Måste vi ha ett behandlingsregister om vi har färre än 250 anställda?

Nästan säkert ja. Artikel 30.5 undantar organisationer under 250 anställda, men undantaget faller om något av tre villkor är uppfyllt: behandlingen medför sannolikt en risk för registrerades rättigheter, behandlingen är inte tillfällig, eller den omfattar särskilda kategorier av uppgifter. Villkoren är alternativa. Har ni anställda behandlar ni löneuppgifter löpande, alltså inte tillfälligt, och undantaget faller på det ledet.

Vad är skillnaden mellan ändamål och laglig grund?

Ändamålet är vad ni använder uppgifterna till, och det bestämmer ni. Den lagliga grunden är vilken av artikel 6.1:s sex punkter som gör användningen tillåten, och den följer av ändamålet. Ordningen är viktig: väljer ni grund först och formulerar ändamål efteråt får ni ett ändamål som passar valet i stället för verksamheten.

Blir behandlingsregistret färdigt under workshopen?

Nej, och det lovar vi inte heller. Ni går hem med ett påbörjat register där era viktigaste behandlingar är införda med ändamål och gallringsfrist, plus mallen och instruktionsboken för att fylla på resten. Målet är en grund som håller och en rutin som gör att den fortsätter hålla, inte ett färdigt dokument på fyra timmar.

Vem bör delta från vår sida?

De som faktiskt behandlar personuppgifter i sitt dagliga arbete: HR, ekonomi, försäljning, IT och kundtjänst. Fem till tio personer. Det skiljer den här workshopen från ledningsutbildningen, där deltagarna är beslutsfattarna. Här är de som känner behandlingarna, och de sitter sällan i ledningsgruppen.

Vi har redan ett behandlingsregister. Är workshopen ändå relevant?

Ja, men med annat innehåll. Ett register som ärvts från ett tidigare projekt bär ofta ändamål som ingen längre känns vid och gallringsfrister som står som tills vidare. Vi prövar det ni har mot artikel 30.1:s sju uppgifter i stället för att börja från noll, och lägger vikten vid rutinerna som håller registret levande.

Hur vet vi om en behandling kräver konsekvensbedömning?

Grundregeln i artikel 35.1 är att bedömningen krävs när behandlingen sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. Artikel 35.3 pekar ut tre fall där den alltid krävs, bland annat behandling i stor omfattning av särskilda kategorier. Vi kör trigger-checken på era behandlingar under passet, så att beslutet fattas på era faktiska fall och inte på ett exempel.

Ersätter workshopen ett dataskyddsombud?

Nej. Ett dataskyddsombud är en löpande funktion som ska informera, ge råd och övervaka efterlevnaden. Workshopen ger de personer som behandlar personuppgifter förmågan att göra sitt eget arbete rätt. Behöver ni ett ombud eller löpande stöd är det vCISO-uppdraget eller vår GDPR-rådgivning.

Nr 08

2026

Utbildningar

Ni vet vad ni gör med uppgifterna. Står det någonstans?

Dataskyddsförordningen kräver att ni kan visa vad ni behandlar, varför och hur länge. I den här workshopen påbörjar ni ert behandlingsregister med era egna behandlingar, väljer laglig grund för var och en och fattar beslut om vilka som kräver konsekvensbedömning. Ni går hem med ett underlag, inte med anteckningar.

Boka en kostnadsfri genomgång Vad förordningen kräver

Kort svar

Ett behandlingsregister är förteckningen över vad ni gör med personuppgifter, och dataskyddsförordningen räknar i artikel 30.1 upp sju uppgifter det ska innehålla. Vår GDPR-workshop är en faciliterad halvdag på fyra timmar där ni påbörjar registret med era egna behandlingar, väljer laglig grund per behandling och avgör vilka som kräver konsekvensbedömning.

Art. 5.1 b

Ändamålsbegränsningen

Art. 5.1 e

Lagringsminimeringen

Vilka beslut kan ingen konsult fatta åt er?

Två. Vad ni använder uppgifterna till, och hur länge ni behåller dem. Allt annat i dataskyddsförordningen följer av dem, och det är precis därför en mall inte räcker: mallen har kolumnerna, men den kan inte fatta besluten.

