Integritetspolicy Sverige (GDPR-kompatibel)

En Integritetspolicy i Sverige är ett juridiskt obligatoriskt informationsdokument som varje personuppgiftsansvarig ska tillhandahålla till registrerade enligt artiklarna 13 och 14 i Europaparlamentets och rådets förordning (EU) 2016/679 (GDPR). Dokumentet kompletteras av lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen), lag (2003:389) om elektronisk kommunikation (LEK) för cookies och spårningstekniker samt sektorsspecifik svensk lagstiftning. Varje organisation som behandlar personuppgifter om personer i Sverige - oavsett om det sker via webbplats, mobilapplikation, kundförhållande, anställning eller annan kontext - måste tillhandahålla en transparent, kortfattad och lättillgänglig integritetspolicy.

Artikel 13 GDPR räknar upp de obligatoriska upplysningar som ska kommuniceras till den registrerade vid insamlingstillfället: identitet och kontaktuppgifter för personuppgiftsansvarig, kontaktuppgifter för dataskyddsombud (DPO) om sådant utsetts, ändamål och rättslig grund (artikel 6 GDPR) för varje behandlingsaktivitet, kategorier av personuppgifter som behandlas, mottagare eller kategorier av mottagare till vilka uppgifter delas, överföring till tredje land utanför EU/EES med tillämpliga skyddsåtgärder enligt artiklarna 44 till 49 GDPR, lagringsperioder eller kriterier för fastställande, samt den registrerades rättigheter enligt artiklarna 15 till 22 GDPR. Artikel 14 GDPR tillämpas när uppgifterna har samlats in från annan källa än den registrerade, med kompletterande informationskrav om uppgiftens ursprung.

Lag (2018:218) kompletterar GDPR med Sverige-specifika bestämmelser. Lagen innehåller bland annat regler om Integritetsskyddsmyndigheten (IMY) som tillsynsmyndighet enligt artikel 51 GDPR (7 kap. 1 §), klagomålsrätten enligt artikel 77 GDPR (7 kap. 2 §), överklagandeordningen vid Förvaltningsrätten i Stockholm (7 kap. 4 §), behandling för forskning, statistik och arkivändamål samt skadeståndsregler enligt artikel 82 GDPR. För sektoriellt fall gäller dessutom patientdatalagen (2008:355) för sjukvård, socialtjänstlagen (2001:453) för socialtjänst, brottsdatalagen (2018:1177) för brottsbekämpning samt offentlighets- och sekretesslagen (2009:400) för myndigheter.

Lag (2003:389) om elektronisk kommunikation (LEK) implementerar ePrivacy-direktivet 2002/58/EG. Enligt 6 kap. 18 § LEK krävs för annat än strikt nödvändiga cookies användarens informerade samtycke innan lagring eller åtkomst till information på terminalutrustning. Detta tillämpas på cookies, lokal lagring (localStorage, sessionStorage), pixlar, fingeravtryck och liknande tekniker. Integritetsskyddsmyndigheten (IMY) övervakar efterlevnaden tillsammans med Post- och telestyrelsen (PTS). Den planerade ePrivacy-förordningen, som ska ersätta direktivet, har dröjt och förväntas träda i kraft tidigast under 2026 eller 2027.

Integritetsskyddsmyndigheten (IMY), tidigare Datainspektionen fram till år 2021, utövar tillsyn enligt artikel 51 GDPR. Myndigheten har sitt kontor på Drottninggatan 29, 111 51 Stockholm, och kan kontaktas via [email protected] eller telefon 08-657 61 00. Vid överträdelser kan IMY besluta om administrativa sanktionsavgifter enligt artikel 83 GDPR på upp till 20 miljoner euro eller fyra procent av den globala årsomsättningen. Större svenska företag som Spotify, Klarna Bank, Sveriges Television, Spendrups och fler har historiskt sett mottagit IMY-beslut med sanktionsavgifter eller förelägganden. Förvaltningsrätten i Stockholm är första instans för överklagande av IMY:s beslut enligt 7 kap. 4 § dataskyddslagen, vidare till Kammarrätten i Stockholm och slutligen Högsta förvaltningsdomstolen vid prövningstillstånd.

Integritetspolicyn skiljer sig från fyra angränsande dokument. För det första från användarvillkor som reglerar avtalsförhållandet mellan tjänsteleverantör och användare, inklusive ansvarsbegränsning, immaterialrätt och konfliktlösning, men som inte fokuserar på personuppgifter. För det andra från cookiepolicy som specifikt beskriver vilka cookies och spårningstekniker som används samt hur samtycke hanteras enligt LEK och ePrivacy-direktivet. För det tredje från personuppgiftsbiträdesavtal enligt artikel 28 GDPR som reglerar förhållandet mellan personuppgiftsansvarig och personuppgiftsbiträden (IT-leverantörer, hosting, marknadsföringsbyråer). För det fjärde från intern dataskyddspolicy som beskriver internt arbete med GDPR-efterlevnad och inte är avsedd för externa registrerade.

