Så planerar ni återvinning och radering av data

Varför en plan för återvinning och radering av data behövs

Riksrevisionens granskningsrapport RiR 2025:8 kartlade 1 094 strategiska digitaliseringsprojekt hos 136 statliga myndigheter 2013–2024. Den sammanlagda budgeten var cirka 40 miljarder kronor. Vid granskningstillfället var 722 projekt avslutade och 372 pågående. Minst 120 av de 722 avslutade projekten hade inte fullt ut uppnått sina mål och syften: 31 avbröts utan att leverera de avsedda resultaten och 86 levererade en it-lösning som inte helt motsvarade de uppsatta målen. De avbrutna projekten hade sammanlagt kostat 1,6 miljarder kronor. Riksrevisionen pekar på brist på it-kompetens och bristande kravställning som återkommande orsaker och konstaterar att en majoritet av projekten inte har utvärderats. Varje avbrutet eller halvfärdigt system är också en datamängd som någon fortfarande ansvarar för men ingen längre förvaltar – precis den kvarlämnade data som en plan för återvinning och radering ska fånga upp.

Dataskyddsförordningen (EU) 2016/679 har gällt i EU:s medlemsländer sedan den 25 maj 2018 och ersatte personuppgiftslagen (PUL). Behandling är ett brett begrepp och omfattar i stort sett allt man gör med personuppgifter. Personuppgifter får bara behandlas om den registrerade har godkänt det eller om stöd finns i förordningen eller i annan lag. Både sparande och radering är alltså behandling som måste ha stöd – en plan som bara täcker säkerhetskopiering eller bara gallring räcker inte.

För myndigheter och kommunalförbund tillkommer reglerna om allmänna handlingar. Personuppgifter som kommer in anses i regel vara allmänna handlingar och kan begäras ut, och det finns särskilda regler för bevarande (sparande) och gallring (borttagande). Två risker måste hanteras samtidigt: uppgifter som borde ha gallrats ligger kvar och ökar både integritetsrisken och kostnaden, medan uppgifter som borde ha bevarats försvinner.

Riksrevisionen granskar nu statliga myndigheters it-förvaltning, med preliminär publicering i november 2026. I meddelandet om granskningen beskriver Riksrevisionen att snabb teknisk utveckling gör att nya tjänster ibland kräver anslutning till privata molnlösningar med servrar utomlands, vilket riskerar att hamna i konflikt med de allt större säkerhetskraven. Riksrevisor Christina Gellerbrant Hagberg säger: ”Framför allt vill vi ta reda på om myndigheterna har en väl utformad it-förvaltning som gör att de landar rätt i de här avvägningarna och kan tillgodose sitt it-behov på ett kostnadseffektivt sätt.”

Statistik från Riksrevisionens granskning (2025)

Kartlägg data, system och ansvar

Kartläggningen utgår från två frågor per datamängd: vad är det för uppgifter, och vem ansvarar för dem? Riksrevisionens granskning av it-förvaltningen anger som bakgrund att många myndigheter både bedriver it-drift i egen regi och anlitar privata leverantörer, men att det saknas en samlad bild av hur stora resurser myndigheterna lägger på it och hur kostnadseffektiva lösningarna är. En inventering som bara täcker den egna driften ger därför ingen rättvisande bild – leverantörernas system, kopior och miljöer måste ingå.

Definitionerna avgör vad som ska kartläggas. En personuppgift är all typ av information som kan identifiera en levande person – inte bara namn och personnummer, utan även exempelvis fastighetsbeteckning eller telefonnummer, och bilder om personen tydligt kan identifieras på bilden. Behandling omfattar att samla in, lagra, gallra, sprida, arkivera, kopiera med mera. Praktiskt innebär det att även e-post, ärendekopior, exportfiler, BI-underlag och backup innehåller behandling som ska ingå i kartläggningen.

Ansvaret ska vara namngivet per datamängd. Den personuppgiftsansvarige ansvarar för att uppgifterna behandlas lagligt, säkert och i övrigt korrekt. I ett kommunalförbund kan direktionen vara personuppgiftsansvarig; i en statlig myndighet ligger motsvarande ansvar på myndigheten. Under den nivån behöver ni utse systemägare och registeransvariga så att varje datamängd har en person som kan svara på var uppgifterna finns och när de ska bort.

