Rätten att bli glömd innebär att personuppgifter ska raderas utan onödigt dröjsmål när förutsättningarna i artikel 17 GDPR är uppfyllda. Den betyder inte att varje begäran ska leda till att alla spår av en person försvinner. Organisationen behöver pröva varför varje uppgift behandlas, om en grund för radering finns och om fortsatt behandling är nödvändig enligt något av artikelns undantag.
För den som hanterar en begäran är den avgörande frågan därför vilka uppgifter som ska bort, vilka som måste eller får behållas och hur beslutet genomförs i hela systemmiljön. Här går vi igenom prövningen, de svenska bokföringsreglerna, tidsfristerna och skillnaden mellan radering och borttagning av sökträffar. Utgångspunkten är artiklarna 12, 17 och 19 i GDPR.
De sex grunderna för radering
Den första grunden är att uppgifterna inte längre behövs för de ändamål för vilka de samlades in eller på annat sätt behandlades. Ett avslutat projekt kan göra en deltagarlista överflödig även om ingen har återkallat ett samtycke. Organisationen ska också gallra på eget initiativ enligt lagringsminimeringen. Den registrerades begäran ersätter alltså inte en fungerande gallringsplan.
Den andra grunden gäller återkallat samtycke enligt artikel 6.1 a eller artikel 9.2 a, när det inte finns någon annan rättslig grund för behandlingen. Ett företag kan inte efter återkallelsen bara byta etikett till berättigat intresse för att fortsätta samma behandling som tidigare vilade på samtycke. Däremot kan en faktura redan behandlas separat för att uppfylla ett bokföringskrav. Återkallelsen och fakturans bevarande prövas då för skilda ändamål.
Den tredje grunden har två grenar. Vid invändning enligt artikel 21.1 ska uppgifterna raderas om det saknas berättigade skäl som väger tyngre. Vid invändning mot direktmarknadsföring enligt artikel 21.2 finns ingen motsvarande intresseavvägning som låter marknadsföringen fortsätta. Behandlingen för det ändamålet ska upphöra, inklusive tillhörande profilering. Rutinen för invändning mot direktmarknadsföring behöver därför vara snabbare än den vanliga kön för allmänna kundärenden.
De återstående grunderna är olaglig behandling, en rättslig skyldighet att radera enligt unionsrätt eller medlemsstatsrätt som organisationen omfattas av samt uppgifter som har samlats in i samband med erbjudande av informationssamhällets tjänster enligt artikel 8.1. Den sistnämnda hänvisningen är specifik; den omfattar inte automatiskt varje uppgift om ett barn i varje verksamhet. En person kan också åberopa den när hen blivit vuxen.
En begäran behöver inte innehålla artikelnummer eller använda ordet radering. Om någon skriver att företaget ska ta bort uppgifterna är det normalt tillräckligt för att frågan ska utredas. Behandlingsansvarig måste själv identifiera relevant grund och möjliga undantag. Läs därför begäran tillsammans med dokumentationen av behandlingens rättsliga grund, inte som ett formulär där kunden måste kryssa i rätt juridiskt alternativ.
Undantagen: när uppgifter får behållas
Artikel 17.3 undantar behandling som är nödvändig för att utöva yttrande- och informationsfriheten. Det kräver en bedömning av den aktuella publiceringen och tillämpliga regler. Att uppgifterna redan är offentliga avgör inte saken ensamt. En offentlig uppgift kan fortfarande vara en personuppgift, samtidigt som journalistisk verksamhet och grundlagsskydd kan kräva en annan analys än ett vanligt kundregister.
Ett annat undantag gäller nödvändig behandling för en rättslig förpliktelse enligt unionsrätt eller medlemsstatsrätt, en uppgift av allmänt intresse eller myndighetsutövning som anförtrotts den ansvarige. Här ska organisationen kunna identifiera det konkreta uppdraget eller lagkravet. En intern policy om att aldrig radera kunduppgifter är inte en rättslig förpliktelse, och ett allmänt önskemål att vara förberedd inför framtiden räcker inte.