Vid utformning av integritetspolicy är följande principer enligt artikel 12.1 GDPR centrala: transparens (klar och tydlig formulering), tillgänglighet (lätt att hitta på webbplatsen, vanligen i sidfot eller dedicerad sida), tillgänglig form (anpassad för olika målgrupper inklusive barn där relevant), aktuellt innehåll (uppdaterad vid förändringar) samt språk anpassat för målgruppen (svenska för svensktalande användare, eventuellt även engelska för internationella besökare). Integritetspolicyn bör vara tillgänglig vid varje insamlingstillfälle - vid registrering, vid beställning, vid nyhetsbrevsanmälan - och inte krävas läst som villkor för fortsatt användning.

En Integritetspolicy i Sverige krävs i en rad olika verksamheter och situationer där personuppgifter behandlas. Nedan beskrivs centrala scenarion där integritetspolicy enligt GDPR och svensk lag är obligatorisk eller starkt rekommenderad.

E-handel och webbutiker. Företag som driver webbutiker via plattformar som Shopify, WooCommerce, Magento eller egna lösningar måste tillhandahålla integritetspolicy enligt artiklarna 13 och 14 GDPR. Större svenska aktörer som Boozt, NetOnNet, Elgiganten, ICA, Coop, H&M, IKEA och Stadium har omfattande integritetspolicys. Konsumentköplagen (2022:260), distansavtalslagen (2005:59) och marknadsföringslagen (2008:486) tillämpas parallellt med GDPR. Vid hantering av betalningsuppgifter gäller dessutom Lag (2010:751) om betaltjänster samt PCI DSS-standarden för kortdata.

Professionella tjänster och konsulter. Advokatbyråer, revisionsbyråer, rådgivningskonsulter, IT-konsultföretag, fastighetsmäklare och övriga professionella tjänsteleverantörer behandlar personuppgifter om klienter och anställda. Vid advokattjänst gäller Advokatsamfundets vägledande regler samt advokatsekretess som kompletterar GDPR. Vid revisionsbyråer gäller revisorslagen (2001:883) med särskilda bevarandetider. Vid fastighetsmäklare gäller fastighetsmäklarlagen (2021:516). Integritetspolicy bör vara tillgänglig på företagets hemsida samt levereras vid avtalsstart.

Mobilapplikationer. Appar som distribueras via App Store, Google Play eller andra appbutiker omfattas av GDPR vid behandling av användardata. Stora svenska appar som Swish, BankID, 1177 Vårdguiden, SL och Spotify har detaljerade integritetspolicys. Vid hälsoappar gäller patientdatalagen (2008:355) parallellt. Vid finansappar gäller lag (2014:484) om en databas för övervakning av och tillsyn över finansmarknaderna samt lag (2017:630) om åtgärder mot penningtvätt. Apputvecklare måste även följa appbutikernas integritetsregler (Apple App Store Review Guidelines, Google Play Developer Distribution Agreement).

Marknadsföring och kommunikation. Företag som bedriver direkt marknadsföring via e-post, sms, post eller telefon måste informera om denna behandling. Marknadsföringslagen (2008:486) och LEK 6 kap. 19 § kräver samtycke för e-post- och sms-utskick. Vid samtyckesbaserade nyhetsbrev krävs konkret information om hur samtycke ges, hur det kan återkallas och vilka kategorier av utskick som ingår. Sociala medie-marknadsföring via Facebook, Instagram, LinkedIn och TikTok kräver beskrivning av pixlar, retargeting och samkörd persondata.

Företagswebbplatser med kontaktformulär. Selv mindre webbplatser med endast kontaktformulär eller nyhetsbrevsanmälan måste ha integritetspolicy enligt artikel 13 GDPR. Detta gäller hantverkare, restauranger, fysiska butiker med webbnärvaro, lokala tjänsteleverantörer och frilansare. Vid mycket små organisationer kan policyn vara kortare, men måste fortfarande täcka grundläggande informationskrav. Sveriges Företagares webbplats erbjuder vägledning för småföretagare.

Myndigheter, kommuner och regioner. Statliga myndigheter, kommuner, regioner och övriga organ som utför uppgifter på uppdrag av det allmänna är personuppgiftsansvariga. Integritetspolicy ska finnas tillgänglig på myndighetens hemsida med information om behandling, rättslig grund (vanligen artikel 6.1.c eller 6.1.e GDPR), registrerades rättigheter och eskalering. Offentlighets- och sekretesslagen (2009:400) och arkivlagen (1990:782) ger ytterligare ramverk. Större myndigheter som Försäkringskassan, Skatteverket, Migrationsverket och Polismyndigheten har sektorsspecifika integritetspolicys. Kommuner och regioner ofta har egna policys. Förvaltningslagen (2017:900) tillämpas parallellt.

Föreningar, ideella organisationer och stiftelser. Idrottsföreningar, religiösa samfund, kulturella föreningar och stiftelser som behandlar personuppgifter om medlemmar, deltagare eller donatorer omfattas av GDPR. Riksidrottsförbundet (RF) erbjuder vägledning för idrottsföreningar. Stora svenska föreningar som Cancerfonden, UNICEF Sverige, Röda Korset och Svenska kyrkan har detaljerade integritetspolicys. För religiösa samfund och politiska partier kan känsliga personuppgifter (religiös övertygelse, politisk åsikt) behandlas under särskilda villkor enligt artikel 9 GDPR.

