{"id":8657,"date":"2026-11-06T03:30:09","date_gmt":"2026-11-06T02:30:09","guid":{"rendered":"https:\/\/evertrust.se\/konsekvensbedomning-dataskydd\/"},"modified":"2026-11-06T03:30:12","modified_gmt":"2026-11-06T02:30:12","slug":"konsekvensbedomning-dataskydd","status":"publish","type":"post","link":"https:\/\/evertrust.se\/en\/konsekvensbedomning-dataskydd\/","title":{"rendered":"Konsekvensbed\u00f6mning avseende dataskydd: s\u00e5 g\u00f6r ni enligt GDPR"},"content":{"rendered":"<\/p>\n<p>En konsekvensbed\u00f6mning avseende dataskydd (DPIA) \u00e4r en analys som den personuppgiftsansvarige m\u00e5ste g\u00f6ra innan en behandling startar, om behandlingen sannolikt inneb\u00e4r h\u00f6g risk f\u00f6r de registrerades r\u00e4ttigheter och friheter. Bed\u00f6mningen beskriver vad ni ska g\u00f6ra och varf\u00f6r. Den visar att behandlingen \u00e4r n\u00f6dv\u00e4ndig och proportionerlig, bed\u00f6mer riskerna och redovisar hur ni hanterar dem. H\u00e4r g\u00e5r vi igenom n\u00e4r kravet g\u00e4ller, vad bed\u00f6mningen ska inneh\u00e5lla, vem som g\u00f6r vad och hur ni h\u00e5ller den aktuell. Vi utg\u00e5r fr\u00e5n IMY:s v\u00e4gledning fr\u00e5n 2025.<\/p>\n<div data-blg-cta=\"after_tldr\" data-blg-cta-layout=\"split\" style=\"margin:28px 0;font-family:-apple-system, BlinkMacSystemFont, &apos;Segoe UI&apos;, Roboto, Helvetica, Arial, sans-serif\">\n<div style=\"border-radius:26px;padding:min(22px,3.2vw);background:radial-gradient(circle at 100% 0%,#d9ebd8 0 150px,rgba(255,255,255,0) 151px),radial-gradient(circle at 0% 100%,#d9ebd8 0 130px,rgba(255,255,255,0) 131px),linear-gradient(180deg,#e6f2e5 0%,#f2f8f2 100%)\">\n<div style=\"background:#ffffff;border-radius:18px;overflow:hidden\">\n<div style=\"display:flex;flex-wrap:wrap\">\n<div style=\"flex:1 0 36%;min-width:220px;padding:30px 76px 30px 26px;color:#ffffff;background:linear-gradient(104deg,#164613 0%,#0d2a0b 82%,rgba(0,0,0,0) 82.15%)\">\n<div style=\"margin:0 0 14px\"><span style=\"display:inline-block;max-width:100%;border-radius:999px;padding:6px 13px;font-size:12px;font-weight:800;letter-spacing:0.1em;text-transform:uppercase;line-height:1.3;background:#ffffff;color:#1b5718\">Evertrust<\/span><\/div>\n<div style=\"font-size:12px;opacity:0.75\">evertrust.se<\/div>\n<\/div>\n<div style=\"flex:999 1 300px;min-width:0;padding:30px 28px\">\n<div style=\"font-size:23px;font-weight:800;line-height:1.2;letter-spacing:-0.01em;color:#1f2937;margin:0\">F\u00e5 st\u00f6d med er konsekvensbed\u00f6mning<\/div>\n<div style=\"width:56px;height:6px;border-radius:3px;background:#2D8F27;margin:12px 0 14px\"><\/div>\n<div style=\"font-size:15px;line-height:1.55;color:#64748b;margin:0 0 22px\">Evertrust st\u00f6ttar organisationer med konsekvensbed\u00f6mningar, DPIA:er och praktisk implementering inom dataskydd.<\/div>\n<p><a href=\"https:\/\/evertrust.se\/en\/\" style=\"display:inline-flex;align-items:center;gap:9px;border-radius:10px;font-weight:700;font-size:15px;text-decoration:none;padding:13px 22px 13px 26px;background:#2D8F27;color:#ffffff\">L\u00e4s om Evertrusts st\u00f6d<\/a><\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<h2 id=\"kort-sagt\" tabindex=\"-1\">Kort sagt<\/h2>\n<ul>\n<li>Kravet i artikel 35 i GDPR g\u00e4ller n\u00e4r en behandling <strong>sannolikt leder till h\u00f6g risk<\/strong>. IMY:s huvudregel \u00e4r att en konsekvensbed\u00f6mning ska g\u00f6ras om behandlingen uppfyller minst tv\u00e5 av nio kriterier.<\/li>\n<li>Bed\u00f6mningen ska minst inneh\u00e5lla en systematisk beskrivning av behandlingen, en bed\u00f6mning av n\u00f6dv\u00e4ndighet och proportionalitet, en riskbed\u00f6mning och planerade \u00e5tg\u00e4rder.<\/li>\n<li>Det yttersta ansvaret ligger hos den personuppgiftsansvarige. Dataskyddsombudet ska r\u00e5dfr\u00e5gas, helst tidigt och vid viktiga beslut.<\/li>\n<li>Om h\u00f6g risk kvarst\u00e5r efter \u00e5tg\u00e4rderna ska ni samr\u00e5da med IMY innan behandlingen startar.<\/li>\n<li>F\u00f6lj upp bed\u00f6mningen ungef\u00e4r ett \u00e5r efter start och d\u00e4refter som utg\u00e5ngspunkt vartannat \u00e5r.