GDPR är inte ett engångsprojekt utan en löpande process som berör hela företaget. Vill ni veta var ni står i dag? Boka en GDPR-besiktning, ett första steg mot tryggare och smartare hantering av personuppgifter.
45 minuter, digitalt · mån–fre 08–17 · 08-18 31 01
Börja med en besiktning. Behöver ni mer stöd efteråt debiteras GDPR och datasäkerhet per timme.
På DAX IT kombinerar vi teknisk kompetens med praktisk förståelse för företagets vardag. Ni får ett protokoll på genomgången av:
Oavsett om ni vill säkerställa efterlevnad, förbereda er för tillsyn eller stärka ert erbjudande mot kunder är en nulägesanalys ett effektivt sätt att ta reda på vad som fungerar och inte.
Välj en tid i kalendern, ring 08-18 31 01 eller mejla info@daxit.se.
Vi träffas digitalt. Bjud gärna in era ansvariga för GDPR och dataskyddsombud, om ni har sådana.
Ni får ett protokoll med nuläget och en konkret förståelse för vilka delar som behöver förbättras.
När man förklarar GDPR i ett företagsperspektiv handlar det i grunden om ansvar.
Företag samlar in, lagrar och använder personuppgifter varje dag — om kunder, anställda, leverantörer och samarbetspartners. GDPR ställer tydliga krav på hur de får hanteras, hur länge de får sparas och hur de ska skyddas mot obehörig åtkomst.
GDPR-böter kan vara kännbara, men för många företag är den största risken förlorat förtroende. Ett dataintrång, ett felaktigt e-postutskick eller en misskött begäran om att bli glömd kan snabbt skada varumärket.
Företag som kan visa att de tar integritet på allvar har ett tydligt försprång. De som inte arbetar strukturerat saknar ofta dokumentation, rutiner och tekniskt skydd — och blir sårbara både juridiskt och affärsmässigt.
Många företag underskattar konsekvenserna av bristande GDPR-arbete. GDPR-kraven gäller alla företag, oavsett omsättning eller bransch — även företag med ett fåtal anställda.
Ett vanligt problem är att personuppgifter behandlas ”av gammal vana”: kundregister sparas för länge, gamla e-postlistor används i marknadsföring och anställdas uppgifter lagras i osäkra system.
Minst lika allvarligt som sanktioner är de indirekta konsekvenserna. Ett företag som inte kan visa hur personuppgifter hanteras riskerar att förlora affärer, särskilt i upphandlingar där GDPR-efterlevnad är ett krav. Skydd av persondata ger dessutom grundläggande cybersäkerhet — läs mer om IT-säkerhet för företag.
Fördjupning i de frågor vi oftast får om GDPR och dataskydd.
GDPR, eller dataskyddsförordningen, är en EU-gemensam lagstiftning som trädde i kraft den 25 maj 2018. Syftet är att stärka skyddet för individers personuppgifter och skapa en enhetlig reglering inom hela EU.
GDPR gäller för alla organisationer som behandlar personuppgifter, oavsett om organisationen är privat eller offentlig, liten eller stor. I korthet har en juridisk person skyldigheter och en fysisk person rättigheter.
GDPR är i dag en självklar del av varje företags vardag, oavsett om verksamheten består av tio eller tusen anställda. Ändå råder stor osäkerhet kring vad lagen faktiskt innebär, vilka krav som ställs och hur man arbetar med GDPR på ett affärsmässigt och kostnadseffektivt sätt.
Vi möter dagligen företag som tror att de redan följer GDPR, men där en närmare granskning visar på betydande risker: felaktig datalagring, bristande samtycke, otydliga integritetspolicyer, osäkra molntjänster eller medarbetare som hanterar personuppgifter utan tillräcklig kunskap.
Grunden i allt GDPR-arbete är att kartlägga vilka personuppgifter ni har, varför ni har dem, hur de lagras och vem som har tillgång till dem. Det är samma kartläggning som ligger till grund för en registerförteckning.
Företag som inte arbetar strukturerat med GDPR saknar ofta just dokumentation och rutiner. I GDPR-besiktningen går vi igenom er personuppgiftshantering och ni får ett protokoll över vad som är på plats och vad som behöver åtgärdas.
Det är lätt att tro att tillsynsmyndigheter bara granskar stora koncerner, men i praktiken drabbas även mindre företag. När Integritetsskyddsmyndigheten (IMY) genomför en granskning är det ofta vardagliga brister som leder till sanktioner.
Sanktioner kan innebära allt från förelägganden och varningar till kännbara böter.
Utöver vanliga personuppgifter finns känsliga personuppgifter, som omfattar information om hälsa, fackligt medlemskap, religiös övertygelse, politiska åsikter och biometriska uppgifter. De kräver ett förstärkt skydd och får endast behandlas under särskilda förutsättningar.
Många företag tror att de aldrig hanterar känsliga personuppgifter, men i praktiken kan de förekomma i till exempel sjukintyg, personalärenden eller supportärenden. En GDPR-genomgång hjälper er att identifiera dessa risker.
