Sveriges dataskyddslagar: GDPR, dataskyddslagen och IMY (2026)

Sverige tillämpar EU:s allmänna dataskyddsförordning (GDPR, förordning (EU) 2016/679) direkt som EU-rätt och kompletterar den med dataskyddslagen (2018:218), som sätter åldern för barns samtycke till 13 år, ger förstärkt skydd för svenska personnummer och reglerar brottsdatabehandling. IMY utövar tillsyn över båda regelverken.

Sverige har en av världens äldsta dataskyddstraditioner. Den ursprungliga datalagen är från 1973, vilket placerade landet decennier före de flesta andra länder när det gäller att erkänna personuppgifters rättsliga betydelse. I dag tillämpar Sverige ett flerskiktat regelverk: EU:s allmänna dataskyddsförordning gäller direkt som EU-rätt, dataskyddslagen (2018:218) fyller igen de nationella luckorna, och Integritetsskyddsmyndigheten (IMY) utövar tillsyn över hela strukturen.

Den här guiden går igenom hela omfånget av Sveriges dataskydd: den konstitutionella grunden och dess spänningar med GDPR, de lagar som reglerar behandlingen, myndigheten som utövar tillsyn, de sanktionsavgifter som beslutats och de krav på regelefterlevnad som varje organisation i Sverige måste uppfylla under 2026.

För det bredare europeiska sammanhanget, se vår guide om EU:s dataskyddslagar. Sveriges regler om inspelning och avlyssning behandlas separat i Sveriges inspelningslagar.

Snabbt svar: Sveriges dataskyddsregelverk i korthet

Sveriges dataskyddsregelverk vilar på tre pelare.

För det första gäller EU:s allmänna dataskyddsförordning (GDPR, förordning (EU) 2016/679) direkt som EU-rätt utan att behöva införlivas i nationell lagstiftning. Den har varit i kraft sedan den 25 maj 2018.

För det andra kompletterar dataskyddslagen (lag 2018:218 med kompletterande bestämmelser till EU:s dataskyddsförordning) GDPR i de frågor där medlemsstaterna har utrymme för egna regler, bland annat barns samtyckesålder, det förstärkta skyddet för svenska personnummer och privata aktörers behandling av brottsdata.

För det tredje är Integritetsskyddsmyndigheten (IMY, som fram till 2021 hette Datainspektionen) den oberoende tillsynsmyndighet som utreder klagomål, genomför granskningar, utfärdar vägledning och beslutar om sanktionsavgifter.

Organisationer som är etablerade i Sverige, eller som behandlar personuppgifter om personer i Sverige, måste följa samtliga tre nivåer.

GDPR: Sveriges centrala rättsliga instrument

GDPR är en direkt tillämplig EU-förordning. Den behövde inte omvandlas till svensk lag. Samtliga bestämmelser i GDPR har gällt i Sverige sedan den 25 maj 2018, med samma rättsliga verkan som en svensk lag.

GDPR fastställer dataskyddets grundläggande principer: laglighet, korrekthet och öppenhet, ändamålsbegränsning, uppgiftsminimering, korrekthet, lagringsminimering, integritet och konfidentialitet samt ansvarsskyldighet. Dessa principer binder varje organisation som behandlar personuppgifter om personer i Sverige, oavsett om organisationen har sitt säte i Sverige eller inte.

GDPR:s territoriella räckvidd är medvetet vid. Ett företag etablerat utanför EU måste följa GDPR när det erbjuder varor eller tjänster till personer i Sverige, eller när det bevakar beteendet hos personer i Sverige. Denna extraterritoriella räckvidd innebär att även icke-europeiska företag som betjänar svenska användare måste förstå de svenska dataskyddskraven.

Dataskyddslagen (2018:218)

Dataskyddslagen trädde i kraft den 25 maj 2018, samma dag som GDPR. Den ersätter inte GDPR, utan fyller i de områden där GDPR uttryckligen tillåter eller kräver nationell lagstiftning.

En anmärkningsvärd utvidgning är att den svenska lagens kompletterande bestämmelser inte bara gäller behandling inom EU-rättens tillämpningsområde, utan även behandling utanför unionsrättens tillämpningsområde och verksamhet som omfattas av avdelning V kapitel 2 i EU-fördraget, det vill säga den gemensamma utrikes- och säkerhetspolitiken. Det innebär att GDPR-ramverket styr svensk databehandling i bredare utsträckning än vad som kan vara fallet i andra medlemsstater.

Utvidgningen har sina gränser. I 1 kap. 3 § dataskyddslagen undantas Försvarsmakten, Försvarets radioanstalt (FRA) och Säkerhetspolisen, och från den 1 januari 2027 undantas även Sveriges utrikesunderrättelsetjänst.

Brottsbekämpande behandling löper på ett helt eget spår. Polisens och åklagarnas behandling av personuppgifter regleras av brottsdatalagen (2018:1177), som genomför direktiv (EU) 2016/680, och inte av GDPR eller dataskyddslagen.

Lagens viktigaste nationella bestämmelser omfattar:

Samtyckesålder för barn. Sverige har satt den lägsta samtyckesåldern för informationssamhällets tjänster till 13 år, en av de lägsta som tillåts enligt GDPR artikel 8 (som medger åldrar mellan 13 och 16 år). Denna gräns gäller barn som bor i Sverige, oavsett var den personuppgiftsansvarige är etablerad.

Personnummer. Varje person som är bosatt i Sverige har ett personnummer, en universell identifierare som används inom sjukvård, bankverksamhet, beskattning och officiella register. Dataskyddslagen ger personnummer ett förstärkt skydd utöver vanliga personuppgifter. Behandling av personnummer utan samtycke är endast tillåten när det är "klart motiverat" med hänsyn till ändamålet, behovet av säker identifiering eller något annat beaktansvärt skäl. Denna i praktiken nästan särskilda kategoristatus förhindrar rutinmässig insamling.

Brottsdata. Lagen reglerar hur personuppgifter om fällande domar i brottmål och lagöverträdelser får behandlas av privata aktörer, utöver vad som följer enbart av GDPR artikel 10.

