GDPR i praktiken – guide för företag och webbplatser

GDPR påverkar nästan alla företag som hanterar information om kunder, anställda, webbplatsbesökare eller andra personer. Det kan handla om allt från namn och e-postadresser i ett kontaktformulär till kundregister, IP-adresser, nyhetsbrev, analysdata och information som behandlas genom digitala tjänster.

GDPR, General Data Protection Regulation, kallas på svenska för dataskyddsförordningen och började tillämpas den 25 maj 2018. Syftet är bland annat att skydda människors personuppgifter och ge individer större kontroll över hur information om dem används. För företag innebär GDPR samtidigt ett tydligt ansvar för att kunna förklara varför personuppgifter behandlas, hur de skyddas och hur länge de sparas.

För företag som arbetar digitalt är GDPR därför nära sammankopplat med webbdesign, e-handel, digital marknadsföring, CRM-system, nyhetsbrev, analysverktyg, cookies och externa molntjänster. I den här guiden går vi igenom vad GDPR innebär i praktiken och vad företag behöver tänka på när de behandlar personuppgifter.

Vad är GDPR?

GDPR är EU:s dataskyddsförordning och reglerar behandling av personuppgifter. Förordningen gäller direkt i EU:s medlemsländer och kompletteras i Sverige bland annat av dataskyddslagen.

Enkelt uttryckt reglerar GDPR hur organisationer får samla in, registrera, lagra, använda, dela och på andra sätt behandla personuppgifter. Företaget måste kunna motivera behandlingen, ha en rättslig grund och följa de grundläggande dataskyddsprinciperna.

GDPR handlar alltså inte enbart om IT-säkerhet. Reglerna påverkar marknadsföring, försäljning, HR, kundservice, webbplatser, administration och många andra delar av ett företag.

Vad betyder GDPR för företag?

För ett företag innebär GDPR framför allt att personuppgifter inte får samlas in och användas utan eftertanke. Verksamheten behöver veta vilka personuppgifter som behandlas, varför behandlingen sker, vilken rättslig grund som används, vilka som har tillgång till uppgifterna och hur länge informationen behöver sparas.

Det räcker inte heller att företaget i praktiken följer reglerna. En viktig del av GDPR är ansvarsskyldigheten, vilket innebär att verksamheten ska kunna visa att dataskyddsförordningen följs.

GDPR bör därför betraktas som ett kontinuerligt arbete snarare än en engångsinsats. När ett företag byter CRM-system, börjar använda ett nytt analysverktyg, bygger om webbplatsen eller inför AI kan personuppgiftsbehandlingen förändras och behöva bedömas på nytt.

Vad räknas som personuppgifter enligt GDPR?

Personuppgifter är information som direkt eller indirekt kan kopplas till en levande fysisk person. Namn och personnummer är tydliga exempel, men begreppet är betydligt bredare än så.

En e-postadress, ett telefonnummer, ett fotografi, en IP-adress, lokaliseringsuppgifter eller annan information kan vara personuppgifter när informationen går att knyta till en identifierad eller identifierbar person.

Det innebär att personuppgifter förekommer i betydligt fler digitala system än många företag först tänker på. Kundregister, e-postsystem, kontaktformulär, bokningssystem, analysverktyg, webbshoppar, supportärenden och CRM-system är några vanliga exempel.

Vad är känsliga personuppgifter?

GDPR ger vissa typer av personuppgifter ett särskilt starkt skydd. Dessa benämns särskilda kategorier av personuppgifter och brukar på svenska kallas känsliga personuppgifter.

Hit hör bland annat uppgifter om etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, hälsa, sexualliv eller sexuell läggning samt genetiska uppgifter och biometriska uppgifter som används för att entydigt identifiera en person.

Huvudregeln är att behandling av känsliga personuppgifter är förbjuden. GDPR innehåller dock flera undantag som kan göra behandlingen tillåten under vissa förutsättningar. Företag som hanterar sådan information behöver därför vara särskilt noggranna med både den rättsliga bedömningen och säkerheten.

Vilka är de grundläggande principerna i GDPR?

