Rätten att bli glömd innebär för er organisation en skyldighet att pröva och antingen radera personuppgifter eller dokumenterat avslå begäran enligt GDPR artikel 17. Beslutet ska grundas på en individuell bedömning, inte en mall. Om uppgifterna är offentliggjorda tillkommer en skyldighet att med rimliga tekniska åtgärder underrätta andra kontrollanter och biträden om begäran. Utan process och dokumentation blir ni sårbara vid tillsyn.
Kort sagt:
- Begäran om radering måste prövas individuellt och inte automatiskt beviljas eller avslås, med hänsyn till undantag som yttrandefrihet och rättsliga krav.
- Processen bör inkludera noggrann identitetsverifiering, kartläggning av system och tydlig dokumentation av beslut och motiveringar.
- Radering kan genomföras via fysisk borttagning, anonymisering eller logisk radering, men backuper kräver särskilt kontrollåtgärder för att undvika återställning av raderade data.
- Vid offentliggörande av data ska andra kontrollanter underrättas när rimliga resurser tillåter, för att säkerställa att rätten att bli glömd följs.
- En strukturerad logg och extern rådgivning vid komplexa fall stärker organisationens rättssäkerhet vid tillsyn.
Innehållsförteckning
- Rätten att bli glömd: när radering krävs och när den kan nekas
- Praktisk process: så tar ni emot och prövar en begäran om att bli glömd
- Dokumentation och bevis: vad ni måste kunna visa vid tillsyn
- Genomförande: radera tekniskt rätt och underrätta andra ansvariga
- Vem ansvarar internt, och hur Evertrust stöttar prövningen
- Vad jag tycker: proportionalitet slår perfektion
- Så kan Evertrust stötta er raderingsprocess
- Källor
Rätten att bli glömd: när radering krävs och när den kan nekas
Artikel 17.1 ger sex grunder för radering. De vanligaste i praktiken är att uppgifterna inte längre är nödvändiga för det ursprungliga ändamålet, att den registrerade återkallat sitt samtycke utan annan rättslig grund, eller att behandlingen varit olaglig från början. Även en invändning enligt artikel 21, där organisationen saknar tvingande berättigade skäl att fortsätta behandlingen, utlöser rätten till radering.
Men rätten är inte ovillkorlig. EDPB:s vägledning för små och medelstora företag slår fast att varje begäran måste prövas mot undantagen i artikel 17.3, inte avfärdas eller beviljas per automatik.
De vanligaste undantagen i praktiken:
- Yttrandefrihet och informationsfrihet – gäller till exempel publicerade nyhetsartiklar där allmänintresset väger tyngre än raderingskravet.
- Rättslig förpliktelse – bokföringslagen och liknande regler kan tvinga er att behålla data trots en begäran.
- Allmänt intresse eller myndighetsutövning – relevant för offentlig sektor och vissa reglerade verksamheter.
- Arkivändamål, forskning eller statistik – under förutsättning att lämpliga skyddsåtgärder finns på plats.
- Fastställande, utövande eller försvar av rättsliga anspråk – ni får behålla data som ni behöver om en tvist är trolig.
Ett vanligt scenario: en tidigare anställd begär radering av sin personalfil. Om ni fortfarande är inom den lagstadgade bevarandetiden för lönehandlingar gäller undantaget för rättslig förpliktelse, och begäran ska avslås för den delen, dokumenterat och motiverat. Samma logik gäller för ett publicerat pressmeddelande som nämner en kund vid namn: yttrandefriheten väger ofta tyngre än den enskildes önskan att radera.
Praktisk process: så tar ni emot och prövar en begäran om att bli glömd
En strukturerad process skyddar er både juridiskt och praktiskt. Så bör flödet se ut:
- Ta emot och verifiera identiteten. Kräv tillräcklig identifiering, men inte mer information än nödvändigt. En felaktig radering hos fel person är minst lika allvarlig som en utebliven radering.
- Begär förtydligande vid otydlig begäran. Om den registrerade inte specificerar vilka uppgifter som avses, be om komplettering innan klockan börjar tickas juridiskt.
- Avgränsa omfattningen. Kartlägg exakt vilka system, register och leverantörer som innehåller uppgifterna, inklusive backuper och tredjepartsverktyg.
- Pröva mot artikel 17.1 och 17.3. Dokumentera vilken grund som gäller och om något undantag är tillämpligt.
- Fatta beslut och kommunicera det. Meddela den registrerade utan onödigt dröjsmål, och senast inom en månad enligt huvudregeln.
- Logga beslutet med motivering. Spara skälen oavsett om ni raderar eller avslår.
Vid ett avslag bör motiveringen alltid innehålla: vilken bestämmelse som åberopas, varför den är tillämplig i det specifika fallet, och information om rätten att klaga till tillsynsmyndigheten. En generisk formulering som “vi kan inte radera på grund av lagkrav” håller inte vid en granskning.
Upprepade eller uppenbart ogrundade begäranden får hanteras annorlunda. Ni kan då ta ut en rimlig avgift eller avstå från att agera, men även det beslutet måste motiveras och dokumenteras.
Proffstips: Bygg en enda intern kanal för alla raderingsbegäranden, oavsett om de kommer via mejl, telefon eller sociala medier. Splittrade mottagningsvägar är den vanligaste orsaken till missade deadlines.
Dokumentation och bevis: vad ni måste kunna visa vid tillsyn
Att fatta rätt beslut räcker inte. Ni måste också kunna bevisa att beslutet var korrekt fattat, vilket kräver systematisk loggning.
En fungerande raderingslogg bör innehålla:
- Datum för mottagen begäran och datum för beslut.