<\/li>\n<\/ul>\n<h2 id=\"innehallsforteckning\" tabindex=\"-1\">Inneh\u00e5llsf\u00f6rteckning<\/h2>\n<ul>\n<li><a href=\"#vad-en-konsekvensbedomning-ar-och-vad-den-ska-astadkomma\">Vad en konsekvensbed\u00f6mning \u00e4r och vad den ska \u00e5stadkomma<\/a><\/li>\n<li><a href=\"#nar-kravs-en-konsekvensbedomning\">N\u00e4r kr\u00e4vs en konsekvensbed\u00f6mning?<\/a><\/li>\n<li><a href=\"#vad-bedomningen-ska-innehalla\">Vad bed\u00f6mningen ska inneh\u00e5lla<\/a><\/li>\n<li><a href=\"#sa-genomfor-ni-bedomningen-steg-for-steg\">S\u00e5 genomf\u00f6r ni bed\u00f6mningen steg f\u00f6r steg<\/a><\/li>\n<li><a href=\"#vem-gor-vad\">Vem g\u00f6r vad?<\/a><\/li>\n<li><a href=\"#forhandssamrad-nar-hog-risk-kvarstar\">F\u00f6rhandssamr\u00e5d n\u00e4r h\u00f6g risk kvarst\u00e5r<\/a><\/li>\n<li><a href=\"#uppfoljning-bedomningen-ar-ett-levande-dokument\">Uppf\u00f6ljning: bed\u00f6mningen \u00e4r ett levande dokument<\/a><\/li>\n<li><a href=\"#sa-ser-vi-pa-konsekvensbedomningar\">S\u00e5 ser vi p\u00e5 konsekvensbed\u00f6mningar<\/a><\/li>\n<li><a href=\"#hjalp-med-er-konsekvensbedomning\">Hj\u00e4lp med er konsekvensbed\u00f6mning<\/a><\/li>\n<li><a href=\"#vanliga-fragor\">Vanliga fr\u00e5gor<\/a><\/li>\n<li><a href=\"#kallor\">K\u00e4llor<\/a><\/li>\n<\/ul>\n<h2 id=\"vad-en-konsekvensbedomning-ar-och-vad-den-ska-astadkomma\" tabindex=\"-1\">Vad en konsekvensbed\u00f6mning \u00e4r och vad den ska \u00e5stadkomma<\/h2>\n<p>En konsekvensbed\u00f6mning \u00e4r ett strukturerat s\u00e4tt att t\u00e4nka igenom en personuppgiftsbehandling innan den s\u00e4tts i drift. Enligt <a href=\"https:\/\/www.digg.se\/kunskap-och-stod\/metodstod-for-dataskydd-vid-innovation\/rattslig-bedomning-av-personuppgiftsbehandlingen\/konsekvensbedomning-om-dataskydd\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Diggs metodst\u00f6d f\u00f6r konsekvensbed\u00f6mning om dataskydd<\/a> har den tre syften. Den ska identifiera risker, leda till \u00e5tg\u00e4rder som hanterar riskerna och visa om behandlingen \u00e4r proportionerlig i f\u00f6rh\u00e5llande till de risker den medf\u00f6r. Den personuppgiftsansvarige ska utf\u00f6ra den innan behandlingen genomf\u00f6rs.<\/p>\n<p>Fokus ligger p\u00e5 de registrerade, inte p\u00e5 organisationen. En informationss\u00e4kerhetsanalys fr\u00e5gar vad som h\u00e4nder med verksamheten om data l\u00e4cker. En konsekvensbed\u00f6mning fr\u00e5gar vad som h\u00e4nder med m\u00e4nniskorna i registret. Kan de diskrimineras, f\u00f6rlora kontrollen \u00f6ver sina uppgifter, drabbas ekonomiskt eller bli \u00f6vervakade p\u00e5 ett s\u00e4tt de inte r\u00e4knar med? Som <a href=\"https:\/\/skr.se\/funktioner\/fragorochsvar\/fragorochsvarkonsekvensbedomningavdataskydd\/vadarmaletmedenkonsekvensbedomning.8172.html\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">SKR beskriver det<\/a> \u00e4r m\u00e5let att minimera riskerna f\u00f6r den registrerades r\u00e4ttigheter och friheter enligt artikel 35.7 c.<\/p>\n<p>I praktiken blir bed\u00f6mningen ocks\u00e5 ert b\u00e4sta underlag f\u00f6r att visa ansvarsskyldighet. N\u00e4r IMY granskar en behandling vill myndigheten se att ni faktiskt har gjort avv\u00e4gningarna, inte bara att ni har en policy.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/11\/1793801096959_Vad-en-konsekvensbedomning-ar-och-vad-den-ska-astadkomma.jpeg\" alt=\"Vad en konsekvensbed\u00f6mning \u00e4r och vad den ska \u00e5stadkomma\"><\/p>\n<h2 id=\"nar-kravs-en-konsekvensbedomning\" tabindex=\"-1\">N\u00e4r kr\u00e4vs en konsekvensbed\u00f6mning?