Ett registerutdrag enligt GDPR ska ge personen tillgång till sina personuppgifter och information om hur de behandlas. Det räcker därför normalt inte att skicka organisationens integritetspolicy eller en lista över datakategorier. Artikel 15 innebär rätt att få bekräftat om uppgifter behandlas, få tillgång till uppgifterna och få den kompletterande information som gör behandlingen begriplig.
För organisationen är detta en process med flera beslut: identifiera begäran, kontrollera identiteten proportionerligt, söka i relevanta källor, pröva eventuella begränsningar och lämna ett säkert och förståeligt svar i tid. Guiden går igenom dessa steg och de svenska undantag som kan påverka resultatet. Den behandlar tillgång till personuppgifter; exempelvis rätten att få en allmän handling utlämnad har en egen rättslig grund och handläggning.
Vad personen har rätt att få
GDPR artikel 15 omfattar personuppgifter som rör den sökande och som behandlas av organisationen. Det kan vara kontaktuppgifter, transaktioner, korrespondens, logguppgifter och bedömningar. Uppgifter som organisationen själv har skapat kan omfattas lika väl som sådant personen lämnat. Att en kommentar är intern betyder inte automatiskt att den faller utanför rätten.
Utöver tillgång till uppgifterna ska personen få information om ändamål, uppgiftskategorier och mottagare eller mottagarkategorier. Informationen ska också beskriva lagringsperioden eller, när det inte är möjligt, kriterierna för att fastställa den. När uppgifterna inte samlats in från personen ska tillgänglig information om källan lämnas.
Svaret ska vidare innehålla information om rätten att begära rättelse, radering eller begränsning, att invända mot behandlingen och att klaga till en tillsynsmyndighet. Om automatiserat beslutsfattande enligt artikel 22.1 och 22.4 förekommer ska organisationen lämna meningsfull information om logiken samt betydelsen och de förutsedda följderna för personen. Vid överföringar till tredjeland eller internationell organisation omfattar artikel 15.2 information om lämpliga skyddsåtgärder enligt artikel 46.
Detta betyder inte att alla rättigheter alltid leder till den åtgärd personen senare begär. Villkoren för exempelvis radering måste bedömas separat. Informationen ska hjälpa personen att förstå möjligheterna, utan att lova ett ovillkorligt resultat. Hänvisa därför till en konkret kontaktväg för uppföljning och förklara vilka delar av svaret som avser personens faktiska situation.
Känn igen begäran utan att kräva rätt formulär
En person behöver inte skriva ”artikel 15” för att begära tillgång. Ett meddelande som ber om alla uppgifter organisationen har om personen kan vara tillräckligt tydligt. Kundtjänst, personalfunktion och andra relevanta kontaktpunkter behöver kunna känna igen sådana meddelanden och föra dem vidare. Intern vidarebefordran får inte göra att organisationen behandlar mottagningsdagen som om begäran kommit in senare.
EDPB:s slutliga riktlinjer 01/2022 om rätten till tillgång beskriver att en särskild kanal kan erbjudas men inte generellt göras obligatorisk. Begäran kan lämnas till en officiell kontaktpunkt. Samtidigt behöver organisationen inte bevaka helt slumpmässiga eller uppenbart felaktiga adresser som om de vore avsedda kontaktvägar. Utforma tillgängliga instruktioner och en fungerande intern rutin utifrån dessa skillnader.
Registrera när begäran kom in och vad personen faktiskt efterfrågar. Om meddelandet också innehåller krav på rättelse eller radering ska dessa delar inte försvinna i ett ärende som enbart märks ”registerutdrag”. Samordna handläggningen men pröva rättigheterna var för sig. Personen ska inte behöva känna till organisationens interna ansvarsfördelning för att få hjälp.
En månad är huvudfrist, inte normal väntetid
Enligt artikel 12.3 ska åtgärder vidtas utan onödigt dröjsmål och senast inom en månad efter mottagandet. Det är en kalendermånad, inte en generell trettiodagarsregel. Organisationen behöver beräkna sista dag för det faktiska ärendet och ha intern tid för kontroll och säker leverans. Att informationen tekniskt går att ta fram snabbt talar inte för att rutinmässigt vänta till sista dagen.
