EU Radar

GDPR: från integritetspolicy till faktisk kontroll

Dataskydd är inte ett dokumentprojekt. Compliance-ansvarig behöver kunna visa varför varje behandling sker, vem som får tillgång och när uppgifterna försvinner.

Rättslig status kontrollerad: tidigare granskningsdatum saknas. Kontrollera källorna inför beslut.

Kort bedömning

Den största risken är ofta inte en enskild dataläcka utan att verksamheten saknar kontroll över sin vardagliga behandling: gamla kundregister, breda behörigheter, molntjänster utan granskning och uppgifter som aldrig gallras.

Ansvarsskyldigheten är central. Det räcker inte att följa reglerna. Verksamheten ska kunna visa hur den gör det med beslut, register, avtal och genomförda kontroller.

Vem omfattas av GDPR?

  • Företag, föreningar, myndigheter och andra organisationer som behandlar information som direkt eller indirekt kan knytas till en levande person omfattas. Arbetsgivaruppgifter, kunddata, IP-adresser, foton och inspelningar kan vara personuppgifter.
  • Den som bestämmer varför och hur uppgifterna används är personuppgiftsansvarig. En leverantör som behandlar uppgifter enligt kundens instruktioner är normalt personuppgiftsbiträde. Roller och ansvar ska bedömas per behandling.

Vad kräver GDPR i praktiken?

  1. 1. Kartlägg och dokumentera. För ett register över behandlingar: ändamål, kategorier av uppgifter och personer, mottagare, lagringstid, överföringar och säkerhetsåtgärder. Registret ska spegla verkligheten, inte bara policyn.
  2. 2. Bestäm rättslig grund i förväg. Varje ändamål behöver en rättslig grund. Dokumentera intresseavvägningar och använd inte samtycke där personen saknar ett verkligt fritt val eller där behandlingen ändå måste fortsätta.
  3. 3. Bygg in dataskydd. Samla bara in det som behövs, begränsa åtkomst, ange gallringstid och välj integritetsvänliga standardinställningar. Nya system och processer ska bedömas före inköp och lansering.
  4. 4. Styr leverantörerna. Teckna personuppgiftsbiträdesavtal, dokumentera instruktioner och kontrollera underleverantörer, säkerhet, radering och var uppgifterna behandlas.
  5. 5. Hantera registrerades rättigheter. Ha en verifierbar rutin för registerutdrag, rättelse, radering, begränsning, invändning och dataportabilitet. Begäranden ska normalt besvaras inom en månad.
  6. 6. Kontrollera tredjelandsöverföringar. Överföringar utanför EU/EES behöver en giltig mekanism, exempelvis adekvansbeslut eller standardavtalsklausuler, och ibland kompletterande skydd efter en bedömning av mottagarlandet.

När krävs en konsekvensbedömning?

En konsekvensbedömning, DPIA, ska göras före en behandling som sannolikt leder till hög risk. Exempel är systematisk övervakning, omfattande behandling av känsliga uppgifter, profilering med stora konsekvenser och ny teknik som används på ett integritetskänsligt sätt.

Bedömningen ska beskriva behov, proportionalitet, risker och skyddsåtgärder. Om en hög kvarstående risk inte kan minskas ska Integritetsskyddsmyndigheten rådfrågas före starten.

Incidenter, tillsyn och sanktioner

Alla personuppgiftsincidenter ska utredas och dokumenteras. Anmälan till Integritetsskyddsmyndigheten krävs normalt inom 72 timmar när incidenten sannolikt innebär risk. Vid hög risk ska även de berörda informeras utan onödigt dröjsmål.

Tillsyn kan leda till förelägganden, behandlingsförbud och sanktionsavgifter. De högsta nivåerna är 20 miljoner euro eller fyra procent av global årsomsättning. Även skadestånd, avtalsrisk och förtroendeskada kan bli betydande.

