Webbsäkerhet
GDPR-checklista för webbplatser 2026: 12 punkter för företagare
GDPR-checklista för webbplatser: vad du behöver göra med samtycke, cookies, formulär, användarnas rättigheter, säkerhet och externa tjänster.
Kevin A. Sommerstein7 min lästid
Vad GDPR kräver av hemsidan
GDPR handlar om mer än juridiska dokument. Det viktiga är vad hemsidan faktiskt gör med uppgifterna besökarna lämnar: vilka cookies som sätts, vart formulären skickas och hur länge uppgifterna sparas. Den här checklistan delar upp kraven i tolv områden.
Som företagare är det du som ansvarar för personuppgifterna, även om någon annan har byggt hemsidan. Mycket av det som behöver rättas sitter i koden, så punkterna är skrivna så att du kan gå igenom dem tillsammans med den som sköter hemsidan.
Hela checklistan
Tolv punkter som täcker det viktigaste. Kan du bocka av alla är hemsidan i gott skick. Längre ner går vi igenom varje punkt med vad du ska titta på och ett exempel.
- Kartlägg all persondata: vad som samlas in, var den lagras och vem som tar emot den
- Koppla varje datapunkt till en laglig grund och ta bort fält som inte behövs
- Gör samtycke aktivt, uppdelat per ändamål och lätt att ta tillbaka
- Blockera analys- och marknadsföringsskript tills användaren har sagt ja
- Rensa formulären: samla bara in det som behövs och förklara varför vid fältet
- Bygg fungerande flöden för registerutdrag, rättelse, radering och export
- Sätt lagringstider och automatisera radering, även i loggar och backuper
- Kör HTTPS överallt, kryptera känsliga uppgifter och begränsa åtkomst per roll
- Lista alla tredjepartstjänster och se till att biträdesavtal finns
- Se till att integritetspolicyn beskriver det systemet faktiskt gör
- Använd aldrig riktig persondata i test- och utvecklingsmiljöer
- Ha en plan för incidenter: loggning, larm och ett sätt att snabbt se vilka som berörs
Kartlägg datan
Innan du börjar pilla med cookie-banners eller integritetspolicys behöver du förstå hur datan rör sig i systemet.
Att gå igenom:
- Lista alla personuppgifter som samlas in, till exempel namn, e-postadresser, IP-adresser, användar-ID:n och beteendedata.
- Följ varje datapunkt från webbläsaren vidare till backend, databaser, loggar, analysverktyg och externa tjänster.
- Dokumentera var datan lagras, inklusive databaser, backuper, loggsystem och molnlagring.
- Identifiera alla mottagare, till exempel analysleverantörer, e-posttjänster, felövervakning och CDN:er.
Exempel: Kontaktformuläret skickar data till ett API, som loggar hela förfrågan, mejlar den vidare och sparar uppgifterna i ett CRM. Alla de flödena ska dokumenteras.
Laglig grund
All data som samlas in måste ha ett tydligt syfte.
Att gå igenom:
- Koppla varje typ av data till en laglig grund, till exempel samtycke, avtal eller berättigat intresse.
- Ta bort fält som inte fyller någon faktisk funktion.
- Samla inte in frivillig information om du inte kan motivera varför den behövs.
Exempel: Behövs bara en e-postadress för nyhetsbrevet tar du bort fälten för namn, företag och telefonnummer.
Samtycke i praktiken
Samtycke ska vara aktivt, uppdelat och lätt att ta tillbaka.
Att gå igenom:
- Låt rutorna för samtycke vara tomma från början.
- Dela upp samtycke i kategorier, till exempel analys, marknadsföring och nödvändiga funktioner.
- Spara besökarens val på servern eller i webbläsarens lagring, så att det finns kvar.
- Ge användaren ett tydligt sätt att ändra eller dra tillbaka sitt samtycke.
Exempel: En inställningssida där besökaren kan stänga av analysen i efterhand, och där analyscookies raderas samtidigt.
Cookies och spårning
Det räcker inte att visa en banner. Koden måste faktiskt följa valet.
Att gå igenom:
- Blockera alla icke-nödvändiga skript tills samtycke finns.
- Ladda analysverktyg, annonser och inspelningsverktyg först efter samtycke.
- Starta ingen spårning när sidan laddas första gången.
- Respektera Do Not Track-inställningar där det är relevant.
Exempel: Starta inte analysverktyget förrän besökaren har godkänt analyscookies, till exempel genom att ladda GA4 via Google Consent Mode först efter samtycke. Eller välj ett cookiefritt alternativ som Plausible och slipp bannern för analysen helt.
Formulär
Formulär är ofta den största källan till onödig datainsamling.
Att gå igenom:
- Se över varje fält och samla bara in det som behövs.
- Förklara syftet direkt vid formuläret, inte gömt i en policy.
- Ta bort dolda fält som samlar in personuppgifter om de inte är absolut nödvändiga.
- Kontrollera att frontend och backend har samma valideringsregler.
