En måned, og den starter i dag.

Retten til indsigt i artikel 15 giver enhver ret til at få bekræftet, om I behandler oplysninger om dem, og i så fald at få en kopi af oplysningerne og en række forklaringer: formålet, kategorierne af oplysninger, hvem de er videregivet til, hvor længe de gemmes, hvor de kommer fra, om der træffes automatiske afgørelser, og hvilke rettigheder personen i øvrigt har.

Det er to ting: kopien og forklaringen. Mange sender kun den ene. Kopien uden forklaring efterlader personen med et regneark, vedkommende ikke kan læse. Forklaringen uden kopi er ikke indsigt. Begge dele skal med, og forklaringen kan i vid udstrækning genbruges fra privatlivspolitikken, hvis den er retvisende.

Anmodningen behøver ikke ordet "indsigt", en formular eller en bestemt kanal. "Hvad har I egentlig om mig?" i en mail til kundeservice er en anmodning, og fristen løber fra den dag.

I skal svare uden unødig forsinkelse og senest en måned efter, at I har modtaget anmodningen. Er anmodningen kompleks, eller har I modtaget mange, kan fristen forlænges med yderligere to måneder. Men forlængelsen kræver, at I inden for den første måned giver personen besked om forlængelsen og begrundelsen. Glemmer I det, er fristen overskredet, uanset hvor kompleks sagen var.

Fristen løber fra modtagelsen, ikke fra I opdagede mailen i den fælles indbakke. Det er derfor, alle medarbejdere skal vide, hvor en anmodning skal sendes hen, samme dag den kommer.

Svaret skal være gratis. Kun ved åbenlyst grundløse eller overdrevne anmodninger, fx den samme anmodning igen og igen, kan I opkræve et rimeligt gebyr eller afvise, og så er det jer, der skal bevise, at den var grundløs.

Artikel 12, stk. 3: uden unødig forsinkelse, senest en måned.

• Andres oplysningerIndsigten må ikke krænke andres rettigheder. Et mødereferat, hvor kollegaer omtales, skal have de andres oplysninger fjernet, før det udleveres. Ikke hele dokumentet tilbageholdt, kun de andres del.
• ForretningshemmelighederRetten omfatter personoplysningerne, ikke jeres interne vurderinger af forretningen. En kreditvurdering af personen skal udleveres. Jeres prisberegningsmodel skal ikke.
• Dokumenter som sådanRetten er til oplysningerne, ikke nødvendigvis til de dokumenter, de står i. I kan udlevere et uddrag, så længe det er fuldstændigt og forståeligt. Men det er ofte lettere at udlevere dokumentet med overstregninger.
• Det, I ikke harHvis oplysningerne er slettet efter jeres sletteregler, er svaret, at I ikke længere har dem, og hvorfor. Det er et fuldgyldigt svar, hvis slettereglerne er dokumenterede.

Bemærk, at intern korrespondance om personen som udgangspunkt er omfattet. Mails mellem to ledere om en medarbejders præstation er personoplysninger om medarbejderen. Det overrasker mange, og det er en god grund til at skrive, som om personen læser med.

Presset af fristen vælger nogle at eksportere alt, hvor personens navn forekommer, og sende det. Det er ikke et svar på anmodningen. Det er som regel et brud på persondatasikkerheden, fordi det indeholder oplysninger om andre, og det er ofte ufuldstændigt, fordi søgningen kun fandt navnet, ikke kundenummeret eller initialerne.

Det rigtige svar er struktureret: hvilke systemer, hvilke oplysninger, i et format personen kan læse, med andres oplysninger fjernet. Sendes anmodningen elektronisk, skal svaret som udgangspunkt også være elektronisk, og det skal sendes sikkert. En krypteret fil eller en sikker portal, ikke et vedhæftet regneark i en almindelig mail.

Og husk identiteten. Før I udleverer noget, skal I være rimeligt sikre på, at det er personen selv, der spørger. Ikke ved at kræve pas, men ved at svare til den mail eller den adresse, I allerede har på personen, eller ved at stille et kontrolspørgsmål.

• 1. Modtag og registrérÉn indgang, én ansvarlig, og en note med datoen. Fristen regnes fra den dag.
• 2. BekræftSvar inden for få dage: vi har modtaget anmodningen, vi svarer senest den dato, og vi beder om følgende for at bekræfte din identitet.
• 3. FindBrug fortegnelsen. Den siger, hvilke systemer der kan indeholde oplysninger om den type person. Søg på alle identifikatorer, ikke kun navnet.
• 4. RensFjern andres oplysninger og det, der ikke er personoplysninger. Notér, hvad I har taget ud og hvorfor, i tilfælde af klage.
• 5. SvarKopien, forklaringen og oplysning om retten til at klage til Datatilsynet. Sikkert, og inden fristen. Gem en kopi af, hvad I sendte.

Har I fortegnelsen og slettereglerne på plads, tager trin 3 en formiddag i stedet for en uge. Det er den egentlige grund til, at de to dokumenter betaler sig. Læs også Fortegnelsen: den ene liste, der binder det hele sammen.