{"id":8621,"date":"2026-10-29T02:00:47","date_gmt":"2026-10-29T01:00:47","guid":{"rendered":"https:\/\/evertrust.se\/leverantorsbedomning-gdpr\/"},"modified":"2026-10-29T02:00:49","modified_gmt":"2026-10-29T01:00:49","slug":"leverantorsbedomning-gdpr","status":"publish","type":"post","link":"https:\/\/evertrust.se\/en\/leverantorsbedomning-gdpr\/","title":{"rendered":"Leverant\u00f6rsbed\u00f6mning enligt GDPR: s\u00e5 granskar ni bitr\u00e4den"},"content":{"rendered":"<\/p>\n<p>En leverant\u00f6rsbed\u00f6mning enligt GDPR \u00e4r den kontroll ni g\u00f6r innan och medan en leverant\u00f6r behandlar personuppgifter \u00e5t er. Syftet \u00e4r att kunna visa att leverant\u00f6ren ger tillr\u00e4ckliga garantier f\u00f6r att behandlingen f\u00f6ljer dataskyddsf\u00f6rordningen. Kravet g\u00e4ller varje personuppgiftsbitr\u00e4de, fr\u00e5n l\u00f6nesystemet och molnlagringen till supportverktyget och AI-tj\u00e4nsten. Hur djup granskningen beh\u00f6ver vara beror p\u00e5 risken. H\u00e4r g\u00e5r vi igenom hela kedjan: rollbest\u00e4mning, riskklassning, s\u00e4kerhetsgranskning, underbitr\u00e4den, tredjelands\u00f6verf\u00f6ringar, avtalet och uppf\u00f6ljningen, p\u00e5 det s\u00e4tt vi sj\u00e4lva arbetar n\u00e4r vi granskar leverant\u00f6rer \u00e5t v\u00e5ra kunder.<\/p>\n<div data-blg-cta=\"after_tldr\" data-blg-cta-layout=\"split\" style=\"margin:28px 0;font-family:-apple-system, BlinkMacSystemFont, &apos;Segoe UI&apos;, Roboto, Helvetica, Arial, sans-serif\">\n<div style=\"border-radius:26px;padding:min(22px,3.2vw);background:radial-gradient(circle at 100% 0%,#d9ebd8 0 150px,rgba(255,255,255,0) 151px),radial-gradient(circle at 0% 100%,#d9ebd8 0 130px,rgba(255,255,255,0) 131px),linear-gradient(180deg,#e6f2e5 0%,#f2f8f2 100%)\">\n<div style=\"background:#ffffff;border-radius:18px;overflow:hidden\">\n<div style=\"display:flex;flex-wrap:wrap\">\n<div style=\"flex:1 0 36%;min-width:220px;padding:30px 76px 30px 26px;color:#ffffff;background:linear-gradient(104deg,#164613 0%,#0d2a0b 82%,rgba(0,0,0,0) 82.15%)\">\n<div style=\"margin:0 0 14px\"><span style=\"display:inline-block;max-width:100%;border-radius:999px;padding:6px 13px;font-size:12px;font-weight:800;letter-spacing:0.1em;text-transform:uppercase;line-height:1.3;background:#ffffff;color:#1b5718\">Evertrust<\/span><\/div>\n<div style=\"font-size:12px;opacity:0.75\">evertrust.se<\/div>\n<\/div>\n<div style=\"flex:999 1 300px;min-width:0;padding:30px 28px\">\n<div style=\"font-size:23px;font-weight:800;line-height:1.2;letter-spacing:-0.01em;color:#1f2937;margin:0\">Granska era GDPR-bitr\u00e4den tryggare<\/div>\n<div style=\"width:56px;height:6px;border-radius:3px;background:#2D8F27;margin:12px 0 14px\"><\/div>\n<div style=\"font-size:15px;line-height:1.55;color:#64748b;margin:0 0 22px\">Evertrust st\u00f6djer organisationer med leverant\u00f6rsbed\u00f6mningar, GDPR-program och praktisk implementering av dataskyddskraven.<\/div>\n<p><a href=\"https:\/\/evertrust.se\/en\/\" style=\"display:inline-flex;align-items:center;gap:9px;border-radius:10px;font-weight:700;font-size:15px;text-decoration:none;padding:13px 22px 13px 26px;background:#2D8F27;color:#ffffff\">Bes\u00f6k Evertrust<\/a><\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<h2 id=\"kort-sagt\" tabindex=\"-1\">Kort sagt<\/h2>\n<ul>\n<li>Ni f\u00e5r bara anlita bitr\u00e4den som ger <strong>tillr\u00e4ckliga garantier<\/strong> (artikel 28.1). Ni ska kunna visa hur ni har kontrollerat det.<\/li>\n<li>Kontrollen g\u00e4ller <strong>alla<\/strong> bitr\u00e4den, men hur omfattande den \u00e4r kan skalas efter behandlingens art och risk.<\/li>\n<li>B\u00f6rja med rollen. En leverant\u00f6r som \u00e4r sj\u00e4lvst\u00e4ndigt personuppgiftsansvarig kr\u00e4ver en annan bed\u00f6mning \u00e4n ett bitr\u00e4de.<\/li>\n<li>Ett personuppgiftsbitr\u00e4desavtal r\u00e4cker inte ensamt. Det ska spegla verkligheten, och ni beh\u00f6ver bevis p\u00e5 att leverant\u00f6ren faktiskt lever upp till det.<\/li>\n<li>Bed\u00f6mningen \u00e4r inte klar n\u00e4r avtalet \u00e4r signerat. \u00c4ndringar av underbitr\u00e4den, incidenter, revisioner och avslut ska f\u00f6ljas upp.<\/li>\n<\/ul>\n<h2 id=\"innehallsforteckning\" tabindex=\"-1\">Inneh\u00e5llsf\u00f6rteckning<\/h2>\n<ul>\n<li><a href=\"#vad-kraver-gdpr-egentligen\">Vad kr\u00e4ver GDPR egentligen?