Gör detta först: kartlägg all persondata och dokumentera varje behandling i ett register (RoPA), fastställ rättslig grund för varje post och teckna personuppgiftsbiträdesavtal med alla leverantörer som hanterar data åt dig. Bygg sedan vidare med DPIA för högriskbehandlingar, en incidentplan för 72 timmars anmälan och regelbunden personalutbildning. VD eller den som är utsedd dataskyddsansvarig bör äga uppstarten, men dokumentationen är det som räknas när tillsynen frågar.
Kort sagt:
- En datakartläggning är avgörande för att kunna fastställa rättslig grund, skriva privacy notice och göra riskbedömningar.
- Alla behandlingar måste dokumenteras i ett register som regelbundet ska uppdateras och innehålla tydliga rutiner för nästa granskning.
- Leverantörer som hanterar personuppgifter kräver skriftliga personuppgiftsbiträdesavtal som reglerar behandlingens omfattning, syfte och säkerhetskrav.
- Säkerhetsåtgärder bör prioritera åtkomstkontroll, kryptering och regelbundna test, inte dyra lösningar, för att minska risken för dataskyddsincidenter.
- Efterlevnad kräver kontinuerlig utbildning, dokumentation och revision för att kontinuerligt bevisa att GDPR-kraven följs.
Innehållsförteckning
- Vilken GDPR checklist för businesses behöver småföretag följa?
- Så kartlägger du data och bygger registret (RoPA)
- Hur fastställer du rättslig grund och skriver en privacy notice?
- Vilka dokument visar att ni följer regelverket?
- Hur bedömer du leverantörer och tecknar ett personuppgiftsbiträdesavtal?
- Hur länge får ni spara persondata?
- Vilka säkerhetsåtgärder kräver artikel 32?
- Hur hanterar ni förfrågningar från registrerade (DSAR)?
- När krävs en konsekvensbedömning (DPIA)?
- Vad gör ni vid en personuppgiftsincident?
- Vem ansvarar för utbildning och löpande översyn?
- Praktisk illustration: hur Trustview kan stödja checklistan
- Redaktörens perspektiv: göra GDPR till en process, inte en punktinsats
- Kom igång med Trustview: från checklista till dokumenterad efterlevnad
- Källor
Vilken GDPR checklist för businesses behöver småföretag följa?
En fullständig checklista för GDPR efterlevnad för företag rör sig i en bestämd ordning: du kan inte fastställa rättslig grund innan du vet vilken data du har, och du kan inte skriva en privacy notice innan grunden är satt. Nedan följer de 13 stegen i den ordning de bör genomföras, med prioritet och ansvar för varje punkt.
- Datakartläggning och register över behandlingar (RoPA) — kritiskt, ansvarig: dataskyddsansvarig eller DPO.
- Fastställ rättslig grund för varje behandling i registret — kritiskt, ansvarig: juridik eller dataskyddsansvarig.
- Skriv och publicera privacy notice som speglar registret — kritiskt, ansvarig: kommunikation/juridik.
- Identifiera personuppgiftsbiträden och begär DPA från varje leverantör — kritiskt, ansvarig: inköp/juridik.
- Sätt retentionstider per ändamål och dokumentera raderingsrutiner — viktigt, ansvarig: systemägare.
- Genomför säkerhetsgenomgång enligt artikel 32 — kritiskt, ansvarig: IT/informationssäkerhet.
- Bygg en process för registrerades rättigheter (DSAR) — viktigt, ansvarig: dataskyddsansvarig.
- Genomför DPIA för högriskbehandlingar — kritiskt vid träff, ansvarig: DPO eller extern rådgivare.
- Upprätta incidentplan med 72-timmars anmälningsrutin — kritiskt, ansvarig: ledningsgrupp.
- Utbilda personal och dokumentera deltagande — löpande, ansvarig: HR.
- Samla all dokumentation i en efterlevnadsfil — löpande, ansvarig: dataskyddsansvarig.
- Genomför internrevision minst årligen — löpande, ansvarig: ledning.
Varje punkt kräver ett spårbart underlag, inte bara en muntlig rutin. IMY är tydlig med att ansvarsskyldighet innebär att organisationen ska kunna visa upp bevis, inte bara påstå att man följer reglerna.
