Besökare tar del av integritetsinformationen på en mottagning

Krav på integritetspolicy enligt GDPR: vad som måste ingå

november 3, 2026, Jesper Thornberg

GDPR nämner aldrig ordet integritetspolicy. Lagen kräver däremot att den personuppgiftsansvarige informerar de registrerade om hur deras personuppgifter behandlas, och den informationen samlas oftast i en integritetspolicy. Vad informationen ska innehålla står i artikel 13 och 14, och hur den ska lämnas står i artikel 12. Enligt IMY ska den tydligt förklara vilka personuppgifter som samlas in, varför de används, hur länge de sparas och vilka rättigheter de registrerade har. En policy uppfyller alltså kraven först när den stämmer med hur verksamheten faktiskt behandlar personuppgifter, och det räcker inte att den låter juridiskt korrekt.

Trustview

Håll integritetsarbetet samlat

Trustview samlar register, riskbedömningar och åtgärder på ett ställe för ett mer strukturerat arbete med integritet och regelefterlevnad.

Besök Trustview

Kort sagt

Lagkravet gäller informationsplikten i GDPR artikel 12–14. Själva dokumentet kan heta integritetspolicy, dataskyddspolicy eller integritetsmeddelande.
Artikel 13 gäller när ni samlar in uppgifter direkt från personen, och artikel 14 när uppgifterna kommer från någon annan källa. Innehållskraven skiljer sig något åt.
Varje ändamål ska beskrivas konkret och kopplas till en rättslig grund, de uppgifter som används, en lagringstid och de mottagare som får uppgifterna.
Informationen ska lämnas aktivt när uppgifterna samlas in. Den ska vara kostnadsfri och skrivas på ett klart och tydligt språk.
IMY:s tillsyn visar att brister i informationen räknas som överträdelser av GDPR och inte som formella småfel.

Innehållsförteckning

Vad lagen faktiskt kräver
Artikel 13 eller 14: var kommer uppgifterna ifrån?
Detta måste integritetspolicyn innehålla
Ändamål, rättslig grund och lagringstid: här brister de flesta policyer
När och hur informationen ska lämnas
Klart språk och ett aktuellt innehåll
Vad IMY:s tillsyn visar
Så håller ni integritetspolicyn korrekt, steg för steg
Vår syn: integritetspolicyn är ett utdrag ur ert dataskyddsarbete
Så stödjer Trustview arbetet med informationsplikten
Vanliga frågor
Källor

Vad lagen faktiskt kräver

Dataskyddsförordningen bygger på öppenhetsprincipen. IMY beskriver syftet som att de registrerade i förväg ska kunna förstå vad behandlingen syftar till och vilka konsekvenser den får, så att användningen av deras uppgifter inte kommer som en överraskning.

Tre artiklar i dataskyddsförordningen styr kraven:

Artikel 12 reglerar formen. Informationen ska vara koncis, klar och tydlig, begriplig och lättillgänglig, och den ska lämnas kostnadsfritt.
Artikel 13 reglerar innehållet när personuppgifterna samlas in från den registrerade själv.
Artikel 14 reglerar innehållet när personuppgifterna kommer från någon annan än den registrerade.

Kraven gäller alla som är personuppgiftsansvariga, oavsett storlek. Ett kontaktformulär, ett nyhetsbrev, en rekryteringsprocess eller ett kundregister räcker för att informationsplikten ska gälla. Många organisationer behöver därför flera integritetsmeddelanden, till exempel ett för kunder, ett för arbetssökande och ett för anställda.

En integritetspolicy ska inte förväxlas med en intern dataskyddspolicy. Den externa policyn informerar de registrerade. Den interna dataskyddspolicyn styr hur medarbetarna ska arbeta med personuppgifter. Om ni också behöver den interna policyn finns vår instruktionsguide för dataskyddspolicy.

Artikel 13 eller 14: var kommer uppgifterna ifrån?

Det första ni behöver klargöra är varifrån uppgifterna kommer. Enligt riktlinjerna om öppenhet gäller artikel 13 när uppgifterna hämtas från den registrerade, till exempel via ett formulär på webben eller genom observation. Artikel 14 gäller när uppgifterna kommer från en annan källa, till exempel en tredje part, offentliga källor, datamäklare eller andra registrerade.

Två exempel:

Artikel 13: En kund fyller i ett offertformulär på er webbplats. Informationen ska finnas tillgänglig i samma ögonblick som formuläret skickas.
Artikel 14: Ni köper en lista med kontaktpersoner hos potentiella kunder, eller får en kandidats uppgifter från ett rekryteringsföretag. Då ska ni även berätta varifrån uppgifterna kommer och vilka kategorier av uppgifter ni behandlar.

