GDPR rättelse begäran Sverige

GDPR rättelse begäran i Sverige är ett formellt dokument som en registrerad person använder för att utöva rätten till rättelse av felaktiga eller ofullständiga personuppgifter enligt artikel 16 i Europaparlamentets och rådets förordning (EU) 2016/679 (GDPR) och lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Rätten till rättelse är en grundläggande dataskyddsrättighet som syftar till att säkerställa korrektheten av de personuppgifter som behandlas om en individ.

Artikel 16 GDPR ger den registrerade rätten att utan onödigt dröjsmål få felaktiga personuppgifter som rör hen rättade av personuppgiftsansvarig. Med beaktande av ändamålet med behandlingen har den registrerade dessutom rätten att komplettera ofullständiga personuppgifter, bland annat genom att tillhandahålla en kompletterande förklaring. Rätten gäller oavsett vilken rättslig grund behandlingen vilar på – samtycke, avtal, rättslig förpliktelse, allmänt intresse, grundläggande intressen eller berättigat intresse – och oavsett om uppgifterna är digitalt lagrade eller fysiskt arkiverade.

Artikel 19 GDPR kompletterar rättelsebegäran med en underrättelseskyldighet: om personuppgiftsansvarig rättar uppgiften ska var mottagare till vilken uppgifterna har lämnats underrättas om rättelsen, om det inte är omöjligt eller medför oproportionerlig ansträngning. Personuppgiftsansvarig ska dessutom informera den registrerade om dessa mottagare om den registrerade begär det. Denna underrättelsekyldighet är viktig då felaktiga uppgifter kan ha spridits till tredje part (kreditupplysningsbolag, myndigheter, samarbetspartners).

Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) fastslår Integritetsskyddsmyndigheten (IMY), Drottninggatan 29, 111 51 Stockholm, som tillsynsmyndighet och reglerar klagomålsrätten och överklagandeordningen. IMY publicerar vägledning om rättelse och övriga rättigheter på imy.se.

Rättelsebegäran i Sverige skiljer sig från fyra relaterade begäran. Begäran om registerutdrag (artikel 15 GDPR) är en förutsättning för rättelse – du behöver veta vilka uppgifter som finns registrerade innan du kan begära rättelse av dem. Begäran om radering (artikel 17 GDPR) raderar uppgifter du inte vill ska finnas kvar. Begäran om begränsning av behandling (artikel 18 GDPR) begränsar aktivt bruk under pågående tvist om korrekthet. Invändning (artikel 21 GDPR) invänder mot behandlingens syfte, inte mot uppgifternas korrekthet.

Praktiska exempel på rättelsebegäran. En person vars namn stavats fel i ett kundregister (Svenssen istället för Svensson). En person vars folkbokföringsadress ändrats men kreditupplysningsbolaget fortfarande visar gammal adress. En person vars medborgarskap felaktigt angivits hos Migrationsverket. En anställd vars examensuppgifter är felregistrerade i HR-systemet. En patient vars journal innehåller felaktig diagnoskod. En kund vars köphistorik felaktigt attributerats till annan kund. På forms-legal.com finns kompletta mallar för alla GDPR-relaterade begäran.

GDPR rättelsebegäran i Sverige används i en rad situationer där personuppgifter om en individ är felaktiga eller ofullständiga hos en organisation.

Kreditupplysningsbolag och kreditregister. Felaktiga uppgifter hos kreditupplysningsföretag som Dun & Bradstreet, Bisnode (Infopact), Creditsafe och UC (Upplysningscentralen) kan ha stora konsekvenser för kreditvärdighet, hyresansökan, telefonabonnemang och affärsrelationer. Felaktiga betalningsanmärkningar, fel personnummer, felaktiga adresser eller inaktuell skuldinformation kan rättas per artikel 16 GDPR och lag (2018:218). Kreditupplysningsbolag är bundna av kreditupplysningslagen (1973:1173) parallellt med GDPR. IMY har utfärdat vägledning om rättelse hos kreditupplysningsföretag.

Myndighetsregister. Felaktiga uppgifter hos statliga myndigheter och kommuner kan ha allvarliga följder. Folkbokföringen hos Skatteverket kan visa felaktig adress, namn, civilstånd eller medborgarskap. Migrationsverket kan ha felaktig uppehållsstatus eller nationellt registernummer. Försäkringskassan kan ha felaktig sjukfrånvarohistorik. Arbetsförmedlingen kan ha felaktig utbildningshistorik. Rättelse begärs direkt hos respektive myndighet med DPA eller dataskyddsombudet som mottagare. Offentlighets- och sekretesslagen (2009:400) och förvaltningslagen (2017:900) tillämpas parallellt.

