Hvordan demonstrere samsvar med GDPR artikkel 18

GDPR Artikkel 18 omhandler en registrerts mulighet til å be om blokkering av data der behandlingsaktiviteter har blitt ansett som ulovlige.

I henhold til GDPR-loven kan registrerte begrense mengden behandling som utføres på dataene deres.

Hvis en person ber en behandlingsansvarlig om å begrense deres behandlingsaktiviteter, har organisasjoner bare da lov til å lagre nevnte data, og kan ikke dele dem med tredjeparter eller behandle dem på annen måte uten den registrertes uttrykkelige samtykke.

GDPR artikkel 18 juridisk tekst

EU GDPR-versjon

Rett til begrensning av behandling

1. Den registrerte skal ha rett til å få behandlingsbegrensning fra behandlingsansvarlig der ett av følgende gjelder:
• nøyaktigheten av personopplysningene bestrides av den registrerte, i en periode som gjør det mulig for behandlingsansvarlig å verifisere nøyaktigheten til personopplysningene;
• behandlingen er ulovlig og den registrerte motsetter seg sletting av personopplysningene og ber om begrensning av bruken av dem i stedet;
• behandlingsansvarlig trenger ikke lenger personopplysningene for formålet med behandlingen, men de kreves av den registrerte for å etablere, utøve eller forsvare rettskrav;
• den registrerte har protestert mot behandling i henhold til artikkel 21 nr. 1 i påvente av verifiseringen av om den behandlingsansvarliges legitime grunner overstiger den registrerte.
2. Når behandlingen er begrenset etter nr. 1, skal slike personopplysninger, med unntak av lagring, kun behandles med den registrertes samtykke eller for å etablere, utøve eller forsvare rettskrav eller for å beskytte rettighetene til en annen naturlig eller juridisk person eller av hensyn til viktige allmenne interesser.
3. En registrert som har fått behandlingsbegrensning etter nr. 1, skal informeres av den behandlingsansvarlige før begrensningen av behandlingen oppheves.

UK GDPR-versjon

Rett til begrensning av behandling

1. Den registrerte skal ha rett til å få behandlingsbegrensning fra behandlingsansvarlig der ett av følgende gjelder:
• nøyaktigheten av personopplysningene bestrides av den registrerte, i en periode som gjør det mulig for behandlingsansvarlig å verifisere nøyaktigheten til personopplysningene;
• behandlingen er ulovlig og den registrerte motsetter seg sletting av personopplysningene og ber om begrensning av bruken av dem i stedet;
• behandlingsansvarlig trenger ikke lenger personopplysningene for formålet med behandlingen, men de kreves av den registrerte for å etablere, utøve eller forsvare rettskrav;
• den registrerte har protestert mot behandling i henhold til artikkel 21 nr. 1 i påvente av verifiseringen av om den behandlingsansvarliges legitime grunner overstiger den registrerte.
2. Når behandlingen er begrenset etter nr. 1, skal slike personopplysninger, med unntak av lagring, kun behandles med den registrertes samtykke eller for å etablere, utøve eller forsvare rettskrav eller for å beskytte rettighetene til en annen naturlig eller juridisk person eller av hensyn til viktige allmenne interesser i Unionen eller en medlemsstat.
3. En registrert som har fått behandlingsbegrensning etter nr. 1, skal informeres av den behandlingsansvarlige før begrensningen av behandlingen oppheves.

Teknisk kommentar

Registrerte har fire juridiske grunnlag for å fremsette en forespørsel som begrenser behandlingen av dataene deres:

1. nøyaktigheten av dataene;
2. ulovlige/ulovlige behandlingsaktiviteter;
3. til støtte for juridiske krav;
4. offisielle innvendinger (i tråd med artikkel 21 GDPR).

Organisasjoner kan falle tilbake på en rekke forhold som gjør at de kan fortsette å behandle dataene på samme måte, selv om det er mottatt en forespørsel om å begrense slike operasjoner:

• den registrerte har gitt samtykke til andre behandlingsaktiviteter;
• til støtte for et rettskrav eller rettssak;
• beskyttelse av individuelle rettigheter og friheter til en annen person;
• der det er en viktig offentlig interesse.