Utbildningsinstitutioner. Universitet, högskolor och övriga utbildningsinstitutioner behandlar personuppgifter om studenter, forskare och anställda. Stockholms universitet, Uppsala universitet, Lunds universitet, Karolinska Institutet och Kungliga Tekniska högskolan har omfattande integritetspolicys. Skollagen (2010:800) tillämpas parallellt för grund- och gymnasieskolor. Universitetskanslersämbetet (UKÄ) granskar högre utbildning.

Fastighetsbranschen. Bostadsrättsföreningar, hyresvärdar, fastighetsmäklare och bostadsförvaltningsföretag behandlar personuppgifter om hyresgäster, köpare och säljare. Bostadsrättslagen (1991:614), hyreslagen (jordabalken kap. 12) och fastighetsmäklarlagen (2021:516) tillämpas parallellt med GDPR. Sveriges Allmännyttiga Bostadsföretag (SABO) och Fastighetsägarna erbjuder vägledning för medlemsföretag.

Media, tidningar och förlag. Tidningar, magasin, förlag och övriga mediahus behandlar personuppgifter om läsare, prenumeranter och källor. Tryckfrihetsförordningen och yttrandefrihetsgrundlagen ger journalistisk verksamhet särskilt skydd som kan undanta från vissa GDPR-bestämmelser enligt 1 kap. 7 § dataskyddslagen. Bonnier News, Schibsted Sverige och övriga stora mediahus har detaljerade integritetspolicys.

En giltig Integritetspolicy i Sverige bör innehålla följande element för att uppfylla informationskraven enligt artiklarna 13 och 14 GDPR samt övrig tillämplig svensk lagstiftning.

Identifiering av personuppgiftsansvarig. Fullständigt företagsnamn enligt Bolagsverkets register, organisationsnummer (tio siffror enligt lag (1974:174) om identitetsbeteckning för juridiska personer), företagets registrerade adress samt kontaktuppgifter för integritetsfrågor (e-post, telefonnummer). Vid koncerner anges koncernmodersbolaget och eventuella dotterbolag som omfattas. Vid utländska företag med svensk verksamhet ska företagets ombud i EU enligt artikel 27 GDPR också anges.

Kontaktuppgifter för dataskyddsombud. Om dataskyddsombud (Data Protection Officer, DPO) har utsetts enligt artikel 37 GDPR ska kontaktuppgifter anges (e-post, eventuellt telefonnummer). DPO är obligatoriskt för myndigheter samt vissa privata organisationer med storskalig systematisk övervakning eller storskalig behandling av särskilda kategorier av uppgifter enligt artikel 9 GDPR. Vid frivilligt utsedd DPO kan funktionsbeteckning anges utan personnamn. DPO är direkt kontaktbar vid GDPR-relaterade frågor enligt artikel 38.4 GDPR.

Kategorier av personuppgifter. Konkret beskrivning av vilka kategorier av personuppgifter som behandlas. Vanliga kategorier inkluderar kontaktuppgifter (namn, adress, e-post, telefon), identifikationsuppgifter (personnummer i format ÅÅÅÅMMDD-XXXX enligt folkbokföringslagen (1991:481)), faktureringsuppgifter, betalningsuppgifter, beställningsuppgifter, kommunikationshistorik, IP-adress och tekniska data (enhet, webbläsare, operativsystem), kakdata och spårningsuppgifter, prestationsdata vid anställning, hälsouppgifter vid sjukvård. Vid känsliga personuppgifter enligt artikel 9 GDPR (hälsa, ras, politisk åsikt, religion, biometriska uppgifter) ska detta särskilt markeras med rättslig grund.

Ändamål med behandlingen. Konkreta ändamål för varje typ av behandling. Vanliga ändamål inkluderar fullgörande av avtal (kundförhållande, leverans), administrativa rutiner (fakturering, bokföring), marknadsföring (nyhetsbrev, riktade annonser), analys och förbättring av tjänsten, kundsupport och tvistlösning, säkerhet och bedrägeribekämpning, rättsliga skyldigheter (bokföring, skatt, AML/KYC). Varje ändamål ska kopplas till rätt rättslig grund.

Rättsliga grunder enligt artikel 6 GDPR. För varje ändamål anges en eller flera rättsliga grunder. (a) Samtycke (artikel 6.1.a) för nyhetsbrev, marknadsföring och frivilliga funktioner. (b) Avtal (artikel 6.1.b) för kundförhållande, leverans och betalning. (c) Rättslig förpliktelse (artikel 6.1.c) för bokföring enligt bokföringslagen (1999:1078), skattekrav enligt skatteförfarandelagen (2011:1244), AML-krav enligt lag (2017:630) om åtgärder mot penningtvätt. (d) Grundläggande intressen (artikel 6.1.d) i sällsynta fall. (e) Allmänt intresse (artikel 6.1.e) för myndigheter och vissa offentliga uppgifter. (f) Berättigat intresse (artikel 6.1.f) för marknadsföring, analys, säkerhet och bedrägeribekämpning, efter intresseavvägning. Vid känsliga uppgifter enligt artikel 9 GDPR krävs grund enligt artikel 9.2.

