En användarpolicy (på engelska acceptable use policy) talar om för alla som använder era system vad de får göra, vad de inte får göra och vad företaget får kontrollera. Acceptable Use Express är ett självbetjäningsverktyg som hjälper ett europeiskt småföretag att skriva en sådan på begriplig svenska, med koppling till GDPR och ISO/IEC 27001 och med distansarbete, privata enheter och generativ AI medräknade. Du får ett färdigt utkast i ditt företags namn, som din egen rådgivare ska validera.
Ett kort och lättläst dokument som omvandlar era säkerhetsavsikter till vardagsregler för medarbetarna
De flesta små och medelstora företag har datorer, en brevlåda per person, delade filer i molnet, några affärsapplikationer och allt oftare telefoner och bärbara datorer som lämnar kontoret. Det de ofta saknar är ett enda dokument som på ett språk medarbetarna förstår säger hur dessa verktyg får användas. Det dokumentet är användarpolicyn. I Frankrike kallas den vanligtvis charte informatique; i Sverige heter den oftast “IT-policy”, “användarpolicy för IT” eller “riktlinjer för användning av IT-resurser”. Namnet spelar mindre roll än de tre uppgifter den har.
Användare kan inte följa regler som ingen har skrivit ner. En användarpolicy anger önskat beteende för lösenord, e-post, webbanvändning, fildelning, flyttbara medier, programinstallation, privat användning av företagets utrustning, resor och distansarbete. Den är den del av er säkerhet som vänder sig till användarna, den del som når varje skrivbord.
Loggning, filtrering, åtkomst till brevlådan under frånvaro, enhetshantering, säkerhetskopiering av arbetsstationer: allt detta innebär personuppgifter om anställda. Enligt allmänna dataskyddsförordningen (GDPR) måste de registrerade informeras om syftet och villkoren för behandlingen (artikel 13). Användarpolicyn är en naturlig plats för att lämna den informationen i en enda, sammanhängande text i stället för spridd över olika e-postmeddelanden.
När en regel bryts måste en organisation kunna visa att regeln fanns, att personen kände till den och att den övervakning som avslöjade överträdelsen i sig var laglig och proportionerlig. En policy som aldrig kommunicerats, eller som döljer övervakning som medarbetarna aldrig fått veta om, ger er ett svagt underlag. Hur en policy får rättslig verkan beror på nationell arbetsrätt, och därför håller vi den här sidan generell och hänvisar dig till din rådgivare för sista steget.
Den internationella säkerhetsstandarden erkänner uttryckligen denna roll. ISO/IEC 27001:2022 innehåller i sin bilaga A kontroll 5.10 “Acceptable use of information and other associated assets” (acceptabel användning av information och andra tillhörande tillgångar), som förutsätter att regler för acceptabel användning, och rutiner för hantering av information och tillgångar, identifieras, dokumenteras och införs. En användarpolicy är det vanligaste sättet för små och medelstora företag att uppfylla det kravet, oavsett om de någonsin söker certifiering.
Källor: Förordning (EU) 2016/679 (GDPR), EUR-Lex · ISO/IEC 27001, offentlig sida på iso.org
Samma handfull misstag återkommer gång på gång. Ingen av dem kräver en stor budget för att åtgärdas.
En policy som laddats ner från internet beskriver någon annans verktyg, något annat land och några andra risker. Den nämner system ni inte använder och tiger om dem ni använder. Medarbetarna märker det och slutar läsa.
Ett dokument som ligger i en delad mapp har inte kommunicerats. Om ni inte kan visa vem som tog emot det, när och i vilken version, blir det svårt att åberopa det senare. I flera länder är informations- eller samrådssteget för de anställda en del av det som gör reglerna bindande.
Loggar från webbfiltrering, loggar från e-postgateway, verktyg för slutpunktshantering och för förebyggande av dataförluster registrerar människors beteende. GDPR kräver öppenhet (artikel 5.1 a) och information till de registrerade (artikel 13). Dold övervakning är i sig en efterlevnadsrisk.
Många IT-policyer skrevs när alla arbetade vid ett skrivbord på kontoret. De säger ingenting om wifi hemma, privata telefoner som tar emot företagets e-post eller anställda som klistrar in kunddata i en offentlig AI-chattbot. Det är i det glappet som incidenterna uppstår.
