GDPR-undantag förklarade: när du inte behöver följa reglerna

GDPR-undantag förklarade: när du inte behöver följa reglerna

Sedan allmänna dataskyddsförordningen (GDPR) började gälla 2018 har företag som behandlar personuppgifter om EU-invånare behövt följa en av världens mest långtgående integritetslagar. Men många vet inte att GDPR inte gäller för alla typer av databehandling.

Det finns särskilda undantag, tydligt angivna i lagen, där GDPR antingen inte gäller alls eller där vissa skyldigheter är lättade. Att känna till dem kan spara tid, arbete och onödiga efterlevnadskostnader för ditt företag.

I den här artikeln förklarar vi sju situationer där GDPR inte gäller eller ger partiella undantag, med verkliga exempel och expertkontext.

---

---

1. Personliga aktiviteter eller hushållsaktiviteter

Om du behandlar uppgifter enbart för privat eller personligt bruk gäller inte GDPR. Det kallas ”hushållsundantaget”.

Exempel:

• Att spara dina kontakter i en personlig telefonbok
• Att lägga upp semesterbilder i en privat gruppchatt

GDPR gäller om:

• Du driver en blogg eller en YouTube-kanal med annonsering
• Du filmar offentliga platser med hemmets säkerhetssystem

Undantaget gäller bara när uppgifterna inte används för kommersiella, yrkesmässiga eller offentliga ändamål.

---

2. Myndigheter: brottsbekämpning och nationell säkerhet

GDPR gäller inte uppgifter som statliga myndigheter behandlar för brottsbekämpning, nationell säkerhet eller försvar.

Omfattas av:

• Brottsbekämpningsdirektivet (EU) 2016/680, inte GDPR

Gäller:

• Polis, domstolar, militär och nationella underrättelsetjänster

Om du är ett privat företag som erbjuder säkerhetsprogramvara eller säkerhetstjänster undantas du inte från GDPR av det här.

---

3. Helt anonyma uppgifter

Om de uppgifter du samlar in är helt anonymiserade, det vill säga inte längre kan identifiera en person, vare sig direkt eller indirekt, gäller inte GDPR.

Exempel:

• Aggregerad statistik utan några personliga identifierare
• Icke-identifierbara uppgifter som används i analys av produktanvändning

Var försiktig: Pseudonymiserade uppgifter (kopplade till ett användar-ID eller en token) räknas fortfarande som personuppgifter enligt GDPR.

Påminnelse: Enligt skäl 26 i GDPR är uppgifterna inte undantagna om det finns någon möjlighet att återidentifiera personen.

---

4. Manuella uppgifter som inte ingår i ett register

GDPR gäller automatiserad behandling och manuella uppgifter som ingår i ett strukturerat register. Är manuella uppgifter däremot verkligt ostrukturerade kan de hamna utanför tillämpningsområdet.

Exempel:

• Slumpmässiga handskrivna anteckningar på papper som inte är sorterade efter namn, datum eller någon annan identifierare

Det här undantaget är snävt, och i dagens digitala värld är det sällan tillämpligt för onlineföretag.

---

5. Rättsliga anspråk och rättsliga förfaranden

När personuppgifter behandlas specifikt för att fastställa, göra gällande eller försvara rättsliga anspråk ger GDPR begränsade undantag från vissa av de registrerades rättigheter (som rätten till radering).

Exempel:

• Att spara e-post som är relevant för en rättstvist
• Att vägra tillgång till uppgifter om det skulle skada ett rättsfall

Tänk på att dessa undantag inte ger fri användning av personuppgifter. De gäller bara när det finns ett rättsligt behov.

---

6. Yttrandefrihet och journalistik

För att värna yttrandefriheten tillåter GDPR att EU:s medlemsstater inför undantag för journalistiskt, konstnärligt eller akademiskt innehåll.

Gäller:

• Nyhetspublikationer som behandlar uppgifter i allmänhetens intresse
• Akademiska institutioner som publicerar forskning som innehåller personuppgifter

Observera: Undantaget definieras olika i varje EU-land och måste vägas mot integritetsrättigheterna.

---

7. Verksamhet utanför EU-rätten

GDPR gäller inte databehandling som helt ligger utanför EU-rättens tillämpningsområde, till exempel frågor om utrikespolitik eller militära operationer som hanteras av EU-institutioner.

Det är ovanligt i kommersiella sammanhang, men bra att känna till för organisationer som arbetar inom förvaltning, försvar eller diplomati.

---

Slutsats

GDPR är en av världens mest långtgående integritetslagar, men den omfattar inte allt. Att förstå när och var lagen inte gäller hjälper företag att:

• Undvika onödig juridisk overhead
• Lägga resurserna på behandling med högre risk
• Fokusera på verkliga efterlevnadsrisker

Om ditt företag hanterar någon form av användardata för kommersiella ändamål gäller dock GDPR sannolikt, och att använda en GDPR-kompatibel CMP är fortfarande en smart och skalbar lösning.

---

Källor

GDPR Article 2 Material Scope https://gdpr-info.eu/art-2-gdpr/

Recital 26 – Anonymous Data https://gdpr-info.eu/recitals/no-26/

Directive (EU) 2016/680 Law Enforcement https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32016L0680

EDPB Guidelines on Data Protection and Journalism https://edpb.europa.eu/our-work-tools/our-documents/guidelines_en