IMY rapporterar iakttagelser om rätten till radering till EDPB

IMY har ställt frågor till 20 större verksamheter i Sverige som rör hur verksamheterna hanterar rätten till radering, alltså då enskilda personer vill få sina personuppgifter raderade hos verksamheten ifråga. De verksamheter som IMY ställt frågor till är verksamheter som hanterar stora mängder personuppgifter, som exempelvis Försäkringskassan, Skatteverket, Apoteket AB, Klarna Bank AB och Hennes & Mauritz AB.

IMY:s undersökning är en del av en samordnad åtgärd som initierats av den Europeiska dataskyddsstyrelsen, EDPB. Syftet är att undersöka hur rätten till radering genomförts i verksamheter och att skapa förutsättningar för att ge vägledning om denna rättighet. Totalt deltar 32 europeiska dataskyddsmyndigheter i åtgärden.

De frågor som IMY ställt till verksamheterna har tagits fram EU-gemensamt och rör bland annat arbetsprocessen för att hantera begäranden, hur verksamheten kommunicerar med enskilda och vilka juridiska, tekniska och/eller organisatoriska utmaningar som de anser finns.

När det gäller de 20 tillfrågade svenska verksamheterna konstaterar IMY att verksamheterna, trots att de hanterar stora mängder personuppgifter, har tagit emot få begäranden från enskilda som vill få sina uppgifter raderade.

Bland de preliminära iakttagelser om problem och utmaningar som IMY har identifierat finns bland annat:

• Avsaknad av eller bristfälliga interna rutiner och processer
• Osäkerhet kring radering i säkerhetskopior
• Svårigheter att verifiera identiteten på den som vill få sin uppgifter raderade

Från verksamheternas svar har IMY identifierat exempel på bästa praxis, som exempelvis att verksamheter bör:

• Skapa tydliga och uppdaterade rutiner, styrdokument och checklistor som specificerar vem som gör vad, hur bedömningen går till och vilka kriterier som gäller för radering
• Erbjuda flera kanaler för att lämna in en begäran om radering, till exempel e-post, telefon, webbformulär eller fysiska besök
• Kontrollera den enskildes identitet endast vid rimlig osäkerhet
• Alltid ge en tydlig motivering med hänvisning till relevanta bestämmelser vid ett avslag på en begäran

IMY rapporterar nu sina iakttagelser till EDPB. Under hösten och vintern kommer EDPB, tillsammans med IMY och övriga deltagande dataskyddsmyndigheter, sammanställa och analysera de iakttagelser som respektive dataskyddsmyndighet lämnat in och redovisa dessa i en rapport.