Checklista: vad behöver du göra för GDPR?

  1. Utse tydligt ansvar för dataskydd och bedöm om dataskyddsombud krävs.
  2. Uppdatera behandlingsregistret och koppla varje ändamål till rättslig grund och gallringstid.
  3. Kontrollera informationen till kunder, anställda och andra registrerade.
  4. Inventera personuppgiftsbiträden och internationella överföringar.
  5. Inför en incidentrutin som klarar bedömning och eventuell anmälan inom 72 timmar.
  6. Gör konsekvensbedömning före behandling som sannolikt medför hög risk.
  7. Öva hanteringen av en begäran om registerutdrag och dokumentera resultatet.

Vanliga frågor

Gäller GDPR alla företag?
GDPR gäller när en verksamhet behandlar personuppgifter inom EU. Nästan alla arbetsgivare och företag omfattas, men kraven ska anpassas till behandlingens art, omfattning och risk.
Måste vi alltid ha samtycke?
Nej. Samtycke är en av sex rättsliga grunder och är ofta olämpligt i anställningsförhållanden. Avtal, rättslig förpliktelse, intresseavvägning och myndighetsutövning är andra möjliga grunder.
När måste en personuppgiftsincident anmälas?
Den personuppgiftsansvarige ska anmäla incidenten till Integritetsskyddsmyndigheten inom 72 timmar från att verksamheten fick vetskap om den, om incidenten sannolikt innebär en risk för människors rättigheter och friheter.
När krävs ett dataskyddsombud?
Bland annat för myndigheter och offentliga organ samt när kärnverksamheten innebär regelbunden och systematisk övervakning i stor omfattning eller omfattande behandling av känsliga personuppgifter.
Hur stora kan sanktionsavgifterna bli?
De högsta nivåerna är 20 miljoner euro eller fyra procent av föregående års globala årsomsättning, beroende på vilket belopp som är högst. Den faktiska avgiften bedöms utifrån överträdelsen.

Rättspraxis kopplad till EU-rätt

Relaterad rättspraxis från EU-domstolen och tribunalen.

Dom · EU-domstolen

C-312/24

ECLI:EU:C:2026:449

Dataskyddsförordningen (GDPR) ·

EU:s officiella metadata anger att avgörandet tolkar denna rättsakt.

Svensk sammanfattning är ännu inte granskad. Läs originalavgörandet för domstolens slutsatser.

Officiell rubrik och källstöd

Judgment of the Court (Fifth Chamber) of 4 June 2026. CL v Prokuratura na Republika Bulgaria. Request for a preliminary ruling from the Sofiyski rayonen sad. Reference for a preliminary ruling – Protection of natural persons with regard to the processing of personal data in criminal matters – Regulation (EU) 2016/679 – Directive (EU) 2016/680 – Scope – Processing of data collected in the course of an investigation against a police officer as a person suspected of a criminal offence – Recording of data relating to this investigation in the police officer’s personnel file – Lawfulness of processing – Point (c) of the first subparagraph of Article 6(1) and Article 6(3) of that regulation – Processing necessary for compliance with a legal obligation – Legal basis for the processing – Article 17 of that regulation – Right to erasure. Case C-312/24.

CELEX 62024CJ0312 · http://publications.europa.eu/ontology/cdm#case-law_interpretes_resource_legal

Läs det officiella avgörandet ↗
Dom · EU-domstolen

C-526/24

ECLI:EU:C:2026:216

Dataskyddsförordningen (GDPR) ·

EU:s officiella metadata anger att avgörandet tolkar denna rättsakt.

Svensk sammanfattning är ännu inte granskad. Läs originalavgörandet för domstolens slutsatser.