<\/h2>\n<p>Utg\u00e5ngspunkten \u00e4r artikel 35.1: en konsekvensbed\u00f6mning kr\u00e4vs n\u00e4r en typ av behandling sannolikt leder till h\u00f6g risk, s\u00e4rskilt n\u00e4r ny teknik anv\u00e4nds. Artikel 35.3 ger tre exempel d\u00e4r kravet alltid g\u00e4ller:<\/p>\n<ul>\n<li>systematisk och omfattande bed\u00f6mning av personliga aspekter som bygger p\u00e5 automatiserad behandling och leder till beslut med r\u00e4ttslig verkan<\/li>\n<li>behandling i stor omfattning av k\u00e4nsliga personuppgifter eller uppgifter om lag\u00f6vertr\u00e4delser<\/li>\n<li>systematisk \u00f6vervakning av allm\u00e4n plats i stor omfattning<\/li>\n<\/ul>\n<p>F\u00f6r \u00f6vriga behandlingar har IMY tagit fram en f\u00f6rteckning enligt artikel 35.4. Enligt <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/konsekvensbedomning\/nar-ska-en-konsekvensbedomning-genomforas\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY:s sida om n\u00e4r en konsekvensbed\u00f6mning ska genomf\u00f6ras<\/a> \u00e4r huvudregeln att en konsekvensbed\u00f6mning ska g\u00f6ras om behandlingen uppfyller minst tv\u00e5 av f\u00f6rteckningens nio kriterier. Kriterierna bygger p\u00e5 <a href=\"https:\/\/www.imy.se\/globalassets\/dokument\/riktlinjer-om-konsekvensbedomning-avseende-dataskydd.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">EDPB:s riktlinjer om konsekvensbed\u00f6mning<\/a>.<\/p>\n<h3 id=\"de-nio-kriterierna\" tabindex=\"-1\">De nio kriterierna<\/h3>\n<table>\n<thead>\n<tr>\n<th>Kriterium<\/th>\n<th>Typiska exempel i en organisation<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>1. Utv\u00e4rdering eller po\u00e4ngs\u00e4ttning<\/td>\n<td>Kreditbed\u00f6mning, profilering av kunder, prestationsanalys av anst\u00e4llda<\/td>\n<\/tr>\n<tr>\n<td>2. Automatiserat beslutsfattande med r\u00e4ttsliga eller liknande betydande f\u00f6ljder<\/td>\n<td>Automatisk gallring av jobbs\u00f6kande, automatiska avslag<\/td>\n<\/tr>\n<tr>\n<td>3. Systematisk \u00f6vervakning<\/td>\n<td>Kamerabevakning, loggning av anst\u00e4lldas aktivitet, sp\u00e5rning i appar<\/td>\n<\/tr>\n<tr>\n<td>4. K\u00e4nsliga uppgifter eller uppgifter av mycket personlig karakt\u00e4r<\/td>\n<td>H\u00e4lsodata, fackmedlemskap, biometri, ekonomiska uppgifter<\/td>\n<\/tr>\n<tr>\n<td>5. Behandling i stor omfattning<\/td>\n<td>Kundregister med m\u00e5nga registrerade, rikst\u00e4ckande tj\u00e4nster<\/td>\n<\/tr>\n<tr>\n<td>6. Matchning eller kombination av datam\u00e4ngder<\/td>\n<td>Samk\u00f6rning av CRM, webbanalys och data fr\u00e5n tredje part<\/td>\n<\/tr>\n<tr>\n<td>7. Uppgifter om s\u00e5rbara registrerade<\/td>\n<td>Barn, patienter, anst\u00e4llda i f\u00f6rh\u00e5llande till arbetsgivaren<\/td>\n<\/tr>\n<tr>\n<td>8. Innovativ anv\u00e4ndning eller ny teknik<\/td>\n<td>AI-modeller, ansiktsigenk\u00e4nning, uppkopplade enheter<\/td>\n<\/tr>\n<tr>\n<td>9. Behandling som hindrar de registrerade fr\u00e5n att ut\u00f6va en r\u00e4ttighet eller anv\u00e4nda en tj\u00e4nst<\/td>\n<td>Sp\u00e4rrlistor, kontroller som avg\u00f6r om n\u00e5gon f\u00e5r ett avtal eller en tj\u00e4nst<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Tre saker \u00e4r bra att komma ih\u00e5g.<\/p>\n<p>F\u00f6rteckningen \u00e4r inte utt\u00f6mmande. Enligt <a href=\"https:\/\/www.imy.se\/globalassets\/dokument\/vagledningar\/rattsligt-tolkningsstod.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY:s r\u00e4ttsliga tolkningsst\u00f6d<\/a> kan en konsekvensbed\u00f6mning beh\u00f6vas i ett enskilt fall \u00e4ven om bara ett kriterium \u00e4r uppfyllt.<\/p>\n<p>Om tv\u00e5 eller fler kriterier \u00e4r uppfyllda och ni \u00e4nd\u00e5 bed\u00f6mer att det inte finns h\u00f6g risk, m\u00e5ste ni motivera det noggrant. <a href=\"https:\/\/www.imy.se\/globalassets\/dokument\/mallar\/mall-for-bedomning-av-behovet-av-konsekvensbedomning.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY:s mall f\u00f6r bed\u00f6mning av behovet<\/a> kr\u00e4ver att motiveringen dokumenteras.<\/p>\n<p>Artikel 35.10 inneh\u00e5ller ett undantag. Ni beh\u00f6ver inte g\u00f6ra en egen konsekvensbed\u00f6mning om behandlingen har sin r\u00e4ttsliga grund i artikel 6.1 c eller e och lagstiftaren redan gjorde en allm\u00e4n konsekvensbed\u00f6mning n\u00e4r lagen antogs.