Webbutveckling 1 · område 5 · guide

GDPR – personuppgifter på webben

Guiden är en av tre som Projekt 4 bygger på. Den ska räcka för att skriva sajtens GDPR-del utan att googla – men den ska inte skrivas av. Kravet i uppgiften är egna formuleringar och egna exempel, och det som gör guiden användbar är att den pekar på var den korrekta informationen finns: hos Integritetsskyddsmyndigheten, IMY, som är den myndighet som övervakar att lagen följs i Sverige.

Alla källhänvisningar i guiden är hämtade 11 september 2026. Lagtexten ändras sällan, men myndigheternas sidor flyttar. Går en länk inte, sök på sidans rubrik hos imy.se.

Vad du kan efter guiden

• Säga vad en personuppgift är, och ge tre exempel som inte är namn.
• Förklara vad GDPR kräver av den som samlar in uppgifter, i sju punkter.
• Räkna upp vilka rättigheter du själv har mot ett företag som har dina uppgifter.
• Avgöra om din egen sajt behandlar personuppgifter – och vad det i så fall kräver av dig.
• Förklara varför nästan varje sajt frågar om kakor, och vad ett giltigt svar är.
• Ge ett konkret exempel på när lagen bröts, och vad det kostade.

1. Lagen kursplanen nämner finns inte längre

Kursplanen för Webbutveckling 1 säger att du ska känna till "lagar och andra bestämmelser som styr digital information, till exempel personuppgiftslagen och lagen om elektronisk kommunikation". Personuppgiftslagen – PUL – upphörde 25 maj 2018. Den ersattes av dataskyddsförordningen, som nästan alla kallar GDPR efter det engelska namnet General Data Protection Regulation.

Skillnaden är inte bara namnet. PUL var en svensk lag. GDPR är en EU-förordning, och en förordning gäller direkt i alla EU-länder utan att varje land skriver en egen lag. Det betyder att samma regler gäller för en sajt i Sverige, i Spanien och i Finland – och för ett amerikanskt företag som riktar sig till användare i EU.

Sverige har en kompletterande lag, dataskyddslagen (2018:218), som fyller i de luckor förordningen lämnar åt varje land. 13-årsgränsen i avsnitt 5 är ett sådant tillägg.

Den andra lagen kursplanen nämner, lagen om elektronisk kommunikation (LEK), gäller fortfarande. Det är den som styr kakorna i avsnitt 7.

2. Vad är en personuppgift?

IMY:s definition: "varje upplysning som avser en identifierad eller identifierbar fysisk person". Avgörande är att uppgiften, ensam eller tillsammans med andra uppgifter, går att knyta till en levande person.

Det är bredare än de flesta tror. Personuppgifter är:

Sista raden är poängen. En uppgift behöver inte innehålla ett namn för att vara en personuppgift. Det räcker att någon kan lista ut vem det handlar om.

Det finns också en känsligare kategori, som lagen kallar särskilda kategorier: hälsa, etniskt ursprung, politiska åsikter, religion, sexuell läggning, fackligt medlemskap, biometri och genetik. De får som huvudregel inte behandlas alls, med några uttryckliga undantag.

Realistiskt exempel

Du lägger upp en bild från klassens friluftsdag på din sajt. Fem klasskamrater syns tydligt. Du har publicerat fem personuppgifter – bilderna – och för den som har en mössa med skolans logga också en uppgift om var de går i skolan. Det är inte förbjudet, men det är en behandling av personuppgifter, och avsnitt 6 handlar om vad det kräver av dig.

Prova själv

Öppna din egen sajt från Projekt 3. Gå igenom varje sida och skriv ner varje personuppgift du hittar – om dig själv och om andra. Räkna in bilder. De flesta hittar fler än de trodde.

3. De sju principerna

GDPR har 99 artiklar, och du behöver inte kunna dem. Kärnan är sju principer i artikel 5, och IMY beskriver dem som "de yttersta ramarna för vad som är en tillåten behandling". Kan du de sju kan du förklara nästan vilket GDPR-krav som helst.

Den sista principen är den som skiljer GDPR från det mesta annat. Det räcker inte att göra rätt – du ska kunna visa att du gör rätt.

Rättslig grund – det lagliga skälet

Den första principen kräver ett lagligt skäl, och lagen listar sex. De tre du stöter på oftast:

• Samtycke. Personen har sagt ja, aktivt och frivilligt, och kan ångra sig.
• Avtal. Uppgifterna behövs för att fullgöra något personen beställt – en webbshop behöver din adress för att skicka paketet.
• Intresseavvägning. Den som samlar in har ett berättigat intresse som väger tyngre än intrånget i personens integritet. Kräver att man faktiskt gjort avvägningen.

