GDPR-guide för företagare
Last updated: 13 november 2025
Vad är GDPR?
GDPR står för General Data Protection Regulation (i Sverige även kallat Dataskyddsförordningen) är en lagstiftning som reglerar hur bland annat företag får behandla personuppgifter. Lagkravet som gäller över hela EU trädde i kraft den 25 maj 2018 och ersatte då PUL (personuppgiftslagen). GDPR slår fast reglerna för all form av behandling av uppgifter som direkt eller indirekt kan knytas till en person.
Vad innebär GDPR för företag och organisationer?
De flesta företag hanterar personuppgifter på något sätt. Det kan handla om kunder, blivande kunder, anställda och leverantörer. En grundläggande förändring med GDPR är att personuppgifter bara är till låns och inte kan ägas, vilket innebär högre krav på rutiner och processer för hur dessa behandlas.
Syftet med GDPR är att varje individ skall ha större insyn i hur dess personuppgifter används.
– Om jag ska göra en jämförelse mellan den fysiska och den digitala världen så är det mer acceptabelt i den digitala världen att veta mer om en person. Exempelvis skulle det kännas konstigt om vi dagligen hade haft en person som går efter oss eller frågar oss om personuppgifter som vårt telefonnummer när vi köper kaffe. Med dataskyddsförordningen får individer mer kontroll över sina uppgifter, säger Sarah Pontan, Data Protection Officer på Fortnox.
Rättsliga grunder i GDPR
Den som lagrar personuppgifter måste informera om hur de ska användas, hur länge de lagras och om de kommer lämnas ut till andra aktörer.
Personer vars uppgifter hanteras har rätt att få tillgång till dem, invända mot hur de används, rätta felaktiga uppgifter, flytta uppgifter och i vissa fall få dem borttagna. För att få samla in och lagra personuppgifter måste man ha rättslig grund för det. Det finns sex olika grunder, fyra av dem används av företagare.
Samtycke - Personen godkänner att du samlar in och lagrar uppgifter.
Avtal - Du tillåts att samla in de uppgifter som krävs för att uppfylla avtalet.
Intresseavvägning - Uppgifter får samlas in om intresset väger tyngre än personen som registreras och om behandlingen är nödvändig för ändamålet.
Rättslig förpliktelse - När lagar och regler kräver att personuppgifter måste behandlas i verksamheten.
Se först och främst till att få en överblick över vilka personuppgifter som hanteras och kategorisera dem. Dokumentera varför ni spar uppgifterna och i vilka syften de ska användas. Läs mer på Integritetsskyddsmyndigheten.
Böter för den som bryter mot reglerna
Det är företaget som är högst ansvarig för att insamling och hantering av personuppgifter sker på ett korrekt sätt. Det är därför viktigt att kartlägga vilka personuppgifter man hanterar, då det finns krav på att kunna informera varför man behandlar personuppgifter och vad de används till. Datainspektionen är ansvarig för att lagen efterlevs och kan utfärda dryga böter för den som bryter mot reglerna. Böterna för att inte följa förordningen är 20 MEUR eller 4% av företagets globala omsättning beroende på vad som är högst.
Snabbguide för dig som företagare
EU-kommissionen har skapat en informationsbroschyr om GDPR med fokus på små- och medelstora företag. Du hittar den på Datainspektionens hemsida. Datainspektionen har även tillsammans Tillväxtverket med tagit fram en videoguide för småföretag med värdefulla tips!
Vi hjälper dig leva upp till GDPR-kraven
I Fortnox finns en rad smarta stödfunktioner som hjälper dig, som hanterar personuppgifter, att leva upp till de krav som ställs. Bl. a möjlighet att exportera, anonymisera eller radera personuppgifter.