Hver gang et selskap blir rammet av et datainnbrudd eller blir tatt for å mishåndtere personopplysninger, pleier det samme spørsmålet å følge: hva kan de berørte personene faktisk gjøre med det? Svaret ligger i et sett med juridiske beskyttelser kjent som GDPR-rettigheter, som gjelder for alle hvis personopplysninger samles inn, lagres eller behandles av en organisasjon som opererer i Storbritannia eller EU. En nylig forklaringsartikkel fra Prospect360 bryter ned disse beskyttelsene under UK GDPR, og dekker alt fra retten til å få tilgang til egne data til retten til å få dem slettet. Å forstå disse rettighetene er ikke bare en juridisk øvelse. Det er et praktisk verktøy for alle som ønsker mer kontroll over hvordan deres personopplysninger brukes, spesielt ettersom datainnbrudd og regulatoriske bøter fortsetter å fange overskrifter. ## Hvilke rettigheter har enkeltpersoner under GDPR UK GDPR gir enkeltpersoner, ofte kalt registrerte, en rekke rettigheter over sine personopplysninger. Disse inkluderer retten til å vite hvilke data en organisasjon har om dem, retten til å be om en kopi av dem, og retten til å få uriktig informasjon korrigert. Kanskje den mest kjente er retten til sletting, noen ganger kalt retten til å bli glemt, som lar folk be organisasjoner om å slette deres personopplysninger under visse omstendigheter. Andre rettigheter dekker hvordan data brukes snarere enn bare hva som lagres. Enkeltpersoner kan protestere mot visse typer behandling, be om at dataene deres begrenses fra videre bruk mens en tvist løses, og i noen tilfeller be om at dataene deres overføres til en annen leverandør. Disse rettighetene eksisterer spesifikt fordi personopplysninger, når de først er samlet inn, kan brukes på måter som påvirker folk lenge etter at de har levert dem fra seg, enten det er målrettet reklame, automatisert beslutningstaking, eller rett og slett å bli solgt til en tredjepart uten tydelig samtykke. ## Hvorfor disse rettighetene betyr noe: Lærdom fra nylige hendelser GDPR-rettigheter er ikke abstrakte juridiske begreper. De blir akutt relevante når et selskap mister kontrollen over kundedata eller blir funnet å ha mishåndtert dem. Tilsynsmyndigheter over hele Europa har vist at de er villige til å ilegge betydelige straffer når organisasjoner ikke respekterer disse beskyttelsene. Den nederlandske datatilsynets beslutning om å [bøtelegge Uber 825 millioner euro for et GDPR-brudd mot sjåfører](/en/dutch-dpa-fines-uber-825m-over-driver-gdpr-breach) er et av de tydeligste nylige eksemplene på hvor alvorlig håndhevingsorganer behandler brudd på registrertes rettigheter. Innbrudd som involverer telekom- og helseleverandører illustrerer hvorfor disse rettighetene betyr noe for vanlige mennesker, ikke bare selskaper. [Odido-datainnbruddet som eksponerte 6,2 millioner poster](/en/odido-data-breach-6-2-million-records-exposed) etterlot kunder med stjålne bankkontodetaljer i hendene på angripere, mens [Unimed-faktureringsinnbruddet som rammet pasienter ved tyske universitetssykehus](/en/unimed-billing-breach-exposes-patients-at-german-university-hospitals) eksponerte sensitiv medisinsk informasjon gjennom en tredjepartsleverandør. I begge tilfeller hadde de berørte personene rett til å vite hvilke data som var involvert, og til å kreve svar på hvordan de ble brukt og beskyttet. Selv offentlig drevne systemer er ikke immune. Innbruddet i [Frankrikes ANTS-passportal](/en/france-s-ants-passport-portal-breached-what-it-means) viste at identitetsdokumentinfrastruktur kan angripes like lett som private selskapsdatabaser, noe som forsterker hvorfor GDPR-rettigheter gjelder bredt på tvers av sektorer, ikke bare for teknologiselskaper. ## Hvordan utøve dine GDPR-rettigheter Å utøve disse rettighetene starter vanligvis med en direkte forespørsel til organisasjonen som har dataene dine, ofte kalt en innsynsforespørsel når man ber om å se hvilken informasjon som lagres. Organisasjoner er juridisk forpliktet til å svare innen en gitt tidsramme og kan ikke bare ignorere eller uendelig utsette slike forespørsler. Hvis et selskap ikke etterkommer, kan enkeltpersoner i Storbritannia eskalere saken til Information Commissioner's Office, tilsynsmyndigheten som er ansvarlig for å håndheve UK GDPR. Det hjelper å være spesifikk når du sender en forespørsel, enten det betyr å be om en kopi av alle data som lagres, korrigering av en unøyaktig post, eller fullstendig sletting av en konto. Å holde en skriftlig oversikt over forespørselen og eventuelle svar som mottas, styrker også posisjonen din hvis en klage blir nødvendig senere. ## Hva dette betyr for deg Hvis du bruker noen nettbaserte tjenester, fra en samkjøringsapp til en helseleverandørs faktureringsportal, har du allerede rettigheter over dataene disse selskapene har om deg. Du trenger ikke vente på et innbrudd for å bruke dem. Å be om en kopi av dataene dine, sjekke dem for nøyaktighet, eller be et selskap om å slette informasjon du ikke lenger vil at de skal ha, er alle handlinger som er tilgjengelige akkurat nå, uavhengig av om den organisasjonen noen gang har vært i nyhetene. Når innbrudd faktisk skjer, som sett med farmasøytisk datatyveri som rammet [Novo Nordisks kliniske studiedata](/en/novo-nordisk-hit-by-1-3tb-breach-clinical-trial-data-stolen), betyr det å kjenne dine GDPR-rettigheter at du er bedre rustet til å kreve åpenhet om hva som ble eksponert og hva selskapet gjør som svar. ## Viktige punkter Å forstå dine GDPR-rettigheter gir reell makt tilbake i hendene dine som enkeltperson, i stedet for å overlate databeskyttelse helt til selskaper og tilsynsmyndigheter. Gå gjennom personvernpolicyer før du registrerer deg for nye tjenester, send en innsynsforespørsel hvis du er usikker på hvilke data et selskap har om deg, og nøl ikke med å eskalere uløste bekymringer til Information Commissioner's Office. Å holde seg informert om GDPR-rettigheter er en av de enkleste måtene å beskytte personopplysningene dine på i et landskap hvor innbrudd og regulatoriske bøter blir stadig mer vanlige.