Förordning (EU) 2016/679
GDPR reglerar hur personuppgifter får behandlas inom EU/EES. Förordningen gäller direkt i Sverige och kompletteras av dataskyddslagen (2018:218). Den omfattar i princip alla företag, myndigheter och organisationer som hanterar uppgifter om kunder, anställda, leverantörer eller användare.
Förordningen ersätter personuppgiftslagen (PUL). Dataskyddslagen kompletterar med svenska särregler.
EU-domstolen ogiltigförklarar Privacy Shield. Överföringar till tredjeland kräver förstärkta skyddsåtgärder.
Nytt beslut om adekvat skyddsnivå för certifierade amerikanska mottagare. Ökat fokus på sanktioner och tillsyn.
GDPR tillämpas parallellt med AI-förordningen, NIS2 och Data Act – kraven måste hanteras samordnat.
IMY utövar tillsyn, tar emot klagomål och incidentanmälningar, och kan utfärda förelägganden, förbud och sanktionsavgifter. Gränsöverskridande ärenden samordnas med andra EU-tillsynsmyndigheter.
Varje behandling måste ha en laglig grund enligt artikel 6 och ett tydligt, angivet ändamål.
Enskilda har rätt till information och kontroll över sina uppgifter. Begäranden ska normalt besvaras inom en månad.
Lämpliga tekniska och organisatoriska åtgärder krävs. Personuppgiftsincidenter ska anmälas till IMY inom 72 timmar.
Organisationen ska kunna visa att den följer förordningen – inte bara göra det.
| Fallgrop | Risk |
|---|---|
| Sen eller utebliven incidentanmälan Incidenter upptäcks men anmäls inte inom 72 timmar, eller bedöms felaktigt som ofarliga. | Hög |
| Saknade biträdesavtal Leverantörer av molntjänster, lönesystem och CRM behandlar uppgifter utan giltigt avtal. | Hög |
| Otillåtna tredjelandsöverföringar Uppgifter överförs utanför EU/EES utan adekvat skyddsnivå eller kompletterande skyddsåtgärder. | Hög |
| Bristfälligt behandlingsregister Registret är ofullständigt, inaktuellt eller saknas helt. | Medel |
| Ogiltiga samtycken och cookies Förifyllda rutor, otydliga cookiebanners eller samtycken som inte kan återkallas. | Medel |
| Obegränsad lagring Personuppgifter sparas längre än ändamålet kräver, utan gallringsrutiner. | Låg |
Sanktioner. Sanktionsavgifter kan uppgå till 20 miljoner euro eller 4 % av den globala årsomsättningen, beroende på vilket belopp som är högst. Därutöver kan IMY besluta om förelägganden och förbud mot behandling, och registrerade kan kräva skadestånd.
Ja. Uppgifter om kontaktpersoner hos kunder och leverantörer är personuppgifter, liksom uppgifter om de egna anställda.
Bland annat för myndigheter och för organisationer vars kärnverksamhet innebär storskalig, regelbunden övervakning eller storskalig behandling av känsliga uppgifter.
Ja, om överföringen har stöd i GDPR, exempelvis genom att mottagaren är certifierad enligt EU–US Data Privacy Framework eller genom standardavtalsklausuler med kompletterande åtgärder.
Varje säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust, ändring eller obehörigt röjande av personuppgifter – till exempel ett felskickat mejl eller ett dataintrång.
Inte längre än nödvändigt för ändamålet. Fastställ gallringsfrister per behandling och dokumentera dem.
FRAX Advisory hjälper företag med gapanalys, behandlingsregister, biträdesavtal, incidentrutiner och konsekvensbedömningar – från första genomgång till efterlevnad.
FRAX Advisory