Utvidgat tillämpningsområde. Lagens bestämmelser gäller behandling utanför unionsrättens tillämpningsområde och verksamhet inom den gemensamma utrikes- och säkerhetspolitiken, vilket ger IMY tillsyn över ett bredare spektrum av behandlingar än i många jämförbara länder. Försvarets, signalspaningens och Säkerhetspolisens behandling är undantagen, och brottsbekämpande behandling faller i stället under brottsdatalagen.

Kompletteringsförordningen (2018:219)

Förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning kompletterar dataskyddslagen med processuella regler. Den anger vilka myndigheter som får behandla belastningsregisteruppgifter och fastställer processuella krav för IMY:s tillsynsbefogenheter.

Kamerabevakningslagen (2018:1200)

Sverige har en separat lag som reglerar kamerabevakning. Lag (2025:220), i kraft den 1 april 2025, tog bort tillståndskravet, men bara för aktörer som utför en uppgift av allmänt intresse. Privata företag utanför den kategorin har aldrig behövt tillstånd och tillämpar fortsatt GDPR.

Det som ersatte tillståndet är en lagstadgad avvägning i kamerabevakningslagen själv, inte en intresseavvägning enligt GDPR. Enligt 8 § är bevakning tillåten bara om intresset av bevakningen väger tyngre än den enskildes intresse av att inte bli bevakad. Enligt 9 § ska den bedömningen göras innan bevakningen inleds och på nytt vid varje väsentlig förändring, och den ska dokumenteras och bevaras i minst fem år efter att bevakningen upphört.

Enligt 10 § ska det dessutom föras en förteckning över pågående bevakning. Förteckningen anger adressen till varje bevakad plats, platsens typ, ändamålet, om ljud eller annan särskild teknik används och när den senaste bedömningen gjordes. Förteckningen ska lämnas till IMY på begäran.

Lagen om elektronisk kommunikation (2022:482)

Denna lag genomför EU:s e-dataskyddsdirektiv och reglerar cookies, trafikuppgifter och konfidentialitet vid elektronisk kommunikation. Post- och telestyrelsen (PTS) utövar tillsyn över efterlevnaden av e-dataskyddsreglerna fram till den 1 januari 2027, då ansvaret för elektronisk kommunikation går över till Digitaliseringsmyndigheten enligt förordning (2026:1769). Organisationer måste inhämta informerat samtycke innan icke nödvändiga cookies placeras på användares enheter.

Konstitutionell grund och offentlighetsprincipen

Sverige har en unik konstitutionell särdrag som direkt formar landets dataskyddslandskap: offentlighetsprincipen, det vill säga allmänhetens rätt att ta del av allmänna handlingar. Principen är inskriven i tryckfrihetsförordningen och yttrandefrihetsgrundlagen, och utgör en av hörnstenarna i den svenska demokratin.

Enligt offentlighetsprincipen är allmänna handlingar som utgångspunkt offentliga. Vem som helst kan begära ut och få del av allmänna handlingar hos svenska myndigheter utan att behöva motivera sin begäran. Principen går tillbaka till 1766 och betraktas som ett grundläggande demokratiskt skydd.

GDPR krockar direkt med denna tradition. Myndigheter måste publicera och lämna ut personuppgifter som förekommer i allmänna handlingar, samtidigt som GDPR begränsar utlämnande av personuppgifter. Svensk rätt löser denna spänning genom att undanta offentlighetsprincipen från GDPR:s tillämpningsområde: där den konstitutionella principen gäller, sätter GDPR den inte åt sidan.

Medieundantaget och dess utnyttjande

En näraliggande grundlagsbestämmelse skapar bredare undantag för medier. Enligt dataskyddslagen gäller inte GDPR och dess kompletterande bestämmelser i den mån de skulle strida mot skyddet för tryck- och yttrandefriheten.

I praktiken kan svenska webbpublicister få ett utgivningsbevis genom att registrera en ansvarig utgivare. När beviset väl beviljats behandlas tjänsten som grundlagsskyddad media, vilket potentiellt undantar den helt från GDPR:s krav.

Detta system har utnyttjats i stor omfattning. Webbplatser har använt utgivningsbevis för att sprida personuppgifter som adresser, inkomster, skatteuppgifter och brottsregister på sätt som GDPR normalt skulle förbjuda.

Domstolarna börjar sätta stopp

Rättsläget förändrades betydligt under 2024 och 2025. Flera svenska förvaltningsdomstolar slog i mars och april 2024 fast att varje enskilt fall kräver en individuell proportionalitetsbedömning mellan integritetsskyddet enligt GDPR och det grundlagsskyddade tryck- och yttrandefrihetsskyddet. Ett generellt undantag räcker inte.

Den 25 februari 2025 avgjorde Högsta domstolen två vägledande mål om massuttag av brottmålsdomar, ett från en nyhetsbyrå och ett från ett företag som levererar bakgrundskontroller (mål 3457-24 och 3169-24). Domstolen slog fast att den ordning som lagstiftaren avsåg, där GDPR inte alls skulle gälla inom det grundlagsskyddade området, inte går att förena med GDPR.

Domstolen tolkade sedan de svenska sekretessreglerna så att GDPR kan beaktas, fann att sekretess gällde och lämnade ut handlingarna med ett förbehåll som begränsade fortsatt spridning och sökbarhet. Förbehållet justerades så att nyhetsbyrån kunde fortsätta publicera redigerad nyhetstext. En bredare avvägning mellan yttrandefrihet och dataskydd skulle enligt domstolen kräva lagstiftning.

Mål C-199/24 vid EU-domstolen prövar ytterligare gränserna för Sveriges konstitutionella undantag i förhållande till EU-rätten. Utgången kommer att få stor betydelse för hur Sverige balanserar tryckfrihet och dataskydd.

Regeringens förslag till grundlagsändring

Den 20 november 2024 lade den svenska regeringen fram ett omfattande förslag till grundlagsändring: att begränsa skyddet för tryck- och yttrandefrihet när publicerat innehåll utgör en "otillbörlig integritetskränkning". Förslaget tar särskilt sikte på söktjänster som publicerar personuppgifter som adresser, inkomster och belastningsregisteruppgifter.

