Du har rätt att fråga vilket företag, vilken myndighet eller vilken förening som helst om de behandlar personuppgifter om dig, och att få ut en kopia på uppgifterna. I vardagligt tal kallas det registerutdrag. I lagen heter det rätt till tillgång och står i artikel 15 i dataskyddsförordningen. Det kostar normalt ingenting, och svaret ska komma inom en månad. Den här guiden går igenom hur du formulerar begäran, vad du faktiskt har rätt att få, och var undantagen sitter. Undantagen är den del som nästan alla andra genomgångar hoppar över, och det är just dem du stöter på i verkligheten.
Det här ger artikel 15 dig
Rätten består av två delar. Först har du rätt till besked om huruvida uppgifter om dig över huvud taget behandlas. Sedan, om svaret är ja, har du rätt till en kopia av uppgifterna plus en rad kompletterande upplysningar om behandlingen. Punkterna räknas upp i artikel 15.1 och är inte förhandlingsbara:
- ändamålen med behandlingen, alltså vad uppgifterna används till
- vilka kategorier av personuppgifter det rör sig om
- vilka mottagare uppgifterna har lämnats eller ska lämnas ut till, särskilt mottagare i tredjeländer
- hur länge uppgifterna ska lagras, eller kriterierna för hur lagringstiden bestäms
- att du har rätt att begära rättelse, radering eller begränsning, och att invända mot behandlingen
- att du har rätt att klaga hos en tillsynsmyndighet
- varifrån uppgifterna kommer, om de inte samlats in från dig själv
- om det förekommer automatiserat beslutsfattande eller profilering, och i så fall meningsfull information om logiken bakom samt vad det får för följder för dig
Sista punkten är den vassaste och den minst utnyttjade. Den ger dig rätt att fråga en kreditgivare, en försäkringsgivare eller en plattform hur deras automatiserade bedömning av dig faktiskt fungerar.
Att du har rätt till en kopia betyder däremot inte att du alltid får själva handlingen där uppgifterna förekommer. Integritetsskyddsmyndigheten, IMY, skriver att det kan anses tillräckligt att du får en begriplig sammanställning av uppgifterna, så att du kan kontrollera att de är riktiga och att behandlingen är laglig. Rätten till tillgång ska alltså inte förväxlas med rätten att ta del av allmänna handlingar hos en myndighet. Vad som räknas som personuppgift är samtidigt bredare än många tror, och omfattar sådant som din IP-adress.
Skriv begäran, och skriv den skriftligt
Det finns inga formkrav. Du kan begära ett registerutdrag muntligt om du vill. IMY rekommenderar ändå skriftlig form, av bevisskäl och för tydlighetens skull, och myndigheten har en färdig brevmall som du får använda rakt av:
Jag vill härmed utöva min rätt att få tillgång till mina personuppgifter och kompletterande information med stöd av artikel 15 i dataskyddsförordningen. Ni kan hitta information om era skyldigheter som personuppgiftsansvarig på Integritetsskyddsmyndighetens webbplats (www.imy.se). Jag ser fram emot ert svar på min begäran så snart som möjligt, senast inom en månad.
Fyll på med ditt namn, dina kontaktuppgifter och datum, och skicka den till organisationens dataskyddsombud om ett sådant finns. Ombudets adress brukar stå i integritetspolicyn. Mejl fungerar utmärkt, och har dessutom fördelen att artikel 12.3 säger att en begäran i elektronisk form om möjligt ska besvaras i elektronisk form.
Du behöver inte förklara varför du vill ha uppgifterna. Europeiska dataskyddsstyrelsen slår fast saken i sin riktlinje om rätten till tillgång (Guidelines 01/2022, antagen den 28 mars 2023): registrerade är inte skyldiga att ange skäl eller motivera sin begäran, och så länge kraven i artikel 15 är uppfyllda ska syftet bakom begäran betraktas som irrelevant. Blir du ombedd att motivera dig kan du alltså artigt avstå.
Ett undantag finns, och det är rimligt. Behandlar organisationen en stor mängd uppgifter om dig får den enligt skäl 63 i förordningen be dig precisera vilken information eller vilken behandling begäran avser, innan uppgifterna lämnas ut. Dataskyddsstyrelsen är dock tydlig med att den som frågar samtidigt måste berätta vilka verksamhetsgrenar och databaser som kan innehålla uppgifter om dig, annars kan du ju inte precisera något.