Officiell rubrik och källstöd

Judgment of the Court (Fourth Chamber) of 19 March 2026. Brillen Rottler GmbH & Co. KG v TC. Request for a preliminary ruling from the Amtsgericht Arnsberg. Reference for a preliminary ruling – Protection of natural persons with regard to the processing of personal data – Regulation (EU) 2016/679 – Article 12(5) – Article 15(1) – Data subject’s right of access to the personal data concerning him or her – Controller’s right to refuse to act on the request for access – Excessive character of the request – Abuse of rights – First request for access – Right to compensation and liability – Article 82(1) – Action based on infringement of the right of access – Non-material damage – Loss of control over personal data. Case C-526/24.

CELEX 62024CJ0526 · http://publications.europa.eu/ontology/cdm#case-law_interpretes_resource_legal

Läs det officiella avgörandet ↗
Dom · EU-domstolen

C-422/24

ECLI:EU:C:2025:980

Dataskyddsförordningen (GDPR) ·

EU:s officiella metadata anger att avgörandet tolkar denna rättsakt.

Svensk sammanfattning är ännu inte granskad. Läs originalavgörandet för domstolens slutsatser.

Officiell rubrik och källstöd

Judgment of the Court (First Chamber) of 18 December 2025. Integritetsskyddsmyndigheten v AB Storstockholms Lokaltrafik. Request for a preliminary ruling from the Högsta förvaltningsdomstolen. Reference for a preliminary ruling – Protection of personal data – Regulation (EU) 2016/679 – Articles 13 and 14 – Scope – Personal data collected by means of body cameras worn by ticket inspectors on public transport – Legal basis for the obligation on the data controller to provide information to the data subject. Case C-422/24.

CELEX 62024CJ0422 · http://publications.europa.eu/ontology/cdm#case-law_interpretes_resource_legal

Läs det officiella avgörandet ↗
Dom · EU-domstolen

C-492/23

ECLI:EU:C:2025:935

Dataskyddsförordningen (GDPR) ·

EU:s officiella metadata anger att avgörandet tolkar denna rättsakt.

Bakgrund: En okänd tredje part publicerade en osann och kränkande annons på Russmedias onlinemarknadsplats publi24.ro, där X framställdes som erbjudande av sexuella tjänster. Annonsen innehöll hennes fotografier (använda utan samtycke) och telefonnummer. Annonsen togs bort från Russmedias webbplats inom en timme efter X:s begäran, men hade dessförinnan kopierats och publicerats oförändrad på andra webbplatser, där den enligt uppgift i målet fortfarande var tillgänglig. X väckte talan om ersättning för ideell skada mot Russmedia. Den rumänska appellationsdomstolen (Curtea de Apel Cluj) begärde förhandsavgörande om tolkningen av dataskyddsförordningen (GDPR) och e-handelsdirektivet 2000/31.

Rättslig fråga: Ska den som driver en onlinemarknadsplats, där användare kan lägga ut annonser som innehåller personuppgifter (inklusive känsliga uppgifter), anses vara personuppgiftsansvarig enligt artikel 4.7 GDPR, och vilka skyldigheter – avseende identifiering av annonser med känsliga uppgifter, kontroll av annonsörens identitet, publiceringsvägran och säkerhetsåtgärder mot kopiering – följer i så fall av GDPR? Kan en sådan operatör dessutom åberopa ansvarsfriheten för mellanhänder i artiklarna 12–15 i e-handelsdirektivet 2000/31 för att undgå ansvar för brister i dessa GDPR-skyldigheter?