Om förslaget genomförs skulle ändringen göra det möjligt för GDPR att tillämpas i större utsträckning på dessa tjänster. Det föreslagna ikraftträdandedatumet är den 1 januari 2027. Remisstiden avslutades i mars 2025 och förslaget bereds för närvarande i lagstiftningsprocessen.

Integritetsskyddsmyndigheten (IMY): Sveriges tillsynsmyndighet

IMY är Sveriges oberoende nationella tillsynsmyndighet för dataskydd. Fram till januari 2021 hette myndigheten Datainspektionen. Namnbytet speglade ett utökat uppdrag och en förändrad offentlig profil.

IMY ansvarar för att:

• utöva tillsyn över efterlevnaden av GDPR, dataskyddslagen och all relaterad dataskyddslagstiftning.
• utreda klagomål från enskilda om eventuella GDPR-överträdelser.
• genomföra proaktiva granskningar och inspektioner av organisationer.
• besluta om sanktionsavgifter och förelägganden.
• tillhandahålla vägledning, rekommendationer och mallar till organisationer och allmänheten.
• delta i Europeiska dataskyddsstyrelsen (EDPB) som Sveriges representant.
• driva en regulatorisk sandlåda för organisationer som testar innovativ databehandling.
• agera som Sveriges ansvariga tillsynsmyndighet i gränsöverskridande ärenden som rör företag med sitt huvudsakliga etableringsställe inom EU i Sverige, däribland Spotify.

IMY:s prioriterade tillsynsområden för 2026

Inför 2026 har IMY pekat ut tre prioriterade områden:

Brottsbekämpningens verktyg. IMY kommer att granska de verktyg som brottsbekämpande myndigheter använder, sett ur ett dataskyddsperspektiv, inklusive nyare verktyg som hemliga tvångsmedel och insamling av biometriska uppgifter.

Barn och unga. IMY kommer att arbeta för att öka kunskapen om hur barn och unga kan skydda sina personuppgifter, både bland unga själva och bland de vuxna som hanterar uppgifterna, däribland vårdnadshavare och skolor.

AI inom den offentliga sektorn. IMY kommer att granska myndigheters användning av artificiell intelligens, särskilt system som hanterar känsliga personuppgifter och situationer där enskilda inte kan välja bort AI-baserad behandling.

IMY inrättade också en särskild vägledningsenhet från och med den 1 januari 2026, för att ge organisationer mer lättillgängligt och snabbare stöd i frågor om regelefterlevnad.

Rekordmånga incidentanmälningar 2025

IMY tog emot 12 276 anmälningar om personuppgiftsincidenter under 2025, den högsta årliga noteringen sedan GDPR började tillämpas. Det motsvarar en ökning med 89 procent jämfört med 2024. IMY kopplade delvis ökningen till stora dataläckor via darknet som drabbade svenska tjänsteleverantörer, av vilka många exponerade barns personuppgifter efter utpressningsförsök mot organisationerna. Det totala antalet ärenden hos IMY ökade med 56 procent under 2025, till följd av den kombinerade ökningen av incidentanmälningar och enskilda klagomål.

Rättsliga grunder och samtyckeskrav

Varje behandling kräver en giltig rättslig grund enligt GDPR artikel 6. De sex tillgängliga grunderna är:

Samtycke. Den registrerade har lämnat ett frivilligt, specifikt, informerat och otvetydigt samtycke. Samtycke får inte vara ihopbuntat, förikryssat eller framtvingat. Det får inte finnas någon maktobalans mellan den registrerade och den personuppgiftsansvarige.

Avtal. Behandlingen är nödvändig för att fullgöra ett avtal som den registrerade är part i, eller för att vidta åtgärder på begäran av den registrerade innan ett avtal ingås.

Rättslig förpliktelse. Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.

Grundläggande intressen. Behandlingen är nödvändig för att skydda den registrerades eller en annan fysisk persons grundläggande intressen.

Myndighetsutövning eller uppgift av allmänt intresse. Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Svenska myndigheter använder ofta denna grund, men får inte åberopa grunden om berättigat intresse.

Berättigat intresse. Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, under förutsättning att dessa intressen inte åsidosätts av den registrerades intressen eller grundläggande rättigheter. Myndigheter får inte åberopa denna grund. IMY bekräftade i ett beslut 2025 att en dokumenterad intresseavvägning krävs, och att ansvaret för att visa efterlevnad vilar helt på den personuppgiftsansvarige.

Sverige införde en nationell bestämmelse 2025. Enligt 2 kap. 5 § dataskyddslagen, införd genom lag (2025:187) och i kraft sedan den 1 april 2025, får enskilda aktörer behandla personuppgifter för att lämna uppgifter som begärts av Ekobrottsmyndigheten, Kustbevakningen, Polismyndigheten, Skatteverket, Säkerhetspolisen, Tullverket eller Åklagarmyndigheten för att förebygga, förhindra, upptäcka, utreda eller lagföra brott.

Särskilda kategorier av personuppgifter

Behandling av särskilda kategorier av personuppgifter, inklusive hälsouppgifter, genetiska uppgifter, biometriska uppgifter som används för unik identifiering, uppgifter om ras eller etniskt ursprung, politiska åsikter, religiös övertygelse och medlemskap i fackförening, kräver både en rättslig grund enligt artikel 6 och ett specifikt undantag enligt GDPR artikel 9. Huvudregeln är att behandling av särskilda kategorier är förbjuden. Laglig behandling förutsätter att båda villkoren är uppfyllda.

Registrerades rättigheter

GDPR ger enskilda en omfattande uppsättning rättigheter som svenska organisationer måste respektera.

Sverige lade till en egen processuell rättighet 2025. Enligt 6 kap. 8 § dataskyddslagen, införd genom lag (2025:256) och i kraft sedan den 1 maj 2025, får den som har lämnat in ett klagomål begära skriftligt besked om IMY inte inom tre månader har beslutat om tillsyn ska inledas. IMY ska då lämna beskedet inom två veckor, eller avslå begäran genom ett särskilt beslut. Ett avslag kan överklagas till förvaltningsdomstol, som kan förelägga IMY att lämna besked skyndsamt.

