Den spanske youtubaren Carles Tamayo har återigen satt fingret på en öm punkt, på sitt vanliga informella, roliga och träffsäkra sätt. I det sista avsnittet av dokumentärserien Se nos ha ido de las manos (”det har gått över styr”), som hade premiär på spansk public service-tv i april 2026, undersöker han hur företag köper och säljer personuppgifter.

Avsnittet, som heter El activo eres tú (”du är tillgången”), ställer en obehaglig fråga på bordet: vem har våra uppgifter, och vad görs med dem? Och vad är vi beredda att ge upp i utbyte mot löftet om något gratis? Efter att ha fått skräppsamtal från företag som visste för mycket om honom gjorde Tamayo om sitt eget produktionsbolag till en datamäklare för att inifrån se hur personuppgifter samlas in och handlas med.

Så här fungerar branschen för datamäklare och vilka rättigheter GDPR, EU:s dataskyddsförordning, ger dig.

Vad en datamäklare är och hur de tjänar pengar

En datamäklare är ett företag som samlar in, analyserar och säljer information om människor och organisationer. Det som gör informationen värdefull för köpare är hur den kan kombineras och analyseras. Vanor, intressen, platsdata och andra signaler kan fogas samman, allt oftare med hjälp av AI, till något användbart. Datamäklare säljer råmaterialet som gör det möjligt att bygga en profil av nästan vem som helst.

I Tamayos reportage erbjuder till exempel en datamäklare honom information om personer som nyligen har fått barn. De nyblivna föräldrarna hade lämnat sina uppgifter på sjukhuset i utbyte mot att vara med i en tävling om produkter för nyfödda.

Datamäklare samlar vanligtvis in e-postadresser, IP-adresser(nytt fönster), ungefärlig plats, onlineköp, internetsökningar, intressen som valts i en app och de enheter någon använder.

Har du någon gång fått ett samtal från ett telefonbolag, eller vilket företag som helst, och undrat var de fick tag i ditt nummer? Det är enklare än du tror. Cookies, mobilappar och onlineformulär kan samla in dina uppgifter och skicka dem vidare till datamäklare. Det kan även offlinekällor, som lojalitetskort, tävlingar och offentliga register.

Vad cookies är och vad de används till

Du har sett dem på varje webbplats du besöker: en liten pop-up som ber dig att acceptera eller avvisa cookies. Du skummar förmodligen bara igenom den, accepterar cookies(nytt fönster) och går vidare, utan att någonsin fråga vad cookies egentligen är(nytt fönster) eller vad du just har gått med på att låta företag göra med dina uppgifter.

Cookies är små filer som en webbplats lagrar i din webbläsare för att komma ihåg information om ditt besök. De som datamäklare bryr sig om är reklamcookies, utformade för att bygga beteendeprofiler och visa personanpassade annonser.

Men du kan nu spåras med metoder som går långt utöver cookies. Webbläsaravtryck skapar till exempel en unik signatur utifrån egenskaperna hos din enhet, medan spårning mellan webbplatser följer din aktivitet när du rör dig mellan webbplatser. På mobilen gör reklam-ID:n något liknande genom att koppla ditt beteende till en beständig identifierare.

Att avvisa cookies förbättrar din integritet, men garanterar den inte fullt ut. Och när du börjar fråga var dina uppgifter tar vägen, vem som har dem och hur de används, stöter du oundvikligen på frågan om det över huvud taget är lagligt att handla med dina uppgifter.

Hur GDPR skyddar dig

GDPR är EU:s regelverk för hur organisationer och företag samlar in, använder, delar och lagrar personuppgifter om alla som befinner sig i EU. Det gäller även företag utanför EU som riktar sig till personer där. I Spanien övervakas efterlevnaden av spanska dataskyddsmyndigheten (AEPD), som också hanterar klagomål när ett företag gör intrång i dessa rättigheter.

GDPR fastställer flera grundläggande rättigheter:

Rätten till åtkomst: Ta reda på vilka personuppgifter ett företag har om dig, vad det använder dem till, vem det har delat dem med och varifrån det fick dem. Du kan också begära en kopia.

Rätten till rättelse: Få felaktig eller inaktuell information rättad.

Rätten till radering: Denna rätt, känd som ”rätten att bli bortglömd”, låter dig begära att dina uppgifter raderas när företaget inte längre behöver dem, när du återkallar ditt samtycke eller invänder mot användningen, eller när de har behandlats olagligt.

Rätten att invända: Motsätt dig vissa typer av behandling, till exempel att dina uppgifter används för reklam. När det gäller direktmarknadsföring är denna rätt absolut: när du väl har invänt måste företaget sluta.