Så kartlägger du data och bygger registret (RoPA)
Datakartläggningen är grunden för allt annat arbete. Utan den kan du inte fastställa rättslig grund, skriva en trovärdig privacy notice eller göra en DPIA eftersom en praktisk checklista för GDPR-efterlevnad understryker att datakartläggningen alltid kommer först.
Gör kartläggningen i tre steg: intervjua varje avdelning om vilka system de använder, exportera systemlistor från IT och rita upp flöden för hur data rör sig mellan system, anställda och leverantörer. Många småföretag upptäcker att marknadsavdelningen har fler dataflöden än IT kände till, ofta via kampanjverktyg eller CRM-tillägg som aldrig godkänts formellt.
Ett fullständigt register över behandlingar ska innehålla:
- Ändamål med behandlingen, till exempel “lönehantering” eller “kundsupport”.
- Kategorier av personuppgifter och registrerade, till exempel “anställda” eller “kunder”.
- Rättslig grund kopplad till varje ändamål.
- Mottagare av data, inklusive interna avdelningar och externa leverantörer.
- Lagringstid och grund för den tidsramen.
- Tekniska och organisatoriska säkerhetsåtgärder kopplade till behandlingen.
Proffstips: Lägg in ett datum för nästa granskning direkt i registret vid varje post. Då blir uppdateringen en schemalagd rutin istället för något som glöms bort tills en revision tvingar fram den.
Registret bör uppdateras varje gång ni inför ett nytt system, byter leverantör eller lanserar en ny kampanj som samlar in data. En kvartalsvis genomgång räcker för de flesta småföretag, men en snabbväxande verksamhet bör se över det månadsvis.
Hur fastställer du rättslig grund och skriver en privacy notice?
GDPR ger sex rättsliga grunder: samtycke, avtal, rättslig förpliktelse, skydd av grundläggande intressen, allmänt intresse och berättigat intresse. EDPB:s vägledning för småföretag betonar att varje behandling i registret måste kopplas till exakt en av dessa grunder, och att samtycke bara krävs när ingen av de andra grunderna passar, till exempel vid marknadsföring via e-post till personer som inte redan är kunder.
En privacy notice som faktiskt håller måttet behöver följande delar:
- Vem som är personuppgiftsansvarig och hur de kan kontaktas.
- Vilka ändamål och rättsliga grunder som gäller, hämtat direkt från registret.
- Hur länge data lagras och vilka rättigheter den registrerade har.
- Om data delas med tredje part, inklusive personuppgiftsbiträden utanför EU/EES.
Publicera texten där den faktiskt läses, det vill säga på webbplatsen, i anställningsavtal och i kundformulär, snarare än gömd i ett separat dokument. Versionshantera varje ändring med datum, och spara tidigare versioner tillsammans med information om vilka ändamål som gällde när ett samtycke gavs. Det gör att ni kan bevisa exakt vad en registrerad samtyckte till, även flera år senare.
Vilka dokument visar att ni följer regelverket?
Ansvarsskyldighet enligt GDPR bevisas inte muntligt. IMY pekar på att tillsyn förväntar sig konkreta register, rutiner och utbildningsbevis, inte en beskrivning av vad ni “brukar” göra.
En samlad efterlevnadsfil bör innehålla:
- Registret över behandlingar (RoPA) med versionshistorik.
- Alla genomförda DPIA:er med riskbedömning och beslutade åtgärder.
- Signerade personuppgiftsbiträdesavtal för varje leverantör.
- Incidentloggen, även för händelser som bedömdes inte anmälningspliktiga.
- Utbildningsregister som visar vilka anställda som genomgått vilken utbildning och när.
Strukturera filen efter behandling snarare än efter dokumenttyp, så att en enskild revisor kan följa en behandling från kartläggning till radering i ett enda spår. Genomför en intern granskning minst en gång per år, och alltid när ni inför ett nytt system som hanterar persondata.
Hur bedömer du leverantörer och tecknar ett personuppgiftsbiträdesavtal?
Varje leverantör som hanterar persondata åt er, från lönesystem till marknadsföringsverktyg, är ett personuppgiftsbiträde och kräver ett skriftligt avtal. Börja med en riskklassning: leverantörer som hanterar känsliga uppgifter eller stora volymer bör granskas hårdare än en leverantör som bara får tillgång till kontaktuppgifter.
Kontrollera följande innan ni skriver på:
- Var lagras data geografiskt, och sker överföring utanför EU/EES?