<\/p>\n<h3 id=\"ett-svenskt-exempel-pa-vad-som-hander-nar-bedomningen-saknas\" tabindex=\"-1\">Ett svenskt exempel p\u00e5 vad som h\u00e4nder n\u00e4r bed\u00f6mningen saknas<\/h3>\n<p>IMY utf\u00e4rdade en <a href=\"https:\/\/www.imy.se\/nyheter\/sanktionsavgift-mot-kommun-som-inte-bedomt-konsekvenser-innan-google-workspace-infordes\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">sanktionsavgift p\u00e5 300 000 kronor mot barn- och utbildningsn\u00e4mnden i \u00d6stersunds kommun<\/a>. N\u00e4mnden hade inte gjort en konsekvensbed\u00f6mning innan Google Workspace inf\u00f6rdes p\u00e5 24 skolor. Fallet visar ett vanligt m\u00f6nster: en molntj\u00e4nst med m\u00e5nga registrerade, h\u00e4r barn, uppfyller flera kriterier samtidigt. Det g\u00e4ller stor omfattning, s\u00e5rbara registrerade och ofta ny teknik. Byten av system och leverant\u00f6r \u00e4r d\u00e4rf\u00f6r typiska tillf\u00e4llen d\u00e5 en bed\u00f6mning beh\u00f6vs, \u00e4ven om verksamheten i \u00f6vrigt ser likadan ut.<\/p>\n<h2 id=\"vad-bedomningen-ska-innehalla\" tabindex=\"-1\">Vad bed\u00f6mningen ska inneh\u00e5lla<\/h2>\n<p>Enligt <a href=\"https:\/\/www.imy.se\/globalassets\/dokument\/vagledningar\/en-praktisk-guide.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY:s praktiska guide<\/a> ska en konsekvensbed\u00f6mning inneh\u00e5lla minst fyra delar:<\/p>\n<ol>\n<li><strong>En systematisk beskrivning av behandlingen och dess syften.<\/strong> Vilka uppgifter och vilka registrerade det g\u00e4ller, vilka system som anv\u00e4nds, vilka mottagare och bitr\u00e4den som finns, var uppgifterna lagras och hur l\u00e4nge.<\/li>\n<li><strong>En bed\u00f6mning av n\u00f6dv\u00e4ndighet och proportionalitet.<\/strong> Varf\u00f6r behandlingen beh\u00f6vs f\u00f6r syftet, om syftet kan n\u00e5s med mindre data, vilken r\u00e4ttslig grund som g\u00e4ller och hur de registrerades r\u00e4ttigheter tillgodoses.<\/li>\n<li><strong>En bed\u00f6mning av riskerna f\u00f6r de registrerades r\u00e4ttigheter och friheter.<\/strong><\/li>\n<li><strong>Planerade \u00e5tg\u00e4rder f\u00f6r att hantera riskerna<\/strong>, b\u00e5de tekniska och organisatoriska.<\/li>\n<\/ol>\n<p>Omst\u00e4ndigheterna avg\u00f6r hur omfattande och detaljerad dokumentationen ska vara, men den m\u00e5ste r\u00e4cka f\u00f6r att ni ska kunna visa att GDPR f\u00f6ljs. Konsekvensbed\u00f6mningen h\u00e4nger ihop med registerf\u00f6rteckningen, den r\u00e4ttsliga grunden och riskbed\u00f6mningen, och en genomg\u00e5ng av <a href=\"https:\/\/kavallaris.gr\/ti-einai-symmorfosi-gdpr\" target=\"_blank\" rel=\"noopener\">grunderna i GDPR-efterlevnad<\/a> visar hur delarna passar ihop.<\/p>\n<h3 id=\"sa-bedomer-ni-riskerna\" tabindex=\"-1\">S\u00e5 bed\u00f6mer ni riskerna<\/h3>\n<p>Riskdelen \u00e4r d\u00e4r m\u00e5nga bed\u00f6mningar blir f\u00f6r tunna. <a href=\"https:\/\/www.imy.se\/globalassets\/dokument\/mallar\/mall-for-konsekvensbedomning-enligt-dataskyddsforordningen-2025-05-26.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY:s mall f\u00f6r konsekvensbed\u00f6mning<\/a> (version 2025-05-26) delar upp riskhanteringen i fyra moment: ni identifierar riskerna, analyserar sannolikhet och allvarlighet, beslutar om riskreducerande \u00e5tg\u00e4rder och g\u00f6r en ny riskbed\u00f6mning efter \u00e5tg\u00e4rderna. Skalorna ser ut s\u00e5 h\u00e4r:<\/p>\n<table>\n<thead>\n<tr>\n<th>Sannolikhet<\/th>\n<th>Allvarlighet f\u00f6r de registrerade<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>L\u00e5g<\/td>\n<td>Begr\u00e4nsade<\/td>\n<\/tr>\n<tr>\n<td>Medel<\/td>\n<td>Relativt allvarliga<\/td>\n<\/tr>\n<tr>\n<td>H\u00f6g<\/td>\n<td>Allvarliga<\/td>\n<\/tr>\n<tr>\n<td>Mycket h\u00f6g<\/td>\n<td>Mycket allvarliga<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>SKR beskriver samma logik i fem led: riskens ursprung, hot, m\u00f6jliga konsekvenser, uppskattad sannolikhet och konsekvensgrad samt planerade \u00e5tg\u00e4rder.<\/p>\n<p>Ett konkret exempel \u00e4r en ny HR-plattform med AI-st\u00f6d f\u00f6r rekrytering. Ett hot \u00e4r att modellen sorterar bort s\u00f6kande utifr\u00e5n egenskaper som h\u00e4nger ihop med k\u00f6n eller \u00e5lder. F\u00f6r den registrerade blir konsekvensen diskriminering och en f\u00f6rlorad chans till anst\u00e4llning, allts\u00e5 allvarlig. Om sannolikheten bed\u00f6ms som medel kan \u00e5tg\u00e4rderna vara att en m\u00e4nniska granskar alla avslag, att modellens utfall testas och att de s\u00f6kande f\u00e5r tydlig information. D\u00e4refter bed\u00f6mer ni den risk som \u00e5terst\u00e5r.