Rett til innsyn
Rett til innsyn gir den registrerte mulighet til å få bekreftet om en virksomhet behandler personopplysninger, og i så fall få innsyn i opplysningene og hvordan de brukes. For virksomheten er dette en praktisk test på om personvernarbeidet faktisk er dokumentert, søkbart og forståelig.
Hva må virksomheten kunne svare på?
Et innsynskrav kan omfatte hvilke personopplysninger dere har, hvorfor de behandles, hvor opplysningene kommer fra, hvem de deles med og hvor lenge de lagres. Derfor henger retten tett sammen med både personvernerklæringen, oversikten over behandlingsaktivitetene og vurderingen av lovlig grunnlag for behandling.
Hva betyr dette i praksis?
Virksomheten bør ha en enkel kanal for forespørsler, rutiner for identitetskontroll og en arbeidsflyt som gjør det mulig å hente frem opplysninger uten å røpe data om andre. Dersom innsynet avdekker feil eller utdatert informasjon, kan henvendelsen raskt henge sammen med både rett til korrigering og rett til sletting.
Frister og dokumentasjon
Som hovedregel skal virksomheten svare uten ugrunnet opphold og normalt innen én måned. Det bør også dokumenteres når kravet kom inn, hva som ble vurdert og hva som ble sendt ut. Gode rutiner gjør det lettere å svare riktig og likt hver gang.
Vanlige feil
- å svare for generelt i stedet for å gi konkret innsyn
- å glemme logger, metadata eller historikk som også kan være personopplysninger
- å bruke lang tid fordi ansvar, systemer eller datakilder er uklare
God håndtering av innsynskrav styrker tilliten og gjør det enklere å følge opp andre rettigheter senere.