Rätt till tillgång. Enskilda kan begära bekräftelse på om deras personuppgifter behandlas, samt en kopia av uppgifterna. Tillsynsärendet mot Spotify uppkom delvis på grund av att Spotify inte tydligt förklarade hur de uppgifter som lämnades ut användes.

Rätt till rättelse. Enskilda kan få felaktiga uppgifter rättade och ofullständiga uppgifter kompletterade.

Rätt till radering (rätten att bli bortglömd). Enskilda kan begära radering av sina uppgifter under vissa förutsättningar, bland annat när uppgifterna inte längre är nödvändiga för det ändamål de samlades in för. Googles sanktionsavgift uppkom på grund av systematiska brister i att respektera begäranden om avindexering. IMY beslutade ursprungligen om 75 miljoner kronor i mars 2020, vilket efter överklagande sänktes till 50 miljoner kronor i november 2021 och blev slutligt i december 2022, när Högsta förvaltningsdomstolen inte meddelade prövningstillstånd.

Rätt till begränsning. Enskilda kan begränsa behandlingen medan en tvist om uppgifternas korrekthet eller laglighet pågår.

Rätt till dataportabilitet. När behandlingen grundar sig på samtycke eller avtal och utförs automatiserat kan enskilda få ut sina uppgifter i ett strukturerat, allmänt använt och maskinläsbart format.

Rätt att invända. Enskilda kan invända mot behandling som grundar sig på berättigat intresse eller som sker för direktmarknadsföring. H&M:s sanktionsavgift på 350 000 kronor 2023 uppkom på grund av fortsatt direktmarknadsföring trots invändningar från registrerade.

Rättigheter kopplade till automatiserat beslutsfattande. Enskilda har rätt att inte bli föremål för beslut som fattas helt automatiserat, inklusive profilering, om beslutet har rättsliga följder eller på liknande sätt i betydande grad påverkar dem.

Krav vid personuppgiftsincidenter

Sverige följer GDPR:s regelverk för anmälan av personuppgiftsincidenter.

Anmälan till IMY: 72-timmarsregeln

Personuppgiftsansvariga måste anmäla en personuppgiftsincident till IMY inom 72 timmar efter att de fått kännedom om den, förutsatt att incidenten sannolikt medför en risk för enskildas fri- och rättigheter. Anmälan krävs inte om incidenten sannolikt inte medför någon risk.

Anmälningar lämnas in via IMY:s elektroniska anmälningssystem. Om inte all information finns tillgänglig inom 72 timmar kan den personuppgiftsansvarige lämna en preliminär anmälan och komplettera med ytterligare uppgifter inom fyra veckor.

Information till berörda registrerade

När en incident sannolikt medför en hög risk för enskildas fri- och rättigheter måste den personuppgiftsansvarige även utan onödigt dröjsmål informera de berörda registrerade. Informationen ska förklara incidentens karaktär, sannolika konsekvenser och vidtagna eller föreslagna åtgärder.

Personuppgiftsbiträdens skyldigheter

Om en incident inträffar hos ett personuppgiftsbiträde ska biträdet utan onödigt dröjsmål underrätta den personuppgiftsansvarige. Den rättsliga skyldigheten att anmäla till IMY ligger kvar hos den personuppgiftsansvarige.

Konsekvenser av utebliven eller sen anmälan

Att underlåta att anmäla en incident utgör en fristående överträdelse av GDPR, vilket kan medföra sanktionsavgifter på upp till 10 miljoner euro eller 2 procent av den globala årsomsättningen. IMY har vid flera tillfällen särskilt beivrat anmälningsskyldigheten.

Dataskyddsombud

Sverige följer GDPR:s krav på dataskyddsombud utan att införa ytterligare nationella skyldigheter utöver vad GDPR kräver.

Utnämning av ett dataskyddsombud är obligatorisk för:

• Samtliga myndigheter och offentliga organ.
• Organisationer vars kärnverksamhet kräver regelbunden och systematisk övervakning av enskilda i stor omfattning.
• Organisationer vars kärnverksamhet innefattar behandling i stor omfattning av särskilda kategorier av personuppgifter.

Utnämnda dataskyddsombud ska anmälas till IMY. Svensk lag ålägger dataskyddsombud tystnadsplikt avseende uppgifter de fått del av i sitt uppdrag. IMY tillhandahåller en anmälningsblankett och publicerar vägledning för dataskyddsombud. Ombudet ska ges de resurser som krävs för att fullgöra sina uppgifter och måste kunna arbeta oberoende.

Konsekvensbedömningar avseende dataskydd

En konsekvensbedömning avseende dataskydd är obligatorisk innan behandling som sannolikt medför en hög risk för enskildas fri- och rättigheter påbörjas. IMY har publicerat en detaljerad förteckning över de typer av behandling som kräver en konsekvensbedömning, tillsammans med vägledning i två delar och en mall i tre delar.

IMY:s kriterier för när en konsekvensbedömning behövs omfattar bland annat:

• Automatiserat beslutsfattande med rättsliga eller på liknande sätt betydande effekter.
• Behandling i stor omfattning av känsliga personuppgifter eller uppgifter av mycket personlig karaktär.
• Sammanställning av uppgifter från två eller flera källor på ett sätt som registrerade inte rimligen kan förvänta sig.
• Behandling av uppgifter om utsatta personer, till exempel anställda, barn och patienter.
• Användning av ny teknik eller nya organisatoriska lösningar.
• Behandling av uppgifter i syfte att hindra enskilda från att få tillgång till en tjänst eller ingå ett avtal.

Fallet med ansiktsigenkänning i en skola i Skellefteå, Sveriges första GDPR-sanktion, grundades delvis på att skolan inte genomförde någon konsekvensbedömning innan den införde biometrisk närvarokontroll.

Gränsöverskridande dataöverföringar

Sverige inför inga överföringsbegränsningar utöver vad GDPR kräver. Överföringar inom Europeiska ekonomiska samarbetsområdet (EES) sker utan begränsning.

Vid överföring till länder utanför EES som saknar ett beslut om adekvat skyddsnivå från EU-kommissionen måste organisationer använda lämpliga skyddsåtgärder:

• Standardavtalsklausuler som antagits av Europeiska kommissionen.
• Bindande företagsbestämmelser som godkänts av en behörig tillsynsmyndighet.
• Uppförandekoder eller certifieringsmekanismer med bindande åtaganden från mottagaren.

