- Artikkel 17 i GDPR lar en person be om at personopplysningene om dem blir slettet.
- Den gjelder på seks oppregnede grunnlag, og viker for fem oppregnede unntak.
- Artikkel 12 nr. 3 setter fristen for å svare: innen én måned, med mulighet for forlengelse.
Før eller siden skriver noen til supportinnboksen din og ber deg slette alt du har om dem. Forespørselen er kort. Svaret går gjennom hele produktet ditt: kontoen, registreringene den berører, filene den har lastet opp, de som trenger å få vite det. Om det svaret blir enkelt eller smertefullt, avgjøres lenge før e-posten kommer.
Regelen bak forespørselen er artikkel 17 i forordning (EU) 2016/679, personvernforordningen (GDPR). Overskriften er «Right to erasure (‘right to be forgotten’)», retten til sletting («retten til å bli glemt»). Denne veiledningen viser hva artikkelen sier, med enkle ord, med kilden lenket ved hvert juridisk faktum.
Dette er ikke juridisk rådgivning, og den sier deg ikke om produktet ditt oppfyller loven. Den vurderingen er det du og rådgiverne dine som gjør. Vil du se på det bredere spørsmålet om å bygge personvern inn i et produkt fra starten, tar Innebygd personvern, for produktledere for seg artikkel 25. Denne veiledningen holder seg til én rettighet og én forespørsel.
Hva retten er
En person kan be den behandlingsansvarlige om å slette personopplysninger om dem, og på de oppregnede grunnlagene må den behandlingsansvarlige gjøre det. Artikkel 17 nr. 1 gir den registrerte «the right to obtain from the controller the erasure of personal data concerning him or her without undue delay», altså retten til å få personopplysninger om seg selv slettet av den behandlingsansvarlige uten ugrunnet opphold. Den pålegger den behandlingsansvarlige «the obligation to erase personal data without undue delay», plikten til å slette personopplysninger uten ugrunnet opphold, der ett av grunnlagene gjelder.
Den behandlingsansvarlige er den personen eller det organet som alene eller sammen med andre bestemmer hvorfor og hvordan opplysningene behandles (artikkel 4 nr. 7). Hvis folk registrerer seg i produktet ditt og du bestemmer hva det gjør med opplysningene deres, er det som regel deg. Hvis kundene dine bruker produktet ditt for sine egne brukere, fortjener spørsmålet om hvem som er behandlingsansvarlig et svar fra rådgiverne dine før den første forespørselen kommer.
Når en person kan be om det
Retten gjelder der ett av seks grunnlag i artikkel 17 nr. 1 er oppfylt. I artikkelens egen rekkefølge:
- Opplysningene er «no longer necessary in relation to the purposes for which they were collected or otherwise processed», altså ikke lenger nødvendige for formålene de ble samlet inn eller på annen måte behandlet for.
- Personen trekker tilbake samtykket behandlingen bygger på, «and where there is no other legal ground for the processing», og det finnes ikke noe annet rettslig grunnlag for behandlingen.
- Personen protesterer mot behandlingen etter artikkel 21, på de vilkårene den artikkelen setter.
- Opplysningene «have been unlawfully processed», er blitt behandlet ulovlig.
- Opplysningene må slettes for å oppfylle en rettslig forpliktelse i unionsretten eller i en medlemsstats rett som den behandlingsansvarlige er underlagt.
- Opplysningene ble samlet inn i forbindelse med tilbud om informasjonssamfunnstjenester som nevnt i artikkel 8 nr. 1, artikkelen om et barns samtykke.
Det første grunnlaget er det et produkt møter i det stille. En konto som ble avsluttet for mange år siden, en prøveperiode som aldri ble til et kjøp, en eksport noen lastet ned én gang: hver av dem er opplysninger som kan ha overlevd formålet sitt, enten noen skriver inn eller ikke.