De grundläggande principerna är kärnan i GDPR och ska genomsyra all behandling av personuppgifter. Det handlar bland annat om att personuppgifter ska behandlas lagligt, korrekt och öppet, samlas in för särskilda och berättigade ändamål och inte användas på ett sätt som är oförenligt med dessa ändamål.

Dataminimering innebär att verksamheten inte ska samla in fler personuppgifter än vad som faktiskt behövs. Uppgifterna ska dessutom vara korrekta och vid behov uppdaterade.

Lagringsminimering innebär i sin tur att identifierbara personuppgifter som huvudregel inte ska sparas längre än vad som är nödvändigt för ändamålet. Företaget behöver dessutom skydda informationen genom lämpliga tekniska och organisatoriska säkerhetsåtgärder.

Slutligen finns principen om ansvarsskyldighet. Företaget ska kunna visa hur reglerna efterlevs. Det gör dokumentation, interna rutiner och tydlig ansvarsfördelning till viktiga delar av GDPR-arbetet.

Vilka rättsliga grunder finns enligt GDPR?

För att få behandla personuppgifter måste det finnas en rättslig grund. GDPR innehåller sex rättsliga grunder: samtycke, avtal, rättslig förpliktelse, skydd av grundläggande intressen, uppgift av allmänt intresse eller myndighetsutövning samt intresseavvägning.

Vilken rättslig grund som är relevant beror på varför uppgifterna behandlas och vilken verksamhet det handlar om. Ett privat företag använder exempelvis ofta avtal när kunduppgifter behöver behandlas för att leverera en beställd tjänst. En rättslig förpliktelse kan bli aktuell när uppgifter måste sparas eller behandlas på grund av annan lagstiftning.

Samtycke är alltså bara en av flera rättsliga grunder. Ett vanligt missförstånd kring GDPR är att företag alltid behöver samtycke för att få behandla personuppgifter. Så är det inte.

Vad krävs för ett giltigt samtycke?

När samtycke används som rättslig grund måste det uppfylla GDPR:s krav. Samtycket ska bland annat vara frivilligt, specifikt, informerat och otvetydigt och lämnas genom ett aktivt agerande.

Den registrerade ska också kunna återkalla sitt samtycke. Därför behöver företag som bygger en behandling på samtycke ha fungerande rutiner för både dokumentation och återkallelse.

Vad innebär GDPR för en webbplats?

GDPR blir särskilt konkret på företagets webbplats. En modern webbplats kan behandla personuppgifter på flera olika sätt, exempelvis genom kontaktformulär, konton, beställningar, bokningar, nyhetsbrevsregistrering, analysverktyg, inbäddade externa tjänster och olika typer av cookies.

En GDPR-anpassad webbplats kräver därför mer än att publicera en integritetspolicy. Företaget behöver förstå vilka tekniker och tjänster som faktiskt används och vilken information som skickas mellan webbplatsen, företaget och externa leverantörer.

GDPR och kontaktformulär

När någon fyller i ett kontaktformulär behandlar företaget normalt personuppgifter. Det kan exempelvis vara namn, e-postadress, telefonnummer och innehållet i meddelandet.

Företaget behöver ha ett tydligt ändamål och en rättslig grund för behandlingen samt lämna relevant information om hur personuppgifterna hanteras. Det är också klokt att undvika formulärfält som samlar in information som företaget egentligen inte behöver.

Dataminimering kan alltså påverka själva webbdesignen. Ju mindre onödig information som samlas in, desto mindre information behöver också administreras och skyddas.

GDPR och integritetspolicy

En integritetspolicy, eller dataskyddsinformation, hjälper företaget att uppfylla kraven på öppenhet och information. Besökaren ska kunna förstå hur verksamheten behandlar personuppgifter.

Informationen behöver anpassas efter den faktiska verksamheten. En standardtext som inte motsvarar de system, leverantörer och behandlingar som företaget faktiskt använder skapar inte automatiskt GDPR-efterlevnad.

GDPR, cookies och cookie-banner – vad gäller?

Cookies och GDPR blandas ofta ihop, men regleringen är mer komplex än att allt styrs av GDPR. I Sverige finns regler om lagring och åtkomst av information i användarens terminalutrustning även i lagen om elektronisk kommunikation. GDPR blir samtidigt relevant när användningen innebär behandling av personuppgifter.

