GDPR: dina rättigheter över dina personuppgifter

GDPR, eller dataskyddsförordningen, ger dig ett antal rättigheter över dina personuppgifter. Du kan använda dem mot företag, föreningar, myndigheter och andra som hanterar uppgifter om dig. Den här guiden går igenom vilka rättigheterna är, hur du gör en begäran steg för steg, hur lång tid svaret får ta och vad du kan göra om du inte får hjälp.

Informationen bygger på Integritetsskyddsmyndighetens (IMY, tidigare Datainspektionen) egna vägledningar. Det är allmän information och inte juridisk rådgivning. För ett enskilt ärende ska du läsa IMY:s sidor eller kontakta IMY direkt.

Kort svar: det här ger GDPR dig

Enligt IMY har du följande rättigheter:

1. Rätt till radering: att under vissa villkor få dina uppgifter raderade.
2. Rätt till rättelse: att få felaktiga uppgifter rättade.
3. Rätt till tillgång: att få veta vilka uppgifter som behandlas om dig och få ta del av dem.
4. Rätt till information: att få veta hur dina uppgifter behandlas.
5. Rätt till begränsning: att under vissa villkor få behandlingen begränsad.
6. Rätt att göra invändningar: att invända mot viss behandling.
7. Rättigheter vid automatiserade beslut.
8. Rätt att flytta dina personuppgifter: att få uppgifterna i ett användbart format och eventuellt flytta dem.

Du vänder dig till den som ansvarar för behandlingen, inte till IMY. Den ansvariga ska normalt svara inom en månad, och det ska som regel vara kostnadsfritt.

Vill du se vilka av dina uppgifter som är synliga offentligt på nätet och i vilka kända dataläckor din e-postadress förekommer? Remove Me gör en kostnadsfri analys utan inloggning: den söker efter det som är publikt synligt, kända läckor (via Have I Been Pwned) och ett register över dataförmedlare. En sexsiffrig kod som skickas till din e-postadress låser upp rapporten. Remove Me skickar ännu inte några raderingsbegäranden åt dig. Starta min kostnadsfria analys.

Vem är personuppgiftsansvarig?

Rättigheterna riktas mot den personuppgiftsansvariga, alltså den organisation som bestämmer varför och hur dina uppgifter behandlas. Det kan vara en webbutik, en bank, en arbetsgivare, en förening, en myndighet eller en söktjänst. IMY förklarar att du själv ska kontakta den ansvariga och inte IMY när du vill få uppgifter raderade.

Det enklaste sättet att hitta rätt kontaktväg är att läsa organisationens integritetspolicy. Där ska det framgå hur du utövar dina rättigheter. Om organisationen har ett dataskyddsombud kan du vända dig dit med frågor om dina uppgifter eller dina rättigheter.

Så begär du radering

Rätten till radering följer av artikel 17 i GDPR och kallas ibland rätten att bli bortglömd. Den är inte absolut. Enligt IMY ska den ansvariga radera dina uppgifter om du begär det i bland annat dessa fall:

• Uppgifterna behövs inte längre för det ändamål de samlades in för.
• Behandlingen bygger på ditt samtycke och du drar tillbaka det.
• Behandlingen sker för direktmarknadsföring och du invänder.
• Du invänder mot behandling som bygger på en intresseavvägning, och det inte finns tyngre skäl för behandlingen.
• Uppgifterna har behandlats olagligt.
• Radering krävs för att uppfylla en rättslig förpliktelse.

Det finns också undantag. Den ansvariga får vägra radering bland annat för att skydda andra grundläggande rättigheter, till exempel yttrande- och informationsfrihet, för att uppfylla en rättslig förpliktelse eller för att fastställa, göra gällande eller försvara rättsliga anspråk. Myndigheter och vårdgivare åberopar ofta undantagen eftersom de enligt lag måste spara uppgifter.

Så här gör du:

1. Hitta den ansvariga. Läs integritetspolicyn eller leta efter ”Kontakta oss” på webbplatsen.
2. Skriv din begäran. Du kan begära muntligt, men IMY rekommenderar skriftligt, till exempel via e-post, så att du har bevis. På IMY:s sida finns en mall som hänvisar till artikel 17.
3. Var tydlig. Beskriv vilka uppgifter det gäller. Det finns inga formella krav på hur begäran ser ut, och IMY:s mall nämner inget krav på att du motiverar den, men en kort förklaring kan göra den lättare att besvara.
4. Räkna med en kontroll av vem du är. Den ansvariga får be dig styrka din identitet.
5. Spara kopior av din begäran och av svaret.

