GDPR-begäran om Radering Sverige (Rätten att bli bortglömd)

Vad är en begäran om radering?

Rätten till radering — ofta kallad rätten att bli bortglömd — ger dig som registrerad rätt att kräva att en personuppgiftsansvarig tar bort dina personuppgifter utan onödigt dröjsmål. Grunden finns i GDPR artikel 17, som räknar upp de situationer där radering ska ske. Det rör sig inte om en enkel önskan utan om en rättsligt bindande begäran som den personuppgiftsansvariga måste pröva och besvara.

Personuppgiftsansvarig är den organisation — ett företag, en myndighet, en förening eller en privatperson — som bestämmer ändamålen och medlen för behandlingen av dina uppgifter. Mottagaren av din begäran har alltså ansvaret för att faktiskt radera uppgifterna om villkoren i artikel 17 är uppfyllda.

Rätten är inte absolut. GDPR artikel 17 listar situationer där rätten till radering inte gäller, exempelvis när behandlingen behövs för att fullgöra en rättslig förpliktelse eller för att fastställa, utöva eller försvara rättsliga anspråk. En välformulerad begäran visar att du känner till dessa undantag och förklarar varför de inte är tillämpliga i ditt fall.

När behöver du en begäran om radering?

En begäran om radering är aktuell i ett antal konkreta situationer som alla täcks av artikel 17 GDPR. Den vanligaste är att du återkallar det samtycke som ursprungligen gav organisationen rätt att behandla dina uppgifter, och det inte finns någon annan rättslig grund som motiverar fortsatt behandling.

Andra situationer inkluderar:

• Uppgifterna är inte längre nödvändiga för de ändamål för vilka de samlades in eller på annat sätt behandlades.
• Du invänder mot behandlingen och den personuppgiftsansvarige saknar tvingande berättigade skäl som väger tyngre än dina intressen.
• Uppgifterna har behandlats på ett sätt som inte är lagligt.
• Uppgifterna avser ett barn och samlades in i samband med informationssamhällets tjänster.

En skriftlig begäran är alltid att föredra framför muntliga påpekanden. Med en dokumenterad begäran skapar du ett spår som är avgörande om du senare behöver anmäla ärendet till Integritetsskyddsmyndigheten (IMY) eller driva det vidare på annat sätt.

Vad ska begäran innehålla?

En välstrukturerad begäran om radering bör innehålla ett antal centrala delar för att vara effektiv och lätt att hantera för mottagaren.

Tydlig identifiering. Ange ditt fullständiga namn, din e-postadress och eventuella kundnummer eller användaridentitet som knyter dig till organisationens register. Den personuppgiftsansvarige behöver kunna identifiera vilka uppgifter som avses.

Specificering av vilka uppgifter som ska raderas. Var så konkret som möjligt. Gäller begäran alla uppgifter som organisationen behandlar om dig, eller handlar det om ett specifikt konto, ett köphistorik eller uppgifter i ett visst system? Ju mer precis du är, desto svårare blir det för organisationen att undvika att agera på din begäran.

Den rättsliga grunden för din begäran. Ange att du åberopar rätten till radering enligt GDPR artikel 17 och, om relevant, lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. Om du återkallar ett samtycke ska detta framgå uttryckligen.

Motiveringen. Beskriv kortfattat varför villkoren för radering är uppfyllda. Det räcker med en till två meningar per grund du åberopar. Undvik långa resonemang — tydlighet väger tyngre än längd.

Begäran om bekräftelse. Be att få en skriftlig bekräftelse på att radering har skett, vilka system som berörs och om uppgifterna har delats med tredje part (i så fall ska den personuppgiftsansvarige även underrätta dessa om din begäran).

Kontaktuppgifter och datum. Ange hur du vill bli kontaktad och sätt ett datum på begäran. Datumet är viktigt eftersom tidsfristen för svar löper från den dag begäran tas emot.

Hur fyller du i och skickar begäran?

Börja med att identifiera rätt mottagare. Begäran ska skickas till den personuppgiftsansvarige, inte till ett generellt kundtjänstnummer. Större organisationer är skyldiga att ha ett dataskyddsombud och många publicerar en dedikerad e-postadress för dataskyddsfrågor på sin webbplats.

