Retten til at blive glemt

Retten til at blive glemt er den almindelige betegnelse for GDPRs ret til sletning i artikel 17. Den betyder, at en person i bestemte situationer kan kræve, at den dataansvarlige sletter personoplysninger om vedkommende. Retten er vigtig, men den bliver ofte beskrevet for enkelt. Den betyder ikke, at enhver person altid kan kræve, at alle spor bliver slettet fra alle systemer med det samme.

Et centralt tilfælde er, når oplysningerne ikke længere er nødvendige til det formål, de blev indsamlet til. Hvis en virksomhed eksempelvis indsamlede telefonnummer og adresse for at levere en bestemt ydelse, og oplysningerne senere ikke længere er nødvendige til kundedialog, dokumentation eller andre lovlige formål, kan sletning blive relevant. Et andet tilfælde er, når behandlingen alene bygger på samtykke, og samtykket trækkes tilbage uden at der findes et andet gyldigt grundlag for at fortsætte behandlingen.

Sletning kan også være nødvendig, hvis behandlingen er ulovlig, eller hvis personoplysninger skal slettes for at overholde en retlig forpligtelse. Omvendt indeholder GDPR undtagelser. Oplysninger kan i visse situationer fortsat behandles blandt andet af hensyn til ytrings- og informationsfrihed, retlige forpligtelser, visse samfundsinteresser, forskning og statistik eller for at fastlægge, gøre gældende eller forsvare retskrav. Derfor skal en sletteanmodning vurderes konkret.

Retten hænger også sammen med virksomhedens almindelige slettefrister. GDPRs princip om opbevaringsbegrænsning betyder, at oplysninger ikke bør gemmes længere end nødvendigt til formålet. En virksomhed skal altså ikke vente på, at kunder beder om sletning, før den rydder op. Retten til at blive glemt er en ekstra mulighed for den registrerede, ikke en erstatning for virksomhedens eget ansvar for løbende sletning.

Når en sletteanmodning kommer ind, bør virksomheden først registrere datoen og afklare, hvem personen er. Som ved indsigtsret skal identiteten kontrolleres på en måde, der passer til risikoen. Man bør ikke udlevere eller slette en anden persons data, men man bør heller ikke indsamle mere legitimation end nødvendigt.

Dernæst skal virksomheden finde de relevante oplysninger. En enkel hjemmeside kan have data i flere lag:

• Kontaktformularer i WordPress.
• Kundedata og ordredata i en webshop.
• CRM, bookingsystem og supportplatform.
• Nyhedsbrevssystem og tilmeldingshistorik.
• E-mailkorrespondance.
• Regnskabs- og fakturasystem.
• Analyse- og annonceværktøjer, hvor data kan knyttes til en person.
• Eksterne databehandlere, der opbevarer data på virksomhedens vegne.

For hver datakategori bør man notere formål og behandlingsgrundlag. Det er sjældent nok at skrive “kundeoplysninger” som én samlet blok. En gammel marketingtilmelding kan have ét grundlag, en faktura et andet og dokumentation for en reklamation et tredje. Den samme person kan derfor have oplysninger, der skal slettes, samtidig med at andre oplysninger lovligt eller nødvendigvis opbevares.

Hvis sletning skal gennemføres, bør processen beskrive, hvilke systemer der skal ændres. Det er en klassisk fejl at slette kundekortet i CRM og glemme nyhedsbrev, support og eksporterede regneark. Jo flere manuelle kopier virksomheden laver, desto sværere bliver det at gennemføre konsekvent sletning. Derfor er dataminimering og systemdisciplin også tekniske fordele.

Hvis personoplysningerne er videregivet til modtagere, kan der efter omstændighederne være pligt til at underrette dem om sletningen. Hvis en offentliggørelse er omfattet af artikel 17s særlige regler, kan der desuden være krav om rimelige skridt i forhold til andre dataansvarlige. Det er et område, hvor den konkrete vurdering kan blive kompleks, og virksomheden bør ikke gætte sig frem.

Fristen følger de generelle regler for registreredes rettigheder. Den dataansvarlige skal som udgangspunkt reagere senest en måned efter modtagelsen. I komplekse tilfælde kan fristen forlænges med op til to yderligere måneder, men personen skal have besked om forlængelsen og grunden inden for den første måned.

Efter sletningen er det nyttigt at dokumentere processen proportionalt. Datatilsynet beskriver, at nogle dataansvarlige vælger at føre en log over modtagne anmodninger og udfaldet som led i ansvarlighedsprincippet. En sådan log skal selvfølgelig selv følge dataminimering og have en rimelig slettefrist. Pointen er ikke at gemme hele det slettede datasæt som “bevis på sletning”.

På en ny hjemmeside kan processen forbedres allerede i designfasen. Formularer bør kun spørge om nødvendige oplysninger, plugins bør vælges med blik for dataflow, og eksterne systemer bør dokumenteres. Det gør både almindelig drift og senere rettighedsanmodninger enklere.

