Dataskyddslagen, lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, reglerar svenska frågor som GDPR lämnar utrymme att precisera nationellt. Den ersätter inte förordningen. För en verksamhet i Sverige behöver bedömningen därför ofta omfatta både GDPR, dataskyddslagen och den särskilda lagstiftning som gäller för verksamheten eller uppgifterna.
De praktiska skillnaderna märks bland annat vid personnummer, känsliga uppgifter i arbetslivet, barns samtycke till vissa onlinetjänster och begränsningar av rätten till tillgång. Även IMY:s handläggning, sanktionsavgifter för myndigheter och vissa överklaganden regleras här. Den här guiden utgår från bestämmelser som gäller den 28 september 2026 och skiljer dem från framtida lydelser som också kan visas i en konsoliderad lagtext.
Börja med rätt regelverk och rätt verksamhet
Den aktuella dataskyddslagen hos Riksdagen använder samma begrepp som GDPR. Personuppgiftsansvarig, behandling och känsliga personuppgifter får alltså inte en helt ny betydelse i svensk rätt. Lagens första kapitel behandlar bland annat tillämpningsområde, förhållandet till andra författningar och tryck- och yttrandefriheten.
Enligt 1 kap. 6 § ska en avvikande bestämmelse i en annan lag eller förordning tillämpas framför dataskyddslagens bestämmelse. Det innebär inte att varje svensk specialregel automatiskt kan sätta GDPR ur spel. Den nationella regeln måste bedömas inom det utrymme unionsrätten ger. Fråga därför först vilken behandling det gäller, vilken bestämmelse som åberopas och vad den faktiskt tillåter eller kräver.
En privat vårdgivare kan exempelvis behöva tillämpa både GDPR och regler om patientuppgifter, medan samma företags rekrytering behöver bedömas för sitt eget ändamål. Läs mer om verksamhetens särskilda frågor i guiden om GDPR inom hälso- och sjukvård. Att en organisation verkar i en reglerad sektor betyder inte att alla dess interna behandlingar omfattas av samma undantag.
Territoriell tillämpning och framtida lagtext
Dataskyddslagens 1 kap. 5 § knyter tillämpningen bland annat till verksamhetsställen i Sverige. Den omfattar också vissa behandlingar hos aktörer som endast är etablerade i tredjeland när behandlingen anknyter till erbjudande av varor eller tjänster till personer i Sverige eller övervakning av deras beteende här. GDPR:s eget territoriella tillämpningsområde behöver samtidigt prövas.
För barns samtycke finns en särskild anknytning: bestämmelsen i 2 kap. 4 § gäller barn som bor i Sverige oavsett var ansvariga eller biträden är etablerade. Ett svenskt språkval i en app räcker därför inte som fullständig bedömning av vilka nationella regler som ska användas. Kartlägg vilka personer tjänsten riktar sig till och hur den rättsliga grunden har bestämts.
Var uppmärksam på markeringar om ikraftträdande i den konsoliderade lagen. Den 28 september 2026 visar lagtexten exempelvis också en framtida lydelse av 1 kap. 3 § som börjar gälla den 1 januari 2027. Den ska inte beskrivas som redan gällande. För pågående verksamhet måste organisationen kunna skilja dagens skyldigheter från förändringar som kräver förberedelser inför ett senare datum.
Rättslig förpliktelse och allmänt intresse behöver konkret stöd
Andra kapitlet preciserar hur vissa svenska rättsliga grunder kan stödja behandling. En rättslig förpliktelse enligt artikel 6.1 c kan enligt 2 kap. 1 § följa av lag eller annan författning, kollektivavtal eller ett beslut med stöd av lag eller annan författning. Behandlingen måste vara nödvändig för att fullgöra förpliktelsen. Ett internt önskemål eller en leverantörs standardvillkor är inte i sig en sådan förpliktelse.
För artikel 6.1 e finns motsvarande regler om uppgifter av allmänt intresse och myndighetsutövning i 2 kap. 2 §. Organisationen behöver identifiera den uppgift som har stöd i det angivna regelverket och sedan bedöma vilka personuppgifter som behövs för just uppgiften. Det är inte tillräckligt att verksamheten i största allmänhet uppfattas som samhällsnyttig.