Hälso- och sjukvårdsregister. Felaktiga diagnoser, felaktiga läkemedelsdoser eller felaktiga patientidentitetsuppgifter i journaler kan påverka vård och behandling allvarligt. Patientdatalagen (2008:355) ger patienter rätt till rättelse av journaluppgifter. Journalanteckningar kan spärras men inte alltid raderas på grund av medicinsk dokumentationsskyldighet. Inspektionen för vård och omsorg (IVO) och IMY har tillsyn parallellt.

HR-system och arbetsgivarregister. Felaktiga personaluppgifter hos arbetsgivare, rekryteringsbolag och HR-system (Visma, Workday, SAP SuccessFactors) kan påverka karriär och ersättning. Felaktig lön, felaktig tjänstetitel, felaktig anställningstid, saknad examen eller felaktig frånvarostatistik kan rättas per artikel 16 GDPR. Rättelsebegäran till arbetsgivare bör skickas till HR-avdelningen eller dataskyddsombudet. Arbetsrättsliga regelverk (anställningsskyddslagen (1982:80), diskrimineringslagen (2008:567)) tillämpas parallellt.

Sociala medier och digitala plattformar. Felaktiga profiluppgifter, felaktigt attributerade inlägg eller felaktig personlig information hos Facebook, Instagram, LinkedIn, Twitter/X, Tiktok kan rättas per artikel 16 GDPR. LinkedIn tillåter redigering av profildata direkt men felaktiga uppgifter i bakgrundskontrollrapporter genererade från plattformen kräver formell rättelsebegäran.

Försäkringbolag och pensionsförvaltare. Felaktiga uppgifter hos Folksam, Trygg-Hansa, Länsförsäkringar, Alecta, SPP eller Skandia kan påverka försäkringsskydd och pensionsutbetalningar. Felaktig riskklassificering, felaktigt registrerat skadehistorik eller felaktiga förmånstagarsuppgifter kan rättas. Försäkringsavtalslagen (2005:104) och pensionsreglerna tillämpas parallellt.

Bankregister och betalningshistorik. Felaktiga uppgifter i bankens system om adress, identitet, transaktionshistorik eller kredithistorik kan rättas per artikel 16 GDPR. Banksekretessen i bankrörelselagen (2004:297) 1 kap. 10 § gäller parallellt. Finansinspektionen och IMY har gemensam tillsyn vid finansiella personuppgifter.

GDPR rättelsebegäran i Sverige måste innehålla specifika element för att säkerställa att personuppgiftsansvarig kan identifiera dig, förstå vad som är fel och vidta korrekt åtgärd.

Identifiering av den registrerade. Fullständigt namn, födelsedag (ÅÅÅÅ-MM-DD) eller personnummer (ÅÅÅÅMMDD-XXXX), e-postadress registrerad hos den ansvarige och eventuellt kundnummer, ärendenummer, patientnummer, personnummer eller annan referens som hjälper den ansvarige att hitta dina uppgifter i sina system. Oproportionerlig identifiering (krav på passkopiering) kan bestridas.

Identifiering av personuppgiftsansvarig. Fullständigt namn och, om känt, organisationsnummer (XXXXXX-XXXX) för den organisation du riktar begäran till. Adress till dataskyddsombudet (DPO) om sådant finns, annars till dataskyddsfunktionen (vanligen dataskydd@, dpo@, privacy@, gdpr@). Begäran bör skickas via spårbart medium.

Specifikation av felaktig uppgift. Beskriv exakt vilken uppgift som är felaktig. Ange om möjligt fältnamn eller kategori (namn, adress, födelsedag, personnummer, diagnos, anmärkning), det felaktiga värdet och var i systemet det förekommer. Ju mer specifik du är, desto snabbare kan rättelse göras. Vaghet leder till kompletteringskrav och fördröjning.

Specifikation av korrekt uppgift. Ange den korrekta uppgiften med tillräcklig specificitet. Vid namnändring ange korrekt stavning. Vid adressändring ange fullständig korrekt adress. Vid födelsedag ange korrekt datum i ÅÅÅÅ-MM-DD-format. Vid personnummer ange korrekt format ÅÅÅÅMMDD-XXXX.

Ofullständiga uppgifter. Om du begär komplettering av ofullständiga uppgifter per artikel 16 andra meningen GDPR, ange vad som saknas och vad kompletteringen ska innehålla. Exempelvis: saknat examensbevis, saknad tjänstebeteckning, saknad nationalitet.

Stöddokument. Vid rättelse av officiella uppgifter (namn, personnummer, födelsedag) är stöddokument nödvändiga. Relevanta dokument inkluderar kopia av pass eller nationellt ID, folkbokföringsbevis från Skatteverket, examensbevis, arbetstillstånd, läkarintyg. Ange vilka dokument som bifogas.