För cookies och liknande tekniker som kräver samtycke behöver användaren få relevant information och kunna göra ett verkligt val. En cookie-banner bör därför vara kopplad till webbplatsens faktiska tekniska funktioner och inte bara fungera som ett visuellt lager ovanpå webbplatsen.

Det är särskilt viktigt för webbplatser som använder analys-, annonserings- eller spårningsteknik. Företaget behöver veta vilka tekniker som aktiveras, vilken information de samlar in och vilka externa aktörer som får del av informationen.

Så arbetar företag med GDPR i praktiken

1. Kartlägg företagets personuppgifter

Ett bra GDPR-arbete börjar med kunskap. Kartlägg vilka personuppgifter verksamheten behandlar och i vilka system de finns. Glöm inte mindre uppenbara platser som e-postkonton, formulärdatabaser, supportverktyg, molntjänster och äldre kundregister.

För varje behandling bör företaget kunna svara på varför uppgifterna behövs, vem som använder dem, hur länge de ska finnas kvar och om informationen delas med andra aktörer.

2. Fastställ ändamål och rättslig grund

Varje personuppgiftsbehandling behöver ett tydligt ändamål och en rättslig grund. Den rättsliga grunden bör fastställas innan behandlingen börjar och verksamheten behöver dokumentera sitt resonemang.

Det går alltså inte att samla in information först och därefter bestämma vad den skulle kunna användas till.

3. Samla inte in mer data än nödvändigt

Dataminimering är både en GDPR-princip och ett effektivt sätt att minska riskerna. Om ett företag exempelvis endast behöver namn och e-postadress för att besvara en förfrågan finns det sällan anledning att samtidigt kräva ett stort antal andra personuppgifter.

Detta är en viktig princip även när nya digitala tjänster utvecklas. Frågan bör inte bara vara vilken data som går att samla in, utan vilken data verksamheten faktiskt behöver.

4. Informera användaren tydligt

Transparens är central i GDPR. Den registrerade behöver få begriplig information om personuppgiftsbehandlingen. Företag bör därför se över integritetsinformation, formulärtexter, cookie-information och andra relevanta kontaktytor.

Informationen ska inte göras onödigt komplicerad. Tydligt språk gynnar både regelefterlevnaden och användarupplevelsen.

5. Skydda personuppgifterna

GDPR ställer krav på lämpliga tekniska och organisatoriska säkerhetsåtgärder. Vilken säkerhetsnivå som behövs beror på riskerna med behandlingen.

Tekniska åtgärder kan exempelvis omfatta behörighetsstyrning, säker autentisering, uppdaterade system, säkerhetskopiering och kryptering där det är lämpligt. Organisatoriska åtgärder kan handla om interna rutiner, utbildning, ansvarsfördelning och regler för vem som får tillgång till olika uppgifter.

6. Bestäm hur länge information ska sparas

Personuppgifter får som huvudregel inte sparas i identifierbar form längre än vad som är nödvändigt för det aktuella ändamålet. Därför behöver företaget rutiner för gallring.

Olika typer av information kan behöva olika lagringstider. Uppgifter som omfattas av andra rättsliga skyldigheter kan exempelvis behöva bevaras längre än information från en avslutad marknadsföringsaktivitet.

7. Granska externa leverantörer

Många företag använder externa leverantörer för webbhotell, CRM, e-postmarknadsföring, analys, molnlagring, support och andra digitala tjänster. Därför är leverantörskedjan en viktig del av GDPR-arbetet.

När en leverantör behandlar personuppgifter för företagets räkning i rollen som personuppgiftsbiträde ska relationen regleras genom ett personuppgiftsbiträdesavtal. Företaget behöver dessutom förstå var och hur informationen behandlas och om personuppgifter överförs till länder utanför EU/EES.

Vad är ett personuppgiftsbiträdesavtal?

Ett personuppgiftsbiträdesavtal, ofta förkortat PUB-avtal eller biträdesavtal, reglerar hur ett personuppgiftsbiträde får behandla personuppgifter för den personuppgiftsansvarigas räkning.

