GDPR för universitet och högskolor: den kompletta guiden för lärosäten (2026)

En källbelagd översikt över dataskydd i högre utbildning för dataskyddsombud, IT och bibliotek: vad dataskyddsförordningen kräver av ett lärosäte, hur andra europeiska lärosäten tillämpar den, vad tillsynsmyndigheter har gett universitet och skolor sanktionsavgifter för, och en tolvmånadersplan för att omsätta kraven i praktiken. Varje avsnitt länkar till en fördjupande guide.

Publicerad 9 oktober 2026 · Källor kontrollerade 9 oktober 2026

Finns även på: English · Nederlands · Norsk · Suomi · Dansk · Français · Español · Português

1. Vad betyder GDPR för ett lärosäte?

GDPR gäller för alla universitet och högskolor i EU och EES, statliga som enskilda, eftersom alla lärosäten behandlar personuppgifter om studenter, sökande, anställda, forskningspersoner, alumner, biblioteksanvändare och besökare. Ett statligt lärosäte är oftast en myndighet, vilket påverkar tre saker: vilka rättsliga grunder det kan använda, skyldigheten att utnämna ett dataskyddsombud och, i vissa länder, om det kan påföras sanktionsavgifter.

Högre utbildning är en krävande miljö för dataskydd. Ett lärosäte är på samma gång arbetsgivare, utbildningsanordnare, examinerande myndighet, forskningsorganisation, bibliotek, hyresvärd och ibland samarbetspart inom hälso- och sjukvården. Fakulteter och forskargrupper väljer ofta sina egna verktyg. Tusentals nya studenter börjar varje år, och många anställda arbetar över gränserna mellan lärosäten och länder. GDPR har inga särskilda regler för lärosäten, men förordningen lämnar utrymme för nationell rätt, och nationella lagar om högre utbildning och arkiv styr en stor del av det dagliga arbetet.

Den här guiden ger en översikt över hela området. Själva förordningstexten finns på vår sida GDPR förklarad. För varje ämne nedan länkar vi till en fördjupande guide, en mall eller ett kostnadsfritt verktyg.

2. Vilken rättslig grund använder ett lärosäte?

De flesta statliga lärosäten i Europa stödjer sig på artikel 6.1 e GDPR: behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Enligt artikel 6.3 ska den grunden fastställas i unionsrätten eller i nationell rätt, så lärosätet hänvisar till den nationella lag som ger det dess uppgifter, till exempel högskolelagen. Rättslig förpliktelse (art. 6.1 c) täcker lagstadgade skyldigheter.

Uppgift av allmänt intresse, förankrad i nationell rätt

Enligt artikel 6.3 ska grunden för behandling enligt punkt 1 c och e ”fastställas i enlighet med” unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Lärosätenas integritetsinformation visar hur det fungerar i praktiken:

• Universitetet i Oslo grundar behandlingen av studentuppgifter på artikel 6.1 e tillsammans med 2-1 och 2-8 §§ i den norska universitets- och högskolelagen.
• Helsingfors universitet anger att behandlingen ”is based on the University's statutory tasks carried out in the public interest (section 2 of the Universities Act)” (grundar sig på universitetets lagstadgade uppgifter av allmänt intresse enligt 2 § universitetslagen).
• Stockholms universitet skriver att den vanligaste rättsliga grunden är ”a task of public interest in accordance with Article 6(1)(e)” (en uppgift av allmänt intresse enligt artikel 6.1 e).
• Uppsala universitet påpekar att behandlingen i studentärenden ”is often an aspect of the exercise of official authority” (ofta är ett led i myndighetsutövning) och att behandling i forskning ofta sker i allmänhetens intresse.
• Trinity College Dublin grundar forskning på artikel 6.1 e och den irländska Universities Act 1997, enligt vilken främjande av forskning är ”a primary object and function of the University” (ett av universitetets huvudsakliga syften och uppgifter).
• Universitat de Barcelona använder allmänt intresse för uppgifter om studentmobilitet och hänvisar till den spanska organiska lagen 2/2023 om universitetssystemet (LOSU) och den katalanska universitetslagen.

En och samma information kan ange flera grunder. Université Paris-Saclays information till sökande (september 2026) anger uppdraget av allmänt intresse för hanteringen av ansökningar, en rättslig förpliktelse för registreringen och berättigat intresse för inbjudningar till examenshögtider. Att ange grund per ändamål är god praxis och gör det lättare att hålla registerförteckningen aktuell.

