{"id":8543,"date":"2026-10-12T05:01:09","date_gmt":"2026-10-12T03:01:09","guid":{"rendered":"https:\/\/evertrust.se\/molntjanster-gdpr\/"},"modified":"2026-10-12T05:01:10","modified_gmt":"2026-10-12T03:01:10","slug":"molntjanster-gdpr","status":"publish","type":"post","link":"https:\/\/evertrust.se\/en\/molntjanster-gdpr\/","title":{"rendered":"Molntj\u00e4nster och GDPR: vem ansvarar och vad kr\u00e4ver lagen?"},"content":{"rendered":"<\/p>\n<p>Den personuppgiftsansvariga organisationen b\u00e4r ansvaret f\u00f6r GDPR-efterlevnad n\u00e4r ni anv\u00e4nder molntj\u00e4nster, oavsett hur standardiserat avtalet ser ut. Ett skriftligt personuppgiftsbitr\u00e4desavtal enligt <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/personuppgiftsansvariga-och-personuppgiftsbitraden\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">artikel 28 kr\u00e4vs alltid<\/a> n\u00e4r en leverant\u00f6r hanterar personuppgifter \u00e5t er, och \u00f6verf\u00f6ringar utanf\u00f6r EES m\u00e5ste skyddas med standardavtalsklausuler, bindande f\u00f6retagsbest\u00e4mmelser eller andra l\u00e4mpliga skydds\u00e5tg\u00e4rder.<\/p>\n<hr>\n<blockquote>\n<p><strong>Kort sagt:<\/strong><\/p>\n<ul>\n<li>Rollerna avg\u00f6rs av vem som faktiskt best\u00e4mmer \u00e4ndam\u00e5l och medel, inte av avtalets etiketter; gemensamma beslut kr\u00e4ver ett s\u00e4rskilt ansvarsf\u00f6rdelande arrangemang.<\/li>\n<li>Granska personuppgiftsbitr\u00e4desavtalet mot artikel 28 och kr\u00e4v dokumenterade instruktioner, en aktuell lista \u00f6ver underbitr\u00e4den, f\u00f6rhandsbesked om \u00e4ndringar samt regler f\u00f6r incidenter, radering och revision.<\/li>\n<li>Kontrollera \u00e4ven support, telemetri och administrativ \u00e5tkomst fr\u00e5n l\u00e4nder utanf\u00f6r EES, eftersom s\u00e5dan \u00e5tkomst kan inneb\u00e4ra \u00f6verf\u00f6ring trots europeisk datalagring.<\/li>\n<li>Standardavtalsklausuler r\u00e4cker inte ensamma: g\u00f6r en individuell riskbed\u00f6mning och komplettera vid behov med kryptering d\u00e4r leverant\u00f6ren saknar \u00e5tkomst till nycklarna.<\/li>\n<li>Certifieringar bevisar inte ensamma att skyddet fungerar; beg\u00e4r oberoende revisionsrapporter och testresultat, och kontrollera kryptering, \u00e5tkomstbeh\u00f6righeter samt incidentrutiner hos leverant\u00f6ren f\u00f6re beslut.<\/li>\n<\/ul>\n<\/blockquote>\n<hr>\n<div data-blg-cta=\"after_tldr\" data-blg-cta-layout=\"split\" style=\"margin:28px 0;font-family:-apple-system, BlinkMacSystemFont, &apos;Segoe UI&apos;, Roboto, Helvetica, Arial, sans-serif\">\n<div style=\"border-radius:26px;padding:min(22px,3.2vw);background:radial-gradient(circle at 100% 0%,#d9ebd8 0 150px,rgba(255,255,255,0) 151px),radial-gradient(circle at 0% 100%,#d9ebd8 0 130px,rgba(255,255,255,0) 131px),linear-gradient(180deg,#e6f2e5 0%,#f2f8f2 100%)\">\n<div style=\"background:#ffffff;border-radius:18px;overflow:hidden\">\n<div style=\"display:flex;flex-wrap:wrap\">\n<div style=\"flex:1 0 36%;min-width:220px;padding:30px 76px 30px 26px;color:#ffffff;background:linear-gradient(104deg,#164613 0%,#0d2a0b 82%,rgba(0,0,0,0) 82.15%)\">\n<div style=\"margin:0 0 14px\"><span style=\"display:inline-block;max-width:100%;border-radius:999px;padding:6px 13px;font-size:12px;font-weight:800;letter-spacing:0.1em;text-transform:uppercase;line-height:1.3;background:#ffffff;color:#1b5718\">Evertrust<\/span><\/div>\n<div style=\"font-size:12px;opacity:0.75\">evertrust.se<\/div>\n<\/div>\n<div style=\"flex:999 1 300px;min-width:0;padding:30px 28px\">\n<div style=\"font-size:23px;font-weight:800;line-height:1.2;letter-spacing:-0.01em;color:#1f2937;margin:0\">F\u00e5 klarhet i molntj\u00e4nstens GDPR-ansvar<\/div>\n<div style=\"width:56px;height:6px;border-radius:3px;background:#2D8F27;margin:12px 0 14px\"><\/div>\n<div style=\"font-size:15px;line-height:1.55;color:#64748b;margin:0 0 22px\">Evertrust ger juridiskt st\u00f6d inom GDPR och dataskydd, fr\u00e5n granskning av personuppgiftsbitr\u00e4desavtal till praktisk implementering.