Mottagare av personuppgifter. Kategorier av mottagare som personuppgifter delas med. Vanliga mottagare inkluderar personuppgiftsbiträden under personuppgiftsbiträdesavtal enligt artikel 28 GDPR (IT-leverantörer, hosting hos Amazon AWS eller Microsoft Azure, e-postutskickstjänster som Mailchimp eller Klaviyo, betaltjänster som Klarna eller Stripe), banker och kortinlösen, myndigheter vid lagstadgad rapporteringsplikt, koncernbolag enligt aktiebolagslagen (2005:551) 1 kap. 11 §, professionella rådgivare (advokater, revisorer). Vid varje mottagare anges syftet med delning samt eventuella skyddsåtgärder vid tredjeland.

Överföring till tredje land. Vid överföring av personuppgifter utanför EU/EES ska tillämpliga skyddsåtgärder enligt artiklarna 44 till 49 GDPR anges. Vanliga skyddsåtgärder inkluderar standardavtalsklausuler antagna av EU-kommissionen genom beslut (EU) 2021/914, bindande företagsregler (BCR) enligt artikel 47 GDPR, adekvansbeslut enligt artikel 45 GDPR (USA via EU-US Data Privacy Framework, Storbritannien, Schweiz, Japan). Efter Schrems II-domen (EU-domstolen mål C-311/18 av den 16 juli 2020) krävs dessutom kompletterande tekniska och organisatoriska åtgärder vid överföring till USA.

Lagringstider. Konkreta lagringstider för olika kategorier av uppgifter. Bokföringsuppgifter lagras sju år enligt bokföringslagen (1999:1078) 7 kap. 2 §. Avtalshandlingar lagras under preskriptionstiden tio år enligt preskriptionslagen (1981:130). Konsumentfordringar lagras tre år enligt konsumentköplagen (2022:260). Anställningsuppgifter lagras enligt arbetsrättsliga bevarandetider. Marknadsföringsdata lagras tills samtycke återkallas eller tre år efter senaste interaktion. Cookies lagras enligt cookiepolicy. Efter angiven tid raderas eller anonymiseras uppgifterna.

Registrerades rättigheter enligt artiklarna 15 till 22 GDPR. Komplett uppräkning av samtliga rättigheter med hänvisning till relevant artikel. Rätten till information (art. 13-14), rätten till tillgång (art. 15), rätten till rättelse (art. 16), rätten till radering (art. 17), rätten till begränsning (art. 18), rätten till dataportabilitet (art. 20), rätten att invända (art. 21), rätten att inte bli föremål för automatiserat beslutsfattande (art. 22), rätten att återkalla samtycke (art. 7.3), rätten att inge klagomål till tillsynsmyndighet (art. 77). Konkreta instruktioner för att utöva rättigheter (e-postadress, formulär, postadress).

Cookies och spårningstekniker. Avsnitt om cookies enligt 6 kap. 18 § lag (2003:389) om elektronisk kommunikation (LEK) som implementerar ePrivacy-direktivet 2002/58/EG. Beskrivning av typer av cookies (strikt nödvändiga, statistik, marknadsföring, tredjeparts), syften, varaktighet samt hur samtycke samlas in och hanteras. Hänvisning till cookieinställningssida eller cookie banner. Vid Google Analytics, Facebook Pixel eller liknande tredjepartscookies anges leverantörer och syfte. På forms-legal.com finns även mallar för GDPR-begäran om Registerutdrag, GDPR-begäran om Radering och relaterade integritetsdokument enligt svensk rätt.

Säkerhetsåtgärder. Beskrivning av tekniska och organisatoriska säkerhetsåtgärder enligt artikel 32 GDPR. Vanliga åtgärder inkluderar kryptering (SSL/TLS för dataöverföring, AES-256 för lagring), åtkomstkontroll med behörighetsstyrning, tvåfaktorsautentisering, regelbunden säkerhetstestning och penetrationstester, säkerhetskopiering och katastrofplaner, utbildning av personal, processer för anmälan av personuppgiftsincidenter (datalack) enligt artikel 33 GDPR inom 72 timmar till IMY och vid risk för registrerade enligt artikel 34 GDPR.

Klagomål och eskalering. Konkreta instruktioner för att framföra klagomål. Steg ett: kontakta personuppgiftsansvarig eller DPO direkt. Steg två: inge klagomål till Integritetsskyddsmyndigheten (IMY) på Drottninggatan 29, 111 51 Stockholm, [email protected] eller telefon 08-657 61 00. Steg tre: rättslig prövning enligt artikel 79 GDPR och eventuellt skadestånd enligt artikel 82 GDPR. Förvaltningsrätten i Stockholm är första instans för överklagande av IMY:s beslut.

Updateringar och version. Datum för senaste uppdatering, version eller revisionsnummer. Information om hur ändringar i policyn kommuniceras till registrerade (e-post, webbplatsannouncement, banner). Vid väsentliga ändringar i behandlingen krävs i vissa fall nytt samtycke från registrerade.