Folkhälsoundantaget är knutet till artikel 9.2 h och i samt artikel 9.3. Forskningsundantaget gäller arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål enligt artikel 89.1, i den mån radering sannolikt skulle omöjliggöra eller allvarligt försvåra målen. Etiketten forskning eller statistik ger alltså inte ett generellt frikort. Organisationen måste bedöma nödvändigheten, skyddsåtgärderna och vad radering faktiskt skulle innebära för ändamålet.
Slutligen får uppgifter behållas när behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk. Ett pågående reklamationsärende kan motivera att relevant korrespondens behålls, men inte självklart hela kundens beteendehistorik. Beskriv vilket anspråk eller vilken konkret rättslig situation uppgifterna behövs för och när behovet ska omprövas. Ett undantag från radering ersätter inte övriga krav på laglig, säker och begränsad behandling.
Bokföringslagen skyddar underlaget, inte hela kundprofilen
Den svenska bevarandetiden anges i 7 kap. 2 § bokföringslagen. Räkenskapsinformationen ska bevaras till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. Det är mer precist än sju år efter inköpsdagen. För ett räkenskapsår som avslutas under 2025 sträcker sig den ordinarie bevarandetiden till och med 2032.
Anta att en kund ber en webbutik att radera allt efter ett köp. Fakturan kan behöva sparas, medan en önskelista inte längre behövs. Ett öppet garantiärende kan samtidigt kräva vissa uppgifter för ett annat ändamål. Företaget behöver då dela upp beslutet: radera det som ska raderas, behålla det som omfattas av ett preciserat behov och avsluta marknadsföring där samtycke har återkallats eller invändning gjorts.
Det är lika fel att lova att alla supportärenden alltid ska bort som att behålla allt eftersom det finns en faktura. Bedöm innehållet och ändamålet. Begränsa behörigheterna till bevarat material och håll det utanför kampanjer och rekommendationsmotorer. När bokföringens bevarandetid upphör ska fortsatt behov prövas; uppgifterna ska raderas när det inte längre finns något lagligt och nödvändigt ändamål.
Så hanterar du en begäran i praktiken
Registrera när begäran togs emot och utse någon som ansvarar för svaret. Organisationen bör kunna ta emot rättighetsärenden även när de kommer till vanlig kundservice. Att erbjuda ett formulär kan förenkla arbetet, men det får inte bli en spärr som gör en tydlig begäran via en annan fungerande kontaktväg verkningslös. Säkerställ också att frånvaro eller semester inte lämnar ärendet utan ägare.
Kontrollera identiteten proportionerligt. Artikel 12.6 medger ytterligare uppgifter när det finns rimliga tvivel om identiteten, men innebär inte att en kopia av id-handling alltid ska krävas. Ett redan autentiserat kundkonto kan ge tillräckligt underlag i ett vanligt ärende. Om begäran gäller ett konto som sökanden inte längre når behövs en alternativ kontroll som både minskar risken för obehörig radering och undviker onödig insamling.
Kartlägg sedan uppgifterna i kundsystem, dokument, e-post, analysmiljöer och exporter. En registerförteckning hjälper till att hitta ändamål och systemägare, men är sällan ett fullständigt personregister. Sökvägar kan behöva omfatta gamla adresser eller kundnummer som redan finns tillgängliga. Dokumentera vilka system som har kontrollerats och vilka avgränsningar som gjorts, så att nästa handläggare inte behöver börja om.
Om personen även begär ett registerutdrag enligt artikel 15 behöver rättigheterna samordnas. En omedelbar radering får inte slentrianmässigt användas för att omöjliggöra en samtidigt begärd tillgång. Klargör ordningen när det behövs och behåll endast det som är nödvändigt för att hantera ärendet. Radering är inte heller samma sak som kontostängning: uppgifter kan finnas kvar i flera system efter att inloggningen stängts.