<\/a><\/li>\n<li><a href=\"#steg-1-faststall-vilken-roll-leverantoren-har\">Steg 1: Fastst\u00e4ll vilken roll leverant\u00f6ren har<\/a><\/li>\n<li><a href=\"#steg-2-riskklassa-leverantoren\">Steg 2: Riskklassa leverant\u00f6ren<\/a><\/li>\n<li><a href=\"#steg-3-granska-sakerheten-bakom-loftena\">Steg 3: Granska s\u00e4kerheten bakom l\u00f6ftena<\/a><\/li>\n<li><a href=\"#steg-4-kartlagg-underbitradena\">Steg 4: Kartl\u00e4gg underbitr\u00e4dena<\/a><\/li>\n<li><a href=\"#steg-5-bedom-overforingar-utanfor-euees\">Steg 5: Bed\u00f6m \u00f6verf\u00f6ringar utanf\u00f6r EU\/EES<\/a><\/li>\n<li><a href=\"#steg-6-sakra-bitradesavtalet\">Steg 6: S\u00e4kra bitr\u00e4desavtalet<\/a><\/li>\n<li><a href=\"#steg-7-dokumentera-och-folj-upp\">Steg 7: Dokumentera och f\u00f6lj upp<\/a><\/li>\n<li><a href=\"#sarskilt-for-offentlig-sektor\">S\u00e4rskilt f\u00f6r offentlig sektor<\/a><\/li>\n<li><a href=\"#fem-misstag-vi-ser-ofta\">Fem misstag vi ser ofta<\/a><\/li>\n<li><a href=\"#sa-ser-vi-pa-leverantorsbedomning\">S\u00e5 ser vi p\u00e5 leverant\u00f6rsbed\u00f6mning<\/a><\/li>\n<li><a href=\"#vill-ni-ha-hjalp-med-granskningen\">Vill ni ha hj\u00e4lp med granskningen?<\/a><\/li>\n<li><a href=\"#vanliga-fragor\">Vanliga fr\u00e5gor<\/a><\/li>\n<li><a href=\"#kallor\">K\u00e4llor<\/a><\/li>\n<\/ul>\n<h2 id=\"vad-kraver-gdpr-egentligen\" tabindex=\"-1\">Vad kr\u00e4ver GDPR egentligen?<\/h2>\n<p>Grunden finns i artikel 28.1. Den personuppgiftsansvarige ska <a href=\"https:\/\/www.imy.se\/globalassets\/dokument\/rapporter\/ansvarsroller-enligt-gdpr-vid-finjustering-av-ai-applikationer.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">endast anlita personuppgiftsbitr\u00e4den som ger tillr\u00e4ckliga garantier<\/a> f\u00f6r att behandlingen uppfyller f\u00f6rordningens krav och skyddar de registrerades r\u00e4ttigheter. Det st\u00e5r ingenting om fr\u00e5geformul\u00e4r, po\u00e4ngmodeller eller revisionsrapporter. Metoden v\u00e4ljer ni sj\u00e4lva. Ansvaret f\u00f6r att ha valt r\u00e4tt ligger d\u00e4remot kvar hos er.<\/p>\n<p>Europeiska dataskyddsstyrelsen har f\u00f6rtydligat hur kravet ska l\u00e4sas. I <a href=\"https:\/\/www.edpb.europa.eu\/system\/files\/2024-10\/edpb_opinion_202422_relianceonprocessors-sub-processors_en.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">EDPB:s yttrande 22\/2024<\/a> sl\u00e5s fast att kontrollen av tillr\u00e4ckliga garantier ska g\u00f6ras oavsett riskniv\u00e5, men att omfattningen av verifieringen kan variera med behandlingens art och risk. F\u00f6r h\u00f6griskbehandlingar f\u00f6rv\u00e4ntas en mer omfattande kontroll. Det \u00e4r den principen hela arbetss\u00e4ttet nedan bygger p\u00e5: alla leverant\u00f6rer granskas, men inte lika djupt.<\/p>\n<p>Kopplingen till ansvarsskyldigheten i artikel 5.2 \u00e4r det som g\u00f6r dokumentationen avg\u00f6rande. Har ni gjort en bra bed\u00f6mning men inte skrivit ned den, kan ni inte visa den f\u00f6r IMY, f\u00f6r en revisor eller f\u00f6r er egen styrelse.<\/p>\n<h2 id=\"steg-1-faststall-vilken-roll-leverantoren-har\" tabindex=\"-1\">Steg 1: Fastst\u00e4ll vilken roll leverant\u00f6ren har<\/h2>\n<p>Innan ni bed\u00f6mer s\u00e4kerhet eller avtal beh\u00f6ver ni veta vad leverant\u00f6ren \u00e4r i juridisk mening. IMY beskriver f\u00f6rdelningen s\u00e5 h\u00e4r: <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/personuppgiftsansvariga-och-personuppgiftsbitraden\/personuppgiftsbitradesavtal\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">den personuppgiftsansvarige best\u00e4mmer \u00e4ndam\u00e5l och medel<\/a>, bitr\u00e4det behandlar uppgifterna f\u00f6r den ansvariges r\u00e4kning och ett underbitr\u00e4de anlitas av bitr\u00e4det f\u00f6r att hj\u00e4lpa till med uppdraget.<\/p>\n<p>I praktiken hamnar de flesta leverant\u00f6rer i n\u00e5gon av tre grupper:<\/p>\n<table>\n<thead>\n<tr>\n<th>Roll<\/th>\n<th>Typiskt exempel<\/th>\n<th>Vad det betyder f\u00f6r bed\u00f6mningen<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Personuppgiftsbitr\u00e4de<\/td>\n<td>Molnbaserat HR-system, e-postplattform, driftleverant\u00f6r<\/td>\n<td>Full bed\u00f6mning enligt artikel 28 och ett bitr\u00e4desavtal<\/td>\n<\/tr>\n<tr>\n<td>Underbitr\u00e4de<\/td>\n<td>Hostingleverant\u00f6ren bakom ert HR-system<\/td>\n<td>Granskas via bitr\u00e4det: f\u00f6rhandstillst\u00e5nd, insyn och samma skyldigheter i avtalskedjan<\/td>\n<\/tr>\n<tr>\n<td>Sj\u00e4lvst\u00e4ndigt personuppgiftsansvarig<\/td>\n<td>Bank, revisionsbyr\u00e5, f\u00f6retagsh\u00e4lsov\u00e5rd med egen journalf\u00f6ring<\/td>\n<td>Inget bitr\u00e4desavtal. Ni pr\u00f6var i st\u00e4llet att ni har r\u00e4ttslig grund att l\u00e4mna ut uppgifterna och att mottagaren kan hantera dem s\u00e4kert<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>En vanlig felbed\u00f6mning \u00e4r att leverant\u00f6ren blir ansvarig bara f\u00f6r att den v\u00e4ljer verktyg eller tekniska l\u00f6sningar. IMY konstaterar att <a href=\"https:\/\/www.imy.se\/globalassets\/dokument\/rapporter\/ansvarsroller-enligt-gdpr-vid-finjustering-av-ai-applikationer.