Datum och underrättelse om mottagare. Datumet startar svarstiden. Begär att den ansvarige per artikel 19 GDPR underrättar varje mottagare som fått de felaktiga uppgifterna. Detta är särskilt viktigt om felaktiga uppgifter har delats med kreditupplysningsbolag, myndigheter eller samarbetspartners.

Rättslig hänvisning och påföljder. Hänvisning till artikel 16 GDPR och lag (2018:218). Information om svarstidsfrist (en månad) och rätt att inge klagomål till IMY. På forms-legal.com finns kompletta mallar för alla GDPR-begäran i Sverige.

GDPR rättelsebegäran i Sverige fylls i och skickas korrekt enligt följande steg.

Steg 1 - Skaffa registerutdrag först. Innan du begär rättelse bör du skaffa ett registerutdrag (artikel 15 GDPR) för att veta exakt vilka uppgifter som är registrerade. Utan registerutdrag riskerar du att missa felaktiga uppgifter eller begära rättelse av fel kategori. Begäran om registerutdrag kan skickas med den separata mall som finns på forms-legal.com.

Steg 2 - Identifiera felaktiga och ofullständiga uppgifter. Gå igenom registerutdraget och markera uppgifter som är felaktiga (fel värde) eller ofullständiga (saknad information). Notera i vilket system, databas eller register uppgiften finns. Artikel 16 GDPR ger rätt till rättelse av felaktiga uppgifter och komplettering av ofullständiga uppgifter.

Steg 3 - Samla stöddokument. Förbered dokument som styrker de korrekta uppgifterna. För namnrättelse: folkbokföringsbevis eller pass. För adressrättelse: folkbokföringsbevis från Skatteverket (skatteverket.se, e-tjänsten Min skattemyndighet). För personalkorträttelse: examensbevis, tjänsteintyg. För medicinska uppgifter: intyg från läkare eller annan vårdgivare.

Steg 4 - Fyll i identifikationsuppgifter. Ange ditt fullständiga namn, födelsedag, registrerade e-postadress och eventuellt kundnummer eller ärendenummer. Dessa hjälper den ansvarige att snabbt hitta dina uppgifter.

Steg 5 - Beskriv det som är fel och det som är rätt. Var konkret: 'Mitt efternamn är felstavat som Svansen i ert CRM-system, rätt stavning är Svensson.' 'Min födelsedag anges som 1987-02-23 men korrekt datum är 1978-03-22.' 'Min arbetsort registrerades som Göteborg men jag arbetar i Stockholm sedan 2020-01-01.'

Steg 6 - Begär underrättelse till mottagare. Inkludera en begäran om att den ansvarige per artikel 19 GDPR underrättar varje mottagare som fått de felaktiga uppgifterna. Be om information om vilka mottagare som underrättas.

Steg 7 - Skicka begäran med spårning. Skicka via e-post till DPO eller dataskyddsfunktionen med läskvitto. Alternativt via rekommenderat brev. Bevara avsänt e-postmeddelande och eventuellt brev.

Steg 8 - Bevaka svar och följ upp. Personuppgiftsansvarig ska svara inom en månad. Svarar de att rättelse gjorts, kontrollera att den faktiskt genomförts. Om svar uteblir eller rättelse vägras utan giltig motivering, inge klagomål till IMY (imy.se, [email protected], telefon 08-657 61 00). Vid ekonomisk eller immateriell skada av felaktiga uppgifter, överväg skadeståndskrav per artikel 82 GDPR.

GDPR rättelsebegäran i Sverige regleras av ett specifikt rättsligt ramverk som ger den registrerade stärka rättigheter och ålägger den personuppgiftsansvarige tydliga skyldigheter.

Artikel 16 GDPR – rätten till rättelse. Den registrerade ska ha rätt att av personuppgiftsansvarig utan onödigt dröjsmål få felaktiga personuppgifter som rör den registrerade rättade. Med beaktande av ändamålet med behandlingen har den registrerade rätt att komplettera ofullständiga personuppgifter. 'Utan onödigt dröjsmål' tolkas av EDPB som snarast möjligt givet omständigheterna, alltid inom tidsfristen för svar (en månad per artikel 12.3).

Artikel 19 GDPR – underrättelsskyldighet. Personuppgiftsansvarig ska underrätta varje mottagare till vilken uppgifterna lämnats om varje rättelse per artikel 16 GDPR, om det inte är omöjligt eller medför oproportionerlig ansträngning. Den registrerade ska informeras om dessa mottagare på begäran. Denna skyldighet är central när felaktiga uppgifter spridits till tredje part.

Artikel 12.3 GDPR – svarstid en månad. Personuppgiftsansvarig ska informera den registrerade om åtgärder som vidtagits utan onödigt dröjsmål och senast inom en månad. Förlängning på ytterligare två månader möjlig vid komplexa begäran. Avslag ska motiveras skriftligen med hänvisning till specifik artikel.