Begränsningen av berättigat intresse

Enligt sista stycket i artikel 6.1 ska led f, berättigat intresse, ”inte gälla för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter”. Skäl 47 förklarar att det är lagstiftarens sak att genom lag tillhandahålla den rättsliga grunden för myndigheters behandling. EDPB:s riktlinjer 1/2024 om berättigat intresse (version 1.0, publicerad för samråd) tillägger att myndigheter bara kan stödja sig på grunden ”in exceptional and limited cases” (i undantagsfall och i begränsad utsträckning) för verksamhet som inte är kopplad till deras särskilda uppgifter, om nationell rätt tillåter det, och att detta bör dokumenteras internt.

Validemics analys I praktiken innebär det att ett statligt lärosäte inte bör använda berättigat intresse för utbildning, examination, studieadministration eller forskning. Det kan vara försvarbart för verkligt perifer verksamhet, som vissa alumnevenemang eller en campusbutik, beroende på nationell rätt. Om ni använder grunden, gör och spara en intresseavvägning. Vår mall för intresseavvägning (på engelska) är gjord för detta.

Varför samtycke är en svag grund för kärnverksamheten

Enligt skäl 43 bör samtycke inte utgöra giltig rättslig grund när det råder ”betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet”. Universitetet i Oslos vägledning för anställda tillämpar detta på anställningsförhållanden och konstaterar att universitetet som arbetsgivare ”would normally not be able to use consent as a processing basis for employees” (normalt inte kan använda samtycke som rättslig grund för anställda). Samma logik gäller studenter som måste använda ett system för att klara en kurs. Samtycke har fortfarande en plats för frivilliga aktiviteter: nyhetsbrev, foton i marknadsföring eller ett frivilligt pilotverktyg. EDPB:s riktlinjer om samtycke anger villkoren. Valet av rättslig grund för forskning behandlas i vår guide rättslig grund för forskning enligt GDPR.

3. Vems personuppgifter behandlar ett lärosäte?

Ett lärosäte behandlar uppgifter om minst sju grupper av personer. Varje grupp har olika ändamål, rättsliga grunder, bevarandetider och risker, så det är praktiskt att ordna integritetsinformation, registerförteckning och gallringsplaner per grupp. Tabellen är en typisk utgångspunkt, inte en regel: kontrollera er egen nationella rätt.

4. Känsliga personuppgifter och uppgifter om lagöverträdelser

Artikel 9.1 förbjuder behandling av särskilda kategorier av personuppgifter om inte ett undantag i artikel 9.2 gäller. Kategorierna är ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, genetiska uppgifter, biometriska uppgifter för att identifiera en person, uppgifter om hälsa samt uppgifter om sexualliv eller sexuell läggning. Lärosäten behandlar alla dessa.

Vanliga exempel på lärosäten:

• Hälsouppgifter för anpassningar i studierna, anpassad examination, sjukfrånvaro och företagshälsovård.
• Biometriska uppgifter i vissa verktyg för tentamensövervakning, ansiktsigenkänning och passersystem.
• Medlemskap i fackförening vid löneavdrag.
• Forskningsdata inom medicin, psykologi, samhällsvetenskap och statsvetenskap, där känsliga uppgifter ofta är själva forskningsobjektet.

För lärosätets kärnuppgifter är de vanligaste undantagen artikel 9.2 b (arbetsrätt), 9.2 g (viktigt allmänt intresse på grundval av lag) och 9.2 j (forskning, med skyddsåtgärder enligt artikel 89). Universitetet i Oslo anger att för känsliga uppgifter om studenter ”the legal basis is Article 9 g) of the GDPR” (är den rättsliga grunden artikel 9.2 g GDPR), läst tillsammans med den nationella lagen. Vart och ett av undantagen bygger på unionsrätten eller nationell rätt, så den exakta vägen skiljer sig mellan länderna.

Fällande domar i brottmål och lagöverträdelser regleras separat i artikel 10, som bara tillåter behandling under kontroll av myndighet eller när unionsrätten eller nationell rätt tillåter det. Det har betydelse för kontroll av belastningsregister för studenter på lärar-, vård- och socionomutbildningar, som oftast bygger på nationell lag.

5. Behöver ett lärosäte ett dataskyddsombud?

Ja, om det är en myndighet eller ett offentligt organ. Enligt artikel 37.1 a krävs ett dataskyddsombud när ”behandlingen genomförs av en myndighet eller ett offentligt organ, förutom när detta sker som en del av domstolarnas dömande verksamhet”. Enskilda lärosäten behöver oftast också ett, eftersom behandling av känsliga personuppgifter i stor omfattning eller regelbunden och systematisk övervakning av personer är vanligt i högre utbildning (art. 37.1 b och c).

