Så ställer du krav på dataportabilitet och utträde

Vad dataportabilitet och utträde innebär i ett leverantörsval

Dataportabilitet och utträde är två närliggande krav när en verksamhet väljer leverantör. Rätten att flytta personuppgifter kallas i dataskyddsförordningen rätt till dataportabilitet. Enligt Integritetsskyddsmyndigheten (IMY) kan en registrerad begära att få ut de personuppgifter som lämnats till en personuppgiftsansvarig, om den registrerade har samtyckt till behandlingen eller lämnat uppgifterna med anledning av ett avtal.

Den registrerade kan också begära att uppgifterna överförs till en annan personuppgiftsansvarig, till exempel ett annat företag, om han eller hon vill använda dennas tjänster i stället. För er som köpare innebär det att leverantörens lösning och avtalet måste stödja sådana begäranden.

Utöver dataportabiliteten behöver ni reglera utträdet: vad som ska hända när avtalet upphör. Det gäller hur uppgifterna ska återlämnas eller raderas, i vilket format de ska tillhandahållas, vilket överlämningsstöd leverantören ska ge, vilka tidsfrister som gäller och hur eventuella kostnader ska hanteras.

I leverantörsavtalet blir det här konkreta krav. Varje utträdespunkt ska vara namngiven: återlämning eller radering, format, överlämningsstöd, tidsfrist och kostnad. Knyt punkten till en ansvarig person hos er och ett datum för uppföljning.

Portabilitetskravet skrivs in med samma precision. Leverantören ska svara inom en månad, dokumentera varje begäran och sitt svar och bistå er när registrerade utövar sina rättigheter.

Dataportabilitet är en av de rättigheter som Europeiska dataskyddsstyrelsen (EDPB) listar för registrerade. Dit hör rätt att bli informerad, rätt till tillgång, rätt till rättelse och rätt till radering. Dit hör också rätt till begränsning av behandling, rätt till dataportabilitet, rätt att invända samt rätt att inte bli föremål för ett beslut som enbart grundar sig på automatiserad behandling.

EDPB påpekar att vissa av dessa rättigheter inte gäller i alla situationer. Enligt IMY är det för portabilitetens del samtycket eller avtalet som avgör om den registrerade kan kräva att uppgifterna flyttas.

Viktiga fakta om dataportabilitet

Kontrollera rättslig grund och avtala om utträde i god tid

Börja med att ta reda på vilken grund leverantören eller er egen verksamhet anger för behandlingen av just de uppgifter som ska kunna flyttas. Enligt IMY kan en verksamhets integritetspolicy ofta visa hur en registrerad enklast når fram med sin begäran.

Vilken rättslig grund som gäller behöver ni kontrollera separat, till exempel genom att fråga leverantören eller ta del av informationen om behandlingen. Vissa organisationer har dessutom ett dataskyddsombud som kan kontaktas med frågor om behandlingen av personuppgifter eller om registrerades rättigheter.

Ställ sedan två kontrollfrågor: lämnade den registrerade uppgifterna själv, och gjorde han eller hon det med stöd av ett samtycke eller ett avtal med den ansvariga (kundavtal, medlemskap, tjänsteavtal eller liknande)? IMY:s beskrivning av rätten är villkorad på just dessa två grunder.

Om den ansvariga i stället anger en annan grund är nästa steg att fråga dataskyddsombudet eller kundtjänst vilken grund som gäller för de aktuella uppgifterna, innan kravet formuleras som en portabilitetsbegäran. I leverantörsavtalet bör ni därför skriva in att leverantören ska uppge den rättsliga grunden för de uppgifter som ska kunna flyttas och hur en begäran om portabilitet hanteras.

I avtalet ska leverantören också åta sig att svara inom en månad. Behövs mer tid ska besked lämnas inom samma månad. För registerutdrag får tiden förlängas med två månader, och den första kopian är avgiftsfri.

Är leverantören personuppgiftsbiträde ska biträdet enligt EDPB bistå er när registrerade utövar sina rättigheter. Skriv in biståndet som en egen avtalspunkt i stället för att bara hänvisa till lagtexten.

Hos en myndighet tillkommer en parallell ordning. Skatteverket beskriver att myndigheten är personuppgiftsansvarig för sin behandling.