En Integritetspolicy i Sverige fylls i genom följande steg som säkerställer korrekt utformning enligt artiklarna 13 och 14 GDPR samt övrig svensk lagstiftning.

Steg 1 - Identifiera personuppgiftsansvarig. Fyll i företagets fullständiga namn enligt Bolagsverkets register, organisationsnummer (tio siffror), registrerad adress samt kontakt-e-post för integritetsfrågor. Vid koncern ange moder- och dotterbolag. Bolagsverkets webbplats bolagsverket.se ger sökning på företagsuppgifter. Vid utländska företag med svensk verksamhet ange EU-ombud enligt artikel 27 GDPR.

Steg 2 - Bedöm behov av dataskyddsombud. Granska om dataskyddsombud (DPO) krävs enligt artikel 37 GDPR. DPO är obligatoriskt för myndigheter samt privata organisationer som har som kärnverksamhet storskalig systematisk övervakning av registrerade eller storskalig behandling av särskilda kategorier av uppgifter (hälsa, biometriska data, känsliga uppgifter). Vid utsedd DPO ange namn eller funktionsbeteckning och kontakt-e-post. Vid frivilligt utsedd DPO kan funktionsnamnet 'Dataskyddsombudet' användas utan personnamn.

Steg 3 - Beskriv webbplats och syften. Ange webbplatsens domännamn och huvudsakliga syfte (e-handel, tjänsteleverans, kundkonton, marknadsföring). Tydligt beskriva vilka tjänster som tillhandahålls och vilka målgrupper som riktas. Detta sätter ramen för efterföljande beskrivning av personuppgiftsbehandling.

Steg 4 - Lista kategorier av personuppgifter. Beskriv konkret vilka kategorier av personuppgifter som webbplatsen samlar in. Exempel: 'Kontaktuppgifter (namn, adress, e-post, telefon), beställningsuppgifter (vara, mängd, leveransadress), betalningsuppgifter (kortnummer hanteras av betaltjänstleverantör Klarna eller Stripe), IP-adress och tekniska data (webbläsare, operativsystem), kakdata, kommunikationshistorik vid kundsupport, konto- och inloggningsuppgifter, beteendedata via Google Analytics i anonymiserad form.' Var konkret men inte uttömmande - 'och liknande' undanröjer behov av uppdatering vid mindre justeringar.

Steg 5 - Ange rättsliga grunder enligt artikel 6 GDPR. För varje ändamål ange en eller flera rättsliga grunder. Vanliga kopplingar: kundförhållande och leverans = avtal (art. 6.1.b); nyhetsbrev = samtycke (art. 6.1.a); bokföring och skatt = rättslig förpliktelse (art. 6.1.c); marknadsföring och analys = berättigat intresse (art. 6.1.f); säkerhet och bedrägeribekämpning = berättigat intresse (art. 6.1.f). Vid känsliga uppgifter enligt artikel 9 GDPR (hälsa, biometriska data) krävs grund enligt artikel 9.2 (vanligen samtycke 9.2.a eller rättslig förpliktelse 9.2.b).

Steg 6 - Definiera lagringstider. Ange konkreta lagringstider för olika kategorier. Bokföringsuppgifter sju år enligt bokföringslagen (1999:1078) 7 kap. 2 §. Avtalshandlingar tio år enligt preskriptionslagen (1981:130). Konsumentfordringar tre år enligt konsumentköplagen (2022:260). Anställningsuppgifter enligt arbetsrättsliga bevarandetider. Marknadsföringsdata tills återkallat samtycke eller tre år efter senaste interaktion. Cookies enligt cookiepolicy (sessionscookies, 30 dagar, 12 månader, 24 månader beroende på typ). Efter angiven tid raderas eller anonymiseras uppgifter.

Steg 7 - Lista mottagare av personuppgifter. Beskriv kategorier av mottagare. Vanliga mottagare: personuppgiftsbiträden (IT-leverantörer som Amazon AWS, Microsoft Azure, Google Cloud; e-postutskickstjänster som Mailchimp, Klaviyo, SendGrid; CRM-system som Salesforce, HubSpot; analyssystem som Google Analytics, Hotjar; betaltjänster som Klarna, Stripe, Adyen, Swish), banker och kortinlösen, myndigheter (Skatteverket, Polismyndigheten, Domstolsverket), koncernbolag enligt aktiebolagslagen (2005:551) 1 kap. 11 §, professionella rådgivare (advokater, revisorer). Vid varje mottagare ange syftet med delning.

Steg 8 - Hantera tredje land. Vid överföring utanför EU/EES ange tillämpliga skyddsåtgärder. Standardavtalsklausuler antagna av EU-kommissionen genom beslut (EU) 2021/914 är vanligast. Vid USA-baserade tjänsteleverantörer (Google, Microsoft, AWS, Salesforce) ange dessutom EU-US Data Privacy Framework som adekvansbeslut samt eventuella kompletterande åtgärder efter Schrems II-domen. Vid större koncerner med globala verksamheter kan bindande företagsregler (BCR) enligt artikel 47 GDPR komma ifråga.