Juridiska fakulteten vid Lissabons universitet är ett typiskt exempel: enligt dess integritetspolicy har fakulteten, ”Atendendo à obrigação legal que resulta da alínea a) do n.º 1 do artigo 37.º do RGPD” (med hänsyn till den rättsliga förpliktelsen i artikel 37.1 a GDPR), utnämnt ett dataskyddsombud. Artikel 37.3 tillåter att flera myndigheter delar på ett ombud, med hänsyn till deras organisation och storlek, vilket vissa mindre lärosäten utnyttjar.

Vad dataskyddsombudet gör, och inte gör

Enligt artikel 39.1 ska dataskyddsombudet åtminstone informera och ge råd till lärosätet och dess anställda, övervaka efterlevnaden (inklusive ansvarsfördelning, medvetandehöjande åtgärder, utbildning och granskningar), ge råd om konsekvensbedömningar samt samarbeta med och vara kontaktpunkt för tillsynsmyndigheten. Universiteit Utrecht sammanfattar: ”The DPO's main job is to oversee the application and observance of the GDPR within the organisation.” (Dataskyddsombudets huvuduppgift är att övervaka att GDPR tillämpas och följs inom organisationen.)

Dataskyddsombudet ger råd, lärosätet fattar besluten. Artikel 38 skyddar rollen: ombudet ska ”på ett korrekt sätt och i god tid” delta i alla frågor som rör skyddet av personuppgifter, ska få de resurser som krävs, ”får inte avsättas eller bli föremål för sanktioner” för att ha utfört sina uppgifter och ska rapportera direkt till den högsta förvaltningsnivån. Kontaktuppgifterna ska offentliggöras och meddelas tillsynsmyndigheten (art. 37.7). De flesta lärosäten publicerar en funktionsbrevlåda, till exempel fg@uva.nl vid Universiteit van Amsterdam eller dataskyddsombud@uu.se vid Uppsala universitet.

Artikel 29-gruppens riktlinjer om dataskyddsombud (WP243 rev.01), som EDPB har ställt sig bakom, säger att ombudet inte kan ha en befattning där hen bestämmer ändamål och medel, och nämner IT-chefen och HR-chefen som exempel på roller som kan innebära en intressekonflikt. I EDPB:s samordnade tillsynsinsats om dataskyddsombud 2023 fann 25 myndigheter bland annat ombud med otillräckliga resurser och ombud som inte hade fått alla de uppgifter som GDPR kräver.

Validemics analys På ett stort lärosäte kan ett enda dataskyddsombud inte granska varje verktyg, varje information och varje projekt. De lärosäten som klarar det bäst bygger ett nätverk: dataskyddskontakter på varje fakultet, en integritetsspecialist i forskningsstödet och IT-säkerhet som sköter den tekniska granskningen. Ombudet ger då råd i de svåra fallen och övervakar helheten.

6. Registerförteckning (artikel 30)

Varje lärosäte ska föra ett register över behandlingar (registerförteckning). Undantaget i artikel 30.5 för organisationer med färre än 250 anställda hjälper inte: det gäller inte när behandlingen ”inte är tillfällig” eller omfattar känsliga personuppgifter, vilket gäller alla lärosäten. Förteckningen ska ange ändamål, kategorier av personuppgifter och registrerade, mottagare, överföringar, gallringsfrister och säkerhetsåtgärder.

Förteckningen är också ett arbetsverktyg. KU Leuven upplyser studenterna om att ”specific retention periods per processing activity are included in the register of processing activities” (bevarandetider per behandling finns i registret över behandlingar), vilket kopplar förteckningen direkt till gallringsplanen. Universidad Complutense de Madrid publicerar sitt Registro de Actividades de Tratamiento på webben, så att vem som helst kan se vad universitetet behandlar och varför.

En praktisk struktur är en post per ändamål, grupperad efter grupp av registrerade, med en kolumn för varje system och leverantör som berörs. Vår mall för registerförteckning för lärosäten och Word-mallen (på engelska) följer den strukturen. På svenska finns vår mall för registerförteckning.

7. Öppenhet och information till de registrerade

Enligt artiklarna 13 och 14 ska lärosätet, när uppgifterna samlas in (eller inom en månad om de kommer från någon annan), berätta vem som är personuppgiftsansvarig, hur man når dataskyddsombudet, ändamål och rättslig grund, mottagare, överföringar, bevarandetid och de registrerades rättigheter. Lärosäten publicerar oftast informationen i lager: en allmän information och därefter en per grupp eller större process.

Exempel värda att titta på:

• Universiteit van Amsterdam anger tydligt vem som är personuppgiftsansvarig: ”The Executive Board of the UvA is the controller” (UvA:s styrelse är personuppgiftsansvarig).
• KU Leuven har en separat information för forskningspersoner, vid sidan av informationen till studenter.
• Université Paris-Saclay publicerar en information för en enda process (webbansökningar) med rättslig grund per ändamål och bevarandetid per kategori.

