Sådan demonstrerer du overholdelse af GDPR artikel 15

Forståelse af GDPR Artikel 15: Dine rettigheder til at få adgang til personlige data

Artikel 15 omhandler en organisations forpligtelse til at give konsekvente, pålidelige og nøjagtige oplysninger vedrørende deres aktiviteter som dataansvarlig.

De oplysninger, som organisationen giver til registrerede, giver enkeltpersoner mulighed for at øge deres bevidsthed om, hvordan deres data bliver brugt, kontrollere, hvordan deres data behandles og deles, og sikre, at deres data bliver behandlet lovligt.

GDPR Artikel 15 Lovtekst

UK GDPR-version

Den registreredes ret til indsigt

1. Den registrerede har ret til fra den dataansvarlige at få bekræftelse på, hvorvidt der behandles personoplysninger om vedkommende, og i givet fald adgang til personoplysningerne og følgende oplysninger:
• Formålet med behandlingen
• de pågældende personoplysninger
• de modtagere eller kategorier af modtagere, som personoplysningerne er blevet eller vil blive videregivet til, især modtagere i tredjelande eller internationale organisationer
• hvor det er muligt, den planlagte periode, for hvilken personoplysningerne vil blive lagret eller, hvis det ikke er muligt, de kriterier, der er anvendt til at fastsætte denne periode
• eksistensen af ​​retten til at anmode den dataansvarlige om berigtigelse eller sletning af personoplysninger eller begrænsning af behandlingen af ​​personoplysninger vedrørende den registrerede eller til at gøre indsigelse mod en sådan behandling;
• retten til at indgive en klage til kommissæren;
• hvor personoplysningerne ikke indsamles fra den registrerede
• eksistensen af ​​automatiseret beslutningstagning, herunder profilering, som omhandlet i artikel 22, stk. 1 og 4, og i det mindste i disse tilfælde meningsfuld information om den involverede logik samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede.
2. Hvis personoplysninger overføres til et tredjeland eller til en international organisation, har den registrerede ret til at blive informeret om passende sikkerhedsforanstaltninger i henhold til artikel 46 vedrørende overførslen.
3. Den dataansvarlige skal udlevere en kopi af de personoplysninger, der behandles. For yderligere kopier, som den registrerede anmoder om, kan den dataansvarlige opkræve et rimeligt gebyr baseret på administrative omkostninger. Hvis den registrerede fremsætter anmodningen elektronisk, og medmindre den registrerede anmoder om andet, skal oplysningerne gives i en almindeligt anvendt elektronisk form.
4. Retten til at få en kopi som omhandlet i stk. 3 berører ikke andres rettigheder og friheder.

EU GDPR-version

Den registreredes ret til indsigt

1. Den registrerede har ret til fra den dataansvarlige at få bekræftelse på, hvorvidt der behandles personoplysninger om vedkommende, og i givet fald adgang til personoplysningerne og følgende oplysninger:
• Formålet med behandlingen
• de pågældende personoplysninger
• de modtagere eller kategorier af modtagere, som personoplysningerne er blevet eller vil blive videregivet til, især modtagere i tredjelande eller internationale organisationer
• hvor det er muligt, den planlagte periode, for hvilken personoplysningerne vil blive lagret eller, hvis det ikke er muligt, de kriterier, der er anvendt til at fastsætte denne periode
• eksistensen af ​​retten til at anmode den dataansvarlige om berigtigelse eller sletning af personoplysninger eller begrænsning af behandlingen af ​​personoplysninger vedrørende den registrerede eller til at gøre indsigelse mod en sådan behandling;
• retten til at indgive en klage til en tilsynsmyndighed;
• hvor personoplysningerne ikke indsamles fra den registrerede
• eksistensen af ​​automatiseret beslutningstagning, herunder profilering, som omhandlet i artikel 22, stk. 1 og 4, og i det mindste i disse tilfælde meningsfuld information om den involverede logik samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede.
2. Hvis personoplysninger overføres til et tredjeland eller til en international organisation, har den registrerede ret til at blive informeret om passende sikkerhedsforanstaltninger i henhold til artikel 46 vedrørende overførslen.
3. Den dataansvarlige skal udlevere en kopi af de personoplysninger, der behandles. For yderligere kopier, som den registrerede anmoder om, kan den dataansvarlige opkræve et rimeligt gebyr baseret på administrative omkostninger. Hvis den registrerede fremsætter anmodningen elektronisk, og medmindre den registrerede anmoder om andet, skal oplysningerne gives i en almindeligt anvendt elektronisk form.
4. Retten til at få en kopi som omhandlet i stk. 3 berører ikke andres rettigheder og friheder.