De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål.
Dataskyddsförordningen, artikel 5.1 b

Orden uttryckligt angivna gör ändamålet till något som ska stå skrivet. Och när det står skrivet blir resten härledningar: den lagliga grunden väljs mot ändamålet, lagringstiden följer av det, och frågan om uppgifterna är för omfattande går inte att besvara utan det. Ett fel i ändamålet gör tre andra kolumner fel utan att någon av dem ser fel ut.

Gallringsfristen är den andra. Artikel 5.1 e säger att uppgifter inte får förvaras i en form som möjliggör identifiering längre än vad ändamålet kräver. Utan en frist raderas ingenting, och en begäran om radering går inte att besvara systematiskt.

De två fälten är också de vi ser tomma oftast. Ett ärvt register bär ofta ett ändamål som ingen längre känns vid, och en gallringsfrist som står som tills vidare.

Art. 30.5

Den enda tröskeln

Gäller registerplikten oss med under 250 anställda?

Nästan säkert ja, och det är en av de vanligaste missuppfattningarna vi möter. Dataskyddsförordningen har ingen tröskel för sin tillämplighet i övrigt: den gäller varje organisation som behandlar personuppgifter. Men just registerplikten har ett undantag, och det är formulerat så att det sällan träffar.

De skyldigheter som anges i punkterna 1 och 2 ska inte gälla för ett företag eller en organisation som sysselsätter färre än 250 personer såvida inte den behandling som utförs sannolikt kommer att medföra en risk för registrerades rättigheter och friheter, behandlingen inte är tillfällig eller behandlingen omfattar särskilda kategorier av uppgifter.
Dataskyddsförordningen, artikel 30.5, förkortat

Läs ordet eller. De tre villkoren är alternativa, inte kumulativa: ett enda av dem räcker för att undantaget ska falla. Det mellersta lyder att behandlingen inte är tillfällig.

Har ni anställda?: Då behandlar ni löne- och anställningsuppgifter löpande, alltså inte tillfälligt. Undantaget faller på det andra villkoret.
Hanterar ni sjukfrånvaro eller rehabilitering?: Hälsouppgifter är en särskild kategori enligt artikel 9.1. Undantaget faller på det tredje villkoret.
Har ni ett kundregister som ni gör utskick ur?: Det är en löpande behandling. Undantaget faller på samma villkor som det första.

Vad som återstår av undantaget är den verkligt tillfälliga behandlingen av uppgifter som varken är känsliga eller riskfyllda. Det är sällan hela verksamheten, och registret ska då omfatta resten. Vår erfarenhet är att organisationer i vår storleksklass antingen tror att de är undantagna eller inte vet att tröskeln finns, och båda leder till samma sak.

Art. 6.1

Sex grunder, ett val

Art. 7.3

Samtycket kan tas tillbaka

Hur väljer man laglig grund, och kan man byta sedan?

Artikel 6.1 räknar upp sex lagliga grunder: samtycke, avtal, rättslig förpliktelse, skydd av intressen av grundläggande betydelse, uppgift av allmänt intresse och berättigat intresse. Exakt en väljs per behandling, och valet är inte fritt: det avgörs av vad ändamålet faktiskt är.

Samtycke lockar, eftersom det låter mest respektfullt. Men artikel 7.3 säger att ett samtycke ska kunna återkallas lika lätt som det lämnades, och en behandling ni är skyldiga att utföra enligt lag ska inte vila på något den registrerade kan ta tillbaka. Löneutbetalningen är inte frivillig.

Att byta ändamål i efterhand är inte heller fritt. Artikel 6.4 räknar upp fem kriterier som ska beaktas när man bedömer om ett nytt ändamål är förenligt med det ni samlade in för: kopplingen mellan ändamålen, sammanhanget, uppgifternas art, konsekvenserna för den registrerade och förekomsten av skyddsåtgärder. Uppgifter insamlade för att leverera en tjänst blir inte automatiskt tillgängliga för marknadsföring.

Art. 35

Konsekvensbedömning

När krävs en konsekvensbedömning?