För forskningspersoner tillåter artikel 14.5 b ett undantag när det skulle vara omöjligt eller kräva oproportionerligt stora ansträngningar att informera varje person, särskilt vid forskning, men lärosätet måste då göra informationen allmänt tillgänglig och vidta andra åtgärder. Vår mall för information till forskningspersoner (på engelska) går igenom detaljerna.

8. De registrerades rättigheter

Studenter, anställda, sökande och forskningspersoner har rätt till tillgång, rättelse, radering, begränsning, dataportabilitet (vid samtycke och avtal) och att invända (vid uppgift av allmänt intresse). Lärosätet ska svara ”senast en månad efter att ha mottagit begäran”, med möjlighet att förlänga med ytterligare två månader i komplicerade fall (art. 12.3).

Tre frågor dyker upp oftare på lärosäten än på andra håll:

1. Registerutdrag i tvister. Studenter som ifrågasätter ett betyg och anställda i arbetsrättsliga tvister begär ofta ut allt, även e-post. Vår guide om registerutdrag på lärosäten (på engelska) behandlar tentamenssvar, e-post och forskningsdata, med svarsmallar. EDPB:s riktlinjer 01/2022 om rätten till tillgång är den viktigaste referensen.
2. Radering kontra arkivering. Statliga lärosäten måste ofta bevara handlingar enligt arkivlagstiftningen. Köpenhamns universitet anger att det finns ”no right to erasure of information that has been filed in the University's archives in accordance with the Archives Act” (ingen rätt till radering av uppgifter som har arkiverats i universitetets arkiv enligt arkivlagen). Undantagen i artikel 17.3 b och d är grunden för detta.
3. Allmänna handlingar. Särskilt i Sverige och Finland kan vem som helst begära ut handlingar som förvaras hos statliga lärosäten enligt offentlighetsprincipen. Lunds universitet påpekar att allmänna handlingar bevaras enligt tryckfrihetsförordningen och arkivlagen. Dataskyddsarbetet och informationshanteringen behöver samordnas.

Artikel 22 får också större betydelse när automatiserade verktyg sprids. Beslut som enbart grundas på automatiserad behandling och som i betydande grad påverkar en person, till exempel ett automatiskt avslag på en ansökan, är bara tillåtna i begränsade fall och med skyddsåtgärder, bland annat mänskligt ingripande.

9. När krävs en konsekvensbedömning?

En konsekvensbedömning avseende dataskydd krävs före behandling som ”sannolikt leder till en hög risk” för enskilda (art. 35.1). Riktlinjerna WP248, som EDPB har ställt sig bakom, anger nio kriterier, och behandling som uppfyller två av dem kräver i regel en konsekvensbedömning. I högre utbildning blir övervakning av studenter, känsliga personuppgifter, ny teknik och det ojämlika förhållandet mellan lärosäte och student ofta tillsammans två kriterier eller fler.

Typisk behandling på lärosäten som i regel kräver en konsekvensbedömning: digital tentamensövervakning, lärandeanalys och system för tidiga varningar, AI-verktyg som bedömer eller ger återkoppling på studenters arbeten, stora forskningsprojekt med hälsouppgifter, kamerabevakning på campus samt nya student- eller HR-system. Den personuppgiftsansvarige ska rådfråga dataskyddsombudet när en konsekvensbedömning görs (art. 35.2).

University of Edinburgh visar ett fungerande intag: medarbetare mejlar dataskyddsombudet och ”will be assigned an assessment through our online tool” (tilldelas en bedömning i universitetets webbverktyg), och en befintlig konsekvensbedömning för samma system kan återanvändas. Återanvändning är viktig: om tio institutioner inför samma plattform är en välskött konsekvensbedömning med lokala bilagor bättre än tio ofullständiga.

Börja med vårt kostnadsfria verktyg för förhandsbedömning och använd sedan vår mall för konsekvensbedömning. För särskilda högriskområden, se digitala tentamina och övervakning och lärandeanalys (på engelska).

10. Personuppgiftsbiträden och leverantörsavtal

När en leverantör behandlar personuppgifter för lärosätets räkning får lärosätet bara anlita personuppgiftsbiträden som ger ”tillräckliga garantier” och måste ha ett avtal som uppfyller artikel 28.3. Det gäller lärplattformen, studiedokumentationssystemet, molnlagringen, enkätverktygen och AI-tjänsterna, och även kostnadsfria verktyg som lärare börjar använda på eget initiativ.

