Ja, under vissa villkor har du rätt enligt artikel 17 GDPR att få dina personuppgifter raderade. För sökträffar gäller en särskild prövning som i stället kan leda till att en länk tas bort från en sökmotors index, inte att originalinnehållet försvinner. Nästa steg är att vända dig till den som behandlar uppgifterna eller till sökmotorn, och vid avslag kan du klaga till Integritetsskyddsmyndigheten.
Kort sagt:
- Ange exakt vilka uppgifter eller webbadresser som berör dig, styrk din identitet, åberopa en grund i artikel 17 och bemöt sannolika undantag.
- Sökmotorn väger integritetsintresset mot allmänhetens informationsintresse; inaktuella eller missvisande uppgifter om privatpersoner talar för borttagning, medan journalistik och offentlig roll talar emot.
- Mottagaren ska svara inom en månad; vid komplexa ärenden får fristen förlängas med högst två månader, men du ska underrättas under första månaden.
- En borttagen sökträff raderar inte originalartikeln, och en bekräftad radering når inte alltid omedelbart säkerhetskopior eller kopior hos alla underleverantörer.
- Vid avslag eller uteblivet svar efter tidsfristen kan du klaga hos Integritetsskyddsmyndigheten, som kan utreda ärendet och ingripa mot ansvarig verksamhet.
Innehållsförteckning
- Vad innebär rätten till radering enligt artikel 17 GDPR?
- När gäller rätten att bli bortglömd för sökträffar?
- Undantag: när uppgifter får behållas enligt artikel 17(3)
- Så skriver och skickar du en begäran om radering eller borttagning
- Tidsfrister: vad du kan förvänta dig efter att du skickat din begäran
- Om din begäran avslås: klagomål och rättsliga möjligheter
- Praktiska råd: dokumentation, argumentation och professionell hjälp
- Gäller rätten lika i offentlig och privat sektor?
- Utmaningar med molntjänster och internationell dataöverföring
- Dataskyddsombudets roll vid raderingsbegäranden
- Påverkan på arkivering och registerhantering
- Perspektiv: vad praxis faktiskt förändrat för individer
- Så kan vi hjälpa din organisation hantera raderingsbegäranden
- Vanliga frågor
- Källor
Vad innebär rätten till radering enligt artikel 17 GDPR?
Artikel 17 i dataskyddsförordningen ger dig rätt att under vissa förutsättningar få dina personuppgifter raderade hos den som behandlar dem. Rätten gäller inte generellt utan är kopplad till konkreta grunder, och den väger alltid mot andra intressen som yttrandefrihet och lagstadgade skyldigheter.
De vanligaste grunderna för radering är:
- Uppgifterna är inte längre nödvändiga för det ändamål de samlades in för.
- Du har återkallat ditt samtycke och det finns ingen annan rättslig grund för behandlingen.
- Behandlingen är olaglig, till exempel när den saknat rättslig grund från början.
- Du har invänt mot behandlingen och det saknas berättigade skäl som väger tyngre.
Rätten är inte absolut, och rätten till radering enligt artikel 17 GDPR gäller bara när en av dessa grunder är uppfylld och inget undantag träder in. Det är också viktigt att skilja på radering hos den ursprungliga personuppgiftsansvarige och borttagning i en sökmotors index: det första tar bort uppgiften helt, det andra tar bara bort synligheten i sökresultat på ditt namn.
När gäller rätten att bli bortglömd för sökträffar?
Bakgrunden till dagens praxis för sökmotorer är EU-domstolens avgörande i Google Spain-målet, där domstolen slog fast att sökmotorer i vissa fall är skyldiga att ta bort länkar kopplade till ett personnamn, även om ursprungsartikeln ligger kvar på den publicerande sidans webbplats. Avgörandet gäller fortfarande som grund för hur en begäran om borttagning prövas i Europa.
Prövningen är alltid en avvägning mellan ditt integritetsintresse och allmänhetens rätt till information. IMY beskriver att journalistiska publiceringar och uppgifter om offentliga personer ofta väger tyngre än integritetsintresset.
Faktorer som talar för borttagning:
- Uppgifterna är föråldrade och saknar aktuell relevans.
- Du är en privatperson utan offentlig roll.
- Innehållet är felaktigt eller missvisande.
