GDPR registerutdrag
Vi strukturerar registerutdrag där personuppgifter rör flera registrerade och kräver noggranna avvägningar
När personuppgifter rör fler än den registrerade vid begäran om tillgång
10 minuter läsning • Felix Morling • DATASKYDDSFöRORDNINGEN • 18 augusti 2026
När en person begär tillgång till sina personuppgifter enligt GDPR aktualiseras ofta en praktisk och juridiskt viktig fråga: hur ska uppgifter hanteras när de inte bara rör den registrerade, utan även andra personer? Frågan är särskilt relevant vid begäran om registerutdrag, exempelvis från interna utredningar, HR-ärenden, kundkommunikation och annan dokumentation där flera personer förekommer i samma sammanhang.
Personuppgifter är ofta relationella. En uppgift kan samtidigt säga något om den som begär tillgång, den som har lämnat informationen, den som omnämns och den verksamhetssituation där uppgiften uppkom. Med rätt struktur blir det enklare att ge den registrerade ett begripligt svar, samtidigt som andra personers rättigheter och friheter skyddas.
Den praktiska lösningen ligger i en transparent men återhållsam avvägning. Organisationen behöver inte välja mellan full insyn och total maskering. I stället bör svaret utformas så att den registrerade får nödvändig kontext, medan uppgifter om andra personer begränsas. För organisationer som vill bygga en mer hållbar process för sådana bedömningar kan stöd från en GDPR-jurist skapa bättre struktur i hantering av förfrågningar om rättigheter, dokumentation och interna beslut.
Personuppgifter finns ofta i ett sammanhang
En personuppgift är varje upplysning som direkt eller indirekt kan kopplas till en identifierad eller identifierbar fysisk person. I praktiken innebär det att samma dokument kan vara personuppgift om flera personer samtidigt.
Ett e-postmeddelande kan exempelvis innehålla uppgifter om den som skickat meddelandet, den som nämns i texten, den som gjort en bedömning och den som är föremål för bedömningen. En mötesanteckning kan på samma sätt innehålla information om både en anställd, en chef, en kund och en extern kontakt.
Det är därför användbart att se personuppgifter som relationella. Uppgiften får ofta sin betydelse genom kopplingen mellan personer, roller, händelser och bedömningar. En alltför kategorisk uppdelning mellan ”den registrerades uppgifter” och ”andra” eller “andras uppgifter” ger därför inte alltid tillräckligt stöd för den juridiska bedömningen. Detta då de uppgifter som lämnas ut behöver vara begripliga för mottagaren, vilket innebär att de kan behöva förklaras och sättas i sitt sammanhang om andra uppgifter maskerats, exempelvis för att skydda andra personers personuppgifter.
Rättsliga utgångspunkter vid begäran om tillgång
Enligt artikel 15 i GDPR har den registrerade rätt att få bekräftelse på om personuppgifter behandlas och, om så är fallet, få tillgång till uppgifterna och information om behandlingen. Rätten till tillgång är central för transparens och för att den registrerade ska kunna förstå hur uppgifter används.
Samtidigt innebär rätten till tillgång inte en obegränsad rätt att få ta del av allt material i originalform. GDPR anger att rätten att få en kopia inte får inverka menligt på andras rättigheter och friheter. Den begränsningen får praktisk betydelse när svaret innehåller uppgifter om exempelvis kollegor, kunder, kontaktpersoner, närstående, uppgiftslämnare eller andra berörda personer, det vill säga andra registrerade
Bedömningen behöver också göras mot bakgrund av de grundläggande principerna i artikel 5 GDPR, bland annat laglighet, korrekthet, transparens, uppgiftsminimering, integritet och konfidentialitet. En väl dokumenterad bedömning gör det enklare att visa hur organisationen har resonerat.
En triangulär avvägning mellan insyn, skydd och kontext
När personuppgifter rör fler än den registrerade blir bedömningen ofta triangulär. Organisationen behöver väga tre intressen mot varandra:
- Den registrerades rätt att få tillgång till sina egna personuppgifter.
- Andra personers rättigheter och friheter, inklusive integritet och konfidentialitet.
- Behovet av nödvändig kontext för att svaret ska vara korrekt, användbart och begripligt.
Detta handlar om att den registrerade ska kunna förstå vilka uppgifter som behandlas, varför de behandlas och i vilket sammanhang de förekommer. Ett svar som saknar relevant kontext kan bli svårt att använda, även om det formellt innehåller de aktuella personuppgifterna.