<\/p>\n<h2 id=\"sa-genomfor-ni-bedomningen-steg-for-steg\" tabindex=\"-1\">S\u00e5 genomf\u00f6r ni bed\u00f6mningen steg f\u00f6r steg<\/h2>\n<p>IMY:s praktiska guide och mallar ger en tydlig ordning. S\u00e5 h\u00e4r brukar arbetet se ut n\u00e4r det fungerar bra:<\/p>\n<ol>\n<li><strong>Bed\u00f6m behovet.<\/strong> G\u00e5 igenom artikel 35.1 och 35.3 och IMY:s nio kriterier. Dokumentera slutsatsen \u00e4ven n\u00e4r svaret \u00e4r nej.<\/li>\n<li><strong>S\u00e4tt ihop r\u00e4tt grupp.<\/strong> Verksamhets\u00e4gare, system\u00e4gare eller IT, informationss\u00e4kerhet, jurist och dataskyddsombud. De som g\u00f6r sj\u00e4lva bed\u00f6mningen kan finnas inom eller utanf\u00f6r organisationen.<\/li>\n<li><strong>Beskriv behandlingen.<\/strong> Kartl\u00e4gg datafl\u00f6den, system, bitr\u00e4den och eventuella \u00f6verf\u00f6ringar till tredjeland. H\u00e4r har ni nytta av en strukturerad <a href=\"https:\/\/evertrust.se\/en\/leverantorsbedomning-gdpr\/\" target=\"_blank\" rel=\"noopener\">leverant\u00f6rsbed\u00f6mning enligt GDPR<\/a>.<\/li>\n<li><strong>Pr\u00f6va n\u00f6dv\u00e4ndighet och proportionalitet.<\/strong> Ifr\u00e5gas\u00e4tt varje datakategori och varje lagringstid. Om ni st\u00f6der er p\u00e5 ber\u00e4ttigat intresse beh\u00f6ver ni ocks\u00e5 en <a href=\"https:\/\/evertrust.se\/en\/intresseavvagning-gdpr\/\" target=\"_blank\" rel=\"noopener\">revisionsbar intresseavv\u00e4gning<\/a>.<\/li>\n<li><strong>Identifiera och v\u00e4rdera riskerna<\/strong> efter sannolikhet och allvarlighet enligt skalan ovan.<\/li>\n<li><strong>Besluta om \u00e5tg\u00e4rder<\/strong> och bed\u00f6m den risk som \u00e5terst\u00e5r. I IMY:s mall dokumenterar ni i det h\u00e4r steget ocks\u00e5 resultatet av ett eventuellt f\u00f6rhandssamr\u00e5d.<\/li>\n<li><strong>Inh\u00e4mta dataskyddsombudets utl\u00e5tande<\/strong> och l\u00e5t r\u00e4tt niv\u00e5 i organisationen fatta beslutet.<\/li>\n<li><strong>Planera uppf\u00f6ljningen<\/strong> innan behandlingen startar.<\/li>\n<\/ol>\n<p>Vi har skrivit en f\u00f6rdjupning om <a href=\"https:\/\/evertrust.se\/en\/dpia-genomforande\/\" target=\"_blank\" rel=\"noopener\">hur en DPIA genomf\u00f6rs i praktiken<\/a>. V\u00e5r <a href=\"https:\/\/evertrust.se\/wp-content\/uploads\/2024\/09\/DPIA-rapportmall-2024-Svenska.pdf\" target=\"_blank\" rel=\"noopener\">DPIA-rapportmall p\u00e5 svenska<\/a> kan ni anv\u00e4nda som st\u00f6d f\u00f6r dokumentationen.<\/p>\n<h2 id=\"vem-gor-vad\" tabindex=\"-1\">Vem g\u00f6r vad?<\/h2>\n<p><strong>Den personuppgiftsansvarige<\/strong> har enligt IMY:s r\u00e4ttsliga tolkningsst\u00f6d det yttersta ansvaret och ska se till att en konsekvensbed\u00f6mning g\u00f6rs n\u00e4r den \u00e4r obligatorisk. Ansvaret kan inte l\u00e4mnas \u00f6ver till IT-avdelningen eller till en konsult, \u00e4ven om andra utf\u00f6r arbetet.<\/p>\n<p><strong>Dataskyddsombudet<\/strong> ska r\u00e5dfr\u00e5gas om ett s\u00e5dant har utsetts. Enligt IMY b\u00f6r ombudet vara med l\u00f6pande, s\u00e5 tidigt som m\u00f6jligt och vid viktiga beslut. Den praktiska guiden anger att ombudet b\u00f6r l\u00e4mna ett separat skriftligt utl\u00e5tande. D\u00e4r ska det framg\u00e5 hur ombudet har varit involverat och vilket underlag utl\u00e5tandet bygger p\u00e5. Om den personuppgiftsansvarige inte f\u00f6ljer en formell rekommendation b\u00f6r beslutet motiveras skriftligt. L\u00e4s mer om <a href=\"https:\/\/evertrust.se\/en\/dataskyddsombudets-roll-vid-en-dpia\/\" target=\"_blank\" rel=\"noopener\">dataskyddsombudets roll vid en DPIA<\/a> och om <a href=\"https:\/\/evertrust.se\/en\/nar-kravs-dataskyddsombud\/\" target=\"_blank\" rel=\"noopener\">n\u00e4r det kr\u00e4vs ett dataskyddsombud<\/a>.