IMY har visat att myndigheten tar överföringsreglerna på stort allvar. Sanktionsavgifterna 2023 mot Tele2 (12 miljoner kronor) och CDON (300 000 kronor) för användning av Google Analytics var bland de första sanktionerna i hela EU för otillräckliga skyddsåtgärder vid överföringar mellan EU och USA efter Schrems II-domen. Sanktionsavgifterna 2024 mot Apoteket, Apohem och Avanza Bank vilar på en annan grund och bör inte läsas som överföringsärenden. IMY prövade Apoteket och Apohem enligt artikel 32.1 i GDPR, och Avanza enligt artiklarna 5.1 f och 32.1, för att de inte hade vidtagit lämpliga tekniska och organisatoriska åtgärder, och mottagaren var Meta Platforms Ireland Limited, en aktör inom EES. Av beslutet mot Apoteket framgår att tillsynen var begränsad till artikel 32, och det berör aldrig kapitel V, tredjeland eller standardavtalsklausuler.

Sverige som ansvarig tillsynsmyndighet

Enligt GDPR:s system med en enda kontaktpunkt (one-stop-shop) står ett företag med sitt huvudsakliga etableringsställe inom EU i Sverige i första hand under tillsyn av IMY som ansvarig tillsynsmyndighet. Spotify AB, med huvudkontor i Stockholm, är det mest kända exemplet. IMY:s sanktionsavgift på 58 miljoner kronor mot Spotify 2023 följde av IMY:s roll som ansvarig tillsynsmyndighet i det gränsöverskridande ärendet.

EU:s AI-förordning och dess samspel med GDPR

EU:s AI-förordning (förordning (EU) 2024/1689) trädde i kraft i augusti 2024. Den gäller i Sverige som EU-rätt och överlappar i stor utsträckning med GDPR:s skyldigheter.

Tidplanen för regelefterlevnad ändrades 2026. Förordning (EU) 2026/1744 av den 8 juli 2026, Digital Omnibus on AI, ändrade artikel 113 i AI-förordningen och sköt fram skyldigheterna för högrisksystem i kapitel III avsnitt 1-3 till den 2 december 2027 för system enligt bilaga III och den 2 augusti 2028 för system enligt bilaga I.

Förordningens allmänna tillämpningsdatum, den 2 augusti 2026, ändrades inte. Öppenhetskraven i artikel 50, däribland information om chattbotar, märkning av deepfakes och märkning av syntetiskt innehåll, gäller därför redan nu. Leverantörer av system som genererar syntetiskt innehåll och som fanns på marknaden före den 2 augusti 2026 har till den 2 december 2026 på sig att uppfylla märkningskravet i artikel 50.2, enligt den nya artikel 111.4.

Centrala beröringspunkter

AI-system med hög risk enligt AI-förordningen måste uppfylla både förordningens krav och GDPR. När ett AI-system behandlar personuppgifter gäller båda regelverken samtidigt. Personuppgiftsansvariga som använder högrisksystem som behandlar personuppgifter måste uppfylla både GDPR:s krav på rättslig grund och AI-förordningens krav på överensstämmelse.

IMY och andra dataskyddsmyndigheter inom EU har signalerat att GDPR-tillsynen kommer att omfatta AI-system som behandlar personuppgifter på ett olagligt sätt, vilket skapar överlappande regulatorisk exponering.

Sveriges nationella styrningsram för AI

Den svenska regeringen publicerade utredningsbetänkandet SOU 2025:101, som föreslår en nationell AI-lag och AI-förordning för att komplettera EU:s AI-förordning. Det föreslagna regelverket:

• utser Post- och telestyrelsen (PTS) till huvudsaklig samordnande myndighet och nationell kontaktpunkt för tillsyn enligt AI-förordningen.
• pekar ut elva marknadskontrollmyndigheter med ansvar för AI-tillsyn inom olika sektorer.
• inrättar en nationell regulatorisk sandlåda för AI.
• hanterar sekretess- och tystnadspliktsfrågor som är specifika för svensk rätt.

SOU 2025:101 föreslog att den kompletterande lagen och förordningen skulle träda i kraft den 2 augusti 2026. Det datumet har passerat och ingenting har antagits. I september 2026 innehåller Svensk författningssamling ingen kompletterande AI-lagstiftning och ingen nationell behörig myndighet utpekad i lag, bara lag (2026:806) och förordning (2026:815) om polisens ansiktsigenkänning. Utredningen flaggade själv för risken och rekommenderade att regeringen åtminstone tillfälligt skulle utse marknadskontrollmyndigheter och anmälande myndighet medan förslaget fortfarande bereddes.

Utpekandet av PTS är dessutom mindre fastlagt än det ser ut. Genom förordning (2026:1769), utfärdad den 3 september 2026, inrättas en ny myndighet, Digitaliseringsmyndigheten, som tar över ansvaret för elektronisk kommunikation från den 1 januari 2027.

IMY har utsett "AI inom den offentliga sektorn" till ett prioriterat tillsynsområde för 2026, vilket signalerar att offentliga organ som använder AI-system som hanterar personuppgifter kommer att granskas direkt. I januari 2025 gav IMY och Myndigheten för digital förvaltning (Digg) tillsammans ut riktlinjer för att stödja användningen av generativ AI inom offentlig förvaltning samtidigt som dataskyddsreglerna följs.

Ansiktsigenkänning: från tillsyn till lagstiftning

Sveriges föränderliga syn på ansiktsigenkänning illustrerar de praktiska spänningar som AI-förordningen ger upphov till.

År 2019 beslutade IMY om Sveriges första GDPR-sanktion någonsin, 200 000 kronor, mot en skola i Skellefteå för att ha använt ansiktsigenkänning för att registrera elevers närvaro. År 2021 ålade IMY Polismyndigheten en sanktionsavgift på 2,5 miljoner kronor för att olovligen ha behandlat biometriska uppgifter med hjälp av applikationen Clearview AI, utan att ha genomfört den konsekvensbedömning som krävdes. Den sanktionsavgiften stod sig inte: Kammarrätten i Stockholm upphävde beslutet den 7 november 2022, och Högsta förvaltningsdomstolen meddelade inte prövningstillstånd den 17 november 2023.