Rätten till dataportabilitet: Ta emot de personuppgifter du har gett ett företag i ett strukturerat, allmänt använt och maskinläsbart format så att du kan flytta dem till en annan tjänsteleverantör. Detta gäller när företaget behandlar dina uppgifter baserat på ditt samtycke eller ett avtal, med automatiserade medel.

GDPR ger människor rättigheter som kan hävdas, med böter som påtryckningsmedel, men många inser inte att de kan utöva dessa rättigheter kostnadsfritt. Ett företag får bara ta ut en avgift eller neka när en begäran uppenbart är ogrundad eller orimlig.

Som Tamayos reportage visar finns det ett stort gap mellan de garantier lagen erbjuder och vad en vanlig person vet om att skydda sina personuppgifter. Gapet gör det svårare för människor att använda de rättsliga verktyg som finns och att återta kontrollen över sina uppgifter.

Så använder du dina GDPR-rättigheter mot datamäklare

Rättigheterna ovan fungerar bara om du använder dem. Ingen av dem kräver en advokat eller ett särskilt formulär: ett e-postmeddelande till företagets integritetskontakt räcker.

Fråga var dina uppgifter kommer från. Om ett företag kontaktar dig och du aldrig har gett det dina uppgifter kan du fråga varifrån det fick dem. Enligt rätten till åtkomst måste det berätta för dig, och svaret leder ofta direkt till en datamäklare.

Skicka en begäran om åtkomst. Fråga företaget eller datamäklaren vilka uppgifter det har om dig, vad det använder dem till och vem det har delat dem med, och be om en kopia. Begäran är kostnadsfri och företaget måste svara inom en månad. Det kan förlänga fristen med ytterligare två månader för komplexa begäranden, men det måste informera dig om det.

Invänd och begär radering. I samma e-postmeddelande kan du invända mot att dina uppgifter används för marknadsföring och begära att de raderas. Företaget måste också vidarebefordra raderingen till alla som det har delat dina uppgifter med, om det inte är omöjligt eller skulle kräva oproportionerligt stor ansträngning.

Registrera dig på Lista Robinson. I Spanien måste företag som skickar direktmarknadsföring kontrollera denna lista för att avstå från reklam innan de kontaktar dig. Det är gratis att registrera sig.

Lämna klagomål till AEPD. Om ett företag ignorerar dig, vägrar utan giltigt skäl eller missar tidsfristen kan du lämna in ett kostnadsfritt klagomål till spanska dataskyddsmyndigheten.

Begränsa vad datamäklare kan samla in från början

Dina GDPR-rättigheter rensar upp det som redan finns där ute. Några enkla vanor minskar mängden nya uppgifter som når datamäklare.

Granska dina appbehörigheter och stäng av åtkomst som en app inte behöver för att fungera, särskilt de som har åtkomst till din plats, dina kontakter eller dina foton.

Avvisa icke nödvändiga cookies. På EU-webbplatser ska det vara lika enkelt att avvisa som att acceptera, och det blockerar de reklamcookies som används för att bygga beteendeprofiler.

Håll dig utloggad från webbplatser och tjänster när du bara surfar. När du är inloggad på Google, YouTube, Amazon eller en nyhetssajt kopplas allt du söker, tittar på, läser eller köper till ditt konto. Att surfa utloggad ger företagen mindre att koppla till dig.

Använd en integritetsfokuserad webbläsare, till exempel Firefox eller Brave, som blockerar många spårare som standard. Du kan också utforska europeiska alternativa webbläsare med fokus på integritet.

Byt till Proton Mail, vår privata och säkra tjänst för e-post som inte kan läsa dina e-postmeddelanden och inte skannar din inkorg för annonser, spårning eller övervakning. Den blockerar också spårningspixlar, som marknadsförare vanligtvis använder för att se när du öppnar ett meddelande (samt andra indikatorer).

Använd en VPN(nytt fönster) för att dölja din IP-adress för webbplatser, appar och annonsnätverk, så att de inte kan använda den för att uppskatta din plats eller koppla din aktivitet mellan webbplatser. Proton VPN har också en funktion som heter NetShield, som blockerar annonser och spårare innan de laddas. Den har en oberoende granskad policy om att inte spara några loggar(nytt fönster), så den för inte någon logg över vad du gör online.

Använd en krypterad lösenordshanterare för att skapa starka, unika lösenord, så att ett konto som har utsatts för intrång inte exponerar resten. Proton Pass ger dig också hide-my-email-alias för nyhetsbrev, tävlingar och nätbutiker. Om ett av dem börjar få skräppost kan du se vem som kan ha delat eller läckt det och sedan inaktivera aliaset.

Som Tamayos reportage tydligt visar är datamäklare en del av en affärsmodell som bygger på våra uppgifter. Men GDPR och de verktyg som skyddar vår integritet ger oss sätt att återta kontrollen. Målet är inte att försvinna från internet utan att göra medvetna val om vem som får åtkomst till våra uppgifter och varför.