<\/p>\n<p><strong>Personuppgiftsbitr\u00e4den<\/strong> ska hj\u00e4lpa den personuppgiftsansvarige med underlag, till exempel om s\u00e4kerhets\u00e5tg\u00e4rder och underbitr\u00e4den. Hur ansvaret f\u00f6rdelas mellan parterna avg\u00f6r vad ni beh\u00f6ver reglera i avtalet. En genomg\u00e5ng av <a href=\"https:\/\/zakelijkeverzekering.nl\/blog-kennisbank\/dataverwerker-aansprakelijkheid\" target=\"_blank\" rel=\"noopener\">personuppgiftsbitr\u00e4dets ansvar enligt GDPR<\/a> visar varf\u00f6r den gr\u00e4nsdragningen spelar roll.<\/p>\n<p><strong>De registrerade<\/strong> eller deras f\u00f6retr\u00e4dare ska tillfr\u00e5gas n\u00e4r det \u00e4r l\u00e4mpligt. IMY n\u00e4mner som exempel behandlingar som p\u00e5verkar m\u00e5nga registrerade, omfattar k\u00e4nsliga personuppgifter eller inneb\u00e4r automatiserat beslutsfattande. Det kan ske genom en enk\u00e4t, en fokusgrupp eller samr\u00e5d med fackliga f\u00f6retr\u00e4dare.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/11\/1793801129728_Vem-gor-vad-.jpeg\" alt=\"Vem g\u00f6r vad?\"><\/p>\n<h2 id=\"forhandssamrad-nar-hog-risk-kvarstar\" tabindex=\"-1\">F\u00f6rhandssamr\u00e5d n\u00e4r h\u00f6g risk kvarst\u00e5r<\/h2>\n<p>Om bed\u00f6mningen visar att risken fortfarande \u00e4r h\u00f6g efter \u00e5tg\u00e4rderna ska ni samr\u00e5da med IMY innan behandlingen startar (artikel 36). Enligt <a href=\"https:\/\/www.imy.se\/globalassets\/dokument\/ovrigt\/eftermaterial-grundkurs-gdpr-privat-sektor.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY:s eftermaterial till grundkursen i GDPR<\/a> ska IMY l\u00e4mna ett yttrande inom \u00e5tta veckor, men tiden kan f\u00f6rl\u00e4ngas. R\u00e4kna med det i projektplanen.<\/p>\n<p>Underlaget blir starkare om ni tydligt redovisar vilka risker som kvarst\u00e5r och varf\u00f6r de inte g\u00e5r att minska ytterligare. Det ska ocks\u00e5 vara tydligt vem eller vilka som \u00e4r personuppgiftsansvariga. Ansvaret kan till exempel vara otydligt mellan ett moderbolag och ett dotterbolag eller mellan tv\u00e5 organisationer som samarbetar. Det \u00e4r n\u00e5got ni b\u00f6r reda ut innan ni kontaktar IMY.<\/p>\n<h2 id=\"uppfoljning-bedomningen-ar-ett-levande-dokument\" tabindex=\"-1\">Uppf\u00f6ljning: bed\u00f6mningen \u00e4r ett levande dokument<\/h2>\n<p>En konsekvensbed\u00f6mning blir inaktuell s\u00e5 snart behandlingen \u00e4ndras. IMY:s praktiska guide rekommenderar att den f\u00f6rsta uppf\u00f6ljningen g\u00f6rs relativt snart efter starten, l\u00e4mpligen efter ungef\u00e4r ett \u00e5r. D\u00e4refter b\u00f6r bed\u00f6mningen som utg\u00e5ngspunkt ses \u00f6ver vartannat \u00e5r. Vid ny teknik, omfattande behandling eller k\u00e4nsliga personuppgifter b\u00f6r intervallet vara kortare.<\/p>\n<p>Ut\u00f6ver det fasta intervallet b\u00f6r vissa h\u00e4ndelser alltid leda till en ny granskning:<\/p>\n<ul>\n<li>byte av system, leverant\u00f6r eller underbitr\u00e4de (som i \u00d6stersundsfallet)<\/li>\n<li>nya syften, nya datakategorier eller nya grupper av registrerade<\/li>\n<li>\u00f6verf\u00f6ring till tredjeland eller \u00e4ndrad lagringsplats<\/li>\n<li>en personuppgiftsincident som r\u00f6r behandlingen<\/li>\n<li>ny v\u00e4gledning fr\u00e5n IMY eller EDPB som p\u00e5verkar bed\u00f6mningen<\/li>\n<\/ul>\n<p>L\u00e4gg in uppf\u00f6ljningsdatum och ansvarig person i samma system som registerf\u00f6rteckningen. D\u00e5 gl\u00f6ms bed\u00f6mningen inte bort n\u00e4r projektet \u00e4r klart och projektgruppen har g\u00e5tt vidare.<\/p>\n<h2 id=\"sa-ser-vi-pa-konsekvensbedomningar\" tabindex=\"-1\">S\u00e5 ser vi p\u00e5 konsekvensbed\u00f6mningar<\/h2>\n<blockquote>\n<p>Vi m\u00f6ter ofta organisationer som ser konsekvensbed\u00f6mningen som ett formul\u00e4r att fylla i n\u00e4r projektet redan \u00e4r klart. D\u00e5 blir den en efterhandskonstruktion, och det blir sv\u00e5rt att visa att riskerna faktiskt har styrt besluten.<\/p>\n<p>V\u00e5r erfarenhet \u00e4r att bed\u00f6mningen ger mest n\u00e4r den startar samtidigt som upphandlingen eller kravst\u00e4llningen. D\u00e5 g\u00e5r det fortfarande att v\u00e4lja en annan konfiguration, korta lagringstiderna eller kr\u00e4va b\u00e4ttre villkor av leverant\u00f6ren. Juristerna och informationss\u00e4kerheten beh\u00f6ver sitta vid samma bord, eftersom tekniska val ofta avg\u00f6r riskerna f\u00f6r de registrerade.