Tidpunkten skiljer sig också åt. Enligt artikel 14 i GDPR ska informationen lämnas inom en rimlig tid och senast inom en månad. Om uppgifterna används för att kontakta personen ska informationen lämnas senast vid den första kontakten, och om uppgifterna ska lämnas ut till en annan mottagare ska den lämnas senast när det sker.

Detta måste integritetspolicyn innehålla

Tabellen sammanfattar vad artikel 13 och 14 kräver. Den bygger på förordningstexten och på IMY:s beskrivning av rätten till information.

Uppgift	Art. 13 (från personen)	Art. 14 (från annan källa)
Namn och kontaktuppgifter till den personuppgiftsansvarige	Ja	Ja
Kontaktuppgifter till dataskyddsombud, om sådant finns	Ja	Ja
Ändamålen med behandlingen och den rättsliga grunden	Ja	Ja
Vilka berättigade intressen som åberopas, om intresseavvägning används	Ja	Ja
Kategorier av personuppgifter	Nej	Ja
Mottagare eller kategorier av mottagare	Ja	Ja
Överföring till tredjeland och vilka skyddsåtgärder som används	Ja	Ja
Lagringstid eller kriterierna för att bestämma den	Ja	Ja
De registrerades rättigheter	Ja	Ja
Rätten att när som helst återkalla samtycke	Ja	Ja
Rätten att lämna klagomål till IMY	Ja	Ja
Om uppgifterna är ett lagkrav eller avtalskrav, och följderna av att inte lämna dem	Ja	Nej
Källan som uppgifterna kommer ifrån	Nej	Ja
Automatiserat beslutsfattande och profilering, med logiken bakom och konsekvenserna	Ja	Ja

Rättigheterna som ska beskrivas är rätten till tillgång, rättelse, radering, begränsning, invändning och dataportabilitet. IMY:s sammanställning av de registrerades rättigheter tar också upp att den registrerade ska få veta att hen kan klaga hos IMY och kan återkalla ett samtycke. Beskriv kort hur rättigheterna utövas i praktiken: vilken adress som gäller och vad som händer sedan. Enligt artikel 12 ska en begäran som regel besvaras inom en månad.

När det gäller klagomålsrätten räcker det att ange att den registrerade kan vända sig till Integritetsskyddsmyndigheten. IMY har en e-tjänst för klagomål som ni kan hänvisa till.

Ändamål, rättslig grund och lagringstid: här brister de flesta policyer

Den vanligaste bristen är att policyn räknar upp ändamål, rättsliga grunder och uppgiftskategorier i separata listor som inte kopplas till varandra. Läsaren får då ingen möjlighet att förstå vilken uppgift som används till vad och med stöd av vilken grund.

IAB Sveriges sammanfattning av IMY:s vägledande beslut visar vad som förväntas: varje ändamål ska beskrivas konkret tillsammans med sin rättsliga grund och de specifika personuppgifter som behandlas. Lagringstiden ska anges som en bestämd tid eller med tydliga kriterier, och mottagarna ska identifieras tillsammans med vilka uppgifter de får.

Exempel: samma e-postadress, tre ändamål

Ändamål	Uppgifter	Rättslig grund	Lagringstid
Leverera och fakturera en beställning	Namn, e-post, adress, orderhistorik	Fullgörande av avtal	Under avtalstiden. Räkenskapsinformation sparas därefter enligt bokföringslagen
Skicka nyhetsbrev	E-post, namn	Samtycke	Tills samtycket återkallas
Förebygga bedrägerier	E-post, IP-adress, betalningsmönster	Berättigat intresse	Så länge ärendet kräver det, enligt fastställda kriterier

Tabellen är ett exempel på struktur och ingen färdig bedömning. Den rättsliga grunden och lagringstiden måste fastställas för just er behandling. Där ni åberopar berättigat intresse ska intresset anges, och er intresseavvägning bör vara dokumenterad innan behandlingen börjar.

Lagringstiden är den punkt som oftast blir för vag. “Så länge det är nödvändigt” är inget kriterium. Hur ni sätter hållbara gallringsfrister går vi igenom i hur länge man får spara personuppgifter och i vår guide om retentionspolicy enligt GDPR.

