Kunden krever innsyn i alt vi har om ham – hva må vi levere?

Fristen er kort: én måned fra kravet kommer inn

Utgangspunktet er at bedriften skal svare innen én måned fra henvendelsen mottas, med en viss adgang til å forlenge fristen i saker som er særlig kompliserte eller omfattende, forutsatt at kunden informeres om forlengelsen og grunnen til den innen den opprinnelige fristen. For Khadija betydde det at klokken begynte å tikke samme dag e-posten kom inn, uavhengig av at hun først oppdaget den to dager senere fordi den havnet i en mappe hun sjelden sjekket. En liten bedrift uten fast rutine for å fange opp denne typen henvendelser, risikerer å bruke opp store deler av fristen bare på å legge merke til at kravet har kommet.

Identitetskontroll før du sender noe som helst

Før Khadija sendte fra seg noe, måtte hun forsikre seg om at det faktisk var kunden selv som ba om innsyn, og ikke noen som utga seg for å være vedkommende. I praksis holder det som regel å bekrefte mot opplysninger bedriften allerede har, som at e-postadressen og ordrenummeret stemmer overens med det som ligger i systemet, uten å be om unødvendig mye ekstra dokumentasjon. Å sende en kundes fulle kjøpshistorikk og korrespondanse til feil person, er en alvorlig feil i seg selv, så denne kontrollen er ikke en formalitet Khadija kunne hoppe over for å spare tid.

Det skal med: bestillinger, support-eposter og interne notater om kunden

Svaret skal dekke det bedriften faktisk har lagret om kunden: ordrehistorikk, leveringsadresser, betalingsopplysninger så langt de er tilgjengelige, og korrespondansen mellom kunden og kundeservice, inkludert e-postene fra reklamasjonssaken. Interne notater som konkret omtaler kunden, for eksempel en kort merknad om at «denne kunden klager ofte», skal også med, selv om den slags notater sjelden er hyggelig lesning for den som ber om innsyn. Khadija fant nettopp en slik merknad fra en tidligere ansatt, og valgte å ta den med i svaret i stedet for å luke den bort, siden det ville vært et brudd på selve poenget med retten til innsyn å sitte igjen med bare det som er ufarlig å vise fram.

Unntakene: andres opplysninger og krav som er åpenbart urimelige

Khadija trenger ikke, og skal ikke, utlevere opplysninger som samtidig avslører en annen kundes eller ansatts personlige forhold, for eksempel hvis et internt notat nevner en kollega ved navn i en sammenheng som ikke angår kunden selv. Det første innsynskravet skal som hovedregel besvares gratis, men krav som er åpenbart ugrunnet eller kommer i et omfang som klart går ut over det rimelige, som gjentatte identiske forespørsler samme uke, kan bedriften i noen tilfeller kreve et rimelig gebyr for eller avslå. Denne unntaksregelen er ment for de klart urimelige tilfellene, ikke som en generell unnskyldning for å utsette svar bedriften egentlig plikter å gi. Samme kunde spurte for øvrig også om sletting av regnskapsbilag knyttet til den returnerte varen, et krav Khadija måtte vurdere separat, siden bokføringsreglene her veier tyngre enn kundens eget ønske om å bli slettet.

Hvem i firmaet som faktisk skal svare, og hvem som bør se svaret først

I en liten nettbutikk som Khadijas er det sjelden noen fast rutine for hvem som eier et innsynskrav når det kommer inn. Support-medarbeideren som mottok e-posten, visste ikke om hun skulle svare selv, videresende til Khadija, eller vente på beskjed, og brukte to dager på å bestemme seg mens fristen løp. Løsningen Khadija innførte etterpå, var enkel: alle henvendelser som inneholder ordet «innsyn» eller «GDPR», skal videresendes til henne samme dag, uavhengig av hvem som mottar dem først. Hun satte også en fast frist internt, ti dager før den formelle fristen, for å ha nok tid til å samle alt fra de ulike systemene før svaret skulle ut.

Slik svarte Khadija, og hva hun lærte av saken

Khadija endte med å sende en samlet oversikt over ordrehistorikk og korrespondanse innen tre uker, godt innenfor fristen, sammen med en kort forklaring på hvordan opplysningene ble brukt videre. Kunden svarte ikke med noe mer krav, saken roet seg, og Khadija satt igjen med en enkel mal hun kan bruke neste gang: en sjekkliste for identitetskontroll, en oversikt over hvor i systemene kundedata faktisk ligger, og en påminnelse om at fristen løper fra kravet kommer inn, ikke fra noen får tid. Har bedriften en klar rutine for innsynskrav klar før kravet kommer, tar selve besvarelsen langt kortere tid enn om alt må finnes ut fra bunnen av under tidspress, og risikoen for å oversitte fristen ved en glipp blir langt mindre.

Kort oppsummert

• Et innsynskrav gdpr bedrift mottar, skal som hovedregel besvares innen én måned fra henvendelsen kommer inn.
• Identiteten til den som ber om innsyn, skal kontrolleres før noe sendes ut, uten å kreve unødvendig mye ekstra dokumentasjon.
• Svaret skal dekke ordrehistorikk, korrespondanse og interne notater som konkret omtaler kunden, ikke bare det som er ufarlig å vise fram.
• Opplysninger som samtidig avslører andres personlige forhold, skal ikke utleveres sammen med svaret.
• Det første kravet er som hovedregel gratis å besvare, mens åpenbart ugrunnede eller gjentatte krav kan møtes med gebyr eller avslag.