GDPR-rättigheten till radering: EDPB:s resultat 2025
Uppdaterad för 2026
EDPB:s raderingsåtgärd 2025
Europeiska dataskyddsstyrelsen genomförde en stor åtgärd 2025. Den täckte GDPR artikel 17 — rätten till radering. Trettiotvå dataskyddsmyndigheter i EU och EES deltog. De agerade alla samtidigt. Målet var att hitta storskaliga misslyckanden, inte enstaka fall.
Denna åtgärd är det samordnade verkställighetsramverket, eller CEF. Nio dataskyddsmyndigheter har sedan dess öppnat formella utredningar baserade på resultaten.
Sju återkommande misslyckanden
CEF-rapporten identifierade sju problem som hittades hos de granskade organisationerna:
- Svaga rutiner för hantering av raderingsförfrågningar
- För bred avvisning av giltiga förfrågningar
- Otillbörlig börda på personer som skickar förfrågningar
- Oförmåga att hitta alla personuppgifter i alla system
- Förseningar efter GDPR:s 30-dagarsfrist för svar
- Dålig återkoppling till personer om resultaten av förfrågningar
- Felaktig anonymisering använd istället för radering. Organisationer hävdade "anonymisering" men lämnade kvar spårbara poster.
Den sjunde punkten är den mest komplexa. Den drabbar varje organisation som använder denna metod för att minska mängden lagrade personuppgifter.
Anonymisering kontra radering
GDPR:s rätt till radering innebär inte alltid fullständig borttagning. Skäl 65 tillåter anonymisering när radering inte är genomförbart. Säkerhetskopieringssystem och analyssystem är vanliga fall.
CEF visar att detta alternativ missbrukas. Organisationer märker en process som "anonymisering" för att undvika verklig radering. Men processen lämnar fortfarande poster som kan spåras till verkliga personer.
EDPB drar en tydlig gräns.
Sann anonymisering innebär att kopplingen mellan poster och en person inte kan återupprättas. Den personuppgiftsansvarige har inget sätt att återkoppla dem. Ingen tredje part har ett sätt att återkoppla dem. Dessa poster faller utanför GDPR:s tillämpningsområde. Förfrågan är uppfylld.
Pseudonymisering är annorlunda. Återkoppling är fortfarande möjlig med rätt nyckel. Personuppgifter existerar fortfarande. Förfrågan är inte uppfylld. Posterna måste raderas eller nyckeln måste förstöras.
En tvålagersmetod
Organisationer som använder anonymisering i analyser behöver två lager.
Lager 1 — Inmatning: Råa personuppgifter hamnar här. Dessa poster omfattas av raderingsförfrågningar. När en person åberopar sina rättigheter enligt artikel 17 raderas posterna i detta lager.
Lager 2 — Analys: Endast anonymiserade utdata når detta lager. Om processen var fullständig och enkelriktad är dessa utdata inte personuppgifter. De påverkas inte av raderingsförfrågningar.
Detta upplägg fungerar bara om anonymiseringssteget klarar tre tester.
Först: enkelriktat. Reversibla tokens och krypterade byten kvalificerar sig inte.
Andra: fullständigt. Alla typer av identifierare måste hanteras. Namn ensamt räcker inte.
Tredje: dokumenterat. Organisationen måste kunna visa en dataskyddsmyndighet hur metoden fungerar.
En återförsäljare som byter ut kundnamn mot krypterade tokens har genomfört pseudonymisering — inte sann radering. Analyslagret innehåller fortfarande personuppgifter. Raderingsförfrågningar gäller fortfarande.
Vår GDPR-efterlevnadsguide täcker den juridiska grunden för varje metod. Vår säkerhets- och efterlevnadsöversikt listar de nödvändiga kontrollerna. För steg-för-steg-hjälp, se vår GDPR-anonymiseringsrevisionsguide.