Det kan exempelvis bli aktuellt när en extern leverantör hanterar kunduppgifter åt företaget genom en digital tjänst. Avtalet ska bland annat reglera hur personuppgifterna får behandlas och vilka skyldigheter biträdet har.

Det är dock viktigt att först avgöra vilka roller parterna faktiskt har. Alla externa företag som får tillgång till information är inte automatiskt personuppgiftsbiträden.

Vad är en personuppgiftsincident?

En personuppgiftsincident är en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring av personuppgifter eller till obehörigt röjande av eller obehörig åtkomst till personuppgifter.

Det behöver alltså inte handla om en avancerad hackerattack. Ett e-postmeddelande som skickas till fel mottagare, ett borttappat lagringsmedium eller felaktiga behörigheter kan också innebära en personuppgiftsincident.

Måste personuppgiftsincidenter anmälas inom 72 timmar?

Inte alla incidenter ska anmälas till IMY. Om incidenten sannolikt medför en risk för fysiska personers rättigheter och friheter ska den personuppgiftsansvariga som huvudregel anmäla incidenten till IMY utan onödigt dröjsmål och, om möjligt, inom 72 timmar från det att verksamheten fick vetskap om den.

Vid hög risk kan det dessutom finnas en skyldighet att informera de berörda personerna. Företaget behöver därför ha rutiner för att upptäcka, dokumentera, bedöma och hantera incidenter snabbt.

Vilka rättigheter har privatpersoner enligt GDPR?

GDPR ger registrerade flera rättigheter. Beroende på situationen kan en person bland annat ha rätt att få information om behandlingen, få tillgång till sina personuppgifter, få felaktiga uppgifter rättade, få uppgifter raderade, få behandlingen begränsad eller invända mot viss behandling.

Det finns också rätt till dataportabilitet i vissa situationer och särskilda regler kring automatiserade individuella beslut.

Rättigheterna är dock inte absoluta i alla situationer. Exempelvis innebär rätten till radering inte att ett företag alltid måste radera samtliga uppgifter omedelbart. Det kan finnas andra rättsliga skyldigheter eller tillåtna skäl som gör att viss information behöver finnas kvar.

GDPR och digital marknadsföring

Digital marknadsföring är ett område där personuppgifter ofta behandlas i stor omfattning. CRM-system, nyhetsbrev, målgrupper, annonseringsplattformar, analysverktyg och webbstatistik kan alla innebära personuppgiftsbehandling.

Det betyder däremot inte att samtycke automatiskt är den enda möjliga rättsliga grunden för all marknadsföring. Vilka regler som gäller beror bland annat på vilken typ av marknadsföring det handlar om, vilka personuppgifter som används och vilken kommunikationskanal som används. Utöver GDPR kan annan lagstiftning också vara relevant.

Företag behöver därför bedöma sina marknadsföringsaktiviteter individuellt i stället för att utgå från att en generell formulering eller ett enda samtycke täcker all framtida användning av kunddata.

GDPR och nyhetsbrev

E-postadresser är personuppgifter när de kan kopplas till en fysisk person. Företag som använder e-postadresser för nyhetsbrev behöver därför förstå både vilken rättslig grund som används för personuppgiftsbehandlingen och vilka andra regler som gäller för elektronisk direktmarknadsföring.

När samtycke används måste det uppfylla kraven på ett giltigt samtycke. Det behöver dessutom vara enkelt för mottagaren att återkalla samtycket.

GDPR och Google Analytics

Att använda ett analysverktyg innebär inte automatiskt att företagets webbplats uppfyller GDPR. Det är den faktiska konfigurationen och personuppgiftsbehandlingen som måste bedömas.

Företaget behöver bland annat förstå vilken information som samlas in, vilka tekniker som används, vilka mottagare som får tillgång till informationen och hur länge uppgifter sparas. Även regler om cookies och internationella dataöverföringar kan behöva beaktas.

Det är därför bättre att se analysverktyg som en del av webbplatsens totala dataskyddsarbete än att anta att en viss plattform i sig är ”GDPR-godkänd”.