<\/div>\n<p><a href=\"https:\/\/evertrust.se\/en\/\" style=\"display:inline-flex;align-items:center;gap:9px;border-radius:10px;font-weight:700;font-size:15px;text-decoration:none;padding:13px 22px 13px 26px;background:#2D8F27;color:#ffffff\">Utforska Evertrusts st\u00f6d<\/a><\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<h2 id=\"innehallsforteckning\" tabindex=\"-1\">Inneh\u00e5llsf\u00f6rteckning<\/h2>\n<ul>\n<li><a href=\"#roller-och-ansvar-personuppgiftsansvarig-bitrade-och-joint-controllers-i-molnmiljo\">Roller och ansvar: personuppgiftsansvarig, bitr\u00e4de och joint controllers i molnmilj\u00f6<\/a><\/li>\n<li><a href=\"#personuppgiftsbitradesavtal-pub-och-artikel-28-vad-ska-avtalet-reglera-i-praktiken\">Personuppgiftsbitr\u00e4desavtal (PUB) och artikel 28: vad ska avtalet reglera i praktiken<\/a><\/li>\n<li><a href=\"#overforingar-till-tredjeland-nar-det-kravs-och-vilka-skydd-som-fungerar\">\u00d6verf\u00f6ringar till tredjeland: n\u00e4r det kr\u00e4vs och vilka skydd som fungerar<\/a><\/li>\n<li><a href=\"#underbitraden-och-leverantorskedjan-hur-ni-far-kontroll-over-sub-processors\">Underbitr\u00e4den och leverant\u00f6rskedjan: hur ni f\u00e5r kontroll \u00f6ver sub-processors<\/a><\/li>\n<li><a href=\"#tekniska-och-organisatoriska-atgarder-vad-ni-ska-krava-och-hur-ni-verifierar-sakerhetsnivan\">Tekniska och organisatoriska \u00e5tg\u00e4rder: vad ni ska kr\u00e4va och hur ni verifierar s\u00e4kerhetsniv\u00e5n<\/a><\/li>\n<li><a href=\"#praktisk-checklista-konkreta-steg-for-att-valja-och-granska-en-molntjanst\">Praktisk checklista: konkreta steg f\u00f6r att v\u00e4lja och granska en molntj\u00e4nst<\/a><\/li>\n<li><a href=\"#evertrusts-erfarenhet-vanliga-misstag-och-hur-vi-hjalper-kunder\">Evertrusts erfarenhet: vanliga misstag och hur vi hj\u00e4lper kunder<\/a><\/li>\n<li><a href=\"#boka-en-avstamning-om-er-molnlosning\">Boka en avst\u00e4mning om er molnl\u00f6sning<\/a><\/li>\n<li><a href=\"#vanliga-fragor\">Vanliga fr\u00e5gor<\/a><\/li>\n<li><a href=\"#kallor\">K\u00e4llor<\/a><\/li>\n<\/ul>\n<h2 id=\"roller-och-ansvar-personuppgiftsansvarig-bitrade-och-joint-controllers-i-molnmiljo\" tabindex=\"-1\">Roller och ansvar: personuppgiftsansvarig, bitr\u00e4de och joint controllers i molnmilj\u00f6<\/h2>\n<p>Innan ni tecknar ett enda avtal beh\u00f6ver ni veta vem som g\u00f6r vad. Den personuppgiftsansvariga best\u00e4mmer \u00e4ndam\u00e5l och medel f\u00f6r behandlingen, medan bitr\u00e4det behandlar uppgifter p\u00e5 uppdrag och enligt instruktion. En molntj\u00e4nstleverant\u00f6r som lagrar eller bearbetar personuppgifter \u00e5t er r\u00e4knas i princip alltid som bitr\u00e4de, \u00e4ven n\u00e4r tj\u00e4nsten marknadsf\u00f6rs som en generisk infrastrukturl\u00f6sning.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/10\/1791616218092_Ansvarig-organisation-instruerar-molntjanstbitrade.jpeg\" alt=\"Den ansvariga organisationen ger instruktioner till molntj\u00e4nstleverant\u00f6ren\"><\/p>\n<p>Rollf\u00f6rdelningen \u00e4r funktionell, inte avtalsbaserad. <a href=\"https:\/\/www.edpb.europa.eu\/system\/files\/2023-10\/EDPB_guidelines_202007_controllerprocessor_final_en.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">EDPB:s v\u00e4gledning om controller och processor<\/a> klarg\u00f6r att det \u00e4r den faktiska kontrollen \u00f6ver \u00e4ndam\u00e5l och medel som avg\u00f6r rollen, inte vad parterna kallar varandra i avtalstexten. Ibland delar tv\u00e5 parter p\u00e5 besluten om en behandling, till exempel n\u00e4r en molnleverant\u00f6r ocks\u00e5 anv\u00e4nder kunddata f\u00f6r egen produktutveckling. D\u00e5 uppst\u00e5r gemensamt personuppgiftsansvar, vilket kr\u00e4ver ett s\u00e4rskilt arrangemang som reglerar vem som svarar f\u00f6r vad gentemot registrerade.