Vad är rätten att göra invändningar?
Enligt dataskyddsförordningen finns det sex rättsliga grunder för att behandla dina uppgifter. Till exempel ditt samtycke, ett avtal (t.ex. din adress används för att leverera varor som du har beställt) eller ett lagstadgat krav (t.ex. skyldighet att bevara register enligt skattelagstiftningen). Din rätt att invända beror på vilken rättslig grund ett företag väljer. Om dina uppgifter t.ex. behandlas med stöd av samtycke behöver du inte invända mot behandlingen, utan du kan bara återkalla ditt samtycke (se ovan).
Om du är osäker på om företaget har bett dig om samtycke bör du kunna hitta rätt rättslig grund i integritetspolicyn. Om det inte finns något sätt att ta reda på det kan du ändå utöva din rätt att återkalla ditt samtycke - i värsta fall blir det nekat.
Enligt artikel 21 i GDPRhar du rätt att göra invändningar när behandlingen av dina uppgifter grundar sig på ett berättigat intresse eller när dina uppgifter behandlas för att tillgodose ett allmänintresse. Ett berättigat intresse är ett företags intresse som väger tyngre än en användares rätt. Det kan t.ex. handla om användning av uppgifter av legitima säkerhetsskäl. I grund och botten är detta en avvägning mellan dina rättigheter och ett företags intressen.
Det är bara när uppgifter används för så kallad "direktmarknadsföring" som det finns en tydlig rätt att göra invändningar. Begreppet "direktmarknadsföring" är egentligen ganska snävt, men många företag hävdar att all slags reklam faller under det.
Du har rätt att göra invändningar i följande fall:
- Du har en absolut rätt att invända om dina uppgifter används för direktmarknadsföring.
- I alla andra fall måste du visa att din särskilda situation motiverar att företaget stoppar behandlingen. Företaget måste då visa att dess rättigheter fortfarande väger tyngre än dina.
Din begäran om att göra invändningar kan avslås om:
- Lagen i ditt land föreskriver undantag (oftast) inom området för brottsbekämpning och polis, nationell säkerhet eller beskattning.
- Begäran är orimlig (t.ex. flera liknande begäranden i samma ärende) eller uppenbart ogrundad (t.ex. med avsikt att orsaka störningar).
- De kan bevisa att de har "tvingande berättigade skäl".
- Behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk.
- Dina uppgifter används för forskningsändamål. Företaget kan avslå din begäran och fortsätta med behandlingen om den anses nödvändig av hänsyn till allmänintresset.
Hur kan jag utöva min rätt att göra invändningar?
- Du kan bara skicka ett informellt meddelande till företaget eller använda en mall
- Ange tydligt om du invänder mot direktmarknadsföring eller någon annan behandling.
- Om du inte bara invänder mot direktmarknadsföring ska du förklara den specifika situation som du anser bör ändra deras avvägningstest till din fördel.
- Du bör begära att eventuella mottagare av uppgifterna också ska upphöra med den fortsatta behandlingen och att företaget informerar dem om detta.
Vilka är konsekvenserna av att invända?
- Om företaget inte avvisar din begäran måste det upphöra med behandlingen av dina uppgifter (vilket vanligtvis innebär att de raderas) så snart du har gjort en invändning.
- Rätten att göra invändningar är inte retroaktiv, vilket innebär att åtgärder som vidtogs innan du gjorde invändningar inte blir olagliga (t.ex. en marknadsföringskampanj som genomfördes innan du gjorde invändningar).
- Företaget får inte längre behandla dina uppgifter baserat på denna rättsliga grund, såvida det inte finns någon annan rättslig grund som motiverar fortsatt behandling av uppgifterna (t.ex. ett avtal som du har med företaget eller rättsliga förpliktelser från företagets sida).
Typiska problem
- Det är svårt att veta om ett företag baserar behandlingen på ett berättigat intresse. Dataskyddsförordningen kräver att den rättsliga grunden för varje åtgärd tydligt anges i företagets integritetspolicy.
- Många företag anser att din speciella situation inte ändrar deras bedömning.
- Företagen vet ofta inte hur de ska reagera på förfrågningar och avvisar dem därför.
- Företaget svarar inte inom utsatt tid.
Det är enkelt att utöva sina rättigheter enligt GDPR och ett informellt mejl räcker i de flesta fall. Men det finns ändå några saker att tänka på. Klicka här om du är intresserad av användbara tips!