Domstolens slutsats: svensk sammanfattning: Domstolen (stora avdelningen) fann, enligt domslutets tre punkter: (1) Artikel 5.2 och artiklarna 24–26 GDPR ska tolkas så att en operatör av en onlinemarknadsplats, i egenskap av personuppgiftsansvarig enligt artikel 4.7 GDPR för personuppgifter i annonser som publiceras på marknadsplatsen, innan publicering och genom lämpliga tekniska och organisatoriska åtgärder är skyldig att identifiera annonser som innehåller känsliga uppgifter enligt artikel 9.1 GDPR, kontrollera om den användare som avser lägga ut en sådan annons är den person vars känsliga uppgifter framgår av annonsen, och om så inte är fallet vägra publicering, såvida inte användaren kan visa att den registrerade lämnat uttryckligt samtycke enligt artikel 9.2 a eller att annat undantag i artikel 9.2 b–j är uppfyllt. (2) Artikel 32 GDPR ska tolkas så att operatören är skyldig att genomföra lämpliga tekniska och organisatoriska säkerhetsåtgärder för att förhindra att annonser som innehåller känsliga uppgifter kopieras och olagligen publiceras på andra webbplatser. (3) Artikel 1.5 b i direktiv 2000/31 och artikel 2.4 GDPR ska tolkas så att operatören, vid åsidosättande av skyldigheterna enligt artikel 5.2 och artiklarna 24–26 samt 32 GDPR, inte kan åberopa ansvarsfrihetsreglerna för mellanhänder i artiklarna 12–15 i direktiv 2000/31.

Bestämmelser: Direktiv 2000/31/EG artikel 1.5 b; Direktiv 2000/31/EG artiklarna 12–15; GDPR artikel 4.7 (begreppet personuppgiftsansvarig); GDPR artikel 5.2 (ansvarsskyldighet); GDPR artikel 9.1 och 9.2 a (känsliga uppgifter, samtycke); GDPR artikel 24 (ansvar för den personuppgiftsansvarige); GDPR artikel 25 (inbyggt dataskydd och dataskydd som standard); GDPR artikel 26 (gemensamt personuppgiftsansvar); GDPR artikel 32 (säkerhet vid behandling); GDPR artikel 2.4 (förhållande till direktiv 2000/31)

EU Radars förklarande analys

Avgörandet har betydelse för svenska bolag som driver onlinemarknadsplatser, forum eller andra tjänster där användare själva kan lägga ut annonser innehållande personuppgifter. Domstolen klargör att en marknadsplatsoperatör kan vara (gemensamt) personuppgiftsansvarig redan genom att tillhandahålla plattformen och genom att i användarvillkoren förbehålla sig rätt att utnyttja, kopiera, distribuera eller sälja annonsinnehållet för egna kommersiella syften – även om operatören inte själv utformat eller kände till det specifika annonsinnehållet. Operatörer bör därför, redan vid utformningen av tjänsten (privacy by design), överväga tekniska lösningar för att identifiera annonser som kan innehålla känsliga uppgifter (t.ex. hälsa, sexliv, etnicitet), verifiera annonsörens identitet innan publicering av sådana annonser, och ha rutiner för att vägra publicering vid avsaknad av uttryckligt samtycke. Vidare krävs säkerhetsåtgärder, t.ex. mot screenshot-skydd, vattenmärkning eller tekniska spärrar, för att begränsa spridning och kopiering efter publicering, i den mån sådana åtgärder är tekniskt rimliga och proportionerliga i förhållande till risken. Det är viktigt att notera att operatören enligt domen inte automatiskt undgår ansvar genom att hänvisa till värdtjänstundantaget i e-handelsdirektivet när det gäller GDPR-skyldigheter – den ansvarsfriheten gäller inte för brister i dataskyddsregelverket. Samtidigt är det inte fastslaget att varje enskild kränkning automatiskt medför skadeståndsskyldighet; en registrerad som kräver ersättning måste alltjämt visa att denne lidit skada och att det finns ett orsakssamband till den bristande efterlevnaden, något som ligger utanför vad domstolen prövat i detta mål. Företag bör se över sina användarvillkor, onboarding-processer för annonsörer och tekniska skydd mot dataintrång och innehållsspridning för att minska regulatorisk och ersättningsrättslig exponering.