Når retten ikke gjelder
Artikkel 17 nr. 3 lister opp fem tilfeller der retten viker, hver «to the extent that processing is necessary», i den grad behandlingen er nødvendig:
- for å utøve retten til ytrings- og informasjonsfrihet;
- for å oppfylle en rettslig forpliktelse, eller for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet;
- av hensyn til allmennhetens interesse på folkehelseområdet;
- for arkivformål i allmennhetens interesse, vitenskapelig eller historisk forskning, eller statistikk, der sletting ville gjøre disse formålene umulige eller i alvorlig grad svekke dem;
- «for the establishment, exercise or defence of legal claims», for å fastsette, gjøre gjeldende eller forsvare rettskrav.
Merk ordene «to the extent», i den grad. Et unntak dekker den delen av opplysningene formålet trenger, ikke hele kontoen som utgangspunkt. Hvilket unntak som gjelder, og hvor langt, er en juridisk vurdering, ikke en produktvurdering. Det produktet kan gjøre, er å gjøre det mulig å beholde én del og fjerne resten.
Hvor raskt personen får svar
Svaret skal gis uten ugrunnet opphold, og senest innen én måned etter mottak. Artikkel 12 nr. 3 sier at den behandlingsansvarlige skal gi informasjon om tiltak som er truffet på grunnlag av forespørselen, «without undue delay and in any event within one month of receipt of the request», uten ugrunnet opphold og i alle tilfeller innen én måned etter at forespørselen er mottatt. Fristen «may be extended by two further months where necessary, taking into account the complexity and number of the requests», kan forlenges med ytterligere to måneder ved behov, ut fra hvor komplekse og hvor mange forespørslene er, og personen må få vite om en forlengelse innen én måned, «together with the reasons for the delay», sammen med grunnene til forsinkelsen.
Hvis den behandlingsansvarlige bestemmer seg for ikke å gjøre noe, sier artikkel 12 nr. 4 at personen likevel skal få vite det innen én måned etter mottak, med grunnene og muligheten til å klage til en tilsynsmyndighet og bringe saken inn for domstolene.
Det er én plikt til som når utenfor dine egne vegger. Etter artikkel 19 underretter den behandlingsansvarlige hver mottaker opplysningene er utlevert til om slettingen, «unless this proves impossible or involves disproportionate effort», med mindre det viser seg umulig eller krever en uforholdsmessig innsats, og forteller personen om disse mottakerne hvis de ber om det.
Tre produktspørsmål
Ingenting av dette krever at en jurist sitter med på designgjennomgangen din. Det krever at tre spørsmål besvares én gang, før neste forespørsel kommer.
Hvor ligger opplysningene? Lag en enkel liste over hvert sted en persons opplysninger havner: kontoen, registreringene som hører til den, opplastede filer, logger, eksporter og de eksterne tjenestene du sender opplysninger til. En forespørsel er bare så enkel som listen er fullstendig.
Hvem svarer på forespørselen? Sett navn på personen eller rollen som tar imot den, avgjør om et grunnlag eller et unntak gjelder, og gjennomfører den. En forespørsel som havner i en felles innboks uten eier, er den som bommer på måneden.
Hva får personen høre? Skriv svarene før du trenger dem: at opplysningene er slettet, at en del av dem beholdes og hvorfor, at det trengs mer tid og hvorfor, eller at ingenting gjøres og hvor de kan klage. Artikkel 12 nr. 3 sier også at en forespørsel som sendes elektronisk, besvares elektronisk der det er mulig, med mindre personen ber om noe annet.
Svar på de tre én gang, så blir neste forespørsel en rutineoppgave i stedet for et kappløp. Du kan løfte blikket fra innboksen og tilbake til produktet.
Der vi kommer inn
Vi gir ikke råd om GDPR, og vi lover ingenting om hvorvidt produktet ditt oppfyller artikkel 17. Den vurderingen er det du og rådgiverne dine som gjør.
Det vi kan gjøre, er å bygge endringene i produktet ditt som du bestemmer deg for. Arbeidet havner i ditt eget kodelager. Koden vi bygger for deg, er din. Du bestemmer hva som leveres. Ingenting når brukerne dine uten din godkjenning.
Det starter med en samtale, helt uforpliktende.
