Registerutdrag enligt GDPR: så svarar ni inom en månad

Publicerad 11 november 2026

Sammanfattning: Den som begär ett registerutdrag har rätt att få veta om ni behandlar personuppgifter om hen, få en kopia av uppgifterna och information om bland annat ändamål, mottagare och lagringstid (artikel 15). Ni ska svara utan onödigt dröjsmål och senast en månad efter att begäran kom in; fristen får förlängas med två månader om det behövs, men det ska ni meddela inom den första månaden. Den första kopian är kostnadsfri, personen behöver inte motivera sin begäran och identitetskontrollen ska stå i proportion till risken. Andras rättigheter kan innebära att delar behöver maskeras eller begränsas, men utgångspunkten är att lämna ut resten i stället för att neka hela begäran.

Vad personen har rätt att få

Det som i vardagen kallas registerutdrag heter i GDPR rätt till tillgång. Den har tre delar: besked om ni behandlar personuppgifter om personen, en kopia av uppgifterna och information om behandlingen. Informationen ska enligt artikel 15.1 och 15.2 omfatta:

• ändamålen och kategorierna av personuppgifter,
• mottagare eller kategorier av mottagare, särskilt i tredjeländer,
• lagringstiden, eller kriterierna för den,
• rätten att begära rättelse, radering eller begränsning, att invända och att klaga hos en tillsynsmyndighet,
• varifrån uppgifterna kommer, om de inte har samlats in från personen själv,
• om automatiserat beslutsfattande förekommer, med meningsfull information om logiken och följderna,
• skyddsåtgärderna vid överföring till ett tredjeland.

Mycket av detta finns i ert register över behandlingar och er integritetsinformation, men enligt Europeiska dataskyddsstyrelsen (EDPB) ska svaret anpassas till den som frågar. Mottagarna ska som huvudregel namnges: enligt EU-domstolen ska ni ange de faktiska mottagarna, om det inte är omöjligt att identifiera dem eller begäran är uppenbart ogrundad eller orimlig (mål C-154/21). EDPB rekommenderar att ni också anger den rättsliga grunden.

Fristen: en månad från att begäran kom in

Ni ska svara ”utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran” (artikel 12.3). Enligt EDPB börjar fristen när begäran når någon av era officiella kanaler, även om rätt person inte har sett den. Integritetsskyddsmyndigheten (IMY) och EDPB förklarar hur den räknas:

• Fristen löper ut samma datum månaden därpå: kommer begäran in den 5 mars är sista dagen den 5 april.
• Finns datumet inte i nästa månad blir sista dagen månadens sista dag: den 31 augusti ger den 30 september.
• Infaller sista dagen på en lördag, söndag eller helgdag flyttas den till nästa arbetsdag.

Fristen får förlängas med ytterligare två månader med hänsyn till hur komplicerad begäran är och hur många begäranden ni har fått. Förlängningen och skälen ska meddelas inom den första månaden. Enligt EDPB gör ett stort arbete inte i sig en begäran komplicerad. Tänker ni inte tillmötesgå begäran ska ni inom en månad förklara varför och upplysa om rätten att klaga och begära rättslig prövning (artikel 12.4).

Kontrollera identiteten, men inte mer än nödvändigt

Har ni rimliga skäl att betvivla identiteten får ni begära de ytterligare uppgifter som behövs för att bekräfta den (artikel 12.6), men inte fler än nödvändigt. Om id-handlingar skriver IMY: ”Att kräva uppvisande av id-handling kan innebära en säkerhetsrisk och det bör därför endast krävas om det är strikt nödvändigt och har stöd i lag.”

• Använd identifiering ni redan har, till exempel inloggning eller en engångskod till ett telefonnummer eller en mejladress ni har registrerad.
• Kräv inte mer än när kundförhållandet inleddes.
• Har ni sett en id-handling, anteckna att den är kontrollerad i stället för att spara en kopia, som EDPB rekommenderar.
• Kommer begäran från ett ombud, kontrollera fullmakten.

Enligt EDPB kan fristen stå still medan ni väntar på uppgifter för identifieringen, om ni bad om dem utan onödigt dröjsmål. Fråga därför direkt.

Sök, sammanställ och lämna ut

Enligt EDPB ska ni söka i alla it-system och manuella register med sökbegrepp som namn och kundnummer. Tänk på e-post, delade mappar, ärendesystem, ekonomi- och HR-system och era personuppgiftsbiträdens tjänster. Svaret ska spegla läget när begäran kom in, så se till att de begärda uppgifterna inte raderas medan begäran hanteras. Uppgifter som redan har gallrats kan inte lämnas ut.