<\/p>\n<p>Rollbed\u00f6mningen f\u00e5r direkta praktiska f\u00f6ljder:<\/p>\n<ul>\n<li>Den personuppgiftsansvariga m\u00e5ste kunna visa r\u00e4ttslig grund f\u00f6r varje behandling som sker i molnet.<\/li>\n<li>Instruktionerna till bitr\u00e4det ska vara dokumenterade, inte underf\u00f6rst\u00e5dda genom ett standardavtal.<\/li>\n<li>Ni beh\u00f6ver kunna redog\u00f6ra f\u00f6r hela kedjan av behandlingar vid en tillsyn eller revision.<\/li>\n<li>Vid gemensamt ansvar kr\u00e4vs ett arrangemang som f\u00f6rdelar ansvaret f\u00f6r registrerades r\u00e4ttigheter.<\/li>\n<\/ul>\n<p>M\u00e5nga organisationer utg\u00e5r fr\u00e5n att en stor, v\u00e4lk\u00e4nd leverant\u00f6r automatiskt sk\u00f6ter rollf\u00f6rdelningen korrekt. I praktiken \u00e4r det ni som beh\u00f6ver pr\u00f6va varje tj\u00e4nst mot er egen verksamhet, eftersom samma molntj\u00e4nst kan inneb\u00e4ra olika roller beroende p\u00e5 hur ni faktiskt anv\u00e4nder den.<\/p>\n<h2 id=\"personuppgiftsbitradesavtal-pub-och-artikel-28-vad-ska-avtalet-reglera-i-praktiken\" tabindex=\"-1\">Personuppgiftsbitr\u00e4desavtal (PUB) och artikel 28: vad ska avtalet reglera i praktiken<\/h2>\n<p>Ett personuppgiftsbitr\u00e4desavtal \u00e4r inte en formalitet som kan bockas av, det \u00e4r det juridiska instrument som g\u00f6r att er anv\u00e4ndning av en molntj\u00e4nst \u00f6verhuvudtaget blir laglig. IMY \u00e4r tydliga med att ett skriftligt avtal kr\u00e4vs s\u00e5 snart ett f\u00f6retag hanterar personuppgifter \u00e5t ett annat, och att avtalet ska sl\u00e5 fast att leverant\u00f6ren endast f\u00e5r behandla uppgifterna enligt dokumenterade instruktioner samt s\u00e4kerst\u00e4lla en l\u00e4mplig s\u00e4kerhetsniv\u00e5.<\/p>\n<p>Artikel 28 anger ett antal punkter som avtalet m\u00e5ste reglera. G\u00e5 igenom dem som en checklista innan ni skriver under:<\/p>\n<ol>\n<li><strong>F\u00f6rem\u00e5l och varaktighet<\/strong>: vilken behandling avtalet g\u00e4ller och under hur l\u00e5ng tid.<\/li>\n<li><strong>Art och \u00e4ndam\u00e5l<\/strong>: vilken typ av personuppgifter som behandlas och i vilket syfte.<\/li>\n<li><strong>Instruktioner<\/strong>: att bitr\u00e4det endast f\u00e5r behandla uppgifter enligt er dokumenterade instruktion.<\/li>\n<li><strong>Konfidentialitet<\/strong>: att personal med \u00e5tkomst \u00e4r bundna av sekretess.<\/li>\n<li><strong>S\u00e4kerhets\u00e5tg\u00e4rder<\/strong>: krav p\u00e5 tekniska och organisatoriska \u00e5tg\u00e4rder enligt artikel 32.<\/li>\n<li><strong>Underbitr\u00e4den<\/strong>: villkor f\u00f6r att anlita och byta underleverant\u00f6rer.<\/li>\n<li><strong>Assistans vid registrerades r\u00e4ttigheter<\/strong>: att bitr\u00e4det hj\u00e4lper er att besvara beg\u00e4randen om till exempel radering eller utdrag.<\/li>\n<li><strong>Incidentrapportering<\/strong>: skyldighet att meddela er utan on\u00f6digt dr\u00f6jsm\u00e5l vid en personuppgiftsincident.<\/li>\n<li><strong>Radering eller \u00e5terl\u00e4mning<\/strong>: vad som h\u00e4nder med uppgifterna n\u00e4r avtalet upph\u00f6r.<\/li>\n<li><strong>Revisionsr\u00e4tt<\/strong>: er m\u00f6jlighet att granska eller l\u00e5ta granska att villkoren f\u00f6ljs.