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">beslut om praktiska fr\u00e5gor, som val av verktyg<\/a>, inte automatiskt g\u00f6r ett bitr\u00e4de till ansvarig, s\u00e5 l\u00e4nge besluten fattas inom ramen f\u00f6r den ansvariges instruktioner. B\u00f6rjar leverant\u00f6ren d\u00e4remot anv\u00e4nda uppgifterna f\u00f6r egna syften, till exempel f\u00f6r att f\u00f6rb\u00e4ttra sina produkter eller tr\u00e4na modeller, kan den i den delen bli ansvarig. Det \u00e4r en klassisk fr\u00e5ga i bed\u00f6mningen av molntj\u00e4nster och AI-tj\u00e4nster, och vi har skrivit mer om den i v\u00e5r genomg\u00e5ng av <a href=\"https:\/\/evertrust.se\/en\/molntjanster-gdpr\/\" target=\"_blank\" rel=\"noopener\">ansvarsf\u00f6rdelningen i molntj\u00e4nster<\/a>.<\/p>\n<h2 id=\"steg-2-riskklassa-leverantoren\" tabindex=\"-1\">Steg 2: Riskklassa leverant\u00f6ren<\/h2>\n<p>Eftersom EDPB uttryckligen \u00f6ppnar f\u00f6r att verifieringen skalas efter risk \u00e4r en enkel riskklassning det mest effektiva s\u00e4ttet att h\u00e5lla arbetet hanterbart. Utan den l\u00e4gger ni lika mycket tid p\u00e5 verktyget f\u00f6r m\u00f6tesbokning som p\u00e5 leverant\u00f6ren som lagrar patientuppgifter.<\/p>\n<p>De fr\u00e5gor vi brukar anv\u00e4nda f\u00f6r att placera en leverant\u00f6r:<\/p>\n<ol>\n<li>Vilka kategorier av personuppgifter behandlas? K\u00e4nsliga uppgifter, personnummer, uppgifter om barn eller lag\u00f6vertr\u00e4delser h\u00f6jer risken.<\/li>\n<li>Hur m\u00e5nga registrerade ber\u00f6rs, och hur stor del av er verksamhet?<\/li>\n<li>Hur aff\u00e4rskritisk \u00e4r tj\u00e4nsten? Vad h\u00e4nder om den ligger nere en vecka?<\/li>\n<li>Sker behandling, lagring eller support utanf\u00f6r EU\/EES?<\/li>\n<li>Har leverant\u00f6ren egna underbitr\u00e4den, och hur l\u00e5ng \u00e4r kedjan?<\/li>\n<li>Anv\u00e4nds ny teknik, profilering eller automatiserade beslut?<\/li>\n<\/ol>\n<p>Utifr\u00e5n svaren kan ni l\u00e4gga leverant\u00f6ren i en av tre niv\u00e5er. Indelningen \u00e4r v\u00e5r rekommendation, inte ett lagkrav:<\/p>\n<table>\n<thead>\n<tr>\n<th>Riskniv\u00e5<\/th>\n<th>Exempel<\/th>\n<th>Rimlig verifiering<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>L\u00e5g<\/td>\n<td>Enkla verktyg med f\u00e5 och vardagliga uppgifter<\/td>\n<td>Standardfr\u00e5gor, granskning av bitr\u00e4desavtal och underbitr\u00e4deslista, kontroll av publik s\u00e4kerhetsinformation<\/td>\n<\/tr>\n<tr>\n<td>Medel<\/td>\n<td>Kundregister, HR-system, marknadsf\u00f6ringsplattformar<\/td>\n<td>S\u00e4kerhetsfr\u00e5geformul\u00e4r, certifikat eller revisionsrapporter, genomg\u00e5ng av incidentrutiner och tredjelandsfr\u00e5gor<\/td>\n<\/tr>\n<tr>\n<td>H\u00f6g<\/td>\n<td>K\u00e4nsliga uppgifter, stora volymer, aff\u00e4rskritiska system<\/td>\n<td>Djupgranskning med dokumentbevis, m\u00f6jligen egen revision, konsekvensbed\u00f6mning och \u00f6verf\u00f6ringsanalys<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>F\u00f6r h\u00f6griskbehandlingar kan bed\u00f6mningen utl\u00f6sa en konsekvensbed\u00f6mning enligt artikel 35. En checklista fr\u00e5n Mittuniversitetet om upphandling pekar p\u00e5 att en <a href=\"https:\/\/www.miun.se\/globalassets\/forvaltning\/dos\/informationssakerhet\/checklista---offentlig-upphandling-och-gdpr.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">konsekvensbed\u00f6mning kan beh\u00f6vas vid stora integritetsrisker<\/a>, s\u00e4rskilt n\u00e4r k\u00e4nsliga personuppgifter behandlas. Vill ni ha ett strukturerat underlag kan ni utg\u00e5 fr\u00e5n v\u00e5r <a href=\"https:\/\/evertrust.se\/wp-content\/uploads\/2024\/09\/DPIA-rapportmall-2024-Svenska.pdf\" target=\"_blank\" rel=\"noopener\">DPIA-rapportmall<\/a> och v\u00e5r steg-f\u00f6r-steg-guide till <a href=\"https:\/\/evertrust.se\/en\/dpia-genomforande\/\" target=\"_blank\" rel=\"noopener\">DPIA-genomf\u00f6rande<\/a>.<\/p>\n<h2 id=\"steg-3-granska-sakerheten-bakom-loftena\" tabindex=\"-1\">Steg 3: Granska s\u00e4kerheten bakom l\u00f6ftena<\/h2>\n<p>Det \u00e4r h\u00e4r bed\u00f6mningen ofta blir f\u00f6r tunn. En leverant\u00f6r som skriver att den har \u201cs\u00e4kerhet i v\u00e4rldsklass\u201d har inte visat n\u00e5got. Det ni letar efter \u00e4r bel\u00e4gg f\u00f6r tekniska och organisatoriska \u00e5tg\u00e4rder enligt artikel 32, i proportion till risken.