Rätten till tillgång enligt GDPR – Vad gäller vid registerutdrag?

Enligt dataskyddsförordningen (GDPR) har varje individ rätt att få veta om personuppgifter behandlas om dem – och i så fall få tillgång till uppgifterna. Det kallas för rätten till tillgång, och praktiskt innebär det att individen har rätt till ett registerutdrag.

En begäran om registerutdrag kan lämnas in när som helst, både muntligt och skriftligt – och den är giltig oavsett kanal. Som personuppgiftsansvarig är du skyldig att kunna besvara dessa förfrågningar inom en månad.

Vanliga frågor om registerutdrag

I vårt juridiska kompetensstöd Privacy Expert ställs många frågor om vad som gäller vid begäran om registerutdrag. Här är några av de vanligaste, besvarade av våra GDPR-experter.

Måste registerutdraget lämnas digitalt?

Svar: Ja, om begäran inkommit elektroniskt har individen rätt att få utdraget i elektronisk form – om de inte uttryckligen begär något annat. Det framgår av artikel 15.3 i GDPR.

Du måste dock säkerställa att uppgifterna lämnas till rätt person. Det kräver en tillförlitlig identifiering, exempelvis via BankID eller ett säkert inloggat system.

Behöver hela handlingen lämnas ut?

Svar: Nej, du behöver inte lämna ut hela dokument eller handlingar. Det som ska lämnas ut är alla personuppgifter som rör den registrerade – och de ska vara presenterade på ett tydligt och begripligt sätt.

Det viktiga är att personen får insyn i vilka uppgifter som behandlas, varför, hur länge, och vem som har tillgång till dem. Du kan sammanställa dessa uppgifter utan att lämna ut originalhandlingar.

Måste individen identifiera sig?

Svar: Ja, du behöver säkerställa att rätt person får rätt information. E-legitimation (som BankID) är ett effektivt sätt, men det får inte ställas orimligt höga krav på identifiering – särskilt inte om individen saknar e-legitimation.

Ett alternativ är att skicka registerutdraget med rekommenderat brev till folkbokföringsadressen. Vid begäran enligt offentlighetsprincipen (till exempel från en myndighet) gäller andra regler – då behövs ingen identifiering.

Ska uppgifter om andra personer rensas bort?

Svar: Ja. GDPR ger endast rätt till ens egna personuppgifter. Om andra individer förekommer i uppgifterna – exempelvis kollegor, elever eller patienter – måste deras uppgifter maskeras eller raderas.

Detta gäller särskilt i känsliga sammanhang som journaler, personalakter eller elevdokument där risken för att avslöja andras identitet är hög.

Förenkla hanteringen med rätt stöd

Att hantera registerutdrag korrekt kräver inte bara kunskap om lagen – utan även struktur, rutiner och rätt verktyg.

Med vår lösning Privacy as a Service får du allt du behöver för att hantera rättighetsförfrågningar, dokumentation och registerförteckning på ett korrekt och effektivt sätt. Du får:

• Tillgång till Privacy Expert – vårt juridiska kompetensstöd med experthjälp inom 2 arbetsdagar

• Ett kraftfullt verktyg för att bygga och underhålla en uppdaterad och korrekt registerförteckning

• Stöd i det löpande dataskyddsarbetet – både strategiskt och operativt

Vill du göra arbetet med GDPR lite enklare?

Boka en demo – och se hur vi kan hjälpa er hantera rättigheter och skyldigheter i praktiken.