Fristen får förlängas med ytterligare två månader om det behövs med hänsyn till begärans komplexitet och antalet begäranden. Meddela förlängningen och skälen inom den första månaden. En semesterperiod eller en allmänt pressad bemanning är inte i sig en beskrivning av den lagstadgade förlängningsgrunden. Dokumentera varför den aktuella arbetsuppgiften motiverar mer tid.
Om organisationen inte vidtar någon åtgärd ska personen enligt artikel 12.4 informeras utan dröjsmål och senast inom en månad om skälen samt möjligheten att klaga till tillsynsmyndigheten och begära rättslig prövning. Ett avslagsbeslut kan därför inte läggas åt sidan till dess att någon frågar igen. Samma omsorg behövs när organisationen bara kan tillmötesgå begäran delvis.
Planera för kompletteringar tidigt. Frågor om identitet eller omfattning ska inte användas för att skjuta upp arbetet. Om en begäran behöver förtydligas kan organisationen samtidigt kartlägga kända uppgiftskällor och säkra underlaget för de delar som redan är tydliga. Undvik att behandla varje följdfråga som en automatisk nystart av hela tidsfristen.
Kontrollera identiteten utan att samla in för mycket
Artikel 12.6 tillåter ytterligare information som behövs för att bekräfta identiteten när det finns rimliga tvivel om vem som begär tillgång. Kravet är proportionerligt. En organisation ska inte rutinmässigt kräva en fullständig passkopia när en befintlig säker inloggning eller annan mindre ingripande kontroll räcker.
Väg samman vilka uppgifter som ska lämnas ut, risken vid fel mottagare och hur personen normalt identifieras i tjänsten. Ett namn som finns i kundregistret visar inte ensamt att avsändaren är rätt person. Omvänt är det olämpligt att samla in nya identitetsuppgifter som organisationen saknar meningsfull möjlighet att kontrollera. Förklara varför kompletteringen behövs och skydda även det nya underlaget.
Vid en begäran genom ombud behöver organisationen kunna bedöma både identiteten och behörigheten. En fullmakt kan vara relevant, men begär inte mer information än vad bedömningen kräver. För verksamheter som hanterar särskilt skyddsvärda ärenden, exempelvis en advokatbyrå som tillämpar GDPR, behöver tillgångsprocessen också samordnas med tillämplig tystnadsplikt.
Om organisationen inte kan identifiera uppgifter som rör personen aktualiseras artikel 11 och artikel 12.2. Informera om situationen och om vilken ytterligare information som kan göra identifiering möjlig. GDPR kräver inte att organisationen samlar in nya uppgifter enbart för att kunna identifiera en person för rättighetsutövning när behandlingen inte kräver identifiering. Det är något annat än att avstå från att söka med identifierare som redan finns.
Sök i relevanta system och informationsflöden
Registerförteckningen enligt artikel 30 kan visa vilka processer som berör personen, men den innehåller normalt inte alla uppgifter som ska lämnas ut. Använd den för att fördela sökningar till ansvariga funktioner. Kombinera med en aktuell kartläggning av IT-system, så att gamla system, ärendehantering och relevanta exporter inte missas.
Bestäm lämpliga sökbegrepp: kundnummer, användaridentitet, tidigare kontaktuppgifter och andra uppgifter som redan är kända. Ett e-postbyte kan annars göra att bara den senaste delen av relationen hittas. Dokumentera källorna och sökningen tillräckligt för att i efterhand kunna förklara vad som kontrollerats. Enbart ett påstående om att ”allt har sökts igenom” är svårt att värdera.
Uppgifter som behandlas av biträden för organisationens räkning får inte glömmas. Begär den hjälp som följer av den tillämpliga artikel 28-regleringen och planera leverantörens svarstid så att organisationens egen skyldighet kan uppfyllas. Den registrerade ska normalt få ett samlat svar från den personuppgiftsansvariga, inte hänvisas runt mellan underleverantörer utan klar ansvarsfördelning.
