette personopplysningene, da det er noen unntak i henhold til loven. Bedrifter må blant annet slette personopplysninger hvis de ikke lenger er nødvendige for det formålet de ble samlet inn for, eller hvis det juridiske grunnlaget er samtykke og den registrerte trekker det tilbake.