Forstå GDPR artikkel 12: Åpenhet og datasubjekts rettigheter
GDPR artikkel 12 fokuserer på hvordan behandlingsansvarlige kommuniserer med registrerte, både når det gjelder hvordan de kommuniserer sine interne prosesser, hvordan de tilrettelegger for informasjonsflyt og hvordan de ivaretar den registrertes rettigheter.
GDPR artikkel 12 juridisk tekst
EU GDPR-versjon
Gjennomsiktig informasjon, kommunikasjon og modaliteter for utøvelse av rettighetene til den registrerte
- Den behandlingsansvarlige skal treffe passende tiltak for å gi all informasjon nevnt i artikkel 13 og 14 og enhver kommunikasjon i henhold til artikkel 15 til 22 og 34 knyttet til behandling til den registrerte i en kortfattet, gjennomsiktig, forståelig og lett tilgjengelig form, ved bruk av klar og tydelig språk, spesielt for all informasjon rettet spesifikt til et barn. Informasjonen skal gis skriftlig eller på annen måte, inkludert, der det er hensiktsmessig, elektronisk. Når den registrerte ber om det, kan opplysningene gis muntlig, forutsatt at identiteten til den registrerte er bevist på annen måte.
- Den behandlingsansvarlige skal legge til rette for utøvelse av den registrertes rettigheter i henhold til artikkel 15 til 22. I tilfellene nevnt i artikkel 11 nr. 2, skal den behandlingsansvarlige ikke nekte å handle på anmodning fra den registrerte om å utøve sine rettigheter i henhold til artiklene 15 til 22, med mindre den behandlingsansvarlige viser at den ikke er i stand til å identifisere den registrerte.
- Den behandlingsansvarlige skal gi informasjon om tiltak som er iverksatt på en forespørsel i henhold til artikkel 15 til 22 til den registrerte uten ugrunnet opphold og under alle omstendigheter innen én måned etter mottak av forespørselen. Denne perioden kan forlenges med ytterligere to måneder der det er nødvendig, under hensyntagen til kompleksiteten og antallet forespørsler. Den behandlingsansvarlige skal informere den registrerte om enhver slik forlengelse innen én måned etter mottak av forespørselen, sammen med årsakene til forsinkelsen. Der den registrerte fremsetter forespørselen på elektronisk form, skal informasjonen gis elektronisk der det er mulig, med mindre den registrerte ber om noe annet.
- Dersom den behandlingsansvarlige ikke iverksetter tiltak etter anmodning fra den registrerte, skal den behandlingsansvarlige informere den registrerte uten opphold og senest innen en måned etter mottak av anmodningen om årsakene til ikke å iverksette tiltak og om muligheten for å inngi en klage til en tilsynsmyndighet og søke rettslig klage.
- Informasjon gitt i henhold til artikkel 13 og 14 og enhver kommunikasjon og alle handlinger utført i henhold til artikkel 15 til 22 og 34 skal gis gratis. Når forespørsler fra en registrert er åpenbart grunnløse eller overdrevne, spesielt på grunn av deres gjentakende karakter, kan den behandlingsansvarlige enten:
- Betale et rimelig gebyr som tar i betraktning de administrative kostnadene ved å gi informasjonen eller kommunikasjonen eller utføre handlingen som kreves; eller
- Nekter å reagere på forespørselen.
- Uten at det berører artikkel 11, kan den behandlingsansvarlige, dersom den behandlingsansvarlige har rimelig tvil om identiteten til den fysiske personen som fremsetter anmodningen nevnt i artikkel 15 til 21, be om å gi ytterligere informasjon som er nødvendig for å bekrefte identiteten til den registrerte.
- Informasjonen som skal gis til registrerte i henhold til artikkel 13 og 14 kan gis i kombinasjon med standardiserte ikoner for på en lett synlig, forståelig og lett lesbar måte å gi en meningsfull oversikt over den tiltenkte behandlingen. Der ikonene presenteres elektronisk, skal de være maskinlesbare.
- Kommisjonen skal gis fullmakt til å vedta delegerte rettsakter i samsvar med artikkel 92 med det formål å bestemme informasjonen som skal presenteres av ikonene og prosedyrene for å tilveiebringe standardiserte ikoner.
