Säkerhetskraven i GDPR artikel 32 för småföretag

Samma säkerhetsansvar gäller – även när företaget är litet

Kravet att skydda personuppgifter följer verksamheten, inte organisationens storlek. Alla företag har samma juridiska ansvar att skydda personuppgifter och följa relevanta cybersäkerhetsregler. Det gäller även om en ägare eller deltidsanställd sköter säkerhetsarbetet i stället för en IT-avdelning.

Grundkravet finns i artikel 32 i dataskyddsförordningen (GDPR). Personuppgiftsansvariga och personuppgiftsbiträden ska vidta lämpliga tekniska och organisatoriska åtgärder för en säkerhetsnivå som är lämplig i förhållande till risken.

Artikel 32 räknar upp fyra exempel på åtgärder: pseudonymisering och kryptering, förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft, förmågan att återställa tillgänglighet och tillgång vid incident samt ett förfarande för att regelbundet testa, undersöka och utvärdera åtgärderna.

Vad som är lämpligt bedöms utifrån den senaste utvecklingen, kostnaden för genomförandet samt behandlingens art, omfattning, sammanhang och ändamål. Särskild hänsyn ska tas till risken för fysiska personers rättigheter och friheter.

Tillsynsmyndighet i Sverige är Integritetsskyddsmyndigheten (IMY). IMY prövar om de tekniska och organisatoriska åtgärderna är lämpliga och tar emot anmälningar om personuppgiftsincidenter.

IMY exemplifierar tekniska åtgärder som inloggning, behörighetsspärrar, brandväggar, säkerhetskopiering och antivirusskydd. Organisatoriska åtgärder omfattar tilldelning av åtkomsträttigheter, interna rutiner, instruktioner och riktlinjer.

IMY:s vägledning utgår från artikel 32 och kompletterar den med exempel på tekniska och organisatoriska åtgärder. Det är mot den bakgrunden ett litet företags rutiner ska bedömas.

Små verksamheter är normalfallet. Enligt SCB:s företagsstatistik stod företag med 0–49 anställda för 99,4 procent av alla svenska företag 2023. Antalet företag i Sverige är omkring 1,2 miljoner.

Utan IT-avdelning måste ansvaret ligga i namngivna rutiner. Tre saker ska vara nedskrivna: vilka system som innehåller personuppgifter, vilka personer som har åtkomst till dem och vem som ansvarar för uppdateringar, behörigheter och avvikelser.

Utan listan går det inte att svara på var uppgifterna finns, vem som kan läsa dem eller vad som händer när en medarbetare slutar. Den praktiska frågan för ett litet företag är inte paragraftexten, utan det löpande arbetet: uppdateras utrustningen, granskas behörigheterna, läses loggarna?

Nätverksskydd är en löpande process – inte en engångsåtgärd

Dagens företagsnätverk ser inte ut som för tio år sedan. Molntjänster används, medarbetare arbetar hemifrån eller från andra kontor och data flödar ständigt mellan system. Perimetern är inte längre kontorets fyra väggar.

Skyddet måste omfatta routrar, accesspunkter, servrar och alla enheter som är anslutna till nätet. En medarbetare som arbetar från ett kafé eller hemifrån behöver samma skydd som en person på kontoret.

Företag behöver förstå hotbilden och använda anpassade metoder för att skydda sina nätverk. Digitala angrepp blir allt mer sofistikerade och riktade.

IMY anger inloggning, behörighetsspärrar, brandväggar, säkerhetskopiering och antivirusskydd som tekniska åtgärder. De hör till de krav som artikel 32 ställer på nätverksskyddet.

Nätverksskydd är en kontinuerlig process, inte en engångsåtgärd. Regelbundna uppdateringar och översyner krävs för att hantera nya hot, och ingen enskild lösning täcker allt. Ett försvar som installeras och lämnas orört behåller de sårbarheter det hade vid installationen.

För småföretaget gäller att bestämma intervall och ansvar: vem kontrollerar att nätverksutrustningen är uppdaterad, när ses åtkomstlistorna över och vem tar emot larm eller avvikelser när de uppstår?