Behandlingen måste ha en rättslig grund och ett särskilt och uttryckligt ändamål. Skatteverket lämnar därutöver ut uppgifter enligt offentlighetsprincipen – de flesta handlingar som skickas in diarieförs och kan lämnas ut på begäran om de inte omfattas av sekretess.

Skatteverket anger också att tryckfrihetsförordningen har företräde framför EU:s dataskyddsförordning. För dig innebär det att en begäran om allmän handling kan vara en kompletterande väg till uppgifter hos en myndighet, vid sidan av begäran enligt dataskyddsförordningen.

Så skriver du krav på dataportabilitet och utträde

Det finns inga särskilda formkrav för hur en begäran om att flytta uppgifter ska se ut. En registrerad kan göra det muntligt eller skriftligt och vänder sig till företaget, myndigheten eller organisationen som behandlar uppgifterna.

Av bevisskäl och för tydlighetens skull rekommenderar IMY att begäran görs skriftligt, till exempel genom att mejla. När ni som verksamhet ställer krav på en leverantör bör motsvarande krav i stället skrivas in i avtalet eller i en bilaga till avtalet, så att de blir spårbara och kan följas upp vid utträde.

Ett portabilitetskrav i avtalet bör innehålla: vilka kategorier av personuppgifter som omfattas, att svar lämnas inom en månad, att begäran och svar dokumenteras och att uppgifterna lämnas i ett allmänt använt, maskinläsbart format.

Ett utträdeskrav bör innehålla: vad som återlämnas eller raderas, i vilket avtalat maskinläsbart format, vem som överlämnar, tidsfristen och hur kostnaden hanteras. Varje punkt knyts till en namngiven ansvarig och ett datum.

En begäran som går att agera på innehåller: vilka personuppgifter som ska flyttas, eventuellt till vilken aktör de ska överföras, den registrerades egna kontaktuppgifter och datum. Hänvisa till artikel 20 i dataskyddsförordningen och ange att svar önskas så snart som möjligt och senast inom en månad.

Vill du ha underlag för uppföljning kan du i samma mejl be om besked om den ansvariga bedömer att den behöver mer tid. Då vet du att ett sådant meddelande ska komma inom en månad.

Kräv också att leverantören håller förteckningen över behandlingen uppdaterad. Då kan ni snabbt identifiera de uppgifter en begäran gäller och hämta dem inom svarstiden.

I leverantörsavtalet bör ni knyta utträdeskraven till en konkret rutin. Rutinen ska ange vem hos er som begär utträdesplanen, i vilket system filen ska tas emot och hur ni dokumenterar att punkterna är uppfyllda när avtalet upphör.

Mall för begäran och underlag för avtalskrav

IMY tillhandahåller en brevmall som utgår från artikel 20 i dataskyddsförordningen. Den kan användas som den är. Fyll i uppgifterna inom hakparenteserna:

[Namn och adress till den personuppgiftsansvariga] [Namn och adress och/eller andra kontaktuppgifter till dig] [Datum]

Hej! Jag vill härmed utöva min rätt att flytta mina personuppgifter med stöd av artikel 20 i dataskyddsförordningen. [Skriv vilka personuppgifter du vill ska flyttas och eventuellt till vilken aktör] Jag ser fram emot ert svar på min begäran så snart som möjligt, senast inom en månad. Ni får gärna kontakta mig om ni har några frågor.

Med vänliga hälsningar [Namn]

Som underlag för avtalskravet fungerar samma uppställning, med en kolumn per utträdespunkt: ansvarig person hos er, datum för uppföljning, avtalat format, tidsfrist och kostnad.

Samma mall kan användas som underlag när ni som verksamhet formulerar avtalskrav mot en leverantör. Lägg då till en bilaga där varje utträdespunkt har en ansvarig person hos er och ett datum för uppföljning.

Format, direkt överföring och överlämning vid utträde

Den registrerade har alltid rätt att få tillbaka sina uppgifter från leverantören i ett allmänt använt, maskinläsbart format, så att de kan användas i andra system. Den rätten är inte beroende av att den nya mottagaren samarbetar – filen ska kunna tas ut och flyttas vidare.

Direkt överföring till en annan personuppgiftsansvarig är däremot villkorad: den ansvariga behöver bara överföra uppgifterna till ett annat företag om det är tekniskt genomförbart. IMY:s exempel är ett byte av elleverantör: du har hittat en billigare elleverantör och kan be din befintliga leverantör att överföra dina uppgifter direkt till den nya leverantören, om det är tekniskt genomförbart.