Legitimering: vad de får kräva av dig
Den som behandlar uppgifterna måste vara säker på att den lämnar ut dem till rätt person. Artikel 12.6 ger därför rätt att begära ytterligare information för att bekräfta din identitet, men bara om det finns rimliga skäl att betvivla vem du är.
I praktiken tolkas det snävare än många organisationer tror. IMY skriver att det sällan är nödvändigt att kräva att du visar id-handling, och att man bara får samla in de extra uppgifter som är nödvändiga för identifieringen. Myndighetens eget exempel är träffande: om en tjänst nöjde sig med en e-postadress utan ditt riktiga namn när kundförhållandet inleddes, ska den inte plötsligt kräva legitimation när du vill utöva dina rättigheter. Banker och andra verksamheter med lagreglerad tystnadsplikt är undantaget, där gäller striktare krav.
En månad, med en reservutgång på två till
Fristen står i artikel 12.3. Svar ska lämnas utan onödigt dröjsmål och under alla omständigheter senast en månad efter att begäran togs emot. Sedan kommer undantaget som avgör hur ditt ärende faktiskt går: perioden får vid behov förlängas med ytterligare två månader, med beaktande av hur komplicerad begäran är och antalet inkomna begäranden. Den som förlänger måste underrätta dig om förlängningen inom den första månaden och ange orsakerna till förseningen.
Det betyder två saker i praktiken. Tre månader är den yttersta gränsen, inte en månad. Men tystnad är aldrig tillåten: hör du ingenting alls inom en månad har organisationen brutit mot förordningen, oavsett hur komplicerat ärendet är, eftersom själva beskedet om förlängning måste komma inom den första månaden.
Hur månaden räknas är förvånansvärt exakt reglerat. IMY redogör för tre regler: fristen börjar löpa den dag begäran tas emot och löper ut samma datum månaden därpå, den förlängs till nästa arbetsdag om slutdatumet infaller på en lördag, söndag eller helgdag, och den flyttas till sista dagen i nästa månad om motsvarande datum inte finns där.
Reglerna kan sammanfalla, och då blir resultatet inte uppenbart. Ett räkneexempel som följer alla tre: skickar du din begäran den 31 januari 2027 saknar februari ett den 31, så fristen landar först på den sista dagen i februari, det vill säga den 28 februari. Det datumet är en söndag, så fristen skjuts vidare till nästa arbetsdag, måndagen den 1 mars. En begäran som skickas den sista januari ska alltså besvaras senast den första mars. Det är knappt en månad enligt kalendern och drygt en månad enligt lagen, och skillnaden är värd att känna till innan du påminner för tidigt.
Priset är noll, ända tills det inte är det
Huvudregeln i artikel 12.5 är kategorisk. All information och alla åtgärder enligt artiklarna 15 till 22 ska tillhandahållas kostnadsfritt. Att skriva att ett registerutdrag alltid är gratis vore ändå fel, för samma artikel innehåller ett undantag: är dina begäranden uppenbart ogrundade eller orimliga, särskilt på grund av sin repetitiva art, får den personuppgiftsansvarige antingen ta ut en rimlig avgift som täcker de administrativa kostnaderna eller vägra att tillmötesgå begäran.
Bevisbördan ligger dock där den ska. Det åligger den personuppgiftsansvarige att visa att en begäran är uppenbart ogrundad eller orimlig, vilket IMY också framhåller. En avgift kan alltså inte tas ut för att det är besvärligt att ta fram uppgifterna, bara för att du frågar om och om igen utan grund. Ett närbesläktat fall är artikel 15.3, som tillåter en rimlig avgift baserad på administrativa kostnader för ytterligare kopior utöver den första. Den avgiften kan alltså aldrig träffa den första kopian, den handlar bara om kopia nummer två och framåt. Att ditt första utdrag lämnas utan kostnad är därmed huvudregeln, inte en garanti. Det enda som kan bryta den är undantaget i artikel 12.5, och då krävs att den personuppgiftsansvarige kan visa att just din begäran är uppenbart ogrundad eller orimlig.
Det du inte får ut
Här skiljer sig svensk rätt från den bild man får av en ren genomgång av förordningen, och det är den vanligaste orsaken till att ett registerutdrag känns tunnare än väntat.