Faktorer som talar emot borttagning:
- Innehållet har publicerats av medier med ansvarig utgivare.
- Du har eller har haft en roll i det offentliga livet.
- Det finns ett pågående allmänintresse av informationen.
Undantag: när uppgifter får behållas enligt artikel 17(3)
Även när en av grunderna för radering är uppfylld kan den personuppgiftsansvarige neka din begäran om ett undantag i artikel 17(3) gäller. GDPR.eu beskriver att dessa undantag är uttryckliga och inte en fri bedömningsrätt.
De vanligaste undantagen är:
- Yttrande- och informationsfriheten, särskilt för journalistiskt material.
- En rättslig skyldighet att behålla uppgifterna, till exempel bokföringskrav.
- Allmänt intresse inom folkhälsa eller forskning, statistik och arkivändamål.
- Fastställande, utövande eller försvar av rättsliga anspråk.
I praktiska ärenden är det särskilt det journalistiska undantaget som gör att en begäran om borttagning av en nyhetsartikel nekas. Formulera därför din begäran så att du direkt bemöter det undantag som är mest sannolikt relevant, i stället för att bara hänvisa till att uppgiften känns obehaglig.
Så skriver och skickar du en begäran om radering eller borttagning
En välformulerad begäran ökar chansen till ett snabbt och korrekt svar. Följ dessa steg:
- Identifiera exakt vad som ska tas bort. Ange fullständiga URL:er till sidor eller sökresultat, inte bara en beskrivning av innehållet.
- Styrk din identitet. Bifoga uppgifter som gör det möjligt för mottagaren att bekräfta att det är dina personuppgifter det gäller.
- Ange grunden i artikel 17. Skriv tydligt vilken av grunderna du åberopar, till exempel att uppgifterna inte längre är nödvändiga.
- Bemöt möjliga undantag. Förklara kort varför ditt integritetsintresse väger tyngre än eventuella motstående intressen.
- Skicka till rätt mottagare. Vänd dig till den personuppgiftsansvarige för själva innehållet, och till sökmotorns egen begäranstjänst för borttagning ur sökresultat.
- Spara dokumentation. Ta skärmdumpar av sidan och sökresultatet med datum innan du skickar begäran, så att du har bevis om ärendet senare behöver överklagas.
Proffstips: Begär bara borttagning av de specifika URL:er och sökfraser som faktiskt berör dig, en alltför bred begäran riskerar att avslås i sin helhet i stället för att prövas del för del.
Tidsfrister: vad du kan förvänta dig efter att du skickat din begäran
Den personuppgiftsansvarige ska svara utan onödigt dröjsmål och senast inom en månad enligt artikel 12(3) GDPR. Vid komplexa eller många samtidiga ärenden kan tidsfristen förlängas med upp till två ytterligare månader, men du ska i så fall informeras om förlängningen inom den ursprungliga månaden.
Radering hos den ursprungliga källan brukar gå snabbare än borttagning från en sökmotors index, eftersom sökmotorn ofta behöver göra en egen intresseavvägning innan ett beslut fattas. Dröjer svaret utan förklaring är det en indikation på att handläggningen inte sker enligt kraven.
Om din begäran avslås: klagomål och rättsliga möjligheter
Får du avslag, eller inget svar alls inom tidsfristen, kan du vända dig till Integritetsskyddsmyndigheten med ett klagomål. Myndigheten kan utreda ärendet och, om den bedömer att behandlingen eller avslaget var felaktigt, utfärda föreläggande mot den personuppgiftsansvarige eller besluta om sanktioner. Tillsynsbeslut visar att bristande identitetsverifiering eller långsam handläggning kan bedömas som en överträdelse av artikel 12(3).
Om du inte är nöjd med myndighetens beslut, eller om ärendet rör stora värden eller principiella frågor, kan en domstolsprövning bli nästa steg. Det är dock ett mer tids- och resurskrävande spår som oftast blir aktuellt först när övriga vägar är uttömda.
Praktiska råd: dokumentation, argumentation och professionell hjälp
De ärenden som går snabbast är de där begäran är tydligt avgränsad från start. Samla publiceringsdatum, exakta URL:er och en kort motivering till varför uppgiften är inaktuell eller oskälig redan innan du skickar iväg begäran.