Leverantörsdelen av lärosätets dataskyddsarbete omfattar oftast:

• En rollanalys: är leverantören personuppgiftsbiträde, personuppgiftsansvarig för vissa ändamål (till exempel produktutveckling eller modellträning) eller gemensamt personuppgiftsansvarig? Se vår guide om avtal mellan gemensamt personuppgiftsansvariga för forskningskonsortier.
• Ett personuppgiftsbiträdesavtal som granskats mot alla åtta punkterna i artikel 28.3. Vår PUB-avtalskontroll stämmer av ett utkast mot varje punkt, och vår mall för personuppgiftsbiträdesavtal finns på svenska.
• En aktuell lista över underbiträden med platser, och ett sätt att upptäcka och invända mot ändringar. Vårt verktyg för bevakning av underbiträden hjälper till med bevakningen.
• Säkerhetsunderlag som en ISO/IEC 27001-certifiering eller en SOC 2-rapport, kontrollerat med avseende på omfattning.
• För AI-funktioner: om lärosätets uppgifter används för träning och vilka AI-leverantörer som är underbiträden.

Vår översiktsguide om leverantörsgranskning för lärosäten (på engelska) beskriver hela processen från intag till avslut, och våra GDPR-faktablad sammanfattar vad leverantörer som Canvas, Moodle, Microsoft 365, Google Workspace, Zoom och Turnitin redovisar offentligt. Verktyg som inte är godkända är ett separat problem, se skugg-IT och icke godkända AI-verktyg.

Granskar ni en leverantör just nu? Validemic stämmer av leverantörens dokument mot GDPR och AI-förordningen och anger källa för varje bedömning. Testa demomiljön

11. Överföring till tredjeland

Överföring av personuppgifter till länder utanför EES är bara tillåten enligt kapitel V: ett beslut om adekvat skyddsnivå, lämpliga skyddsåtgärder som standardavtalsklausuler (SCC) tillsammans med en överföringsbedömning, eller ett snävt undantag. Fjärråtkomst från ett tredjeland, till exempel från en leverantörs supportpersonal, räknas också som överföring, så lagring inom EU avgör inte ensamt frågan.

För amerikanska leverantörer omfattar beslutet om adekvat skyddsnivå för ramverket för dataskydd mellan EU och USA (genomförandebeslut (EU) 2023/1795) organisationer på DPF-listan. Ett överklagande av tribunalens dom som fastställde beslutet pågår (mål C-703/25 P), så lärosäten bör veta vilka leverantörer som är beroende av det. Artikel 49.3 anger dessutom att undantagen för samtycke och avtal inte gäller för myndigheter när de utövar sina offentliga befogenheter, vilket begränsar dem för statliga lärosäten.

Överföringar har stått i centrum i flera ärenden inom utbildning. År 2022 förbjöd danska Datatilsynet Helsingørs kommun att använda Chromebooks och Google Workspace i skolorna, bland annat för överföringar till tredjeland. Förbudet upphävdes senare och ersattes med förelägganden. IMY påförde Umeå universitet en sanktionsavgift i ett ärende som bland annat gällde känsliga uppgifter som lagrats i en molntjänst utan tillräckligt skydd.

Läs mer: ramverket för dataskydd mellan EU och USA för lärosäten, mall för överföringsbedömning, det kostnadsfria verktyget för överföringsmekanismer och CLOUD Act och digital suveränitet.

12. Säkerhet och personuppgiftsincidenter

Artikel 32 kräver en säkerhet som är lämplig i förhållande till risken. Enligt artikel 33 ska lärosätet anmäla en personuppgiftsincident till tillsynsmyndigheten utan onödigt dröjsmål och, om så är möjligt, ”inte senare än 72 timmar efter att ha fått vetskap om den”, såvida det inte är osannolikt att incidenten medför en risk. Om risken är hög ska även de berörda informeras (art. 34).

De 72 timmarna börjar löpa när lärosätet får vetskap om incidenten, inte när dataskyddsombudet får höra talas om den, så den interna vägen måste vara snabb och känd av alla anställda. Lärosätenas rutiner visar vanliga mönster:

• Aalto-universitetet: en misstänkt incident ”must be immediately reported by contacting the university's information security team” (ska omedelbart rapporteras till universitetets informationssäkerhetsteam), och dataskyddsombudet sköter anmälan till Dataombudsmannens byrå.
• Karolinska Institutet ger medarbetarna vardagliga exempel, som e-post till fel mottagare, förlorade uppgifter och kapade inloggningar.
• Trinity College Dublin ber medarbetarna rapportera till dataskyddsenheten utan dröjsmål och gör klart att en rapport om en incident inte behandlas som en disciplinfråga.
• NTNU skiljer säkerhetsincidenter (till universitetets SOC) från avvikelserapporter om integritet och påpekar att en rapport ”must describe the action, not the person who performed it” (ska beskriva handlingen, inte personen som utförde den).