Mottagare och överföringar utanför EU/EES

Ange vilka mottagare som får uppgifterna: personuppgiftsbiträden som molntjänster och lönesystem, andra personuppgiftsansvariga som myndigheter och revisorer samt bolag inom koncernen. Om uppgifter överförs till ett land utanför EU/EES ska policyn ange vilket land det gäller, vilken skyddsmekanism som används, till exempel ett beslut om adekvat skyddsnivå eller standardavtalsklausuler, och hur den registrerade kan få en kopia av skyddsåtgärderna. Läs mer i vår genomgång av tredjelandsöverföringar enligt GDPR.

När och hur informationen ska lämnas

Enligt IMY ska informationen lämnas när uppgifterna samlas in, eller vid första kontakten om de har samlats in från någon annan. Den ska vara kostnadsfri och lättillgänglig och lämnas skriftligt, men den får lämnas elektroniskt.

Integritetsinformation ges vid incheckning i receptionen

Det räcker inte att policyn ligger någonstans på webbplatsen. Enligt riktlinjerna om öppenhet måste den personuppgiftsansvarige aktivt lämna informationen eller aktivt leda personen till den, till exempel med en direktlänk eller en QR-kod. Personen ska inte behöva leta efter informationen bland andra villkor.

Så fungerar det i praktiken:

Webbformulär: en kort text och en direktlänk till rätt avsnitt i anslutning till knappen “Skicka”.
Rekrytering: en länk i platsannonsen och i bekräftelsemejlet till kandidaten.
Fysiska miljöer: en skylt med de viktigaste uppgifterna och en QR-kod till den fullständiga informationen, till exempel vid kamerabevakning.
Telefon: en kort muntlig information och en hänvisning till den skriftliga policyn.

Skiktad information är ofta det bästa sättet att få informationen både fullständig och läsbar. Det första skiktet visar vem ni är, vad ni gör med uppgifterna och var resten finns. Det andra skiktet innehåller alla uppgifter enligt artikel 13 eller 14.

Undantagen är få. Enligt artikel 13.4 behöver ni inte lämna information som personen redan har. Artikel 14.5 innehåller bland annat undantag när informationen skulle kräva en oproportionerlig ansträngning eller när insamlingen är reglerad i lag. Undantagen tolkas snävt, så dokumentera alltid skälen om ni stödjer er på dem.

Klart språk och ett aktuellt innehåll

IMY anger att informationen ska vara koncis, klar och tydlig och inte innehålla överdrivet teknisk eller specialiserad terminologi. Det ställer krav både på juristen och på kommunikatören:

Skriv “vi” och “du”, inte “den personuppgiftsansvarige” och “den registrerade”.
Undvik vaga ord som “kan”, “till exempel” och “bland annat” när ni beskriver vad ni faktiskt gör.
Förklara termer som “berättigat intresse” eller “personuppgiftsbiträde” första gången de används.
Anpassa språket efter målgruppen. Information som riktar sig till barn ska vara särskilt lätt att förstå.

En policy som var korrekt när den publicerades kan bli felaktig så fort verksamheten byter system, anlitar en ny leverantör eller börjar använda en ny AI-funktion. Ange datum för senaste uppdatering och informera de registrerade när ändringarna är väsentliga.

Vad IMY:s tillsyn visar

Brister i integritetsinformationen behandlas som materiella överträdelser. I ett tillsynsbeslut från 2025 konstaterade IMY att avsaknad av information om vem som var ansvarig, kontaktuppgifter, ändamål, rättslig grund och rättigheter innebar överträdelser av artikel 12.2 och 14. Bristerna bedömdes dessutom tillsammans med att organisationen inte underlättade för de registrerade att utöva sina rättigheter.

Även tidigare ärenden har gett vägledning. I det överklagade beslutet mot Klarna prövades flera frågor om hur informationen till registrerade ska vara utformad.

För överträdelser av artikel 12–22 kan sanktionsavgiften enligt artikel 83.5 uppgå till 20 miljoner euro eller 4 procent av den globala årsomsättningen, beroende på vilket belopp som är högst. Hur en granskning går till beskriver vi i vad som händer vid en tillsyn enligt GDPR.