<\/p>\n<p>IMY p\u00e5pekar att <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/personuppgiftsansvariga-och-personuppgiftsbitraden\/personuppgiftsbitradesavtal\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">certifieringar kan anv\u00e4ndas f\u00f6r att visa<\/a> att behandlingen f\u00f6ljer GDPR. Ett certifikat \u00e4r ett bra underlag, men det s\u00e4ger bara n\u00e5got om det som faktiskt ing\u00e5r i certifieringens omfattning. Kontrollera d\u00e4rf\u00f6r alltid vilka tj\u00e4nster, platser och processer certifikatet t\u00e4cker.<\/p>\n<p>F\u00f6r leverant\u00f6rer p\u00e5 medel- och h\u00f6g niv\u00e5 beg\u00e4r vi normalt in eller kontrollerar:<\/p>\n<ul>\n<li><strong>Certifiering och omfattning:<\/strong> till exempel ISO\/IEC 27001, med certifikatets giltighetstid och till\u00e4mplighetsf\u00f6rklaring f\u00f6r de kontroller som r\u00f6r er tj\u00e4nst. L\u00e4s mer om standarderna i v\u00e5r \u00f6versikt \u00f6ver <a href=\"https:\/\/evertrust.se\/en\/expertis\/informationssakerhet-iso-2700x\/\" target=\"_blank\" rel=\"noopener\">informationss\u00e4kerhet enligt ISO 2700X<\/a>.<\/li>\n<li><strong>Oberoende revisionsrapporter:<\/strong> vad som granskats, under vilken period och vilka avvikelser som noterats.<\/li>\n<li><strong>\u00c5tkomststyrning:<\/strong> vem hos leverant\u00f6ren kan se era uppgifter, med vilken beh\u00f6righet och hur loggas det?<\/li>\n<li><strong>Kryptering:<\/strong> vid lagring och \u00f6verf\u00f6ring, och vem som hanterar nycklarna.<\/li>\n<li><strong>Incidenthantering:<\/strong> hur snabbt ni underr\u00e4ttas, vilken information ni f\u00e5r och vem som \u00e4r kontaktperson. Ni har sj\u00e4lva 72 timmar p\u00e5 er att anm\u00e4la en personuppgiftsincident till IMY enligt artikel 33, s\u00e5 leverant\u00f6rens underr\u00e4ttelse m\u00e5ste komma i god tid f\u00f6re det.<\/li>\n<li><strong>Kontinuitet och \u00e5terst\u00e4llning:<\/strong> s\u00e4kerhetskopior, \u00e5terst\u00e4llningstider och hur ofta \u00e5terst\u00e4llning testas.<\/li>\n<li><strong>Radering:<\/strong> hur uppgifterna raderas eller l\u00e4mnas tillbaka n\u00e4r avtalet upph\u00f6r, och hur det bekr\u00e4ftas.<\/li>\n<\/ul>\n<p>Ett praktiskt tips \u00e4r att j\u00e4mf\u00f6ra svaren i s\u00e4kerhetsformul\u00e4ret med vad bitr\u00e4desavtalet och leverant\u00f6rens publika dokumentation s\u00e4ger. Mots\u00e4gelser mellan dem \u00e4r den vanligaste signalen om att n\u00e5got beh\u00f6ver utredas vidare.<\/p>\n<h2 id=\"steg-4-kartlagg-underbitradena\" tabindex=\"-1\">Steg 4: Kartl\u00e4gg underbitr\u00e4dena<\/h2>\n<p>N\u00e4stan ingen modern tj\u00e4nst levereras av en enda akt\u00f6r. Hosting, support, e-postutskick och analysverktyg ligger ofta hos andra. Enligt artikel 28.2 f\u00e5r bitr\u00e4det <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/introduktion-till-gdpr\/dataskyddsforordningen-i-fulltext\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">inte anlita ett underbitr\u00e4de utan ert s\u00e4rskilda eller allm\u00e4nna skriftliga f\u00f6rhandstillst\u00e5nd<\/a>, och underbitr\u00e4det ska omfattas av samma dataskyddsskyldigheter som bitr\u00e4det.<\/p>\n<p>I bed\u00f6mningen betyder det att ni b\u00f6r:<\/p>\n<ul>\n<li>beg\u00e4ra leverant\u00f6rens aktuella lista \u00f6ver underbitr\u00e4den med namn, uppgift och land,<\/li>\n<li>avg\u00f6ra om ni ger s\u00e4rskilt tillst\u00e5nd (varje underbitr\u00e4de godk\u00e4nns f\u00f6r sig) eller allm\u00e4nt tillst\u00e5nd (med r\u00e4tt att inv\u00e4nda mot \u00e4ndringar),<\/li>\n<li>se till att ni f\u00e5r besked om planerade \u00e4ndringar i tid f\u00f6r att hinna inv\u00e4nda,<\/li>\n<li>kontrollera att de underbitr\u00e4den som behandlar mest eller k\u00e4nsligast data har rimliga garantier.<\/li>\n<\/ul>\n<p>EDPB har gett en viktig nyans h\u00e4r. Den personuppgiftsansvarige har enligt <a href=\"https:\/\/www.edpb.europa.eu\/system\/files\/2024-10\/edpb_opinion_202422_relianceonprocessors-sub-processors_en.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">yttrande 22\/2024<\/a> ingen skyldighet att systematiskt beg\u00e4ra in underbitr\u00e4desavtalen, om det inte beh\u00f6vs f\u00f6r att visa efterlevnad. Ni beh\u00f6ver allts\u00e5 inte samla in varje avtal i kedjan, men ni beh\u00f6ver veta vilka som finns d\u00e4r och kunna g\u00e5 vidare n\u00e4r risken motiverar det.