Systemintegration gör dataflöden snabbare. Men om persondata flödar automatiskt mellan system behöver ni veta att GDPR-kraven följs. Här är checklistan.
Sammanfattning: Vid systemintegration flödar persondata automatiskt mellan system — vilket gör GDPR-efterlevnad både viktigare och mer komplex. Nyckelpunkterna: teckna personuppgiftsbiträdesavtal med alla tredjeparter, minimera vilken data som skickas, dokumentera dataflöden och säkerställ att radering fungerar i alla kopplade system.
Systemintegration automatiserar dataflöden. Det är hela poängen. Men när det som flödar är personuppgifter — kundnamn, e-postadresser, köphistorik, organisationsnummer — ställer GDPR specifika krav på hur det sker.
Det här är inte en juridisk avhandling. Det är en praktisk guide för dig som bygger eller beställer integrationer och vill göra rätt.
Denna artikel ingår i vår serie om systemintegration. Läs den kompletta guiden för en bredare översikt.
Utan integration hanteras persondata i isolerade system. Riskerna är begränsade till varje enskilt system.
Med integration multipliceras riskerna:
Fler system = fler ställen där data lagras. En kunds e-postadress kan finnas i CRM, ERP, ekonomisystem, marknadsplattform och supportverktyg — alla synkroniserade automatiskt.
Automatik = mindre mänsklig granskning. Data flödar utan att någon ser det. Om en integration skickar mer data än nödvändigt märker ingen det förrän en revision eller incidentutredning.
Tredjepartsplattformar = fler personuppgiftsbiträden. Om ni använder iPaaS-plattformar passerar data genom en tredjepartstjänst — som också behandlar personuppgifterna.
Varje system som tar emot persondata behöver en rättslig grund för sin behandling. Om ert CRM samlar in kunddata baserat på berättigat intresse — gäller samma grund när datan synkroniseras till marknadsplattformen? Eller krävs samtycke?
Praktiskt: Dokumentera vilken rättslig grund som gäller per system och per datatyp.
Om en tredjepartstjänst behandlar persondata för er räkning — iPaaS-plattform, molnlagring, integrationspartner — krävs ett personuppgiftsbiträdesavtal.
Praktiskt: Lista alla parter som data passerar genom i integrationsflödet. Teckna PBA med varje part som behandlar persondata.
Skicka bara de fält som mottagande system faktiskt behöver. Om ekonomisystemet bara behöver namn och fakturaadress — synkronisera inte hela kundprofilen med köphistorik, e-postlogg och supportärenden.
Praktiskt: Granska varje integrationsflöde och lista exakt vilka fält som skickas. Kan listan kortas?
När en kund begär att bli raderad ska deras data tas bort ur alla system — inte bara källsystemet. Om er integration har synkroniserat en kund till fem system behöver raderingen ske i alla fem.
Praktiskt: Testa raderingsflödet. Skapa en testperson, synkronisera till alla system, begär radering och verifiera att personen försvinner överallt.
GDPR kräver att ni kan visa var persondata lagras och hur den rör sig. Datainspektionen (IMY) kan begära detta vid tillsyn.
Praktiskt: Dokumentera ett flödesschema: vilka system → vilken data → vilken riktning → vilken rättslig grund.
Om data skickas utanför EU/EES — exempelvis till en amerikansk iPaaS-plattform — gäller särskilda regler. Ni behöver ett godkänt överföringsverktyg (standardavtalsklausuler, adequacy decision, etc.).
Praktiskt: Kontrollera var era iPaaS-plattformar och molntjänster lagrar data. Välj EU-baserad lagring om möjligt.
Använd denna checklista innan ni driftsätter en ny integration som hanterar persondata:
Integrationen synkroniserar hela kundobjektet mellan CRM och marknadsplattform — inklusive personnummer, som marknadsplattformen aldrig behöver.
Risk: Brott mot dataminimeringsprincipen. Onödig exponering av känsliga personuppgifter.
Lösning: Konfigurera fältmappningen så att bara relevanta fält skickas. Granska regelbundet.
En kund begär radering i CRM:et. Datan raderas — men kopior finns kvar i ekonomisystemet, marknadsplattformen och supportverktyget via tidigare synkroniseringar.
Risk: Brott mot rätten till radering. Kunden kan anmäla till IMY.
Lösning: Bygg ett raderingsflöde som triggas i alla kopplade system. Alternativt: en manuell checklista per system tills automatiseringen finns.
Ni använder en iPaaS-plattform med servrar i USA. Persondata passerar genom plattformen vid varje synkronisering.
Risk: Otillåten tredjelandsöverföring om ni saknar godkänt överföringsverktyg.
Lösning: Välj EU-region i plattformens inställningar. Alternativt: self-hosta plattformen (möjligt med t.ex. n8n) på infrastruktur inom EU.
Integrationen fungerar — men ingen vet exakt vilken data som skickats, när eller till vilket system.
Risk: Omöjligt att utreda vid incident. Omöjligt att visa efterlevnad vid tillsyn.
Lösning: Aktivera loggning från start. Varje transaktion bör loggas med tidsstämpel, källa, destination och vilka fält som överförts.
Ja, om persondata passerar genom plattformen. De flesta etablerade plattformar (Make, n8n Cloud, Power Automate) erbjuder standardiserade PBA. Kontrollera att avtalet täcker era specifika datatyper och behandlingsändamål.
Det beror på. Om plattformen erbjuder EU-baserad datalagring och ni tecknar standardavtalsklausuler (SCCs) kan det fungera. Alternativet är att välja en plattform med infrastruktur inom EU, eller self-hosta lösningen.
Nej. GDPR:s rätt till radering gäller all persondata ni behandlar — oavsett i vilket system den lagras. Om integrationen har synkroniserat datan till flera system måste radering ske i samtliga.
Skapa ett enkelt dokument eller diagram som visar: vilka system som är kopplade, vilken typ av persondata som flödar mellan dem, i vilken riktning, och med vilken rättslig grund. Uppdatera vid varje ny integration eller ändring.
Ni som personuppgiftsansvarig bär alltid det yttersta ansvaret. Er integrationspartner är personuppgiftsbiträde och ska följa era instruktioner, men ansvaret gentemot registrerade personer och tillsynsmyndigheten vilar på er.
GDPR behöver inte vara ett hinder för systemintegration — det är ett ramverk som säkerställer att integrationen görs rätt.
Behöver ni hjälp att GDPR-säkra era integrationer? Kontakta oss för en kostnadsfri genomgång.
Adam Norén hjälper företag bygga integrationer som är både effektiva och GDPR-säkra. Han tror på dataminimering i praktiken — inte bara i policydokument.
Jag bygger högpresterande webbplatser och appar som skalar företag. Låt oss diskutera hur jag kan hjälpa dig nå dina mål.
Baserat i Sverige 🇸🇪 • Betjänar kunder över hela världen 🌍