Kapitlen nedan är stommen i utkastet som verktyget tar fram. Varje kapitel anpassas efter era svar, och varje kapitel kan kortas eller tas bort.
Anställda, praktikanter, tillfällig personal, konsulter och alla med ett konto. Vilka system som omfattas: arbetsstationer, mobila enheter, e-post, samarbetssviter, affärsapplikationer, nätverk, skrivare, molnlagring. En tydlig omfattning undviker det klassiska argumentet “detta gällde inte mig”.
Personliga konton som inte får överlåtas; lösenordens styrka och förvaring; multifaktorautentisering där företaget har infört den; låsning av datorn när man lämnar skrivbordet; vad man gör om ett lösenord kan ha komprometterats.
Relaterat: NIS2, artikel 21.2 j tar upp multifaktorautentisering bland åtgärderna för entiteter som omfattas.
Professionell användning som huvudregel, rimlig privat användning om företaget tillåter det, och hur privata meddelanden ska märkas. Vaksamhet mot nätfiske, bilagor och länkar, regler för vidarebefordran, automatisk vidarebefordran till privata adresser, förbjudna webbplatser och förbjudet innehåll.
Vilken information som är konfidentiell, hur den får delas internt och externt, godkända verktyg för fildelning, utskrifter, rent skrivbord och skyldigheten att endast behandla personuppgifter enligt företagets instruktioner.
GDPR art. 29 och art. 32.4: personer som arbetar under den personuppgiftsansvariges överinseende får endast behandla personuppgifter enligt dennes instruktioner.
Vem som får installera programvara, användning av privata USB-minnen och externa diskar, hantering av bärbara datorer och telefoner, anmälan om förlust eller stöld, och återlämning av utrustning och indragning av åtkomst när någon slutar (ISO/IEC 27001:2022 bilaga A har också en kontroll för återlämning av tillgångar, 5.11).
Arbete hemifrån, från en kunds lokaler eller under resa: betrodda nätverk, VPN när det krävs, insynsskydd för skärmen, fysiskt skydd av utrustning, videosamtal på offentliga platser. ISO/IEC 27001:2022 bilaga A har en egen kontroll, 6.7 “Remote working” (distansarbete).
Om privata telefoner, surfplattor eller datorer får komma åt företagsdata, och under vilka villkor (enhetslås, uppdateringar, separat arbetsprofil, fjärrradering som endast omfattar företagsdata), samt vad företaget får och inte får se på en privat enhet.
Vilka AI-verktyg som är godkända, vilka uppgifter som aldrig får matas in i dem (personuppgifter, kundhemligheter, källkod, inloggningsuppgifter), mänsklig granskning av resultaten och hur man begär ett nytt verktyg. En policy som helt enkelt förbjuder allt brukar bara flytta användningen dit ingen ser den.
AI-förordningen, förordning (EU) 2024/1689, art. 4 om personalens AI-kompetens.
Vad som loggas, filtreras eller kontrolleras, för vilket syfte, av vem, hur länge loggarna sparas och de registrerades rättigheter. Det är i det här kapitlet som GDPR:s krav på öppenhet och information uppfylls.
GDPR art. 5 och art. 13.
Hur och till vem man anmäler ett misstänkt e-postmeddelande, en förlorad enhet eller ett misstag, utan att behöva frukta skuld för att man anmäler snabbt. Hänvisning till de disciplinära rutiner som gäller i er organisation (ISO/IEC 27001:2022 bilaga A, kontroll 6.4 “Disciplinary process”), samt policyns datum och version.
Den rättsliga vägen skiljer sig mellan medlemsstaterna. Det som inte skiljer sig är logiken: laglig, proportionerlig, känd i förväg.
En användarpolicy beskriver nästan alltid behandling av de anställdas personuppgifter: kontologgar, anslutningsloggar, filtrering, enhetsförteckningar, ibland åtkomst till brevlådor. Tre artiklar i GDPR reglerar den behandlingen överallt i Europeiska unionen.