Exempel: Ett registreringsformulär med texten: ”Vi använder din e-postadress för att skapa ditt konto och skicka lösenordsåterställningar”.
Användarrättigheter
Rättigheter måste fungera i verkligheten, inte bara på pappret.
Att gå igenom:
- Låt användarna se vilka uppgifter som finns sparade om dem.
- Låt användare rätta felaktiga uppgifter själva när det är möjligt.
- Bygg flöden för radering eller anonymisering i alla system.
- Erbjud dataexport i ett strukturerat och maskinläsbart format.
Exempel: En knapp i kontoinställningarna som startar radering av användardata, återkallar tokens och tar bort analysidentifierare.
Lagringstid
Att spara data utan slutdatum är en risk.
Att gå igenom:
- Sätt tydliga tidsgränser för hur länge olika typer av data sparas.
- Automatisera radering eller anonymisering.
- Gör likadant med backuper och loggar när det går.
Exempel: Kontaktformulär raderas automatiskt efter 90 dagar om de inte hör till ett aktivt ärende.
Säkerhet
Säkerhet är ett grundkrav i GDPR, inte ett tillval.
Att gå igenom:
- Använd HTTPS överallt, även internt.
- Kryptera känslig data när det är relevant.
- Ge åtkomst efter roll.
- Logga åtkomst till personuppgifter och övervaka avvikelser.
- Larma vid misstänkt beteende.
Exempel: Databasen nås bara via applikationens konton, och alla administrativa frågor loggas.
Tredjepartstjänster
Varje extern tjänst ökar risken.
Att gå igenom:
- Lista alla externa tjänster som tar emot personuppgifter.
- Se till att personuppgiftsbiträdesavtal finns där det krävs.
- Ta reda på var datan lagras geografiskt.
- Ta bort integrationer som inte längre används.
Exempel: Ta bort den gamla chattwidgeten som ingen använder men som fortfarande laddar spårningsskript.
Integritetspolicy och kod
Policyn ska beskriva vad systemet faktiskt gör.
Att gå igenom:
- Kontrollera att tekniken stämmer med det som står i policyn.
- Uppdatera policyn när dataflöden ändras.
- Koppla samtycken och rättigheter till faktiska funktioner.
Exempel: Om policyn säger att analys är valfritt måste analysverktyg vara blockerade tills samtycke ges.
Miljöer
Genvägar i utveckling kan skapa problem i produktion.
Att gå igenom:
- Använd aldrig riktig användardata i test- eller utvecklingsmiljöer.
- Maskera eller generera testdata.
- Begränsa åtkomst till produktionsdata och loggar.
Exempel: Ersätt produktionsdatabaser med anonymiserad data i stagingmiljöer.
Incidentberedskap
Utgå från att något kommer att hända.
Att gå igenom:
- Logga säkerhetsrelaterade händelser med tid och identifierare.
- Håll koll på obehörig åtkomst och dataläckor.
- Dokumentera en tydlig incidentprocess.
- Se till att berörda användare och datatyper snabbt går att identifiera.
Exempel: Central loggning som gör det möjligt att filtrera händelser per användar-ID vid en incident.
Kan du inte förklara vilka uppgifter hemsidan samlar in, varför och hur de tas bort, är den inte redo för GDPR. Håller du dataflödena enkla, spårar bara det du behöver och bygger in radering från start blir resten av arbetet mycket lättare.
Vår egen integritetspolicy beskriver exakt det vår hemsida gör, varken mer eller mindre:
GDPR är inte det enda lagkravet på en hemsida. Sedan juni 2025 gäller även tillgänglighetslagen för många företag:
Tillgänglighetslagen: kraven som gäller 2026 och hur du klarar dem
Praktisk guide: så fixar du tillgängligheten på din webbplats
Hemsidor där GDPR är löst från start
Vi bygger hemsidor i Next.js där dataflöden, samtycke och radering är genomtänkta från början i stället för att lappas ihop i efterhand. Hör av dig så tittar vi på hur din hemsida ligger till.
Vanliga frågor
Bara om den sätter cookies som inte är nödvändiga. Sessionscookies för inloggning eller varukorg kräver inget samtycke. Använder du varken analys, annonsering eller inbäddat innehåll som spårar kan du ofta ta bort bannern helt, och det uppskattar besökarna också.
Ja, men bara om GA4 laddas först efter samtycke och är rätt inställt. Vill du slippa samtyckeskravet för analysen helt finns cookiefria europeiska alternativ, som Plausible eller ett rätt konfigurerat Matomo.
Sanktionsavgifter på upp till 20 miljoner euro eller 4 procent av den globala årsomsättningen, beroende på vilket som är högst. I Sverige är det Integritetsskyddsmyndigheten (IMY) som utövar tillsyn. För mindre företag är det vanligaste första steget en granskning eller reprimand, men redan en granskning kostar tid och förtroende.
Ja. GDPR gäller alla organisationer som behandlar personuppgifter om personer i EU, oavsett storlek. Kraven är desamma, men ett litet företag med få dataflöden har oftast mycket mindre att göra och dokumentera.
