Så hanterar du när polisen begär kunduppgifter

En begäran från polisen om en kunds uppgifter kan hamna hos vilket företag som helst. Att lämna ut uppgifterna styrs av GDPR, så ni måste få två saker rätt samtidigt: uppfylla en eventuell skyldighet och skydda de uppgifter ni har om kunden.

Innan något kommer in: bestäm vem som äger frågan

Det vanligaste problemet är inte en svår juridisk fråga. Det är att en begäran landar någonstans utan tydlig ägare och blir liggande.

Bestäm i förväg vart förfrågningar ska skickas, vem som hanterar dem och vem som tar över när den personen är borta. En begäran är ofta brådskande, och dagar som går förlorade i början är svåra att ta igen.

Steg 1: Kontrollera att begäran är äkta

Polisens begäran kommer nästan alltid via mejl, och mejl är lätt att förfalska. Avsändaren kan vara falsk, signaturen kopierad och bilagan gjord för att se officiell ut.

Bekräfta att begäran verkligen kommer från myndigheten innan ni agerar. Det säkra sättet är att kontakta dem via ett telefonnummer eller en kanal ni själva tar reda på, inte ett som står i mejlet. Att lämna ut kunduppgifter till någon som utger sig för att vara polis är ett allvarligt fel i sig.

Steg 2: Ta reda på om ni måste lämna ut

Vissa företag är skyldiga att lämna ut uppgifter när polisen ber om det. Det gäller bland annat banker och andra finansiella företag, revisionsbyråer, telekom- och internetleverantörer samt företag som lyder under penningtvättsreglerna, som måste svara Finanspolisen.

Från augusti 2026 tillkommer e-bevisförordningen. Den gör att en myndighet i ett EU-land kan begära uppgifter direkt från online- och kommunikationstjänster i ett annat land, till exempel telekom, hosting, marknadsplatser och sociala nätverk. Den gäller bara vissa gränsöverskridande fall, och riktar sig till den typen av tjänster, inte till finansiella företag.

För de flesta andra företag finns ingen sådan skyldighet. En fråga från polisen är en fråga, även när den kommer från en åklagare. För att kunna kräva ut uppgifterna behöver polisen normalt ett domstolsbeslut, eller så tar de uppgifterna i beslag. Så länge inget sådant finns får ni hjälpa till, men måste inte.

I praktiken hjälper de flesta företag till, och det är oftast helt i sin ordning. Poängen är inte att säga nej, utan att veta vilken situation ni befinner er i, eftersom det avgör vad ni behöver innan ni lämnar ut något.

Steg 3: Ta reda på vad som efterfrågas, och vad ni får lämna ut

En begäran är ofta bredare eller vagare än den behöver vara. Ta reda på exakt vad den omfattar: vilken kund, vilken period och vilka slags uppgifter. Är det oklart, be polisen precisera.

Se sedan till att ni faktiskt får lämna ut uppgifterna. Om lagen kräver det är det skäl nog. Krävs det inte kan ni inte utgå från att det är okej. Ni behöver ett verkligt skäl att hjälpa till, vägt mot kundens integritet, och måste kunna stå för beslutet i efterhand.

Oavsett situation, lämna bara ut det som begäran omfattar, inte hela kundens historik. Och var extra försiktiga när uppgifterna handlar om brott som någon misstänks för eller har dömts för, eftersom sådana uppgifter skyddas hårdare i GDPR och kräver tydligare stöd.

Steg 4: Avgör om ni får berätta för kunden

Normalt ska ni vara öppna mot kunden om hur uppgifterna används. Ni kan avstå, men bara när lagen tillåter det eller när begäran kommer med krav på att ni inte får berätta, inte för att ni hellre låter bli.

Kontrollera därför om begäran innehåller ett sådant villkor. Gör den inte det, ta ställning till om ni tvärtom är skyldiga att informera kunden.

Steg 5: Skicka uppgifterna säkert

Svaret är ofta känsligare än själva begäran, och då räcker det inte att skicka det som ett vanligt mejl. Använd en säker kanal, till exempel krypterad e-post eller en säker portal, och se till att uppgifterna bara når den myndighet som frågat.

Steg 6: Dokumentera vad ni gjorde

Om en tillsynsmyndighet eller domstol frågar om ett utlämnande kan det vara flera år senare, och svaret bör inte hänga på någons minne eller en sökning i en gammal inkorg.

Dokumentera varje begäran: vad som efterfrågades, vem som frågade, vad ni kontrollerade, vad ni lämnade ut, när och på vilken grund. Att kunna visa att ni gjorde rätt är en del av ansvaret.

Så ser en bra hantering ut

Inget av stegen är svårt i sig. Det svåra är att göra dem alla på samma sätt, varje gång, under tidspress. En hantering som fungerar brukar ha fem delar:

En väg in. En adress eller kanal för myndighetsförfrågningar, med en utsedd ansvarig och en ersättare, så att inget blir liggande.

Ett kontrollsteg som aldrig hoppas över. Varje begäran bekräftas med myndigheten innan något lämnas ut, via kontaktuppgifter ni själva tagit fram.

En regel för omfattningen. Någon går igenom vad som faktiskt efterfrågas, utlämnandet begränsas till det, och oklara förfrågningar skickas tillbaka för precisering.

Ett säkert sätt att skicka. Krypterad e-post som ett minimum, eller en säker portal, så att känsliga uppgifter inte rör sig som vanliga bilagor. Vissa företag hanterar hela flödet i en portal byggd för ändamålet, som Reqport, där kontroll, utlämnande och dokumentation finns på ett ställe.

Dokumentation som skrivs löpande. Vad som efterfrågades, vad som kontrollerades, vad som lämnades ut, när och på vilken grund, antecknat direkt i stället för rekonstruerat långt efteråt.

Det här kräver inget stort team. Det kräver att ni bestämmer en gång hur förfrågningar ska hanteras, och sedan hanterar dem så varje gång. Det är så ni lever upp till båda kraven: att hjälpa en berättigad utredning och att skydda de uppgifter ni har om era kunder.

---

Reqport är en plattform för att hantera förfrågningar från Polisen och andra myndigheter. Varje begäran verifieras, krypteras, och dokumenteras fullständigt, så att inget faller mellan stolarna och ni alltid kan visa exakt vad som gjordes. Se hur Reqport fungerar.

---

Den här artikeln är i informationssyfte och utgör inte juridisk rådgivning. För hur reglerna gäller i er specifika situation, rådgör med juridiskt ombud.

Reqport

Reqport är en plattform för att hantera förfrågningar från Polisen och andra myndigheter.

LinkedIn