Artikel 5, principer. Personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt; samlas in för särskilda, uttryckliga och berättigade ändamål; vara adekvata, relevanta och begränsade till vad som är nödvändigt; inte sparas längre än nödvändigt; och behandlas med lämplig säkerhet. Enligt artikel 5.2 ska den personuppgiftsansvarige kunna visa att principerna efterlevs (ansvarsskyldighet). För en användarpolicy innebär det att varje kontroll ni beskriver bör ha ett angivet syfte och en rimlig lagringstid, och att ni ska kunna visa varför den är proportionerlig.
Artikel 13, information som ska lämnas. När uppgifter samlas in från den berörda personen ska den personuppgiftsansvarige bland annat lämna sin identitet och kontaktuppgifter, dataskyddsombudets kontaktuppgifter där ett sådant finns, syftena och den rättsliga grunden för behandlingen, de berättigade intressen som eftersträvas när det är grunden, mottagarna, lagringstiden och personens rättigheter. Användarpolicyn, eller ett informationsmeddelande bifogat till den, är ett praktiskt sätt att lämna denna information.
Artikel 88, behandling i anställningssammanhang. GDPR tillåter medlemsstaterna att genom lag eller kollektivavtal föreskriva mer specifika regler för behandling av de anställdas personuppgifter i anställningssammanhang. Artikel 88.2 kräver att sådana regler innehåller lämpliga och särskilda åtgärder för att skydda de registrerades värdighet, berättigade intressen och grundläggande rättigheter, med särskild hänsyn till öppenheten i behandlingen, överföringar inom en koncern och övervakningssystem på arbetsplatsen. Det är därför svaret på frågan “Vad får vi övervaka, och hur?” delvis beror på vilket land ni verkar i.
I hela EU fastställer direktiv 2002/14/EG en allmän ram för att informera och samråda med anställda i företag över de tröskelvärden som varje medlemsstat väljer inom de gränser direktivet anger. Nationell lag och kollektivavtal avgör sedan om ett företagsråd, något annat organ för arbetstagarrepresentation eller en fackförening ska informeras eller höras innan regler om IT-användning eller övervakning på arbetsplatsen införs, och i vilken form. I vissa länder bifogas en användarpolicy till de interna ordningsreglerna och följer samma förfarande; i andra ingår den i anställningsavtalet, i ett kollektivavtal eller i en fristående policy som varje användare bekräftar.
Ta Frankrike som ett exempel bland många: den franska arbetsrättslagstiftningen (Code du travail) föreskriver att personalrepresentationen (CSE, comité social et économique) ska informeras och höras, innan de införs i företaget, om medel eller tekniker som gör det möjligt att övervaka de anställdas verksamhet, och att ingen uppgift som rör en enskild anställd får samlas in genom en anordning som den anställde inte först har informerats om. Den franska dataskyddsmyndigheten CNIL rekommenderar i sin guide för säkerhet för personuppgifter att ett företag utarbetar en IT-policy och ger den bindande verkan, till exempel genom att bifoga den till de interna ordningsreglerna. Andra länder har egna motsvarigheter, och därför frågar verktyget var era medarbetare är anställda och anger de punkter ni bör kontrollera med er rådgivare.
Oavsett vilken nationell väg ni väljer ska ni spara bevis: policyns version och datum, datumet då den kommunicerades, hur (e-post, intranät, introduktionspaket, signatur) och vem som bekräftade den. Kommunicera på nytt när policyn ändras. ISO/IEC 27001:2022 bilaga A behandlar detta som en del av personalkontrollerna, tillsammans med anställningsvillkor (6.2) samt medvetenhet, utbildning och träning om informationssäkerhet (6.3).
Viktigt. Det här avsnittet är allmän information om europeiska och nationella texter. Det är inte juridisk rådgivning och ersätter inte analysen från en arbetsrättsjurist, ett dataskyddsombud eller er HR-rådgivare för er specifika situation, ert land och era kollektivavtal.
Källor: GDPR, art. 5, 13 och 88 (EUR-Lex) · Direktiv 2002/14/EG (EUR-Lex) · Franska arbetsrättslagstiftningen (Légifrance) · CNIL, guide för säkerhet för personuppgifter · ISO/IEC 27001 (iso.org)
Användarpolicyn är inte en säkerhetspolicy i sig. Den är den del av den som talar till användarna.