Andra personers uppgifter ska inte exponeras mer än vad som är nödvändigt. Det kan gälla namn, kontaktuppgifter, bedömningar, uppgifter om arbetsförhållanden, hälsa, konflikter, säkerhetsfrågor eller andra integritetskänsliga omständigheter.
Kontexten ibland är en förutsättning för att uppgiften ska kunna förstås. En lösryckt formulering kan ge en missvisande bild. Därför behöver organisationen bedöma vilken information som är nödvändig för förståelsen och vilken information som kan redigeras, sammanfattas eller utelämnas.
Övermaskning kan göra svaret obegripligt
En omfattande redigering kan ibland skydda andra personer, men den kan också göra svaret svårt att förstå. Om namn, roller, datum, sammanhang och centrala formuleringar tas bort utan en tydlig analys kan den registrerade få ett utdrag som inte visar vad uppgifterna betyder eller hur de har använts.
Exempelvis kan följande redigering bli för långtgående:
”[Maskerat] uppgav till [maskerat] att [maskerat] hade hanterat [maskerat] på ett sätt som påverkade [maskerat].”
En sådan text säger mycket lite om vilka personuppgifter som behandlas om den registrerade. Den kan göra det svårt att förstå sakfrågan, sammanhanget för behandlingen och uppgiftens betydelse. I vissa fall kan en mer användbar lösning vara att behålla relevant kontext men skydda identifierande eller känsliga detaljer.
Exempelvis:
”[En medarbetare] uppgav till [en ansvarig interns] att [du] hade hanterat [ett kundärende som rörde reklamation] på ett sätt som påverkade [konsumentens lagstadgade rättigheter].”
Med en sådan struktur får den registrerade en begriplig bild av den egna personuppgiften, samtidigt som tredje person skyddas genom en begränsad och motiverad redigering.
Undermaskning kan påverka andra personers rättigheter
En alltför begränsad redigering kan samtidigt leda till att andra personer exponeras på ett sätt som inte är nödvändigt för att tillgodose den registrerades rätt till tillgång. Det kan särskilt gälla uppgifter om personer som lämnat information i ett känsligt sammanhang, personer som förekommer perifert i materialet eller personer vars uppgifter inte behövs för att den registrerade ska förstå behandlingen.
Exempelvis kan ett fullständigt utlämnande av ett internt meddelande innehålla fler uppgifter än vad som behövs:
”Anna Andersson berättade att hennes kollega Erik Eriksson varit sjukskriven och att du enligt hennes bedömning skapade osäkerhet inför kundmötet.”
Här kan vissa uppgifter röra den registrerade, men texten innehåller också information om andra personer och omständigheter som kan kräva skydd. En mer balanserad hantering är att fokusera på att lämna ut uppgiften som redogör för att den registrerade skapat osäkerhet inför kundmötet, då den första delen relaterar till kollegan Erik Eriksson.
Så kan bedömningen struktureras
En tydlig process gör det enklare att hantera uppgifter som rör flera personer konsekvent och rättssäkert. Bedömningen kan med fördel delas upp i flera steg.
- Identifiera personuppgifterna: Bedöm vilka uppgifter som rör den registrerade, vilka som rör andra personer och vilka som rör flera personer samtidigt.
- Fastställ sammanhanget: Analysera varför uppgifterna behandlas, vilken funktion de har och hur de används i verksamheten.
- Bedöm behovet av kontext: Avgör vilken information den registrerade behöver för att förstå behandlingen av sina personuppgifter.
- Skydda andra personer: Värdera att skydda uppgifter om andra personer, det vill säga om de kan anonymiseras, pseudonymiseras eller sammanfattas.
- Välj lämplig form: Överväg om svaret bör lämnas som kopia, utdrag, sammanfattning eller annan strukturerad redovisning, beroende på vad som ger en begriplig tillgång.
- Dokumentera avvägningen: Notera varför viss information lämnas ut, redigeras eller utelämnas.
En sådan arbetsmodell skapar bättre beslutsunderlag och gör det enklare att visa att bedömningen inte är schablonmässig. Den stödjer också en mer enhetlig hantering mellan juridik, HR, compliance, kundservice och andra delar av verksamheten.
En modell för synlig men återhållsam avvägning
En användbar modell är att göra avvägningen synlig i svaret, men utan att lämna mer information än nödvändigt. Det innebär att den registrerade får förstå varför vissa uppgifter har redigerats, samtidigt som redigeringen inte i sig avslöjar personuppgifter om andra personer.
