Rätten till tillgång är den mest använda av rättigheterna i dataskyddsförordningen. Den gäller mot alla som behandlar personuppgifter om dig: butikskedjor, banker, arbetsgivare, föreningar, appar och myndigheter.

Du behöver inget formulär och ingen jurist. Ett mejl räcker.

Vad ska ett registerutdrag innehålla?

Du har rätt att få en kopia av personuppgifterna och dessutom besked om följande:

- vad uppgifterna används till
- vilka som har fått eller kommer att få del av dem
- hur länge de sparas, eller hur lagringstiden bestäms
- varifrån uppgifterna kommer, om de inte samlats in från dig
- om det förekommer automatiserat beslutsfattande
- vilka rättigheter du har, inklusive rätten att klaga till IMY

En kopia betyder inte alltid originalhandlingen. En begriplig sammanställning kan räcka, så länge du kan kontrollera att uppgifterna stämmer och behandlas lagligt.

Så formulerar du begäran

Skicka den skriftligt, så har du ett datum att räkna från. En text i den här stilen fungerar:

"Hej. Jag begär registerutdrag enligt artikel 15 i dataskyddsförordningen. Jag vill ha en kopia av de personuppgifter ni behandlar om mig, samt uppgift om ändamål, mottagare, lagringstid, varifrån uppgifterna kommer och om automatiserat beslutsfattande förekommer. Jag önskar svaret i elektronisk form. Mitt namn och mina kontaktuppgifter finns nedan."

Skickar du begäran elektroniskt ska du som regel få svaret elektroniskt, om du inte begär något annat.

Hur lång tid har företaget på sig?

| Fråga | Vad som gäller |
|---|---|
| Svarstid | Utan onödigt dröjsmål, senast en månad efter att begäran kommit in |
| Förlängning | Med högst två månader om begäran är komplicerad – du ska få besked om det inom den första månaden |
| Kostnad | Gratis |
| Avgift eller nekande | Bara om begäran är uppenbart ogrundad eller orimlig, till exempel om den upprepas gång på gång |
| Legitimering | Företaget får begära att du styrker din identitet vid rimlig tvekan |

Vad gör du om företaget inte svarar?

Börja med en skriftlig påminnelse där du hänvisar till datumet för den ursprungliga begäran. Många fall löser sig där, eftersom förfrågan hamnat hos fel person.

Hjälper det inte kan du lämna in ett klagomål till Integritetsskyddsmyndigheten. IMY utövar tillsyn och kan rikta krav mot den ansvarige, men myndigheten driver inte din sak som ombud och beslutar inte om skadestånd till dig.

Den som lidit skada av att uppgifter behandlats i strid med förordningen kan ha rätt till ersättning enligt artikel 82. Den frågan prövas i allmän domstol. Vad som gäller i ett enskilt fall är en juridisk bedömning – kontakta jurist eller läs IMY:s vägledning innan du går vidare.

Kan du få uppgifterna raderade i stället?

Rätten till radering, ofta kallad rätten att bli bortglömd, gäller i vissa situationer – exempelvis när uppgifterna inte längre behövs för ändamålet, när du återkallar ett samtycke som var enda grunden, eller när behandlingen varit olaglig.

Den är inte absolut. Ett företag kan vara skyldigt att spara vissa uppgifter enligt annan lagstiftning, till exempel bokföringsregler, och behöver då inte radera dem. Ett vanligt utfall är att kunduppgifter i marknadsföringsregister raderas medan underlag för genomförda köp ligger kvar.

Vad kan du inte få ut?

Rätten till tillgång gäller uppgifter om dig, inte allt material där du nämns. Uppgifter om andra personer kan behöva maskeras, och företagshemligheter eller upphovsrättsskyddat material omfattas inte automatiskt.

Begäran gäller heller inte handlingar i sig. Vill du ha ut allmänna handlingar från en myndighet är det offentlighetsprincipen som är vägen, inte ett registerutdrag.

Vanliga svar – och vad de betyder

Några standardsvar återkommer, och alla är inte korrekta.

"Vi har inga uppgifter om dig." Även det är ett svar du har rätt att få, och det ska lämnas inom samma tidsfrist.

"Fyll i vårt formulär och bifoga kopia på legitimation." Företaget får kontrollera din identitet vid rimlig tvekan, men kravet ska stå i proportion till situationen. Är du redan inloggad kund är behovet mindre.

"Vi tar ut en administrativ avgift." Utgångspunkten är att utdraget är gratis. Avgift får tas ut bara vid uppenbart ogrundade eller orimliga begäranden, och det är den personuppgiftsansvarige som ska visa att så är fallet.

"Uppgifterna är raderade." Då bör svaret ändå ange vad som funnits och varför det tagits bort, i den mån det går.

Särskilda regler i vissa sektorer

Grundreglerna är desamma överallt, men vård, skola, socialtjänst och arbetsliv har kompletterande bestämmelser som påverkar vad som lämnas ut och hur.

Inom hälso- och sjukvården finns till exempel egna regler om journalhandlingar vid sidan av dataskyddsförordningen. Som anställd kan du begära utdrag från din arbetsgivare, men uppgifter som rör andra anställda maskeras normalt.

Hos myndigheter finns två parallella vägar: registerutdrag enligt dataskyddsförordningen och begäran om allmän handling enligt offentlighetsprincipen. De ger olika saker, och det är värt att säga vilken av dem du menar.

Vad gör du med utdraget?

Gå igenom tre saker: stämmer uppgifterna, behövs de fortfarande för det ändamål som anges, och känner du igen mottagarna.

Hittar du fel har du rätt att få dem rättade. Ser du uppgifter som saknar syfte kan du begära radering. Är listan över mottagare längre än väntat är det ofta där det egentliga integritetsproblemet finns – inte i själva registret.

Ett bra tillfälle att städa

Ett registerutdrag visar ofta konton och tjänster man glömt bort. Kombinationen registerutdrag först, radering sedan är därför praktisk: du ser vad som finns innan du bestämmer vad som ska bort.