I en tydlig kursändring har riksdagen därefter tillåtit tekniken. Proposition 2025/26:150 antogs som bet. 2025/26:JuU28, rskr. 2025/26:288, och blev lag (2026:806) om användning av AI-system för ansiktsigenkänning i realtid för brottsbekämpande ändamål, utfärdad den 28 maj 2026 och i kraft sedan den 1 juli 2026, tillsammans med förordning (2026:815). Lagen gäller Polismyndigheten och Säkerhetspolisen.

I 4 § anges fem snävt avgränsade grunder. Ansiktsigenkänning i realtid får användas bara när det är absolut nödvändigt för att lokalisera eller identifiera en viss person som misstänks vara offer för människorov, människohandel eller sexuellt utnyttjande; som är försvunnen och misstänks vara offer för brott; när det finns en överhängande risk för att personen begår ett allvarligt brott som hotar någon annans liv eller fysiska säkerhet; som skäligen misstänks för ett brott som anges i bilaga II till AI-förordningen och som har fyra år eller mer i straffskalan, för att utreda eller lagföra brottet; eller som har dömts för ett sådant brott, för att verkställa påföljden.

Tillstånd prövas i två spår. Åklagare beslutar om användning för att förebygga, förhindra eller upptäcka brottslig verksamhet eller för att verkställa en påföljd (6 §). Domstol beslutar, på åklagarens ansökan, om användning för att utreda eller lagföra brott (7 §). Ett tillstånd får inte gälla längre än en månad.

Vid fara i dröjsmål får polisen inleda användningen utan tillstånd, men skälen ska dokumenteras och en ansökan enligt 6 § eller 7 § ska ges in utan onödigt dröjsmål och senast inom 24 timmar från det att användningen inleddes (13 och 14 §§). Fristen på 24 timmar gäller att ansökan ges in, inte att tillstånd meddelas. Om ansökan avslås ska användningen upphöra omedelbart och uppgifterna raderas. All användning ska rapporteras till IMY enligt 2 § förordning (2026:815).

EU:s AI-förordning klassificerar biometrisk fjärridentifiering i realtid på allmän plats som högrisk och, med begränsade undantag för brottsbekämpande myndigheter, som förbjuden. Sveriges lag ligger i den yttersta gränsen av vad AI-förordningen tillåter för brottsbekämpande ändamål. IMY och organisationer för medborgerliga fri- och rättigheter har uttryckt farhågor om proportionalitet och risken för att tillämpningsområdet gradvis vidgas.

Uppmärksammade tillsynsbeslut från IMY

IMY har avsevärt ökat sin tillsynsverksamhet under den tid GDPR har varit i kraft. Följande ärenden utgör de mest betydelsefulla besluten.

Skellefteå-skolan: 200 000 kronor (2019). Sveriges första GDPR-sanktion. En skola testade ansiktsigenkänning för att registrera 22 elevers närvaro under tre veckor. IMY konstaterade överträdelser av uppgiftsminimeringsprincipen (artikel 5), olovlig behandling av biometriska uppgifter (artikel 9) och underlåtenhet att genomföra en konsekvensbedömning (artiklarna 35-36). Ärendet visade att Sverige var berett att bestraffa offentliga aktörer och blev vägledande för tillsyn av biometriska uppgifter.

Google: 50 miljoner kronor, slutligt belopp (2020-2022). IMY beslutade om 75 miljoner kronor i mars 2020, efter en granskning 2017 och en uppföljande granskning 2018 som visade fortsatta brister i efterlevnaden av begäranden om avindexering. Förvaltningsrätten i Stockholm sänkte sanktionsavgiften till 52 miljoner kronor i november 2020. Kammarrätten i Göteborg sänkte den ytterligare till 50 miljoner kronor i november 2021. Högsta förvaltningsdomstolen meddelade inte prövningstillstånd i december 2022, vilket gjorde 50 miljoner kronor till det slutliga beloppet. Vid tidpunkten för det ursprungliga beslutet var det en av de största GDPR-sanktionerna som beslutats av någon nordisk dataskyddsmyndighet.

Polismyndigheten: 2,5 miljoner kronor (2021, upphävd efter överklagande). IMY beslutade om en sanktionsavgift mot Polismyndigheten för olovlig behandling av biometriska uppgifter med hjälp av ansiktsigenkänningsapplikationen Clearview AI. Polisen underlät att genomföra en konsekvensbedömning och bröt mot brottsdatalagen. IMY beslutade också om obligatorisk personalutbildning. Sanktionsavgiften stod sig inte. Kammarrätten i Stockholm upphävde IMY:s beslut om sanktionsavgift den 7 november 2022 (mål 7678-21), och Högsta förvaltningsdomstolen meddelade inte prövningstillstånd den 17 november 2023 (mål 6943-22).

Klarna: 7,5 miljoner kronor (2022). IMY konstaterade att Klarna Bank inte lämnade tillräcklig information om den rättsliga grunden och syftet med behandlingen av personuppgifter i en av sina tjänster, lämnade vilseledande information om mottagare av uppgifter vid utlämning till kreditupplysningsföretag, samt gav ofullständig information om registrerades rättigheter. Förvaltningsrätten i Stockholm sänkte sanktionsavgiften till 6 miljoner kronor den 14 april 2023, men Kammarrätten i Stockholm återställde hela beloppet på 7,5 miljoner kronor den 11 mars 2024 (mål 2829-23).

Spotify: 58 miljoner kronor (2023). I ett beslut den 12 juni 2023 konstaterade IMY, i egenskap av ansvarig tillsynsmyndighet i detta gränsöverskridande ärende, att Spotify lämnade ut personuppgifter när enskilda utövade sin rätt till tillgång, men inte tydligt förklarade hur uppgifterna användes. Beskrivningarna av uppgiftskategorier, lagringstider och överföringar till tredjeland var otillräckliga. Motsvarar cirka 5 miljoner euro. Förvaltningsrätten i Stockholm sänkte sanktionsavgiften till 40 miljoner kronor, men Kammarrätten i Stockholm återställde hela beloppet på 58 miljoner kronor den 3 juni 2025 (mål 4512-24).