Artikel 32 kräver förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och behandlingstjänsterna. Skyddet ska därför vara en process, inte en engångsåtgärd.

Förslag på löpande säkerhetsarbete för småföretag

Konkreta åtgärder som möter kraven i vardagen

Företag har ett juridiskt ansvar att skydda personuppgifter och följa relevanta cybersäkerhetsregler, oavsett storlek. Ingen enskild lösning täcker allt; skyddet kräver ett genomtänkt försvar på flera nivåer.

Artikel 32 pekar särskilt på pseudonymisering och kryptering av personuppgifter. Kraven omfattar också att kunna återställa tillgängligheten och tillgången till uppgifterna i rimlig tid vid en fysisk eller teknisk incident, samt ett förfarande för att regelbundet testa, undersöka och utvärdera åtgärdernas effektivitet.

Tillsynsmyndigheter och EU:s byrå för nätverks- och informationssäkerhet (ENISA) ger vägledning om tekniska och organisatoriska åtgärder. Den kompletterar artikel 32:s exempel med underlag för lämplighetsbedömningen.

Nätverksskyddet vilar på fem komponenter som alla har direkt bäring på personuppgifterna: stark autentisering och åtkomstkontroll, regelbundna uppdateringar av all nätverksutrustning, central hantering av säkerhetsinställningar, övervakning och loggning av nätverkstrafik samt dokumentation av vem som har åtkomst till vad.

Datasäkerheten har tre komponenter: konfidentialitet, integritet och tillgänglighet. Obehörig eller oavsiktlig åtkomst bryter mot sekretessen, otillåten eller oavsiktlig ändring mot integriteten, och förlust av uppgifter eller av tillgången till dem mot tillgängligheten.

Stark autentisering gör att ett stulet lösenord inte räcker för att nå kundregistret. Åtkomstkontrollen begränsar vad en enskild medarbetare kan se och göra. Uppdateringarna stänger kända sårbarheter i utrustningen som uppgifterna passerar.

Central hantering av säkerhetsinställningar hindrar skyddsnivån från att glida isär mellan enheter. Övervakning och loggning gör ett intrång upptäckbart i stället för osynligt. Dokumentationen av åtkomsten gör det möjligt att i efterhand svara på vem som har kunnat läsa vad.

IMY räknar inloggning, behörighetsspärrar, brandväggar, säkerhetskopiering och antivirusskydd till de tekniska åtgärderna. Till de organisatoriska hör tilldelning av åtkomsträttigheter, interna rutiner, instruktioner och riktlinjer.

Säkerhetskopior är ett exempel där teknik och rutin hänger samman. Det behövs rutiner för hur kopiorna ska sparas, hur ofta de ska tas och hur länge de ska sparas.

Som organisatoriska åtgärder räknas också styrdokument, processer, rutiner, metoder, hot-, risk- och sårbarhetsanalyser samt risk-, konsekvens- och lämplighetsbedömningar. Bara den som behöver uppgifterna för sitt arbete ska ha tillgång till dem, och medarbetare ska behandla personuppgifter enligt arbetsgivarens instruktioner.

Vid utskick till flera mottagare ska bcc användas och mottagaren kontrolleras före sändning. Känsliga personuppgifter i e-post ska skickas krypterat. Personuppgifter på USB-minnen, bärbara datorer och mobiltelefoner är särskilt sårbara för stöld eller förlust.

För en person eller ett fåtal anställda är en genomförbar ordning att inventera enheter och konton. Slå på stark autentisering i tjänsterna där personuppgifterna finns. Stäng av konton och behörigheter som inte längre används.

Schemalägg uppdateringar av nätverksutrustningen. Aktivera loggning och bestäm vem som läser den. Skriv ned behörighetslistan och uppdatera den när någon slutar eller byter roll.

Utgå från rollerna: verksamhetsansvarig för inventeringen, IT-ansvarig eller extern IT-leverantör för uppdateringar och loggning, och den som ansvarar för personal och administration för behörighetslistan.