Skicka begäran på ett sätt som ger dig ett bevis på att den nått fram. En e-postbegäran med läskvitto, ett brev med mottagningsbevis eller organisationens eget formulär med en automatisk bekräftelse — alla dessa fungerar. Vad som inte fungerar lika bra är ett muntligt samtal, eftersom det inte lämnar något spår.

Du kan använda en färdig mall för att säkerställa att alla nödvändiga delar finns med. En strukturerad GDPR-begäran om Radering Sverige (Rätten att bli bortglömd) hjälper dig att formulera dig korrekt och minskar risken för att begäran avvisas på formella grunder.

Den personuppgiftsansvarige ska enligt GDPR artikel 17 agera utan onödigt dröjsmål och ha en lagstadgad svarstid på plats. Om svar uteblir eller om radering nekas utan giltigt skäl, kan du anmäla ärendet till Integritetsskyddsmyndigheten (IMY).

Vanliga misstag som försvårar processen

Vag formulering. En begäran som lyder "radera allt om mig" utan att specificera vilket konto, vilken tjänst eller vilka uppgifter ger den personuppgiftsansvarige utrymme att avfärda begäran som för otydlig för att hantera. Var specifik.

Att missa rätt mottagare. Att skicka begäran till en allmän support-inkorg i stället för till dataskyddsombudet eller den angivna dataskyddskontakten försenar processen. Sök upp organisationens integritetspolicy och hitta korrekt kontaktuppgift.

Att inte spara kopior. Utan en kopia av den skickade begäran och organisationens svar har du inget underlag om ärendet behöver eskaleras till IMY. Spara alltid e-postkorrespondensen eller skanna brevet.

Att anta att begäran automatiskt leder till radering. Organisationen har rätt att bedöma om undantagen i artikel 17 GDPR är tillämpliga. Nekade begäranden är inte ovanliga, exempelvis när uppgifterna krävs för pågående avtal eller rättsliga förpliktelser. Om du nekas ska du begära skriftlig motivering.

Att inte följa upp. Om svar uteblir under den lagstadgade perioden bör du skicka en påminnelse och dokumentera att du gjort det. Om det fortfarande inte händer något är vägen till IMY öppen.

Att blanda ihop rätten till radering med rätten till rättelse. Rätten till radering gäller uppgifter du vill att organisationen tar bort helt. Rätten till rättelse — som regleras i en annan artikel i GDPR — gäller felaktiga eller ofullständiga uppgifter som du vill ha korrigerade. Använd rätt rättslig grund för rätt ändamål.

Vad händer efter att begäran är skickad?

När en giltig begäran om radering mottas ska den personuppgiftsansvarige utan onödigt dröjsmål vidta åtgärder och meddela dig skriftligen om resultatet. Om radering sker ska organisationen, i den mån det är möjligt, även underrätta mottagare till vilka uppgifterna lämnats ut om att radering begärts.

Om begäran avslås ska du få ett skriftligt svar med motivering och information om din rätt att anmäla beslutet till en tillsynsmyndighet samt om möjligheten att söka rättslig prövning. I Sverige är tillsynsmyndigheten Integritetsskyddsmyndigheten (IMY), och en anmälan till IMY kostar ingenting. En anmälan kan leda till att IMY ålägger den personuppgiftsansvarige att vidta åtgärder eller att administrativt sanktionsavgifter påförs.

Att känna till processen, använda ett genomtänkt dokument och följa upp metodiskt är det mest effektiva sättet att utöva rätten att bli bortglömd i praktiken.

Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning klargör hur GDPR tillämpas i Sverige och ger IMY de verktyg som behövs för att upprätthålla dataskyddsreglerna nationellt. Rätten till radering är alltså förankrad i både EU-rätten och svensk lagstiftning, vilket stärker din ställning som registrerad. Med rätt förberedelse och ett välformulerat dokument har du goda förutsättningar att driva igenom din begäran — och om det ändå inte fungerar finns tillsynsmyndigheten som ett sista alternativ utan kostnad för dig.