Enligt artikel 33.5 ska varje incident dokumenteras, även de som inte anmäls till myndigheten. EDPB:s riktlinjer 9/2022 förklarar när anmälan krävs. Vår guide om incidenthantering, verktygslådan för incidenthantering (på engelska) och klockan för incidentanmälan hjälper er att förbereda er. Lärosäten kan också omfattas av nationella NIS2-regler, se NIS2-direktivet förklarat och NIS2 och lärosäten (på engelska).

13. Gallring och arkivering

Personuppgifter får inte sparas längre än vad som är nödvändigt för ändamålen (lagringsminimering, art. 5.1 e), men uppgifter som bevaras enbart för arkivändamål av allmänt intresse eller för forskning får sparas längre med skyddsåtgärder. För statliga lärosäten avgör den nationella arkivlagstiftningen ofta vad som ska bevaras och hur länge, så gallringsplanen bör tas fram tillsammans med arkivarien, inte bara med dataskyddsombudet.

Exempel på hur nationella regler styr bevarandet:

• Lunds universitet förklarar att personuppgifter enligt arkivlagen (1990:782) får bevaras ”in some cases indefinitely in the University's archive” (i vissa fall för all framtid i universitetets arkiv).
• Université Paris-Saclay bevarar uppgifter om antagna sökande i 50 år enligt franska arkivregler: ”Pour les candidats admis, elles sont ensuite conservées pour une durée de 50 ans” (för antagna sökande bevaras de därefter i 50 år).
• Universiteit Utrecht bevarar rå forskningsdata ”for at least ten years after publication of the research results” (i minst tio år efter att forskningsresultaten publicerats), i enlighet med regler om god forskningssed.

Det är i leverantörernas system som gallringen oftast fallerar: en post som raderats i studiedokumentationssystemet kan finnas kvar i ett enkätverktyg, en videoplattform eller i säkerhetskopior. Vår mall för gallringsplan (Word-fil, på engelska) har en kolumn för de system som innehåller varje typ av handling.

14. Forskning och artikel 89

GDPR är förhållandevis forskningsvänlig. Artikel 9.2 j tillåter att känsliga personuppgifter behandlas för forskning på grundval av unionsrätten eller nationell rätt, och artikel 89.1 kräver skyddsåtgärder, särskilt uppgiftsminimering och pseudonymisering när det är möjligt. Enligt artikel 89.2 får nationell rätt begränsa vissa rättigheter om de allvarligt skulle försvåra forskningen.

Hur detta fungerar skiljer sig mycket mellan länderna, så en översiktsguide kan bara ge huvuddragen. Några exempel:

• Universiteit Utrecht: ”Conducting scientific research is a task of public interest entrusted to the UU” (att bedriva vetenskaplig forskning är en uppgift av allmänt intresse som anförtrotts universitetet), och uttryckligt samtycke inhämtas för känsliga personuppgifter.
• Köpenhamns universitet: utan samtycke behandlas känsliga forskningsdata med stöd av artikel 6.1 e och 10 § i den danska dataskyddslagen, men bara ”if the processing is aimed at statistical or scientific studies with potential public interest” (om behandlingen sker för statistiska eller vetenskapliga studier av möjligt allmänt intresse).
• Trinity College Dublin använder artikel 9.2 j med skyddsåtgärder enligt artikel 89.1, men påpekar att de irländska reglerna för hälsoforskning fortfarande kräver uttryckligt samtycke för hälsoforskning.
• Biblioteket vid University College Dublin påminner forskarna om att GDPR ”applies to any research that uses personal data, including scientific research and studies in the arts and humanities” (gäller all forskning som använder personuppgifter, även vetenskaplig forskning och studier inom humaniora).
• I Norge använder lärosäten med avtal Sikts anmälningsformulär. Sikt beskriver sin roll som att ”to advise and guide you on how to process personal data lawfully” (ge råd och vägledning om hur personuppgifter behandlas lagligt).

Studenter som skriver examensarbeten är en vanlig blind fläck. Uppsala universitet betraktar universitetet som personuppgiftsansvarigt för examensarbeten och upplyser studenterna om att ”when processing sensitive personal data, consent must be obtained before the processing begins” (vid behandling av känsliga personuppgifter måste samtycke inhämtas innan behandlingen påbörjas).

Fördjupa dig i rättslig grund för forskning, information till forskningspersoner, avtal mellan gemensamt personuppgiftsansvariga, avtal om datadelning, var forskningsdata ska lagras och GDPR och AI-verktyg i forskningen (de fyra sista på engelska).