Om uppgifterna raderas på din begäran ska den ansvariga i regel också informera dem som har fått uppgifterna, om det inte är omöjligt eller oproportionerligt. Du har även rätt att få veta vilka som har tagit del av dem.

Så begär du rättelse

Den som behandlar dina uppgifter ska se till att de är korrekta och aktuella. Enligt artikel 16 kan du kräva att felaktiga uppgifter rättas och att relevanta uppgifter som saknas fylls i. IMY:s eget exempel är ett försäkringsbolag som felaktigt har antecknat att du röker, så att din livförsäkring blir lägre.

Det finns ingen särskild blankett. Du kan fråga muntligt eller skriftligt, men skriftligt är bäst för bevisning. Du ska få svar utan onödigt dröjsmål och senast en månad efter din begäran.

Rätten att ta del av dina uppgifter och övriga rättigheter

Rätten till tillgång, som många känner som registerutdrag, innebär att du kan få veta vilka uppgifter som behandlas om dig och få tillgång till dem. Den är ofta en bra första åtgärd: först ser du vad som finns, sedan avgör du om du vill begära rättelse, radering eller att behandlingen begränsas. Vi går igenom hur det fungerar i praktiken i guiden Registerutdrag: så begär du ut dina uppgifter.

Rätten att göra invändningar gäller viss behandling, till exempel direktmarknadsföring. Rätten till begränsning innebär att behandlingen under vissa villkor kan begränsas. Vid automatiserade beslut finns särskilda rättigheter, och du kan under vissa förutsättningar få ut dina uppgifter i ett användbart format för att flytta dem. IMY:s översikt hänvisar till egna undersidor för varje rättighet. Läs dem innan du skriver din begäran, eftersom villkoren skiljer sig åt.

Telefonförsäljning är ett eget område, där det finns ett särskilt register för den som inte vill bli uppringd. Läs mer i NIX-Telefon: så spärrar du telefonförsäljare.

Så fungerar de övriga rättigheterna i korthet

Alla rättigheter har egna villkor, och IMY har en särskild sida för var och en. Här är en orientering som hjälper dig att välja rätt.

Rätt till information. Du ska få veta hur dina uppgifter behandlas. Det är grunden för allt annat: om du inte vet vem som har uppgifterna eller varför, är det svårt att använda de andra rättigheterna. Organisationens integritetspolicy är ofta det första stället att läsa.

Rätt till begränsning. Under vissa villkor kan du kräva att behandlingen begränsas. Det kan vara ett alternativ när du till exempel ifrågasätter att uppgifterna stämmer och vill att de inte används medan frågan utreds.

Rätt att göra invändningar. Du kan invända mot viss behandling. Enligt IMY ska uppgifter raderas om du invänder mot behandling för direktmarknadsföring. Om du invänder mot behandling som bygger på organisationens egna intressen eller på en uppgift av allmänt intresse måste det saknas tyngre skäl för behandlingen.

Automatiserade beslut. När ett beslut om dig fattas automatiskt finns särskilda rättigheter. Sök upp IMY:s sida om detta om du har fått ett beslut som du misstänker har tagits utan mänsklig bedömning.

Rätt att flytta dina uppgifter. Du kan få dina uppgifter i ett användbart format och eventuellt flytta dem. Det är praktiskt när du byter tjänst.

Gemensamt för alla rättigheterna är att IMY har egna sidor om avgifter, nekade begäranden, tidsfrister, skadestånd och identifiering. De är värda att läsa innan du skickar något.

Vilken rättighet passar vilken situation?