Tidsfrister och ett begripligt beslut
Åtgärder med anledning av begäran ska redovisas utan onödigt dröjsmål och senast inom en månad från mottagandet. Vid behov får fristen förlängas med ytterligare två månader med hänsyn till begärans komplexitet och antalet begäranden. Personen ska då få information om förlängningen och skälen inom den första månaden. Hög arbetsbelastning är inte en automatisk förlängningsregel.
Om organisationen inte vidtar åtgärder ska den enligt artikel 12.4 utan dröjsmål och senast inom en månad förklara varför och informera om möjligheten att klaga hos en tillsynsmyndighet och begära rättslig prövning. Ett standardsvar om att GDPR tillåter lagring är otillräckligt när det inte förklarar den konkreta bedömningen. Även ett delvis avslag behöver vara begripligt: vilka uppgifter behålls, för vilket ändamål och på vilken grund?
Rätten är som huvudregel kostnadsfri. Vid uppenbart ogrundade eller orimliga begäranden, särskilt upprepade sådana, finns de begränsade möjligheterna i artikel 12.5 att ta en rimlig avgift eller vägra. Organisationen bär bevisbördan för detta. Att kunden tidigare har varit besvärlig eller att systemet är gammalt är inte i sig ett sådant skäl.
När personen vill bevara bevis men stoppa användningen
Ibland vill personen få stopp på en behandling utan att själva uppgifterna försvinner. Artikel 18 om begränsning kan då vara relevant, exempelvis när uppgifternas riktighet bestrids under kontrollen eller när behandlingen är olaglig men personen motsätter sig radering. Den kan också aktualiseras när organisationen inte längre behöver uppgifterna men personen behöver dem för rättsliga anspråk, eller under prövningen av en invändning enligt artikel 21.1.
Fråga därför efter ett förtydligande när någon samtidigt kräver att allt ska raderas och att bevismaterial ska lämnas kvar för en tvist. Förtydligandet ska underlätta rättigheterna, inte skapa en automatisk paus i handläggningen. Begränsade uppgifter får, bortsett från lagring, bara behandlas inom artikel 18.2:s villkor. Organisationen får inte ersätta en berättigad radering med begränsning enbart därför att den tekniska lösningen är enklare.
Mottagare, biträden och offentliga uppgifter
Artikel 19 innebär att radering ska meddelas varje mottagare som fått uppgifterna, om det inte är omöjligt eller medför en oproportionerlig ansträngning. Den registrerade ska få information om mottagarna om hen begär det. Detta är en annan skyldighet än den som gäller offentliggjorda uppgifter enligt artikel 17.2. Dokumentera även varför ett eventuellt undantag från underrättelsen bedöms tillämpligt.
Ett personuppgiftsbiträde behöver få instruktioner som gör beslutet möjligt att genomföra. Avtal eller annan bindande rättsakt enligt artikel 28 ska reglera biträdets stöd med rättigheter. Följ upp underbiträden och exporter; ett kvitto på att kontot stängts bevisar inte alltid att materialet har raderats. Vår genomgång av personuppgiftsbiträdesavtal hjälper till att koppla skyldigheterna till samarbetet med leverantören.
När den ansvarige har offentliggjort uppgifter och är skyldig att radera dem ska rimliga åtgärder vidtas, med hänsyn till tillgänglig teknik och genomförandekostnad, för att informera andra ansvariga som behandlar uppgifterna om begäran att radera länkar, kopior eller reproduktioner. Regeln innebär inte en garanti att allt försvinner från internet. Den kräver en verklig bedömning och konkreta åtgärder, inte bara att den egna webbsidan avpubliceras.
