Hur man visar efterlevnad av GDPR artikel 18

GDPR Artikel 18 handlar om en registrerads möjlighet att begära blockering av uppgifter där behandlingsverksamhet har bedömts vara olaglig.

Enligt GDPR-lagstiftningen kan registrerade begränsa mängden behandling som utförs av deras data.

Om en person ber en personuppgiftsansvarig att begränsa sin behandlingsverksamhet, tillåts organisationer endast då lagra nämnda uppgifter och kan inte dela dem med tredje part eller behandla dem på något annat sätt utan den registrerades uttryckliga medgivande.

GDPR Artikel 18 Lagtext

EU GDPR-version

Rätt till begränsning av bearbetning

1. Den registrerade ska ha rätt att av den registeransvarige få begränsning av behandlingen där något av följande gäller:
• riktigheten av personuppgifterna ifrågasätts av den registrerade, under en period som gör det möjligt för den registeransvarige att verifiera riktigheten av personuppgifterna;
• behandlingen är olaglig och den registrerade motsätter sig radering av personuppgifterna och begär begränsning av användningen av dem istället;
• den registeransvarige behöver inte längre personuppgifterna för behandlingens syften, men de krävs av den registrerade för att upprätta, utöva eller försvara rättsliga anspråk;
• den registrerade har invänt mot behandling enligt artikel 21 i avvaktan på verifieringen av huruvida den registeransvariges legitima skäl åsidosätter den registrerades.
2. Om behandlingen har begränsats enligt punkt 1 ska sådana personuppgifter, med undantag för lagring, endast behandlas med den registrerades samtycke eller för att fastställa, utöva eller försvara rättsliga anspråk eller för att skydda rättigheterna för en annan fysisk eller juridisk person eller av skäl av viktigt allmänintresse.
3. En registrerad som har erhållit begränsning av behandlingen enligt punkt 1 ska informeras av den registeransvarige innan begränsningen av behandlingen hävs.

Storbritanniens GDPR-version

Rätt till begränsning av bearbetning

1. Den registrerade ska ha rätt att av den registeransvarige få begränsning av behandlingen där något av följande gäller:
• riktigheten av personuppgifterna ifrågasätts av den registrerade, under en period som gör det möjligt för den registeransvarige att verifiera riktigheten av personuppgifterna;
• behandlingen är olaglig och den registrerade motsätter sig radering av personuppgifterna och begär begränsning av användningen av dem istället;
• den registeransvarige behöver inte längre personuppgifterna för behandlingens syften, men de krävs av den registrerade för att upprätta, utöva eller försvara rättsliga anspråk;
• den registrerade har invänt mot behandling enligt artikel 21 i avvaktan på verifieringen av huruvida den registeransvariges legitima skäl åsidosätter den registrerades.
2. Om behandlingen har begränsats enligt punkt 1 ska sådana personuppgifter, med undantag för lagring, endast behandlas med den registrerades samtycke eller för att fastställa, utöva eller försvara rättsliga anspråk eller för att skydda rättigheterna för en annan fysisk eller juridisk person eller på grund av viktiga allmänintressen i unionen eller en medlemsstat.
3. En registrerad som har erhållit begränsning av behandlingen enligt punkt 1 ska informeras av den registeransvarige innan begränsningen av behandlingen hävs.

Teknisk kommentar

De registrerade har fyra rättsliga grunder för att göra en begäran som begränsar behandlingen av deras uppgifter:

1. riktigheten av uppgifterna;
2. olaglig/olaglig behandling;
3. till stöd för rättsliga anspråk;
4. officiella invändningar (i linje med artikel 21 GDPR).

Organisationer kan falla tillbaka på en rad villkor som gör att de kan fortsätta att behandla uppgifterna på samma sätt, även om en begäran har mottagits om att begränsa sådan verksamhet:

• den registrerade har lämnat samtycke till annan behandlingsverksamhet;
• till stöd för ett rättsligt anspråk eller rättsfall;
• skyddet av en annan persons individuella rättigheter och friheter;
• där det finns ett viktigt allmänintresse.