Primärtext för sammanfattningen
Officiell rubrik och källstöd

Judgment of the Court (Grand Chamber) of 2 December 2025. X v Russmedia Digital SRL and Inform Media Press SRL. Request for a preliminary ruling from the Curtea de Apel Cluj. Reference for a preliminary ruling – Protection of personal data – Regulation (EU) 2016/679 – Article 4(7) – Concept of ‘controller’ – Responsibility of the operator of an online marketplace for the publication of personal data contained in advertisements placed on its online marketplace by user advertisers – Article 5(2) – Principle of accountability – Article 26 – Joint control with user advertisers – Article 9(1) and (2)(a) – Advertisements containing sensitive data – Lawfulness of processing – Consent – Articles 24, 25 and 32 – Obligations of the controller – Prior identification of the advertisements containing such data – Prior identification of the identity of the user advertiser – Refusal of publication of unlawful advertisements – Security measures such as to prevent the copying of advertisements and their publication on other websites – Electronic commerce – Directive 2000/31/EC – Articles 12 to 15 – Possibility for such an operator, with regard to an infringement of those obligations, to rely on the exemption from liability of an intermediary information society service provider. Case C-492/23.

CELEX 62023CJ0492 · http://publications.europa.eu/ontology/cdm#case-law_interpretes_resource_legal

Läs det officiella avgörandet ↗
Dom · EU-domstolen

C-655/23

ECLI:EU:C:2025:655

Dataskyddsförordningen (GDPR) ·

EU:s officiella metadata anger att avgörandet tolkar denna rättsakt.

Svensk sammanfattning är ännu inte granskad. Läs originalavgörandet för domstolens slutsatser.

Officiell rubrik och källstöd

Judgment of the Court (Fourth Chamber) of 4 September 2025. IP v Quirin Privatbank AG. Request for a preliminary ruling from the Bundesgerichtshof. Reference for a preliminary ruling – Protection of natural persons with regard to the processing of personal data – Regulation (EU) 2016/679 – Rights of the data subject – Article 17 – Right to erasure of data – Article 18 – Right to restriction of processing – Article 79 – Right to an effective judicial remedy – Unlawful processing of personal data – Action seeking an order requiring the controller to refrain from any further unlawful processing in the future – Basis – Conditions – Article 82(1) – Right to compensation – Concept of ‘non-material damage’ – Assessment of the compensation – Possible consideration of the degree of fault on the part of the controller – Possible impact of the grant of a ‘prohibitory injunction’. Case C-655/23.

CELEX 62023CJ0655 · http://publications.europa.eu/ontology/cdm#case-law_interpretes_resource_legal

Läs det officiella avgörandet ↗
Dom · EU-domstolen

C-313/23, C-316/23, C-332/23

ECLI:EU:C:2025:303

Dataskyddsförordningen (GDPR) ·

EU:s officiella metadata anger att avgörandet tolkar denna rättsakt.

Bakgrund: Den bulgariska Inspektoratet (ett organ inom domstolsväsendet med uppgift att granska domares, åklagares och utredande magistraters integritet och att föreslå disciplinåtgärder) begärde hos Sofia distriktsdomstol att banksekretess skulle hävas avseende bankkonton tillhörande flera domare, åklagare och deras familjemedlemmar, i syfte att kontrollera obligatoriska förmögenhetsdeklarationer. Inspektoratets ledamöter hade fortsatt att utöva sina funktioner trots att deras mandatperioder löpt ut utan att nya ledamöter valts av parlamentet. Den hänskjutande domstolen var också osäker på sin egen roll enligt GDPR när den tillåter åtkomst till sådana uppgifter.

Rättslig fråga: Utgör det en kränkning av kravet på domstolars oavhängighet enligt artikel 19.1 andra stycket FEU att ledamöter i ett sådant disciplinärt granskningsorgan fortsätter att utöva sina funktioner efter mandatperiodens utgång? Omfattas vidarebefordran av banksekretessbelagda uppgifter om domares och åklagares tillgångar av GDPR:s materiella tillämpningsområde, och ska den domstol som godkänner åtkomst till sådana uppgifter betraktas som personuppgiftsansvarig eller tillsynsmyndighet enligt GDPR, samt måste den domstolen ex officio säkerställa dataskydd enligt artikel 79.1 GDPR?

