Vad är GDPR och vad innebär det i praktiken?

Publicerad 11 maj 2026

GDPR har funnits i flera år. De flesta organisationer känner till regelverket. Ändå är det många som fastnar i samma fråga. Hur gör vi i praktiken?

 

– GDPR har ju blivit lite missförstådd sedan den kom. Och ibland kan det finnas en bild av att det är ett förbud mot att behandla personuppgifter. Men så är det faktiskt inte, säger Ann-Kristin Kurvinen, dataskyddskonsult och föreläsare på kursen Operativt dataskydd.

 

Vad är GDPR och vad är syftet?

GDPR (General Data Protection Regulation) är EU:s dataskyddsförordning och gäller i hela EU. Den styr hur organisationer får behandla personuppgifter, alltså all information som kan kopplas till en identifierbar person. På svensk nivå finns en grundlagsstadgad rätt till skydd för den personliga integriteten i samband med behandling av personuppgifter i regeringsformen. 

 

– Organisationer måste vidta vissa åtgärder för att skydda sina registrerade och deras personuppgifter så att de inte kommer obehöriga till handa.

 

Syftet är att skydda enskildas grundläggande rättigheter och friheter. För organisationer innebär det att kunna visa hur och varför personuppgifter behandlas, och att det görs på ett säkert sätt.

 

Varför är GDPR svårt i praktiken?

Många har koll på begreppen. Färre har tydliga arbetssätt.

 

– Det är många som känner till regelverket. Det som är väldigt svårt för många är att omsätta det här i konkreta situationer. Hur ska vi faktiskt göra?

 

Det är ofta här det brister. Mellan policy och verklighet.

 

Vanliga misstag i GDPR-arbetet

När GDPR ska tillämpas i vardagen uppstår ofta samma typer av problem.

 

– En vanlig fallgrop är att man använder sig av samtycke som laglig grund. Fast det kanske inte alltid ska vara samtycke.

 

Att välja rätt laglig grund är centralt. En annan utmaning handlar om transparens.

 

– Att man inte är tillräckligt tydlig med hur personuppgifterna behandlas. När de raderas. Eller om det finns fler mottagare.

 

Det förekommer också att uppgifter används utanför sitt ursprungliga syfte.

 

– Alltså att personuppgifter behandlas mer än det ändamål de samlades in för.

 

”Det som är väldigt svårt för många är att omsätta det här i konkreta situationer. Hur ska vi faktiskt göra?” 

 

Vad behöver vara på plats?

För att arbeta enligt GDPR krävs några grundläggande saker.

 

– Det är väldigt bra att tänka till i dataskyddsarbetet så att man har information på plats. Man säkerställer rätt laglig grund. Och att man tänker på vilket ändamål man samlade in personuppgifterna för.

 

Det handlar om att kunna svara på enkla men avgörande frågor:

• Varför samlar vi in uppgifterna?

• Vilken laglig grund har vi?

• Hur länge sparas de?

• Vem har tillgång till dem?

 

Läs mer om Operativt dataskydd – GDPR i praktiken här

 

Vad händer om man inte följer GDPR?

Bristande dataskydd kan få konkreta konsekvenser.

 

– I värsta fall kan det leda till en tillsyn. Och det kan resultera i negativa konsekvenser för organisationen.

 

Det kan också innebära att organisationen saknar svar när frågor uppstår från de registrerade.

 

FAQ: Vanliga frågor om GDPR

Är GDPR ett förbud mot att använda personuppgifter?

Nej. GDPR förbjuder inte behandling av personuppgifter, men ställer krav på hur de hanteras.

Vad är en laglig grund enligt GDPR?

Det är den juridiska grunden som krävs för att få behandla personuppgifter, till exempel rättslig förpliktelse eller berättigat intresse.

När ska man använda samtycke?

Endast när det verkligen är frivilligt och möjligt att återkalla. I många fall finns andra, mer lämpliga grunder.

Vad innebär transparens i GDPR?

Att tydligt informera om hur och varför personuppgifter behandlas, hur länge de sparas och vilka som tar del av dem.

Vilka är grundprinciperna i GDPR?

• Laglighet, korrekthet och öppenhet

• Ändamålsbegränsning

• Uppgiftsminimering

• Riktighet

• Lagringsminimering

• Integritet och konfidentialitet

• Ansvarsskyldighet 

 

Vill du arbeta mer konkret med hur GDPR omsätts i vardagen?

 

Ann-Kristin Kurvinen är kursledare för utbildningen Operativt dataskydd – GDPR i praktiken, där fokus ligger på att gå från regelverk till faktiskt arbetssätt.