Ett vanligt formellt misstag är att skicka en begäran som inte identifierar personen tydligt nog, eller som är så bred att mottagaren inte kan avgöra vilka delar som faktiskt ska prövas. Ett annat är att inte bemöta de undantag som sannolikt kommer åberopas.
Proffstips: Spara all korrespondens i ärendet, inklusive tidsstämplar, eftersom det blir avgörande bevis om du senare behöver lämna klagomål till IMY.
När ett ärende är principiellt viktigt, rör flera jurisdiktioner eller kräver förhandling med en stor aktör kan en extern dataskyddsombud eller rådgivare hjälpa till att strukturera begäran, föra dialog med motparten och förbereda ett eventuellt klagomål till tillsynsmyndigheten.
Gäller rätten lika i offentlig och privat sektor?
Tillämpningen av rätten att bli bortglömd skiljer sig påtagligt mellan offentlig och privat sektor. Myndigheter har ofta en lagstadgad skyldighet att bevara handlingar enligt arkivlagstiftning och offentlighetsprincipen, vilket gör att en begäran om radering av allmänna handlingar oftast avslås med hänvisning till undantaget för rättsliga skyldigheter.
I privat sektor, exempelvis hos ett företag som samlat in uppgifter för marknadsföring eller kundhantering, finns sällan samma lagstadgade bevarandeskyldighet. Där blir prövningen ofta enklare: om samtycket återkallats eller ändamålet upphört ska uppgifterna normalt raderas utan vidare argumentation från verksamhetens sida.
Mediebranschen intar en mellanposition. Nyhetsarkiv omfattas ofta av undantaget för yttrandefrihet, vilket gör att en artikel kan bli kvar även om personen i den inte längre har en offentlig roll, medan sökmotorns indexering av samma artikel kan bedömas separat och i vissa fall tas bort. Den som riktar en begäran bör därför anpassa argumentationen efter vilken typ av organisation som tar emot den, snarare än att använda en och samma formulering till alla mottagare.
Utmaningar med molntjänster och internationell dataöverföring
En raderingsbegäran blir mer komplex när uppgifterna lagras i molntjänster eller överförs mellan länder. Många organisationer använder underleverantörer som i sin tur lagrar data hos globala molnplattformar, vilket innebär att en radering hos huvudleverantören inte automatiskt når alla kopior i backup-system eller hos underbiträden.
Internationell dataöverföring tillför ytterligare ett lager av komplexitet: uppgifter som förts över till ett land utanför EU/EES kan omfattas av andra rättsliga ramverk, och den personuppgiftsansvarige måste säkerställa att även mottagaren utanför EU respekterar en raderingsbegäran. I praktiken innebär detta att organisationer behöver tydliga avtal med sina molnleverantörer och underbiträden som reglerar hur raderingsbegäranden vidarebefordras och verkställs i hela kedjan, inklusive i backuper som ofta har en egen livscykel och raderas enligt separata rutiner.
För dig som privatperson betyder det att en bekräftad radering hos huvudleverantören inte alltid garanterar att alla kopior är borta omedelbart. Vissa raderingar sker stegvis i takt med att backup-cykler roterar ut gammal data.
Dataskyddsombudets roll vid raderingsbegäranden
Ett dataskyddsombud har en central funktion när en organisation tar emot en begäran om radering. Ombudet ska bevaka att begäran hanteras korrekt, att tidsfristerna i artikel 12(3) hålls, och att organisationen gör en sakligt grundad bedömning snarare än ett slentrianmässigt avslag.
I praktiken innebär rollen att granska om den åberopade grunden i artikel 17 är relevant, att kontrollera om något undantag i artikel 17(3) är tillämpligt, och att säkerställa att svaret till den registrerade är begripligt och motiverat. Ombudet fungerar också som en brygga mellan verksamheten och tillsynsmyndigheten om ärendet eskalerar till ett klagomål.
Många organisationer saknar intern kompetens för att hantera komplexa raderingsärenden, särskilt när flera system eller underleverantörer berörs. Där kan en extern dataskyddsombudstjänst bidra med erfarenhet från liknande ärenden och minska risken för formella fel som senare leder till sanktioner.