- Vilka underleverantörer använder leverantören, och informeras ni om ändringar?
- Vilken säkerhetsnivå kan leverantören visa, till exempel certifieringar eller revisionsrapporter?
Ett giltigt personuppgiftsbiträdesavtal måste reglera ändamål och varaktighet för behandlingen, instruktioner för hur data får användas, krav på säkerhetsåtgärder samt skyldighet att bistå vid en personuppgiftsincident. Dokumentera varje granskning i ett separat register och sätt en påminnelse för uppföljning, särskilt om leverantören fått anmärkningar vid granskningen.
Hur länge får ni spara persondata?
Lagringstiden ska kopplas till ändamålet, inte till en generell känsla av “för säkerhets skull”. Fråga för varje behandling: vilket syfte kräver att vi fortsätter lagra detta, och finns det en lag som sätter en minimitid?
En enkel retentionstabell räcker för de flesta företag:
- Kunddata kopplad till aktivt avtal: så länge avtalet löper plus den tid bokföringslagen kräver.
- Jobbansökningar som inte lett till anställning: en kortare, tydligt definierad period efter avslag.
- Loggdata från säkerhetssystem: en begränsad tid som balanserar spårbarhet mot lagringsbegränsning.
Automatisera raderingen där det går, till exempel genom att sätta utgångsdatum direkt i CRM- eller HR-systemet, så att gamla poster försvinner eller anonymiseras utan manuellt ingripande.
Vilka säkerhetsåtgärder kräver artikel 32?
Artikel 32 kräver åtgärder som är lämpliga i förhållande till risken, inte en specifik teknisk lösning. Det ger småföretag utrymme att prioritera efter vad som ger mest skydd för minst kostnad.
EDPB:s guide för mindre organisationer lyfter fram att grundläggande åtgärder ofta ger störst effekt tidigt i arbetet, snarare än dyra företagslösningar som kräver stora investeringar. Börja med:
- Åtkomstkontroll så att bara de som behöver data faktiskt har tillgång till den.
- Tvåfaktorsautentisering på system som hanterar känslig eller stor mängd persondata; en översikt över tvåfaktorslösningar visar vilket stöd olika leverantörer redan erbjuder.
- Kryptering av data i vila och under överföring.
- Loggning av åtkomst och regelbundna backuper som testas, inte bara skapas.
Proffstips: Testa återställningen av en backup minst en gång per kvartal. En backup som aldrig testats är ingen garanti, bara ett antagande.
Dokumentera varje penetrationstest, patchrutin och återställningsövning med datum och resultat. IMY:s vägledning framhåller att spårbara bevis, snarare än ett engångsintyg, är det som minskar risken vid en tillsynsgranskning.
Hur hanterar ni förfrågningar från registrerade (DSAR)?
En begäran om registerutdrag, radering eller rättelse följer samma process oavsett kanal den kommer in på.
- Ta emot förfrågan och registrera datumet, eftersom tidsfristen börjar löpa direkt.
- Verifiera identiteten utan att begära mer information än nödvändigt, ett vanligt misstag är att kräva överdrivet mycket dokumentation som i sig blir en ny integritetsrisk.
- Behandla begäran genom att söka i registret för att se exakt vilka system som berörs.
- Svara inom en månad, med möjlighet till två månaders förlängning vid komplexa fall, och motivera eventuella undantag skriftligt.
- Dokumentera beslutet, inklusive vilken data som lämnades ut eller raderades och varför.
Förbered malltexter i förväg för vanliga scenarion, till exempel avslag på grund av annan registrerads rättigheter, så att svarstiden inte äts upp av att formulera juridiskt hållbar text under tidspress.
När krävs en konsekvensbedömning (DPIA)?
En DPIA krävs när behandlingen medför hög risk, till exempel vid storskalig övervakning, känsliga uppgifter i stor volym eller ny teknik som profilerar individer. Exempel som ofta utlöser krav: kameraövervakning på arbetsplatsen, AI-baserad rekrytering eller sammanslagning av flera stora databaser.
En enkel mall räcker för de flesta fall:
- Beskrivning av behandlingen och dess ändamål.
- Riskbedömning: vad kan gå fel och hur allvarligt är det för den registrerade.
- Åtgärder som minskar risken.
- Residualrisk efter åtgärderna, och om den är acceptabel.