GDPR och AI – vad behöver företag tänka på?

AI gör GDPR ännu mer relevant. När ett AI-system behandlar personuppgifter gäller GDPR precis som vid annan personuppgiftsbehandling. Företaget behöver alltså fortfarande kunna fastställa ändamål och rättslig grund, följa principerna om exempelvis dataminimering och transparens och hantera riskerna för de registrerade.

Detta blir viktigt när företag använder AI för exempelvis kundanalys, personalisering, automatisering, innehållshantering, kundservice eller andra datadrivna processer.

En vanlig risk är att medarbetare börjar använda nya AI-verktyg innan organisationen har analyserat vilken information som skickas till tjänsten och hur leverantören behandlar informationen. Företag bör därför inkludera AI-tjänster i sitt ordinarie arbete med informationssäkerhet och dataskydd.

GDPR och AI Act är inte samma sak

GDPR och EU:s AI-förordning, AI Act, är olika regelverk. Ett AI-system kan omfattas av AI Act samtidigt som behandlingen av personuppgifter omfattas av GDPR.

Det innebär att efterlevnad av det ena regelverket inte automatiskt innebär efterlevnad av det andra. När AI används behöver företag därför identifiera vilka regler som är relevanta för just den aktuella tjänsten och användningen.

När måste företag ha ett dataskyddsombud?

Alla företag behöver inte ha ett dataskyddsombud. Kravet gäller bland annat organisationer vars kärnverksamhet innebär regelbunden och systematisk övervakning av människor i stor omfattning eller behandling i stor omfattning av känsliga personuppgifter eller uppgifter om brott. Myndigheter och offentliga organ omfattas också av särskilda krav.

Det är därför verksamhetens faktiska personuppgiftsbehandling, inte enbart företagets storlek, som behöver bedömas.

Vad kan hända om ett företag bryter mot GDPR?

Tillsynsmyndigheter har flera möjliga befogenheter vid överträdelser. Beroende på omständigheterna kan det bland annat handla om varningar, reprimander, förelägganden, begränsningar av personuppgiftsbehandling och administrativa sanktionsavgifter.

För de överträdelser som omfattas av den högsta sanktionsnivån kan företag få administrativa sanktionsavgifter på upp till 20 miljoner euro eller, när det gäller företag, upp till fyra procent av den totala globala årsomsättningen under föregående räkenskapsår, beroende på vilket belopp som är högst.

Men konsekvenserna behöver inte vara begränsade till myndighetsåtgärder. Bristande dataskydd kan även skapa praktiska problem, säkerhetsrisker och förtroendeskador hos kunder och samarbetspartners.

Vanliga GDPR-misstag på företags webbplatser

Ett vanligt misstag är att betrakta GDPR som en textfråga. Företaget publicerar en integritetspolicy och en cookie-banner och antar därefter att webbplatsen är GDPR-anpassad.

I verkligheten behöver även webbplatsens tekniska funktion granskas. Vilka externa skript laddas? När aktiveras cookies? Vad händer med information från formulär? Vilka externa leverantörer får information? Hur länge sparas den?

Ett annat vanligt problem är datainsamling utan tydligt syfte. Formulär innehåller fler fält än nödvändigt, gamla kunduppgifter ligger kvar utan genomtänkt gallring och externa tjänster fortsätter samla information trots att ingen längre vet varför de installerades.

GDPR-arbetet blir därför ofta bättre när juridik, teknik, webbdesign och marknadsföring hanteras som delar av samma process.

Hur gör man en webbplats mer GDPR-anpassad?

Börja med att kartlägga webbplatsens faktiska dataflöden. Identifiera formulär, cookies, analysverktyg, annonseringsplattformar, externa integrationer, inbäddningar och andra funktioner som kan innebära behandling av personuppgifter.

Kontrollera därefter vilka rättsliga grunder som används, vilken information besökaren får, hur samtycken hanteras där sådana krävs och vilka externa leverantörer som är involverade.

Se även över lagringstider, åtkomst, säkerhet och rutiner för registrerades rättigheter. GDPR-anpassning bör alltså ske både i det användaren ser och i systemen bakom webbplatsen.