Den behandlingsansvarlige skal bære byrden med å vise at anmodningen er åpenbart grunnløs eller overdreven.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
UK GDPR-versjon
- Den behandlingsansvarlige skal treffe passende tiltak for å gi all informasjon nevnt i artikkel 13 og 14 og enhver kommunikasjon i henhold til artikkel 15 til 22 og 34 knyttet til behandling til den registrerte i en kortfattet, gjennomsiktig, forståelig og lett tilgjengelig form, ved bruk av klar og tydelig språk, spesielt for all informasjon rettet spesifikt til et barn. Informasjonen skal gis skriftlig eller på annen måte, inkludert, der det er hensiktsmessig, elektronisk. Når den registrerte ber om det, kan opplysningene gis muntlig, forutsatt at identiteten til den registrerte er bevist på annen måte.
- Den behandlingsansvarlige skal legge til rette for utøvelse av den registrertes rettigheter i henhold til artikkel 15 til 22. I tilfellene nevnt i artikkel 11 nr. 2, skal den behandlingsansvarlige ikke nekte å handle på anmodning fra den registrerte om å utøve sine rettigheter i henhold til artiklene 15 til 22, med mindre den behandlingsansvarlige viser at den ikke er i stand til å identifisere den registrerte.
- Den behandlingsansvarlige skal gi informasjon om tiltak som er iverksatt på en forespørsel i henhold til artikkel 15 til 22 til den registrerte uten ugrunnet opphold og under alle omstendigheter innen én måned etter mottak av forespørselen. Denne perioden kan forlenges med ytterligere to måneder dersom det er nødvendig, under hensyntagen til kompleksiteten og antallet forespørsler. Den behandlingsansvarlige skal informere den registrerte om enhver slik forlengelse innen én måned etter mottak av anmodningen, sammen med årsakene til forsinkelsen . Der den registrerte fremsetter forespørselen på elektronisk form, skal informasjonen gis elektronisk der det er mulig, med mindre den registrerte ber om noe annet.
- Dersom den behandlingsansvarlige ikke iverksetter tiltak etter anmodning fra den registrerte, skal den behandlingsansvarlige informere den registrerte uten opphold og senest innen en måned etter mottak av anmodningen om årsakene til ikke å iverksette tiltak og om muligheten for å inngi en klage til en tilsynsmyndighet kommissæren og søker en rettslig løsning.
- Informasjon gitt i henhold til artikkel 13 og 14 og enhver kommunikasjon og alle handlinger utført i henhold til artikkel 15 til 22 og 34 skal gis gratis. Når forespørsler fra en registrert er åpenbart grunnløse eller overdrevne, spesielt på grunn av deres gjentakende karakter, kan den behandlingsansvarlige enten:
- Betale et rimelig gebyr som tar i betraktning de administrative kostnadene ved å gi informasjonen eller kommunikasjonen eller utføre handlingen som kreves; eller
- Nekter å reagere på forespørselen.
- Uten at det berører artikkel 11, kan den behandlingsansvarlige, dersom den behandlingsansvarlige har rimelig tvil om identiteten til den fysiske personen som fremsetter anmodningen nevnt i artikkel 15 til 21, be om å gi ytterligere informasjon som er nødvendig for å bekrefte identiteten til den registrerte.
- [6A. Kommissæren kan publisere (og endre eller trekke tilbake)
- (a) Standardiserte ikoner for bruk i kombinasjon med informasjon gitt til registrerte under artikkel 13 og 14;
- (b) En melding som sier at andre personer kan publisere (og endre eller trekke tilbake) slike ikoner, forutsatt at ikonene tilfredsstiller kravene spesifisert i kunngjøringen med hensyn til informasjonen som skal presenteres av ikonene og prosedyrene for å gi ikonene.
- 6B. Kommissæren må ikke publisere ikoner eller et varsel i henhold til paragraf 6A med mindre han er overbevist (etter behov) at ikonene gir en meningsfull oversikt over den tiltenkte behandlingen på en lett synlig, forståelig og lett leselig måte, eller at varselet vil resultere i ikoner som gjør det .]
- Hvis standardiserte ikoner publiseres som beskrevet i paragraf 6A (og ikke trekkes tilbake), kan informasjonen som skal gis til registrerte i henhold til artikkel 13 og 14 gis i kombinasjon med ikonene. Der ikonene presenteres elektronisk, skal de være maskinlesbare.
Den behandlingsansvarlige skal bære byrden med å vise at anmodningen er åpenbart grunnløs eller overdreven.
Teknisk kommentar
Kvaliteten på den gitte informasjonen
Informasjon gitt av den behandlingsansvarlige til rektor bør være:
- Konsis.
- Gjennomsiktig.