Domstolens slutsats: svensk sammanfattning: EU-domstolen fann (punkt 97 och domslut 1) att principen om domstolars oavhängighet, tolkad mot bakgrund av artikel 47 i stadgan, utgör hinder för en praxis där ledamöter i ett sådant granskningsorgan fortsätter att utöva sina funktioner efter mandatperiodens laga utgång, i väntan på att parlamentet väljer nya ledamöter, om förlängningen saknar uttrycklig rättslig grund med klara och precisa regler som begränsar utövandet och om det inte är säkerställt att förlängningen i praktiken är tidsbegränsad. Domstolen fann vidare (punkt 106 och domslut 2) att sådan vidarebefordran av banksekretessbelagda personuppgifter om domare, åklagare, utredande magistrater och deras familjemedlemmar, i syfte att kontrollera och offentliggöra förmögenhetsdeklarationer, utgör behandling av personuppgifter som omfattas av GDPR:s materiella tillämpningsområde (artikel 2). Domstolen slog fast (punkt 117 och domslut 3) att en domstol som på begäran av ett annat rättsligt organ godkänner att en bank lämnar ut sådana kontouppgifter inte kan klassificeras som personuppgiftsansvarig enligt artikel 4.7 GDPR, eftersom det är den nationella lagstiftningen och det begärande organet, inte den godkännande domstolen, som bestämmer ändamål och medel för behandlingen. Domstolen fann också (punkt 123 och domslut 4) att en sådan godkännande domstol inte heller utgör en tillsynsmyndighet enligt artikel 51 GDPR, eftersom den inte av medlemsstaten anförtrotts uppgiften att övervaka tillämpningen av förordningen. Slutligen fann domstolen (punkt 138 och domslut 5) att artikel 79.1 GDPR, jämförd med artikel 47 i stadgan, inte innebär en skyldighet för en sådan godkännande domstol att på eget initiativ säkerställa de registrerades skydd vad gäller datasäkerhet, när ingen talan enligt den bestämmelsen väckts vid domstolen – inte ens om det är känt att det begärande organet tidigare brutit mot sådana bestämmelser. Den femte frågan om artikel 32.1 b och 57.1 a GDPR besvarades inte, eftersom den endast ställts för det fall tredje eller fjärde frågan besvarats jakande (punkt 125).

Bestämmelser: Artikel 19.1 andra stycket FEU; Artikel 47 i Europeiska unionens stadga om de grundläggande rättigheterna; Artikel 2 (särskilt artikel 2.2 a) i förordning (EU) 2016/679 (GDPR); Artikel 4.7 GDPR; Artikel 51 GDPR; Artikel 79.1 GDPR