En tidligere kunde skriver til en håndværksvirksomhed: “Jeg vil gerne have, at I sletter alt om mig.” Virksomheden har kundens navn, telefonnummer og e-mail i CRM, en afsluttet faktura i økonomisystemet, tre gamle mails, et foto fra en opgave og en tilmelding til et nyhedsbrev.

Virksomheden begynder ikke med at trykke “delete” i CRM. Den opdeler oplysningerne efter formål. Nyhedsbrevstilmeldingen byggede på samtykke, som kunden nu tydeligt trækker tilbage. Kunden fjernes derfor fra markedsføringslisten, og relevante marketingdata slettes eller håndteres efter systemets dokumenterede proces.

CRM-kortet indeholder en række gamle noter, som ikke længere er nødvendige. De slettes. Fotoet fra opgaven blev kun gemt internt som dokumentation og har ikke længere et aktuelt formål, så det slettes også. Fakturaen og visse bogføringsoplysninger skal derimod fortsat opbevares i den periode, som følger af de relevante retlige krav. Virksomheden forklarer kunden, at disse oplysninger derfor ikke kan slettes endnu.

En af e-mailene handler om en gammel tvist, som ikke er endeligt afsluttet. Virksomheden vurderer derfor, om oplysningerne fortsat er nødvendige for et muligt retskrav. Den del bliver ikke automatisk slettet, bare fordi resten af kundekortet er fjernet. Det viser, hvorfor én person ikke nødvendigvis svarer til ét samlet behandlingsformål.

Virksomheden svarer kunden inden for fristen og beskriver, hvad der er slettet, og hvilke oplysninger der fortsat opbevares samt hvorfor. Samtidig opdager den, at CRM-systemet mangler en fast sletteprocedure for afsluttede leads. Den indfører derfor en årlig oprydning, så irrelevante data fremover forsvinder uden først at kræve en henvendelse.

Den største faldgrube er at love “vi sletter alt med det samme”. Det kan være forkert både juridisk og teknisk. Oplysninger kan være nødvendige på grund af andre lovlige formål eller retlige forpligtelser. Et hurtigt løfte kan derfor skabe et nyt problem, hvis virksomheden bagefter opdager, at visse oplysninger skulle være bevaret.

Den modsatte fejl er at bruge enhver mulig undtagelse som standardforklaring på aldrig at slette noget. At en virksomhed har et lovligt formål med nogle oplysninger betyder ikke, at alle data om personen kan opbevares på ubestemt tid. Hver kategori og hvert formål skal vurderes.

Pas også på backups. Sletning i aktive systemer betyder ikke nødvendigvis, at enhver historisk backup øjeblikkeligt omskrives. Men virksomheden bør have en dokumenteret backup- og gendannelsespraksis, så slettede oplysninger ikke utilsigtet genopstår i almindelig drift. Backup må ikke bruges som undskyldning for aldrig at håndtere sletning.

En anden faldgrube er at glemme databehandlere. Hvis kundedata ligger hos et eksternt bookingsystem eller CRM, skal virksomheden vide, hvordan leverandøren understøtter sletning. En databehandleraftale og den praktiske dokumentation bør beskrive relevante processer.

Endelig skal virksomheden skelne mellem at trække et samtykke tilbage og at få slettet alle oplysninger. Et tilbagetrukket samtykke stopper den behandling, der bygger på samtykket, men andre oplysninger kan fortsat have et andet lovligt grundlag. Det er derfor vigtigt at forklare forskellen klart.

“Retten til at blive glemt” lyder mere dramatisk end den juridiske mekanisme. GDPR kalder artikel 17 “ret til sletning”, og retten gælder under bestemte betingelser og med bestemte undtagelser. Det er derfor bedre at tænke i behandlingsformål og datakategorier end i forestillingen om, at en person kan forsvinde fuldstændigt fra enhver historisk registrering.

Retten skal ses sammen med virksomhedens almindelige slettefrister. Datatilsynet fremhæver, at personoplysninger som udgangspunkt skal slettes eller anonymiseres, når de ikke længere er nødvendige til formålet. En god slettepolitik reducerer derfor antallet af vanskelige anmodninger, fordi unødvendige data allerede er væk.

Det kan være nyttigt at skelne mellem sletning og anonymisering. Hvis data reelt anonymiseres, så personen ikke længere kan identificeres direkte eller indirekte med rimelige midler, er de ikke længere personoplysninger. Pseudonymisering er noget andet; hvis oplysningerne kan kobles tilbage ved hjælp af en nøgle eller andre data, er de stadig personoplysninger.

En teknisk slettefunktion skal testes. Nogle systemer skjuler blot en bruger i grænsefladen, mens data fortsat ligger i databasen. Andre flytter poster til en papirkurv, hvor de først slettes senere. Når virksomheden siger, at data er slettet, bør den forstå, hvad systemet faktisk gør.

Den bedste løsning er derfor en kombination af klare formål, begrænsede datamængder, dokumenterede frister og tekniske systemer, der gør sletning mulig. Det er langt lettere end at forsøge at rekonstruere hele dataflowet, når den første sletteanmodning allerede ligger i indbakken.