Hvordan demonstrere samsvar med GDPR artikkel 11

GDPR Artikkel 11 omhandler dataminimeringsprinsipper, som i stor grad begrenser hvordan data behandles knyttet til kun det som anses nødvendig.

Behandlingsansvarlige bør slette eller skjule referanser til den registrerte i det øyeblikket dataene ikke lenger er nødvendige. Når dette skjer, må behandlingsansvarlige også innhente ytterligere informasjon om den registrerte for å forbli i samsvar.

Hvis subjekter ønsker å bli identifisert på nytt, bør kontrollørene ta dette om bord og formulere skritt for å håndtere forespørselen.

Det er viktig å merke seg at hvis subjektet ikke er identifisert, gjelder artikkel 11 delvis, men hvis den registrerte ber om re-identifikasjon, må den behandlingsansvarlige forsøke dette (med mindre dette viser seg å være umulig ved bevisbyrde).

GDPR artikkel 11 juridisk tekst

EU GDPR-versjon

Behandling som ikke krever identifikasjon

1. Dersom formålene som en behandlingsansvarlig behandler personopplysninger for ikke krever eller ikke lenger krever identifikasjon av en registrert av den behandlingsansvarlige, skal den behandlingsansvarlige ikke være forpliktet til å opprettholde, innhente eller behandle tilleggsopplysninger for å identifisere den registrerte for eneste formålet med å overholde denne forordningen.
2. Dersom den behandlingsansvarlige, i tilfeller nevnt i nr. 1 i denne artikkel, er i stand til å vise at den ikke er i stand til å identifisere den registrerte, skal den behandlingsansvarlige informere den registrerte om dette, hvis mulig. I slike tilfeller skal artiklene 15 til 20 ikke gjelde, med mindre den registrerte, for å utøve sine rettigheter i henhold til disse artiklene, gir tilleggsinformasjon som muliggjør identifisering.

UK GDPR-versjon

Behandling som ikke krever identifikasjon

1. Dersom formålene som en behandlingsansvarlig behandler personopplysninger for ikke krever eller ikke lenger krever identifikasjon av en registrert av den behandlingsansvarlige, skal den behandlingsansvarlige ikke være forpliktet til å opprettholde, innhente eller behandle tilleggsopplysninger for å identifisere den registrerte for eneste formålet med å overholde denne forordningen.
2. Dersom den behandlingsansvarlige, i tilfeller nevnt i nr. 1 i denne artikkel, er i stand til å vise at den ikke er i stand til å identifisere den registrerte, skal den behandlingsansvarlige informere den registrerte om dette, hvis mulig. I slike tilfeller skal artiklene 15 til 20 ikke gjelde, med mindre den registrerte, for å utøve sine rettigheter i henhold til disse artiklene, gir tilleggsinformasjon som muliggjør identifisering.