15. AI-verktyg och AI-förordningen

GDPR gäller för AI-verktyg på samma sätt som för all annan behandling: en rättslig grund, ett personuppgiftsbiträdesavtal, kontroll av överföringar och ofta en konsekvensbedömning. AI-förordningen (förordning (EU) 2024/1689) lägger till separata skyldigheter för lärosäten som tillhandahållare. Den ersätter inte GDPR, och de flesta AI-verktyg som används på lärosäten väcker i dag fler frågor enligt GDPR än enligt AI-förordningen.

AI-förordningen har ändrats genom förordning (EU) 2026/1744 (den digitala omnibusen om AI), i kraft sedan den 27 juli 2026. Den 9 oktober 2026 ser läget ut så här för lärosäten:

Validemics analys De GDPR-frågor som bör ställas om varje AI-verktyg är: använder leverantören lärosätets uppgifter för att träna modeller, skiljer sig detta mellan kostnadsfria versioner och licenser för lärosäten, vilka leverantörer av AI-modeller är underbiträden och var finns de, och fattar eller stödjer verktyget beslut om studenter som kan omfattas av artikel 22? Lärosäten som besvarar de frågorna nu kommer att ha mycket lättare att uppfylla högriskkraven 2027.

Läs mer: AI-förordningen för lärosäten (på engelska), AI-förordningen förklarad, verktyget för AI-förordningen inom utbildning, vår mall för AI-policy, AI-verktyg som godkänts vid europeiska lärosäten och AI-tjänster som drivs av nordiska lärosäten. Bibliotek som förhandlar om AI-klausuler i licensavtal för e-resurser bör läsa bibliotekens licensavtal, AI och text- och datautvinning.

16. Tillsyn: vad universitet och skolor har fått sanktionsavgift för

Tillsynsmyndigheterna har gett sanktionsavgifter till lärosäten, inte bara till företag. Om ett offentligt organ kan påföras sanktionsavgift avgörs av nationell rätt: enligt artikel 83.7 får varje medlemsstat fastställa regler för ”huruvida och i vilken utsträckning administrativa sanktionsavgifter kan påföras offentliga myndigheter och organ”. Ärendena nedan är hämtade från myndigheternas egna sidor.

Validemics analys Mönstret är tydligt. Lärosäten får sällan sanktionsavgifter för ovanliga rättsfrågor. De får det för bristande grundläggande säkerhet (e-post, webbservrar), för att ha infört övervaknings- eller biometrisk teknik utan korrekt rättslig grund och konsekvensbedömning, och för att ha lagt känsliga uppgifter i tjänster som inte hade granskats. Allt detta går att förebygga med grunderna i planen nedan.

17. Vem gör vad på ett lärosäte

GDPR lägger ansvaret på lärosätet som personuppgiftsansvarig, och i praktiken på ledningen och verksamhetsägarna för varje process. Dataskyddsombudet ger råd och övervakar. Det mesta av själva arbetet görs av andra enheter, och luckor uppstår där varje enhet tror att en annan har kontrollerat något.

Skriv ner fördelningen. En kort ansvarsmatris som ledningen har beslutat om förebygger de flesta oklarheter och gör det möjligt för dataskyddsombudet att övervaka. Våra guider om låntagarnas integritet och tillgänglighet vid upphandling behandlar två områden där ansvaret ofta är oklart.

18. En tolvmånadersplan för efterlevnad

Planen nedan passar ett lärosäte som har grunderna på papperet men behöver få dem att fungera. Anpassa ordningen efter era egna brister: ett lärosäte som nyligen haft en incident börjar med säkerheten. Varje punkt bör resultera i ett dokument eller ett beslut.