EU Radars förklarande analys

Avgörandet rör i första hand ett bulgariskt statligt granskningsorgans mandatförlängning och rättsstatsprincipen, vilket har begränsad direkt relevans för svenska företag men illustrerar hur EU-domstolen bedömer oberoendekrav för disciplinära organ inom rättsväsendet – något som kan påverka förtroendet för rättssystem i medlemsstater där svenska företag bedriver verksamhet eller för som rör gränsöverskridande rättsligt samarbete. Den GDPR-rättsliga delen är mer generellt tillämpbar: domen klargör att en domstol som endast prövar om formella villkor för utlämnande av uppgifter är uppfyllda, utan att själv bestämma ändamål eller medel för behandlingen, varken är personuppgiftsansvarig enligt artikel 4.7 eller tillsynsmyndighet enligt artikel 51. Detta kan vara vägledande för svenska banker och finansinstitut som mottar domstolsbeslut om hävande av banksekretess eller andra myndighetsbegäranden om kontouppgifter, då det tydliggör att ansvaret för ändamål och medel normalt ligger hos den begärande myndigheten snarare än hos den godkännande domstolen. Vidare bekräftar domen att behandling av personuppgifter som sker inom ramen för kontroll av offentliga tjänstemäns (inklusive domares) tillgångar faller inom GDPR:s tillämpningsområde och inte omfattas av undantaget för nationell säkerhet, vilket är relevant för organisationer som hanterar liknande integritets- eller efterlevnadskontroller av anställda. Slutligen innebär klargörandet att en domstol som saknar uttryckliga tillsynsbefogenheter inte ex officio behöver kontrollera datasäkerhetsåtgärder, att ansvaret för att göra gällande bristande datasäkerhet i första hand vilar på den registrerade genom klagomål till tillsynsmyndighet eller talan enligt artikel 78 eller 79 GDPR – vilket företag bör beakta vid utformning av sina interna rutiner för hantering av registrerades rättigheter.

Primärtext för sammanfattningen
Officiell rubrik och källstöd

Judgment of the Court (First Chamber) of 30 April 2025. Inspektorat kam Visshia sadeben savet. References for a preliminary ruling – Rule of law – Judicial independence – Second subparagraph of Article 19(1) TEU – Effective legal protection in the fields covered by Union law – Judicial body competent to propose the initiation of disciplinary proceedings against judges, public prosecutors and investigating magistrates, with a view to the imposition of disciplinary penalties – Members of the judicial body remaining in office after the expiry of their term of office – Protection of natural persons with regard to the processing of personal data – Regulation (EU) 2016/679 – Data security – Access by a judicial body to data relating to the bank accounts of judges and public prosecutors and of their family members – Judicial authorisation for the purpose of lifting banking secrecy – Court authorising the lifting of banking secrecy – Article 4(7) – Concept of ‘controller’ – Article 51 – Concept of ‘supervisory authority’. Joined Cases C-313/23, C-316/23 and C-332/23.

CELEX 62023CJ0313 · http://publications.europa.eu/ontology/cdm#case-law_interpretes_resource_legal

Läs det officiella avgörandet ↗
Dom · EU-domstolen

C-710/23

ECLI:EU:C:2025:231

Dataskyddsförordningen (GDPR) ·

EU:s officiella metadata anger att avgörandet tolkar denna rättsakt.

Svensk sammanfattning är ännu inte granskad. Läs originalavgörandet för domstolens slutsatser.

Officiell rubrik och källstöd

Judgment of the Court (First Chamber) of 3 April 2025. L. H. v Ministerstvo zdravotnictví. Reference for a preliminary ruling – Protection of natural persons with regard to the processing of personal data – Regulation (EU) 2016/679 – Article 4 – Definitions – Article 6 – Lawfulness of processing – Article 86 – Public access to official documents – Data concerning the representative of a legal person – Case-law of a national court imposing an obligation to inform and consult the data subject prior to disclosure of official documents containing such data. Case C-710/23.

CELEX 62023CJ0710 · http://publications.europa.eu/ontology/cdm#case-law_interpretes_resource_legal

Läs det officiella avgörandet ↗
Dom · EU-domstolen

C-247/23

ECLI:EU:C:2025:172

Dataskyddsförordningen (GDPR) · Artikel 16

EU:s officiella metadata anger att avgörandet tolkar denna rättsakt.

Svensk sammanfattning är ännu inte granskad. Läs originalavgörandet för domstolens slutsatser.

Officiell rubrik och källstöd

Judgment of the Court (First Chamber) of 13 March 2025. VP v Országos Idegenrendészeti Főigazgatóság. Request for a preliminary ruling from the Fővárosi Törvényszék. Reference for a preliminary ruling – Protection of natural persons with regard to the processing of personal data – Regulation (EU) 2016/679 – Article 5(1)(d) – Principle of accuracy – Article 16 – Right to rectification – Article 23 – Restrictions – Data relating to gender identity – Data incorrect from the time of inclusion in a public register – Means of proof – Administrative practice of requesting proof of gender reassignment surgery. Case C-247/23.