<\/li>\n<\/ol>\n<p>M\u00e5nga molnleverant\u00f6rer erbjuder ett standardiserat PUB-avtal som ni ombeds acceptera utan f\u00f6rhandling. Det befriar er inte fr\u00e5n ansvar: ni m\u00e5ste fortfarande g\u00e5 igenom texten punkt f\u00f6r punkt och dokumentera era egna instruktioner separat, s\u00e4rskilt n\u00e4r standardavtalet \u00e4r allm\u00e4nt formulerat. Be om konkreta bevis snarare \u00e4n allm\u00e4nna f\u00f6rs\u00e4kringar, till exempel en aktuell underbitr\u00e4deslista, en sammanfattning av senaste s\u00e4kerhetsrevisionen och rutinerna f\u00f6r incidentrapportering. Ett avtal som bara upprepar lagtexten utan att beskriva faktiska rutiner ger er svagt skydd den dag n\u00e5got g\u00e5r fel.<\/p>\n<h2 id=\"overforingar-till-tredjeland-nar-det-kravs-och-vilka-skydd-som-fungerar\" tabindex=\"-1\">\u00d6verf\u00f6ringar till tredjeland: n\u00e4r det kr\u00e4vs och vilka skydd som fungerar<\/h2>\n<p>M\u00e5nga tror att en \u00f6verf\u00f6ring till tredjeland bara handlar om var servrarna fysiskt st\u00e5r. Det st\u00e4mmer inte. <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/overforing-till-tredje-land\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY klarg\u00f6r<\/a> att \u00e4ven teknisk support, telemetri och administrativ \u00e5tkomst fr\u00e5n personal utanf\u00f6r EES kan utg\u00f6ra en \u00f6verf\u00f6ring, vilket inneb\u00e4r att en molntj\u00e4nst med europeiska datacenter \u00e4nd\u00e5 kan omfattas av reglerna om leverant\u00f6rens supportorganisation sitter i ett tredjeland.<\/p>\n<p><strong>Detaljen som ofta missas:<\/strong> i praktiska konsekvensbed\u00f6mningar uppt\u00e4cks regelbundet att <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/overforing-till-tredje-land\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">administrativa funktioner som support, fels\u00f6kning och telemetri<\/a> skapar \u00f6verf\u00f6ringar som aldrig f\u00e5ngas upp om man bara tittar p\u00e5 var sj\u00e4lva datalagringen sker.<\/p>\n<p>N\u00e4r en \u00f6verf\u00f6ring v\u00e4l konstateras finns det ett begr\u00e4nsat antal lagliga v\u00e4gar fram\u00e5t:<\/p>\n<ul>\n<li><a href=\"https:\/\/eur-lex.europa.eu\/legal-content\/EN\/TXT\/PDF\/?uri=CELEX%3A32021D0915\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">EU-kommissionens standardavtalsklausuler<\/a> (SCC) \u00e4r det vanligaste verktyget och reglerar b\u00e5de \u00f6verf\u00f6ringsvillkor och delar av artikel 28-kraven i ett och samma dokument.<\/li>\n<li>Bindande f\u00f6retagsbest\u00e4mmelser (BCR) passar koncerner som vill reglera interna \u00f6verf\u00f6ringar en g\u00e5ng f\u00f6r alla.<\/li>\n<li>Andra l\u00e4mpliga skydds\u00e5tg\u00e4rder, till exempel godk\u00e4nda uppf\u00f6randekoder, kan ocks\u00e5 fylla samma funktion enligt <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/overforing-till-tredje-land\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY:s v\u00e4gledning<\/a>.<\/li>\n<\/ul>\n<p>Standardavtalsklausuler l\u00f6ser dock inte allt p\u00e5 egen hand. <a href=\"https:\/\/www.edpb.europa.eu\/system\/files\/2024-10\/edpb_opinion_202422_relianceonprocessors-sub-processors_en.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">EDPB framh\u00e5ller<\/a> att det inte r\u00e4cker att f\u00f6rlita sig p\u00e5 certifieringar eller undertecknade klausuler: den personuppgiftsansvariga m\u00e5ste i varje enskilt fall g\u00f6ra en riskbed\u00f6mning och vid behov komplettera med tekniska och organisatoriska \u00e5tg\u00e4rder, s\u00e4rskilt vid \u00f6verf\u00f6ringar till tredjeland. Det kan handla om stark kryptering d\u00e4r leverant\u00f6ren saknar nyckel\u00e5tkomst, pseudonymisering innan data l\u00e4mnar EES, eller avtalsvillkor som begr\u00e4nsar var supportpersonal f\u00e5r sitta. Den som vill g\u00e5 djupare i hur en s\u00e5dan bed\u00f6mning g\u00f6rs i praktiken hittar en f\u00f6rdjupad genomg\u00e5ng i v\u00e5r guide om <a href=\"https:\/\/evertrust.se\/en\/tredjelandsoverforing-gdpr\/\" target=\"_blank\" rel=\"noopener\">tredjelands\u00f6verf\u00f6ring enligt GDPR<\/a>.