Till Aktuellt
Nyhet | 2023-06-01

Rätt till information om behandling av personuppgifter

Enligt dataskyddsförordningen, GDPR, har den registrerade på begäran rätt till ”en kopia av de personuppgifter som är under behandling” (artikel 15.3). Denna rätt innefattar enligt EU-domstolens dom av den 4 maj 2023, F.F mot Österreichische Datenschutzbehörde och CRIF GmBH, C‑487/21, ECLI:EU:C:2023:369, rätt att erhålla en kopia av utdrag ur handlingar eller till och med av hela handlingar eller utdrag ur databaser om dessa innehåller den registrerades personuppgifter. Detta om tillhandahållandet av en sådan kopia är nödvändigt för att den registrerade ska kunna utöva sina rättigheter enligt GDPR på ett effektivt sätt. Andras fri- och rättigheter ska dock även de beaktas.

I december 2018 begärde en privatperson tillgång till en kopia av de personuppgifter som ett kreditupplysningsföretag behandlade om hen. Kreditupplysningsföretaget svarade på begäran med en sammanställd förteckning. Då någon kopia av begärda handlingar inte tillhandahållits klagade hen till Österreichische Datenschutzbehörde (DSB). DSB avslog klagomålet med motiveringen att kreditupplysningsföretaget inte hade åsidosatt den registrerades rätt att få tillgång till sina personuppgifter. När ärendet efter överklagan av beslutet skulle prövas av federala förvaltningsdomstolen begärdes ett förhandsavgörande från EU-domstolen avseende tolkningen av orden kopia och information i artikel 15.3 första respektive tredje meningen i dataskyddsförordningen (GDPR).

Enligt EU-domstolen får ordet kopia tolkas utifrån ordets normala betydelse, det vill säga ”en exakt återgivning eller avskrift av ett original”. Domstolen går vidare med att konstatera att begreppet får läsas i ljuset av betydelsen av ordet personuppgifter i GDPR, vilket innefattar såväl objektiva som subjektiva upplysningar. För tydlighets skull förklarar EU-domstolen att ordet kopia inte avser en handling i sig utan endast de personuppgifter som handlingen innehåller. En avgränsning får således göras utifrån vad som utgör personuppgifter i den aktuella handlingen.    Hänsyn ska därvid tas till om tillhandahållandet är nödvändigt för att den registrerade ska kunna utöva sina rättigheter.

Intressant att notera är att det i den bedömning som ska göras även hänsyn till andras fri- och rättigheter ska tas. Avslutningsvis klargör dock EU-domstolen att en sådan bedömning inte bör medföra att en registrerad förvägras all information.

Den information som ska lämnas, enligt artikel 15.3 tredje meningen, avser enligt EU-domstolen de personuppgifter som den personuppgiftsansvarige ska tillhandahålla en kopia av enligt artikel 15.1 första meningen.

Personuppgiftsansvariga kan behöva se över sina rutiner för utlämnande av information till registrerade i anledning av domen. Förutom att det endast mycket undantagsvis kan vara tillräckligt med en sammanställning av personuppgifter kan det finnas anledning att se över vilka bedömningar som bör göras för att beakta andras intressen, inkluderande personuppgiftsansvarigs.

Har du frågor eller funderingar relaterade till GDPR? Tveka inte att höra av dig till vår techgrupp.