Policyn för informationssäkerhet är skriven för ledning och IT: den anger mål, roller, riskhantering och de kontroller företaget förbinder sig till. Användarpolicyn översätter de delar som vänder sig till användarna till konkret beteende. ISO/IEC 27001:2022 bilaga A skiljer dem åt: kontroll 5.1 “Policies for information security” och kontroll 5.10 “Acceptable use of information and other associated assets”. De två dokumenten bör använda samma begrepp, samma informationsklassificering och samma kontaktpersoner, så att en medarbetare aldrig får motstridiga instruktioner.
Om ni håller på att ta fram själva säkerhetspolicyn, se vår systersida pssi-express.eu.
Distansarbete flyttar företagsdata till hemnätverk, köksbord och tågsäten. Det är i användarpolicyn ni anger de lägsta förväntningarna: använd företagets utrustning när den tillhandahålls, håll den uppdaterad, anslut via företagets säkra fjärråtkomst när det krävs, undvik att skriva ut på offentliga platser, skydda skärmar och samtal, och anmäl förlust omedelbart. Om ni dessutom har ett separat avtal eller en separat policy för distansarbete bör användarpolicyn hänvisa till den i stället för att upprepa den. ISO/IEC 27001:2022 bilaga A, kontroll 6.7 “Remote working”, täcker säkerhetsaspekten.
Att låta privata telefoner ta emot företagets e-post är bekvämt och vanligt. Det väcker också två frågor som policyn måste besvara. Vad kräver företaget av enheten (skärmlås, operativsystem som stöds, separat arbetsprofil eller container)? Och vad får företaget se eller radera? Verktyg för enhetshantering kan konfigureras så att de endast hanterar företagets data; policyn bör säga det, och säga vad som händer med företagsdata när personen slutar. ISO/IEC 27001:2022 bilaga A, kontroll 8.1 “User endpoint devices”, ramar in den tekniska sidan.
Offentliga AI-assistenter kan vara användbara, och medarbetarna använder ofta redan dem. Risken ligger i de uppgifter som matas in och i resultat som används utan granskning. Ett kort AI-kapitel brukar ange godkända verktyg, förbjuda att personuppgifter, konfidentiell information eller inloggningsuppgifter matas in i icke godkända tjänster, kräva mänsklig granskning innan återanvändning, och förklara hur man begär ett nytt verktyg. När en extern AI-tjänst behandlar personuppgifter för er räkning gäller GDPR:s regler om personuppgiftsbiträden (artikel 28) och om överföringar utanför EU (kapitel V). Artikel 4 i AI-förordningen, som tillämpas sedan den 2 februari 2025, ålägger leverantörer och driftsättare av AI-system att vidta åtgärder för att, efter bästa förmåga, säkerställa en tillräcklig nivå av AI-kompetens hos sin personal (kontrollera den gällande konsoliderade lydelsen, eftersom ändringar av artikeln har föreslagits). Ett AI-kapitel i användarpolicyn, samt en kort medvetenhetsutbildning, är en rimlig byggsten.
Förordning (EU) 2024/1689 (AI-förordningen) · GDPR, art. 28 och kapitel V
För väsentliga och viktiga entiteter enligt NIS2-direktivet omfattar de riskhanteringsåtgärder för cybersäkerhet som anges i artikel 21 grundläggande cyberhygienrutiner och utbildning i cybersäkerhet (21.2 g) samt personalsäkerhet, åtkomstkontrollpolicyer och tillgångshantering (21.2 i). En användarpolicy gör inte att ni uppfyller NIS2, men den är ett av de dokument som stöder dessa åtgärder.
En policy som undertecknas och glöms bort ändrar ingenting. Policyn och medvetenhetsprogrammet bör samverka: policyn anger regeln, korta utbildningspass förklarar varför. Där ett dataskyddsombud finns räknar GDPR upp kompetenshöjande insatser och utbildning av personal bland ombudets uppgifter (artikel 39.1 b). Nationella myndigheter publicerar kostnadsfritt material som ni kan återanvända, till exempel ENISA på EU-nivå och, i Frankrike, ANSSI och cybermalveillance.gouv.fr.
Ni har kontrollen från början till slut. En mänsklig konsult är ett alternativ, aldrig ett krav.