Artikel 15.4 säger att rätten till en kopia inte ska inverka menligt på andras rättigheter och friheter. Skyddar en handling någon annan, till exempel genom att avslöja en visselblåsare eller en affärshemlighet, får den delen hållas inne. Dataskyddsstyrelsen understryker samtidigt att resultatet av en sådan avvägning aldrig får bli att du vägras all information, och att undantaget inte får tänjas ut till en generell ursäkt.
Svensk lag lägger till två egna begränsningar. Enligt 5 kap. 1 § dataskyddslagen gäller artikel 15 inte uppgifter som inte får lämnas ut enligt lag eller annan författning, och för privata aktörer inte heller uppgifter som hos en myndighet skulle ha varit sekretessbelagda. Enligt 5 kap. 2 § gäller artikel 15 inte personuppgifter i löpande text som ännu inte fått sin slutliga utformning, och inte heller minnesanteckningar eller liknande. Utkastet till ett omdöme om dig omfattas alltså inte. Men undantaget har i sin tur tre undantag: det gäller inte om uppgifterna har lämnats ut till tredje part, om de behandlas enbart för arkivändamål av allmänt intresse eller statistiska ändamål, eller om de legat kvar i oredigerad löpande text i mer än ett år. Ett utkast som aldrig blir färdigt förlorar med andra ord sitt skydd efter tolv månader.
Störst praktisk betydelse har 1 kap. 7 § dataskyddslagen, som undantar behandling för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande från artiklarna 5 till 30, alltså även från artikel 15. Det är den bestämmelsen som gör att söktjänsterna med utgivningsbevis kan avvisa både raderings- och tillgångsbegäranden. Hur det spelar ut i praktiken, och vad Högsta domstolens avgörande i februari 2025 kan komma att ändra, går vi igenom i genomgången av MrKoll och rättsläget.
När svaret uteblir
Vägrar organisationen att agera måste den enligt artikel 12.4 ändå höra av sig senast en månad efter begäran, förklara varför inga åtgärder vidtagits och upplysa dig om att du kan klaga till en tillsynsmyndighet och begära rättslig prövning. Ett tyst nej är alltså inget giltigt nej.
Kommer ingenting alls, börja med en påminnelse. IMY:s eget råd är att kontakta organisationen på nytt och vidhålla din rättighet enligt artikel 15, gärna via dataskyddsombudet. Hjälper inte det kan du lämna in ett klagomål till IMY. Räkna dock inte med att myndigheten hämtar uppgifterna åt dig. IMY är tillsynsmyndighet, inte ombud, och myndigheten skriver själv att den inte vet vilka personuppgifter andra verksamheter behandlar. Du kan alltså inte vända dig dit för att få ut uppgifterna, bara för att få behandlingen granskad.
Är motparten en myndighet har du en väg till som ofta glöms bort. Enligt 7 kap. 2 § dataskyddslagen får beslut enligt artiklarna 12.5 och 15 till 21, meddelade av en myndighet i egenskap av personuppgiftsansvarig, överklagas till allmän förvaltningsdomstol. Begär då ett skriftligt och motiverat beslut, så har du något att överklaga. Prövningstillstånd krävs i kammarrätten. Paragrafens tredje stycke drar samtidigt en gräns som är värd att känna till: överklagandevägen gäller inte beslut av regeringen, Högsta domstolen, Högsta förvaltningsdomstolen eller Riksdagens ombudsmän. Får du nej av någon av dem finns alltså ingen förvaltningsdomstol att gå till.
Utdraget är kartan, inte målet
Ett registerutdrag är sällan intressant i sig. Värdet ligger i att det visar var uppgifterna kom ifrån och vem de har lämnats vidare till, och det är precis den informationen du behöver för nästa steg. Ser du en datamäklare i mottagarlistan vet du var du ska begära radering härnäst, och den delen finns beskriven tjänst för tjänst i guiden om att ta bort dina personuppgifter från nätet. Eftersom uppgifter har en förmåga att komma tillbaka när nya datakörningar görs är det dessutom värt att bygga in kontrollerna i en rutin för löpande bevakning i stället för att göra ett engångssvep. Ett utdrag per år från de tjänster du faktiskt använder ger en förvånansvärt bra bild av hur din exponering rör sig över tid.
Utvald bild: Foto: Tima Miroshnichenko via Pexels.