När kommer första falska begäran om uppgifter enligt GDPR?

Nu när alla organisationer och företag är fullkomligt bajsnödiga över GDPR är det bara en tidsfråga till falska begäran om informationsutdrag enligt GDPR börjar strömma in. Risken blir att nervösa företag i praktiken gör GDPR till en sorts offentlighetsprincip och inte säkerställer att det faktiskt är rätt person som begär ut uppgifterna. Jag har själv i bloggens GDPR-information tagit höjd för detta.

Vem är det som sitter bakom tangentbordet?

Vem är det egengtligen som sitter bakom ett tangentbord. Bara för att en e-postadress heter [email protected] så behöver det inte vara Sven Nilsson (med SoldF:s legendariska personnummer) som står bakom det hela. Men “Sven Nilsson” kan ändå skicka in begäran om att få ut “sina” uppgifter från ett företag eller myndighet. Hur säkerställer man att det verkligen är rätt person bakom?

I själva verket riskerar GDPR missbrukas av falska begäran om utlämnande av personuppgifter och bli en sorts offentlighetsprincip där personuppgifter läcker istället för skyddas. T ex att någon utger sig för att vara en kändis och begär ut dennes information från försäkringsbolag mm, inklusive mailkorrenspondens.

Man kan tänka sig en våg av falsk begäran om utelämnande av information. Skvallersajter, tabloider mm kommer ha julafton.

Jag har ägnat detta lite tankeverksamhet och skriver i bloggens GDPR-information följande angående utlämnande av uppgifter

“Du har rätt att begära ett utdrag över den information Ängsjödal Text AB har om dig (i princip ingen alls) och Ängsjödal Text AB är skyldiga att rätta felaktiga, ofullständiga eller missvisande uppgifter. Vid begäran måste du ange de uppgifter du vill matcha mot (namn, personnummer, IP-nummer (lagras ej) etc), samt styrka din identitet för att säkerställa att inga personuppgifter lämnas ut på falsk grund eller till fel mottagare. Om du t ex kommunicerar via pseudonym eller e-post måste du bevisa att du är denna pseudonym och att ditt eventuella pseudonymkonto inte hackats eller spoofats av någon tredje part. Begäran kan därför ej lämnas ut elektroniskt då e-postadress eller motsvarande kan vara falsk eller hackad och du måste bevisa att du representerar en specifik avsändare. För Ängsjödal Text AB är dina obefintliga personuppgifter heliga och det är av största vikt att inte tredje part falskeligen kan få del av dessa via en falsk begäran. Skicka därför in din begäran skriftligt signerat av notarius publicus eller vidimerat av två externa personer 18 år eller äldre ej tillhörande ditt hushåll (=folkbokförda på samma adress), inklusive fotokopior på din egen och vidimerande personers legitimation komplett med personnummer. Vidimerande personer kan komma att kontaktas för bekräftelse och dessas kontaktuppgifter och personnummer måste anges. Begärd information kommer skickas till officiell folkbokföringsadress om det finns några som helst uppgifter lagrade. För att kunna bekräfta officiell folkbokföringsadress måste du ange ditt personnummer. De begärna uppgifterna kan komma att skickas som rekommenderad post för att mot uppvisande av legitimation lämnas ut hos adressens postombud. Den skriftliga begäran och den på papper utlämnade informationen kommer sparas på papper i åtta år för att vid tvist bevisa att begäran kommit in, besvarats samt vad som lämnats ut.
Skriftlig begäran med vidimering eller underskrift av notarius publicus skickas till:”

Det är av största vikt att inte personuppgifter lämnas ut till fel personer, så jag ser ingen annan utväg än att gå via vidimerade eller av notarius publicus kontrasignerade skriftliga begäran på papper.

Och ja, det loggas inga IP-nummer längre. IP-nummer anses vara personuppgifter och det är ogörbart att begära in medgivande om detta från varje besökare. Så jag kan inte längre se vad ni sitter. Grattis. Google Analytics kan dock ge aggregerad data för gruppen, som t ex länder, men inte för någon enskild person.

Som det står i den övriga GDPR-texten så lagras endast det som är lagkrav på, dvs faktureringsuppgifter i förekommande fall, samt det som är nödvändigt för avtal företag emellan som kontaktuppgifter till berörda personer på respektive företag. E-post raderas när den inte längre är relevant, så jag kan inte heller se vad du skrivit till mig tidigare. Nästan tio års e-post raderas alltså härmed.

GDPR riskerar alltså bli en väg in för att obehörigt få ut känsliga personuppgifter. Jag avser att testa detta genom att registrera en ny e-postadress i mitt namn och testa att begära ut information från olika företag och myndigheter, för att se om denna nya e-postadress får ut information. Jag bryter inte mot någon lag, då jag begär mina egna uppgifter, men kommer noga kontrollera hur man bekräftar att jag är jag.