Hvad er GDPR artikel 17 (retten til at blive glemt)

GDPR artikel 17 giver dig ret til at kræve dine personoplysninger slettet. Reglen kaldes ofte "retten til at blive glemt". Den dataansvarlige — virksomheden, myndigheden eller organisationen der behandler dine data — skal slette oplysningerne, hvis en af flere konkrete betingelser er opfyldt.

Artikel 17 er en del af EU's databeskyttelsesforordning (forordning 2016/679). Du finder den fulde ordlyd på EUR-Lex og den danske implementering på retsinformation.dk. Datatilsynet er den danske myndighed, der fører tilsyn med reglerne og kan vejlede, hvis en dataansvarlig ikke reagerer.

Retten er ikke absolut. Den gælder kun, når en af lovens betingelser er opfyldt, og den vejer op mod andre hensyn, som du kan læse mere om nedenfor.

Hvornår kan du kræve dine data slettet

Du kan bede om sletning, hvis en eller flere af disse situationer gælder:

  • Formålet er væk. Data er ikke længere nødvendige til det, de blev indsamlet til.
  • Du trækker samtykket tilbage. Behandlingen var baseret på dit samtykke, og der er ikke et andet lovligt grundlag.
  • Du gør indsigelse mod markedsføring. Bruges dine data til direkte markedsføring, kan du altid modsætte dig det, uden begrundelse.
  • Du gør indsigelse af andre grunde, og virksomheden har ikke en tungtvejende legitim interesse, der går forud for din ret.
  • Behandlingen er ulovlig. Data er indsamlet eller behandlet i strid med GDPR.
  • Sletning er et lovkrav. En anden EU- eller national lov pålægger den dataansvarlige at slette oplysningerne.
  • Data om et barn er indsamlet i forbindelse med informationssamfundstjenester (fx en app eller et onlinespil), hvor samtykket blev givet som mindreårig.

Er ingen af disse opfyldt, har du normalt ikke krav på sletning efter artikel 17, men du kan stadig bede om indsigt eller berigtigelse.

Sådan sender du en sletteanmodning

  1. Identificér den dataansvarlige. Find ud af, hvilken virksomhed eller myndighed der behandler dine data, og hvor de tager imod henvendelser om databeskyttelse.
  2. Skriv en klar anmodning. Angiv dit fulde navn og de data, du vil have slettet. Henvis til GDPR artikel 17.
  3. Begrund kort hvorfor. Nævn hvilken af betingelserne ovenfor der gælder, fx at du trækker dit samtykke tilbage.
  4. Bed om skriftlig bekræftelse, når sletningen er gennemført.
  5. Send til den rette kanal. Brug virksomhedens officielle kontaktpunkt for persondata, hvis et findes.
  6. Vent på svar. Den dataansvarlige skal svare inden én måned. Fristen kan forlænges med op til to måneder ved komplekse sager, men du skal orienteres inden for den første måned.
  7. Klag til Datatilsynet, hvis du ikke får svar, eller hvis afslaget virker ubegrundet.

Undtagelser — hvad kan ikke slettes

Retten til sletning har flere lovlige undtagelser. Den dataansvarlige kan afvise din anmodning, hvis behandlingen er nødvendig for at:

  • Overholde en retlig forpligtelse. Lovpligtige registre som CVR, bogføringsloven (typisk 5 år) og andre myndighedskrav går forud for sletteretten.
  • Fastlægge eller forsvare et retskrav. Har en virksomhed brug for dataene i en tvist, kan de beholde dem.
  • Udøve ytrings- og informationsfriheden, fx pressens behandling af data.
  • Udføre en opgave i samfundets interesse eller som led i offentlig myndighedsudøvelse.
  • Arkivformål, forskning eller statistik, hvor sletning ville skade formålet alvorligt.

Det betyder i praksis, at data i offentlige registre — CVR, tingbogen, BBR — normalt ikke kan slettes, selvom du beder om det. Det samme gælder lovpligtigt regnskabsmateriale, selv efter du er ophørt som kunde.

Lad Privio gøre det for dig

At finde de rigtige kontaktpunkter, formulere anmodningen korrekt og følge op inden for fristen tager tid, især hvis dine data ligger spredt hos mange datamæglere og registre. Privio scanner dit digitale fodaftryk og sender sletteanmodninger efter GDPR artikel 17 på dine vegne. Vi følger op, hvis en dataansvarlig ikke svarer inden for fristen, og re-scanner kvartalsvist for nye fund.

Vi kan ikke garantere, at al data slettes. Det afgør den enkelte dataansvarlige, og lovpligtige registre forbliver som beskrevet ovenfor. Men vi gør processen langt mindre besværlig for dig.