GDPR-bevakning: håll koll på IMY, EDPB och praxis

Varför behöver GDPR bevakas när själva lagen sällan ändras?

Förordningen (EU) 2016/679 trädde i tillämpning 2018 och grundtexten är i princip densamma, men den säger inte allt om vad som förväntas av dig. Det gör tolkningslagret: IMY:s vägledningar och tillsynsbeslut, Europeiska dataskyddsstyrelsens riktlinjer, EU-domstolens avgöranden och EU-kommissionens beslut om tredjeländer. En rutin som var korrekt när reglerna infördes kan vara inaktuell inom ett par år, inte för att texten ändrats, utan för att den tolkats vidare.

Därför är GDPR-bevakning ett eget arbete, skilt från att en gång skriva en policy. Definierat: att löpande följa tolknings- och tillämpningslagret kring personuppgiftsreglerna, bedöma vad det innebär för just er behandling och omvandla förändringen till uppdaterade rutiner. Samma logik som all lagbevakning, fast med ovanligt rörig tolkning.

Vilka källor driver förändringen?

Förändringen kommer nästan aldrig från riksdagen, den kommer från fyra andra källor.

Ett praktiskt upplägg är att prenumerera på IMY:s nyhetsbrev och kontrollera EDPB:s publikationer med fast intervall, månadsvis räcker för de flesta. Prioritera sedan ämnena efter er faktiska behandling: bedriver ni marknadsföring väger reglerna om samtycke och utskick tungt, hanterar ni mycket personaldata väger övervakningsfrågor, och säljer ni till andra länder väger överföringarna. En bevakning utan prioritetsordning blir bara en hög med läsvärt som ingen hinner läsa.

• IMY, svensk tillsynsmyndighet: vägledningar, ställningstaganden, tillsynsbeslut och sanktionsavgifter.
• EDPB, EU:s nationella dataskyddsmyndigheters samarbetsorgan: riktlinjer, yttranden och beslut som utgör den gemensamma EU-linjen.
• EU-domstolen, praxis som kan vända hela frågor, som Schrems II-avgörandet om internationella överföringar 2020 (C-311/18) och dess efterdyningar.
• EU-kommissionen, adekvansbeslut om tredjeländer, för närvarande bland annat EU-USA Data Privacy Framework, och beslut som preciserar reglerna, exempelvis de nya standardavtalsklausulerna (2021/914).

Vad har hänt inom GDPR på sistone?

Tempen är hög. Sanktionsavgifterna når nivåer som ledningar noterar, maxnivåerna är 20 miljoner euro eller 4 procent av den globala omsättningen, och i januari 2026 meddelade IMY en sanktionsavgift på 6 miljoner kronor mot Sportadmin för bristande IT-säkerhet efter intrånget som exponerade uppgifter om över 2,1 miljoner människor. Frågan om internationella överföringar har vänt om igen sedan EU-domstolens Schrems II-avgörande 2020 (C-311/18): överföringar till USA vilar numera på kommissionens adekvansbeslut om EU-USA Data Privacy Framework från 2023, som EU:s allmänna domstol bestyrkte i september 2025 (mål T-553/23) men som kan komma att omprövas. AI-verktygen har öppnat en helt ny fråga: vilken rättslig grund gäller när personuppgifter skickas in i en extern språkmodell? Och i november 2025 lade EU-kommissionen fram digital omnibus, ett förslag som ändrar i själva GDPR-texten och som i september 2026 fortfarande är under behandling i Europaparlamentet och rådet; EDPB:s och EDPS:s gemensamma yttrande från februari 2026 avråder från flera av ändringarna, bland annat en snävare definition av personuppgift. Rörelsen är normaltillståndet; det stillastående läget är undantaget.

Lägg märke till skillnaden mellan källorna i listan ovan: det som händer hos IMY och i EU-domstolen påverkar dig direkt, medan EDPB:s riktlinjer är den bästa prognosen på vad som blir nästa norm. Att reda ut hur dessa källor förhåller sig till lagtexten, praxis, förarbeten, vägledning, är en egen konst, som vi går djupare på i vår genomgång av praxis och vägledningar.

Vad ska du göra med informationen, och vad räcker för ett mindre företag?

En träff i bevakningen är bara halva jobbet. Den andra halvan är att omvandla den: påverkar tolkningen våra samtycken, våra standardavtalsklausuler, vår incidentrutin eller vårt register över behandlingar? Prioritera efter er faktiska behandling, de flesta mindre verksamheter klarar sig med ett begränsat antal frågor som hålls aktuella: rättslig grund per behandling, information till registrerade, biträdesavtal, rutin för personuppgiftsincidenter och behörigheter.

72-timmarskravet är en bra test av om rutinen lever: en anmälningspliktig incident ska kunna anmälas till IMY inom 72 timmar från det att verksamheten blev medveten om den, enligt artikel 33 i GDPR, vilket förutsätter att någon vet vem som beslutar och vad som ska ingå i anmälan. En rutin som skrivs en gång och aldrig granskas mot ny praxis är, i det läget, en riskposition.

Hur löser du bevakningen i praktiken?

Manuellt är utgångsläget: prenumerera på IMY:s nyhetsbrev, skumma EDPB:s riktlinjer när de kommer, och lägg kontrollen med fast intervall i kalendern. Men dataskyddsområdet rör sig ojämnt, tyst i månader, sedan flera avgöranden på en vecka, och det är exakt det mönstret som får manuell bevakning att tappa. En tjänst som övervakar källorna löpande och förklarar vad som ändrats gör att rutinerna hinner med i takten.

Källorna är offentliga: Integritetsskyddsmyndigheten och Europeiska dataskyddsstyrelsen publicerar allt själva, utmaningen är att veta när något nytt är relevant för just er. Det är precis där LawCrawl kommer in: vi bevakar svenska och EU-källor, dataskyddsområdet inkluderat, och skickar tydliga ändringsnotiser så att GDPR-rutinerna håller jämna steg med tolkningen, inte bara med grundtexten från 2018.