Praktiskt blir det två spår. I begäran anges om direkt överföring eller en fil önskas.

Får du besked om att direkt överföring inte är tekniskt möjlig, begär du i stället uppgifterna i ett allmänt använt, maskinläsbart format och lämnar filen till den nya leverantören. Kontrollera i förväg med den nya leverantören vilka format deras system tar emot, så att rätt format kan begäras med en gång.

I avtalet formuleras formatkravet som att uppgifterna ska lämnas i ett allmänt använt, maskinläsbart format, att leverantören ska ange vilket format som avses och att filen ska kunna tas ut utan den nya mottagarens medverkan.

Direkt överföring skrivs in som ett krav på besked: leverantören ska uppge om överföring till en annan personuppgiftsansvarig är tekniskt genomförbar. Är den inte det ska filen lämnas i stället.

Kostnaden ska också stå i avtalet. För den registrerade är den första kopian avgiftsfri. För själva utträdet bör avtalet ange hur överlämningen debiteras, så att kostnaden är känd i god tid.

Vid utträde bör avtalet därför hänga ihop med formatkravet. Kom överens om vilket maskinläsbart format som ska gälla för återlämning, vem som ansvarar för överlämningen och hur ni kontrollerar att filen är komplett innan avtalet avslutas.

Efter begäran och uppföljning vid utträde

Den personuppgiftsansvarige är skyldig att svara på förfrågningar från registrerade som utövar sina rättigheter och måste underlätta utövandet av dessa rättigheter, enligt EDPB. Personuppgiftsbiträdet ska bistå den personuppgiftsansvarige i denna uppgift. EDPB:s checklista är tydlig på tidsfristen: svara alltid på en registrerads förfrågan inom en månad.

Om den ansvariga behöver ytterligare tid för att svara, eller inte kan uppfylla begäran, ska den registrerade informeras om detta inom en månad. Man ska alltså inte behöva vänta i tysthet – uteblir både svar och besked om förlängning inom månaden finns underlag för uppföljning, eftersom begäran rekommenderas skriftligt.

Uppgifterna kan också redan ha förts vidare. EDPB påpekar att om en begäran rör personuppgifter som den ansvariga har överfört till andra mottagare, ska mottagarna vid behov informeras om resultatet av begäran. Det är relevant om du till exempel byter leverantör men uppgifterna redan delats med en samarbetspartner.

EDPB:s checklista blir er kravlista mot leverantören: ha förfaranden och utbildad personal, göra det enkelt att utöva rättigheterna, hålla dataflöden och förteckning uppdaterade, vara transparent, svara inom en månad, informera mottagare och dokumentera.

EDPB rekommenderar dessutom den ansvariga att dokumentera inkomna förfrågningar och sina svar – spara därför din egen skickade begäran och alla svar. Vid utträde bör ni följa upp att leverantören har informerat eventuella mottagare om resultatet av begäran och att era avtalade utträdespunkter är avslutade innan ni stänger leverantörsrelationen.

Vid utträde stämmer ni av bilagan punkt för punkt: ansvarig person, datum, format, tidsfrist och kostnad. Först därefter stänger ni leverantörsrelationen.

Var du hittar mer vägledning om portabilitet och utträde

Integritetsskyddsmyndigheten har en sida för privatpersoner, ”Rätt att flytta dina personuppgifter”, med beskrivningen av samtycke, avtal, format och direkt överföring samt brevmallen ovan. På verksamhetssidan ”Det här gäller enligt dataskyddsförordningen (GDPR)” finns grundprinciperna, den rättsliga grunden och de registrerades rättigheter beskrivna samlat.

EDPB:s sida ”Respektera enskildas rättigheter” (finns på svenska via edpb.europa.eu) riktar sig till verksamheter men är användbar även för dig som registrerad. Där finns checklistan för hur en begäran ska hanteras och en tabell över registrerades rättigheter kopplade till varje rättslig grund. Det hjälper dig att avgöra om just dina uppgifter omfattas av dataportabilitet.

EDPB:s sida hänvisar vidare till kapitel III i GDPR och till artikel 28, som gäller personuppgiftsbiträden. Den artikeln är utgångspunkten när leverantören är biträde och ska bistå vid registrerades begäranden.