<\/p>\n<h2 id=\"steg-5-bedom-overforingar-utanfor-euees\" tabindex=\"-1\">Steg 5: Bed\u00f6m \u00f6verf\u00f6ringar utanf\u00f6r EU\/EES<\/h2>\n<p>Tredjelandsfr\u00e5gan dyker upp \u00e4ven n\u00e4r leverant\u00f6ren \u00e4r svensk. Det r\u00e4cker att supporten sitter i ett annat land eller att ett underbitr\u00e4de lagrar s\u00e4kerhetskopior utanf\u00f6r EES. Checklistan fr\u00e5n Mittuniversitetet sammanfattar kravet tydligt: vid <a href=\"https:\/\/www.miun.se\/globalassets\/forvaltning\/dos\/informationssakerhet\/checklista---offentlig-upphandling-och-gdpr.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">lagring eller support utanf\u00f6r EU ska leverant\u00f6ren ha en laglig grund<\/a> f\u00f6r \u00f6verf\u00f6ringen.<\/p>\n<p>Ansvaret f\u00f6ljer med genom hela kedjan. N\u00e4r uppgifter \u00f6verf\u00f6rs utanf\u00f6r EES mellan bitr\u00e4den kvarst\u00e5r enligt EDPB b\u00e5de era skyldigheter enligt artikel 28.1 och kraven i kapitel V om att skyddsniv\u00e5n inte f\u00e5r undergr\u00e4vas. Det duger allts\u00e5 inte att konstatera att \u201cdet \u00e4r leverant\u00f6rens sak\u201d.<\/p>\n<p>I bed\u00f6mningen vill ni ha svar p\u00e5 var uppgifterna lagras, varifr\u00e5n de kan n\u00e5s, vilken \u00f6verf\u00f6ringsmekanism som anv\u00e4nds och om leverant\u00f6ren har gjort en bed\u00f6mning av lagstiftningen i mottagarlandet. Leverant\u00f6rer i Storbritannien \u00e4r ett vanligt specialfall f\u00f6r svenska organisationer, och den som vill f\u00f6rst\u00e5 hur reglerna har glidit is\u00e4r kan l\u00e4sa om <a href=\"https:\/\/digistrat.co.uk\/blogs\/uk-gdpr-vs-eu-gdpr\" target=\"_blank\" rel=\"noopener\">skillnaderna mellan UK GDPR och EU GDPR<\/a>. V\u00e5r egen guide till <a href=\"https:\/\/evertrust.se\/en\/tredjelandsoverforing-gdpr\/\" target=\"_blank\" rel=\"noopener\">tredjelands\u00f6verf\u00f6ring enligt GDPR<\/a> g\u00e5r igenom hur ett dataskyddsombud b\u00f6r hantera mekanismerna och dokumentationen.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/10\/1793154922633_Fyra-kontrollomraden-for-tredjelandsoverforing.jpeg\" alt=\"Fyra kontrollomr\u00e5den f\u00f6r tredjelands\u00f6verf\u00f6ring\"><\/p>\n<h2 id=\"steg-6-sakra-bitradesavtalet\" tabindex=\"-1\">Steg 6: S\u00e4kra bitr\u00e4desavtalet<\/h2>\n<p>Avtalet \u00e4r det r\u00e4ttsliga verktyg som g\u00f6r bed\u00f6mningen bindande. Artikel 28.3 st\u00e4ller minimikrav p\u00e5 inneh\u00e5llet, och IMY betonar att avtalet ocks\u00e5 ska <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/personuppgiftsansvariga-och-personuppgiftsbitraden\/personuppgiftsbitradesavtal\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">\u00e5terspegla de faktiska f\u00f6rh\u00e5llandena och inneh\u00e5lla korrekta instruktioner<\/a>. Ett mallavtal som beskriver en annan behandling \u00e4n den som faktiskt sker uppfyller inte kravet, hur v\u00e4lskrivet det \u00e4n \u00e4r.<\/p>\n<table>\n<thead>\n<tr>\n<th>Omr\u00e5de<\/th>\n<th>Vad avtalet ska reglera<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Behandlingen<\/td>\n<td>Art, \u00e4ndam\u00e5l, varaktighet, typ av personuppgifter och kategorier av registrerade<\/td>\n<\/tr>\n<tr>\n<td>Instruktioner<\/td>\n<td>Att bitr\u00e4det bara behandlar uppgifter enligt era dokumenterade instruktioner<\/td>\n<\/tr>\n<tr>\n<td>Konfidentialitet<\/td>\n<td>Att beh\u00f6riga personer har tystnadsplikt<\/td>\n<\/tr>\n<tr>\n<td>S\u00e4kerhet<\/td>\n<td>L\u00e4mpliga tekniska och organisatoriska \u00e5tg\u00e4rder enligt artikel 32<\/td>\n<\/tr>\n<tr>\n<td>Underbitr\u00e4den<\/td>\n<td>Villkor f\u00f6r f\u00f6rhandstillst\u00e5nd och att samma skyldigheter f\u00f6rs vidare<\/td>\n<\/tr>\n<tr>\n<td>Registrerades r\u00e4ttigheter<\/td>\n<td>Bitr\u00e4dets hj\u00e4lp n\u00e4r registrerade ut\u00f6var sina r\u00e4ttigheter<\/td>\n<\/tr>\n<tr>\n<td>Artikel 32\u201336<\/td>\n<td>Bist\u00e5nd vid s\u00e4kerhet, incidenter, konsekvensbed\u00f6mningar och f\u00f6rhandssamr\u00e5d<\/td>\n<\/tr>\n<tr>\n<td>Avslut<\/td>\n<td>Radering eller \u00e5terl\u00e4mning av uppgifterna n\u00e4r avtalet upph\u00f6r<\/td>\n<\/tr>\n<tr>\n<td>Granskning<\/td>\n<td>R\u00e4tt till information, revision och inspektion<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Vill ni se hur ett f\u00e4rdigt avtal kan formuleras i praktiken finns det m\u00e5nga publicerade exempel, till exempel det h\u00e4r <a href=\"https:\/\/getserein.dk\/data-processing\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">exemplet p\u00e5 personuppgiftsbitr\u00e4desavtal<\/a> fr\u00e5n en bokningstj\u00e4nst. J\u00e4mf\u00f6r alltid med de faktiska f\u00f6rh\u00e5llandena i er egen behandling. Vi har g\u00e5tt igenom varje punkt mer i detalj i artikeln om <a href=\"https:\/\/evertrust.se\/en\/bitradesavtal-klausuler\/\" target=\"_blank\" rel=\"noopener\">klausulerna i ett bitr\u00e4desavtal<\/a>.