Uppkallad efter de tre parter den för samman: verksamheten, tekniken och juridiken.
Mål, processer, ändamål och ansvar. Den tredje, ofta bortglömda parten — och den gemensamma mark där de andra två alls kan mötas.
System, dataflöden, leverantörer, säkerhetsåtgärder. Tekniken som möjliggör behandlingen och evidensen som styrker den.
Rättslig grund, registrerades rättigheter, register, DPIA och dokumenterad ansvarsskyldighet enligt GDPR och anslutande regelverk.
God efterlevnad är inte två parallella spår — det är en uppgift, och den börjar i verksamheten. Metoden binder samman styrning, process, information, risk och kontroll så att tekniska val och juridiska krav talar samma språk, dokumenteras i samma evidensstruktur och kan granskas mot samma mål.
Metoden beskrivs i sin helhet i Svensson, Gustafsson & Hindart, Metod för god efterlevnad av GDPR, Studentlitteratur (utkommer december 2026). Denna sida är metodens referensverk och håller de rörliga uppgifterna — regelverkens status, praxis och bevakning.
Kedjan är ingen checklista över aktiviteter utan en modell över vad som måste förstås innan något annat kan bedömas. Varje nivå vilar på den under sig och får sin mening därifrån. Man bygger den nedifrån och upp — men prioriterar utifrån mål och risk. Står något ostadigt högt upp ligger felet oftast längre ned.
Vad organisationen vill uppnå, vem som ansvarar, vilken riskaptit som råder.Varför finns vi, och inom vilka ramar?
Hur verksamheten faktiskt utförs, och deras beroenden.Hur går arbetet till?
Vilken information processerna behandlar, och dess känslighet.Vad behandlas?
De formaliserade aktiviteterna med personuppgifter.Vilka behandlingar sker, och på vilken grund?
Vad som kan gå fel, sett ur flera perspektiv.Vad hotar, och hur allvarligt?
Åtgärderna som möter riskerna.Vad gör vi åt det?
Evidens, mätning, uppföljning och förändring.Fungerar det, och vad lär vi oss?
Den punkt där allt övrigt får sin mening. Här fastställs vad organisationen vill uppnå, vilka tjänster som är kritiska, vilken kravbild och riskaptit som råder, samt vilka roller och ansvar som bär arbetet. Utan tydlig styrning blir efterlevnad en samling dokument — med den blir det en förmåga.
Processerna är efterlevnadens stomme. Här identifieras processägare, ingående system, leverantörer, informationsflöden och kritiska aktiviteter. Det är verksamhetens ändamål och process som förklarar behandlingen — systemen visar hur behandlingen sker, och beroendena avgör var risken faktiskt sitter.
Vilka informationstillgångar finns, vilka personuppgifter bär de, hur skyddsklassas de, var lagras de, hur överförs de och vad beror de av? Detta är den gemensamma grund där informationssäkerhetens taxonomi och dataskyddets begrepp måste mötas i samma struktur.
Här formaliseras behandlingen: ROPA-poster med ändamål, rättslig grund, registrerade kategorier, personuppgifter, mottagare, biträden, lagringstider och informationskrav. DPIA-screening bedömer och dokumenterar om behandlingen sannolikt leder till hög risk och därmed kräver en konsekvensbedömning. Registret är inte ett efterhandsdokument — det är en central evidensbärare för ansvarsskyldighet och en levande karta över hur behandlingen styrs, riskbedöms och följs upp.
Dataskyddsanalysen omfattar även hur organisationen praktiskt hanterar registrerades rättigheter (information, registerutdrag, rättelse, radering, begränsning, dataportabilitet, invändning, automatiserade beslut), personuppgiftsincidenter — med beredskap att bedöma och vid behov anmäla till IMY utan onödigt dröjsmål och om möjligt inom 72 timmar från vetskap — samt gallring och förändringar i behandlingar över tid.
Mellan dataskyddsanalysen och riskbedömningen genomförs fördjupade analyser där det behövs: DPIA, LIA, TIA, leverantörsbedömning, kontinuitetsanalys eller AI-riskbedömning. Det är screeningen och dessa fördjupningar som syns som egna steg i arbetsflödet.
Fyra perspektiv, en metodlogik: dataskydd (risk för individen), informationssäkerhet (risk för informationen), leverantör (risk i kedjan) och kontinuitet (risk för tjänsten). Bedömningarna görs separat — men sammanlänkas så att samma behandling kan bedömas helhetligt utan att perspektiven kolliderar.
Riskerna översätts till handling. Tekniska och organisatoriska säkerhetsåtgärder, policyer, rutiner, biträdesavtal, kontinuitetslösningar och en prioriterad åtgärdsplan med ägare och datum. Det är här juridiken slutar vara abstrakt och blir konkret arbete i system, avtal och beteenden.