- Forståelig.
- Lett tilgjengelig.
- Lett forståelig.
- I riktig format.
Tilrettelegging for den registrertes rettigheter
Selv om GDPR ikke inneholder et spesifikt sett med instruksjoner knyttet til hvordan organisasjoner bør tilby "mekanismer for å be om og, hvis aktuelt, skaffe, gratis, spesielt tilgang til og retting eller sletting av personopplysninger og utøvelse av rettighetene å protestere'.
Tidsfrister
Lovverket utelater enhver presis definisjon av hva som anses som et akseptabelt tidspunkt for å svare på forespørsler. Det er i stedet overlatt til organisasjoner å handle så raskt som mulig (eller "uten unødig forsinkelse") innen en måned – utvidet til to måneder for komplekse forespørsler.
Hvis en organisasjon ikke har til hensikt å handle på en forespørsel, bør den registrerte informeres om årsakene innen en måned, sammen med informasjon om hvordan en klage kan sendes inn.
EU GDPR artikkel 12 (2) og ISO 27701 klausul 7.3.1
Fastsettelse og oppfyllelse av forpliktelser overfor Pii-rektorer
Organisasjoner må dokumentere sine forpliktelser overfor PII-rektorer på tvers av tre nøkkelområder:
- Lovlig.
- Regulatorisk.
- Virksomhet.
Organisasjoner bør gi transparent dokumentasjon og et utpekt kontaktpunkt til PII-oppdragsgivere, for å lette den frie flyten av informasjon og ikke på noen måte hindre PII-oppdragsgiveren fra å etablere den behandlingsansvarliges forpliktelser.
Det er viktig å merke seg at for å sikre ensartethet, bør alle oppgitte kontaktmidler gjenspeile måten organisasjonen samler inn PII – for eksempel å oppgi en e-postadresse eller en PoC, hvis data ble samlet inn via e-post, i stedet for å bare be en rektor om å skrive ett brev.
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
EU GDPR artikkel 12 (1) og (7) og ISO 27701 klausul 7.3.3
Gi informasjon til PII-rektorer
Organisasjoner må kunne gi informasjon til PII-oppdragsgivere som identifiserer PII-kontrolløren, og hvordan data behandles.
Organisasjoner bør gjøre sitt ytterste for å sikre at de bruker et tilgjengelig språk som unngår bransjesjargong, og formidler informasjon på en enkel måte som er lett å forstå (se ISO 27702 klausul 7.3.2).
Støtter ISO 27701 klausuler
- ISO 27701
EU GDPR artikkel 12 (3), (4), (5), (6) og ISO 27701 klausul 7.3.9
Forespørsler fra PII-rektorer bør styres av prosesser og kontroller som er allment forstått i hele organisasjonen, og imøtekomme spesifikasjonene til eventuelle lov- eller regulatoriske krav, inkludert tilstrekkelige responstider.
Forespørsler kan omfatte:
- Kopier av data.
- Klager.
- Prosedyremessige avklaringer.
Organisasjoner har lovlig lov til å kreve et håndteringsgebyr, men dette brukes vanligvis bare på gjentatte eller overdrevne forespørsler om data.
Støttekontroller fra ISO 27701
| GDPR-artikkel | ISO 27701 klausul | ISO 27701 Støtteklausuler |
|---|---|---|
| EU GDPR artikkel 12 (2) | ISO 27701 | none |
| EU GDPR artikkel 12 (1), (7) | ISO 27701 | ISO 27701 |
| EU GDPR artikkel 12 (3), (4), (5), (6) | ISO 27701 | none |
Hvordan ISMS.online hjelper
ROPA gjort enkelt
Vi gjør datakartlegging til en enkel oppgave. Det er enkelt å registrere og gjennomgå alt ved å legge til organisasjonens detaljer i vårt forhåndskonfigurerte dynamiske verktøy for registreringer av behandlingsaktivitet.
Vurderingsmaler
Vi tilbyr brukervennlige maler for registrering av personvern og legitime interessevurderinger.
En sikker plass for DRR
Du må vise hvor godt du administrerer forespørsler om datasubjektrettigheter (DRR). Vår sikre DRR-plass holder alt på ett sted, og støtter det med automatisert rapportering og innsikt.
Håndtering av brudd
Hvis det verste skjer, er du klar. Vi gjør det enkelt å planlegge og kommunisere bruddarbeidsflyten din, og dokumentere og lære av hver hendelse.
Finn ut mer ved å bestille en demonstrasjon.