Modellen kan bygga på tre nivåer:
- Beskriv vad som har gjorts: Ange att vissa uppgifter har utelämnats eller sammanfattats efter en bedömning av andra personers rättigheter och friheter.
- Förklara principen: Beskriv kort att redigeringen avser uppgifter som inte är nödvändiga för förståelsen av den registrerades egna personuppgifter eller som rör andra personer på ett skyddsvärt sätt.
- Bevara begripligheten: Lämna tillräcklig kontext för att den registrerade ska förstå vilka egna personuppgifter som behandlas och i vilket sammanhang.
En formulering kan exempelvis vara:
”Vissa uppgifter om andra personer har utelämnats eller sammanfattats. Bedömningen har gjorts för att ge dig begriplig tillgång till dina personuppgifter, samtidigt som andra personers rättigheter och friheter skyddas. Redigeringen avser uppgifter som inte bedömts nödvändiga för att få insyn i behandlingen av dina personuppgifter.”
Detta gör avvägningen transparent utan att skapa en ny integritetsrisk. Det visar också att organisationen har gjort en konkret bedömning av både rätten till tillgång, skyddet för andra personer och behovet av kontext.
När juridiken blir en del av styrningen
Hanteringen av personuppgifter som rör flera personer är mer än en administrativ fråga. Den påverkar hur organisationen arbetar med dokumentation, behörigheter, intern kommunikation, ärendehantering och ansvarsfördelning. När frågan hanteras tidigt skapas bättre förutsättningar för tydliga processer och väl avvägda beslut.
En genomtänkt modell för registerutdrag och uppgifter som berör flera personer ger verksamheten bättre kontroll över både transparens och integritetsskydd. Den gör det enklare att svara inom rätt tid, förklara bedömningen och hålla en jämn kvalitet i hanteringen.
Morling Consulting biträder företag med dataskyddsjuridik, GDPR-processer och bedömningar kopplade till registerutdrag, tredjemansuppgifter och informationshantering. Genom juridisk struktur, tydliga rutiner och praktiskt beslutsstöd kan organisationer skapa bättre kontroll över både rättigheter, risker och affärskritiska processer.
När en person begär tillgång till sina personuppgifter enligt GDPR aktualiseras ofta en praktisk och juridiskt viktig fråga: hur ska uppgifter hanteras när de inte bara rör den registrerade, utan även andra personer? Frågan är särskilt relevant vid begäran om registerutdrag, exempelvis från interna utredningar, HR-ärenden, kundkommunikation och annan dokumentation där flera personer förekommer i samma sammanhang.
Personuppgifter är ofta relationella. En uppgift kan samtidigt säga något om den som begär tillgång, den som har lämnat informationen, den som omnämns och den verksamhetssituation där uppgiften uppkom. Med rätt struktur blir det enklare att ge den registrerade ett begripligt svar, samtidigt som andra personers rättigheter och friheter skyddas.
Den praktiska lösningen ligger i en transparent men återhållsam avvägning. Organisationen behöver inte välja mellan full insyn och total maskering. I stället bör svaret utformas så att den registrerade får nödvändig kontext, medan uppgifter om andra personer begränsas. För organisationer som vill bygga en mer hållbar process för sådana bedömningar kan stöd från en GDPR-jurist skapa bättre struktur i hantering av förfrågningar om rättigheter, dokumentation och interna beslut.
Personuppgifter finns ofta i ett sammanhang
En personuppgift är varje upplysning som direkt eller indirekt kan kopplas till en identifierad eller identifierbar fysisk person. I praktiken innebär det att samma dokument kan vara personuppgift om flera personer samtidigt.
Ett e-postmeddelande kan exempelvis innehålla uppgifter om den som skickat meddelandet, den som nämns i texten, den som gjort en bedömning och den som är föremål för bedömningen. En mötesanteckning kan på samma sätt innehålla information om både en anställd, en chef, en kund och en extern kontakt.
Det är därför användbart att se personuppgifter som relationella. Uppgiften får ofta sin betydelse genom kopplingen mellan personer, roller, händelser och bedömningar. En alltför kategorisk uppdelning mellan ”den registrerades uppgifter” och ”andra” eller “andras uppgifter” ger därför inte alltid tillräckligt stöd för den juridiska bedömningen. Detta då de uppgifter som lämnas ut behöver vara begripliga för mottagaren, vilket innebär att de kan behöva förklaras och sättas i sitt sammanhang om andra uppgifter maskerats, exempelvis för att skydda andra personers personuppgifter.