Samtycke är inte den enda grunden, och ofta inte den bästa. Ett samtycke kan tas tillbaka när som helst, och då försvinner grunden.

Prova själv

Ta ett formulär du fyllt i nyligen – ett konto, en beställning, en anmälan. Vilka fält hade det? Fanns det något fält som inte behövdes för syftet? Det är uppgiftsminimeringen som prövas.

4. Dina rättigheter

Lagen ger dig som registrerad åtta rättigheter. IMY listar dem så här:

Rättigheterna är inte teori. Ett registerutdrag är en riktig begäran du kan skicka till vilket företag som helst, och de har som huvudregel en månad på sig att svara.

Prova själv

Välj en tjänst du använder dagligen. Leta upp var i inställningarna du kan ladda ner dina uppgifter – de flesta stora tjänster har en sådan funktion just för att lagen kräver det. Titta på vad som kommer. Det är rätten till tillgång i praktiken.

5. 13-årsgränsen

GDPR säger att barn under 16 inte själva kan samtycka till att sociala medier och liknande tjänster behandlar deras uppgifter – men låter varje land sänka gränsen till lägst 13. Sverige valde 13, i dataskyddslagen.

IMY: "Barn över 13 år kan enligt dataskyddsreglerna samtycka till att deras personuppgifter används vid användning av informationssamhällets tjänster." Exempel på sådana tjänster: sociala medier, bloggar, forum, videoplattformar, chattprogram, onlinespel och appar.

Under 13 krävs vårdnadshavarens samtycke. Det är därför de flesta stora plattformar har 13 som åldersgräns – inte för att de bestämt det själva, utan för att lagen tvingar dem att annars hämta samtycke från en förälder, vilket är krångligt.

Gränsen gäller samtycke som rättslig grund. Ett barn har alla åtta rättigheterna i avsnitt 4 oavsett ålder, och lagen säger uttryckligen att barns uppgifter förtjänar särskilt skydd.

Realistiskt exempel

En tjänst frågar om födelsedatum vid registrering. Om du skriver ett datum som gör dig yngre än 13 stoppas du, eller så begärs en förälders e-postadress. Det är inte tjänsten som är petig. Det är dataskyddslagen 2 kap. 4 § som tillämpas.

6. Din egen sajt – är du personuppgiftsansvarig?

Här blir det konkret. Du har en publicerad sajt. Gäller GDPR dig?

GDPR har ett undantag för "rent privat" användning – din egen kontaktlista i telefonen faller utanför. Men en publicerad webbplats är inte privat, och det slogs fast redan innan GDPR fanns, i ett svenskt fall. En kvinna i Alseda publicerade en sida om sina kollegor i församlingen, med namn, telefonnummer och att en av dem hade skadat foten. EU-domstolen kom fram till att det var behandling av personuppgifter, och att en privatperson som publicerar på en sajt alla kan nå inte omfattas av privatundantaget (mål C-101/01, Lindqvist, 2003). Domen citeras än i dag.

Så: publicerar du uppgifter om andra på din sajt är du personuppgiftsansvarig. Det är den som bestämmer varför och hur uppgifter behandlas. Det låter tungt, men i praktiken betyder det tre saker för en sajt som din:

1. Uppgifter om andra kräver ett skäl. Bilden på klasskamraterna kräver att de har sagt ja, eller att du kan motivera en intresseavvägning. Fråga. Ta bort om någon inte vill.
2. Ett formulär gör dig till insamlare. Har din sajt ett kontaktformulär som faktiskt skickar något, samlar du in namn och e-postadress. Då ska besökaren få veta vad du gör med det – en mening bredvid formuläret räcker.
3. Du ska veta vart uppgifterna tar vägen. Ett formulär på GitHub Pages skickar ingenting av sig självt. Kopplar du det till en tjänst som Formspree eller ett Google-formulär är det ett företag i USA som får uppgifterna, och då är det du som ska ha koll på att det är i sin ordning.

Det du inte ser: vad sajten skickar

Även utan formulär skickar en sajt uppgifter, och det är lätt att missa:

Inget av det är förbjudet. Men den som driver sajten ska veta om det, och kunna berätta det. Alternativet finns ofta: ladda ner typsnittet och lägg det i repot, så går inget anrop någonstans.

Prova själv

Öppna din sajt och tryck F12. Under fliken Network (Nätverk), ladda om sidan. Varje rad är ett anrop. Ser du någon adress som inte är din egen – fonts.googleapis.com, youtube.com, något annat? Det är dit besökarens IP-adress går.