Trygg-Hansa: 35 miljoner kronor (2023). Försäkringsbolaget Trygg-Hansa fick en sanktionsavgift på cirka 3 miljoner euro efter att IMY konstaterat att kunduppgifter för 650 000 kunder var åtkomliga utan korrekt autentisering mellan oktober 2018 och februari 2021, till följd av en felkonfigurerad webbapplikation.

Google Analytics: Tele2 12 miljoner kronor, CDON 300 000 kronor (2023). Efter 101 klagomål som utlöstes av Schrems II-domen beslutade IMY om de första sanktionerna i EU för användning av Google Analytics utan adekvata skyddsåtgärder vid dataöverföringar till USA. Ärendena var vägledande och signalerade tillsynsmyndigheternas förväntningar på analysverktyg som används av europeiska företag.

H&M: 350 000 kronor (2023). IMY beslutade om en sanktionsavgift mot modekedjan för att ha fortsatt att använda personuppgifter för direktmarknadsföring efter att ha mottagit invändningar från registrerade, i strid med GDPR artikel 21.

Apoteket: 37 miljoner kronor (2024). I ett beslut den 29 augusti 2024 (IMY-2022-3270) konstaterade IMY att apotekskedjan Apoteket använde Metas spårningspixel på sin webbplats utan att vidta tillräckliga tekniska och organisatoriska åtgärder för att skydda kundernas personuppgifter, inklusive potentiellt känsliga hälsorelaterade surfuppgifter. Överträdelsen avsåg artikel 32.1 i GDPR och omfattade perioden den 19 januari 2020 till den 25 april 2022, och följden var att personuppgifter oavsiktligt nådde Meta Platforms Ireland Limited.

Apohem: 8 miljoner kronor (2024). Nätapoteket Apohem fick samma dag en sanktionsavgift enligt artikel 32.1 för samma brist med Meta-pixeln. Det beslutet är inte slutligt. Förvaltningsrätten i Stockholm avslog Apohems överklagande den 15 maj 2026 (mål 18096-24), och företaget har överklagat till kammarrätten.

Avanza Bank: 15 miljoner kronor (2024). Avanza Bank överförde oavsiktligt personuppgifter för mellan 500 000 och en miljon kunder till Meta via en spårningspixel som varit aktiv mellan november 2019 och juni 2021.

Sportadmin: 6 miljoner kronor (2026). I ett beslut daterat den 26 januari 2026 (IMY-2025-7801, tillkännagivet genom pressmeddelande den 28 januari) beslutade IMY om en sanktionsavgift mot Sportadmin efter en cyberattack i januari 2025 som exponerade personuppgifter för över 2,1 miljoner personer. De läckta uppgifterna omfattade namn, kontaktuppgifter, personnummer och idrottsklubbstillhörighet, mycket av det tillhörande barn. IMY fann att Sportadmin hade känt till säkerhetsbrister under en längre tid utan att åtgärda dem tillräckligt. Företaget saknade övervakning av intrångsförsök i realtid och adekvata rutiner för att identifiera säkerhetsluckor. Ärendet är anmärkningsvärt på grund av rollerna. IMY fann att Sportadmin huvudsakligen agerar som personuppgiftsbiträde och i begränsad utsträckning som personuppgiftsansvarig, och avstod från att fördela rollerna aktivitet för aktivitet, eftersom skyldigheten enligt artikel 32.1 att vidta lämpliga säkerhetsåtgärder binder både biträden och personuppgiftsansvariga.

Sanktionsstruktur

Följande tabell sammanfattar det regelverk för sanktionsavgifter som gäller i Sverige.

IMY fastställer sanktionsavgiftens storlek utifrån överträdelsens art, allvar och varaktighet, om den skett uppsåtligen eller av oaktsamhet, vilka åtgärder som vidtagits för att begränsa skadan för registrerade, i vilken grad den personuppgiftsansvarige bär ansvar med hänsyn till vidtagna åtgärder, eventuella tidigare överträdelser, vilka kategorier av personuppgifter som berörts samt hur överträdelsen kommit till IMY:s kännedom.

Utöver sanktionsavgifter kan IMY utfärda varningar för planerad behandling som sannolikt skulle strida mot GDPR, reprimander för pågående överträdelser samt förelägganden om att anpassa behandlingen till reglerna eller upphöra med specifika aktiviteter. Sverige har valt att låta myndigheter omfattas av sanktionsavgifter, till skillnad från vissa medlemsstater som helt undantar offentliga organ.

Senaste utvecklingen (2024-2026)

Tillsyn mot cookiebanners (april 2025). Den 28 april 2025 tilldelade IMY mediebolaget Aller Media AB en reprimand för att ha behandlat en klagandes personuppgifter utan att kunna visa en rättslig grund, i strid med artikel 6.1 f i GDPR. Ärendet kom ur klagomålen inom EDPB:s taskforce om cookiebanners. Bannerns utformning fanns med i klagomålet, men IMY slog inte fast att enbart den relativa tydligheten hos en knapp för att acceptera allt gör samtycket ogiltigt. Att alternativen ska vara lika tydliga är fortfarande EDPB:s vägledning och inte grunden för det här beslutet.

Avreglering av kamerabevakning (1 april 2025). Genom lag (2025:220) togs tillståndskravet bort för aktörer som utför en uppgift av allmänt intresse. De förlitar sig numera på en dokumenterad lagstadgad avvägning som ska bevaras i fem år, plus en förteckning över pågående bevakning som ska lämnas till IMY på begäran.

IMY:s vägledningsenhet (1 januari 2026). En särskild vägledningsenhet inrättades inom IMY för att ge organisationer mer lättillgängligt stöd.

Vägledning om AI inom offentlig förvaltning (januari 2025). IMY och Myndigheten för digital förvaltning (Digg) publicerade tillsammans riktlinjer som stödjer användningen av generativ AI inom offentlig förvaltning inom ramen för GDPR.

