Dataportabilitet vid byte av affärssystem: vad gäller?

Därför blir dataportabilitet en fråga vid byte av affärssystem

Affärssystem och CRM-system innehåller ofta stora mängder personuppgifter. Personuppgifter är information som direkt eller indirekt kan kopplas till en levande fysisk person, till exempel namn, e-postadress, kundnummer och IP-adresser.

Dataportabilitet enligt GDPR är den enskilda personens rätt gentemot den personuppgiftsansvarige. Den ger inte företaget en generell rätt att få ut allt innehåll i affärssystemet vid ett leverantörsbyte; verksamhetens systemmigration behöver planeras separat.

Rättslig grund avgör om dataportabilitet gäller

Rätten till dataportabilitet regleras i artikel 20 i dataskyddsförordningen. Den gäller personuppgifter som rör den registrerade och som personen själv har tillhandahållit den personuppgiftsansvarige, när behandlingen sker automatiserat och grundar sig på samtycke eller avtal.

Uppgifterna ska lämnas ut i ett strukturerat, allmänt använt och maskinläsbart format. Den registrerade kan också begära att uppgifterna överförs direkt till en annan personuppgiftsansvarig, om det är tekniskt möjligt. Artikel 20 kräver inte att systemen är tekniskt kompatibla.

GDPR har sex rättsliga grunder: samtycke, avtal med den registrerade, rättslig förpliktelse, skydd av grundläggande intresse, myndighetsutövning eller uppgift av allmänt intresse samt intresseavvägning. Utan en rättslig grund är behandlingen inte laglig.

I sin information om behandling av kontaktpersoners uppgifter och supportärenden anger InfoMentor intresseavvägning som rättslig grund. En sådan behandling ger inte rätt till dataportabilitet enligt artikel 20.

Portabilitetsrätten gäller inte behandling som är nödvändig för en uppgift av allmänt intresse eller ett led i myndighetsutövning. Den får inte heller inverka negativt på andra personers rättigheter och friheter.

Rättsliga grund för dataportabilitet enligt GDPR

Avtal eller samtycke – de två grunder som kan ge portabilitet

Avtal med den registrerade innebär att personen har ett avtal, eller ska ingå ett avtal, med den personuppgiftsansvarige. Privata företag kan främst använda samtycke, avtal, rättslig förpliktelse eller intresseavvägning.

Ett giltigt samtycke ska vara frivilligt, specifikt, informerat och otvetydigt. Personen ska ha ett verkligt fritt val, få tillräcklig information om vilka uppgifter som behandlas och varför samt kunna återkalla samtycket utan negativa konsekvenser.

Myndigheter kan främst använda rättslig förpliktelse, uppgift av allmänt intresse eller myndighetsutövning samt avtal. De får inte använda intresseavvägning när de fullgör sina uppgifter, och samtycke är ofta olämpligt eftersom det måste vara frivilligt.

Samtycke är ett undantag – inte en genväg

Samtycke bör övervägas först när ingen annan rättslig grund passar. IMY rekommenderar att ni alltid först prövar om behandlingen kan stödjas på någon av de andra grunderna.

Samtycket måste vara aktivt; en förifylld ruta räcker inte. Det får inte vara ett obligatoriskt avtalsvillkor, och den registrerade ska kunna säga nej utan negativa konsekvenser.

Det ska vara lika lätt att återkalla ett samtycke som att lämna det. Om det är svårt att återkalla är samtycket inte giltigt; om ni inte kan respektera ett nej är samtycke inte en lämplig grund.

Vid ojämna maktförhållanden, exempelvis mellan myndighet och medborgare eller mellan arbetsgivare och arbetstagare, är samtycke regelmässigt olämpligt. Betydande ojämlikhet mellan parterna kan göra samtycket ogiltigt.

Samtycke – fördelar och risker vid dataportabilitet

Vad ni bör kontrollera inför ett systembyte

Börja med att inventera vilka personuppgifter som finns i affärssystemet. Namn, e-postadress, kundnummer och IP-adresser är exempel på uppgifter som direkt eller indirekt kan kopplas till en person.

Planera företagets systemmigration separat från en enskild persons begäran enligt artikel 20. Bestäm tillsammans med systemleverantören hur verksamhetens uppgifter ska tas ut och föras in i det nya systemet, och kontrollera att de går att använda där.

För en begäran enligt artikel 20: kontrollera vilka uppgifter den gäller, om personen själv har tillhandahållit dem, om behandlingen är automatiserad och om grunden är samtycke eller avtal. Den registrerade kontaktar den organisation som behandlar uppgifterna; IMY anger att begäran kan göras muntligt eller skriftligt och att det inte finns särskilda formkrav.

Det kan vara tydligare att begära uppgifterna skriftligt, till exempel via e-post, och ange vilka uppgifter som önskas och till vilken aktör de ska överföras. IMY:s brevmall innehåller en begäran om svar så snart som möjligt och senast inom en månad.

Den personuppgiftsansvarige ska lämna ut uppgifter som omfattas av rätten i ett strukturerat, allmänt använt och maskinläsbart format. Direkt överföring till en annan personuppgiftsansvarig ska ske när det är tekniskt möjligt.

Dokumentera hur ni bedömer den rättsliga grunden och informera de registrerade. Om samtycke används, kontrollera att det kan återkallas lika enkelt som det lämnades och att det inte är ett obligatoriskt avtalsvillkor.

Kontroller inför byte av affärssystem

Steg för att hantera en begäran om dataportabilitet