Teknisk kommentar

Artikel 15 indeholder tre grundlæggende rettigheder, som den registrerede har:

1. retten til indsigt (herunder retten til at modtage bekræftelse på behandlingen og yderligere information om behandlingen);
2. retten til at modtage information om sikkerhedsforanstaltninger;
3. retten til at modtage en kopi af personoplysningerne;

Artikel 15 skitserer også nogle begrænsninger for retten til adgang (se ovenfor). Hvor en sådan adgang krænker andres rettigheder og friheder, er organisationer i stand til at afslå anmodninger om kopier af data.

Når sådanne anmodninger anses for at være overdrevne eller åbenlyst ubegrundede, er organisationer også i stand til at opkræve et "rimeligt gebyr" for at bekæmpe den gentagne karakter af anmodninger om oplysninger.

ISO 27701 paragraf 7.3.2 og EU GDPR artikel 15

I dette afsnit taler vi om GDPR artikel 15(1)(a), 15(1)(b), 15(1)(c), 15(1)(d), 15(1)(e), 15( 1)(f), 15(1)(g), 15(1)(h) og 15(2)

Organisationer bør skitsere et detaljeret sæt krav, der styrer, hvordan og hvornår oplysninger skal gives til PII-princippere.

Som eksempler kan nævnes:

• det underliggende formål med de data, der indsamles og behandles;
• Kontaktoplysninger;
• hvordan og hvor PII blev opnået;
• kontraktlige og/eller lovbestemte krav;
• hvordan samtykke kan fjernes;
• PII-overførsler;
• hvordan man logger en klage;
• hvordan organisationen træffer beslutninger om behandlingen af ​​PII;
• opbevaringsperioder for oplysninger.

ISO 27701 paragraf 7.3.8 og EU GDPR artikel 15 (3) & (4)

Organisationer skal levere kopier af PII-data i et brugervenligt, let tilgængeligt format.

Organisationer bør sikre, at alle oplysninger, der gives, vedrører Alene til PII-rektor, der anmodede om det i første omgang.

Hvis PII er blevet afidentificeret, bør der ikke gøres forsøg på at genidentificere, medmindre organisationen er juridisk forpligtet til at gøre det.

Organisationer bør også undersøge metoder til at overføre PII direkte til en anden organisation, hvis du bliver bedt om det.

ISO 27701 paragraf 7.3.9 og EU GDPR artikel 15

I dette afsnit taler vi om GDPR artikel 15(1)(a), 15(1)(b), 15(1)(c), 15(1)(d), 15(1)(e), 15( 1)(f), 15 (1)(g), 15 (1)(h)

Anmodninger kan omfatte en kopi af PII eller registreringen af ​​en klage og skal udfyldes inden for en rimelig svartid.

Organisationer kan også opkræve et ekspeditionsgebyr, men dette er normalt begrænset til overdrevne eller gentagne anmodninger og afhænger af den jurisdiktion, som organisationen opererer inden for.

ISO 27701 paragraf 7.4.5 og EU GDPR artikel 15 (2)

Organisationer skal enten ødelægge enhver PII, der ikke længere opfylder et formål, eller ændre den på en måde, der forhindrer enhver form for principiel identifikation.

ISO 27701 paragraf 7.5.1 og EU GDPR artikel 15 (2)

Der kan opstå behov for at overføre PII mellem to adskilte jurisdiktioner. Når dette sker, bør organisationer begrunde og dokumentere behovet for at gøre det.

Organisationer bør tage alle relevante love, rammer og regler i betragtning, når de har behov for at overføre data mellem jurisdiktioner. Organisationer bør også dokumentere brugen af ​​en udpeget tilsynsmyndighed, hvor det er relevant.

ISO 27701 paragraf 8.3.1 og EU GDPR artikel 15 (3)

Organisationer skal sikre tilstrækkelige midler til at opfylde deres forpligtelser på tværs af tre nøgleområder:

• lovgivning;
• regulering;
• kontrakter.

Indeks over linkede EU GDPR-artikler og ISO 27701-klausuler

Hvordan ISMS.online hjælper

ISMS.online leverer et miljø, der er præbygget til dig til at beskrive og demonstrere din tilgang til beskyttelse af dine europæiske og britiske kundedata, som passer problemfrit ind i dit administrationssystem.

GDPR betragtes generelt som den skrappeste privatlivs- og sikkerhedsregulering i verden, med brud, der resulterer i betydelige bøder. Det kan være tvetydigt og åbent for fortolkning, hvilket tyder på, at organisationer skal give et "rimeligt" niveau af beskyttelse af personoplysninger.

ISMS.online gør det nemt for dig at springe direkte ind i din rejse til GDPR-overholdelse og nemt at demonstrere et beskyttelsesniveau, der går ud over 'rimeligt', alt sammen på ét sikkert sted.

Find ud af, hvordan ISMS.online kan hjælpe dig med at demonstrere overholdelse af GDPR ved booking af en praktisk demo.