Så ställer du krav på dataportabilitet och utträde

Vad dataportabilitet och utträde innebär i ett leverantörsval

Dataportabilitet och utträde är två närliggande krav när en verksamhet väljer leverantör. Rätten att flytta personuppgifter kallas i dataskyddsförordningen rätt till dataportabilitet. Enligt Integritetsskyddsmyndigheten (IMY) kan en registrerad begära att få ut de personuppgifter som lämnats till en personuppgiftsansvarig, om den registrerade har samtyckt till behandlingen eller lämnat uppgifterna med anledning av ett avtal. Den registrerade kan också begära att uppgifterna överförs till en annan personuppgiftsansvarig, till exempel ett annat företag, om han eller hon vill använda dennas tjänster i stället.

För er som köpare innebär det att leverantörens lösning och avtalet måste stödja sådana begäranden. Utöver dataportabiliteten behöver ni reglera utträdet: vad som ska hända när avtalet upphör. Det gäller hur uppgifterna ska återlämnas eller raderas, i vilket format de ska tillhandahållas, vilket överlämningsstöd leverantören ska ge, vilka tidsfrister som gäller och hur eventuella kostnader ska hanteras.

Dataportabilitet är en av de rättigheter som Europeiska dataskyddsstyrelsen (EDPB) listar för registrerade: rätt att bli informerad, rätt till tillgång, rätt till rättelse, rätt till radering, rätt till begränsning av behandling, rätt till dataportabilitet, rätt att invända samt rätt att inte bli föremål för ett beslut som enbart grundar sig på automatiserad behandling. EDPB påpekar samtidigt att vissa av dessa rättigheter inte gäller i alla situationer. Enligt IMY är det för portabilitetens del samtycket eller avtalet som avgör om den registrerade kan kräva att uppgifterna flyttas.

Viktiga fakta om dataportabilitet enligt GDPR

Kontrollera rättslig grund och avtala om utträde i god tid

Börja med att ta reda på vilken grund leverantören eller er egen verksamhet anger för behandlingen av just de uppgifter som ska kunna flyttas. Enligt IMY kan en verksamhets integritetspolicy ofta visa hur en registrerad enklast når fram med sin begäran. Vilken rättslig grund som gäller behöver ni kontrollera separat, till exempel genom att fråga leverantören eller ta del av informationen om behandlingen. Vissa organisationer har dessutom ett dataskyddsombud som kan kontaktas med frågor om behandlingen av personuppgifter eller om registrerades rättigheter.

Ställ sedan två kontrollfrågor: lämnade den registrerade uppgifterna själv, och gjorde han eller hon det med stöd av ett samtycke eller ett avtal med den ansvariga (kundavtal, medlemskap, tjänsteavtal eller liknande)? IMY:s beskrivning av rätten är villkorad på just dessa två grunder. Om den ansvariga i stället anger en annan grund är nästa steg att fråga dataskyddsombudet eller kundtjänst vilken grund som gäller för de aktuella uppgifterna, innan kravet formuleras som en portabilitetsbegäran. I leverantörsavtalet bör ni därför skriva in att leverantören ska uppge den rättsliga grunden för de uppgifter som ska kunna flyttas och hur en begäran om portabilitet hanteras.

Hos en myndighet tillkommer en parallell ordning. Skatteverket beskriver att myndigheten är personuppgiftsansvarig för sin behandling, att behandlingen måste ha en rättslig grund och ett särskilt och uttryckligt ändamål, och att Skatteverket därutöver lämnar ut uppgifter enligt offentlighetsprincipen – de flesta handlingar som skickas in diarieförs och kan lämnas ut på begäran om de inte omfattas av sekretess. Skatteverket anger också att tryckfrihetsförordningen har företräde framför EU:s dataskyddsförordning. För dig innebär det att en begäran om allmän handling kan vara en kompletterande väg till uppgifter hos en myndighet, vid sidan av begäran enligt dataskyddsförordningen.

Så skriver du krav på dataportabilitet och utträde

Det finns inga särskilda formkrav för hur en begäran om att flytta uppgifter ska se ut. En registrerad kan göra det muntligt eller skriftligt och vänder sig till företaget, myndigheten eller organisationen som behandlar uppgifterna. Av bevisskäl och för tydlighetens skull rekommenderar IMY att begäran görs skriftligt, till exempel genom att mejla. När ni som verksamhet ställer krav på en leverantör bör motsvarande krav i stället skrivas in i avtalet eller i en bilaga till avtalet, så att de blir spårbara och kan följas upp vid utträde.

En begäran som går att agera på innehåller: vilka personuppgifter som ska flyttas, eventuellt till vilken aktör de ska överföras, den registrerades egna kontaktuppgifter och datum. Hänvisa till artikel 20 i dataskyddsförordningen och ange att svar önskas så snart som möjligt och senast inom en månad. Vill du ha underlag för uppföljning kan du i samma mejl be om besked om den ansvariga bedömer att den behöver mer tid – då vet du att ett sådant meddelande ska komma inom en månad.

