Register över behandlingar: vad ska det innehålla och behöver ni ett?

Publicerad 3 november 2026

Sammanfattning: Ett register över behandlingar enligt artikel 30 i GDPR är en skriftlig förteckning över era personuppgiftsbehandlingar med bland annat ändamål, kategorier av registrerade och personuppgifter, mottagare, överföringar till tredjeland och, om möjligt, raderingsfrister och säkerhetsåtgärder. Undantaget för organisationer med färre än 250 anställda gäller inte om behandlingen är annat än tillfällig, sannolikt medför en risk eller omfattar känsliga uppgifter eller uppgifter om lagöverträdelser. IMY (Integritetsskyddsmyndigheten) ger lönehantering som exempel på en behandling som ska registreras. I praktiken behöver därför nästan varje arbetsgivare ett register, och IMY rekommenderar ett oavsett undantaget.

Vad registret ska innehålla enligt artikel 30.1

Varje personuppgiftsansvarig ska enligt artikel 30.1 ”föra ett register över behandling som utförts under dess ansvar”. Registret ska innehålla samtliga följande uppgifter:

• Namn och kontaktuppgifter för den personuppgiftsansvarige och, i tillämpliga fall, gemensamt personuppgiftsansvariga, företrädaren och dataskyddsombudet (a).
• Ändamålen med behandlingen (b).
• En beskrivning av kategorierna av registrerade och av kategorierna av personuppgifter (c).
• De kategorier av mottagare som uppgifterna har lämnats eller ska lämnas ut till, inbegripet mottagare i tredjeländer (d).
• I tillämpliga fall överföringar till ett tredjeland eller en internationell organisation och, vid överföringar enligt artikel 49.1 andra stycket, dokumentationen av lämpliga skyddsåtgärder (e).
• Om möjligt de förutsedda tidsfristerna för radering av de olika kategorierna av uppgifter (f).
• Om möjligt en allmän beskrivning av de tekniska och organisatoriska säkerhetsåtgärderna enligt artikel 32.1 (g).

Registret ska upprättas skriftligen, vilket inbegriper elektronisk form (artikel 30.3), och på begäran göras tillgängligt för IMY enligt artikel 30.4. Förordningen föreskriver ingen mall eller något särskilt verktyg, så ett kalkylark kan räcka. IMY har en checklista som följer artikelns punkter och skriver att registret ska hållas uppdaterat.

Raderingsfrister och säkerhetsåtgärder ska anges ”om möjligt”, men det är sällan omöjligt, och utan raderingsfrister blir det svårt att visa att ni följer principen om lagringsminimering i artikel 5.1 e. Rättslig grund krävs inte av artikel 30, men ni behöver den så fort en registrerad, en kund eller IMY frågar, så vi tar alltid med den.

Om ni är personuppgiftsbiträde

Behandlar ni personuppgifter för någon annans räkning, till exempel som IT-leverantör eller lönebyrå, ska ni enligt artikel 30.2 också föra ett register över de kategorier av behandling som ni utför åt varje personuppgiftsansvarig. Det innehåller namn och kontaktuppgifter för er, för varje personuppgiftsansvarig och för företrädare och dataskyddsombud, kategorierna av behandling, eventuella överföringar till tredjeland och, om möjligt, en allmän beskrivning av säkerhetsåtgärderna.

Många organisationer är både och. Ett kommunalt bolag är personuppgiftsansvarigt för sin personal och sina kunder men kan samtidigt utföra behandling åt ägarkommunen. Håll då isär de två registren, eftersom de beskriver olika ansvar.

Myten om 250 anställda

Ett vanligt missförstånd är att registret bara gäller organisationer med minst 250 anställda. Artikel 30.5 säger att skyldigheten inte gäller för den som sysselsätter färre än 250 personer, såvida inte:

• behandlingen sannolikt kommer att medföra en risk för de registrerades rättigheter och friheter,
• behandlingen inte är tillfällig, eller
• behandlingen omfattar särskilda kategorier av uppgifter enligt artikel 9.1 eller uppgifter om fällande domar i brottmål och överträdelser enligt artikel 10.

Det räcker alltså att ett av villkoren är uppfyllt. IMY anser att varje behandling ska bedömas för sig och ger lönehantering som exempel: den är inte tillfällig och ska registreras, även om en annan behandling i samma organisation inte behöver det. Oberoende av undantaget rekommenderar IMY att organisationer för register för att hålla koll internt.

Enligt vår bedömning är också kundregister, e-post och ärendehantering, passerkontroll och kamerabevakning sällan tillfälliga. Det som kan falla utanför är just det tillfälliga, till exempel en enstaka deltagarlista som raderas efter ett evenemang.