<\/p>\n<h2 id=\"underbitraden-och-leverantorskedjan-hur-ni-far-kontroll-over-sub-processors\" tabindex=\"-1\">Underbitr\u00e4den och leverant\u00f6rskedjan: hur ni f\u00e5r kontroll \u00f6ver sub-processors<\/h2>\n<p>De flesta molntj\u00e4nster bygger p\u00e5 flera lager av underleverant\u00f6rer: hostingpartner, s\u00e4kerhets\u00f6vervakning, kundsupportverktyg. Artikel 28 kr\u00e4ver att bitr\u00e4det inte f\u00e5r anlita ett underbitr\u00e4de utan ert godk\u00e4nnande, antingen genom specifikt tillst\u00e5nd f\u00f6r varje fall eller genom ett generellt tillst\u00e5nd kombinerat med r\u00e4tt f\u00f6r er att inv\u00e4nda mot f\u00f6r\u00e4ndringar.<\/p>\n<p>Ett avtal som bara n\u00e4mner att underbitr\u00e4den \u201ckan f\u00f6rekomma\u201d r\u00e4cker inte. Kr\u00e4v ist\u00e4llet att avtalet inneh\u00e5ller:<\/p>\n<ul>\n<li>En aktuell, namngiven lista \u00f6ver samtliga underbitr\u00e4den och vad de utf\u00f6r.<\/li>\n<li>Skyldighet f\u00f6r leverant\u00f6ren att meddela er i god tid innan ett nytt underbitr\u00e4de l\u00e4ggs till.<\/li>\n<li>En reell m\u00f6jlighet f\u00f6r er att inv\u00e4nda, inte bara en formell r\u00e4tt utan praktisk verkan.<\/li>\n<li>Krav p\u00e5 att samma skyddsniv\u00e5 g\u00e4ller hela v\u00e4gen ner i kedjan, inklusive underbitr\u00e4dets egna underleverant\u00f6rer.<\/li>\n<li>Revisionsr\u00e4tt som omfattar underbitr\u00e4den, inte bara huvudleverant\u00f6ren.<\/li>\n<\/ul>\n<p><strong>Proffstips:<\/strong> <em>Beg\u00e4r underbitr\u00e4deslistan skriftligt innan ni skriver under huvudavtalet, inte efter\u00e5t, eftersom det \u00e4r betydligt sv\u00e5rare att f\u00f6rhandla villkor n\u00e4r tj\u00e4nsten redan \u00e4r i drift.<\/em><\/p>\n<p>Den vanligaste fallgropen \u00e4r att organisationer kontrollerar huvudleverant\u00f6rens avtal noggrant men aldrig f\u00f6ljer upp vad som h\u00e4nder l\u00e4ngre ner i kedjan. Dokumentera varje underbitr\u00e4de i ert eget behandlingsregister, s\u00e4tt en rutin f\u00f6r att granska listan minst en g\u00e5ng per \u00e5r, och spara leverant\u00f6rens meddelanden om f\u00f6r\u00e4ndringar som bevis p\u00e5 att processen faktiskt fungerar.<\/p>\n<h2 id=\"tekniska-och-organisatoriska-atgarder-vad-ni-ska-krava-och-hur-ni-verifierar-sakerhetsnivan\" tabindex=\"-1\">Tekniska och organisatoriska \u00e5tg\u00e4rder: vad ni ska kr\u00e4va och hur ni verifierar s\u00e4kerhetsniv\u00e5n<\/h2>\n<p>Artikel 32 kr\u00e4ver en s\u00e4kerhetsniv\u00e5 som \u00e4r l\u00e4mplig i f\u00f6rh\u00e5llande till risken, vilket betyder att kraven ser olika ut beroende p\u00e5 vilka uppgifter som behandlas och vilka konsekvenser en incident skulle f\u00e5. Begreppet \u201cstate of the art\u201d inneb\u00e4r i praktiken att leverant\u00f6ren ska h\u00e5lla j\u00e4mna steg med vedertagen branschpraxis, inte den absolut nyaste tekniken som finns p\u00e5 marknaden.<\/p>\n<p>Konkreta tekniska och organisatoriska \u00e5tg\u00e4rder (TOM) att kr\u00e4va av en molnleverant\u00f6r inkluderar:<\/p>\n<ul>\n<li>Kryptering av data b\u00e5de under \u00f6verf\u00f6ring och vid lagring.<\/li>\n<li>Strikt \u00e5tkomstkontroll med principen om minsta beh\u00f6righet.<\/li>\n<li>Loggning och sp\u00e5rbarhet f\u00f6r vem som har haft \u00e5tkomst till vilka uppgifter.<\/li>\n<li>Rutiner f\u00f6r s\u00e4kerhetskopiering och \u00e5terst\u00e4llning vid driftst\u00f6rningar.<\/li>\n<li>Dokumenterad process f\u00f6r incidenthantering, inklusive tidsgr\u00e4nser f\u00f6r intern eskalering.