<\/p>\n<p>Vi vill ocks\u00e5 att arbetet ska vara praktiskt. D\u00e4rf\u00f6r har vi byggt Trustview. D\u00e4r har jurister och experter utformat arbetsfl\u00f6dena s\u00e5 att bed\u00f6mningar, \u00e5tg\u00e4rder och uppf\u00f6ljningsdatum h\u00e4nger ihop med resten av ert compliance-arbete.<\/p>\n<p><em>Jesper<\/em><\/p>\n<\/blockquote>\n<h2 id=\"hjalp-med-er-konsekvensbedomning\" tabindex=\"-1\">Hj\u00e4lp med er konsekvensbed\u00f6mning<\/h2>\n<p>Evertrust g\u00f6r <a href=\"https:\/\/evertrust.se\/en\/tjanster-gap-analyser\/\" target=\"_blank\" rel=\"noopener\">risk- och konsekvensbed\u00f6mningar (DPIA)<\/a> tillsammans med er, fr\u00e5n behovsbed\u00f6mning och riskanalys till \u00e5tg\u00e4rdsplan och underlag f\u00f6r ett eventuellt f\u00f6rhandssamr\u00e5d. Vi kan ocks\u00e5 vara ert externa dataskyddsombud och l\u00e4mna ombudets utl\u00e5tande.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/08\/1786093780170_evertrust.jpg\" alt=\"Evertrust\"><\/p>\n<p>Om ni vill hantera bed\u00f6mningarna sj\u00e4lva i ett strukturerat verktyg \u00e4r <a href=\"https:\/\/evertrust.se\/en\/plattform\/\" target=\"_blank\" rel=\"noopener\">GRC-plattformen Trustview<\/a> byggd f\u00f6r regelefterlevnad enligt GDPR, ISO 27000, NIS2 och DORA. Beh\u00f6ver ni f\u00f6rst\u00e4rkning under en period finns v\u00e5ra <a href=\"https:\/\/evertrust.se\/en\/radgivning-och-konsulttjanster\/\" target=\"_blank\" rel=\"noopener\">r\u00e5dgivnings- och konsulttj\u00e4nster<\/a>.<\/p>\n<h2 id=\"vanliga-fragor\" tabindex=\"-1\">Vanliga fr\u00e5gor<\/h2>\n<h3 id=\"ar-dpia-och-konsekvensbedomning-samma-sak\" tabindex=\"-1\">\u00c4r DPIA och konsekvensbed\u00f6mning samma sak?<\/h3>\n<p>Ja. DPIA st\u00e5r f\u00f6r Data Protection Impact Assessment, den engelska termen f\u00f6r det som den svenska versionen av GDPR kallar konsekvensbed\u00f6mning avseende dataskydd. Kraven finns i artikel 35.<\/p>\n<h3 id=\"maste-vi-gora-en-konsekvensbedomning-for-alla-behandlingar\" tabindex=\"-1\">M\u00e5ste vi g\u00f6ra en konsekvensbed\u00f6mning f\u00f6r alla behandlingar?<\/h3>\n<p>Nej. Kravet g\u00e4ller behandlingar som sannolikt leder till h\u00f6g risk. Ni m\u00e5ste d\u00e4remot bed\u00f6ma behovet och dokumentera slutsatsen. Det g\u00e4ller s\u00e4rskilt om tv\u00e5 eller fler av IMY:s kriterier \u00e4r uppfyllda och ni \u00e4nd\u00e5 kommer fram till att en bed\u00f6mning inte beh\u00f6vs.<\/p>\n<h3 id=\"kan-en-konsult-eller-ett-bitrade-gora-konsekvensbedomningen-at-oss\" tabindex=\"-1\">Kan en konsult eller ett bitr\u00e4de g\u00f6ra konsekvensbed\u00f6mningen \u00e5t oss?<\/h3>\n<p>Arbetet kan utf\u00f6ras av personer inom eller utanf\u00f6r organisationen, och bitr\u00e4den ska bidra med underlag. Ansvaret f\u00f6r att bed\u00f6mningen g\u00f6rs och f\u00f6r de beslut som fattas ligger \u00e4nd\u00e5 alltid kvar hos den personuppgiftsansvarige.<\/p>\n<h3 id=\"hur-ofta-ska-bedomningen-uppdateras\" tabindex=\"-1\">Hur ofta ska bed\u00f6mningen uppdateras?<\/h3>\n<p>IMY rekommenderar en f\u00f6rsta uppf\u00f6ljning efter ungef\u00e4r ett \u00e5r och d\u00e4refter som utg\u00e5ngspunkt vartannat \u00e5r. Vid ny teknik, k\u00e4nsliga uppgifter eller omfattande behandling b\u00f6r ni f\u00f6lja upp oftare. G\u00f6r det ocks\u00e5 alltid n\u00e4r behandlingen \u00e4ndras v\u00e4sentligt.<\/p>\n<h2 id=\"kallor\" tabindex=\"-1\">K\u00e4llor<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.digg.se\/kunskap-och-stod\/metodstod-for-dataskydd-vid-innovation\/rattslig-bedomning-av-personuppgiftsbehandlingen\/konsekvensbedomning-om-dataskydd\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Digg: Konsekvensbed\u00f6mning om dataskydd<\/a><\/li>\n<li><a href=\"https:\/\/skr.se\/funktioner\/fragorochsvar\/fragorochsvarkonsekvensbedomningavdataskydd\/vadarmaletmedenkonsekvensbedomning.8172.html\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">SKR: Vad \u00e4r m\u00e5let med en konsekvensbed\u00f6mning?