Steg 9 - Lista registrerades rättigheter. Komplett uppräkning av samtliga rättigheter enligt artiklarna 15 till 22 GDPR med hänvisning till relevant artikel. Konkreta instruktioner för att utöva rättigheter: 'För att utöva rättigheter kontakta oss via [email protected]. Vi besvarar din begäran utan onödigt dröjsmål och senast inom en månad enligt artikel 12.3 GDPR.' Hänvisa även till klagomålsrätten till Integritetsskyddsmyndigheten (IMY) enligt artikel 77 GDPR och rätten till effektivt rättsmedel enligt artikel 79 GDPR.

Steg 10 - Säkerhetsåtgärder, cookies, klagomål och version. Beskriv tekniska och organisatoriska säkerhetsåtgärder enligt artikel 32 GDPR (kryptering, åtkomstkontroll, tvåfaktorsautentisering, säkerhetstestning, säkerhetskopiering, utbildning, datalackshantering enligt artiklarna 33 och 34 GDPR). Avsnitt om cookies enligt 6 kap. 18 § LEK med beskrivning av typer, syften, varaktighet och samtyckehantering. Avsnitt om klagomål med kontaktuppgifter till IMY (Drottninggatan 29, 111 51 Stockholm, [email protected], telefon 08-657 61 00) och eskalering till Förvaltningsrätten i Stockholm. Datum för senaste uppdatering. Publicera på webbplatsen i sidfot eller på dedikerad sida som är lättillgänglig från varje sida.

En Integritetspolicy i Sverige är underkastad en omfattande uppsättning rättsliga krav från EU-rätt, svensk lag och tillsynsmyndigheters vägledning.

Grundläggande EU-rättslig grund. Europaparlamentets och rådets förordning (EU) 2016/679 (GDPR) trädde i kraft den 25 maj 2018 och är direkt tillämplig i samtliga EU:s medlemsstater enligt artikel 288 i fördraget om Europeiska unionens funktionssätt (FEUF). Artiklarna 13 och 14 GDPR specificerar informationskraven vid insamling av personuppgifter direkt från den registrerade respektive från annan källa. Artikel 12 GDPR kräver att informationen tillhandahålls i en koncis, transparent, lättförståelig och lättillgänglig form med klart och enkelt språk, särskilt vid information riktad till barn.

Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Trädde i kraft den 25 maj 2018 samtidigt som GDPR. Lagen innehåller bestämmelser om Integritetsskyddsmyndigheten (IMY) som tillsynsmyndighet enligt artikel 51 GDPR (7 kap. 1 §), klagomålsrätten enligt artikel 77 GDPR (7 kap. 2 §), överklagandeordningen vid Förvaltningsrätten i Stockholm (7 kap. 4 §), behandling av personuppgifter inom forskning, statistik och arkiv samt skadeståndsregler enligt artikel 82 GDPR.

Lag (2003:389) om elektronisk kommunikation (LEK). Implementerar ePrivacy-direktivet 2002/58/EG om integritet och elektronisk kommunikation. Centrala bestämmelser för integritetspolicy är 6 kap. 18 § om cookies och liknande spårningstekniker som kräver användarens informerade samtycke för annat än strikt nödvändiga cookies, samt 6 kap. 19 § om obeställd elektronisk post (spam) som kräver samtycke för marknadsföring via e-post och sms. Post- och telestyrelsen (PTS) övervakar LEK tillsammans med Integritetsskyddsmyndigheten (IMY). Den planerade ePrivacy-förordningen ska ersätta direktivet men har dröjt och förväntas träda i kraft tidigast under 2026 eller 2027.

Marknadsföringslagen (2008:486). Reglerar marknadsföringsåtgärder och tillämpas parallellt med GDPR vid samtyckesbaserad marknadsföring. Lagen kräver att marknadsföring ska följa god marknadsföringsetik och inte vara vilseledande. Vid direktmarknadsföring krävs informerat samtycke som kan återkallas. Konsumentverket och Konsumentombudsmannen (KO) övervakar marknadsföringslagen.

Konsumentköplagen (2022:260) och distansavtalslagen (2005:59). Tillämpas vid e-handel och kundförhållande med konsumenter. Lagen kräver tydlig information om köpeskilling, leverans, ångerrätt (14 dagar för distansavtal) samt kontaktuppgifter. Integritetspolicyn ska kompletteras av användarvillkor som täcker avtalsförhållandet. Allmänna reklamationsnämnden (ARN) prövar konsumenttvister enligt lag (2015:671) om alternativ tvistlösning.

Bokföringslagen (1999:1078) och skatteförfarandelagen (2011:1244). Tillämpas vid företagsbehandling av personuppgifter med rättslig grund i rättslig förpliktelse enligt artikel 6.1.c GDPR. Bokföringslagen 7 kap. 2 § kräver bevarande av räkenskapsinformation i sju år efter räkenskapsårets utgång. Skatteförfarandelagen ställer krav på skatterapportering. Skatteverket tillämpar dessa regler.

Lag (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism (penningtvättslagen). Tillämpas vid banker, försäkringsbolag, fastighetsmäklare, advokater, revisorer och övriga verksamhetsutövare. Lagen implementerar EU:s penningtvättsdirektiv och kräver kundkännedom (KYC), uppföljning och rapportering av misstänkta transaktioner. Vid sådan behandling krävs särskild beskrivning i integritetspolicyn med rättslig grund i artikel 6.1.c GDPR.