EU-domstolen har slagit fast att kopian ska vara ”en exakt och begriplig återgivning av samtliga dessa uppgifter”, med utdrag ur handlingar eller hela handlingar när det är nödvändigt för att personen ska kunna utöva sina rättigheter (mål C-487/21). Enligt IMY räcker ofta en begriplig sammanställning, så länge personen kan kontrollera att uppgifterna är riktiga och lagligt behandlade.

Kom begäran elektroniskt ska svaret lämnas i ett allmänt använt elektroniskt format, om personen inte vill annat (artikel 15.3); enligt EDPB kan till exempel PDF fungera. Skicka svaret säkert. Att lämna ut uppgifter till fel person kan vara en personuppgiftsincident.

Kostnadsfritt, och utan motivering

Den första kopian är kostnadsfri; för ytterligare kopior får ni ta ut en rimlig avgift (artikel 15.3). Personen behöver inte förklara varför hen vill ha uppgifterna. EU-domstolen har bekräftat att den första kopian är kostnadsfri även när syftet är ett annat än att kontrollera behandlingen, i det målet ett möjligt skadeståndsanspråk (mål C-307/22).

Är begäranden uppenbart ogrundade eller orimliga, särskilt för att de upprepas, får ni ta ut en rimlig avgift eller vägra (artikel 12.5). Det ska enligt EDPB tolkas snävt, och ni måste kunna visa det.

Andras uppgifter och svenska undantag

Rätten till en kopia ”ska inte inverka menligt på andras rättigheter och friheter” (artikel 15.4), till exempel kollegors namn i ett mejl eller affärshemligheter. Enligt EDPB måste ni kunna visa att andra faktiskt påverkas, och lösningen är normalt att maskera de delarna, inte att neka hela begäran.

Dataskyddslagen (2018:218) innehåller dessutom svenska undantag:

• Rätten gäller inte uppgifter som ni inte får lämna ut enligt lag eller annan författning, och för den som inte är myndighet inte heller uppgifter som hos en myndighet hade varit sekretessbelagda (5 kap. 1 §).
• Artikel 15 gäller inte utkast och minnesanteckningar, utom om uppgifterna har lämnats ut till tredje part, behandlas enbart för arkivändamål av allmänt intresse eller statistiska ändamål eller har funnits i ett utkast i mer än ett år (5 kap. 2 §).

Bolag där kommuner eller regioner har ett rättsligt bestämmande inflytande omfattas också av offentlighetsprincipen (offentlighets- och sekretesslagen 2 kap. 3 §), och en begäran om allmän handling följer andra regler. Enligt EDPB hanteras en begäran enligt GDPR om det inte är tydligt att den görs enligt andra regler.

En mall för svaret

1. Besked om att ni behandlar, eller inte behandlar, personuppgifter om personen.
2. Kopian av uppgifterna, ordnad per system eller sammanhang.
3. Ändamål och kategorier av personuppgifter samt, som god praxis, den rättsliga grunden.
4. Mottagare, med namn där det går, och skyddsåtgärder vid överföring till tredjeland.
5. Lagringstid, källa och eventuella automatiserade beslut.
6. Rätten till rättelse, radering, begränsning och invändning, och rätten att klaga hos IMY.
7. Vad som har maskerats eller undantagits, och varför.
8. Vem personen kontaktar med frågor.

När rutinen är på plats har ni en ansvarig för begäranden, en logg med datum, frist, identifiering, sökta system och utskick, en lista över var personuppgifter finns och en svarsmall som bygger på registret. I vår indelning av GDPR i 15 delar är detta del 11, registrerades rättigheter. Vill ni se var ni står kan ni börja med vårt GDPR-självtest.

Vill ni ha rutinen och svarsmallarna på plats innan nästa begäran kommer? I GDPR Start tar vi fram en rutin för registrerades rättigheter med svarsmallar, som en del av en fungerande grundnivå. Läs mer om hur Kristensson i Skåne AB arbetar med dataskydd och integritet.

Källor: GDPR, förordning (EU) 2016/679, artiklarna 12 och 15 (EUR-Lex); EDPB:s riktlinjer 01/2022 om rätten till tillgång; IMY om de registrerades rättigheter och om identifiering; EU-domstolens domar i mål C-154/21, C-487/21 och C-307/22; dataskyddslagen (2018:218) 5 kap. 1–2 §§ och offentlighets- och sekretesslagen (2009:400) 2 kap. 3 § (riksdagen.se). Verifierat 2026-10-03.

Den här texten är allmän information och inte juridisk rådgivning. Hur en enskild begäran ska hanteras beror på omständigheterna.