Molntjänster är ett område där många företag gör antaganden. Bara för att en leverantör är stor betyder det inte automatiskt att allt är GDPR-säkert. Det krävs personuppgiftsbiträdesavtal, förståelse för var data lagras och hur den skyddas.
Samma frågor gäller för GDPR i Office 365 och Microsoft 365 som för andra molntjänster.
GDPR och AI är ett område som växer snabbt. Många företag använder AI-baserade verktyg för analys, kundsupport och marknadsföring, och AI innebär ofta omfattande behandling av personuppgifter — vilket ställer höga krav på transparens och laglig grund.
När företag använder AI utan att förstå hur data behandlas uppstår risker kopplade till både GDPR och etik. En GDPR-besiktning hjälper er att bedöma om era AI-lösningar är förenliga med gällande regelverk.
Företag som marknadsför sig via Facebook, LinkedIn och Instagram samlar ofta in personuppgifter genom kampanjer, formulär och meddelanden. Här krävs tydlig information, korrekt samtycke och kontroll över hur uppgifterna används.
Många missar att även kommentarer, meddelanden och statistik kan innehålla personuppgifter. GDPR och sociala medier kräver därför både policy och praktiska rutiner.
E-postmarknadsföring och kalla samtal är klassiska fallgropar. Det är inte tillåtet att kontakta vem som helst hur som helst — samtycke, intresseavvägning och tydlig information är avgörande för att marknadsföringen ska vara laglig.
Felaktig hantering kan leda till klagomål, tillsyn och i värsta fall böter. Felaktig användning av cookies och otydliga formulär på webbplatser är andra riskområden. Med en genomgång från DAX IT får ni klarhet i vad som gäller för just er marknadsföring.
De enskilda rättigheterna omfattar bland annat rätten till information, rättelse, radering och rätten att bli glömd. Företag måste kunna hantera dessa begäranden korrekt och inom rätt tid.
Även rätten till dataportabilitet ställer krav på tekniska lösningar och rutiner. Utan förberedelse kan begärandena bli både tidskrävande och riskfyllda.
DAX IT gör GDPR-besiktningar för företag i Stockholm. Besiktningen är ett digitalt möte på 45 minuter som kostar 1 090 kr och ger ett protokoll med en nulägesbild av hur ni hanterar personuppgifter, cookies, tredjepartstjänster och dataskydd. Inget supportavtal krävs, och ni får konkreta rekommendationer att börja med.
DAX IT tar 1 590 kr per timme exkl. moms för GDPR-hjälp av en GDPR-konsult med teknisk kompetens. Ett första steg är GDPR-besiktningen för 1 090 kr, ett digitalt möte på 45 minuter som ger ett protokoll över nuläget och vad som behöver förbättras. Inget supportavtal krävs.
DAX IT kombinerar teknisk kompetens med praktisk förståelse för företagets vardag och går i GDPR-besiktningen igenom spårningstekniker som cookies, personuppgiftshantering, delning av data med tredje part och hur data skyddas. Ni får ett protokoll med en tydlig nulägesbild och konkreta rekommendationer.
För alla företag som behandlar personuppgifter — oavsett om ni är ett konsultbolag, en e-handelsbutik, ett byggföretag eller ett IT-bolag. Så fort ni hanterar uppgifter som kan kopplas till en identifierbar person omfattas ni. Det gäller både när ni är personuppgiftsansvariga och när ni är personuppgiftsbiträden åt andra, och många missar att rollen kan variera beroende på sammanhang.
GDPR gäller alla företag som behandlar personuppgifter, och personuppgifter är all information som kan kopplas till en levande person — till exempel namn, e-postadress och telefonnummer. Därför faller nästan all information i CRM-system, e-post och supportärenden under GDPR, även när kunderna är andra företag.
All information som direkt eller indirekt kan kopplas till en levande person: namn, e-postadress, telefonnummer, IP-adress, kundnummer eller bilder. Även uppgifter som verkar harmlösa kan vara personuppgifter. För företag betyder det att nästan allt i CRM-system, e-post, supportärenden och personalsystem omfattas — att hantera GDPR och personuppgifter rätt är en del av det dagliga arbetet.
En integritetspolicy behövs för att uppfylla informationsplikten, men den ersätter inte interna rutiner och styrdokument. Har ni dokumentation som visar att ni lever upp till policyn är ni hemma — annars behöver ni komplettera. Många söker efter en mall, men utan rätt anpassning riskerar mallen att skapa falsk trygghet.
Det kräver både juridisk förståelse och teknisk kontroll. Kartlägg vilka personuppgifter ni har, varför ni har dem, hur de lagras och vem som har tillgång. Uppgifter får inte sparas längre än nödvändigt och ska skyddas med lämpliga tekniska och organisatoriska åtgärder — här spelar IT-miljön en avgörande roll. Med vår GDPR-checklista för företag, som ingår i riskanalysen, ser ni vad som är på plats och vad som behöver åtgärdas.
Cookies kräver informerat samtycke, och många webbplatser uppfyller fortfarande inte kraven. Felaktiga cookielösningar är inte bara olagliga utan irriterar också besökarna. Vi ser ofta standardlösningar utan korrekt konfiguration, och i GDPR-besiktningen granskar vi även detta.
