Meny

Huvudsyftet med GDPR är att skydda den enskildes rättigheter när personuppgifter behandlas. I korthet innebär det att de registrerade ska få information om när och hur deras personuppgifter behandlas och ha kontroll över sina egna uppgifter.

Personuppgiftsansvarig ska återkoppla inom en månad när en registrerad hör av sig för att utöva sina rättigheter. Personuppgiftsansvariga ska hantera begäran så snart som möjligt och normalt inom en månad från begäran. Tidsfristen kan förlängas till tre månader till exempel om begäran är komplicerad eller när det kommer många samtidigt.

GDPR ger den registrerades åtta rättigheter.

1. Rätt till information

Den registrerade har rätt att få information när hans eller hennes personuppgifter behandlas. Information ska ges när uppgifterna samlas in eller när den registrerade annars begär det. Personuppgiftsansvarig måste också underrätta den registrerade vid personuppgiftsincidenter (dataintrång där det finns risk för till exempel identitetsstöld eller bedrägeri).

2. Rätt till tillgång

Den registrerade kan vända dig till företag, myndigheter eller andra verksamheter för att få veta om de behandlar hans eller hennes personuppgifter. Då har den registrerade rätt till tillgång – att få en kopia på personuppgifterna. Inte kopior av hela handlingar, utan en sammanställning av just personuppgifter. Det tidigare begreppet registerutdrag är fortfarande vanligt.

Den registrerade har också rätt att få veta hur personuppgifterna används – var uppgifterna kommer ifrån och till vilka mottagare eller kategorier av mottagare de lämnats ut, ändamålet med behandlingen och hur länge de sparas. 

Det finns situationer när information i registerutdrag inte kan lämnas ut, till exempel på grund av bestämmelser i annan lagstiftning än GDPR.

3. Rätt till rättelse

Alla registrerade har rätt att få felaktiga uppgifter rättade och att komplettera med personuppgifter som saknas och som är relevanta med hänsyn till ändamålet med behandlingen. Den personuppgiftsansvariga måste meddela de rättade uppgifterna till dem som de tidigare har lämnat ut uppgifterna till. Det gäller dock inte om det skulle visa sig omöjligt eller innebär en alltför betungande insats.

4. Rätt till radering

Registrerade har rätt att vända sig till den som behandlar personuppgifter och be att uppgifterna raderas. Uppgifterna måste raderas i följande fall:

• Om uppgifterna inte längre behövs för de ändamål som de samlades in för.
• Om behandlingen grundar sig på den enskildes samtycke och denne återkallar samtycket.
• Om behandlingen sker för direktmarknadsföring och den enskilde motsätter sig att uppgifterna behandlas.
• Om den enskilde motsätter sig personuppgiftsbehandling som sker inom ramen för myndighetsutövning eller efter en intresseavvägning och det inte finns berättigade skäl som väger tyngre än den enskildes intresse.
• Om personuppgifterna har behandlats olagligt.
• Om radering krävs för att uppfylla en rättslig skyldighet.
• Om personuppgifterna avser barn och har samlats in i samband med att barnet skapar en profil i ett socialt nätverk.

När uppgifter raderas på den enskildes begäran måste den personuppgiftsansvariga meddela att uppgifterna har raderats till dem som de tidigare har lämnat ut uppgifterna till. Det gäller dock inte om det skulle visa sig omöjligt eller innebär en alltför betungande insats.

Det finns undantag från rätten till radering och skyldigheten att informera andra om det är nödvändigt för att tillgodose andra viktiga rättigheter som exempelvis rätten till yttrande- och informationsfrihet, för att uppfylla en rättslig förpliktelse, utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Exempelvis har en kund som inte betalat en faktura till ett företag, inte rätt att begära att företaget ska radera kundens registrerade personuppgifter i hopp om att skulden inte ska gå att överlämna till inkassobolag.

5. Rätt till begränsning av behandling

I vissa fall har den registrerade rätt att kräva att behandlingen av personuppgifter begränsas. Det innebär att uppgifterna markeras att de i fortsättningen endast får behandlas för vissa avgränsade syften. Denna rätt kan åberopas när den registrerade anser att uppgifterna är felaktiga och har begärt rättelse och gäller då under tiden uppgifternas korrekthet utreds.

6. Rätt att flytta sina personuppgifter

Rätten att flytta personuppgifter man själv lämnat kallas i dataförordningen för dataportabilitet. Den registrerade kan be sin befintliga leverantör att överföra sina uppgifter direkt till en annan leverantör, om det är tekniskt genomförbart. Den registrerade kan också begära att få ut sina uppgifter från leverantören i ett maskinläsbart format som är allmänt känt, så att de kan användas i andra system. 

Det här gör det möjligt att flytta från en plattform till en annan, till exempel för sociala medier. En förutsättning är att den som behandlar personuppgifterna gör det med stöd av ett samtycke från den registrerade eller för att uppfylla ett avtal med den registrerade.

7. Rätt att göra invändningar

Rätten att invända gäller för den registrerade när personuppgifter behandlas för att utföra en uppgift av allmänt intresse, som ett led i myndighetsutövning eller efter en intresseavvägning.

Om den registrerade invänder måste personuppgiftsansvariga visa att det finns avgörande berättigade skäl till att uppgifterna måste behandlas som väger tyngre än den registrerades intressen, rättigheter och friheter eller om behandlingen sker för fastställande, utövande eller försvar av rättsliga anspråk.

Det gäller särskilda regler för personuppgifter som behandlas för vetenskapliga och historiska forskningsändamål eller statistiska ändamål.

8. Automatiserat beslutsfattande och profilering

Ett automatiserat beslutsfattande innebär att personuppgifter behandlas helt automatiskt utan en personlig kontakt. Det kan till exempel vara ett avslag på en kreditansökan på internet eller ett nekande besked från rekrytering via internet som sker automatiskt.

Profilering innebär att automatisk behandling av personuppgifter används för att bedöma vissa personliga egenskaper, i synnerhet för att analysera eller förutsäga personens arbetsprestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar.

Den registrerade måste få information om att automatiserat beslutsfattande används. I vissa fall har den registrerade rätt att inte bli föremål för beslut grundade på automatiserat beslutsfattande och profilering till exempel om det innebär rättsliga följder eller annan betydande påverkan för den registrerade.

Lär mer

Hos Integritetsskyddsmyndigheten (IMY) finns mer att lära om De registrerades rättigheter och Rättigheter för privatpersoner.

Kontrollfrågor