Ett praktiskt underlag bör koppla varje behandling till relevant bestämmelse och förklara nödvändigheten. Hänvisa gärna från registerförteckningen enligt artikel 30, även om rättslig grund är ett kompletterande arbetsfält och inte ett uttryckligen uppräknat fält i artikel 30. Då kan ett ändrat uppdrag följas upp utan att organisationen måste börja om med att hitta stödet för varje behandling.
Personnummer och samordningsnummer: ett extra villkor
Enligt 3 kap. 10 § får personnummer och samordningsnummer behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet, vikten av säker identifiering eller något annat beaktansvärt skäl. Orden ”utan samtycke” är viktiga. Regeln är inte ett ovillkorligt förbud, och den säger inte heller att organisationen alltid måste inhämta samtycke för att använda ett personnummer.
Bedömningen behöver komplettera GDPR:s krav på rättslig grund, uppgiftsminimering, information och säkerhet. Personnummer är inte i sig en särskild kategori enligt artikel 9, men kan ändå innebära betydande risker om de sprids eller kombineras med andra uppgifter. Ett godtagbart skäl att samla in numret innebär inte automatiskt ett skäl att visa det för alla användare eller skicka det i varje meddelande.
Anta att en tjänst behöver identifiera en kund säkert vid en viss åtgärd. Undersök om ändamålet kan uppnås med kundnummer, autentisering eller en kontroll som inte gör hela personnumret permanent synligt i arbetslistorna. Dokumentera varför lösningen är tillräcklig. För en mer ingående avvägning, se när personnummer och samordningsnummer behövs.
Trettonårsgränsen gäller en bestämd samtyckessituation
Sverige har genom 2 kap. 4 § satt åldersgränsen till 13 år för den situation som avses i GDPR artikel 8: samtyckesbaserad behandling vid erbjudande av informationssamhällets tjänster direkt till barn. För barn under 13 år ska samtycket i denna situation ges eller godkännas av den som har föräldraansvar. Det är alltså inte en allmän regel om att alla behandlingar av barns uppgifter kräver förälders samtycke fram till trettonårsdagen.
Kontrollera först om behandlingen faktiskt bygger på samtycke och om tjänsten faller inom artikel 8. Därefter behöver organisationen säkerställa att samtycket är frivilligt, informerat, specifikt och lämnat genom en tydlig bekräftelse. Barnets ålder befriar inte verksamheten från skyldigheten att förklara behandlingen på ett begripligt sätt eller från att begränsa insamlingen till vad som behövs.
Det finns dessutom en särskild förklaring i skäl 38 och EDPB:s slutliga riktlinjer om samtycke, punkt 150: förebyggande eller rådgivande tjänster som erbjuds direkt till ett barn, även online, behöver inte förälders samtycke enligt den situation som riktlinjerna beskriver. Denna precisering ska hållas isär från den nationella åldersgränsen och från andra rättsliga grunder.
Utanför artikel 8 går det inte att använda 13 år som ett universellt svar på barnets förmåga att samtycka. Bedöm den aktuella behandlingen och relevant svensk rätt. En samtyckesblankett måste därför anpassas till situationen; en ruta med vårdnadshavarens namn löser inte automatiskt frågorna om frivillighet, behörighet och information.
Känsliga uppgifter i arbetslivet
Tredje kapitlet kompletterar flera undantag från förbudet i artikel 9. För arbetsrätt, social trygghet och socialt skydd anger 3 kap. 2 § att känsliga uppgifter får behandlas med stöd av artikel 9.2 b när det är nödvändigt för att fullgöra skyldigheter eller utöva särskilda rättigheter inom dessa områden. Det krävs fortfarande en rättslig grund enligt artikel 6 och att GDPR:s övriga krav följs.
Arbetsgivaren behöver därför ange vilken konkret skyldighet eller rättighet som motiverar behandlingen. En uppgift om sjukfrånvaro kan behövas i en viss personalprocess, men det innebär inte att en fullständig diagnoshistorik får samlas in för alla anställda. Den som utformar rutinen måste skilja uppgifter som behövs för åtgärden från information som bara skulle vara intressant att ha.
Bestämmelsen begränsar också utlämnande till tredje part. Uppgifter som behandlas med detta stöd får lämnas ut endast om arbetsrätten eller områdena social trygghet och socialt skydd innehåller en skyldighet att göra det, eller om den registrerade uttryckligen samtycker till utlämnandet. Ett lagligt internt användningsområde får därför inte förvandlas till en generell rätt att dela informationen vidare.