7. Kakor och samtycke

En kaka (cookie) är en liten textfil sajten sparar i din webbläsare, och som webbläsaren skickar tillbaka nästa gång du besöker samma sajt. Det är så en sajt kommer ihåg att du är inloggad, vad du har i varukorgen – eller vilka sajter du besökt tidigare, om kakan sätts av ett reklamnätverk som finns på många sajter.

Reglerna om kakor står inte i GDPR utan i lagen om elektronisk kommunikation, och tillsynen sköts av PTS. Men samtycket ska uppfylla GDPR:s krav, så lagarna hakar i varandra.

Vad PTS kräver

• Samtycke först. Kakor som inte är nödvändiga får inte sättas förrän besökaren sagt ja.
• Aktivt. Förkryssade rutor gäller inte. Att fortsätta surfa är inte ett ja.
• Lika lätt att säga nej. PTS: "Det ska vara lika enkelt att tacka ja som nej till kakor" – i samma vy, med lika tydliga knappar. En stor grön "Acceptera" och en liten grå länk till "Inställningar" uppfyller inte kravet.
• Information. Vilka kakor, vad de gör, hur länge de lagras, och om de kommer från tredje part.
• Går att ångra. Besökaren ska kunna ta tillbaka sitt ja.

Nödvändiga kakor är undantagna

Kakor som krävs för att sajten ska fungera som besökaren förväntar sig – varukorgen, inloggningen, språkvalet du just gjorde – kräver inget samtycke. PTS: "Nödvändiga kakor är de som måste finnas för att webbplatsen ska fungera som det är tänkt."

Det betyder att en sajt som bara använder nödvändiga kakor inte behöver någon kakbanner alls. Bannern finns för att sajten vill göra något mer: mäta, spåra eller sälja reklam.

Din sajt

En statisk sajt på GitHub Pages med egen HTML och CSS sätter inga kakor. Du behöver ingen banner. Lägger du in Google Analytics, ett inbäddat klipp eller en kommentarsfunktion från tredje part sätts kakor – och då gäller reglerna dig.

Prova själv

Gå till tre sajter du använder och titta på kakbannern med PTS-kraven i handen. Är nej lika lätt som ja? I samma vy? Skriv ner vilka som klarar det. Det är ett exempel du kan använda i Projekt 4, med skärmbild.

8. När det går fel

Personuppgiftsincident är lagens ord för en läcka: uppgifter har kommit bort, förstörts eller hamnat hos någon obehörig. Den som är ansvarig ska anmäla incidenten till IMY inom 72 timmar, och om risken för personerna är hög ska de själva informeras.

Bryter ett företag mot lagen kan IMY besluta om en sanktionsavgift på upp till 20 miljoner euro, eller 4 procent av den globala årsomsättningen om det blir mer. För myndigheter är taket 10 miljoner kronor. Avgifterna används, och IMY publicerar sina beslut på imy.se under Tillsyner och beslut – länk i källorna.

Realistiskt exempel

Att söka på IMY:s beslut är det enklaste sättet att hitta ett konkret, svenskt och aktuellt exempel till Projekt 4. Välj ett beslut från det senaste året, läs vad företaget gjorde fel, vilken princip i avsnitt 3 som bröts, och vad det kostade. Ange beslutets datum och diarienummer som källa.

9. Ta det längre

För C och A i Projekt 4 räcker det inte att återge reglerna. Här är tre spår att fördjupa i.

Integritetspolicyn – skriv en för din egen sajt

Ta reda på vad din sajt faktiskt samlar in (avsnitt 6, Prova själv) och skriv en integritetspolicy på högst tio meningar: vad, varför, hur länge, vem som får det, och hur besökaren kontaktar dig. Publicera den på sajten. Den som kan skriva en korrekt policy för en liten sajt förstår lagen bättre än den som kan citera artikel 5.

Jämför två kakbanners mot PTS-kraven

Ta skärmbilder av två banners – en som klarar kraven och en som inte gör det – och förklara punkt för punkt vad som skiljer. Det tränar exakt den bedömning PTS gör i sin tillsyn, och PTS publicerar egna vägledande beslut du kan jämföra med.

Dataportabilitet i praktiken

Begär ut dina uppgifter från en tjänst (avsnitt 4, Prova själv) och beskriv vad du fick: format, omfattning, hur lång tid det tog. Var det något du inte visste att de hade? Det ger ett eget exempel ingen annan i klassen har.

10. Vanliga missuppfattningar

11. Snabbreferens

12. Ordlista

13. Källor

Alla hämtade 11 september 2026. Använd dem som källor i Projekt 4 – ange sidans rubrik, myndigheten och datumet du läste den.