- Vem som fattade beslutet och vilken funktion personen har.
- Vilken rättslig grund som låg till grund för radering eller avslag.
- Vilka system och leverantörer som berörts av åtgärden.
- Tekniska spår som bekräftar att raderingen faktiskt genomförts.
IT-Juridiks processkartor för registrerades rättigheter betonar kopplingen mellan raderingsloggen och registret över behandling (RoPA) samt leverantörsregistret. Utan den kopplingen vet ni inte vilka tredje parter som också behöver agera, och ni kan inte visa spridningen av uppgifterna vid en tillsynsutredning.
Spara avslagsmotiveringar minst så länge som en eventuell rättslig process kan bli aktuell. En strukturerad logg, gärna i ett fast format med samma fält för varje ärende, gör det möjligt att visa mönster över tid snarare än enskilda undantag. Det underlättar också om ni senare behöver koppla ärendet till era lagringstider för HR-data.
Genomförande: radera tekniskt rätt och underrätta andra ansvariga
Att besluta om radering är en sak. Att genomföra den tekniskt korrekt är en annan. Tre metoder används i praktiken, och de passar olika situationer:
- Logisk radering – uppgifterna markeras som borttagna men finns kvar i databasen. Otillräckligt som slutlig åtgärd, men kan fungera som mellansteg.
- Fysisk radering – uppgifterna tas bort permanent från alla aktiva system och backuper. Det säkraste alternativet när det är tekniskt möjligt.
- Anonymisering – uppgifterna avidentifieras så att personen inte längre kan spåras. Fungerar bra när data behövs för statistik eller analys men inte längre för individen.
Backuper är den vanligaste svagheten i raderingsprocessen. IT-Juridiks processkartor pekar på att data ofta “återuppstår” när en backup återställs utan spärr mot redan raderade poster. Bygg därför in en kontrollrutin som markerar raderade individer innan en återställning görs.
När uppgifterna varit offentliggjorda gäller en särskild skyldighet enligt artikel 17.2 och artikel 19: ni ska med beaktande av tillgänglig teknik och kostnad vidta rimliga åtgärder för att underrätta andra kontrollanter och biträden om begäran. GDPR:s konsoliderade text på EUR-Lex preciserar att “rimligt” inte betyder att ni måste göra det omöjliga. Om det skulle kräva orimliga resurser att spåra varje mottagare, dokumentera varför och vilka åtgärder ni ändå vidtagit.
Proffstips: Använd retention-etiketter i era system som automatiskt flaggar data för granskning vid en viss ålder. Det gör raderingsprövningen till en rutin i stället för ett brandsläckningsarbete varje gång en begäran kommer in. En incident hos Kronofogden visar vad som händer när tekniska spärrar saknas och obehörig åtkomst uppstår i stället.
Vem ansvarar internt, och hur Evertrust stöttar prövningen
Beslutet om radering ligger formellt hos den personuppgiftsansvarige, men i praktiken är det sällan en enskild person som avgör ärendet själv. IT, juridik och den verksamhetsansvariga avdelningen behöver oftast alla lämna input innan ett beslut är juridiskt hållbart.
Dataskyddsombudet spelar en central roll här: rådgivning i den enskilda prövningen, kvalitetssäkring av dokumentationen, och kontaktpunkt gentemot tillsynsmyndigheten om ärendet eskalerar. För organisationer utan intern DPO-kompetens, eller med hög volym komplexa ärenden, kan en extern DPO-tjänst från Evertrust fungera som praktiskt stöd i den löpande prövningen, med mallar för beslut och avslag samt processtöd vid gränsfall.
Denna artikel är skriven av Jesper på Evertrust, som arbetar med praktisk GDPR-rådgivning för personuppgiftsansvariga i deras hantering av registrerades rättigheter.
Vad jag tycker: proportionalitet slår perfektion
Det vanligaste misstaget jag ser är inte att organisationer nekar radering för ofta. Det är att de saknar bevis för att de över huvud taget prövat ärendet. En rättsligt korrekt slutsats utan dokumentation är i praktiken ett obevisat påstående.
Min rekommendation: gör raderingsprövning till en återkommande punkt i intern revision och personalutbildning, inte en engångsinsats. Vid gränsfall, särskilt när flera undantag konkurrerar, lönar det sig att ta in extern rådgivning innan beslutet fattas snarare än efter en anmärkning från tillsynsmyndigheten.
— Jesper
Så kan Evertrust stötta er raderingsprocess
Att bygga en process som håller vid tillsyn tar tid internt, särskilt om ni redan har fullt upp med den dagliga verksamheten. Evertrust arbetar praktiskt med detta som extern resurs: vi tar rollen som dataskyddsombud, hjälper er ta fram mallar för prövning och avslag, stöttar vid DPIA där raderingsflöden ingår, och utbildar personal i hur begäranden ska hanteras korrekt från dag ett.
Ett första samtal räcker oftast för att identifiera var era största luckor finns, om det är avsaknad av loggning, otydlig ansvarsfördelning eller svaga tekniska spärrar mot återställning. Om ni behöver hjälp att avgöra om en extern dataskyddsombudstjänst är rätt lösning för er organisation, hitta rätt sätt att utse ett dataskyddsombud och boka ett inledande möte med Evertrust för att gå igenom era befintliga rutiner.
Källor
Den rättsliga grunden och praktiken kring radering finns dokumenterad hos flera officiella källor. Här är de mest relevanta för er som vill fördjupa er eller behöver referera vid ett tillsynsärende:
- EDPB: SME data protection guide — Respect individuals’ rights
- EU GDPR consolidated text (EUR-Lex) — Artikel 17 och 19
