Enhver ret i forordningens kapitel III når en softwarevirksomhed som en besked: en bruger spørger, hvad virksomheden har om ham, en tidligere medarbejder beder om en kopi, en kundes slutbruger beder om at blive slettet. Artikel 12 fastsætter proceduren for dem alle, og dens stk. 3 sætter fristen: oplysninger om foranstaltninger, der træffes på baggrund af en anmodning efter artikel 15 til 22, gives uden unødig forsinkelse og senest en måned efter modtagelsen. Denne artikel læser artikel 12 og artikel 15 mod det katalog, StandardOS fører over forordningen, hvor rækken for artikel 12, stk. 3, bærer måneden som en frist, og mod den gratis side, der beregner fristen og skriver svaret.
Måneden: fra modtagelsen, efter fristreglen
Fristen løber fra modtagelsen, det vil sige den dag, anmodningen nåede virksomheden gennem en af de kanaler, den tilbyder, ikke den dag, nogen læste den. En frist udtrykt i måneder udløber ved udgangen af den dag i den sidste måned, der bærer samme dato som den dag, den begyndte, eller den sidste dag i den måned, hvis den dato ikke findes: reglen i forordning (EØF, Euratom) nr. 1182/71, som Det Europæiske Databeskyttelsesråd anvender på artikel 12, stk. 3, i sine retningslinjer om indsigtsretten. En anmodning modtaget den 31. januar besvares derfor senest den 28. februar, eller den 29. i et skudår; en modtaget den 13. i en måned senest den 13. i den næste. Siden beregner datoen efter den regel og flytter ikke en frist, der falder i en weekend, fordi den sikre læsning er at svare tidligere, ikke senere. Artikel 12, stk. 1, tilføjer formen: skriftligt eller med andre midler, herunder elektronisk, og mundtligt kun, hvis den registrerede beder om det, og identiteten er godtgjort; artikel 15, stk. 3, tilføjer, at en elektronisk indgivet anmodning besvares i et almindeligt anvendt elektronisk format, medmindre den registrerede beder om andet.
De to yderligere måneder og underretningen inden for den første
Artikel 12, stk. 3, andet punktum, tillader, at fristen forlænges med to måneder, om nødvendigt under hensyntagen til anmodningernes kompleksitet og antal. Forlængelsen er ikke en anden måned, der opstår ved tavshed: den dataansvarlige underretter den registrerede om forlængelsen og grundene inden for en måned efter modtagelsen, så den første frist består som dagen for den underretning, og kun indholdet flytter til den tredje måned. En virksomhed, der modtager en enkelt indsigtsanmodning fra én bruger, kan ikke ærligt kalde den kompleks; forlængelsen er til den virksomhed, der modtager hundredvis efter et brud, eller til én anmodning, der spænder over år af registreringer i flere systemer. Siden holder de to datoer adskilt: den dag, underretningen skulle gives, og den dag, svaret skal.
Afslag, gebyr og identitet: de tre andre stykker
Artikel 12, stk. 4, gælder den virksomhed, der ikke vil træffe foranstaltninger i anledning af anmodningen: den underretter den registrerede straks og senest en måned efter modtagelsen om grundene og om muligheden for at indgive klage til en tilsynsmyndighed og indbringe sagen for domstolene. Tavshed er ikke et afslag; et afslag er et brev med grunde, på samme frist. Artikel 12, stk. 5, gør svaret gratis; kun en åbenbart grundløs eller overdreven anmodning, navnlig på grund af dens gentagne karakter, tillader virksomheden at opkræve et rimeligt gebyr ud fra de administrative omkostninger eller at afvise at efterkomme den, og virksomheden bærer bevisbyrden for den karakter. En anden anmodning et år senere er ikke gentagen; den samme anmodning hver uge er. Artikel 12, stk. 6, lader virksomheden anmode om yderligere oplysninger for at bekræfte identiteten af den, der anmoder, hvor den har rimelig tvivl, hvilket er tilfældet for en anmodning fra en ukendt adresse om en navngiven konto og ikke for en anmodning sendt fra selve kontoen; spørgsmålet standser ikke fristen, og en virksomhed, der kræver paskopi af enhver, der anmoder, har skabt en behandling af sin egen, som den skal kunne begrunde.
Indsigtssvaret: en kopi og otte oplysninger
Artikel 15, stk. 1, giver den registrerede ret til at få bekræftet, om personoplysninger om vedkommende behandles, og i givet fald adgang til oplysningerne og otte oplysninger: a) formålene med behandlingen; b) de berørte kategorier af personoplysninger; c) modtagerne eller kategorierne af modtagere, navnlig i tredjelande eller internationale organisationer; d) om muligt det påtænkte tidsrum for opbevaring eller kriterierne for at fastlægge det; e) retten til berigtigelse, sletning, begrænsning og indsigelse; f) retten til at indgive klage til en tilsynsmyndighed; g) når oplysningerne ikke indsamles hos den registrerede, enhver tilgængelig information om kilden; h) forekomsten af automatiske afgørelser, herunder profilering, efter artikel 22, stk. 1 og 4, med meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser for den registrerede. Artikel 15, stk. 3, tilføjer kopien af de personoplysninger, der behandles, yderligere kopier mod et rimeligt gebyr og det elektroniske format; artikel 15, stk. 4, forhindrer, at kopien krænker andres rettigheder og frihedsrettigheder, og derfor bliver en kopi af en supportsag renset for medarbejderens private noter om en tredje person og ikke for medarbejderens svar. For en softwarevirksomhed er syv af de otte allerede skrevet: de er kolonnerne i fortegnelsen over behandlingsaktiviteter, og h) er enten "ingen" eller den beskrivelse, produktets egen dokumentation giver af den model, der scorer, rangordner eller afgør.
Databehandlerens del og standardens
En virksomhed, der hoster sine kunders oplysninger, modtager anmodninger, den ikke må besvare: den registrerede er kundens, og kunden er den dataansvarlige. Artikel 28, stk. 3, litra e), lader databehandleren bistå den dataansvarlige, ved hjælp af passende tekniske og organisatoriske foranstaltninger og så vidt muligt, med at besvare anmodninger om udøvelse af den registreredes rettigheder, hvilket er det vilkår, siden med databehandlervilkår skriver, og de eksport-, søge- og sletningsfunktioner, produktet skal have. ISO/IEC 27701:2025 placerer de samme pligter i tabel A.1 som foranstaltninger for indsigt, berigtigelse og sletning, for kopien af PII og for håndtering af anmodninger, som kataloget hver især læser mod artikel 12, stk. 3 og 4, så et certificeret system bærer måneden som en procedure med en registrering bag, ikke som en erindring.
Hvad man skal gøre med det
Registrér enhver anmodning den dag, den kommer, ét sted, med den ret, den udøver: den registrering er fristens begyndelse og det bevis, myndigheden spørger om først. Beregn fristen efter fristreglen og skriv underretningen om forlængelse eller afslag på den første dato, aldrig efter. Besvar indsigtsanmodninger ud fra fortegnelsen over behandlingsaktiviteter og tilføj kopien fra produktet; besvar sletnings- og berigtigelsesanmodninger og underret derefter hver modtager af oplysningerne efter artikel 19. Svarfrist-siden klarer regnestykket og skrivningen; brudfrist-siden står ved siden af til den anmodning, der viser sig at beskrive et brud, og bestemmelsen af forpligtelserne siger, hvilke af de andre forpligtelser samme virksomhed bærer.