Ett företag hade rätt att begära ytterligare bevisning om identiteten hos en registrerad som begärt att få sina personuppgifter raderade. Enligt GDPR har en registrerad rätt att bland annat få sina personuppgifter raderade, rättade och få information om vilka personuppgifter företaget behandlar.
Hade rätt att begära ytterligare bevisning om identiteten
Den klagande hade begärt att få sina personuppgifter raderade från företaget. Däremot skickade denne begäran från en annan e-postadress än den som var kopplad till kontot. Därför bad företaget personen att inkomma med bevisning före att kunna styrka identiteten. Dock skedde det aldrig. Därefter inkom ett till meddelande fast via post där det framgick bevisning om identitet och företaget raderade därefter personuppgifterna. Men företaget missade att meddela den registrerade att de hade åtgärdat förfrågan och det gjorde de istället i samband med tillsynsärenden från tillsynsmyndigheten i Sverige (Integritetssskyddsmyndigheten). Det var tillsynsmyndigheter från flera länder involverade i detta ärende, såsom Sverige, Frankrike, Danmark, Polen, Norge, Tyskland, Irland och Österrike.
Beslut från tillsynsmyndigheten
Den personuppgiftsansvarige har rätt att få sina personuppgifter raderade utan onödigt dröjsmål vid begäran. Detta gäller under förutsättningarna att personuppgifterna i fråga inte längre är nödvändiga för det syfte de bliv insamlade för eller på annat sätt blir behandlade. Radering ska ske inom en månad från och med att företaget mottagit begäran. Men i vissa särskilda fall kan företaget ha rätt att förlänga tidsfristen ytterligare två månader.
Företaget hade raderat personuppgifterna utan onödigt dröjsmål efter att de fått det andra meddelandet per post. Däremot var det fel att de inte informerade den registrerade om den vidtagna åtgärden, vilket skedde senare. Därför sa företaget att de skulle ordna sina interna rutiner för att detta förbiseende inte ska bli upprepat igen.
Ett företag har enligt GDPR rätt att begära bevisning för att en individ ska styrka sin identitet, när individen begär att få sina personuppgifter raderade, om det är så att det finns rimliga skäl att tvivla på identiteten. Tillsynsmyndigheten kom fram till att det förelåg rimliga tvivel avseende individens identitet i detta fall och därför hade företaget rätt att begära mer information. Ärendet blev avslutat utan någon åtgärd eftersom företaget åtgärdade problemet.
