Substack och GDPR – det här behöver företagare och kreatörer ha koll på

Substack har blivit en allt mer populär kanal för företagare, influencers, journalister och andra kreatörer som vill bygga en egen publik. Det är enkelt att komma igång: skapa ett konto, publicera innehåll och börja samla prenumeranter.

Men när du börjar samla mejladresser händer också något annat.

Du börjar behandla personuppgifter – och då behöver du förhålla dig till GDPR.

“Men Substack sköter väl GDPR?”

Delvis. Men inte åt dig. Substack är tydliga med ansvarsfördelningen. När plattformen behandlar personuppgifter för din räkning är Substack normalt personuppgiftsbiträde och du som creator är personuppgiftsansvarig för bland annat din prenumerantlista. Substack behandlar samtidigt vissa uppgifter för egna ändamål och är då själva personuppgiftsansvariga. Det betyder i praktiken: Substack ansvarar för Substacks behandling. Du ansvarar för din.

Att använda en plattform som erbjuder GDPR-anpassade avtal och funktioner innebär alltså inte automatiskt att din egen behandling av personuppgifter uppfyller GDPR.

‍ ‍

Din prenumerantlista är personuppgifter

Det är lätt att tänka på en Substack-lista som “mina subscribers” eller “min publik”. Ur ett GDPR-perspektiv handlar det samtidigt om ett register med personuppgifter. Redan en e-postadress kan vara en personuppgift.

Som företagare eller creator behöver du därför bland annat kunna svara på:

• Varför samlar jag in uppgifterna?

• Vilken rättslig grund använder jag?

• Vad har jag berättat för prenumeranterna?

• Hur länge behöver jag uppgifterna?

• Vilka andra leverantörer får tillgång till dem?

Samtycke kan exempelvis användas som rättslig grund för nyhetsbrev, men GDPR kräver inte att all behandling alltid grundar sig på samtycke. Vilken rättslig grund som är rätt beror på behandlingen.

Osäker på hur mycket av detta ditt företag redan har på plats?Börja gärna med GDPR-Hjälpens kostnadsfria GDPR-checklista.

Har du redan en mejllista? Tänk efter innan du importerar den

Här finns en vanlig fallgrop. Kanske har du redan hundratals eller tusentals mejladresser från en webshop, ett webinar, en gratis guide, tidigare kunder eller ett annat nyhetsbrev. Rent tekniskt går listan kanske att flytta till Substack. Men den viktigare frågan är: Får du använda uppgifterna till det nya ändamålet?

Att du har en persons mejladress innebär inte att den kan användas fritt till all framtida kommunikation. Du behöver bland annat titta på varför adressen samlades in från början och vad personen informerades om. Det blir extra viktigt om ditt nya Substack används kommersiellt – exempelvis för att sälja kurser, konsulttjänster eller produkter.

GDPR och e-postmarknadsföring är inte samma sak

En annan vanlig sammanblandning är GDPR och reglerna om marknadsföring. GDPR reglerar behandlingen av personuppgifter. När företag skickar marknadsföring via e-post finns dessutom särskilda regler i marknadsföringslagen. Huvudregeln är att en näringsidkare behöver ett samtycke i förväg för att skicka marknadsföring via elektronisk post till en fysisk person. Det finns ett undantag för vissa befintliga kundrelationer, under särskilda förutsättningar. Mottagaren ska dessutom kunna motsätta sig fortsatt marknadsföring på ett enkelt sätt.

Det är därför viktigt att hålla två frågor isär: Får vi behandla personuppgifterna? och Får vi använda mejladressen till just det här marknadsföringsutskicket? Svaret på den ena frågan ger inte automatiskt svaret på den andra.

Behöver du en egen integritetspolicy/personuppgiftspolicy?

Substack har en egen integritetspolicy. Men den beskriver framför allt den behandling där Substack själva är personuppgiftsansvariga. Substack skriver också uttryckligen att creators har egna privacy practices för den behandling som de ansvarar för. Driver du företag genom eller i kombination med Substack bör du därför se över vilken information du ger dina kunder och prenumeranter.

En personuppgiftspolicy bör bland annat göra det tydligt vem som ansvarar för behandlingen, varför uppgifter används, vilken rättslig grund som används, vilka mottagare som kan få uppgifterna och vilka rättigheter personen har. Du har enligt lag en informationsplikt som måste uppfyllas. 

För den som vill ta fram dokumentationen själv har GDPR-Hjälpens uppstartspaket bland annat mallar för personuppgiftspolicy, behandlingsregister, cookiepolicy och personuppgiftsbiträdesavtal.

Och eftersom Substack är amerikanskt?