Många vet att något är fel men inte vilken rättighet de ska använda. Tänk så här:

• ”Jag vet inte vad de har om mig.” Börja med tillgång. Då får du underlag för nästa steg.
• ”Uppgifterna stämmer inte.” Begär rättelse.
• ”Jag vill inte att de har uppgifterna alls.” Begär radering. Kom ihåg att den ansvariga kan hänvisa till undantag.
• ”Jag får reklam jag aldrig bett om.” Invänd mot direktmarknadsföring. Det är ett av de fall då IMY anger att uppgifterna ska raderas.
• ”Jag har lämnat samtycke men ångrat mig.” Dra tillbaka samtycket. Om behandlingen bygger på samtycke är det ett av fallen för radering.
• ”Jag vill byta tjänst och ta med mig uppgifterna.” Använd rätten att flytta uppgifter.

Du kan använda flera rättigheter i samma brev, men det är ofta tydligare att skriva en begäran per rättighet. Då är det enklare för mottagaren att svara och för dig att visa vad som har besvarats.

Så skriver du en begäran: ett eget exempel

IMY rekommenderar skriftlig form och har egna mallar. Strukturen nedan är bara ett förslag på hur en begäran om radering kan se ut. Ersätt det inom hakparentes med dina egna uppgifter och lägg aldrig in uppgifter du inte behöver.

Till [organisationens namn],

Jag begär radering av mina personuppgifter enligt artikel 17 i dataskyddsförordningen. Det gäller de uppgifter ni behandlar om mig i samband med [kort beskrivning, till exempel mitt kundkonto eller en söktjänst]. Skälet är att [kort skäl, till exempel att jag drar tillbaka mitt samtycke eller att uppgifterna inte längre behövs].

Jag ber er bekräfta att uppgifterna har raderats och informera mig om ni anser att något hindrar radering. Jag ber också om besked om vilka som har tagit del av uppgifterna.

[Datum, namn, kontaktuppgift]

Tre tips: skicka begäran på ett sätt som lämnar spår, skriv datum så att du kan räkna månadsfristen, och spara svaret. Om organisationen ber om mer information för att kontrollera vem du är, svara och skicka bara det som behövs.

Vanliga missförstånd

”IMY kan ta bort uppgifterna åt mig.” Det kan IMY inte. IMY behandlar klagomål och kan inleda tillsyn, men raderar inte uppgifter åt enskilda. Det ska du vända dig till den ansvariga för.

”GDPR betyder att alla uppgifter alltid måste raderas.” Rätten till radering är inte absolut. Det finns undantag, till exempel yttrande- och informationsfrihet eller rättsliga förpliktelser.

”Det kostar att använda sina rättigheter.” Som regel kostar det ingenting.

”Om jag tar bort sökresultatet är uppgifterna borta.” Då försvinner bara resultatet i sökmotorn. Webbplatsen måste du kontakta separat.

”En myndighet måste radera om jag begär det.” Myndigheter och vårdgivare har ofta lagkrav på att spara uppgifter, och kan då åberopa undantag.

Vad gör du om begäran gäller en myndighet eller vården?

För myndigheter och vård gäller särskilda regler vid sidan av GDPR. IMY har egna sidor om rättigheter i vården, enligt både dataskyddsförordningen och patientdatalagen, som kompletterar varandra. Om en svensk myndighet nekar din begäran ska du enligt IMY be om ett skriftligt beslut som kan överklagas och i så fall överklaga till allmän förvaltningsdomstol.

Har du frågor om rättigheter i arbetslivet eller för barn finns separata vägledningar hos IMY, bland annat om unga och om barns rättigheter.

Hur du kan göra det lättare för dig själv

1. Samla. Gör en lista över de tjänster du har konton hos och de register du vet att du finns i.
2. Prioritera. Börja med de organisationer där uppgifterna är mest känsliga eller mest synliga.
3. Skicka skriftligt och notera datum i en enkel tabell.
4. Följ upp efter en månad. Har du inte fått något svar, skicka en påminnelse.
5. Gå vidare med klagomål om du inte får hjälp.

Gör du det i den ordningen bygger du upp ett underlag som gör ett eventuellt klagomål enklare för både dig och IMY.

Hur lång tid får det ta?

IMY skriver att din begäran ska hanteras så snart som möjligt, normalt inom en månad. Månaden räknas från den dag den ansvariga tar emot din begäran. Faller sista dagen på en helg eller helgdag flyttas den till nästa vardag.