Kategorier av särskilda uppgifter enligt artikel 9 GDPR. Vid behandling av särskilda kategorier (ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, fackföreningstillhörighet, genetiska data, biometriska data, hälsouppgifter, sexuell läggning) krävs grund enligt artikel 9.2. Vanliga grunder är samtycke (9.2.a), rättslig förpliktelse (9.2.b), grundläggande intressen (9.2.c), behandling inom ramen för stiftelser och föreningar (9.2.d) eller folkhälsoändamål (9.2.h-i). Integritetspolicyn ska tydligt markera sådana kategorier och rättslig grund.

Uppgifter om barn enligt artikel 8 GDPR. Vid samtyckesbaserad behandling av personuppgifter om barn under 13 år enligt 5 § dataskyddslagen krävs samtycke från vårdnadshavare. Integritetspolicyn ska beskriva detta särskilt om tjänsten riktas till barn. Vid spelplattformar, utbildningsappar och liknande tjänster måste särskilda åtgärder vidtas. Sveriges Konsumentverk och Barnombudsmannen erbjuder vägledning.

Automatiserat beslutsfattande och profilering enligt artikel 22 GDPR. Vid beslut som enbart vilar på automatiserad behandling, inklusive profilering, som har rättsliga eller liknande betydande följder för den registrerade, ska den registrerade informeras särskilt. Vanliga exempel är kreditbedömning, prisindividualisering och försäkringsbedömning. Integritetspolicyn ska beskriva sådan behandling med meningsfull information om logiken samt betydelsen och de förväntade följderna.

Gränsöverskridande överföring enligt artiklarna 44 till 49 GDPR. Vid överföring till tredje land utanför EU/EES krävs tillämpliga skyddsåtgärder. Adekvansbeslut enligt artikel 45 (USA via EU-US Data Privacy Framework, Storbritannien, Schweiz, Japan, Sydkorea, Kanada med begränsningar). Standardavtalsklausuler enligt beslut (EU) 2021/914. Bindande företagsregler enligt artikel 47 GDPR. Efter Schrems II-domen från EU-domstolen (mål C-311/18 av den 16 juli 2020) krävs dessutom kompletterande tekniska och organisatoriska åtgärder vid överföring till USA.

Personuppgiftsbiträdesavtal enligt artikel 28 GDPR. Vid anlitande av personuppgiftsbiträden (IT-leverantörer, hosting, e-postutskickstjänster, betaltjänster) ska skriftligt avtal upprättas som täcker biträdets skyldigheter enligt artikel 28.3 GDPR. Avtalet är inte del av integritetspolicyn men måste finnas separat. Integritetspolicyn beskriver dock kategorier av biträden och syftet med delning.

Datalackshantering enligt artiklarna 33 och 34 GDPR. Vid personuppgiftsincident (datalack) ska personuppgiftsansvarig anmäla incidenten till tillsynsmyndighet utan onödigt dröjsmål och senast inom 72 timmar enligt artikel 33 GDPR. Vid risk för registrerades rättigheter och friheter ska den registrerade informeras enligt artikel 34 GDPR. Integritetspolicyn bör beskriva incidenthanteringsprocesser översiktligt.

Konsekvensbedömning enligt artikel 35 GDPR (DPIA). Vid behandling som sannolikt leder till hög risk för registrerades rättigheter och friheter ska konsekvensbedömning utföras innan behandlingen påbörjas. Detta är obligatoriskt vid systematisk och omfattande utvärdering av personliga aspekter (automatiserat beslutsfattande), storskalig behandling av särskilda kategorier eller storskalig systematisk övervakning av allmänt tillgängliga platser.

Administrativa sanktionsavgifter enligt artikel 83 GDPR. Vid överträdelse av GDPR-bestämmelserna kan IMY besluta om sanktionsavgifter. Den lägre skalan enligt artikel 83.4 GDPR omfattar belopp på upp till 10 miljoner euro eller två procent av den globala årsomsättningen. Den högre skalan enligt artikel 83.5 GDPR omfattar belopp på upp till 20 miljoner euro eller fyra procent av den globala årsomsättningen. IMY beaktar omständigheter som överträdelsens art, allvar och varaktighet, antalet drabbade registrerade samt graden av skada vid sanktionsbeslutet.

Skadeståndsrätt enligt artikel 82 GDPR. Varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av GDPR har rätt till ersättning från personuppgiftsansvarig eller personuppgiftsbiträde. Enligt 7 kap. 1 § dataskyddslagen prövas skadeståndsanspråk av allmän domstol (tingsrätt, hovrätt, Högsta domstolen). EU-domstolen har i mål C-300/21 UI mot Österreichische Post AG av den 4 maj 2023 fastslagit att skadestånd för immateriell skada inte kräver att skadan överstiger viss tröskelnivå.

Följande misstag förekommer regelbundet vid utformning av Integritetspolicy i Sverige och kan leda till sanktioner från Integritetsskyddsmyndigheten (IMY) eller civilrättslig ansvarsexponering enligt artikel 82 GDPR.