Om organisationen behandlar stora mängder uppgifter kan det vara hjälpsamt att be personen precisera vilka uppgifter eller behandlingar som är av intresse. Ge då en begriplig överblick som stöd. Det får inte göras till ett krav att personen begränsar en begäran som omfattar alla sina uppgifter. Om någon avgränsning faktiskt kommer överens ska den dokumenteras så att svaret motsvarar överenskommelsen.
En begriplig kopia kräver sammanhang
Rätten till kopia avser personuppgifter och innebär inte automatiskt rätt till varje dokument i original. Samtidigt kan en lista med lösa datafält vara otillräcklig. I EU-domstolens avgörande C-487/21, förklarat i domstolens pressmeddelande, framgår att utdrag ur dokument, hela dokument eller databasutdrag kan behövas när det är nödvändigt för att rättigheterna ska kunna utövas effektivt.
Bedöm därför vad personen behöver för att förstå uppgiften. En kod som anger att en kund placerats i en viss riskkategori behöver en förklaring av kodens betydelse. Ett datum behöver ange om det avser registrering, beslut eller radering. Om flera datakällor använder olika beteckningar måste svaret vara sammanhängande nog för att personen ska kunna upptäcka fel och bedöma behandlingen.
Ett vanligt elektroniskt format ska användas när begäran görs elektroniskt, om personen inte begär något annat. Välj ett format som faktiskt går att öppna och läsa. En export kan vara korrekt i teknisk mening men ändå svårbegriplig för mottagaren. Komplettera vid behov med fältbeskrivningar och en kort förklaring av filernas struktur utan att ersätta själva uppgifterna med en allmän sammanfattning.
Ange mottagare och lagring konkret
Organisationen kan inte alltid välja enbart generella mottagarkategorier framför namnen på faktiska mottagare. I C-154/21 om Österreichische Post slog EU-domstolen fast rätten att på begäran få mottagarnas faktiska identitet. Kategorier kan anges när det inte är möjligt att identifiera mottagarna eller när organisationen visar att begäran är uppenbart ogrundad eller orimlig.
Översätt det till en kontrollerbar arbetsuppgift: undersök till vilka mottagare personens uppgifter har lämnats eller ska lämnas, och skilj faktiska förhållanden från allmänna möjligheter i organisationens policy. En lista över samtliga tänkbara leverantörer kan vara lika missvisande som ett alltför vagt svar om ”samarbetspartner”.
Lagringsinformationen behöver också spegla den berörda behandlingen. ”Så länge det behövs” ger sällan personen tillräcklig ledning utan ytterligare förklaring. Ange de fastställda perioderna eller de kriterier som faktiskt styr slutpunkten. Om olika uppgifter används för olika ändamål bör skillnaden framgå. Den integritetspolicy som organisationen använder kan vara ett stöd, men ersätter inte en kontroll av att informationen är tillämplig i det enskilda svaret.
Andras rättigheter och svenska undantag
Enligt artikel 15.4 får rätten till kopia inte inverka menligt på andras rättigheter och friheter. Det kräver en konkret avvägning, inte automatisk vägran så snart ett dokument nämner någon annan. Undersök om uppgifter kan maskeras eller återges på annat sätt samtidigt som personens egna uppgifter förblir begripliga. Dokumentera vad som har undantagits och varför.
Det svenska kompletterande regelverket finns bland annat i 5 kap. dataskyddslagen. Där finns undantag för vissa uppgifter som inte får lämnas ut enligt författning eller författningsstödda beslut. För privata organisationer kan även uppgifter som skulle ha omfattats av sekretess hos en myndighet beröras. Bedöm den specifika sekretessregeln; använd inte en generell etikett som ”företagshemligt” som ensam motivering.
Lagen innehåller också ett begränsat undantag för personuppgifter i ännu inte färdig löpande text och minnesanteckningar eller liknande. Undantaget gäller inte om uppgifterna lämnats till tredje part, behandlas enbart för arkivändamål av allmänt intresse eller statistiska ändamål, eller behandlats längre än ett år i ofärdig löpande text. Läs guiden om dataskyddslagen och dess tillämpning innan ett svenskt undantag används.
