Rätten att bli bortglömd uppstod under 2014 i.o.m. EU-domstolens avgörande, Costeja mot Google. Rättigheten i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (GDPR) blev under 2018 lag i samtliga 28 EU-länder. En av de viktigaste förändringarna via GDPR är den breda definitionen av personuppgifter. Under GDPR kan alla data som identifierar en person betraktas som personuppgifter. Biometriska data, genetiska data och data som rör enskildas kulturella eller ekonomiska aspekter ligger nu inom lagens område. Rätten att bli bortglömd stadgas i art. 17 GDPR och har medfört nya spelregler angående den enskildas integritet på internet. Syftet med GDPR är huvudsakligen att stärka individers befintliga rättigheter och se till att enskilda får mer kontroll över sina personuppgifter, men också att harmonisera EU:s regler om skydd av personuppgifter och därmed skapa affärsmöjligheter och främja innovation. GDPR är en besvärlig och svårtolkad uppsättning av bestämmelser att tillämpa. Ur den registrerades perspektiv är det viktigt att behandlingen sker korrekt från första början. Den stödjande och rådgivande rollen hos datainspektionen är således av stort värde, då kränkningar sällan kan läkas i efterhand. Det åligger den personuppgiftsansvariga att, i varje enskilt fall när den registrerade utövar rättigheten att bli bortglömd, bedöma om personuppgiften ska raderas eller inte. Personuppgiftsansvariga företag har dock ett eget intresse att begränsa tillämpningsområdet angående rättigheten, då sökresultatens träffsäkerhet minskar när rättigheten tillämpas. Det kan härav frågas om det verkligen är förmånligt att personuppgiftsansvariga företag utgör den s.k. första ”instansen” eftersom dessa organisationer kan anses vara partiska. Ett effektivt rättsmedel, i enlighet med art. 47 i rättighetsstadgan, utgör en vital del av att säkerställa att rätten att bli bortglöm. Detta arbete granskar och ifrågasätter om ett s.k. effektivt rättsmedel föreligger i Sverige.  Bestämmelser om riksdagens överlåtelse av beslutanderätt inom EU-samarbetet stadgas i svensk grundlag. Enligt grundlagen kan riksdagen inom ramen för samarbetet överlåta beslutanderätt som inte rör principer för statsskicket. Det är ostridigt att svenska offentlighetsprincipen utgör en av principerna för det svenska statsskicket. Det är även ostridigt att Sverige som medlem i EU fullt ut ska följa EU-rätten. Yttrandefriheten och den personliga integriteten är grundlagsskyddade rättigheter och kan ibland utgöra varandras motsatser. Yttrandefriheten skyddar våra demokratiska rättigheter att få yttra oss och ta del av information, medan rätten till personlig integritet skyddar oss från att inte förekomma i sammanhang där vi inte vill delta. GDPR stadgar att rätten till radering inte får strida emot bestämmelser om tryck- och yttrandefrihet. Detta arbete reder ut förhållandet mellan rätten att bli bortglömd och grundlagarna angående yttrande- och informationsfrihet samt offentlighetsprincipen.  GDPR gäller för alla organisationer, överallt i hela världen som behandlar personuppgifterna för EU-medborgare. En fråga som har uppstått är hur långt räckvidden rätten till radering sträcker sig. Det finns en oro att rätten bara är värt någonting om den gäller universellt. Annars blir den enskildas förflutna lätt synlig, trots att hen utnyttjat rätten till radering, för amerikanska kollegor eller till och med av en EU-medborgare som kan förfalska sin IP-adress till ett land (en domän) utanför EU. En viktig aspekt som detta arbete analyserar är således om andra länder utanför EU har gjort någon form av inkorporering angående rättigheten eller om åtminstone samhället har ansett att rätten att bli bortglömd borde föras in i deras rättsordning. / The right to be forgotten was established in EU law in 2014 through the ruling of the European Court of Justice, Costeja v. Google. The right to be forgotten, expressed in article 17 GDPR, instantly became law in all 28 EU countries in 2018. One of the most important changes introduced through GDPR is the wider definition of personal data. Under GDPR any data that identifies a person may be considered personal data. Biometric data, genetic data, and data relating to individuals’ cultural or economic aspects are now within the scope of the law. The purpose of GDPR is primarily to strengthen the existing rights of individuals and to ensure that individuals gain more control over their personal data, but also to harmonize EU privacy rules and thereby create business opportunities and promote innovation.  