GDPR som en del av en professionell digital närvaro

Dataskydd behöver inte stå i motsats till användarvänlighet eller digital marknadsföring. Tvärtom kan genomtänkt datainsamling skapa enklare formulär, tydligare information och bättre kontroll över företagets digitala system.

För användaren handlar det ytterst om förtroende. En webbplats som tydligt förklarar vad som händer med personuppgifter och ger användaren relevanta val kan upplevas mer transparent och professionell.

För företaget innebär ett strukturerat GDPR-arbete samtidigt bättre kunskap om vilka system, dataflöden och leverantörer verksamheten faktiskt använder.

GDPR är en löpande process – inte en engångsåtgärd

En webbplats förändras över tid. Nya formulär läggs till, marknadsföringsverktyg byts ut, CRM-system integreras och nya AI-tjänster införs. Därför behöver även företagets GDPR-arbete utvecklas.

Det som var korrekt när webbplatsen lanserades behöver inte automatiskt vara korrekt flera år senare. Regelbundna kontroller av webbplats, leverantörer, personuppgiftsbehandlingar och interna rutiner gör det lättare att upptäcka problem innan de växer.

ZMART Webb & Reklam hjälper företag skapa genomtänkta webbplatser

För en modern webbplats behöver design, teknik, användarupplevelse, marknadsföring och dataskydd fungera tillsammans. GDPR-frågorna bör därför finnas med redan när webbplatsens funktioner och dataflöden planeras, inte läggas till som en eftertanke när webbplatsen är färdig.

ZMART Webb & Reklam hjälper företag med professionella webbplatser och digitala lösningar där användarvänlighet, teknik och genomtänkt hantering av data kan vägas in från början. Behöver din befintliga webbplats ses över kan en teknisk genomgång också identifiera formulär, cookies, integrationer och externa tjänster som behöver granskas ur ett dataskyddsperspektiv.

Det är viktigt att skilja mellan teknisk GDPR-anpassning och juridisk rådgivning. Vid komplicerade juridiska bedömningar bör verksamheten ta hjälp av relevant juridisk expertis.

Vanliga frågor och svar om GDPR

1. Vad är GDPR enkelt förklarat?

GDPR är EU:s dataskyddsförordning som reglerar hur personuppgifter får behandlas. Företag och organisationer som behandlar personuppgifter behöver bland annat ha ett tydligt ändamål, en rättslig grund, följa GDPR:s grundläggande principer och skydda informationen på ett lämpligt sätt.

2. Måste alla företag följa GDPR?

Företag som behandlar personuppgifter och omfattas av dataskyddsförordningens tillämpningsområde måste följa GDPR. Eftersom exempelvis kundregister, kontaktformulär och personaladministration normalt innebär behandling av personuppgifter berörs mycket stora delar av näringslivet.

3. Måste man ha samtycke för att behandla personuppgifter?

Nej. Samtycke är endast en av GDPR:s sex rättsliga grunder. Beroende på situationen kan behandlingen exempelvis stödjas på avtal, rättslig förpliktelse eller intresseavvägning. Rättslig grund måste bedömas för varje personuppgiftsbehandling.

4. Måste alla personuppgiftsincidenter rapporteras inom 72 timmar?

Nej. En personuppgiftsincident ska som huvudregel anmälas till IMY om incidenten sannolikt medför en risk för fysiska personers rättigheter och friheter. När anmälningsskyldighet finns ska anmälan göras utan onödigt dröjsmål och, om möjligt, inom 72 timmar från att den personuppgiftsansvariga fick vetskap om incidenten.

5. Hur kan ZMART Webb & Reklam hjälpa företag med GDPR på webbplatsen?

ZMART Webb & Reklam kan hjälpa företag att se över de tekniska delarna av webbplatsen som påverkar personuppgiftshanteringen, exempelvis formulär, cookies, samtyckeslösningar och externa integrationer. Genom att tänka på dataskydd redan under utvecklingen blir det enklare att kombinera en professionell webbplats med genomtänkta dataflöden. För juridiska bedömningar och rättslig rådgivning kan kompletterande juridisk expertis behövas.