Skal jeg betale for at udøve mine GDPR-rettigheder?

Nej. Indsigt, sletning, berigtigelse og de øvrige rettigheder er som udgangspunkt gratis. Kun ved åbenlyst grundløse eller gentagne anmodninger kan en virksomhed opkræve et rimeligt gebyr eller afvise henvendelsen.

Hvor lang tid har en virksomhed til at svare på min anmodning?

Som hovedregel én måned. Fristen kan forlænges med op til to måneder ved komplekse sager, men virksomheden skal så give dig besked om forlængelsen inden for den første måned.

Kan jeg bruge flere rettigheder samtidig, for eksempel indsigt og sletning?

Ja. Der er ingen regel om, at du kun må gøre én rettighed gældende ad gangen. Mange starter med indsigt for at se, hvilke data der findes, og følger op med en sletteanmodning bagefter.

Hvad gør jeg, hvis en virksomhed ikke svarer eller afviser min anmodning?

Du kan klage til Datatilsynet, som fører tilsyn med, at virksomheder overholder GDPR. Klagen er gratis og kan indgives via datatilsynet.dk.

Gælder rettighederne også over for udenlandske virksomheder?

Ja, så længe virksomheden behandler oplysninger om personer i EU, eller retter sig mod det danske marked. I praksis kan det dog være sværere at få svar fra virksomheder uden for EU.

Dine GDPR-rettigheder som privatperson

Ret til indsigt

Du har ret til at få at vide, om en virksomhed eller myndighed behandler oplysninger om dig, og i så fald hvilke. Det kaldes indsigtsretten og står i GDPR artikel 15.

Indsigten dækker mere end selve dataene. Du kan bede om at få oplyst formålet med behandlingen, hvor længe dataene opbevares, hvem de deles med, og hvor de oprindeligt kom fra, hvis du ikke selv har afgivet dem.

Sådan bruger du den: send en skriftlig anmodning til den dataansvarlige, typisk via e-mail eller en kontaktformular på virksomhedens hjemmeside. Skriv tydeligt, at du ønsker indsigt efter databeskyttelsesforordningens artikel 15. Virksomheden skal svare inden for én måned og som udgangspunkt give dig en kopi af oplysningerne gratis.

Indsigt er ofte det første skridt. Når du ved, hvad en virksomhed har liggende om dig, kan du vurdere, om du vil bede om berigtigelse, sletning eller noget tredje.

Ret til sletning

Retten til sletning, også kaldet retten til at blive glemt, giver dig mulighed for at få dine personoplysninger fjernet, når de ikke længere er nødvendige, eller du trækker dit samtykke tilbage. Den har hjemmel i GDPR artikel 17.

Retten er ikke ubetinget. Lovpligtige registre som CVR, tingbogen og fakturaoplysninger, virksomheder er forpligtet til at gemme af regnskabsmæssige grunde, kan ikke slettes bare fordi du beder om det. Men rigtig mange datamæglere, telefonbøger og markedsføringsregistre har ingen god grund til at beholde dine data. Der virker sletteanmodningen som regel.

Sådan bruger du den: send en skriftlig sletteanmodning direkte til den dataansvarlige, og henvis til artikel 17. Den dataansvarlige skal svare inden for én måned og enten slette dataene eller forklare, hvorfor de ikke kan.

Vi har samlet en dybdegående guide til, hvordan du formulerer og følger op på en sletteanmodning: se GDPR artikel 17.

Ret til berigtigelse

Hvis en virksomhed har forkerte eller mangelfulde oplysninger om dig, har du ret til at få dem rettet. Det gælder for eksempel en forkert adresse, et forældet telefonnummer eller et ansættelsesforhold, der er ophørt uden at blive opdateret.

Retten til berigtigelse står i GDPR artikel 16 og omfatter både rettelse af fejl og supplering af ufuldstændige oplysninger.

Sådan bruger du den: kontakt den dataansvarlige og beskriv præcist, hvilke oplysninger der er forkerte, og hvad de skal rettes til. Vedlæg gerne dokumentation, hvis du har den. Det gør sagsbehandlingen hurtigere. Virksomheden skal rette fejlen uden unødig forsinkelse.

Ret til indsigelse

Du kan gøre indsigelse mod, at en virksomhed behandler dine oplysninger, særligt når behandlingen sker til direkte markedsføring eller er baseret på det, GDPR kalder "legitim interesse". Det fremgår af artikel 21.

Ved direkte markedsføring er indsigelsesretten særlig stærk: siger du fra, skal virksomheden stoppe med det samme, uden at de kan afvise med en begrundelse. Ved andre former for behandling skal virksomheden vurdere din indsigelse og kan i nogle tilfælde fortsætte, hvis de har tungtvejende legitime grunde.

Sådan bruger du den: skriv til den dataansvarlige, at du gør indsigelse efter artikel 21, og angiv om det gælder markedsføring eller en anden specifik behandling.

Ret til begrænsning

Begrænsning betyder, at en virksomhed midlertidigt fryser behandlingen af dine data uden at slette dem. Det er relevant, hvis du for eksempel bestrider rigtigheden af oplysningerne, eller hvis du har gjort indsigelse og venter på svar.

Retten står i GDPR artikel 18 og fungerer som en slags pause-knap: dataene ligger stille, men bliver ikke brugt eller delt, mens sagen afklares.

Sådan bruger du den: bed skriftligt om begrænsning og forklar hvorfor, typisk fordi du bestrider oplysningernes rigtighed eller har en verserende indsigelse. Virksomheden skal give dig besked, før begrænsningen ophæves igen.

Ret til dataportabilitet

Dataportabilitet giver dig ret til at få udleveret de oplysninger, du selv har afgivet til en virksomhed, i et struktureret og maskinlæsbart format, og til at få dem overført direkte til en anden udbyder, hvis det er teknisk muligt.

Retten gælder kun, når behandlingen er baseret på samtykke eller en kontrakt, og når den foregår automatisk. Den bruges typisk ved skift af leverandør, for eksempel en bank, et streamingabonnement eller en cloud-tjeneste.

Sådan bruger du den: bed den dataansvarlige om en eksport af dine data i et almindeligt format som CSV eller JSON, jævnfør GDPR artikel 20. Du kan også bede om, at dataene sendes direkte til den nye udbyder, hvis begge parter understøtter det.

Sådan gør Privio det nemmere

At udøve sine rettigheder kræver, at du ved, hvor dine data ligger, og hvem du skal skrive til. Privio scanner dit digitale fodaftryk og sender sletteanmodninger efter artikel 17 på dine vegne, så du slipper for at jagte hver enkelt dataansvarlig selv.