Rättsliga utgångspunkter vid begäran om tillgång
Enligt artikel 15 i GDPR har den registrerade rätt att få bekräftelse på om personuppgifter behandlas och, om så är fallet, få tillgång till uppgifterna och information om behandlingen. Rätten till tillgång är central för transparens och för att den registrerade ska kunna förstå hur uppgifter används.
Samtidigt innebär rätten till tillgång inte en obegränsad rätt att få ta del av allt material i originalform. GDPR anger att rätten att få en kopia inte får inverka menligt på andras rättigheter och friheter. Den begränsningen får praktisk betydelse när svaret innehåller uppgifter om exempelvis kollegor, kunder, kontaktpersoner, närstående, uppgiftslämnare eller andra berörda personer, det vill säga andra registrerade
Bedömningen behöver också göras mot bakgrund av de grundläggande principerna i artikel 5 GDPR, bland annat laglighet, korrekthet, transparens, uppgiftsminimering, integritet och konfidentialitet. En väl dokumenterad bedömning gör det enklare att visa hur organisationen har resonerat.
En triangulär avvägning mellan insyn, skydd och kontext
När personuppgifter rör fler än den registrerade blir bedömningen ofta triangulär. Organisationen behöver väga tre intressen mot varandra:
- Den registrerades rätt att få tillgång till sina egna personuppgifter.
- Andra personers rättigheter och friheter, inklusive integritet och konfidentialitet.
- Behovet av nödvändig kontext för att svaret ska vara korrekt, användbart och begripligt.
Detta handlar om att den registrerade ska kunna förstå vilka uppgifter som behandlas, varför de behandlas och i vilket sammanhang de förekommer. Ett svar som saknar relevant kontext kan bli svårt att använda, även om det formellt innehåller de aktuella personuppgifterna.
Andra personers uppgifter ska inte exponeras mer än vad som är nödvändigt. Det kan gälla namn, kontaktuppgifter, bedömningar, uppgifter om arbetsförhållanden, hälsa, konflikter, säkerhetsfrågor eller andra integritetskänsliga omständigheter.
Kontexten ibland är en förutsättning för att uppgiften ska kunna förstås. En lösryckt formulering kan ge en missvisande bild. Därför behöver organisationen bedöma vilken information som är nödvändig för förståelsen och vilken information som kan redigeras, sammanfattas eller utelämnas.
Övermaskning kan göra svaret obegripligt
En omfattande redigering kan ibland skydda andra personer, men den kan också göra svaret svårt att förstå. Om namn, roller, datum, sammanhang och centrala formuleringar tas bort utan en tydlig analys kan den registrerade få ett utdrag som inte visar vad uppgifterna betyder eller hur de har använts.
Exempelvis kan följande redigering bli för långtgående:
”[Maskerat] uppgav till [maskerat] att [maskerat] hade hanterat [maskerat] på ett sätt som påverkade [maskerat].”
En sådan text säger mycket lite om vilka personuppgifter som behandlas om den registrerade. Den kan göra det svårt att förstå sakfrågan, sammanhanget för behandlingen och uppgiftens betydelse. I vissa fall kan en mer användbar lösning vara att behålla relevant kontext men skydda identifierande eller känsliga detaljer.
Exempelvis:
”[En medarbetare] uppgav till [en ansvarig interns] att [du] hade hanterat [ett kundärende som rörde reklamation] på ett sätt som påverkade [konsumentens lagstadgade rättigheter].”
Med en sådan struktur får den registrerade en begriplig bild av den egna personuppgiften, samtidigt som tredje person skyddas genom en begränsad och motiverad redigering.
Undermaskning kan påverka andra personers rättigheter
En alltför begränsad redigering kan samtidigt leda till att andra personer exponeras på ett sätt som inte är nödvändigt för att tillgodose den registrerades rätt till tillgång. Det kan särskilt gälla uppgifter om personer som lämnat information i ett känsligt sammanhang, personer som förekommer perifert i materialet eller personer vars uppgifter inte behövs för att den registrerade ska förstå behandlingen.
Exempelvis kan ett fullständigt utlämnande av ett internt meddelande innehålla fler uppgifter än vad som behövs:
”Anna Andersson berättade att hennes kollega Erik Eriksson varit sjukskriven och att du enligt hennes bedömning skapade osäkerhet inför kundmötet.”