Säkerhetskopior, anonymisering och bevis på utförd radering
En säkerhetskopia är inte ett generellt undantag från artikel 17. Organisationen bör veta vilka kopior som innehåller uppgifter, vilka som kan raderas selektivt och hur återläsning hanteras. Om ett system har tekniska begränsningar måste de bedömas och hanteras; de skapar inte en lagstadgad extra frist. Begränsad åtkomst och en kontrollerad rotationscykel kan ingå i lösningen, men får inte användas för att låta raderade uppgifter återgå till vanlig drift.
En praktisk kontroll är därför att följa ett fiktivt kundärende genom hela processen: försvinner uppgifterna ur sökindex, exportfiler och integrationer, och återinförs de vid återställning? Detta är en rekommendation för att kontrollera utförandet, inte ett särskilt lagstadgat testformat. Låt systemägarna bekräfta åtgärder och kvarvarande begränsningar innan ett slutligt besked lämnas.
Anonymisering kan göra att material inte längre är personuppgifter, men att bara ta bort namn räcker ofta inte. Sällsynta köp, exakta tidsstämplar och kombinationer av attribut kan fortfarande möjliggöra identifiering. Bedöm de hjälpmedel som rimligen kan användas. Pseudonymisering med separat kodnyckel är en skyddsåtgärd, men innebär normalt fortsatt behandling av personuppgifter och uppfyller inte ensam ett krav på radering.
Behåll en begränsad dokumentation av ärendet: mottagningsdatum, omfattning, bedömning, utförda åtgärder och svar. Spara inte den borttagna databasen som bevis för att databasen raderats. Även ärendedokumentationen behöver ett preciserat ändamål, en rättslig grund, åtkomstkontroll och en egen bevarandebedömning. Samma princip gäller en spärrpost som ska hindra att en person felaktigt återförs till marknadsföringslistor.
Google: beslutet och den slutliga avgiften
I IMY:s ärende om Google och borttagning av sökresultat beslutade myndigheten den 11 mars 2020 om 75 miljoner kronor. Efter domstolsprövning blev avgiften 50 miljoner kronor. Högsta förvaltningsdomstolen nekade prövningstillstånd den 20 december 2022 och kammarrättens avgörande vann laga kraft. Det ursprungliga beloppet ska därför inte presenteras som den slutliga avgiften.
Fallet gällde bland annat Googles rutin att underrätta webbansvariga om borttagna sökträffar. Det motiverar inte en allmän regel att varje tveksamt raderingsärende ska avgöras på ett visst sätt. Avindexering gäller sökmotorns presentation av resultat; ursprungssidan kan finnas kvar. Den som vill få både publiceringen och sökträffen prövade kan därför behöva vända sig till olika personuppgiftsansvariga.
Vanliga frågor
Måste vi radera ett kundkonto samma dag?
Radering ska ske utan onödigt dröjsmål när rätten gäller. Enmånadsfristen för information om åtgärder är inte en generell rätt att vänta en månad. Kontrollera omfattningen, genomför de beslutade åtgärderna och informera om eventuellt nödvändigt bevarande.
Får bokföringen behålla kundens uppgifter?
Ja, i den mån uppgifterna måste finnas i räkenskapsinformation under den lagstadgade bevarandetiden. Den tiden räknas enligt bokföringslagens kalenderårsregel, inte från kundens senaste köp. Undantaget omfattar inte automatiskt kundkontot, marknadsföringsprofilen eller varje supportbilaga.
Får vi behålla forskning eller statistik efter en begäran?
Det beror på förutsättningarna. Artikel 17.3 d kräver ändamål enligt artikel 89.1 och att radering sannolikt omöjliggör eller allvarligt försvårar målen. Verkligt anonyma resultat faller utanför GDPR, men kodade personuppgifter är inte automatiskt anonyma.
Vad gör vi om vi avslår begäran?
Förklara skälen utan dröjsmål och senast inom en månad efter mottagandet samt ange möjligheten till klagomål hos IMY och rättslig prövning. Beskriv ett eventuellt delvis bifall separat. Ett tydligt, avgränsat besked hjälper personen att förstå både vad som har raderats och varför vissa uppgifter fortfarande behandlas.