GDPR-Express
Strukturera er GDPR-efterlevnad
GDPR:s viktigaste artiklar
GDPR (förordning (EU) 2016/679) strukturerar arbetssättet i GDPR-Express
Art. 30 - Register över behandlingar
Skyldighet att föra ett register, både som personuppgiftsansvarig och som personuppgiftsbiträde. Undantaget i 30.5 för organisationer med färre än 250 anställda gäller endast tillfälliga behandlingar.
Art. 28 - Personuppgiftsbiträde
Avtalsmässig reglering av varje personuppgiftsbiträde som behandlar uppgifter för er räkning: tillräckliga garantier, obligatoriska klausuler, underbiträden godkända skriftligen i förväg.
Art. 32 - Säkerhet i behandlingen
Lämpliga tekniska och organisatoriska åtgärder utifrån risken: pseudonymisering, kryptering, medel som säkerställer konfidentialitet och tillgänglighet, rutin för regelbunden testning och utvärdering.
Art. 35 - Konsekvensbedömning (DPIA)
Obligatorisk endast när behandlingen kan medföra en hög risk: systematisk bedömning med rättslig verkan, känsliga uppgifter i stor skala, eller systematisk övervakning av en allmänt tillgänglig plats.
Regelbevakning - officiella källor
Vad lagtexten faktiskt säger, översatt till klarspråk. Varje punkt länkar till den officiella texten.
Vad är egentligen GDPR?
Det är den europeiska lagtext som reglerar insamling och användning av personuppgifter (kunder, anställda, prospekt...). Den antogs den 27 april 2016 och publicerades i Europeiska unionens officiella tidning den 4 maj 2016.
Sedan när den gäller
Förordningen trädde i kraft tjugo dagar efter publiceringen, men den har faktiskt tillämpats först sedan den 25 maj 2018. Det är det datumet som gäller för era konkreta skyldigheter.
Registret över behandlingar: grunddokumentet
Ni måste föra en lista över vad ni gör med personuppgifterna: för vilket syfte, med vem, hur länge ni behåller dem, hur ni skyddar dem. Ett undantag finns för organisationer med färre än 250 anställda, men bara om behandlingen är tillfällig - en regelbunden affärsverksamhet omfattas inte.
Måste man utse ett dataskyddsombud (DPO)?
Det är bara obligatoriskt i tre specifika situationer: ni är en offentlig myndighet, eller er huvudsakliga verksamhet består i att regelbundet och i stor skala övervaka personer, eller i att i stor skala behandla känsliga uppgifter. Utanför dessa fall är det frivilligt att utse ett dataskyddsombud.
Vid en dataincident: 72 timmar för att underrätta myndigheten
Om personuppgifter förloras, stjäls eller exponeras måste ni underrätta CNIL (eller den behöriga myndigheten) senast 72 timmar efter att ni fått kännedom om det, såvida inte risken för de registrerade är försumbar. Ni måste också föra ett skriftligt register över varje incident.
Om risken är hög måste även era kunder eller anställda underrättas
När en dataincident medför en hög risk för de registrerade måste ni informera dem direkt, i klart och enkelt språk. Ni kan undantas från denna information om uppgifterna var krypterade eller om ni redan har neutraliserat risken.
Sanktionerna i klarspråk
Vid en överträdelse kan böterna uppgå till 10 miljoner euro (eller 2 % av företagets globala omsättning) för de vanligaste överträdelserna, och upp till 20 miljoner euro (eller 4 % av den globala omsättningen) för de allvarligaste kränkningarna av de registrerades rättigheter - det är alltid det högsta beloppet som gäller. Det faktiska beloppet beror på allvarlighetsgraden, överträdelsens uppsåtliga eller oaktsamma karaktär och samarbete med myndigheten.
Vem berörs av GDPR?
Den fråga vi får oftast: "Berör detta verkligen mig, som litet företag?" Kort och källbelagt svar: ja, nästan alltid.
Den verkliga utlösaren: att behandla en personuppgift
GDPR gäller så snart en organisation behandlar, även delvis på automatiserad väg eller i en strukturerad fil, en uppgift som avser en identifierad eller identifierbar person: namn, e-post, telefon, IP-adress, platsdata...
Konkret omfattar detta ett kundregister, löneadministration för anställda, mottagna CV, en övervakningskamera, ett nyhetsbrev, ett CRM-system eller cookies för besöksstatistik.