Dataskyddsprincipen om korrekthet (artikel 5.1.d GDPR). Principen om uppgifternas korrekthet kräver att personuppgifter ska vara korrekta och om nödvändigt uppdaterade, och att varje rimlig åtgärd vidtas för att säkerställa att felaktiga personuppgifter raderas eller rättas utan dröjsmål. Bristande korrekthet är ett brott mot artikel 5 GDPR som kan leda till sanktionsavgifter per artikel 83.5 GDPR.

Kreditupplysningslagen (1973:1173). Vid rättelse hos kreditupplysningsbolag tillämpas kreditupplysningslagen parallellt med GDPR. Lagen ger rätt att begära borttagande av inaktuella uppgifter och felaktiga anmärkningar. IMY och Konsumentverket har gemensam tillsyn.

Patientdatalagen (2008:355). Vid rättelse av journaluppgifter tillämpas patientdatalagen 3 kap. 11 §, som ger patienter rätt till rättelse av felaktiga uppgifter i patientjournal. Rättelse kan ske i form av tillägg (ny anteckning) eller, om möjligt, direkträttelse. IVO och IMY har tillsyn.

Folkbokföringslagen (1991:481) och skatteförfarandelagen (2011:1244). Vid rättelse av folkbokföringsuppgifter hos Skatteverket tillämpas folkbokföringslagen. Skatteverket hanterar folkbokföringsändringar och personnummerkorrigeringar.

Administrativa sanktionsavgifter artikel 83.5 GDPR. Brott mot dataskyddsprincipen om korrekthet (artikel 5.1.d) och rätten till rättelse (artikel 16 GDPR) kan leda till sanktionsavgifter på upp till 20 miljoner euro eller 4% av global omsättning per artikel 83.5. IMY kan dessutom utfärda förelägganden.

Vanliga misstag vid GDPR rättelsebegäran i Sverige som leder till försenat svar eller avslag.

Misstag 1 - Begäran utan registerutdrag. Att begära rättelse utan att först skaffa ett registerutdrag (artikel 15 GDPR) innebär risk att missa andra felaktiga uppgifter. Registerutdraget visar exakt vilka uppgifter som finns registrerade. Komplettera alltid med registerutdrags-mall från forms-legal.com om du inte redan har aktuellt utdrag.

Misstag 2 - Otillräcklig specificitet. Vaga formuleringar som 'rätta mina uppgifter' eller 'mina uppgifter är fel' leder till krav på komplettering och fördröjning. Ange exakt vilken uppgift (fält, kategori), det felaktiga värdet och det korrekta värdet. Ju mer specifik, desto snabbare svar.

Misstag 3 - Saknade stöddokument vid officiella uppgifter. Rättelse av officiella identitetsuppgifter (namn, personnummer, födelsedag) utan stöddokument avslås vanligtvis. Skatteverkets folkbokföringsbevis (beställs på skatteverket.se) styrker adress och personnummer. Kopia av pass eller nationellt ID styrker namn och födelsedag.

Misstag 4 - Ingen begäran om underrättelse till mottagare. Den registrerade glömmer begära att ansvarig per artikel 19 GDPR underrättar mottagare som fått felaktiga uppgifter. Detta är kritiskt vid kreditupplysningsbolag (Dun & Bradstreet, UC, Creditsafe) som fått felaktiga uppgifter från banken. Inkludera alltid en explicit begäran om mottagarunderrättelse.

Misstag 5 - Begäran riktas till fel enhet. Begäran skickas till kundtjänst istället för dataskyddsombudet (DPO) eller dataskyddsfunktionen. Kundtjänst hanterar vanligtvis inte GDPR-begäran och kan fördröja processen. Hitta DPO-kontakt i integritetspolicyn (artikel 13.1.b GDPR) eller på IMY:s förteckning.

Misstag 6 - Rättelse begärs för uppgifter som inte kan rättas. Journalanteckningar kan enligt patientdatalagen (2008:355) inte alltid direkträttas – rättelse sker i form av tillägg. Historiska bokföringsuppgifter kan inte ändras på grund av bokföringslagens (1999:1078) krav på bevarandeintegritet. Domar och officiella beslut kan inte rättas av den ansvarige som mottagit dem. Förstå begränsningarna innan du begär rättelse.

Misstag 7 - Passivitet vid avslag. Den ansvarige avslår begäran utan tillräcklig motivering och den registrerade tar inte action. Avslag ska motiveras med specifik rättslig grund och information om klagomålsrätten per artikel 12.4 GDPR. Omotiverade avslag kan anmälas till IMY (imy.se) som kan utfärda föreläggande.