Så håller ni integritetspolicyn korrekt, steg för steg

Utgå från registerförteckningen. Varje behandling i registerförteckningen ska motsvaras av ett avsnitt i rätt integritetsmeddelande. Om behandlingen inte finns i förteckningen är policyn byggd på antaganden.
Kartlägg varifrån uppgifterna kommer. Avgör om artikel 13 eller 14 gäller för varje flöde.
Koppla ihop ändamål, uppgifter, grund och lagringstid. Använd en tabell eller en struktur per ändamål, som i exemplet ovan.
Stäm av mottagare mot leverantörsregistret. Nya personuppgiftsbiträden och tredjelandsöverföringar ska synas i policyn.
Testa läsbarheten. Låt någon utanför juristfunktionen läsa texten och förklara vad den betyder.
Placera informationen där insamlingen sker. Direktlänkar i formulär, mejl och annonser.
Sätt en granskningsrutin. Granska vid varje förändring av behandlingen och dessutom med ett fast intervall, och spara versionerna som en del av er dokumentation inom dataskydd.

Steg 1 och 4 är där arbetet oftast faller. Policyn skrivs i ett projekt, medan registerförteckningen och leverantörsbedömningarna lever vidare i andra kalkylark. Efter ett år stämmer de inte längre överens.

Vår syn: integritetspolicyn är ett utdrag ur ert dataskyddsarbete

Vi ser ofta integritetspolicyer som är välskrivna men som inte går att verifiera mot något. När IMY eller en registrerad ställer en fråga ska svaret kunna hämtas ur samma underlag som policyn bygger på: registerförteckningen, intresseavvägningarna, lagringsreglerna och leverantörsbedömningarna.

Därför arbetar vi efter principen att integritetspolicyn ska vara ett utdrag och inte ett fristående dokument. Om ändamål, rättslig grund och lagringstid redan finns strukturerade per behandling blir policyn en sammanställning av beslut som redan är fattade och dokumenterade. Då blir det också tydligt när policyn behöver uppdateras, nämligen när underlaget ändras.

Vi har byggt Trustview som jurister med erfarenhet av svensk och europeisk dataskyddsrätt, och utgångspunkten är just detta: att det juridiska, det operativa och styrningen ska finnas på ett och samma ställe. Då blir informationsplikten en följd av ett strukturerat arbete i stället för ett återkommande skrivprojekt.

Jesper

Så stödjer Trustview arbetet med informationsplikten

I Trustview samlar ni registerförteckning, konsekvensbedömningar (DPIA och TIA), leverantörsbedömningar, incidentloggning och åtgärdsuppföljning i en plattform. Där finns också färdiga mallar och guider, ansvaret kan delegeras och ni får en översikt över compliance-status i realtid. Underlaget som integritetspolicyn bygger på blir därmed lättare att hålla aktuellt, och förändringar i behandlingen syns där de uppstår. Plattformen stödjer GDPR, NIS2, ISO 27000 och AI-förordningen.

Trustview

Trustview kostar från 2 500 kr per månad. Om ni vill ha en jurist som granskar er policy eller era rättsliga grunder kan ni komplettera med juridisk rådgivning.

Vanliga frågor

Det finns inget krav på ett dokument med just det namnet. Kravet är att informera de registrerade enligt artikel 12–14, och i praktiken uppfylls det oftast med en integritetspolicy eller ett integritetsmeddelande. Den som behandlar personuppgifter utan att lämna informationen bryter mot GDPR.

Räcker det med en mall för integritetspolicy?

En mall kan ge struktur, men innehållet måste spegla er faktiska behandling: era ändamål, era rättsliga grunder, era lagringstider och era mottagare. En kopierad text som inte stämmer med verksamheten uppfyller inte kraven. Utgå från registerförteckningen och fyll mallen med verifierbara uppgifter.

Behöver vi olika integritetspolicyer för kunder, anställda och arbetssökande?

Det är ofta det tydligaste sättet. Grupperna har olika ändamål, rättsliga grunder och lagringstider, och om allt samlas i en text blir det svårt för läsaren att förstå vad som gäller just hen. Separata meddelanden, eller tydligt avgränsade avsnitt, gör informationen mer koncis.

Hur ofta ska integritetspolicyn uppdateras?

När behandlingen ändras, till exempel vid ett nytt system, en ny leverantör, ett nytt ändamål eller en ny tredjelandsöverföring. Utöver det bör ni granska policyn regelbundet och ange datum för senaste ändring. Om ändringarna är väsentliga bör de registrerade informeras aktivt.

Vad är skillnaden mellan artikel 13 och artikel 14?

Artikel 13 gäller när ni samlar in uppgifterna direkt från personen, och då ska informationen lämnas samtidigt. Artikel 14 gäller när uppgifterna kommer från någon annan. Då ska ni även ange källan och kategorierna av uppgifter, och lämna informationen inom en rimlig tid, senast inom en månad.