Besvara begäran om registerutdrag och radering för alla dina formulär
Förr eller senare kommer någon att skriva: ”Vilken data har ni om mig?” eller ”Ta bort allt.” För formulärdata är själva begäran enkel. Arbetet ligger i att hitta alla inskick som nämner personen, i alla formulär du kör, och att kunna visa efteråt vad du gjorde.
En praktisk guide, inte juridisk rådgivning. Vid beslut om din egen behandling av personuppgifter, kontakta ditt dataskyddsombud eller en jurist.
Vad personer kan begära
Kapitel III i GDPR ger de personer som fyller i dina formulär en rad rättigheter. De två du kommer att stöta på oftast:
- Registerutdrag (artikel 15). Bekräftelse på om du har deras uppgifter, en kopia av dem samt information om bland annat syftena, mottagarna och hur länge du sparar uppgifterna.
- Radering (artikel 17). Radering när uppgifterna bland annat inte längre behövs, samtycket återkallas, eller när personen invänder och det inte finns något tvingande skäl att spara dem. Artikel 17.3 anger undantag, till exempel uppgifter du måste spara för att uppfylla en rättslig förpliktelse.
Personer kan också begära rättelse (artikel 16) eller begränsning (artikel 18), få en överförbar kopia av de uppgifter de själva lämnat när behandlingen grundar sig på samtycke eller avtal (artikel 20), och invända mot behandling som grundar sig på berättigat intresse (artikel 21), som du då bara får fortsätta med av tvingande berättigade skäl.
Tidsfrister och identitetskontroller
Artikel 12.3 anger tidsfristen: svara utan onödigt dröjsmål och inom en månad från mottagandet. Fristen kan förlängas med ytterligare två månader för komplexa eller omfattande begäranden, om du informerar personen inom den första månaden. Svaret är normalt kostnadsfritt (artikel 12.5).
Om du har rimliga skäl att tvivla på vem som begär uppgifterna får du be om information som bekräftar identiteten (artikel 12.6). För formulärdata är en proportionerlig kontroll ofta ett svar från e-postadressen som finns i inskicken. Undvik att begära mer data, till exempel en skanning av id-handling, än begäran motiverar. Europeiska dataskyddsstyrelsens riktlinjer 01/2022 om rätten till tillgång behandlar identitetskontroller och omfattningen av en kopia i detalj.
Vem gör vad
Du är personuppgiftsansvarig, så det är du som ska besvara begäran. Formward är ditt personuppgiftsbiträde och hjälper dig enligt artikel 28.3 e och avsnitt 8 i DPA:n med verktyg, i stället för att svara på dina vägnar. En begäran som kommer direkt till Formward skickas vidare till dig.
Så fungerar Formwards DSAR-konsol
DSAR-konsolen finns i kontrollpanelen under Begäranden från registrerade och ingår från Personal-planen. Den arbetar med e-postadresser.
- Sök. Ange personens e-postadress. Konsolen går igenom alla formulär i de arbetsytor du är med i och hittar inskick där adressen förekommer var som helst i innehållet, inklusive fritextfält och tidigare versioner av redigerade svar. Resultaten grupperas per formulär och visar datum, en förhandsvisning och namnen på bifogade filer. Verifieringar av mottagare för notiser och godkännanden av DPA kopplade till adressen visas också.
- Exportera. Ladda ned resultatet som JSON. Där listas varje matchande inskick med formulär, datum och en förhandsvisning av innehållet. För långa inskick eller bifogade filer öppnar du inskicket i kontrollpanelen för att ge personen en komplett kopia.
- Radera. Efter en bekräftelse raderar Formward alla matchande inskick i dina formulär, tillsammans med bifogade filer, svarshistorik och leveranshistorik för webhooks, samt matchande mottagarverifieringar. Du får ett raderingsintyg som JSON-fil med en hash av e-postadressen, antalet raderade poster, berörda formulär och tidpunkten.
- Historik. Varje sökning och radering loggas i begäranshistoriken, och raderingar dessutom i arbetsytans granskningslogg. Personen identifieras där med en envägshash, aldrig med sin e-postadress.
En sak att kontrollera innan du raderar: sökningen matchar adressen som text, så anna@example.com matchar även joanna@example.com. Läs igenom resultaten per formulär först. Och om ett formulär aldrig frågade efter en e-postadress, sök i inskicken efter namnet eller telefonnumret i stället.
En kort checklista
- Logga datumet då begäran kom in, eftersom månaden börjar då.
- Bekräfta identiteten proportionerligt, oftast genom att svara på adressen som finns registrerad.
- Sök i DSAR-konsolen och sedan på de platser den inte kan se: notisinkorgar, kalkylblad, CRM-system som matas via webhooks och exporterade filer.
- Vid registerutdrag skickar du kopian tillsammans med informationen enligt artikel 15: syften, mottagare, lagringstid och personens övriga rättigheter.
- Vid radering kontrollerar du om något undantag i artikel 17.3 gäller, raderar och sparar intyget.
- Svara inom månaden, eller motivera förlängningen inom den.
En kort lagringstid gör vart och ett av dessa steg mindre. Både mallen för kontaktformulär och guiden för kontaktformulär samlar in en e-postadress, och det är just den som konsolen söker på.
Frågor
- Hur lång tid har jag på mig att besvara en begäran från en registrerad?
- Utan onödigt dröjsmål och senast inom en månad från mottagandet (artikel 12(3)). För komplexa eller omfattande begäran kan du förlänga med ytterligare två månader, men du måste informera personen inom den första månaden och förklara varför.
- Kan jag ta betalt för att svara?
- Normalt inte. Artikel 12(5) gör svaret kostnadsfritt. Endast för begäran som är uppenbart ogrundade eller överdrivna kan du ta ut en rimlig avgift eller vägra, och du bär bevisbördan för det.
- Kommer Formward att besvara begäran från personer som fyllt i mina formulär?
- Nej. Du är personuppgiftsansvarig och personens begäran riktas till dig. Om någon kontaktar Formward om uppgifter i dina formulär hänvisar vi dem till dig, enligt punkt 8 i personuppgiftsbiträdesavtalet (DPA). Vår del är att ge dig verktygen för att svara.
- Vilka paket inkluderar DSAR-konsolen?
- Personal-paketet och uppåt. En medlem i en arbetsyta vars ägare har ett av dessa paket kan använda konsolen för den arbetsytan, även med ett eget Free-konto.
En sökning över alla formulär
DSAR-konsolen ingår från Personal-paketet. Sök på e-post, exportera resultatet och radera med intyg.