<\/p>\n<h2 id=\"steg-7-dokumentera-och-folj-upp\" tabindex=\"-1\">Steg 7: Dokumentera och f\u00f6lj upp<\/h2>\n<p>En leverant\u00f6rsbed\u00f6mning \u00e4r ett levande dokument. Leverant\u00f6rer byter underbitr\u00e4den, flyttar datacenter, k\u00f6ps upp och lanserar nya funktioner. Det som var en l\u00e5griskleverant\u00f6r f\u00f6r tv\u00e5 \u00e5r sedan kan i dag behandla betydligt mer.<\/p>\n<p>Dokumentationen b\u00f6r minst visa:<\/p>\n<ul>\n<li>vilken roll leverant\u00f6ren har och varf\u00f6r,<\/li>\n<li>vilken riskniv\u00e5 ni har satt och p\u00e5 vilka grunder,<\/li>\n<li>vilket underlag ni har granskat och n\u00e4r,<\/li>\n<li>vilka brister ni har hittat och hur de hanteras,<\/li>\n<li>vem som har fattat beslutet att anlita leverant\u00f6ren.<\/li>\n<\/ul>\n<p>F\u00f6r uppf\u00f6ljningen g\u00e4ller att avtalet enligt IMY ska reglera <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/personuppgiftsansvariga-och-personuppgiftsbitraden\/personuppgiftsbitradesavtal\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">bitr\u00e4dets bist\u00e5nd vid incidenter, granskning och radering<\/a> eller \u00e5terl\u00e4mning n\u00e4r avtalet upph\u00f6r, och att planerade \u00e4ndringar av underbitr\u00e4den ska meddelas vid allm\u00e4nt f\u00f6rhandstillst\u00e5nd. Anv\u00e4nd de r\u00e4ttigheterna. En rimlig rytm \u00e4r att h\u00f6griskleverant\u00f6rer ompr\u00f6vas \u00e5rligen, \u00f6vriga vartannat \u00e5r, och alla vid v\u00e4sentliga f\u00f6r\u00e4ndringar som en incident, ett nytt underbitr\u00e4de i tredjeland eller ett \u00e4ndrat anv\u00e4ndningsomr\u00e5de.<\/p>\n<p>Gl\u00f6m inte avslutet. N\u00e4r samarbetet upph\u00f6r ska ni f\u00e5 bekr\u00e4ftat att uppgifterna har raderats eller \u00e5terl\u00e4mnats, inklusive hos underbitr\u00e4den och i s\u00e4kerhetskopior.<\/p>\n<h2 id=\"sarskilt-for-offentlig-sektor\" tabindex=\"-1\">S\u00e4rskilt f\u00f6r offentlig sektor<\/h2>\n<p>Myndigheter, kommuner och regioner g\u00f6r ofta leverant\u00f6rsbed\u00f6mningen redan i upphandlingen. Upphandlingsmyndigheten anger att <a href=\"https:\/\/www.upphandlingsmyndigheten.se\/regler-och-lagstiftning\/andra-regler-som-kan-bli-aktuella\/gdpr-och-upphandling\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">dataskyddsansvar, roller och villkor ska framg\u00e5 av upphandlingsdokumenten<\/a>, och att ett personuppgiftsbitr\u00e4desavtal normalt ing\u00e5r. Kraven m\u00e5ste allts\u00e5 formuleras innan anbuden kommer in. Annars \u00e4r det sv\u00e5rt att st\u00e4lla dem i efterhand.<\/p>\n<p>Offentlighetsprincipen p\u00e5verkar ocks\u00e5. En myndighet ska sekretesspr\u00f6va allm\u00e4nna handlingar f\u00f6re utl\u00e4mnande, och enligt Upphandlingsmyndigheten <a href=\"https:\/\/www.upphandlingsmyndigheten.se\/frageportalen\/2038854\/gdpr-vs-offentlighetsprincipen\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">g\u00e4ller sekretess f\u00f6r personuppgifter<\/a> om det kan antas att de efter utl\u00e4mnandet behandlas i strid med GDPR eller dataskyddslagen. Den som granskar leverant\u00f6rer i offentlig sektor beh\u00f6ver d\u00e4rf\u00f6r h\u00e5lla b\u00e5de dataskyddet och informationss\u00e4kerhetskraven i huvudet. Vi har sammanfattat de senaste kraven i <a href=\"https:\/\/evertrust.se\/en\/informationssakerhet-i-offentlig-sektor\/\" target=\"_blank\" rel=\"noopener\">informationss\u00e4kerhet i offentlig sektor<\/a>.<\/p>\n<h2 id=\"fem-misstag-vi-ser-ofta\" tabindex=\"-1\">Fem misstag vi ser ofta<\/h2>\n<ol>\n<li><strong>Avtalet behandlas som hela bed\u00f6mningen.<\/strong> Ett signerat bitr\u00e4desavtal visar att ni har ett avtal, inte att leverant\u00f6ren h\u00e5ller vad det lovar.<\/li>\n<li><strong>Rollen best\u00e4ms efter avtalsmallen.<\/strong> Leverant\u00f6rens standardvillkor avg\u00f6r inte om den \u00e4r bitr\u00e4de eller ansvarig. Det g\u00f6r den faktiska behandlingen.<\/li>\n<li><strong>Alla leverant\u00f6rer granskas lika.<\/strong> Resultatet blir ytlig kontroll av allt, i st\u00e4llet f\u00f6r djup kontroll d\u00e4r risken finns.<\/li>\n<li><strong>Underbitr\u00e4deslistan l\u00e4ses aldrig.