De sällsynta undantagen
GDPR gäller inte i fyra specifika fall:
- en strikt personlig eller privat användning (till exempel er privata adressbok)
- verksamheter utanför EU-rättens tillämpningsområde
- medlemsstaternas verksamheter inom ramen för den gemensamma utrikespolitiken
- myndigheters behandling i syfte att förebygga brott (ett särskilt regelverk)
Det spelar ingen roll var ni är etablerade
GDPR gäller så snart ert företag har en etablering inom Europeiska unionen, eller så snart ni riktar er till personer som befinner sig där: genom att erbjuda dem varor eller tjänster (även kostnadsfria), eller genom att följa deras beteende (profilering, spårningscookies).
CNIL nämner två talande exempel: ett franskt företag som enbart exporterar till Marocko omfattas ändå av GDPR så snart det behandlar uppgifter om personer inom EU; en kinesisk e-handelssajt som levererar till Frankrike måste också följa regelverket.
Två möjliga roller, två nivåer av skyldigheter
Personuppgiftsansvarig: den organisation som bestämmer varför och hur uppgifterna används (ert företag, en kommun, en förening). Det är oftast ni.
Personuppgiftsbiträde: leverantören som behandlar dessa uppgifter enligt era instruktioner (webbhotell, lönesystem, marknadsföringsbyrå...). Även biträdet har egna skyldigheter, skilda från era.
Privata företag
från mikroföretag till stora koncerner, redan från det första kundregistret eller den första lönespecifikationen
Offentlig sektor
kommuner, regioner, myndigheter, vårdinrättningar
Föreningar, hantverkare, egenföretagare
fria yrken, handlare, startupbolag: ingen befrielse kopplad till bolagsform
De frågor en företagsledare verkligen ställer sig
Ingen juridisk jargong: de 7 vanligaste frågorna, ett enkelt svar, och den officiella texten bakom varje svar.
Klicka på en fråga för att se svaret och dess källa.
Nej. Samtycke är bara ett alternativ av sex. GDPR (artikel 6) tillåter också behandling när den är nödvändig för att fullgöra ett avtal, för att uppfylla en rättslig förpliktelse, för att skydda grundläggande intressen, för en uppgift av allmänt intresse, eller för ert företags berättigade intresse (till exempel att hantera relationen med en befintlig kund), så länge den registrerades rättigheter inte väger tyngre.
Det beror på vem ni kontaktar:
- Privatpersoner (B2C): förhandsgodkännande krävs (kryssruta, aldrig förikryssad), utom för att erbjuda en liknande produkt till en redan befintlig kund.
- Företag (B2B): möjligt utan förhandsgodkännande om meddelandet rör deras verksamhet, förutsatt att de har informerats och ges ett enkelt sätt att tacka nej.
I samtliga fall: identifierbar avsändare och en enkel avregistreringslänk.
I allmänhet ja, särskilt om uppgifterna inte längre behövs, om personen återkallar sitt samtycke, eller om personen invänder utan att ni har ett berättigat skäl som väger tyngre. Ni kan däremot vägra om ni måste behålla uppgifterna på grund av en rättslig förpliktelse, till exempel en faktura som ska sparas i 10 år av bokföringsskäl, eller för att försvara er rättsligt.
1 månad från mottagandet av begäran. Denna frist kan förlängas med 2 månader om begäran är komplex eller om ni får många begäranden, men ni måste informera personen om förlängningen inom den första månaden.
Ja, men inte utan försiktighetsåtgärder. Tre möjliga fall: landet omfattas av ett officiellt beslut från Europeiska kommissionen som erkänner en adekvat skyddsnivå; om så inte är fallet måste er leverantör erbjuda lämpliga skyddsåtgärder (oftast standardavtalsklausuler); eller, endast för enstaka fall, gäller ett specifikt undantag (uttryckligt samtycke, fullgörande av ett avtal...).
Ja. De flesta cookies (personanpassad reklam, knappar för sociala medier...) kräver besökarens förhandsgodkännande, givet frivilligt, och lika lätt att återkalla som att ge. Att godkänna allmänna villkor räknas inte som ett giltigt godkännande. Vissa tekniska cookies (varukorg, autentisering, språkinställning) är undantagna från detta krav.
CNIL inleder i allmänhet med en kontroll (på plats eller online) och därefter ett föreläggande om att bli regelefterlevande inom en given frist. Ekonomiska sanktioner finns men står i proportion till organisationens storlek: CNIL har till exempel sanktionerat små företag med belopp mellan 2 000 och 20 000 euro för brister gällande säkerhet, cookies eller rätten till tillgång, långt under de maximala taken (upp till 20 miljoner euro eller 4% av den globala omsättningen för de allvarligaste överträdelserna).
GDPR-kalendern, i klartext
GDPR föddes inte 2018 och har inte stått stilla sedan dess. Här är, i ordning, vad som redan har hänt (och som fortfarande är gällande regelverk idag) och vad som fortfarande diskuteras i Bryssel - med, för varje steg, den officiella text som styrker det.