Om residualrisken förblir hög trots åtgärder ska ni samråda med tillsynsmyndigheten innan behandlingen påbörjas, och journalföra både frågan och myndighetens svar. En komplett DPIA-guide ger en fördjupad mall för större eller mer komplexa bedömningar.
Vad gör ni vid en personuppgiftsincident?
72-timmarsregeln börjar löpa i det ögonblick ni blir medvetna om incidenten, inte när utredningen är klar.
- Stoppa spridningen genom att isolera det drabbade systemet omedelbart.
- Bedöm risken för de registrerade: rör det känsliga uppgifter, hur många drabbas, kan skadan bli allvarlig?
- Anmäl till IMY inom 72 timmar om risken bedöms som verklig, med beskrivning av händelsen, ungefärligt antal drabbade, konsekvenser och vidtagna åtgärder.
- Informera de registrerade direkt om risken är hög, exempelvis vid läckt inloggningsuppgifter eller finansiell information.
- Dokumentera hela händelsen i incidentloggen, även om ni bedömer att anmälan inte krävs, eftersom bedömningen i sig måste kunna motiveras senare.
Proffstips: Skriv ett utkast till IMY-anmälan redan innan en incident inträffar, med fälten förifyllda så mycket som möjligt. Det sparar kritiska timmar när klockan faktiskt tickar.
Efter incidenten: sammanställ en kort rapport om vad som hände, vilka lärdomar ni drar och vilka rutiner som behöver uppdateras. En guide till incidenthantering inom 72 timmar går igenom hela processen i detalj.
Vem ansvarar för utbildning och löpande översyn?
All personal som hanterar persondata bör genomgå en grundutbildning vid anställning och en uppdatering minst årligen, medan ledningen behöver djupare kunskap om ansvarsskyldighet och beslutsfattande vid incidenter.
- Dokumentera varje utbildningstillfälle med datum, deltagare och innehåll.
- Utse en dataskyddsansvarig, och bedöm om verksamheten är skyldig att utse ett formellt dataskyddsombud utifrån behandlingens omfattning och känslighet.
- Planera en årlig genomgång av hela checklistan, men trigga en extra granskning direkt vid nya system, nya leverantörer eller förändrade ändamål.
Rollerna behöver inte vara heltidstjänster i ett litet företag, men de måste vara namngivna och dokumenterade, inte underförstådda.
Praktisk illustration: hur Trustview kan stödja checklistan
Det finns digitala system som samlar registret över behandlingar, DPIA-mallar, incidentlogg och leverantörsbedömningar i en plattform, så att uppdateringar sker på ett ställe istället för i utspridda kalkylark. Sådana plattformar kan hålla reda på när en post senast granskades och flagga när det är tid för nästa översyn.
Ansvarsskyldighet handlar inte om att ha rätt dokument en gång. Det handlar om att kunna visa, när som helst, att dokumenten fortfarande stämmer med verkligheten.
Det är den skillnaden mellan en pappersövning och ett fungerande system som avgör hur en tillsynsgranskning faktiskt går.
Redaktörens perspektiv: göra GDPR till en process, inte en punktinsats
Ansvarsskyldighet är inget man uppnår, det är något man bevisar löpande. Den vanligaste missuppfattningen är att en checklista fylld i en gång räcker. Den kopplingen mellan checklista, revision och utbildning är det som faktiskt håller över tid. Börja med de mest kritiska dataflödena, inte de enklaste, och bygg en roadmap på tre till tolv månader: kartläggning och rättslig grund först, säkerhet och DPA inom sex månader, DPIA och incidentrutiner färdiga inom ett år.
— Jesper
Kom igång med Trustview: från checklista till dokumenterad efterlevnad
Det finns alternativ till lösa kalkylark och separata Worddokument för GDPR-arbete där registret över behandlingar, DPIA, leverantörsbedömningar och incidentloggen kan samlas i samma system istället för att spridas mellan mejl, mappar och minnet hos en enskild anställd.
En genomgång av plattformen visar hur ni för in befintlig data i ett strukturerat register, kopplar rättslig grund till varje behandling och sätter påminnelser för nästa granskning automatiskt. Läs mer om hur ni bygger dataskyddsarbetet i praktiken och boka en genomgång för att se hur er befintliga checklista kan flyttas in i Trustview utan att börja om från noll.