Bedöm känsliga personuppgifter enligt GDPR utifrån varje uppgifts innehåll och sammanhang. För fackligt medlemskap i löneadministrationen behövs särskild omsorg om både artikel 9-stödet och vilka mottagare som får uppgifterna. Att informationen finns i ett lönesystem gör den inte mindre skyddsvärd.
Myndigheter, vård och uppgifter om lagöverträdelser
För myndigheters behandling av känsliga uppgifter av viktigt allmänt intresse finns särskilda förutsättningar i 3 kap. 3 §. Bestämmelsen omfattar bland annat uppgifter som har lämnats till myndigheten och måste behandlas enligt lag samt nödvändig ärendehandläggning. Den innehåller också ett förbud mot sökningar för att ta fram urval av personer utifrån känsliga uppgifter när behandlingen enbart stöds på första stycket.
Vårdens bestämmelse i 3 kap. 5 § knyter till artikel 9.2 h och förutsätter att sekretesskravet i artikel 9.3 är uppfyllt. Ett allmänt intresse för hälsa är alltså inte liktydigt med att vilken organisation som helst kan använda denna väg. Såväl verksamhetens uppgift som mottagarens behörighet och den tillämpliga tystnadsplikten behöver klarläggas.
Uppgifter enligt artikel 10, om fällande domar i brottmål, lagöverträdelser som innefattar brott och relaterade säkerhetsåtgärder, har en separat ordning. Enligt 3 kap. 8 § får myndigheter behandla sådana uppgifter. Andra aktörer behöver relevant stöd, exempelvis tillämpliga föreskrifter eller ett särskilt tillstånd enligt 3 kap. 9 §; lagen innehåller också en bestämmelse om nödvändig behandling för att följa arkivföreskrifter. Ett vanligt samtycke ska inte antas ersätta kravet på stöd enligt artikel 10.
Yttrandefrihet och utgivningsbevis kräver en aktuell bedömning
I 1 kap. 7 § finns regler om tryckfrihetsförordningen, yttrandefrihetsgrundlagen samt journalistiska, akademiska, konstnärliga och litterära ändamål. Det vore missvisande att sammanfatta rättsläget som att svensk grundlag alltid går före GDPR eller att ett utgivningsbevis automatiskt undantar all behandling i en databas.
Den 9 juli 2026 meddelade EU-domstolen dom i mål C-199/24, Legal Newsdesk Sweden, tidigare Garrapatica, om en svensk söktjänst med frivilligt utgivningsbevis. IMY:s information om domen beskriver dess betydelse för myndighetens pågående granskningar. Mediemyndighetens aktuella vägledning klargör att utgivningsbeviset i sig inte avgör om GDPR gäller: behandlingen och dess ändamål måste bedömas i det enskilda fallet.
En verksamhet ska därför inte återanvända ett gammalt besked om grundlagsskydd som generell motivering för nya personuppgiftsbehandlingar. Identifiera publiceringens faktiska syfte och vilka undantag som kan vara tillämpliga. Att återge ett myndighetsdokument, sälja sökfunktioner och bedriva journalistisk verksamhet är inte beskrivningar som utan vidare kan användas som rättsligt likvärdiga etiketter.
Svenska begränsningar av information och tillgång
Femte kapitlet innehåller begränsningar som kan påverka information enligt artiklarna 13 och 14 samt registerutdrag enligt artikel 15. Enligt 5 kap. 1 § gäller dessa rättigheter inte uppgifter som den ansvariga inte får lämna ut till personen enligt angivna författningar eller författningsstödda beslut. För privata ansvariga omfattas även uppgifter som skulle ha varit sekretessbelagda hos en myndighet enligt offentlighets- och sekretesslagen.
Detta kräver en konkret prövning av uppgiften och den åberopade sekretessbestämmelsen. ”Internt”, ”konfidentiellt” eller ”affärskänsligt” är inte tillräckliga förklaringar i sig. Organisationen behöver skilja uppgifter som faktiskt omfattas av ett undantag från sådant som kan lämnas ut, och bedöma om ett anpassat utdrag kan tillgodose rätten i övrigt.