Redan gällande idag
- GDPR tillämpas fullt ut sedan den 25 maj 2018 - det är DET datum som räknas för era skyldigheter.
- Den franska lagen "Informatique et Libertés" uppdaterades i enlighet med detta (2018).
- De nya standardavtalsklausulerna för överföringar utanför EU har gällt sedan slutet av 2022.
- Regelverket för dataöverföring till USA (Data Privacy Framework) gäller sedan juli 2023.
Fortfarande under diskussion, ännu inte obligatoriskt
- En lättnad av registret över behandlingar (art. 30) för organisationer med färre än 750 anställda, föreslagen av kommissionen i maj 2025 - ännu inte en gällande text.
- En förordning för att harmonisera förfarandena mellan nationella tillsynsmyndigheter vid gränsöverskridande utredningar - politisk överenskommelse i juni 2025, formellt antagande ännu inte bekräftat.
- Förlita er inte på dessa tillkännagivanden för att skjuta upp er regelefterlevnad: grunden från 2018 gäller så länge inget har publicerats i den officiella tidningen.
Texten antas
Europaparlamentet och rådet antar förordning (EU) 2016/679, GDPR. källa EUR-Lex ↗
Officiell publicering
Texten publiceras i Europeiska unionens officiella tidning (JO L 119, sidorna 1 till 88). källa EUR-Lex ↗
Rättsligt ikraftträdande
Förordningen "träder i kraft den tjugonde dagen efter det att den har offentliggjorts" (art. 99). Den existerar rättsligt, men dess faktiska tillämpning på företag skjuts ändå upp två år - för att ge tid att förbereda sig. källa CNIL, art. 99 ↗
GDPR tillämpas fullt ut
Från och med detta datum måste alla organisationer som behandlar personuppgifter om personer bosatta i Europa vara faktiskt regelefterlevande, inte bara "på papperet". Det är det datum man ska minnas. källa CNIL, art. 99 ↗
Den franska lagen uppdateras
Lag nr 2018-493 anpassar den franska lagstiftningen till GDPR och införlivar direktivet "polis-rättsväsende" (2016/680), med utgångspunkt i lagen Informatique et Libertés från 1978. källa Légifrance ↗
1978 års lag skrivs om i sin helhet
Förordningen (ordonnance) nr 2018-1125 slutför anpassningen av lagen Informatique et Libertés till GDPR och direktiv 2016/680. källa Légifrance ↗
Europeiska kommissionens första utvärdering
Två år efter att förordningen börjat tillämpas publicerar kommissionen sin första rapport: GDPR uppnår sina mål, men förbättringar behövs (harmonisering mellan länder, samarbete mellan myndigheter). källa EUR-Lex (COM 2020) ↗
Domen "Schrems II"
EU-domstolen ogiltigförklarar "Privacy Shield" som reglerade dataöverföringar till USA: de amerikanska garantierna om myndigheters tillgång till uppgifter bedöms inte vara tillräckliga. källa EUR-Lex ↗
Nya standardavtalsklausuler
Nya standardklausuler för att reglera dataöverföringar utanför EU träder i kraft, med en övergångsperiod på 15 månader för att ersätta redan undertecknade avtal. källa EUR-Lex (2021/914) ↗
Nytt ramverk EU-USA
Kommissionen antar beslutet om adekvat skyddsnivå "EU-US Data Privacy Framework", som ersätter det Privacy Shield som ogiltigförklarades 2020 och på nytt möjliggör säkra överföringar till amerikanska företag. källa EUR-Lex (2023/1795) ↗
Europeiska kommissionens andra utvärdering
Tydlig ökning av sanktionerna mot stora teknikföretag, men skillnader kvarstår mellan nationella myndigheter. Kommissionen rekommenderar bättre stöd till SMF. källa EUR-Lex (COM 2024) ↗
Förslag om lättnad för SMF
Kommissionen föreslår, inom ramen för sitt paket för förenkling av den inre marknaden, att utöka undantaget från att föra ett fullständigt register över behandlingar (art. 30) till organisationer med upp till 750 anställda (istället för 250), begränsat till behandlingar med "hög risk". Det är ett förslag, ännu inte en gällande text. källa Europeiska kommissionen ↗
Överenskommelse om gemensamma procedurregler
Rådet och Europaparlamentet når en politisk överenskommelse om ytterligare procedurregler för att harmonisera hur nationella tillsynsmyndigheter samarbetar vid gränsöverskridande utredningar. Det formella antagandet och publiceringen i den officiella tidningen återstår att bekräfta. källa Europeiska kommissionen ↗
Kalendern är sammanställd utifrån officiella källor (EUR-Lex, CNIL, Légifrance, Europeiska kommissionen) som konsulterades den 18 juillet 2026. De två sista stegen är förslag eller pågående politiska överenskommelser. Detta är en pedagogisk sammanfattning och utgör inte juridisk rådgivning.