När behandlingen sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. Formuleringen är avsiktligt öppen, men artikel 35.3 pekar ut tre fall där bedömningen alltid krävs: systematisk och omfattande automatiserad bedömning av personliga aspekter som beslut grundar sig på, behandling i stor omfattning av särskilda kategorier eller uppgifter om brott, och systematisk övervakning av allmän plats i stor omfattning.

Bedömningen ska enligt artikel 35.7 innehålla minst fyra delar. Den första är en systematisk beskrivning av behandlingen och dess syften, alltså samma ändamål som styrde registret. Utan det är det inte en konsekvensbedömning, det är en riskanteckning.

Beskrivning av behandlingen och syftena: Inklusive det berättigade intresset, när behandlingen vilar på det.
Nödvändighet och proportionalitet: Behövs behandlingen för syftet, och står den i rimlig proportion till det?
Bedömning av riskerna för de registrerade: Perspektivet är individens, inte organisationens. Det är den vanligaste bristen vi ser.
Planerade åtgärder: Skyddsåtgärder, säkerhetsåtgärder och rutiner som både hanterar risken och visar att förordningen efterlevs.

Art. 28

Biträden

Art. 29

Instruktionsbundenhet

Vad måste stå i ett personuppgiftsbiträdesavtal?

Artikel 28.3 räknar upp vad avtalet ska ange: föremålet för behandlingen, dess varaktighet, art och ändamål, typen av personuppgifter, kategorierna av registrerade, och den ansvariges skyldigheter och rättigheter. Därutöver följer åtta punkter om vad biträdet särskilt ska åläggas. Det är ett av förordningens mest granskningsbara krav, just för att innehållet är uppräknat.

Underbiträden är den del som oftast glappar. Ett biträde får inte anlita ett annat biträde utan skriftligt förhandstillstånd. Har ni gett ett allmänt tillstånd ska biträdet informera er om planerade byten, och ni har rätt att invända. I praktiken betyder det att någon hos er måste läsa de mejlen.

Artikel 29 lägger till en sak som ofta förbises: den som behandlar personuppgifter under er eller ett biträdes överinseende får bara göra det enligt instruktion. Det gör arbetsinstruktioner och behörighetsmodell till en efterlevnadsfråga, inte en ordningsfråga. Det gäller konsulter och inhyrd personal lika mycket som anställda.

Vi går igenom vad ett biträdesavtal ska innehålla och ni kartlägger era egna leverantörer under passet. Har ni befintliga avtal ni vill ha granskade är det ett separat uppdrag (se avgränsningen längre ned). Vill ni läsa mer om just avtalen har vi skrivit om dem i GDPR och leverantörsavtal.

Art. 33

72 timmar till IMY

2 kap. 5–6 §§

Cybersäkerhetslagen

Hur snabbt måste en personuppgiftsincident anmälas?

Utan onödigt dröjsmål, och om möjligt inte senare än 72 timmar efter att ni fått vetskap om den. Anmälan går till Integritetsskyddsmyndigheten. Undantaget är smalt: den behöver inte göras om det är osannolikt att incidenten medför en risk för fysiska personers rättigheter och friheter, och en försenad anmälan ska åtföljas av en motivering till förseningen.

Sker anmälan är det inte alltid nog. Leder incidenten sannolikt till en hög risk ska ni dessutom informera de registrerade själva, utan onödigt dröjsmål. Två trösklar, två mottagare: risk utlöser anmälan till myndigheten, hög risk utlöser information till individen.

Och omfattas ni av cybersäkerhetslagen löper ett andra spår parallellt. Lagens 2 kap. 5 § kräver upplysning till CSIRT-enheten inom 24 timmar från kännedom om en betydande incident, och 2 kap. 6 § en incidentanmälan inom 72 timmar. Samma tal som artikel 33, men annan mottagare och annan startpunkt. Ingen av anmälningarna ersätter den andra.

Vi har skrivit om hur de fyra fristerna förhåller sig till varandra i En incident, fyra klockor. Under workshopen tar vi det praktiska: vem larmar vem, och vilken klocka startar när.

