System, dataflöden, leverantörer, säkerhetsåtgärder. Tekniken som möjliggör behandlingen och evidensen som styrker den.
Rättslig grund, registrerades rättigheter, register, DPIA och dokumenterad ansvarsskyldighet enligt GDPR och anslutande regelverk.
God efterlevnad är inte två parallella spår — det är ett. Metoden binder samman styrning, process, information, risk och kontroll så att tekniska val och juridiska krav talar samma språk, dokumenteras i samma evidensstruktur och kan granskas mot samma mål.
Strategi, uppdrag, kundlöfte och riskaptit som hela efterlevnadsarbetet ska tjäna.
De värdeskapande flödena där efterlevnad omsätts i praktik — och där brister får verklig konsekvens.
Vad som faktiskt sker med uppgifterna, var de bor och vilken teknik som bär dem.
Tredjepartskedjor, biträden, överföringar — där ansvar måste avtalas och bevisas.
Fyra perspektiv som måste analyseras enskilt men förstås tillsammans.
Tekniska och organisatoriska åtgärder, policyer, rutiner och tydligt utpekade roller.
Det som gör efterlevnad demonstrerbar — och levande över tid.
Den punkt där allt övrigt får sin mening. Här fastställs vad organisationen vill uppnå, vilka tjänster som är kritiska, vilken kravbild och riskaptit som råder, samt vilka roller och ansvar som bär arbetet. Utan tydlig styrning blir efterlevnad en samling dokument — med den blir det en förmåga.
Processerna är efterlevnadens stomme. Här identifieras processägare, ingående system, leverantörer, informationsflöden och kritiska aktiviteter. Det är verksamhetens ändamål och process som förklarar behandlingen — systemen visar hur behandlingen sker, och beroendena avgör var risken faktiskt sitter.
Vilka informationstillgångar finns, vilka personuppgifter bär de, hur skyddsklassas de, var lagras de, hur överförs de och vad beror de av? Detta är den gemensamma grund där informationssäkerhetens taxonomi och dataskyddets begrepp måste mötas i samma struktur.
Här formaliseras behandlingen: ROPA-poster med ändamål, rättslig grund, registrerade kategorier, personuppgifter, mottagare, biträden, lagringstider och informationskrav. DPIA-screening bedömer och dokumenterar om behandlingen sannolikt leder till hög risk och därmed kräver en konsekvensbedömning. Registret är inte ett efterhandsdokument — det är en central evidensbärare för ansvarsskyldighet och en levande karta över hur behandlingen styrs, riskbedöms och följs upp.
Dataskyddsanalysen omfattar även hur organisationen praktiskt hanterar registrerades rättigheter (information, registerutdrag, rättelse, radering, begränsning, dataportabilitet, invändning, automatiserade beslut), personuppgiftsincidenter — med beredskap att bedöma och vid behov anmäla till IMY utan onödigt dröjsmål och om möjligt inom 72 timmar från vetskap — samt gallring och förändringar i behandlingar över tid.
Mellan dataskyddsanalysen och riskbedömningen genomförs fördjupade analyser där det behövs: DPIA, LIA, TIA, leverantörsbedömning, kontinuitetsanalys eller AI-riskbedömning. Det är dessa fördjupningar som syns som ett eget steg i arbetsflödet.
Fyra perspektiv, en metodlogik: dataskydd (risk för individen), informationssäkerhet (risk för informationen), leverantör (risk i kedjan) och kontinuitet (risk för tjänsten). Bedömningarna görs separat — men sammanlänkas så att samma behandling kan bedömas helhetligt utan att perspektiven kolliderar.
Riskerna översätts till handling. Tekniska och organisatoriska säkerhetsåtgärder, policyer, rutiner, biträdesavtal, kontinuitetslösningar och en prioriterad åtgärdsplan med ägare och datum. Det är här juridiken slutar vara abstrakt och blir konkret arbete i system, avtal och beteenden.
Resultatet samlas i en krav- och kontrollmatris där varje identifierat krav, riskområde och kontroll kopplas till ansvarig ägare, berörd process, berört system, evidenskrav och uppföljningsfrekvens. Matrisen är metodens operativa hjärta — den länkar regelverk, risk och praktik i en enda spårbar struktur.
Implementering med tydligt ansvar, test, utbildning och kommunikation. Mätetal och intern kontroll håller arbetet levande, årlig översyn fångar förändring i omvärld och verksamhet, och en strukturerad förändringshantering ser till att efterlevnaden följer med när allt annat utvecklas.
Centrala förändringsutlösare som ska aktivera översyn: nya system, nya leverantörer, nya ändamål, nya datakategorier, nya marknader eller geografier, väsentliga incidenter samt förändringar i regelverk eller tillsynspraxis.
Faserna är inte fack — de är rörelser. Varje steg möjliggör det nästa, och varje uppföljning återvänder till styrningen.
Arbetsflödets nio rörelser är en operativ detaljering av de sju metodfaserna. ROPA och fördjupade analyser visas separat eftersom de ofta kräver egna beslut, underlag och evidensspår i praktiskt genomförande.
Samma behandling beskrivs i IT:s och juridikens termer, men i en gemensam datamodell. Det är samma sak — bara två sätt att läsa den.
ROPA förankras i verksamhetens processer, men registerobjektet är behandlingsaktiviteten. Systemen beskriver hur behandlingen sker, processen förklarar varför den sker och vilket verksamhetsansvar den tillhör.
Dataskydd, informationssäkerhet, leverantör och kontinuitet bedöms separat — men sammanvägs i samma åtgärdsbeslut.
Det som inte kan visas är svårt att försvara vid tillsyn, intern kontroll eller revision. Metoden producerar därför löpande den dokumentation, de beslut och de kontrollspår som visar hur organisationen arbetar med ansvar, risk och åtgärder.
Metoden står inte på egen botten. Den är konstruerad för att leverera bevis och struktur som möter de regelverk som styr verksamhet, information och teknik — och de standarder och ramverk som översätter kraven till praktik.
Notera: Listan är ett referensbibliotek och innebär inte att samtliga regelverk är tillämpliga i varje uppdrag. Vilka krav som faktiskt gäller fastställs utifrån organisationens sektor, roll, tjänster, system, geografiska närvaro och behandlingstyper.
Senast faktagranskat: 2026-06-02. Tillämplighet, ikraftträdande och övergångsregler ska alltid verifieras per organisation, sektor, roll, tjänst, system, geografisk närvaro och behandlingstyp. Akronymer markerade med ↗ är klickbara länkar till primärkälla (EUR-Lex, Riksdagen, Finansinspektionen, EBA respektive ISO) och öppnas i ny flik.
Stödstandarder som ISO/IEC 27002, 27005, 27018:2025, 27035 och 27036 används som kompletterande vägledning vid införande, riskhantering, incidenthantering, moln- och personuppgiftsskydd samt leverantörsstyrning.
Bevakning — kommande ändringar (ännu inte beslutade): Kommissionen lade den 19 november 2025 fram ett Digital Omnibus-paket i två delar. Datadelen föreslår att DGA upphävs och dess bestämmelser konsolideras i Data Act, jämte riktade ändringar i GDPR, ePrivacy, NIS2, DORA och Data Act — den delen förhandlas alltjämt i Europaparlamentet och rådet. AI-delen nådde den 7 maj 2026 en preliminär överenskommelse om att skjuta upp AI Act:s högriskregler (fristående system till 2 december 2027, inbyggda till 2 augusti 2028) och om förbud mot s.k. nudifierings-appar från 2 december 2026, men är ännu inte formellt antagen. Till dess att rättsakterna antas gäller regelverken ovan oförändrade.