GDPR-sanktionerna, i klartext
Den skrämmande siffran - «20 miljoner euro» - cirkulerar överallt, men den säger inget om hur det egentligen fungerar. Här är, med stöd av officiella källor, vem som sanktionerar, hur, och för vilka verkliga belopp.
eller upp till 2 % av företagets globala årsomsättning (det högsta av de två beloppen gäller).
Nivå tillämplig på "vanliga" överträdelser: registret över behandlingar, datasäkerhet, personuppgiftsbiträdets skyldigheter, utebliven konsekvensbedömning...
eller upp till 4 % av den globala årsomsättningen (samma princip, det högsta av de två beloppen gäller).
Nivå tillämplig på de allvarligaste överträdelserna: avsaknad av rättslig grund, kränkning av registrerades rättigheter, olagliga överföringar utanför EU...
Vem beslutar? CNIL:s särskilda sanktionsnämnd
Det är inte CNIL i sin helhet som sanktionerar, utan ett separat och oberoende organ: formation restreinte, bestående av 5 ledamöter och en ordförande som skiljer sig från CNIL:s ordförande. Det är endast detta organ som utreder ärendena och beslutar om sanktioner. De viktigaste besluten offentliggörs.
Vad som påverkar det verkliga beloppet
Artikel 83 i GDPR ålägger CNIL att beakta flera kriterier innan böter fastställs, bland annat:
- överträdelsens allvar, karaktär och varaktighet
- om det rör sig om uppsåt eller ren oaktsamhet
- åtgärder som redan vidtagits för att minska skadan
- samarbetet med CNIL och tidigare överträdelser
- vilka kategorier av uppgifter som berörs
Innan böterna: en gradvis åtgärdstrappa (artikel 58 i GDPR)
- Varning
- Tillrättavisning
- Anmodan (mise en demeure)
- Föreläggande om regelefterlevnad
- Administrativa böter (art. 83)
| Datum | Organisation | Belopp | Skäl |
|---|---|---|---|
| 21/01/2019 | Google LLC | 50 M € | Bristande transparens, avsaknad av giltigt samtycke för personanpassad reklam |
| 07/12/2020 | Amazon Europe Core | 35 M € | Cookies placerade utan förhandssamtycke |
| 31/12/2021 | Google LLC / Google Ireland | 150 M € | Att neka cookies mer komplicerat än att acceptera dem |
| 31/12/2021 | Facebook Ireland (Meta) | 60 M € | Samma skäl: att neka cookies gjordes för svårt |
| 17/10/2022 | Clearview AI | 20 M € | Ansiktsigenkänning utan rättslig grund, vägran att samarbeta |
| 10/11/2022 | Discord Inc. | 800 000 € | Alltför lång lagring av uppgifter, otillräcklig säkerhet och information |
| 15/06/2023 | Criteo | 40 M € | Brister gällande cookiesamtycke och registrerades rättigheter |
Och för en mindre organisation? Proportionerliga belopp
CNIL sanktionerar även små och medelstora organisationer, men med belopp som inte alls går att jämföra med de internationella koncernerna. Enbart bland besluten från december 2025 finns till exempel: 5 000 € för ett hotellförvaltningsbolag (bristande videoövervakning), 7 000 € och 5 000 € för två tidningsutgivande bolag (ogiltiga cookies), 10 000 € för ett flygfraktbolag (olaglig videoövervakning), eller 20 000 € för ett universitet (uppgifter använda för andra ändamål än avsett). I andra änden av skalan sanktionerades ett tjänsteföretag med 3,5 M € samma månad för en anhopning av allvarliga brister (säkerhet, transparens, cookies). Beloppet följer allvarlighetsgraden och storleken, inte tvärtom.
Er tillsynsmyndighet, beroende på land
I Europa har varje land sina egna myndigheter. Här är, för de 30 länderna inom Europeiska ekonomiska samarbetsområdet, dataskyddsmyndigheten (er GDPR-kontakt) och den nationella cybersäkerhetsmyndigheten. Varje namn länkar till den officiella webbplatsen.
Källor: myndigheternas officiella webbplatser samt listan över EDPB:s medlemmar (edpb.europa.eu), konsulterade den 18 juli 2026. Bekräftade dataskyddsmyndigheter: 30/30. Bekräftade cybersäkerhetsmyndigheter: 28/30. Angivelserna « à confirmer » anger en officiell källa som ännu inte är fastställd.