Föreslagen grundlagsändring (november 2024). Den svenska regeringen föreslog att begränsa skyddet för offentlighetsprincipen när publicerat innehåll utgör en otillbörlig integritetskränkning, med sikte på söktjänster som publicerar personuppgifter med stöd av utgivningsbevis. Planerat ikraftträdande: den 1 januari 2027.

Förslag till nationell AI-lag, SOU 2025:101 (inte antaget). Regeringens utredning av den 8 oktober 2025 rekommenderar PTS som samordnande tillsynsmyndighet för AI, med marknadskontrollmyndigheter inom olika sektorer, en nationell AI-sandlåda och nya bestämmelser om sekretess. Utredningen föreslog ikraftträdande den 2 augusti 2026, men i september 2026 hade ingen kompletterande svensk AI-lagstiftning antagits.

Lag om polisens ansiktsigenkänning i realtid i kraft (1 juli 2026). Lag (2026:806) och förordning (2026:815), som bygger på prop. 2025/26:150, ger Polismyndigheten och Säkerhetspolisen rätt att använda ansiktsigenkänning i realtid på fem snävt avgränsade lagstadgade grunder. Åklagare beslutar om förebyggande användning och verkställighet, domstol beslutar om användning för att utreda och lagföra brott, och all användning ska rapporteras till IMY.

Högsta domstolens avgöranden om brottmålsdomar (25 februari 2025). I målen 3457-24 och 3169-24 slog Högsta domstolen fast att en ordning där GDPR inte alls gäller inom det grundlagsskyddade området inte går att förena med GDPR. Domstolen fann att sekretess gällde vid massuttag av brottmålsdomar och lämnade ut handlingarna med ett förbehåll som begränsade fortsatt spridning och sökbarhet.

Regelefterlevnad för företag: vad organisationer i Sverige måste göra

Organisationer som behandlar personuppgifter om personer i Sverige bör ta hänsyn till följande områden.

Fastställ en dokumenterad rättslig grund. Innan personuppgifter samlas in eller behandlas, identifiera vilken av GDPR:s sex rättsliga grunder som är tillämplig. Dokumentera detta i ert register över behandlingsaktiviteter. För behandling som grundar sig på berättigat intresse, genomför och dokumentera en intresseavvägning. IMY:s tillsynsbeslut från 2025 bekräftar att den personuppgiftsansvarige inte kan delegera detta ansvar.

Hantera personnummer varsamt. Samla inte in svenska personnummer rutinmässigt. Behandling kräver antingen uttryckligt samtycke eller ett tydligt motiverat skäl baserat på ändamålet, behovet av identifiering eller något annat beaktansvärt skäl. Behandla personnummer på samma sätt som känsliga uppgifter.

Utse ett dataskyddsombud om det krävs. Myndigheter och organisationer som bedriver storskalig systematisk övervakning eller storskalig behandling av känsliga uppgifter måste utse ett dataskyddsombud och anmäla det till IMY.

Inför rutiner för 72-timmarsanmälan. Bygg upp interna processer för att upptäcka, bedöma och rapportera incidenter, så att ni kan anmäla till IMY inom 72 timmar efter att ni fått kännedom om en anmälningspliktig incident. Reglera tydliga anmälningsskyldigheter för personuppgiftsbiträden i era avtal.

Genomför konsekvensbedömningar för högriskbehandling. Tillämpa IMY:s kriterielista innan ni påbörjar en behandling som kan utlösa krav på konsekvensbedömning. Dokumentera bedömningen och samråd i förväg med IMY om den kvarstående risken fortfarande är hög.

Ge tydlig information om integritetsskydd. Skriv klara och lättillgängliga integritetspolicyer som förklarar vilka uppgifter ni samlar in, varför ni samlar in dem, hur länge ni sparar dem, vilka som tar del av dem (inklusive mottagare i andra länder) och vilka rättigheter enskilda har. Sanktionerna mot både Spotify och Klarna berodde på bristande öppenhet, inte på olaglig behandling i sig.

Granska spårningspixlar och analysverktyg. Gå igenom varje tredjepartsskript på webbplatsen, och behandla detta som två skilda risker. Sanktionerna för Google Analytics handlade om överföringar utanför EES, så kontrollera att lämpliga standardavtalsklausuler eller andra skyddsåtgärder finns på plats. Sanktionerna för Meta-pixeln handlade om säkerhet enligt artikel 32, så kontrollera vad varje skript faktiskt skickar och om någon har granskat konfigurationen, även när mottagaren finns inom EES. Samtyckesmekanismerna måste vara giltiga i båda fallen.

Använd ärliga cookiesamtyckesmekanismer. Undvik vilseledande designmönster. Presentera alternativen "acceptera" och "neka" med samma tydlighet och samma enkelhet att använda, i linje med EDPB:s vägledning. IMY:s reprimand mot Aller Media i april 2025 visar den praktiska risken: när en banner gömmer möjligheten att invända kan den personuppgiftsansvarige stå helt utan möjlighet att visa någon rättslig grund.

Förbered er för AI-förordningens krav. Om ni utvecklar eller använder AI-system som behandlar personuppgifter, bedöm om systemet klassificeras som högrisk enligt EU:s AI-förordning. Efter förordning (EU) 2026/1744 gäller kraven för högrisksystem från den 2 december 2027 för system enligt bilaga III och från den 2 augusti 2028 för system enligt bilaga I. Öppenhetskraven i artikel 50 gäller redan sedan den 2 augusti 2026, med en övergångsperiod till den 2 december 2026 för märkning av syntetiskt innehåll från system som fanns på marknaden före det datumet. IMY kommer att granska AI-system inom den offentliga sektorn. Aktörer inom den privata sektorn bör följa vägledning från IMY och från de AI-tillsynsmyndigheter som Sverige så småningom utser.

Utbilda personalen. Se till att alla anställda som hanterar personuppgifter förstår de rättsliga kraven, organisationens dataskyddspolicyer och hur man upptäcker och rapporterar eventuella personuppgiftsincidenter.

Den här artikeln är enbart avsedd som allmän information och utgör inte juridisk rådgivning. Dataskyddslagstiftningen kan komma att ändras. Rådgör med en kvalificerad jurist verksam i Sverige för vägledning om specifika krav på regelefterlevnad.