Påverkan på arkivering och registerhantering
Rätten att bli glömd ställer krav på hur organisationer bygger sina system för arkivering och registerhantering. En organisation som inte kan identifiera och radera enskilda poster i sina arkiv riskerar att inte kunna leva upp till artikel 17 när en begäran kommer in, oavsett om avsikten funnits från start.
Praktiskt innebär detta att registerhantering behöver utformas så att enskilda personuppgifter kan sökas fram och raderas utan att hela arkivet eller angränsande poster påverkas. Organisationer som sparar historisk data av arkivändamål, forskningsändamål eller statistiska ändamål kan ofta stödja sig på undantaget i artikel 17(3), men måste då kunna visa att ändamålet verkligen är ett av de undantag lagen räknar upp, inte bara en allmän önskan att behålla information av bekvämlighetsskäl.
En konsekvensbedömning av hur personuppgifter flödar genom arkiverings- och backupsystem är ofta ett bra sätt att i förväg identifiera var en framtida raderingsbegäran kan bli tekniskt svår att verkställa.
Perspektiv: vad praxis faktiskt förändrat för individer
Tillsyn och rättspraxis har gradvis skärpt kraven på att sökmotorer och organisationer gör en reell, individuell prövning snarare än ett generellt avslag. Samtidigt kvarstår tekniska begränsningar: en borttagen sökträff kan dyka upp igen via andra sökord, och arkivkopior utanför sökmotorns kontroll kan fortsätta visa innehållet. Den vanligaste missuppfattningen är att en borttagen sökträff raderar själva artikeln. Det gör den inte, den finns kvar där den publicerades.
— Jesper
Så kan vi hjälpa din organisation hantera raderingsbegäranden
En raderingsbegäran som hanteras fel kostar mer än den som hanteras rätt från början, både i tid och i risk för sanktioner. Vi erbjuder rådgivning och konsulttjänster som hjälper er bygga rutiner för att identifiera rätt grund, bemöta relevanta undantag och svara inom de tidsfrister artikel 12(3) kräver, så att varje ärende hanteras konsekvent oavsett vem i organisationen som tar emot det.
För organisationer som vill ha ett strukturerat grepp om hela flödet, från första begäran till arkivering och backuphantering, kan en GAP-analys eller GDPR-granskning visa var raderingsprocessen i dag brister. Vi tar också rollen som extern dataskyddsombud när ni behöver löpande stöd i att pröva och besvara registrerades begäranden, och vår plattform Trustview ger er ett samlat verktyg för att dokumentera och spåra varje ärende. Hör av dig för att gå igenom hur era nuvarande rutiner för raderingsbegäranden ser ut.
This article is general information, not a substitute for advice from a qualified lawyer. Consult a qualified legal professional about your own circumstances before acting on anything here.
Vanliga frågor
Har jag rätt att bli bortglömd av Google?
Du kan begära att Google tar bort en specifik sökträff kopplad till ditt namn, men det kräver en intresseavvägning enligt principerna i Google Spain-domen. Ett godkänt beslut tar bort länken ur sökresultaten, inte artikeln på den ursprungliga webbplatsen.
Hur kan jag radera mina personuppgifter?
Skicka en tydlig begäran till den personuppgiftsansvarige med exakt vilka uppgifter eller URL:er det gäller och vilken grund i artikel 17 du åberopar. Den personuppgiftsansvarige ska enligt artikel 12(3) svara inom en månad, med möjlig förlängning om ärendet är komplext.
Vad säger artikel 17 i dataskyddsförordningen?
Artikel 17 ger dig rätt att få personuppgifter raderade när de inte längre är nödvändiga, när du återkallat ditt samtycke eller när behandlingen varit olaglig. Rätten är dock inte absolut, och artikel 17(3) listar undantag som yttrandefrihet och lagstadgade skyldigheter.
Vad innebär artikel 32 i GDPR?
GDPR innehåller krav på att en personuppgiftsansvarig vidtar lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter, snarare än om rätten till radering. Dessa krav är relevanta i raderingsärenden framför allt när en begäran rör uppgifter som läckt genom en bristande säkerhetsåtgärd.
Källor
- Rätt till radering av dina personuppgifter — IMY
- Gdpr
- Case C‑131/12 — Google Spain — Court of Justice of the EU
