GDPR är en EU-förordning som bestämmer vad företag, myndigheter och föreningar får göra med uppgifter om dig. Den heter formellt förordning (EU) 2016/679 och tillämpas i hela unionen sedan den 25 maj 2018, enligt artikel 99.2. I Sverige fylls den ut av dataskyddslagen, som i sin första paragraf säger just att den kompletterar förordningen. Tillsynsmyndighet är Integritetsskyddsmyndigheten, IMY.
Den delen är lätt att hitta. Det som är svårare att få klart för sig är vilka rättigheter du faktiskt har, hur starka de är och när de tar slut. De flesta genomgångar räknar upp sex rättigheter. IMY räknar upp åtta.
Personuppgift betyder något smalare än du tror, och något bredare
Förordningen gäller bara personuppgifter, och artikel 4.1 definierar dem som varje upplysning som avser en identifierad eller identifierbar fysisk person. IMY:s egen exempellista är mer upplysande än definitionen. Namn, adress, personnummer, telefonnummer och e-postadress är personuppgifter. Det är också ett foto på dig, och din IP-adress när du surfar, vilket är en av anledningarna till att det går att säga en hel del om en besökare från bara IP-adressen.
Lika viktig är listan över vad som inte är personuppgifter. Ett organisationsnummer är det inte, eftersom det pekar på en juridisk person. Undantaget är enskild firma, där personnumret används som organisationsnummer och uppgiften därmed pekar rakt på en människa. Samma logik styr registreringsnumret på en bil: äger du bilen privat är numret en personuppgift, äger företaget den är det inte. Uppgifter om avlidna omfattas inte alls.
Att gränsen går vid fysisk person är inte en teknikalitet. Den avgör vilket regelverk som gäller i en lång rad vardagssituationer, och den är skälet till att en generell brevlåda hos ett företag behandlas annorlunda än en namngiven medarbetares adress.
Åtta rättigheter, inte sex
Rättigheterna bor i artiklarna 13 till 22 i förordningen. Den vanliga sammanfattningen nämner sex av dem: tillgång, rättelse, radering, begränsning, dataportabilitet och invändning. IMY:s egen ingång för privatpersoner har åtta rubriker, och de två som brukar falla bort är inte de minst användbara.
| Rättighet | Artikel | Vad den ger dig |
|---|---|---|
| Rätt till information | 13 och 14 | Besked om behandlingen redan när uppgifterna samlas in, utan att du behöver fråga |
| Rätt till tillgång | 15 | Bekräftelse på om uppgifter behandlas, en kopia på dem och åtta slags kringinformation |
| Rätt till rättelse | 16 | Felaktiga uppgifter rättade och ofullständiga kompletterade |
| Rätt till radering | 17 | Uppgifter borttagna på någon av sex uppräknade grunder |
| Rätt till begränsning | 18 | Uppgifterna frysta i väntan på att något utreds |
| Rätt till dataportabilitet | 20 | Dina uppgifter i maskinläsbart format, och flyttade till någon annan |
| Rätt att invända | 21 | Stopp för behandling som vilar på intresseavvägning eller allmänt intresse, och ovillkorligt stopp för direktmarknadsföring |
| Skydd mot automatiserade beslut | 22 | Rätt att inte bli bedömd enbart av en algoritm, och att få en människa att titta på beslutet |
Rätten till information är den enda som organisationen måste uppfylla självmant. IMY listar nio punkter som du ska få veta, bland annat varför uppgifterna används, hur länge de sparas, vem som tar del av dem och hur du tar tillbaka ett samtycke. Står det inte i integritetspolicyn är det i sig en brist.
Skyddet mot automatiserade beslut träffar sådant som ett nekat lån på nätet eller ett avslag i en digital rekrytering. Enligt IMY måste den som fattar beslutet berätta att det är automatiserat, låta dig få det granskat av en riktig människa och ge dig möjlighet att bestrida det.
Rättigheterna är olika starka, och den starkaste nämns sällan
Att räkna upp rättigheterna sida vid sida ger intrycket att de väger lika mycket. Läser man artiklarna märker man snabbt att de inte gör det, och skillnaden syns i hur många villkor och undantag som är inskrivna i själva texten.