<\/strong> \u00c4ndringsaviseringar hamnar i en gemensam inkorg som ingen bevakar.<\/li>\n<li><strong>Bed\u00f6mningen g\u00f6rs en g\u00e5ng.<\/strong> Den signeras vid upphandlingen och \u00f6ppnas aldrig igen.<\/li>\n<\/ol>\n<h2 id=\"sa-ser-vi-pa-leverantorsbedomning\" tabindex=\"-1\">S\u00e5 ser vi p\u00e5 leverant\u00f6rsbed\u00f6mning<\/h2>\n<p>Vi granskar leverant\u00f6rer \u00e5t organisationer som ofta har hundratals system i sin portf\u00f6lj. V\u00e5r erfarenhet \u00e4r att den sv\u00e5ra delen s\u00e4llan \u00e4r juridiken i artikel 28. Den sv\u00e5ra delen \u00e4r att f\u00e5 en \u00f6verblick som h\u00e5ller \u00f6ver tid. N\u00e4r leverant\u00f6rsregistret ligger i ett kalkylark, avtalen i en annan mapp och s\u00e4kerhetssvaren i n\u00e5gons inkorg tappar man snabbt greppet om vem som behandlar vad.<\/p>\n<p>D\u00e4rf\u00f6r f\u00f6rordar vi en riskbaserad modell med tydliga niv\u00e5er, en fast upps\u00e4ttning fr\u00e5gor per niv\u00e5 och ett \u00e4garskap som ligger i verksamheten och inte bara hos dataskyddsombudet. IT, ink\u00f6p och informationss\u00e4kerhet beh\u00f6ver \u00e4ga sina delar, medan den juridiska bed\u00f6mningen och kvalitetss\u00e4kringen ligger hos den som kan regelverket. Vi ser ocks\u00e5 g\u00e4rna att leverant\u00f6rsbed\u00f6mningen kopplas ihop med registret \u00f6ver behandlingar och med incidenthanteringen. Det \u00e4r n\u00e4r en incident intr\u00e4ffar som det visar sig om ni vet vilken leverant\u00f6r, vilka underbitr\u00e4den och vilka uppgifter som ber\u00f6rs.<\/p>\n<p>V\u00e5rt r\u00e5d \u00e4r att b\u00f6rja med de tio leverant\u00f6rer som behandlar mest och k\u00e4nsligast data. G\u00f6r dem ordentligt och bygg sedan vidare. En perfekt mall som aldrig anv\u00e4nds g\u00f6r mindre nytta \u00e4n en enkel modell som faktiskt till\u00e4mpas.<\/p>\n<blockquote>\n<p><em>\u2014 Jesper<\/em><\/p>\n<\/blockquote>\n<h2 id=\"vill-ni-ha-hjalp-med-granskningen\" tabindex=\"-1\">Vill ni ha hj\u00e4lp med granskningen?<\/h2>\n<p>Vi hj\u00e4lper organisationer att granska leverant\u00f6rer, genomf\u00f6ra konsekvensbed\u00f6mningar och bygga processer som h\u00e5ller vid en tillsyn. Det kan vara en avgr\u00e4nsad <a href=\"https:\/\/evertrust.se\/en\/tjanster-gap-analyser\/\" target=\"_blank\" rel=\"noopener\">GDPR-granskning eller DPIA<\/a> av ett par kritiska leverant\u00f6rer, eller ett l\u00e4ngre uppdrag d\u00e4r vi tar rollen som externt dataskyddsombud eller interim compliance-resurs. F\u00f6r den som vill samla leverant\u00f6rer, avtal och bed\u00f6mningar p\u00e5 ett st\u00e4lle har vi utvecklat <a href=\"https:\/\/evertrust.se\/en\/plattform\/\" target=\"_blank\" rel=\"noopener\">GRC-plattformen Trustview<\/a>, byggd av jurister och experter f\u00f6r arbete enligt bland annat GDPR, ISO 27000, NIS2 och DORA.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/08\/1786093780170_evertrust.jpg\" alt=\"Evertrust\"><\/p>\n<h2 id=\"vanliga-fragor\" tabindex=\"-1\">Vanliga fr\u00e5gor<\/h2>\n<h3 id=\"maste-vi-gora-en-leverantorsbedomning-for-alla-leverantorer\" tabindex=\"-1\">M\u00e5ste vi g\u00f6ra en leverant\u00f6rsbed\u00f6mning f\u00f6r alla leverant\u00f6rer?<\/h3>\n<p>F\u00f6r alla som behandlar personuppgifter \u00e5t er som bitr\u00e4den, ja. EDPB har slagit fast att kontrollen ska g\u00f6ras oavsett riskniv\u00e5. D\u00e4remot kan ni anpassa hur omfattande den \u00e4r, s\u00e5 att l\u00e5griskleverant\u00f6rer f\u00e5r en enklare kontroll.<\/p>\n<h3 id=\"racker-det-att-leverantoren-ar-iso-27001-certifierad\" tabindex=\"-1\">R\u00e4cker det att leverant\u00f6ren \u00e4r ISO 27001-certifierad?<\/h3>\n<p>Nej, men det \u00e4r ett starkt underlag. Kontrollera att certifieringen t\u00e4cker just den tj\u00e4nst och de platser som ni anv\u00e4nder, och komplettera med fr\u00e5gor om underbitr\u00e4den, tredjelands\u00f6verf\u00f6ringar och incidentrutiner, som certifikatet inte alltid svarar p\u00e5.<\/p>\n<h3 id=\"hur-ofta-ska-leverantorsbedomningen-uppdateras\" tabindex=\"-1\">Hur ofta ska leverant\u00f6rsbed\u00f6mningen uppdateras?<\/h3>\n<p>GDPR anger inget intervall. Vi rekommenderar \u00e5rlig ompr\u00f6vning av h\u00f6griskleverant\u00f6rer, vartannat \u00e5r f\u00f6r \u00f6vriga och alltid vid v\u00e4sentliga f\u00f6r\u00e4ndringar, till exempel nya underbitr\u00e4den, incidenter eller \u00e4ndrad anv\u00e4ndning.<\/p>\n<h3 id=\"vem-ska-aga-leverantorsbedomningen-i-organisationen\" tabindex=\"-1\">Vem ska \u00e4ga leverant\u00f6rsbed\u00f6mningen i organisationen?