Enligt 5 kap. 2 § gäller artikel 15 inte personuppgifter i löpande text som ännu inte fått slutlig utformning när begäran gjordes eller som utgör minnesanteckningar eller liknande. Undantaget gäller dock inte om uppgifterna lämnats till tredje part, behandlas enbart för arkivändamål av allmänt intresse eller statistiska ändamål, eller har behandlats längre än ett år i ännu inte färdig löpande text. Det är alltså inte ett generellt undantag för all e-post eller alla arbetsdokument.
Arkiv och forskning innebär inte fri återanvändning
Dataskyddslagen innehåller särskilda användningsbegränsningar i fjärde kapitlet. Uppgifter som behandlas enbart för arkivändamål av allmänt intresse, statistiska ändamål eller forskningsändamål får enligt respektive bestämmelse användas för åtgärder mot eller beträffande den registrerade endast när det finns synnerliga skäl med hänsyn till personens vitala intressen. Arkivbestämmelsen innehåller dessutom ett undantag för myndigheters användning av uppgifter i allmänna handlingar och vissa jämställda verksamheter.
Begreppet ”enbart” och de särskilda förutsättningarna spelar roll. En organisation kan inte ge ett vanligt kundarkiv etiketten forskning och därefter bortse från ändamål, rättigheter eller gallring. Koppla användningsbegränsningar till behörigheter och till lagringsminimering och gallring, så att material inte blir tillgängligt för oförenliga operativa ändamål bara för att det finns kvar tekniskt.
IMY, sanktionsavgifter och vägar att få ett beslut prövat
Integritetsskyddsmyndigheten, IMY, har enligt 6 kap. 1 § befogenheter även vid tillsyn över kompletterande dataskyddsregler. För svenska myndigheter anger 6 kap. 2 § särskilda tak: fem miljoner kronor för överträdelser enligt artikel 83.4 och tio miljoner för överträdelser enligt artikel 83.5 och 83.6. Detta är rättsliga maxbelopp, inte en prislista för vissa fel.
Regeln gäller myndigheter; den ska inte utan analys överföras till alla företag med offentlig ägare. För övriga aktörer behöver GDPR:s sanktionsregler bedömas. Vid en genomgång av IMY:s sanktionsavgifter bör organisationen skilja beslutad avgift, överklagande och domstolens senare prövning. Ett pressmeddelande om ett ursprungligt beslut visar inte ensamt hela processens utgång.
Sedan 2025 finns i 6 kap. 8 § en särskild möjlighet att begära besked om ett klagomål. Om IMY inte inom tre månader har tagit ställning till om tillsyn ska inledas får den registrerade skriftligen begära besked i den frågan. IMY ska lämna besked eller avslå begäran inom två veckor; uteblivet besked eller beslut räknas som avslag. Regeln kräver inte att hela tillsynsärendet är färdigutrett inom tre månader.
Ett sådant avslag kan överklagas enligt 7 kap. 3 a §. Lagen reglerar också överklagande av vissa beslut som myndigheter fattar som personuppgiftsansvariga och av IMY:s beslut, med angivna undantag. Det är därför viktigt att skilja ett klagomål till IMY från ett överklagande av ett konkret beslut. Läs beslutets anvisningar och välj den rättsliga vägen utifrån vem som fattat beslutet och vad det avser.
Vanliga frågor om dataskyddslagen
Behöver företag följa både dataskyddslagen och GDPR?
Ja, när respektive regels tillämpningsförutsättningar är uppfyllda. Dataskyddslagen kompletterar förordningen. Även sektorsregler kan vara relevanta, exempelvis för vård eller personal och rekrytering. Identifiera stödet för behandlingen och eventuella begränsningar i stället för att välja ett av regelverken som enda grund.
Är personnummer känsliga personuppgifter enligt artikel 9?
Inte enbart genom att vara personnummer. De omfattas däremot av särskild svensk reglering, och sammanhanget kan innebära att även artikel 9-uppgifter behandlas. Behandling utan samtycke måste vara klart motiverad enligt 3 kap. 10 §, samtidigt som övriga GDPR-krav gäller.
Gäller personuppgiftslagen fortfarande?
Personuppgiftslagen upphävdes när dataskyddslagen trädde i kraft den 25 maj 2018. Övergångsbestämmelser kan fortfarande ha betydelse för äldre förhållanden, bland annat överträdelser som skedde före ikraftträdandet. För dagens behandlingar ska en gammal hänvisning till PUL därför kontrolleras och bedömas mot det regelverk som faktiskt gäller nu.