GDPR – Rätten att bli informerad

Det finns ett behov av transparens när det gäller insamling och användning av data för att tillåta EU-medborgare att utöva sin rätt till skydd av personuppgifter. Därför ger den allmänna dataskyddsförordningen (GDPR) individer en rätt att bli informerade om insamling och användning av deras personuppgifter, vilket leder till en mängd informationsskyldigheter för den personuppgiftsansvarige.

Lagen skiljer mellan två fall: Å ena sidan, om personuppgifter erhålls direkt från den registrerade (art. 13 i GDPR) och, å andra sidan, om detta inte är fallet (art. 14 i GDPR).

När uppgifter erhålls direkt måste personen omedelbart informeras, vilket betyder vid tidpunkten då uppgifterna erhålls. Vad gäller innehåll omfattar den personuppgiftsansvariges informationsskyldighet hans identitet, kontaktuppgifterna till dataskyddsombudet (om tillgängligt), behandlingens syfte och den rättsliga grunden, eventuella berättigade intressen, mottagarna vid överföring av personuppgifter och avsikten att överföra personuppgifter till tredjeländer. Rätten att bli informerad inkluderar dessutom information om lagringens varaktighet, den registrerades rättigheter, möjligheten att återkalla samtycke, rätten att lämna in ett klagomål till myndigheterna och om tillhandahållandet av personuppgifter är ett lagstadgat eller avtalsmässigt krav. Dessutom måste den registrerade informeras om eventuella automatiserade beslutsfattande aktiviteter, inklusive profilering. Endast om den registrerade redan känner till ovanstående information är det inte nödvändigt att ge denna.

Om personuppgifter inte har erhållits från den registrerade måste han eller hon få informationen inom en rimlig tidsperiod, men senast efter en månad. I fall där den insamlade informationen används för att direkt kontakta den registrerade, har han eller hon rätt att bli informerad omedelbart vid kontakttillfället. När det gäller innehållet måste den personuppgiftsansvarige ge samma specifika information som om personuppgifterna hade erhållits direkt från den registrerade. Det enda undantaget är informationen om eventuella skyldigheter att tillhandahålla personuppgifter, eftersom den personuppgiftsansvarige inte har beslutsrätt i detta fall. Dessutom har den personuppgiftsansvarige skyldighet att informera om från vilka källor personuppgifterna härrör och om de var offentligt tillgängliga. Den registrerade har rätt att informeras på ett exakt, transparent, begripligt och lättillgängligt sätt. Informationsplikten kan fullgöras skriftligen eller i elektronisk form. Det är uttryckligen angivet att så kallade ’standardiserade bildsymboler’ även kan användas för att ge en meningsfull översikt över den avsedda behandlingen på ett lättbegripligt, klart och tydligt sätt.

Om personuppgifterna inte samlas in från den registrerade finns det i undantagsfall ingen skyldighet att informera. Detta gäller om det är omöjligt eller oskäligt dyrt att tillhandahålla informationen, om insamlingen och/eller överföringen krävs enligt lag, eller om uppgifterna måste förbli konfidentiella på grund av yrkesmässig tystnadsplikt eller andra lagstadgade sekretessskyldigheter.