<\/h3>\n<p>Den personuppgiftsansvarige, allts\u00e5 organisationen, b\u00e4r ansvaret. I praktiken fungerar det b\u00e4st n\u00e4r ink\u00f6p eller system\u00e4garen driver processen, informationss\u00e4kerhet granskar de tekniska delarna och dataskyddsombudet eller juristen kvalitetss\u00e4krar den r\u00e4ttsliga bed\u00f6mningen.<\/p>\n<h2 id=\"kallor\" tabindex=\"-1\">K\u00e4llor<\/h2>\n<p><a href=\"https:\/\/www.imy.se\/globalassets\/dokument\/rapporter\/ansvarsroller-enligt-gdpr-vid-finjustering-av-ai-applikationer.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: Ansvarsroller enligt GDPR vid finjustering av AI-applikationer<\/a><br \/>\n<a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/personuppgiftsansvariga-och-personuppgiftsbitraden\/personuppgiftsbitradesavtal\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: Personuppgiftsbitr\u00e4desavtal<\/a><br \/>\n<a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/introduktion-till-gdpr\/dataskyddsforordningen-i-fulltext\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: Dataskyddsf\u00f6rordningen i fulltext<\/a><br \/>\n<a href=\"https:\/\/www.edpb.europa.eu\/system\/files\/2024-10\/edpb_opinion_202422_relianceonprocessors-sub-processors_en.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">EDPB: Opinion 22\/2024 on certain obligations following from the reliance on processors and sub-processors<\/a><br \/>\n<a href=\"https:\/\/www.upphandlingsmyndigheten.se\/regler-och-lagstiftning\/andra-regler-som-kan-bli-aktuella\/gdpr-och-upphandling\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Upphandlingsmyndigheten: GDPR och offentlig upphandling<\/a><br \/>\n<a href=\"https:\/\/www.upphandlingsmyndigheten.se\/frageportalen\/2038854\/gdpr-vs-offentlighetsprincipen\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Upphandlingsmyndigheten: Offentlighetsprincipen och GDPR<\/a><br \/>\n<a href=\"https:\/\/www.miun.se\/globalassets\/forvaltning\/dos\/informationssakerhet\/checklista---offentlig-upphandling-och-gdpr.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Mittuniversitetet: Checklista f\u00f6r offentlig upphandling och GDPR<\/a><br \/>\n<a href=\"https:\/\/digistrat.co.uk\/blogs\/uk-gdpr-vs-eu-gdpr\" target=\"_blank\" rel=\"noopener\">Digistrat: UK GDPR vs EU GDPR<\/a><br \/>\n<a href=\"https:\/\/getserein.dk\/data-processing\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Serein: Data processing agreement<\/a><\/p>\n<h2 id=\"rekommendationer\" tabindex=\"-1\">Rekommendationer<\/h2>\n<ul>\n<li><a href=\"https:\/\/evertrust.se\/en\/gdpr-krav-foretag\/\" target=\"_blank\" rel=\"noopener\">Vilka GDPR-krav m\u00e5ste ditt f\u00f6retag uppfylla?<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/molntjanster-gdpr\/\" target=\"_blank\" rel=\"noopener\">Molntj\u00e4nster och GDPR: vem ansvarar och vad kr\u00e4ver lagen?<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/vad-gor-en-gdpr-konsult\/\" target=\"_blank\" rel=\"noopener\">Beslutsfattare: vad g\u00f6r en GDPRkonsult? 6 leveranser att kr\u00e4va<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/dataskyddsombud-ansvar\/\" target=\"_blank\" rel=\"noopener\">Dataskyddsombudets ansvar: vem svarar egentligen f\u00f6r GDPR?<\/a><\/li>\n<\/ul>","protected":false},"excerpt":{"rendered":"<p>S\u00e5 g\u00f6r ni en leverant\u00f6rsbed\u00f6mning enligt GDPR: roller, riskklassning, s\u00e4kerhet, underbitr\u00e4den, tredjeland, bitr\u00e4desavtal och l\u00f6pande uppf\u00f6ljning.<\/p>","protected":false},"author":2,"featured_media":8622,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"content-type":"","site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[107],"tags":[9],"class_list":["post-8621","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sverige","tag-gdpr-specialist"],"acf":[],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8621","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/comments?post=8621"}],"version-history":[{"count":1,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8621\/revisions"}],"predecessor-version":[{"id":8624,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8621\/revisions\/8624"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media\/8622"}],"wp:attachment":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media?parent=8621"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/categories?post=8621"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/tags?post=8621"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}