<\/li>\n<\/ul>\n<p>Ett p\u00e5st\u00e5ende om h\u00f6g s\u00e4kerhetsniv\u00e5 \u00e4r bara v\u00e4rt n\u00e5got om det g\u00e5r att verifiera. EDPB betonar att en certifiering aldrig ensam r\u00e4cker som bevis, den personuppgiftsansvariga beh\u00f6ver egen verifiering vid sidan av leverant\u00f6rens egna intyg. I praktiken inneb\u00e4r det att be om revisionsrapporter fr\u00e5n en oberoende tredje part, resultat fr\u00e5n penetrationstester, och d\u00e4r det \u00e4r motiverat, egen teknisk granskning av kritiska komponenter. En leverant\u00f6r som v\u00e4grar dela ens en sammanfattning av sina senaste s\u00e4kerhetstester b\u00f6r v\u00e4cka fr\u00e5gor, oavsett hur v\u00e4lk\u00e4nt varum\u00e4rket \u00e4r.<\/p>\n<h2 id=\"praktisk-checklista-konkreta-steg-for-att-valja-och-granska-en-molntjanst\" tabindex=\"-1\">Praktisk checklista: konkreta steg f\u00f6r att v\u00e4lja och granska en molntj\u00e4nst<\/h2>\n<p>Att g\u00e5 fr\u00e5n juridisk teori till faktiskt beslutsunderlag kr\u00e4ver en ordnad process. F\u00f6ljande fyra steg t\u00e4cker det mesta av vad en grundlig granskning beh\u00f6ver inneh\u00e5lla:<\/p>\n<ol>\n<li><strong>Kartl\u00e4ggning och riskbed\u00f6mning.<\/strong> Identifiera vilka personuppgifter som kommer behandlas i tj\u00e4nsten och bed\u00f6m om en konsekvensbed\u00f6mning (DPIA) kr\u00e4vs, s\u00e4rskilt vid k\u00e4nsliga uppgifter eller storskalig behandling. V\u00e5r genomg\u00e5ng av <a href=\"https:\/\/evertrust.se\/en\/dpia-genomforande\/\" target=\"_blank\" rel=\"noopener\">DPIA-processen steg f\u00f6r steg<\/a> g\u00e5r igenom hur bed\u00f6mningen g\u00f6rs i praktiken.<\/li>\n<li><strong>Avtalsgranskning.<\/strong> G\u00e5 igenom PUB-avtalet mot artikel 28-listan, kontrollera att SCC eller annan skydds\u00e5tg\u00e4rd finns f\u00f6r eventuella tredjelands\u00f6verf\u00f6ringar, och beg\u00e4r en fullst\u00e4ndig underbitr\u00e4deslista.<\/li>\n<li><strong>Teknisk verifiering.<\/strong> Be om revisionsrapporter, testa leverant\u00f6rens incidentberedskap genom konkreta fr\u00e5gor om responstider, och l\u00e4gg fast en plan f\u00f6r \u00e5terkommande granskning.<\/li>\n<li><strong>Beslut och uppf\u00f6ljning.<\/strong> Fatta beslutet med dokumenterade villkor f\u00f6r revision, serviceniv\u00e5er och en tydlig upps\u00e4gningsklausul som reglerar vad som h\u00e4nder med uppgifterna efter\u00e5t.<\/li>\n<\/ol>\n<table>\n<thead>\n<tr>\n<th>Steg<\/th>\n<th>Huvudsaklig fr\u00e5ga<\/th>\n<th>Typisk leverans<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Kartl\u00e4ggning<\/td>\n<td>Vilka uppgifter och risker \u00e4r inblandade?<\/td>\n<td>Riskbed\u00f6mning eller DPIA<\/td>\n<\/tr>\n<tr>\n<td>Avtalsgranskning<\/td>\n<td>Uppfyller avtalet artikel 28 och \u00f6verf\u00f6ringskraven?<\/td>\n<td>Granskad PUB-text med SCC vid behov<\/td>\n<\/tr>\n<tr>\n<td>Teknisk verifiering<\/td>\n<td>H\u00e5ller s\u00e4kerhetsniv\u00e5n vad leverant\u00f6ren lovar?<\/td>\n<td>Revisionsrapport eller testresultat<\/td>\n<\/tr>\n<tr>\n<td>Beslut och uppf\u00f6ljning<\/td>\n<td>Vilka villkor g\u00e4ller vid avtalets livstid?<\/td>\n<td>Avtal med audit- och upps\u00e4gningsklausul<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>En genomg\u00e5ng som hoppar \u00f6ver steg ett eller tv\u00e5, och g\u00e5r direkt till att \u201ctesta tj\u00e4nsten i praktiken\u201d, \u00e4r den vanligaste orsaken till att organisationer uppt\u00e4cker avtalsbrister f\u00f6rst efter att data redan ligger i molnet.<\/p>\n<h2 id=\"evertrusts-erfarenhet-vanliga-misstag-och-hur-vi-hjalper-kunder\" tabindex=\"-1\">Evertrusts erfarenhet: vanliga misstag och hur vi hj\u00e4lper kunder<\/h2>\n<p>M\u00e5nga organisationer g\u00f6r samma misstag: man antar att leverant\u00f6ren automatiskt tar \u00f6ver ansvaret och fokuserar enbart p\u00e5 var data lagras i st\u00e4llet f\u00f6r hela kedjan av \u00e5tkomst och underbitr\u00e4den. Det kan vara ett bra f\u00f6rsta steg att g\u00f6ra en kort avst\u00e4mning innan ni binder er till en ny molnleverant\u00f6r.