Substack är etablerat i USA och personuppgifter kan överföras internationellt. Företaget uppger att det deltar i EU–US Data Privacy Framework och Substacks personuppgiftsbiträdesavtal innehåller även EU:s standardavtalsklausuler för relevanta överföringar.

Det finns fortfarande ett gällande adekvansbeslut för USA. Samtidigt meddelade IMY den 3 juli 2026 att en ny amerikansk dom kan få betydelse för Data Privacy Framework framöver och rekommenderar organisationer att hålla sig informerade och ha beredskap för förändringar.

Poängen är alltså inte att “amerikanska tjänster är förbjudna”. Poängen är att företag behöver veta vilka leverantörer de använder, var personuppgifter behandlas och vilka skyddsmekanismer som finns.

När ett litet nyhetsbrev blir en verksamhet

Kanske börjar din Substack som ett nyhetsbrev till några hundra personer. Sedan lägger du till betalda prenumerationer. Sponsrade inlägg. Affiliate-länkar. Kurser. Ett CRM-system. En egen webbplats. Analysverktyg. Plötsligt ser personuppgiftsbehandlingen betydligt annorlunda ut.

Det är därför GDPR inte är något som “fixas” en gång när kontot skapas. När verksamheten och användningen av personuppgifter förändras behöver dataskyddsarbetet följa med.

Fem frågor att börja med

Kan du svara på de här fem frågorna har du kommit en bra bit på vägen:

1. Vilka personuppgifter samlar vi in?

2. Varför använder vi dem och vilken rättslig grund har vi?

3. Vad har vi informerat prenumeranterna om?

4. Vilka plattformar och leverantörer får tillgång till uppgifterna?

5. Vad gör vi om någon vill få tillgång till eller radera sina uppgifter?
   

Din Substack-lista är alltså inte bara en publik. Det är också personuppgifter som du använder för att bygga relationer – och kanske en affär. Och ju mer verksamheten växer, desto viktigare blir det att ha koll på vad som faktiskt händer med datan.

Vill du få ordning på GDPR?

Vill du göra arbetet själv kan du ta del av GDPR-Hjälpens mallar och uppstartspaket, med bland annat mall för personuppgiftspolicy och behandlingsregister.

Är du istället osäker på hur GDPR gäller för just din Substack, din mejllista eller kombinationen av olika digitala verktyg kan du boka personlig GDPR-konsultation. Då kan vi titta på din verksamhet och hjälpa dig reda ut vad som faktiskt behöver göras.

Artikeln innehåller generell information om dataskydd och marknadsföring och utgör inte juridisk rådgivning i ett enskilt fall.

GDPR och NIS2 - vad är skillnaden och vad gäller vem?

Bild från Unsplash

När man börjar försöka få sig en överblick över vad man har som företag som företag och vad man behöver göra för att följa lagen så kan det kännas som att det finns mycket att hålla koll på er. GDPR-Hjälpen finns här hela tiden och är tacksam för möjligheten att hjälpa små och stora företag på resan mot ett starkare företag. En vanlig fråga vi får kan vara: Vad är GDPR och vad är NIS2, vad är skillnaden och vem gäller respektive lag?

Båda är EU-lagstiftningar och båda rör informationssäkerhet. De finns för att komplettera varandra, ibland behöver företag bara följa den ena lagstiftningen och ibland behöver man följa båda.

GDPR är en lag som gäller för alla verksamheter och organisationer som behandlar personuppgifter, det spelar ingen roll vilken företagsform man har (även en enskild firma behöver följa GDPR) eller om man tjänar några pengar i bolaget. Faktum är att nästan alla företag, föreningar, myndigheter och verksamheter idag behöver följa den här lagen. GDPR fokuserar på att skydda individers rättigheter genom att skydda deras personuppgifter och ge dem kontrollen över dem. Det är ett regelverk som finns för att försäkra att personlig data, alltså information som kan identifiera en individ, behandlas korrekt och transparent.

NIS2 reglerar däremot cybersäkerhet och skydd av kritisk infrastruktur. NIS2-direktivet träder i kraft i Sverige genom cybersäkerhetslagen som gäller från den 15 januari 2026. Huruvida man omfattas av cybersäkerhetslagen (NIS2) eller inte beror på typen av verksamhet man bedriver. Om man har en verksamhet inom någon av följande sektorer så kan man omfattas:

• Energi

• Transporter

• Bankverksamhet

• Finansmarknadsinfrastruktur

• Hälso- och sjukvård

• Dricksvatten

• Avloppsvatten

• Digital infrastruktur

• Förvaltning av IKT-tjänster (mellan företag)

• Offentlig förvaltning

• Rymden

• Post- och budtjänster

• Avfallshantering

• Tillverkning, produktion och distribution av kemikalier

• Produktion, bearbetning och distribution av livsmedel

• Tillverkning av vissa slag

• Digitala leverantörer

• Forskning

Faller man under någon av ovan kategorier ska man sedan ha en viss storlek och falla under en viss jurisdiktion. Först då vet man att verksamheten behöver följa NIS2, som i Sverige innebär cybersäkerhetslagen.

