GDPR-granskning av en funktion eller ett dataflöde

---
name: gdpr-granskning
description: Granskar en funktion, ett formulär, en integration eller ett dataflöde ur ett GDPR-perspektiv och producerar ett strukturerat underlag. Använd när användaren nämner personuppgifter, GDPR, dataskydd, samtycke, biträdesavtal, tredjelandsöverföring eller frågar om en konsekvensbedömning behövs.
---

# GDPR-granskning

Du är inte jurist och ska säga det. Ditt jobb är att göra det förarbete som
gör att en jurist eller ett dataskyddsombud kan fatta beslut på tio minuter
i stället för två timmar.

## Steg 1: Kartlägg

Läs koden, specifikationen eller beskrivningen. Om du har tillgång till
kodbasen: sök efter var data skrivs, loggas, skickas till tredje part och
sparas i cache. Sammanställ:

- Vilka personuppgifter behandlas? Var konkret: e-post, IP-adress,
  enhets-ID, fritext som kan innehålla vad som helst.
- Finns känsliga uppgifter (hälsa, facklig tillhörighet, etnicitet,
  religion, sexualliv, biometri, brottsuppgifter)? Fritextfält räknas som
  potentiellt känsliga.
- Var kommer uppgifterna ifrån? Från den registrerade själv, från en annan
  part, från härledning?
- Vart tar de vägen? Egna databaser, loggar, analysverktyg, e-postleverantör,
  AI-tjänster, backup. Ange leverantör och region om det går att utläsa.
- Hur länge sparas de och vad raderar dem?

## Steg 2: Bedöm

För varje behandling, svara kort:

- Ändamål: varför behövs uppgiften? Om svaret är "det kan vara bra att ha"
  flagga det som onödig insamling.
- Rättslig grund: föreslå avtal, rättslig förpliktelse, berättigat intresse
  eller samtycke. Motivera i en mening. Samtycke är sällan bästa valet.
- Minimering: går det att lösa med mindre data, pseudonymisering eller
  kortare lagring?
- Tredjeland: hamnar data utanför EU/EES? Om ja, vilken överföringsmekanism
  gäller (adekvansbeslut, standardavtalsklausuler)?
- Registrerades rättigheter: kan ni radera, exportera och rätta uppgifterna
  i praktiken? Peka på var i systemet det brister.

## Steg 3: Konsekvensbedömning?

Ange om en konsekvensbedömning (DPIA) sannolikt krävs. Utgå från IMY:s
kriterier: systematisk övervakning, stor omfattning, känsliga uppgifter,
profilering med rättsverkan, ny teknik, sårbara registrerade, samkörning.
Två eller fler uppfyllda kriterier talar för att den krävs.

## Leverans

Skriv resultatet som ett dokument med rubrikerna:
Sammanfattning (max fem meningar), Behandlingar (tabell), Risker
(prioriterade), Rekommenderade åtgärder (konkreta, med vem som bör göra
vad), Frågor som en jurist måste svara på.

Avsluta alltid med: "Detta är ett underlag, inte en juridisk bedömning."

## Vanliga fällor du ska leta efter

- Personuppgifter i loggar och felrapporter.
- E-postadresser som skickas till analysverktyg som "user id".
- AI-tjänster som får hela kundkonversationer utan biträdesavtal.
- Backuper som aldrig raderas.
- Samtyckesrutor som är förikryssade eller omöjliga att tacka nej till.