Halvdag

Med era egna behandlingar

Från spridda system till ett påbörjat register

Workshopen tar fyra timmar och genomförs digitalt eller på plats. Cirka sextio procent av tiden är arbete med er egen verksamhet, inte genomgång. Behandlingarna ni arbetar med väljs i förväg tillsammans med er, så att övningarna träffar det ni faktiskt gör.

Inramning och begrepp
Vad är en behandling, och var går gränsen mot ett system? Här sätts också registerpliktens omfattning för just er, inklusive om 250-tröskeln gör någon skillnad.
Kartläggning och ändamål
Ni för in era egna behandlingar i registret och formulerar ändamålet för var och en. Gallringsfristen sätts i samma moment, eftersom den följer av ändamålet och inte av något annat.
Laglig grund och riskbedömning
Grunden väljs per behandling mot det ändamål ni just skrivit. Därefter körs DPIA-triggern på behandlingarna, och ni fattar beslut om vilka som kräver en konsekvensbedömning.
Biträden, incidenter och instruktioner
Era leverantörer kartläggs mot registret. Incidentspåren gås igenom med utgångspunkt i vem hos er som larmar, och instruktionsfrågan kopplas till era faktiska behörigheter.
Överlämning och användningstest
Avslutningen är inte en planering utan ett prov: någon som inte varit med i arbetet lägger in en ny behandling i registret med hjälp av instruktionsboken. Går det inte är det där arbetet fortsätter.

Vilka bör delta

Fem till tio personer som faktiskt behandlar personuppgifter i sitt arbete: HR, ekonomi, försäljning, IT och kundtjänst. Det här är inte en ledningsutbildning. Bredden avgör hur mycket av registret som blir ifyllt, eftersom varje funktion känner sina egna behandlingar. Är någon med beslutsmandat på plats kan registret fastställas direkt.

Vad ni förbereder

Ingenting obligatoriskt. Finns en systemförteckning, en leverantörslista eller ett befintligt behandlingsregister skickar ni den i förväg. Ett ärvt register är mer värt att pröva än att komplettera: ändamålen skrevs en gång, av någon som kanske slutat, och har inte prövats sedan dess.

Sex

Leverabler i paketet

Vad ni har i handen efteråt

Materialet är färdigproducerat. Ni får ett paket som går att arbeta vidare i, och ett register som håller som underlag om Integritetsskyddsmyndigheten frågar.

Påbörjat behandlingsregister: Era egna behandlingar med ändamål och gallringsfrist ifyllda, i ett kalkylark med artikel 30.1:s sju uppgifter som kolumner.
DPIA-mall med trigger-check: Kriterierna för när en konsekvensbedömning krävs, med kalibrerade exempel så att gränsfallen går att avgöra. Mallen följer artikel 35.7:s fyra minimidelar.
Mognadsbedömningsmall: En ifyllbar mall för att bedöma var ni står per område. Den fylls i efter workshopen, när registret hunnit bli mer komplett än en halvdag räcker till.
Instruktionsbok: Rutin för ny behandling, för ny leverantör som behandlar personuppgifter, och för årlig översyn. Var och en skriven för att kunna utföras av någon som inte var på workshopen.
Deltagarguide: Snabbreferenser för DPIA-triggern och biträdesavtalens minimikrav, plus incidentbeslutsstödet i en form som går att öppna när klockan redan tickar.
Sammanfattning: Vilka beslut som fattades, vilka som kvarstår, och vem hos er som fastställer registret. Ett register ingen fastställt är ett utkast.

Fast pris, angivet i offert. Workshopen står fristående och ingår inte i det samlade workshopprogrammet. Arbetar ni parallellt med cybersäkerhetslagen möter ni personuppgiftsincidenterna från andra hållet i incidenthanteringen, och era leverantörer från ett bredare perspektiv i leverantörssäkerheten.

Fyra timmar

Rymmer inte allt

Vad ingår inte?

Fyra timmar räcker till registret och de beslut som hänger på det. Följande ligger utanför, och det är medvetet: vi säger det hellre här än låter er upptäcka det på plats.