CELEX 62023CJ0247 · http://publications.europa.eu/ontology/cdm#case-law_interpretes_resource_legal

A16 · http://publications.europa.eu/.well-known/genid/3b2ece7d-ffed-11ef-9503-01aa75ed71a1/bb9489d5-32bd-4956-a333-ab91b1545efd

Läs det officiella avgörandet ↗
Dom · EU-domstolen

C-638/23

ECLI:EU:C:2025:127

Dataskyddsförordningen (GDPR) ·

EU:s officiella metadata anger att avgörandet tolkar denna rättsakt.

Svensk sammanfattning är ännu inte granskad. Läs originalavgörandet för domstolens slutsatser.

Officiell rubrik och källstöd

Judgment of the Court (Eighth Chamber) of 27 February 2025. Amt der Tiroler Landesregierung v Datenschutzbehörde. Request for a preliminary ruling from the Verwaltungsgerichtshof. Reference for a preliminary ruling – Protection of natural persons with regard to the processing of personal data – Regulation (EU) 2016/679 – Article 4(7) – Concept of ‘controller’ – Direct designation of the controller by national law – Auxiliary administrative entity in the service of a regional government – Lack of legal personality – Lack of legal capacity of the entity’s own – Determination of the purposes and means of the processing. Case C-638/23.

CELEX 62023CJ0638 · http://publications.europa.eu/ontology/cdm#case-law_interpretes_resource_legal

A04PT7 · http://publications.europa.eu/.well-known/genid/b8ef9f2d-f4ee-11ef-b7db-01aa75ed71a1/a4738fa0-e4b3-4b69-88c8-a3dbefd4216b

Läs det officiella avgörandet ↗
Dom · EU-domstolen

C-203/22

ECLI:EU:C:2025:117

Dataskyddsförordningen (GDPR) ·

EU:s officiella metadata anger att avgörandet tolkar denna rättsakt.

Svensk sammanfattning är ännu inte granskad. Läs originalavgörandet för domstolens slutsatser.

Officiell rubrik och källstöd

Judgment of the Court (First Chamber) of 27 February 2025. CK v Magistrat der Stadt Wien. Request for a preliminary ruling from the Verwaltungsgericht Wien. Reference for a preliminary ruling – Protection of personal data – Regulation (EU) 2016/679 – Article 15(1)(h) – Automated decision-making, including profiling – Scoring – Assessment of the creditworthiness of a natural person – Access to meaningful information about the logic involved in profiling – Verification of the accuracy of the information provided – Directive (EU) 2016/943 – Point 1 of Article 2 – Trade secret – Personal data of third parties. Case C-203/22.

CELEX 62022CJ0203 · http://publications.europa.eu/ontology/cdm#case-law_interpretes_resource_legal

A15P1LH · http://publications.europa.eu/.well-known/genid/44fa73b1-f4ef-11ef-b7db-01aa75ed71a1/59059951-83d4-4d8e-b28a-715abe269da5

Läs det officiella avgörandet ↗

Senast kontrollerad 29 okt. 2026 05:35. Begränsat urval, inte en fullständig rättspraxisförteckning.

EU-rättspraxis: bevakade rättsakter och källor

Källor och nästa steg

Guiden bygger på dataskyddsförordningen (EU) 2016/679, svensk kompletterande dataskyddslag och vägledning från Integritetsskyddsmyndigheten. Detta är en praktisk översikt, inte juridisk rådgivning.

Detta är en förenklad översikt, inte juridisk rådgivning. Kontrollera alltid den slutliga lagtexten.

Förordningen på EUR-LexIMY:s vägledningVisselblåsning och personuppgifterGör EU-kravkollen