Bygg kartläggningen som ett register med en rad per datamängd och kolumner för: ändamål, rättslig grund, källsystem, eventuella integrationer och kopior, lagringsplats (eget datacenter, moln, i eller utanför EU), leverantör och avtalsvillkor, ansvarig roll, gallringsregel samt senaste verifiering. Registret blir både arbetsredskap och underlag när en leverantör byts, ett system avvecklas eller en begäran om registerutdrag ska besvaras.

Bestäm ändamål, laglig grund och bevarandekrav

Varje datamängd i registret ska kopplas till ett ändamål och en laglig grund. Personuppgifter får bara behandlas om den registrerade har godkänt det eller om det finns stöd i dataskyddsförordningen eller annan lag, och de ska inte behandlas utan en väl motiverad anledning. Som exempel på rättslig förpliktelse i offentlig verksamhet nämns att ett kommunalförbund som enligt lag utför tjänster, exempelvis sophämtning, har rätt att behandla personuppgifter för att uppfylla sina krav enligt lag. Motsvarande övning behöver göras per datamängd: vilken bestämmelse eller vilket avtal ger stöd, och vad är ändamålet formulerat i klartext?

Parallellt med den dataskyddsrättsliga bedömningen ska bevarande- och gallringsfrågan avgöras. Uppgifter som kommer in anses i regel vara allmänna handlingar och kan begäras ut. För varje handlingstyp och serie beslutar ni därför om den ska bevaras eller gallras och vid vilken tidpunkt – det är detta beslut, inte det tekniska systemet, som styr hur länge uppgifterna får ligga kvar.

Ändamålet måste också prövas mot andra rättigheter innan data kan återanvändas bredare. Två likartade datamängder kan ha helt olika förutsättningar för delning beroende på innehåll och rättighetsstatus, och den prövningen hör hemma i samma dokument som ändamålet och den lagliga grunden.

Resultatet blir en tabell där varje datamängd har ett ändamål, en laglig grund, ett bevarande- eller gallringsbeslut med tidpunkt och en notering om eventuella rättigheter som begränsar återanvändning. Datamängder som saknar laglig grund eller ändamål ska inte förses med nytt ändamål i efterhand – de ska gallras enligt rutinen i avsnittet om gallring och radering.

Översätt avfallstrappan till data: minimera, återanvänd, återvinn

Avfallshierarkin infördes tydligare och mer samlat i miljöbalken genom proposition 2015/16:166, där lagändringarna föreslogs träda i kraft den 2 augusti 2016. Prioriteringsordningen är att avfall i första hand ska förberedas för återanvändning, i andra hand materialåtervinnas, i tredje hand återvinnas på annat sätt och i sista hand bortskaffas. Avsteg får göras om det ger bättre resultat för människors hälsa och miljön som helhet eller om metoden som hierarkin pekar ut får orimliga konsekvenser. Enligt EU:s avfallsdirektiv ska minst 55 procent av det kommunala avfallet förberedas för återanvändning och materialåtervinning till 2025, målet ökar till 60 procent 2030 och 65 procent 2035, separat insamling av textilier gäller från den 1 januari 2025 och högst 10 procent av kommunalt avfall får deponeras 2035. Från den 19 juli 2026 införs dessutom EU-regler som förbjuder företag att förstöra osålda kläder och skor, med krav på öppen redovisning av hur andra osålda varor hanteras.

Logiken bakom trappan går att låna som tankemodell för data, även om den juridiska prioritetsordningen gäller avfall och inte information. Förebyggande motsvarar att minska insamlingen: fråga vid varje nytt formulär, register eller ärende om uppgiften verkligen behövs för ändamålet, och om den kan samlas in senare eller i grövre form. Återanvändning motsvarar att nyttja data ni redan har i stället för att samla in på nytt – samma adress-, avtals- eller ärendeuppgift bör inte efterfrågas en gång till av samma person. Materialåtervinning motsvarar att använda samma uppgift för flera förenliga ändamål inom ramen för den lagliga grunden, i stället för att bygga separata register. Bortskaffande motsvarar gallring och radering och är, precis som i avfallshierarkin, det sista alternativet.