Ja, GDPR-böter kan uppgå till betydande belopp. Men den verkliga kostnaden ligger ofta i förlorat förtroende, avbrutna samarbeten och intern administration. Ett strukturerat GDPR-arbete är därför en investering, inte en kostnad.
En GDPR-besiktning tar 45 minuter digitalt, med protokoll. Priset för besiktningen och timpriset för fortsatt stöd inom GDPR och datasäkerhet står i prisavsnittet ovan.
GDPR räknar inte upp produkter utan kräver lämpliga tekniska och organisatoriska åtgärder, och i praktiken letar en granskning efter fem saker. Tvåfaktor på alla konton, krypterade diskar i bärbara datorer så att en stulen dator inte blir en personuppgiftsincident, behörigheter som gör att bara rätt personer når kundregister och personalmappar, backup som går att återställa och loggar som visar vem som öppnat vad. Till det kommer personuppgiftsbiträdesavtal med varje molntjänst som hanterar uppgifterna. DAX IT går igenom dataskyddet i GDPR-besiktningen, ett digitalt möte på 45 minuter för 1 090 kr med protokoll.
GDPR gäller inte när en privatperson hanterar uppgifter för rent privat bruk, som julkortslistan eller familjens foton, och inte för uppgifter om avlidna. Den gäller inte heller för uppgifter som verkligen är anonyma, men en lista där namnet bytts mot ett kundnummer är fortfarande personuppgifter så länge nyckeln finns kvar. Uppgifter om juridiska personer, som ett aktiebolags organisationsnummer och växelnummer, omfattas inte, medan en enskild firmas organisationsnummer är ägarens personnummer och därför räknas. Pappersregister ordnade efter namn omfattas också, så GDPR gäller inte bara digitala uppgifter.
Integritetsskyddsmyndigheten tar emot klagomålet och kan välja att utreda, och då får företaget skriftliga frågor om vad som hänt, vilken laglig grund ni har och hur ni hanterade den enskildes begäran. Vanliga klagomål gäller vardagliga saker: ett registerutdrag som aldrig skickades, en begäran om radering som ignorerades eller ett mejl till fel mottagare. Kan ni visa registerförteckning, rutiner och vad ni gjort åt felet står ni betydligt starkare än ett företag utan dokumentation. Utfallet kan bli allt från ett avslutat ärende till föreläggande, varning eller sanktionsavgift.
GDPR anger ingen fast tid, utan uppgifterna får sparas så länge de behövs för ändamålet de samlades in för, och sedan ska de raderas eller anonymiseras. Andra lagar sätter ofta golvet, som bokföringslagen för fakturor och verifikationer, och då styr den tiden för just de uppgifterna. Bestäm en tid per sorts uppgift, till exempel kunder som inte handlat på länge, avslutade anställningar och sökande som inte fick jobbet, och skriv in den i registerförteckningen. Glöm inte e-posten och säkerhetskopiorna, där en lagringsregel i Microsoft 365 och en backup som roterar bort gamla kopior gör att raderingen faktiskt sker.
Personuppgiftsansvarig är den som bestämmer varför och hur uppgifterna behandlas, och för era kunder och anställda är det ert företag. Biträdet behandlar uppgifterna för er räkning och enligt era instruktioner, till exempel IT-leverantören, lönebyrån, tjänsten för nyhetsbrev och Microsoft för er Microsoft 365. Med varje biträde ska det finnas ett personuppgiftsbiträdesavtal som säger vad de får göra, var uppgifterna lagras och vad som händer vid en incident. Samma företag kan vara ansvarigt för sitt eget kundregister och samtidigt biträde åt en kund vars uppgifter det hanterar, så rollen bedöms per uppdrag.
Stoppa först läckan: spärra det kapade kontot, ta bort delningslänken eller be mottagaren radera mejlet som gick fel. Skriv sedan ner vad som hänt, vilka uppgifter och hur många personer det gäller och när ni upptäckte det, eftersom fristen för anmälan till IMY räknas därifrån och anmälan ska göras senast tre dygn efter upptäckten om händelsen innebär en risk för de berörda. Innebär den en hög risk ska även de drabbade informeras, så att de kan byta lösenord eller vara vaksamma på bedrägerier. Dokumentera alla incidenter, även de som inte behöver anmälas.
Ja, det är normalt att skriva namn och adresser i mejl, men en adress som fornamn.efternamn@foretaget.se är en personuppgift medan info@ inte är det. Risken ligger i utskicken: ett mejl till många kunder med alla adresser synliga i Kopia röjer hela kundlistan, så använd Hemlig kopia eller ett verktyg för utskick. Lämna inte ut en kollegas eller kunds adress till någon annan utan skäl, och skicka aldrig personnummer, sjukintyg eller andra känsliga uppgifter i ett vanligt okrypterat mejl. Många licenser av Microsoft 365 kan kryptera enskilda mejl, och det är värt att slå på för personal och ekonomi.
Med en GDPR-besiktning från DAX IT får ni en tydlig genomlysning av nuläget — och kan identifiera riskerna innan de blir kostsamma problem.