Här kan vissa uppgifter röra den registrerade, men texten innehåller också information om andra personer och omständigheter som kan kräva skydd. En mer balanserad hantering är att fokusera på att lämna ut uppgiften som redogör för att den registrerade skapat osäkerhet inför kundmötet, då den första delen relaterar till kollegan Erik Eriksson.
Så kan bedömningen struktureras
En tydlig process gör det enklare att hantera uppgifter som rör flera personer konsekvent och rättssäkert. Bedömningen kan med fördel delas upp i flera steg.
- Identifiera personuppgifterna: Bedöm vilka uppgifter som rör den registrerade, vilka som rör andra personer och vilka som rör flera personer samtidigt.
- Fastställ sammanhanget: Analysera varför uppgifterna behandlas, vilken funktion de har och hur de används i verksamheten.
- Bedöm behovet av kontext: Avgör vilken information den registrerade behöver för att förstå behandlingen av sina personuppgifter.
- Skydda andra personer: Värdera att skydda uppgifter om andra personer, det vill säga om de kan anonymiseras, pseudonymiseras eller sammanfattas.
- Välj lämplig form: Överväg om svaret bör lämnas som kopia, utdrag, sammanfattning eller annan strukturerad redovisning, beroende på vad som ger en begriplig tillgång.
- Dokumentera avvägningen: Notera varför viss information lämnas ut, redigeras eller utelämnas.
En sådan arbetsmodell skapar bättre beslutsunderlag och gör det enklare att visa att bedömningen inte är schablonmässig. Den stödjer också en mer enhetlig hantering mellan juridik, HR, compliance, kundservice och andra delar av verksamheten.
En modell för synlig men återhållsam avvägning
En användbar modell är att göra avvägningen synlig i svaret, men utan att lämna mer information än nödvändigt. Det innebär att den registrerade får förstå varför vissa uppgifter har redigerats, samtidigt som redigeringen inte i sig avslöjar personuppgifter om andra personer.
Modellen kan bygga på tre nivåer:
- Beskriv vad som har gjorts: Ange att vissa uppgifter har utelämnats eller sammanfattats efter en bedömning av andra personers rättigheter och friheter.
- Förklara principen: Beskriv kort att redigeringen avser uppgifter som inte är nödvändiga för förståelsen av den registrerades egna personuppgifter eller som rör andra personer på ett skyddsvärt sätt.
- Bevara begripligheten: Lämna tillräcklig kontext för att den registrerade ska förstå vilka egna personuppgifter som behandlas och i vilket sammanhang.
En formulering kan exempelvis vara:
”Vissa uppgifter om andra personer har utelämnats eller sammanfattats. Bedömningen har gjorts för att ge dig begriplig tillgång till dina personuppgifter, samtidigt som andra personers rättigheter och friheter skyddas. Redigeringen avser uppgifter som inte bedömts nödvändiga för att få insyn i behandlingen av dina personuppgifter.”
Detta gör avvägningen transparent utan att skapa en ny integritetsrisk. Det visar också att organisationen har gjort en konkret bedömning av både rätten till tillgång, skyddet för andra personer och behovet av kontext.
När juridiken blir en del av styrningen
Hanteringen av personuppgifter som rör flera personer är mer än en administrativ fråga. Den påverkar hur organisationen arbetar med dokumentation, behörigheter, intern kommunikation, ärendehantering och ansvarsfördelning. När frågan hanteras tidigt skapas bättre förutsättningar för tydliga processer och väl avvägda beslut.
En genomtänkt modell för registerutdrag och uppgifter som berör flera personer ger verksamheten bättre kontroll över både transparens och integritetsskydd. Den gör det enklare att svara inom rätt tid, förklara bedömningen och hålla en jämn kvalitet i hanteringen.
Morling Consulting biträder företag med dataskyddsjuridik, GDPR-processer och bedömningar kopplade till registerutdrag, tredjemansuppgifter och informationshantering. Genom juridisk struktur, tydliga rutiner och praktiskt beslutsstöd kan organisationer skapa bättre kontroll över både rättigheter, risker och affärskritiska processer.
Prata med en GDPR-jurist
Behöver du bedöma vilka personuppgifter som ska lämnas ut? Hör av dig så granskar vi avvägningen
”*” anger obligatoriska fält