Obligatoriska säkerhetsåtgärder enligt GDPR artikel 32 för småföretag

Personuppgifterna finns i kund- och säljsystemen

Personuppgifter kan samlas i kundregistret eller CRM-systemet: namn, kontaktuppgifter, affärshistorik och anteckningar om kontakter. Ett GDPR-säkert CRM är inte en extrafunktion utan ett lagkrav. Brott mot GDPR kan kosta upp till 4 procent av den globala omsättningen.

I svenska jämförelser 2026 av CRM-system nämns Sellra, Lime, Upsales, HubSpot och Pipedrive. Jämförelsen omfattar pris, funktioner, GDPR och vem varje system passar bäst för.

Uppgifterna i kundregistret är personuppgifter och omfattas av artikel 32. Kraven på lämpliga tekniska och organisatoriska åtgärder gäller oavsett om uppgifterna ligger i ett CRM-system eller i ett eget register.

IMY:s exempel på tekniska åtgärder gäller även kundregistret: inloggning, behörighetsspärrar, brandväggar, säkerhetskopiering och antivirusskydd. Organisatoriskt krävs tilldelning av åtkomsträttigheter, interna rutiner, instruktioner och riktlinjer.

Dataskydd hör därför hemma i kravspecifikationen redan när systemet väljs, inte som en inställning man letar efter i efterhand.

I jämförelser av svenska CRM-system lyfts oftast språk, support, integrationer, dataskydd och prismodell fram. Behörigheter och integrationer hör till samma bedömning.

Vilka i företaget ska se vilka uppgifter? Vilka andra system kopplas CRM:et till, vad händer med uppgifterna hos dem och hur hanteras supportärenden där leverantören kan behöva komma åt kunddata?

Behörighetsstyrning kräver både tekniska funktioner för att begränsa åtkomst och analyser av vem som behöver åtkomst till vilka uppgifter och när. Dessutom krävs rutiner för hur behörigheterna hanteras.

Prismodellen är lätt att underskatta. Den varierar mellan system – per användare, per modul och med implementeringskostnader som tillkommer efter att avtalet har tecknats. En lösning som är billig vid tecknandet kan bli dyrare när fler användare eller moduler läggs till.

Kontrollera också hur stor del av funktionerna som faktiskt används: CSO Insights (2024) anger att 43 procent av CRM-användarna använder mindre än hälften av de funktioner de betalar för.

Jämförelse av svenska CRM-system med GDPR-anpassning (2026)

Fallgropar som gör småföretag till enkla mål

Passivt försvar: att installera skydd och sedan inte röra det är en allvarlig fallgrop. Attackerna mot företagsnätverk har blivit allt mer sofistikerade och riktade, och ett passivt försvar räcker inte.

Utrustning som inte uppdateras, övervakas eller granskas behåller samma svagheter år efter år, medan hoten mot den förändras.

Bristande kunskap om hotbilden. Den som ansvarar för IT-säkerheten behöver känna till aktuell hotbild och riskerna för den egna organisationen. Utan den kunskapen blir prioriteringarna godtyckliga.

Tid läggs på sådant som känns tryggt i stället för på systemet som faktiskt innehåller personuppgifter och är åtkomligt utifrån.

Den stora andelen anmälda personuppgiftsincidenter beror på den mänskliga faktorn. IMY understryker därför löpande internutbildning samt styrdokument och tekniska informationsåtgärder.

IMY:s rapport om anmälda personuppgiftsincidenter år 2019 ligger till grund för rekommendationerna om internutbildning, styrdokument och tekniska informationsåtgärder. Den pekar på den mänskliga faktorn som en stor orsak till incidenterna.

Utebliven uppföljning. IMY räknar kontroll och avstämning av att åtgärderna har implementerats korrekt, samt revision och uppföljning, till de organisatoriska åtgärderna.

Säkerhet som bara gäller på kontoret. När medarbetare arbetar hemifrån eller från annan plats flyttas anslutningarna utanför kontorets nät.

Skyddet måste följa användaren – samma krav på autentisering, uppdaterade enheter och åtkomstkontroll gäller oavsett var arbetet utförs.