GDPR’s provisions are difficult to interpret and apply. From the perspective of the registrant it is important that the treatment is done correctly from the beginning. The supportive and advisory role of the Swedish Data Protection Authority is of great importance since violations can rarely be healed afterwards. It is the responsibility of the data controllers for personal data in each case, when the registered person exercises its right to be forgotten, to determine if the personal data is to be deleted or not. Data controllers, as are companies, have their own interest in limiting the scope of the right to be forgotten, as the search results accuracy decreases when the right applies. Is it really beneficial to have companies as data controllers to constitute a so-called first “instance” when these organizations can be considered biased? An effective remedy is a vital part as ensuring that the right to be forgotten works. This work is a study of the so-called effective remedies in Sweden.  According to the Swedish Constitution the parliament may within the framework of the cooperation, transfer decision-making rights that do not relate to state institutions principles. It is unequivocal that the Swedish principle of public access to official records is one of the principles of Swedish state affairs, but it is also unequivocal that Sweden as a member of the EU must fully comply with EU law. Freedom of expression and personal integrity are constitutional rights and can sometimes constitute each other's opposites. Freedom of expression protects our democratic right to express ourselves and share information, while the right to personal privacy protects us from appearing in context where we don’t want to participate. GDPR recommends that the right to erasure should not violate rules on freedom of expression. This thesis clarifies the relationship between the right to be forgotten and the principles of freedom of opinion and information in Swedish law, as well as the publicity principle.  GDPR applies to all organizations, all over the world, which process personal data for EU citizens. A question that has arisen is how far the scope of the right to erasure extends. There is a concern that the right is only worth anything if it applies universally. Otherwise, the individual's past becomes easily visible, prone to using the right to delete, for American colleagues or even by a EU citizen who can forge his IP address to a country (a domain) outside the EU. An important aspect that this thesis analyzes is whether other countries outside the EU have made any kind of incorporation of the right to be forgotten or if society at least has considered if the right to be forgotten should be incorporated in their legal order.

GDPR och dess intåg på den europeiska marknaden år 2018 var ett stort ämne för diskussion för företag som i någon mån hanterar personuppgifter. När privatpersoner nu har tillgång till mer makt i frågan så ställer det krav på företag att uppfylla dem. Ett tydligt exempel på detta är rätten att bli bortglömd. För att fullt ut möta detta krav så innebär det att företag fått ta ställning till vad man gör med sina säkerhetskopior. Dessa är utmanande eftersom syftet med dem är att vara intakta kopior av information, och inte avsedda för att redigeras. De tekniska metoder som finns föreslagna är oftast svåra att avgöra huruvida de tillåter full efterlevnad. I denna studie har fyra svenska företag intervjuats, där de fått berätta om hur de hanterat omställningen från Personuppgiftslagen till GDPR, hur deras rutiner ser ut och hur det i praktiken har fungerat att möta kraven i och med rätten att bli bortglömd när det kommer till deras säkerhetskopior. / GDPR and its entry to the European market in the year of 2018 was a major point of discussion for companies which to some extent handles personal data. Now that private persons have access to more power in the area, more demands are put on companies to comply. A clear example of this is the right to be forgotten. To fully comply with these demands, companies have had to consider what to do with their backups. These are challenging, as the purpose for them is to be intact copies of information, and not intended for editing. The technical measures that are proposed are most often difficult to determine whether they allow for full compliance. In this study, four Swedish companies are interviewed, where they have told about how they have handled the transition from Personuppgiftslagen to GDPR, what their routines look like, and how their compliance in practice has worked out with the right to be forgotten considering their backups.

No description available.