<\/p>\n<blockquote>\n<p><em>\u2014 Jesper<\/em><\/p>\n<\/blockquote>\n<h2 id=\"boka-en-avstamning-om-er-molnlosning\" tabindex=\"-1\">Boka en avst\u00e4mning om er molnl\u00f6sning<\/h2>\n<p>Beh\u00f6ver ni hj\u00e4lp att granska ett PUB-avtal, bed\u00f6ma en tredjelands\u00f6verf\u00f6ring eller s\u00e4tta upp en DPIA inf\u00f6r ett molnbyte? Vi erbjuder <a href=\"https:\/\/evertrust.se\/en\/radgivning-och-konsulttjanster\/\" target=\"_blank\" rel=\"noopener\">r\u00e5dgivning och konsulttj\u00e4nster<\/a> inriktade p\u00e5 just dessa situationer, fr\u00e5n enstaka avtalsgranskningar till l\u00f6pande st\u00f6d som extern dataskyddsombud.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/08\/1786093780170_evertrust.jpg\" alt=\"Evertrust\"><\/p>\n<p>F\u00f6r organisationer som vill granska flera molnleverant\u00f6rer parallellt erbjuder vi \u00e4ven <a href=\"https:\/\/evertrust.se\/en\/tjanster-gap-analyser\/\" target=\"_blank\" rel=\"noopener\">risk- och konsekvensbed\u00f6mningar samt GDPR-granskningar<\/a> som ger ett dokumenterat underlag inf\u00f6r beslut. Den som beh\u00f6ver l\u00f6pande dokumentation och uppf\u00f6ljning av flera leverant\u00f6rer samtidigt kan ocks\u00e5 titta p\u00e5 <a href=\"https:\/\/evertrust.se\/en\/plattform\/\" target=\"_blank\" rel=\"noopener\">Trustview<\/a>, v\u00e5r plattform f\u00f6r att h\u00e5lla ordning p\u00e5 avtal, underbitr\u00e4den och \u00e5tg\u00e4rder p\u00e5 ett st\u00e4lle. Boka en f\u00f6rsta avst\u00e4mning via <a href=\"https:\/\/evertrust.se\/en\/boka-mote\/\" target=\"_blank\" rel=\"noopener\">v\u00e5r m\u00f6tesbokning<\/a> s\u00e5 g\u00e5r vi igenom er specifika situation.<\/p>\n<p>This article is general information, not a substitute for advice from a qualified lawyer. Consult a qualified legal professional about your own circumstances before acting on anything here.<\/p>\n<h2 id=\"vanliga-fragor\" tabindex=\"-1\">Vanliga fr\u00e5gor<\/h2>\n<h3 id=\"vad-innebar-molntjanster-ur-ett-dataskyddsperspektiv\" tabindex=\"-1\">Vad inneb\u00e4r molntj\u00e4nster ur ett dataskyddsperspektiv?<\/h3>\n<p>Molntj\u00e4nster \u00e4r l\u00f6sningar d\u00e4r en extern leverant\u00f6r lagrar, bearbetar eller g\u00f6r data tillg\u00e4nglig via internet i st\u00e4llet f\u00f6r p\u00e5 egna servrar. N\u00e4r tj\u00e4nsten inneb\u00e4r att leverant\u00f6ren hanterar personuppgifter \u00e5t er r\u00e4knas leverant\u00f6ren som personuppgiftsbitr\u00e4de, vilket utl\u00f6ser krav p\u00e5 ett skriftligt avtal.<\/p>\n<h3 id=\"vilka-organisationer-omfattas-inte-av-gdpr\" tabindex=\"-1\">Vilka organisationer omfattas inte av GDPR?<\/h3>\n<p>GDPR g\u00e4ller inte rent privat eller hush\u00e5llsrelaterad behandling av personuppgifter, till exempel en privatpersons egen adressbok. N\u00e4stan alla f\u00f6retag och organisationer som behandlar personuppgifter i sin verksamhet, oavsett storlek, omfattas av f\u00f6rordningen s\u00e5 snart behandlingen sker i en yrkesm\u00e4ssig eller kommersiell kontext.<\/p>\n<h3 id=\"vilka-ar-exempel-pa-vanliga-molntjanster-som-kraver-ett-pub-avtal\" tabindex=\"-1\">Vilka \u00e4r exempel p\u00e5 vanliga molntj\u00e4nster som kr\u00e4ver ett PUB-avtal?<\/h3>\n<p>Vanliga exempel \u00e4r e-posttj\u00e4nster, fillagring, CRM-system, HR-plattformar och molnbaserade aff\u00e4rssystem som hanterar kund- eller personaluppgifter. S\u00e5 snart en s\u00e5dan tj\u00e4nst behandlar personuppgifter \u00e5t er r\u00e4knas den som bitr\u00e4de och kr\u00e4ver ett avtal enligt artikel 28.<\/p>\n<h3 id=\"ar-molnlagring-saker-for-personuppgifter\" tabindex=\"-1\">\u00c4r molnlagring s\u00e4ker f\u00f6r personuppgifter?