Misstag 1 - För generell formulering. Att använda allmänna formuleringar som 'vi samlar in personuppgifter för att leverera var tjänst' utan konkreta kategorier, ändamål och rättsliga grunder strider mot transparensprincipen enligt artikel 12.1 GDPR. Integritetspolicyn ska vara konkret, kortfattad men uttömmande, lättförståelig och anpassad till målgruppen. Mall-baserade allmänna policys utan anpassning till den specifika verksamheten är ofta otillräckliga och kan leda till klagomål och sanktioner från IMY.

Misstag 2 - Saknad eller felaktig rättslig grund. Att inte ange rättslig grund enligt artikel 6 GDPR för varje ändamål eller att åberopa fel grund är vanliga problem. 'Samtycke' åberopas ofta felaktigt vid behandling som bör vila på avtal eller rättslig förpliktelse. Vid kundförhållande är avtal (artikel 6.1.b) korrekt grund, inte samtycke. Vid bokföring är rättslig förpliktelse (artikel 6.1.c) enligt bokföringslagen (1999:1078) korrekt grund. Vid marknadsföring är samtycke (artikel 6.1.a) eller berättigat intresse (artikel 6.1.f) tillämpliga, beroende på kanal och kontext. Felaktig rättslig grund kan leda till ogiltig behandling och sanktioner.

Misstag 3 - Saknat avsnitt om registrerades rättigheter. Att utelämna eller bristfälligt beskriva rättigheterna enligt artiklarna 15 till 22 GDPR är en allvarlig brist. Integritetspolicyn måste innehålla komplett uppräkning av rättigheter (tillgång, rättelse, radering, begränsning, dataportabilitet, invändning, ej automatiserat beslutsfattande, återkallat samtycke, klagomål till IMY) samt konkreta instruktioner för att utöva dem. Vag formulering som 'du har rättigheter' utan specificering är otillräcklig.

Misstag 4 - Bristfällig cookieinformation. Att inte beskriva cookies enligt 6 kap. 18 § lag (2003:389) om elektronisk kommunikation (LEK) eller endast nämna cookies utan typer, syften och varaktighet strider mot transparenskravet. Cookieinformation ska omfatta strikt nödvändiga cookies (tillåtna utan samtycke), statistik och analys (kräver samtycke), marknadsföring och personalisering (kräver samtycke), tredjepartscookies (Google, Facebook, LinkedIn) med leverantörer och syften. Cookie banner ska tillåta granulärt samtycke per kategori och möjliggöra återkallande.

Misstag 5 - Saknad eller felaktig hantering av tredje land. Vid överföring av personuppgifter till länder utanför EU/EES (USA via Google, Microsoft, AWS, Facebook; Storbritannien efter Brexit; Indien, Filippinerna för outsourcing) krävs tillämpliga skyddsåtgärder enligt artiklarna 44 till 49 GDPR. Att inte nämna sådan överföring eller att hänvisa till föråldrade mekanismer (Privacy Shield som ogiltigförklarades i Schrems II av den 16 juli 2020) är allvarliga brister. Aktuella mekanismer är standardavtalsklausuler enligt beslut (EU) 2021/914, EU-US Data Privacy Framework (för USA), bindande företagsregler enligt artikel 47.

Misstag 6 - Inaktuell information. Integritetspolicyn ska vara aktuell och spegla faktisk behandling. Vanliga inaktualiteter inkluderar: föråldrade kontaktuppgifter (gammal e-postadress, gamla telefonnummer, fel adress), inaktuella personuppgiftsbiträden (gamla IT-leverantörer som inte längre används), saknade nya tjänsteleverantörer (nya CRM-system, nya marknadsföringsverktyg), uppdaterade lagstadgade bevarandetider. Periodisk översyn (vanligen årligen och vid större förändringar) är obligatorisk. Vid större förändringar ska registrerade informeras enligt artikel 12 GDPR.

Misstag 7 - Otillgänglig placering. Att placera integritetspolicy på svårtillgänglig plats (endast i sidfot med liten text, dolt under tjockt menytråd, endast som länkad PDF utan webbsida) strider mot tillgänglighetsprincipen enligt artikel 12.1 GDPR. Policyn ska vara lättillgänglig från varje sida på webbplatsen, vanligen via sidfot eller dedikerad sida med tydligt namn ('Integritetspolicy', 'Personuppgiftsskydd', 'Privacy Policy'). Vid cookie banner ska direkt länk till policyn finnas. Vid registrering eller beställning ska policyn lätt kunna granskas innan godkännande.

Misstag 8 - Saknad beskrivning av säkerhetsåtgärder. Att utelämna avsnitt om tekniska och organisatoriska säkerhetsåtgärder enligt artikel 32 GDPR är vanligt men felaktigt. Policyn ska beskriva grundläggande säkerhetsåtgärder (kryptering, åtkomstkontroll, säkerhetskopiering, utbildning) samt processer för incidenthantering enligt artiklarna 33 och 34 GDPR. Vid datalack ska anmälan ske till IMY inom 72 timmar och vid risk för registrerade ska de informeras. Saknat avsnitt försämrar förtroendet och kan ses som otillräckligt vid IMY-granskning.