Rätten till radering i artikel 17 är den som oftast åberopas och samtidigt en av de mest villkorade. Den kan bara utövas på någon av sex uppräknade grunder, och artikel 17.3 räknar därefter upp fem situationer där den inte gäller alls, bland annat yttrande- och informationsfrihet och arkivändamål. Rätten till dataportabilitet i artikel 20 är ännu snävare: den kräver två villkor samtidigt, att behandlingen grundar sig på samtycke eller avtal och att den sker automatiserat. Vilar behandlingen på en intresseavvägning eller på myndighetsutövning finns rätten helt enkelt inte.
Sedan finns undantaget. Artikel 21.2 ger dig rätt att när som helst invända mot att dina uppgifter används för direkt marknadsföring, och artikel 21.3 lyder att uppgifterna då inte längre får behandlas för sådana ändamål. Där finns ingen intresseavvägning, ingen lista över situationer när det inte gäller och inget krav på att du motiverar dig. Det är den enda rättigheten i hela kapitlet som är formulerad som en ren avstängningsknapp, och den är också den som knappast någon känner vid namn. Artikel 21.4 kräver dessutom att du uttryckligen upplyses om den senast vid första kontakten, tydligt och åtskilt från annan information.
Slutsatsen är praktisk. Vill du bli av med reklamutskick är invändning en snabbare väg än radering, eftersom motparten inte har något att väga mot.
Hur du använder dem
Det finns inga formkrav. Du kan framställa en begäran muntligt, men IMY rekommenderar skriftlig form av bevisskäl. Har organisationen ett dataskyddsombud är det rätt adress, och kontaktuppgifterna brukar stå i integritetspolicyn.
Två regler gäller alla åtta rättigheterna. Enligt artikel 12.5 ska det vara kostnadsfritt, med det snäva undantaget att uppenbart ogrundade eller upprepade begäranden får kosta en rimlig avgift, och bevisbördan för det ligger hos motparten. Enligt artikel 12.3 ska du få svar utan onödigt dröjsmål och senast inom en månad, med möjlighet till två månaders förlängning som du i så fall måste underrättas om inom den första månaden. Hur den månaden räknas är förvånansvärt exakt reglerat, och den detaljen tillsammans med undantagen gås igenom i vår guide om att begära ut ett registerutdrag.
Var förordningen tar slut
Den vanligaste besvikelsen är att GDPR inte biter där man hoppats. IMY beskriver två stora undantag. Det första är privatundantaget: förordningen gäller inte när en fysisk person behandlar uppgifter i verksamhet av rent privat natur, som en privat adressbok eller en övervakningskamera som bara filmar den egna tomten. Det andra är yttrande- och informationsfriheten, där tryckfrihetsförordningen och yttrandefrihetsgrundlagen går före, och där de flesta av förordningens bestämmelser inte gäller vid journalistiska ändamål.
Det undantaget är förklaringen till en sak många stöter på: personsöktjänster med utgivningsbevis kan fortsätta visa uppgifter om dig trots en raderingsbegäran. Rättsläget kring dem behandlas för sig i genomgången av MrKoll och de andra söktjänsterna. GDPR hindrar inte heller myndigheter från att lämna ut allmänna handlingar enligt offentlighetsprincipen, vilket är själva anledningen till att uppgifter tenderar att komma tillbaka och till att det lönar sig att bevaka sina personuppgifter löpande i stället för att göra ett engångssvep. Vill du gå igenom tjänsterna en och en finns de samlade i guiden om att ta bort dina personuppgifter från nätet.
Om du inte får svar
Börja med den personuppgiftsansvarige själv, gärna via dataskyddsombudet. Går det inte vidare ger artikel 77 dig rätt att lämna in ett klagomål till en tillsynsmyndighet, i Sverige IMY. Räkna inte med att myndigheten hämtar uppgifterna åt dig, den granskar behandlingen. Artikel 82 ger dessutom rätt till ersättning för materiell eller immateriell skada till följd av en överträdelse, alltså även för sådant som inte kostat dig pengar.
Rättigheterna är inte svåra att använda. De är svåra att komma ihåg att man har. Den som en gång skickat en begäran och fått ett svar brukar upptäcka att tröskeln var lägre än förväntat, och att det mest överraskande inte är vad som står i svaret utan var uppgifterna kom ifrån.
Den här texten är en allmän genomgång av regelverket, inte juridisk rådgivning.
Utvald bild: Foto: Anastassia Anufrieva via Unsplash.