<\/h3>\n<p>S\u00e4kerheten beror helt p\u00e5 vilka tekniska och organisatoriska \u00e5tg\u00e4rder leverant\u00f6ren faktiskt har p\u00e5 plats, inte p\u00e5 att tj\u00e4nsten kallas \u201cmolnbaserad\u201d. Kryptering, \u00e5tkomstkontroll och verifierade revisionsrapporter avg\u00f6r den faktiska skyddsniv\u00e5n, och ni beh\u00f6ver sj\u00e4lva kontrollera detta snarare \u00e4n att utg\u00e5 fr\u00e5n leverant\u00f6rens marknadsf\u00f6ring.<\/p>\n<h3 id=\"vad-kravs-om-en-molntjanstleverantor-drabbas-av-en-personuppgiftsincident\" tabindex=\"-1\">Vad kr\u00e4vs om en molntj\u00e4nstleverant\u00f6r drabbas av en personuppgiftsincident?<\/h3>\n<p>Bitr\u00e4det \u00e4r enligt avtalet skyldigt att meddela er utan on\u00f6digt dr\u00f6jsm\u00e5l s\u00e5 att ni i sin tur kan bed\u00f6ma om incidenten ska anm\u00e4las till tillsynsmyndigheten. Avtalet b\u00f6r ange konkreta tidsgr\u00e4nser och kontaktv\u00e4gar f\u00f6r s\u00e5dan rapportering, inte bara en allm\u00e4n skyldighet att informera.<\/p>\n<h2 id=\"kallor\" tabindex=\"-1\">K\u00e4llor<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/personuppgiftsansvariga-och-personuppgiftsbitraden\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Personuppgiftsansvariga och personuppgiftsbitr\u00e4den | IMY<\/a><\/li>\n<li><a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/overforing-till-tredje-land\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">\u00d6verf\u00f6ring av personuppgifter till tredjeland | IMY<\/a><\/li>\n<li><a href=\"https:\/\/www.edpb.europa.eu\/system\/files\/2024-10\/edpb_opinion_202422_relianceonprocessors-sub-processors_en.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Opinion 22\/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s) | EDPB<\/a><\/li>\n<li><a href=\"https:\/\/eur-lex.europa.eu\/legal-content\/EN\/TXT\/PDF\/?uri=CELEX%3A32021D0915\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Implementing Decision (EU) 2021\/\u2026 \u2014 standard contractual clauses (SCC) (EU Commission)<\/a><\/li>\n<\/ul>\n<h2 id=\"rekommendationer\" tabindex=\"-1\">Rekommendationer<\/h2>\n<ul>\n<li><a href=\"https:\/\/evertrust.se\/en\/gdpr-krav-foretag\/\" target=\"_blank\" rel=\"noopener\">Vilka GDPR-krav m\u00e5ste ditt f\u00f6retag uppfylla?<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/cloud-act-gdpr\/\" target=\"_blank\" rel=\"noopener\">CLOUD Act och GDPR: den juridiska konflikt du inte kan avtala bort<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/dataskyddsombud-ansvar\/\" target=\"_blank\" rel=\"noopener\">Dataskyddsombudets ansvar: vem svarar egentligen f\u00f6r GDPR?<\/a><\/li>\n<\/ul>","protected":false},"excerpt":{"rendered":"<p>Se vem som ansvarar f\u00f6r personuppgifter i molntj\u00e4nster och vilka krav enligt GDPR som g\u00e4ller f\u00f6r bitr\u00e4desavtal och \u00f6verf\u00f6ringar utanf\u00f6r EES nu.<\/p>","protected":false},"author":2,"featured_media":8544,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"content-type":"","site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[107],"tags":[9],"class_list":["post-8543","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sverige","tag-gdpr-specialist"],"acf":[],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8543","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/comments?post=8543"}],"version-history":[{"count":1,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8543\/revisions"}],"predecessor-version":[{"id":8546,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8543\/revisions\/8546"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media\/8544"}],"wp:attachment":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media?parent=8543"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/categories?post=8543"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/tags?post=8543"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}