Resultatet samlas i en krav- och kontrollmatris där varje identifierat krav, riskområde och kontroll kopplas till ansvarig ägare, berörd process, berört system, evidenskrav och uppföljningsfrekvens. Matrisen är metodens operativa hjärta — den länkar regelverk, risk och praktik i en enda spårbar struktur.
Implementering med tydligt ansvar, test, utbildning och kommunikation. Mätetal och intern kontroll håller arbetet levande, årlig översyn fångar förändring i omvärld och verksamhet, och en strukturerad förändringshantering ser till att efterlevnaden följer med när allt annat utvecklas.
Centrala förändringsutlösare som ska aktivera översyn: nya system, nya leverantörer, nya ändamål, nya datakategorier, nya marknader eller geografier, väsentliga incidenter samt förändringar i regelverk eller tillsynspraxis.
Faserna är inte fack — de är rörelser. Varje steg möjliggör det nästa, och varje uppföljning återvänder till styrningen.
Arbetsflödets nio rörelser är en operativ detaljering av de sju metodfaserna — samma metod i två upplösningar. Faserna är kartan man förstår metoden med, rörelserna stegen man utför den i. Två faser vecklar ut sig: registrering och screening blir egna rörelser, och den fördjupade analysen bryts ut ur riskbedömningen, eftersom var och en är en egen leverans med egen ägare och eget evidensspår.
Notera: rörelse 6 och 7 står i växelverkan — en fördjupad analys matar in i helhetsbilden, och helhetsbilden kan avslöja behov av ytterligare en fördjupning. Rörelserna löper därför inte alltid som en rak sekvens. Och liksom faserna slutar de inte: rörelse 9 leder tillbaka till rörelse 1.
Samma behandling beskrivs i IT:s och juridikens termer, men i en gemensam datamodell. Det är samma sak — bara två sätt att läsa den.
ROPA förankras i verksamhetens processer, men registerobjektet är behandlingsaktiviteten. Systemen beskriver hur behandlingen sker, processen förklarar varför den sker och vilket verksamhetsansvar den tillhör.
Dataskydd, informationssäkerhet, leverantör och kontinuitet bedöms separat — men sammanvägs i samma åtgärdsbeslut.
Det som inte kan visas är svårt att försvara vid tillsyn, intern kontroll eller revision. Metoden producerar därför löpande den dokumentation, de beslut och de kontrollspår som visar hur organisationen arbetar med ansvar, risk och åtgärder.
Metoden står inte på egen botten. Den är konstruerad för att leverera bevis och struktur som möter de regelverk som styr verksamhet, information och teknik — och de standarder och ramverk som översätter kraven till praktik — samt den rättspraxis och tillsyn som visar hur kraven tolkas.
Notera: Listan är ett referensbibliotek och innebär inte att samtliga regelverk är tillämpliga i varje uppdrag. Vilka krav som faktiskt gäller fastställs utifrån organisationens sektor, roll, tjänster, system, geografiska närvaro och behandlingstyper.
Senast faktagranskat: 2026-06-10. Tillämplighet, ikraftträdande och övergångsregler ska alltid verifieras per organisation, sektor, roll, tjänst, system, geografisk närvaro och behandlingstyp. Akronymer markerade med ↗ är klickbara länkar till primärkälla (EUR-Lex, Riksdagen, Finansinspektionen, EBA och ISO — för praxisposterna EU-domstolen, IMY, EDPB, Datatilsynet och DPC) och öppnas i ny flik. Praxisposterna i grupp E anger instansläge per granskningsdatumet — avgöranden överklagas och belopp ändras; verifiera mot aktuell källa innan ett ärende läggs till grund för en bedömning.
Stödstandarder som ISO/IEC 27002, 27005, 27018:2025, 27035 och 27036 används som kompletterande vägledning vid införande, riskhantering, incidenthantering, moln- och personuppgiftsskydd samt leverantörsstyrning.
Bevakning — kommande ändringar (ännu inte beslutade): Kommissionen lade den 19 november 2025 fram ett Digital Omnibus-paket i två delar. Datadelen föreslår att DGA upphävs och dess bestämmelser konsolideras i Data Act, jämte riktade ändringar i GDPR, ePrivacy, NIS2, DORA och Data Act — den delen förhandlas alltjämt i Europaparlamentet och rådet. AI-delen nådde den 7 maj 2026 en preliminär överenskommelse om att skjuta upp AI Act:s högriskregler (fristående system till 2 december 2027, inbyggda till 2 augusti 2028) och om förbud mot s.k. nudifierings-appar från 2 december 2026, men är ännu inte formellt antagen. Till dess att rättsakterna antas gäller regelverken ovan oförändrade.
De begrepp metoden själv bär — de som en läsare av den här sidan inte kan slå upp någon annanstans. Samma begrepp behandlas i sin helhet i boken.