En kort enkät om er organisation: var era medarbetare är anställda, vilka verktyg de använder, om privata enheter och distansarbete är tillåtna, om ni använder AI-assistenter, om ni har arbetstagarrepresentanter, om ni redan har en säkerhetspolicy. Den visar vilka kapitel ni behöver och vilka punkter som kräver lokal juridisk validering.
Ni besvarar vägledda frågor med egna ord, kapitel för kapitel: vad som är tillåtet, vad som inte är det, vad företaget kontrollerar och varför, hur länge loggar sparas, vem man ska kontakta. Varje fråga åtföljs av en kort förklaring och, där det är relevant, en länk till den officiella källan. Ni kan spara, återkomma senare och involvera en kollega.
Policyn genereras automatiskt utifrån era svar, i företagets namn, med ett separat informationsmeddelande om övervakning och ett bekräftelseformulär. Det är ett arbetsunderlag: låt er egen rådgivare (arbetsrättsjurist, dataskyddsombud, HR) granska det innan ni kommunicerar det, samråd med arbetstagarrepresentanter där det krävs och fastställ det först därefter.
Om ni vill att någon går igenom era svar tillsammans med er, anpassar utkastet till ett specifikt sammanhang eller förbereder informationen till personalen eller dess representanter, kan ni begära stöd från en partnerkonsult. Detta är valfritt och skilt från självbetjäningsverktyget.
Arbetsunderlag, inte juridisk rådgivning. Det genererade dokumentet är ett utkast byggt på era egna svar och på offentliga källor. Det utgör inte juridisk rådgivning. Dess giltighet i ert land, och förfarandet för att göra det bindande för era medarbetare, måste kontrolleras av en kvalificerad rådgivare.
Dokument ni kan redigera, kommunicera och spara som bevis
Huvuddokumentet, på begriplig svenska, byggt på era svar.
Ett separat meddelande strukturerat kring GDPR artikel 13.
Det ni behöver för att kommunicera policyn och kunna styrka att den delgivits.
Vilka offentliga texter varje kapitel bygger på.
En kort, fristående bilaga som ni kan uppdatera oftare än policyn.
Ert dokument förblir ert, i format ni kan ändra.
Vi citerar endast texter som vi kan länka till. Där något beror på nationell lag säger utkastet det i stället för att gissa.
Artikel 5 (principer och ansvarsskyldighet), artikel 13 (information till de registrerade), artikel 88 (behandling i anställningssammanhang) och, där det är relevant, artikel 28 (personuppgiftsbiträden), artikel 32 (behandlingens säkerhet) och artikel 39 (dataskyddsombudets uppgifter).
Kontroll 5.10 “Acceptable use of information and other associated assets”, med tillhörande kontroller 5.1 (policyer för informationssäkerhet), 5.11 (återlämning av tillgångar), 6.2 (anställningsvillkor), 6.3 (medvetenhet, utbildning och träning), 6.4 (disciplinärt förfarande), 6.7 (distansarbete) och 8.1 (användarens slutpunktsenheter). Standarden säljs av ISO; vi citerar endast kontrollernas titlar.
Endast för omfattade entiteter: artikel 21.2 g grundläggande cyberhygienrutiner och utbildning i cybersäkerhet, 21.2 i personalsäkerhet, åtkomstkontrollpolicyer och tillgångshantering, 21.2 j multifaktorautentisering. Nationella genomförandelagar gäller.
Artikel 4 om AI-kompetens, tillämplig sedan den 2 februari 2025 för leverantörer och driftsättare av AI-system (kontrollera den gällande konsoliderade lydelsen innan ni förlitar er på den). Relevant så snart era medarbetare använder AI-system i sitt arbete.
Vad varje alternativ innehåller. Information om tillgänglighet publiceras på den här sidan.
För att ta reda på vad ni behöver innan ni börjar
För att ta fram ett eget policyutkast
För att lägga till mänsklig granskning av självbetjäningsutkastet
I varje alternativ är dokumentet ett arbetsunderlag som ska valideras av er egen rådgivare. Det utgör inte juridisk rådgivning.
Korta svar. Där en text citeras går länken till den officiella källan.
Varje regulatoriskt eller normativt påstående ovan länkar till någon av dessa.
Den här sidan ger allmän information. Den utgör inte juridisk rådgivning.
Självbetjäningsverktyget förbereds. Den öppnar på den här sidan.
Frågor under tiden: contact@syaga.eu