Att uppgifter är känsliga enligt artikel 9 är inte i sig ett skäl att neka personen tillgång till dem. Däremot kan de kräva extra omsorg vid identitetskontroll, presentation och överföring. Skilj behovet av säker hantering från frågan om uppgifterna får undantas från svaret.
När får organisationen ta betalt eller avslå?
Utgångspunkten är att tillgången är kostnadsfri. För ytterligare kopior får en rimlig avgift baserad på administrativa kostnader tas ut enligt artikel 15.3. Enligt artikel 12.5 kan en rimlig avgift eller vägran bli aktuell om begäran är uppenbart ogrundad eller orimlig, särskilt på grund av upprepning. Den personuppgiftsansvariga har bevisbördan för detta.
En stor mängd uppgifter eller en besvärlig relation till personen räcker inte automatiskt. Bedöm den faktiska begäran, tidigare svar och om behandlingen förändrats. Ett nytt registerutdrag kan vara motiverat när nya uppgifter tillkommit. Förklara en eventuell begränsning individuellt och lämna den information om klagomål och rättslig prövning som artikel 12.4 kräver.
Spotify-fallet visar varför informationens kvalitet spelar roll
IMY beslutade 2023 om en sanktionsavgift på 58 miljoner kronor mot Spotify. Efter att förvaltningsrätten sänkt avgiften fastställde Kammarrätten i Stockholm den till 58 miljoner kronor den 3 juni 2025 i mål 4512-24. Kammarrättens information om avgörandet anger brister i tydlighet och tillgänglighet, information om lagringsperioder eller kriterier samt information om skyddsåtgärder vid internationella överföringar.
Lärdomen för en svarsrutin är konkret: kontrollera både att uppgifterna finns med och att personen kan förstå hur de behandlas. Ett stort exportpaket kompenserar inte för saknad förklaring. Avgörandet ska inte användas som en generell avgiftsnivå för andra organisationer; sanktioner bedöms utifrån den aktuella överträdelsen och omständigheterna.
Leverera säkert och följ upp resultatet
Kontrollera mottagare, bilagor och åtkomst innan svaret skickas. Använd en säker leveransmetod som är lämplig för innehållet och tillgänglig för personen. Om ett skyddat nedladdningsutrymme används behöver mottagaren tydliga instruktioner och rimlig möjlighet att hämta materialet. Att skapa en länk räcker inte om personen saknar den information som behövs för att använda den.
Bevara ett proportionerligt underlag om begäran, sökningen, prövningen och leveransen. Det behöver inte innebära att hela utdraget sparas utan tidsgräns i ytterligare ett system. Bestäm vilka bevis på handläggningen som behövs och hur länge de ska finnas kvar. Om svaret avslöjar fel i registrerade uppgifter eller rutiner ska dessa frågor tilldelas ansvariga personer.
Personen kan därefter begära rättelse enligt artikel 16 eller undersöka rätten till radering. Dataportabilitet enligt artikel 20 är en annan rättighet med egna villkor och ska inte blandas ihop med artikel 15. Ett registerutdrag ska kunna ge insyn även när förutsättningarna för dataportabilitet inte är uppfyllda.
Vanliga frågor om registerutdrag
Måste personen förklara varför uppgifterna behövs?
Nej, rätten till tillgång är inte beroende av att organisationen godkänner personens motiv. Organisationen kan behöva klargöra vad begäran omfattar eller hur personen identifieras, men dessa frågor ska stödja handläggningen och inte användas som ett krav på att motivera själva rättigheten.
Räcker en kopia av integritetspolicyn?
Nej, inte när organisationen behandlar personuppgifter som omfattas av begäran. Policyn kan bidra med information om behandlingen, men personen har också rätt till tillgång till sina uppgifter. Kontrollera att eventuella policyhänvisningar är aktuella, tillämpliga och tillräckligt konkreta för det individuella svaret.
Kan andra personers uppgifter alltid maskeras?
Gör en bedömning av hur utlämnandet påverkar deras rättigheter och friheter. Maskering kan vara lämplig, men får inte användas mekaniskt så att den sökandes egna uppgifter blir obegripliga eller tillgången onödigt begränsad. Undersök om ett utdrag eller en förklarande presentation kan tillgodose båda intressena.