I vissa fall kan fristen förlängas med två månader, alltså till sammanlagt tre. Skälen kan vara att begäran är komplicerad eller att den ansvariga hanterar många begäranden samtidigt. Då ska den ansvariga meddela dig om förlängningen och skälet inom den första månaden.

Kostar det något?

Som regel ska det inte kosta dig något att utöva dina rättigheter enligt dataskyddsförordningen. Ibland kan den ansvariga ta ut en skälig avgift, till exempel om du gör upprepade begäranden till samma ansvariga. Avgiften får inte vara för hög.

Om du inte får svar eller får nej

Gå i den här ordningen:

1. Påminn. Skicka en påminnelse till den ansvariga och hänvisa till din tidigare begäran.
2. Kontakta dataskyddsombudet om organisationen har ett.
3. Be om skälen om begäran har nekats. Den ansvariga ska förklara varför.
4. Lämna ett klagomål till IMY om du fortfarande inte får hjälp. Vi beskriver hur det går till i IMY: så lämnar du klagomål.
5. Skadestånd: om du har lidit skada av en behandling som strider mot GDPR kan du ha rätt till ersättning. IMY kan inte hjälpa dig att föra talan i domstol eller kräva skadestånd.

Mot en svensk myndighet som nekar din begäran gäller särskilda regler. Enligt IMY ska du då be om ett skriftligt beslut som kan överklagas och i så fall överklaga till allmän förvaltningsdomstol.

Söktjänster och sökmotorer

Två situationer får ofta människor att fastna.

Sökmotorer. Du kan be en sökmotor ta bort ett sökresultat som visas när någon söker på ditt namn. Sökmotorn ska bifalla begäran om ditt privatliv väger tyngre än allmänhetens intresse. Men bara sökresultatet försvinner. Själva webbsidan finns kvar, och den måste du kontakta separat. Begäran görs direkt hos sökmotorn, och den ska normalt hantera den inom en månad. Nekar sökmotorn kan du lämna klagomål till IMY.

Söktjänster med utgivningsbevis. Webbplatser och databaser med utgivningsbevis omfattas av samma grundlagsskydd som traditionella massmedier. Mediemyndigheten ger ut utgivningsbevis. Det betyder att söktjänster med utgivningsbevis har samma skydd som tidningar, radio och tv, och att du inte ska vända dig till IMY för att få uppgifterna raderade. Du vänder dig i stället direkt till tjänstens ansvariga, som enligt IMY ska svara utan onödigt dröjsmål och inom en månad. IMY har dessutom inlett tillsyn mot fyra söktjänster (mrkoll.se, upplysning.se, lexbase.se och krimfup.se). Enligt IMY utreder myndigheten inte nyinkomna eller redan inskickade klagomål som handlar om det som granskas, utan avslutar dem utan åtgärd. Läs mer i vår guide Ta bort dina personuppgifter från Ratsit, MrKoll, Merinfo och andra söktjänster. Det går inte att lova att en tjänst tar bort uppgifterna, och vi lovar inte heller det.

Skyddade personuppgifter

Har du skyddade personuppgifter ska du inte använda IMY:s e-tjänst för klagomål. IMY anger att du i stället skickar ett brev till Integritetsskyddsmyndigheten, Box 8114, 104 20 Stockholm.

Du kan klaga i vilket EU-land som helst

Enligt IMY kan du lämna klagomål till tillsynsmyndigheten i vilket EU-land som helst, inte bara i Sverige.

Vad du bör tänka på

• Skriv och spara. Skriftliga begäranden ger bevis om du senare behöver klaga.
• Var specifik. Ange vilka uppgifter och vilken rättighet du åberopar.
• Räkna fristen. Notera datumet då organisationen fick din begäran.
• Skicka inte mer än nödvändigt. Skicka bara det som behövs för att styrka vem du är.
• Kontakta först organisationen. IMY rekommenderar att du vänder dig dit innan du klagar.

Källor

Läst den 31 oktober 2026.

• IMY: Dina rättigheter enligt GDPR
• IMY: Rätt till radering
• IMY: Rätt till rättelse
• IMY: Tidsfrister
• IMY: Avgifter
• IMY: Rätten att få sökresultat borttagna
• IMY: Utgivningsbevis
• IMY: Lämna ett klagomål
• IMY: IMY utreder inte klagomål om söktjänster medan samlad granskning pågår