Källor

1. Förordning (EU) 2016/679 (dataskyddsförordningen), texten i EUT, skälen 43 och 47, artiklarna 5, 6, 9, 10, 12–14, 17, 22, 28, 30, 32–39, 49, 83, 88 och 89 (hämtad 9 oktober 2026).
2. Förordning (EU) 2024/1689 (AI-förordningen), artiklarna 4, 5, 26, 27, 50 och bilaga III, och förordning (EU) 2026/1744 (digital omnibus om AI).
3. Kommissionens genomförandebeslut (EU) 2023/1795 (ramverket för dataskydd mellan EU och USA) och överklagandet i mål C-703/25 P.
4. EDPB:s riktlinjer 1/2024 om behandling på grundval av artikel 6.1 f GDPR, version 1.0, punkterna 98 och 99 (hämtad 9 oktober 2026).
5. EDPB:s riktlinjer 05/2020 om samtycke (hämtad 9 oktober 2026).
6. Artikel 29-gruppen, riktlinjer om dataskyddsombud (WP243 rev.01) (hämtad 9 oktober 2026).
7. EDPB:s samordnade tillsynsinsats om utnämning och ställning för dataskyddsombud, rapport publicerad januari 2024 (hämtad 9 oktober 2026).
8. Artikel 29-gruppen, riktlinjer om konsekvensbedömning (WP248 rev.01) (hämtad 9 oktober 2026).
9. EDPB:s riktlinjer 01/2022 om rätten till tillgång (hämtad 9 oktober 2026).
10. EDPB:s riktlinjer 9/2022 om anmälan av personuppgiftsincidenter (hämtad 9 oktober 2026).
11. Data Protection Commission (Irland): Inquiry into University College Dublin och beslutet av den 17 december 2020 (hämtad 9 oktober 2026).
12. Garante per la protezione dei dati personali: beslut av den 16 september 2021 om Università Bocconi (docweb 9703988) och nyhetsbrev av den 18 februari 2020 (docweb 9266789) (hämtad 9 oktober 2026).
13. IMY: Umeå universitet och Gymnasienämnden i Skellefteå kommun (hämtad 9 oktober 2026).
14. Autoriteit Persoonsgegevens: HAN University of Applied Sciences fined EUR 175,000 (hämtad 9 oktober 2026).
15. Datatilsynet (Danmark): beslut av den 14 juli 2022 i Chromebook-ärendet (Helsingør) (hämtad 9 oktober 2026).
16. ICO: Essex school reprimanded after using facial recognition technology for canteen payments, juli 2024 (hämtad 9 oktober 2026).
17. Sikt: Notification form for personal data (hämtad 9 oktober 2026).
18. Universitetet i Oslo: Declaration on data protection (students) och Conditions for processing personal data (hämtad 9 oktober 2026).
19. Uppsala universitet: Data protection policy och GDPR in degree projects (hämtad 9 oktober 2026).
20. Lunds universitet: Processing of personal data at Lund University (hämtad 9 oktober 2026).
21. Stockholms universitet: Processing of personal data at Stockholm University (hämtad 9 oktober 2026).
22. Karolinska Institutet: Report information security incidents and personal data breaches (hämtad 9 oktober 2026).
23. Helsingfors universitet: Data protection (hämtad 9 oktober 2026).
24. Aalto-universitetet: Aalto University data protection policy (hämtad 9 oktober 2026).
25. Köpenhamns universitet: Privacy policy (hämtad 9 oktober 2026).
26. NTNU: Information security: digital security incidents and deviations (hämtad 9 oktober 2026).
27. KU Leuven: Processing of student data och Processing of research participants' data (hämtad 9 oktober 2026).
28. Universiteit van Amsterdam: Privacy statement (hämtad 9 oktober 2026).
29. Universiteit Utrecht: Privacy statement for participants in scientific research och Data protection officer (hämtad 9 oktober 2026).
30. Trinity College Dublin: Legal basis for research och Data breaches (hämtad 9 oktober 2026).
31. University College Dublin Library: Research data management: GDPR (hämtad 9 oktober 2026).
32. University of Edinburgh: Data protection impact assessments (hämtad 9 oktober 2026).
33. Université Paris-Saclay: information om behandling av sökandes uppgifter (eCandidat), september 2026 (hämtad 9 oktober 2026).
34. Universidad Complutense de Madrid: Delegado de Protección de Datos (hämtad 9 oktober 2026).
35. Universitat de Barcelona: information om dataskydd (SICUE-mobilitet) (hämtad 9 oktober 2026).
36. Universidade de Lisboa, Faculdade de Direito: Política de Privacidade (2021) (hämtad 9 oktober 2026).

Om den här sidan

Källorna kontrollerades den 9 oktober 2026. Vi har läst GDPR i den version av EUT som publiceras av Europeiska unionens publikationsbyrå, de dokument från EDPB och artikel 29-gruppen som anges ovan, tillsynsmyndigheternas egna beslutssidor och dataskyddssidorna hos de lärosäten som citeras. Citat från förordningstexten återges i den officiella svenska lydelsen. Citat från lärosätenas sidor återges på originalspråket med en svensk översättning inom parentes. Exemplen från lärosäten visar hur en institution tillämpar GDPR enligt sin egen nationella rätt. De är inte mallar för alla länder. Tidslinjen för AI-förordningen och ramverket för dataskydd mellan EU och USA kan ändras, och vi uppdaterar sidan när det sker. Vår egen tolkning är märkt som Validemics analys. Sidan är allmän information, inte juridisk rådgivning. Om du hittar ett fel eller en inaktuell uppgift, kontakta oss så rättar vi det.