<\/a><\/li>\n<li><a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/konsekvensbedomning\/nar-ska-en-konsekvensbedomning-genomforas\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: N\u00e4r ska en konsekvensbed\u00f6mning genomf\u00f6ras?<\/a><\/li>\n<li><a href=\"https:\/\/www.imy.se\/globalassets\/dokument\/riktlinjer-om-konsekvensbedomning-avseende-dataskydd.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">EDPB: Riktlinjer om konsekvensbed\u00f6mning avseende dataskydd<\/a><\/li>\n<li><a href=\"https:\/\/www.imy.se\/globalassets\/dokument\/vagledningar\/rattsligt-tolkningsstod.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: V\u00e4gledning vid konsekvensbed\u00f6mning, r\u00e4ttsligt tolkningsst\u00f6d<\/a><\/li>\n<li><a href=\"https:\/\/www.imy.se\/globalassets\/dokument\/mallar\/mall-for-bedomning-av-behovet-av-konsekvensbedomning.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: Mall f\u00f6r bed\u00f6mning av behovet av konsekvensbed\u00f6mning<\/a><\/li>\n<li><a href=\"https:\/\/www.imy.se\/nyheter\/sanktionsavgift-mot-kommun-som-inte-bedomt-konsekvenser-innan-google-workspace-infordes\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: Sanktionsavgift mot kommun som inte bed\u00f6mt konsekvenser innan Google Workspace inf\u00f6rdes<\/a><\/li>\n<li><a href=\"https:\/\/www.imy.se\/globalassets\/dokument\/vagledningar\/en-praktisk-guide.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: V\u00e4gledning vid konsekvensbed\u00f6mning, en praktisk guide<\/a><\/li>\n<li><a href=\"https:\/\/www.imy.se\/globalassets\/dokument\/mallar\/mall-for-konsekvensbedomning-enligt-dataskyddsforordningen-2025-05-26.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: Mall f\u00f6r konsekvensbed\u00f6mning enligt dataskyddsf\u00f6rordningen<\/a><\/li>\n<li><a href=\"https:\/\/www.imy.se\/globalassets\/dokument\/ovrigt\/eftermaterial-grundkurs-gdpr-privat-sektor.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: Eftermaterial grundkurs GDPR, privat sektor<\/a><\/li>\n<\/ul>\n<h2 id=\"rekommendationer\" tabindex=\"-1\">Rekommendationer<\/h2>\n<ul>\n<li><a href=\"https:\/\/evertrust.se\/en\/leverantorsbedomning-gdpr\/\" target=\"_blank\" rel=\"noopener\">Leverant\u00f6rsbed\u00f6mning enligt GDPR: s\u00e5 granskar ni bitr\u00e4den<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/dataminimering-gdpr\/\" target=\"_blank\" rel=\"noopener\">Dataminimering enligt GDPR: s\u00e5 g\u00f6r ni det i praktiken<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/article-area\/dataskyddsombud\/\" target=\"_blank\" rel=\"noopener\">Dataskyddsombud<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/nar-kravs-dataskyddsombud\/\" target=\"_blank\" rel=\"noopener\">N\u00e4r kr\u00e4vs dataskyddsombud? S\u00e5 avg\u00f6r ni om kravet g\u00e4ller er<\/a><\/li>\n<\/ul>","protected":false},"excerpt":{"rendered":"<p>S\u00e5 g\u00f6r ni en konsekvensbed\u00f6mning avseende dataskydd: n\u00e4r den kr\u00e4vs, IMY:s nio kriterier, vad den ska inneh\u00e5lla, vem som ansvarar och hur den f\u00f6ljs upp.<\/p>","protected":false},"author":2,"featured_media":8658,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"content-type":"","site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[107],"tags":[9],"class_list":["post-8657","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sverige","tag-gdpr-specialist"],"acf":[],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8657","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/comments?post=8657"}],"version-history":[{"count":1,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8657\/revisions"}],"predecessor-version":[{"id":8661,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8657\/revisions\/8661"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media\/8658"}],"wp:attachment":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media?parent=8657"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/categories?post=8657"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/tags?post=8657"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}