Så kartlägger ni behandlingarna i workshoppar

Ett register som en person fyller i ensam blir ofta en lista över system snarare än över behandlingar. Korta workshoppar med dem som arbetar med uppgifterna ger ett bättre resultat. Så brukar vi lägga upp det:

1. Utgå från verksamheten, inte från IT. Dela upp per funktion: HR, ekonomi, försäljning och marknad, IT och de verksamhetsspecifika processerna.
2. Håll en workshop per funktion, ofta 60–90 minuter, med processägaren och någon som gör det dagliga arbetet.
3. Ställ samma frågor varje gång: vilka personer, vilka uppgifter, varför, var lagras de, vem tar del av dem och när tas de bort?
4. Stäm av mot systemförteckningen och leverantörsreskontran. Licenser och fakturor avslöjar ofta behandlingar som ingen nämnde.
5. Skriv in svaren direkt i registret och markera det som är osäkert, till exempel en oklar rättslig grund eller ett saknat personuppgiftsbiträdesavtal, på en åtgärdslista.

En behandling är ett ändamål, inte ett system. Lönehanteringen kan använda tre system, och ett system kan bära flera behandlingar.

En exempelrad: lönehantering

Kontaktuppgifterna till er och till dataskyddsombudet, punkt a, kan stå en gång överst i registret i stället för på varje rad.

Fält	Exempel
Ändamål (b)	Betala lön, göra skatteavdrag, redovisa arbetsgivaravgifter och hantera pension och frånvaro
Registrerade (c)	Anställda och tidigare anställda
Personuppgifter (c)	Namn, personnummer, kontonummer, lön, skatteuppgifter och frånvaro. Sjukfrånvaro är en uppgift om hälsa enligt artikel 9.1 och bör markeras.
Mottagare (d)	Skatteverket, bank, pensionsbolag och lönebyrå som personuppgiftsbiträde
Tredjeland (e)	Inga, om leverantören och dess underbiträden behandlar uppgifterna inom EU/EES och ingen separat mottagare i ett tredjeland får åtkomst till dem. Kontrollera både lagringsplats och support- och fjärråtkomst i personuppgiftsbiträdesavtalet.
Radering (f)	Räkenskapsinformation bevaras till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades (bokföringslagen 7 kap. 2 §). Övrigt enligt gallringsplanen.
Säkerhet (g)	Behörighet begränsad till lön och HR, flerfaktorsinloggning och loggning av åtkomst
Rättslig grund (tillägg)	Avtal och rättslig förpliktelse, artikel 6.1 b och c, beroende på behandlingen. För sjukfrånvaro och andra uppgifter om hälsa krävs dessutom ett undantag enligt artikel 9.2, normalt artikel 9.2 b för skyldigheter inom arbetsrätten (dataskyddslagen 3 kap. 2 §).
System, ägare och granskning (tillägg)	Lönesystem och HR-system; HR-chefen; senast granskad med datum

Fälten markerade ”tillägg” krävs inte av artikel 30, men de gör registret användbart när ni besvarar ett registerutdrag, bedömer en incident eller granskar en leverantör.

Håll registret levande

Ett register som stämde för tre år sedan säger lite om i dag. Koppla uppdateringen till händelser i stället för till någons minne:

• Nytt system eller ny leverantör: inköp eller IT uppdaterar raden innan avtalet skrivs under.
• Nytt ändamål: stäm av mot det ursprungliga ändamålet och uppdatera raden.
• Konsekvensbedömning eller personuppgiftsincident: kontrollera att raden stämmer med slutsatserna.
• Minst en gång per år: varje processägare bekräftar sina rader med datum.

Ge varje rad en ägare i verksamheten. I vår indelning av GDPR i 15 delar är registret del 8, och det hänger direkt ihop med kartläggningen (del 6), gallringen (del 9) och leverantörerna (del 12). Har en behandling en konsekvensbedömning ska den följa med när raden ändras; se när en konsekvensbedömning behöver uppdateras.

Det här har ni när registret är klart

• En förteckning med de uppgifter som artikel 30.1 kräver och, vid behov, ett register som personuppgiftsbiträde enligt artikel 30.2.
• Rättslig grund, system och ägare för varje behandling.
• Raderingsfrister som går att föra över till en gallringsplan.
• En åtgärdslista, till exempel saknade personuppgiftsbiträdesavtal eller oklara överföringar.
• Ett underlag för informationen till de registrerade och något konkret att visa IMY, kunder och upphandlare.

Vill ni först se var ni står i stort kan ni börja med vårt GDPR-självtest.

Vill ni ha hjälp att ta fram registret? I GDPR Start kartlägger vi era behandlingar i workshoppar med bland annat HR, ekonomi, försäljning och IT och tar fram registret med ändamål, rättslig grund och lagringstid per behandling, tillsammans med gallringsplan och integritetsinformation. Läs mer om vårt arbete med dataskydd och integritet eller kontakta oss.

Källor: Förordning (EU) 2016/679 (GDPR), artiklarna 5, 6, 9, 10, 13, 14, 30, 32 och 49; Integritetsskyddsmyndigheten (IMY), Föra register över behandling och Känsliga personuppgifter; bokföringslagen (1999:1078) 7 kap. 2 §; dataskyddslagen (2018:218) 3 kap. 2 §. Verifierat 2026-10-03.

Den här texten är allmän information och inte juridisk rådgivning. Hur reglerna gäller för er beror på era behandlingar och behöver bedömas i det enskilda fallet.