Hur man visar efterlevnad av GDPR artikel 11

GDPR Artikel 11 handlar om dataminimeringsprinciper, vilket i hög grad begränsar hur data behandlas kopplat till endast det som anses nödvändigt.

Personuppgiftsansvariga bör radera eller dölja alla hänvisningar till den registrerade i det ögonblick som uppgifterna inte längre behövs. När detta inträffar måste de registeransvariga också skaffa ytterligare information om den registrerade för att kunna förbli efterlevnad.

Om försökspersonerna skulle vilja bli omidentifierade bör kontrollanterna ta till sig detta och formulera steg för att hantera begäran.

Det är viktigt att notera att, om försökspersonen inte identifieras, gäller artikel 11 delvis, men om den registrerade begär omidentifiering måste den registeransvarige försöka detta (såvida inte detta, genom bevisbördan, visar sig vara omöjligt).

GDPR Artikel 11 Lagtext

EU GDPR-version

Behandling som inte kräver legitimation

1. Om ändamålen för vilka en personuppgiftsansvarig behandlar personuppgifter inte eller inte längre kräver att den personuppgiftsansvarige identifierar en registrerad, ska den personuppgiftsansvarige inte vara skyldig att behålla, skaffa eller behandla ytterligare information för att identifiera den registrerade för enda syftet med att följa denna förordning.
2. Om den registeransvarige, i de fall som avses i punkt 1 i denna artikel, kan visa att den inte är i stånd att identifiera den registrerade, ska den registeransvarige informera den registrerade om detta, om möjligt. I sådana fall ska artiklarna 15–20 inte tillämpas utom när den registrerade, i syfte att utöva sina rättigheter enligt dessa artiklar, tillhandahåller ytterligare information som gör det möjligt att identifiera honom eller henne.

Storbritanniens GDPR-version

Behandling som inte kräver legitimation

1. Om ändamålen för vilka en personuppgiftsansvarig behandlar personuppgifter inte eller inte längre kräver att den personuppgiftsansvarige identifierar en registrerad, ska den personuppgiftsansvarige inte vara skyldig att behålla, skaffa eller behandla ytterligare information för att identifiera den registrerade för enda syftet med att följa denna förordning.
2. Om den registeransvarige, i de fall som avses i punkt 1 i denna artikel, kan visa att den inte är i stånd att identifiera den registrerade, ska den registeransvarige informera den registrerade om detta, om möjligt. I sådana fall ska artiklarna 15–20 inte tillämpas utom när den registrerade, i syfte att utöva sina rättigheter enligt dessa artiklar, tillhandahåller ytterligare information som gör det möjligt att identifiera honom eller henne.