Nya e-tjänster och blanketter bör granskas mot befintliga datamängder innan de utformas, så att fält som redan finns i ett annat system inte samlas in på nytt. Äldre register som bara används för att ”det kan vara bra att ha” hör hemma i gallringsprövningen, inte i den löpande driften. När ett system avvecklas ska frågan ställas i tur och ordning: kan uppgifterna föras över till en befintlig lösning, kan de anonymiseras och användas för analys, eller ska de gallras?

För data finns ingen motsvarighet till avfallsdirektivets återvinningsmål, och ni kan inte återanvända er ur ett gallringsbeslut. Prioriteringsordningen är ett verktyg för att välja mellan alternativ – den upphäver inte kravet på ändamål, laglig grund och stöd i dokumenthanteringsplan för bevarande och gallring.

Planera säker återvinning och delning av data

Regeringen tog den 29 juni 2026 emot betänkandet från utredningen om integritetsfrämjande teknik i förvaltningen, ledd av den särskilde utredaren Erik Janzon. Utredningen föreslår att Myndigheten för digital förvaltning (Digg) får i uppdrag att ge stöd och vägledning om integritetsfrämjande teknik, att Skatteverket får ansvar för att utveckla och tillhandahålla förvaltningsgemensamma tjänster inom området och att utvalda myndigheter får i uppdrag att testa och utveckla användningen i sin verksamhet. Utredningen bedömer de samhällsekonomiska vinsterna av ökad användning av integritetsfrämjande teknik till 10–40 miljarder kronor per år, med särskilt stor potential där datadelning i dag är svår, exempelvis inom hälso- och sjukvården. Civilminister Erik Slottner säger i regeringens pressmeddelande: ”Sverige behöver bättre möjligheter att dela data i offentlig sektor. Det är avgörande för att ta tillvara AI:s möjligheter och samtidigt värna den personliga integriteten.”

Integritetsfrämjande teknik (PET, Privacy Enhancing Technologies) är ett samlingsnamn för flera typer av tekniker. Enligt regeringens beskrivning kan det handla om att ta bort eller dölja uppgifter som kan kopplas till en enskild person, att begränsa mängden data som delas och att analysera data utan att uppgifterna delas i läsbar form. Med vissa tekniker kan data bearbetas medan den är krypterad, vilket innebär att ingen kan se de underliggande uppgifterna. Poängen för er plan är att återvinning inte behöver innebära att rådata lämnar det egna systemet: ni kan dela resultat och mönster i stället för personuppgifter.

Intern återvinning är ofta den enklaste vinsten. Inventera vilka analyser, rapporter och underlag som redan tas fram i en enhet och som en annan enhet begär in på nytt, och lös det med behörigheter och interna tjänster i stället för nya utlämnanden. Vid varje steg utåt ska tre frågor besvaras: finns laglig grund för just den mottagaren och just det ändamålet, är uppgifterna allmänna handlingar som kan begäras ut, och finns rättigheter som hindrar delning?

Enligt Svenskt Näringslivs rapport om Data Act, Data Governance Act och Open Data Directive innebär reglerna inte att all data som myndigheter sitter på görs tillgänglig, bland annat gäller de inte data som är skyddad av upphovsrätt. Upphovsrättsligt skyddade data, liksom personuppgifter utan stöd för den nya behandlingen, kan därför inte bli fritt återvinningsbara bara för att de finns i ett system ni äger. Dokumentera i dataregistret vilka datamängder som är undantagna och varför.

Planera gallring och radering i alla led

Grunden för all radering är besluten, inte tekniken. För att kunna bevara eller gallra personuppgifter och annan information måste det finnas stöd i dokumenthanteringsplaner och gallringsbeslut. En datamängd utan sådant stöd ska inte hanteras med löpande städning efter eget omdöme – då riskerar ni att både radera sådant som ska bevaras och behålla sådant som borde ha gallrats. Se därför till att varje datamängd i registret har ett gallringsbeslut med tidpunkt, och att beslutet är känt av den som äger systemet.