Internationella överföringar och cookies: Båda är egna ämnen med egen praxis som rör sig snabbt. De hanteras i det löpande dataskyddsarbetet, inte på en halvdag. Cookies är dessutom ett symptom; behandlingsregistret är diagnosen.
Registrerades rättigheter: Rutinerna för utdrag, rättelse, radering och invändning enligt artiklarna 15–22 hör hemma i det löpande arbetet. Se GDPR och dataskydd.
Granskning av era befintliga biträdesavtal: Vi går igenom vad avtalen ska innehålla och ni kartlägger vilka ni har. Att läsa och bedöma varje avtal är ett eget uppdrag.
Rollen som dataskyddsombud: Vi förklarar när ett ombud måste utses och att rollen är övervakande, inte ansvarig. Att vara ert ombud är en löpande funktion, inte en workshop.
Juridisk bedömning av en enskild behandling: Vår styrka är de praktiska och organisatoriska delarna. Vid komplexa rättsliga frågor rekommenderar vi juridisk dataskyddsrådgivning som komplement.

Vanliga frågor

Måste vi ha ett behandlingsregister om vi har färre än 250 anställda?: Nästan säkert ja. Artikel 30.5 undantar organisationer under 250 anställda, men undantaget faller om något av tre villkor är uppfyllt: behandlingen medför sannolikt en risk för registrerades rättigheter, behandlingen är inte tillfällig, eller den omfattar särskilda kategorier av uppgifter. Villkoren är alternativa. Har ni anställda behandlar ni löneuppgifter löpande, alltså inte tillfälligt, och undantaget faller på det ledet.
Vad är skillnaden mellan ändamål och laglig grund?: Ändamålet är vad ni använder uppgifterna till, och det bestämmer ni. Den lagliga grunden är vilken av artikel 6.1:s sex punkter som gör användningen tillåten, och den följer av ändamålet. Ordningen är viktig: väljer ni grund först och formulerar ändamål efteråt får ni ett ändamål som passar valet i stället för verksamheten.
Blir behandlingsregistret färdigt under workshopen?: Nej, och det lovar vi inte heller. Ni går hem med ett påbörjat register där era viktigaste behandlingar är införda med ändamål och gallringsfrist, plus mallen och instruktionsboken för att fylla på resten. Målet är en grund som håller och en rutin som gör att den fortsätter hålla, inte ett färdigt dokument på fyra timmar.
Vem bör delta från vår sida?: De som faktiskt behandlar personuppgifter i sitt dagliga arbete: HR, ekonomi, försäljning, IT och kundtjänst. Fem till tio personer. Det skiljer den här workshopen från ledningsutbildningen, där deltagarna är beslutsfattarna. Här är de som känner behandlingarna, och de sitter sällan i ledningsgruppen.
Vi har redan ett behandlingsregister. Är workshopen ändå relevant?: Ja, men med annat innehåll. Ett register som ärvts från ett tidigare projekt bär ofta ändamål som ingen längre känns vid och gallringsfrister som står som tills vidare. Vi prövar det ni har mot artikel 30.1:s sju uppgifter i stället för att börja från noll, och lägger vikten vid rutinerna som håller registret levande.
Hur vet vi om en behandling kräver konsekvensbedömning?: Grundregeln i artikel 35.1 är att bedömningen krävs när behandlingen sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. Artikel 35.3 pekar ut tre fall där den alltid krävs, bland annat behandling i stor omfattning av särskilda kategorier. Vi kör trigger-checken på era behandlingar under passet, så att beslutet fattas på era faktiska fall och inte på ett exempel.
Ersätter workshopen ett dataskyddsombud?: Nej. Ett dataskyddsombud är en löpande funktion som ska informera, ge råd och övervaka efterlevnaden. Workshopen ger de personer som behandlar personuppgifter förmågan att göra sitt eget arbete rätt. Behöver ni ett ombud eller löpande stöd är det vCISO-uppdraget eller vår GDPR-rådgivning.
Vad kostar workshopen?: Fast pris, angivet i offert. Workshopen är fristående och ingår inte i det samlade workshopprogrammet för de fem workshopparna enligt cybersäkerhetslagen.

Boka GDPR-workshopen

Börja med ett kostnadsfritt samtal på 30 minuter. Vi går igenom vilka behandlingar som är mest angelägna hos er och om workshopen är rätt nästa steg. Inga förpliktelser.

Boka 30 minuter Läs om GDPR och dataskydd