I leverantörsavtalet bör ni därför knyta utträdeskraven till en konkret rutin: vem hos er som begär utträdesplanen, i vilket system filen ska tas emot och hur ni dokumenterar att punkterna är uppfyllda när avtalet upphör.

Mall för begäran och underlag för avtalskrav

IMY tillhandahåller en brevmall som utgår från artikel 20 i dataskyddsförordningen och som kan användas som den är. Fyll i uppgifterna inom hakparenteserna:

[Namn och adress till den personuppgiftsansvariga] [Namn och adress och/eller andra kontaktuppgifter till dig] [Datum]

Hej! Jag vill härmed utöva min rätt att flytta mina personuppgifter med stöd av artikel 20 i dataskyddsförordningen. [Skriv vilka personuppgifter du vill ska flyttas och eventuellt till vilken aktör] Jag ser fram emot ert svar på min begäran så snart som möjligt, senast inom en månad. Ni får gärna kontakta mig om ni har några frågor.

Med vänliga hälsningar [Namn]

Samma mall kan användas som underlag när ni som verksamhet formulerar avtalskrav mot en leverantör. Lägg då till en bilaga där varje utträdespunkt har en ansvarig person hos er och ett datum för uppföljning.

Format, direkt överföring och överlämning vid utträde

Den registrerade har alltid rätt att få tillbaka sina uppgifter från leverantören i ett allmänt använt, maskinläsbart format, så att de kan användas i andra system. Den rätten är inte beroende av att den nya mottagaren samarbetar – filen ska kunna tas ut och flyttas vidare.

Direkt överföring till en annan personuppgiftsansvarig är däremot villkorad: den ansvariga behöver bara överföra uppgifterna till ett annat företag om det är tekniskt genomförbart. IMY:s exempel är ett byte av elleverantör: du har hittat en billigare elleverantör och kan be din befintliga leverantör att överföra dina uppgifter direkt till den nya leverantören, om det är tekniskt genomförbart.

Praktiskt blir det två spår. I begäran anges om direkt överföring eller en fil önskas. Får du besked om att direkt överföring inte är tekniskt möjlig, begär du i stället uppgifterna i ett allmänt använt, maskinläsbart format och lämnar filen till den nya leverantören – kontrollera i förväg med den nya leverantören vilka format deras system tar emot, så att rätt format kan begäras med en gång. Vid utträde bör avtalet därför hänga ihop med formatkravet: kom överens om vilket maskinläsbart format som ska gälla för återlämning, vem som ansvarar för överlämningen och hur ni kontrollerar att filen är komplett innan avtalet avslutas.

Direkt överföring vs. filöverföring – jämförelse

Efter begäran och uppföljning vid utträde

Den personuppgiftsansvarige är skyldig att svara på förfrågningar från registrerade som utövar sina rättigheter och måste underlätta utövandet av dessa rättigheter, enligt EDPB. Personuppgiftsbiträdet ska bistå den personuppgiftsansvarige i denna uppgift. EDPB:s checklista är tydlig på tidsfristen: svara alltid på en registrerads förfrågan inom en månad.

Om den ansvariga behöver ytterligare tid för att svara, eller inte kan uppfylla begäran, ska den registrerade informeras om detta inom en månad. Man ska alltså inte behöva vänta i tysthet – uteblir både svar och besked om förlängning inom månaden finns underlag för uppföljning, eftersom begäran rekommenderas skriftligt.

Uppgifterna kan också redan ha förts vidare. EDPB påpekar att om en begäran rör personuppgifter som den ansvariga har överfört till andra mottagare, ska mottagarna vid behov informeras om resultatet av begäran. Det är relevant om du till exempel byter leverantör men uppgifterna redan delats med en samarbetspartner. EDPB rekommenderar dessutom den ansvariga att dokumentera inkomna förfrågningar och sina svar – spara därför din egen skickade begäran och alla svar. Vid utträde bör ni följa upp att leverantören har informerat eventuella mottagare om resultatet av begäran och att era avtalade utträdespunkter är avslutade innan ni stänger leverantörsrelationen.

Var du hittar mer vägledning om portabilitet och utträde

Integritetsskyddsmyndigheten har en sida för privatpersoner, ”Rätt att flytta dina personuppgifter”, med beskrivningen av samtycke, avtal, format och direkt överföring samt brevmallen ovan. På verksamhetssidan ”Det här gäller enligt dataskyddsförordningen (GDPR)” finns grundprinciperna, den rättsliga grunden och de registrerades rättigheter beskrivna samlat.

EDPB:s sida ”Respektera enskildas rättigheter” (finns på svenska via edpb.europa.eu) riktar sig till verksamheter men är användbar även för dig som registrerad: där finns checklistan för hur en begäran ska hanteras och en tabell över registrerades rättigheter kopplade till varje rättslig grund, vilket hjälper dig att avgöra om just dina uppgifter omfattas av dataportabilitet.