Rutinen kan följa samma sex steg oavsett system: (1) Koppla datamängden till gallringsregeln och räkna fram gallringsdatumet. (2) Verkställ i samtliga system där uppgifterna finns – källsystem, integrationer, mellanlager, exportfiler, BI-verktyg, e-post och fysiska medier. (3) Kontrollera att även kopior omfattas, eftersom behandling inkluderar att spara, kopiera och arkivera. (4) Logga vad som raderades, när, av vem och med stöd av vilket beslut, så att åtgärden går att spåra i efterhand. (5) Verifiera med stickprov att uppgifterna faktiskt är borta och att de inte återkommer via nästa synkronisering. (6) Hantera fysiska medier separat: bestäm vem som får destruera dem, hur det dokumenteras och att utrustningen inte återanvänds med kvarvarande uppgifter.

Backup och leverantörer behöver särskild uppmärksamhet. Ett gallringsbeslut som bara verkställs i produktionssystemet ger inte avsedd effekt om kopior ligger kvar i säkerhetskopior som roteras i månader eller år – beskriv därför hur backupcykler förhåller sig till gallringsdatum och vad som händer med enskilda uppgifter som återskapas vid en återläsning. I avtal med leverantörer hör krav på radering vid avtalsslut, på intyg om genomförd radering och på besked om i vilket land uppgifterna lagras och raderas. Formulera raderingskraven som skarpa avtalsvillkor, inte som förhoppningar.

Avveckling är ett viktigt raderingstillfälle. När projekt avbryts eller system stängs ned upphör ofta den dagliga driften långt innan uppgifterna försvinner. Lägg därför in en avvecklingspunkt i rutinen: vid avslutat projekt eller avvecklat system ska datamängderna gås igenom mot registret, kvarvarande kopior hos leverantörer identifieras och gallring eller överföring till ett dokumenterat ändamål beslutas. För molntjänster med servrar utomlands behöver ni samtidigt kunna svara på var raderingen sker och vem som intygar den – Riksrevisionen beskriver just denna typ av molnberoende som en möjlig konflikt med säkerhetskraven.

Kontrollpunkter för säker radering av data

Följ upp, utbilda och justera

Utan inbyggd uppföljning går det inte att veta om gallringen faktiskt sker, om behörigheterna har städats eller om leverantören har raderat vid avtalsslut. Bestäm därför i förväg två eller tre mätpunkter – exempelvis andel datamängder med dokumenterat gallringsbeslut, andel verkställda gallringar enligt plan och andel avtal med skriftliga raderingskrav – och följ dem vid fasta tillfällen.

Rollerna behöver vara tydliga för att planen ska efterlevas. Utöver den personuppgiftsansvarige, som beskrivs i kartläggningen, krävs systemägare som svarar för respektive system, en registeransvarig för dataregistret och en kontakt för leverantörsfrågor. Som stöd finns de statliga stödmyndigheterna; Riksrevisionen nämner Myndigheten för digital förvaltning (Digg), Upphandlingsmyndigheten och Kammarkollegiet, och Digg ansvarar för att samordna och stödja den gemensamma digitaliseringen av offentlig förvaltning. Riksrevisionens pågående granskning av myndigheternas it-förvaltning har preliminär publicering i november 2026 och kan komma att peka ut ytterligare krav på området.

Utbildningsbehovet följer av att behandling är ett brett begrepp. Det räcker inte att utbilda systemägare och dataskyddsombud. Den som lägger en kopia i en mapp, vidarebefordrar ett ärende eller exporterar en lista fattar i praktiken beslut som påverkar både gallring och delning. Kort, återkommande utbildning kopplad till era egna exempel från dataregistret ger bättre effekt än en generell genomgång vid anställning.

Planen ska revideras när förutsättningarna ändras, inte enligt en fast kalender. Utlösare att skriva in i rutinen: nytt eller avvecklat system, ny leverantör eller ny molntjänst, ändrad lagstiftning eller nya gallringsbeslut, omorganisation där personuppgiftsansvarig eller systemägare byts, samt resultat från uppföljningen som visar att en gallringsregel inte går att verkställa tekniskt. Vid varje revidering ska dataregistret uppdateras i samma veva – annars mäter uppföljningen något annat än det som faktiskt gäller.