Det innebär alltså att långt fler företag faller under GDPR jämfört med NIS2 och även om man faller under NIS2 så behöver man följa GDPR. Helt enkelt, alla företag faller under GDPR men bara vissa företag faller under NIS2.

Behöver ditt företag få hjälp med GDPR? Testa här .

Vad är personuppgifter? En enkel guide för företag som vill följa GDPR

Många företag vet idag att man måste följa GDPR när man hanterar personuppgifter. Det gäller oavsett om du driver aktiebolag, enskild firma, förening eller annan typ av organisation. Så fort behandlingen inte sker för privat bruk omfattas den av dataskyddsreglerna.

Men vad räknas egentligen som personuppgifter? Det är en av de vanligaste frågorna vi får på GDPR-Hjälpen – och svaret är bredare än många tror.

Vad är en personuppgift?

En personuppgift är all information som direkt eller indirekt kan identifiera en individ.
Det kan alltså handla om:

• uppgifter som direkt pekar ut en person (t.ex. namn), eller

• information som i kombination med annan data kan användas för att identifiera någon (t.ex. en IP-adress).

Just den här indirekta identifieringen är ofta det som missförstås mest. Därför är det viktigt att ha koll, så att ni följer GDPR på rätt sätt i er verksamhet.

Vanliga exempel på personuppgifter

Det här känner de flesta igen:

• Namn

• Adress

• E-postadress

• Telefonnummer

• Födelsedatum

• Personnummer

Men listan slutar inte där.

Exempel på personuppgifter som ofta missas

Här är uppgifter som många inte tänker på som personuppgifter – men som omfattas av GDPR:

• IP-adresser

• MAC-adresser

• Foton

• Video

• Röstinspelningar

• Användarnamn

• Medlemsnummer

• Registreringsnummer

• Alias

• Anställningsnummer

Så fort en uppgift kan kopplas till en individ – direkt eller indirekt – räknas den som en personuppgift.

Finns det fler personuppgifter än de här?

Ja. Faktum är att nästan all information som kan knytas till en person på något sätt blir en personuppgift enligt GDPR. Exempel:

• positionsdata

• kundbeteenden

• sökhistorik

• loggar i digitala system

• interna anteckningar om en anställd

• datapunkter i appar eller webbtjänster

Det här gör det extra viktigt att organisationer har bra rutiner, tydlig dokumentation och rätt förståelse för vilken data man hanterar.

Hur vet vi vad vi behöver göra i vår organisation?

Det är här många fastnar.

Vad gäller för just er? Vad måste dokumenteras? Vilka register ska uppdateras? Måste ni ha biträdesavtal? Vilka rutiner krävs?

Det finns inget “one size fits all” – och därför hjälper GDPR-Hjälpen dagligen företag, från enmansföretag till internationella koncerner, att skapa ordning, enkelhet och efterlevnad.

Behöver ni stöd? GDPR-Hjälpen finns här

Vi hjälper er att:

• kartlägga vilka personuppgifter ni hanterar

• ta fram praktiska rutiner anpassade till er verklighet

• undvika vanliga GDPR-misstag

• få dokumentationen på plats utan krångel

Vill du få koll på vad som gäller just för er organisation?
👉 Kontakta GDPR-Hjälpen – så hjälper vi er att göra rätt från början

3 GDPR-tips till startups – bygg investerarnas förtroende från start

Att bygga en startup handlar ofta om innovation, snabb tillväxt och att våga ta risker. Men en risk du inte vill ta är att stå utan ett genomtänkt dataskyddsarbete. Faktum är att GDPR-efterlevnad kan vara helt avgörande när ni söker investeringar – ingen investerare vill se sitt kapital riskera att ätas upp av böter eller dåligt dataskydd.

Här delar GDPR-Hjälpen med sig av tre konkreta GDPR-tips till startups som vill växa tryggt, bygga förtroende och visa att de tar ansvar från början.

1. Visa att ni har kontroll – dokumentera ert dataskydd

Att visa att ni har koll på GDPR handlar inte om att ha tjocka pärmar med policyer – utan att kunna visa hur ni faktiskt arbetar med dataskydd i praktiken.

Se till att ni:

• Vet vilka personuppgifter ni behandlar och varför

• Har tydliga rutiner för gallring och radering

• Har PUB-avtal med era leverantörer

• Kan visa dokumentation vid en eventuell granskning

• Har en bra personuppgiftspolicy som lever upp till kraven ställda i GDPR.
  

➡️ Ett tips är att använda ett CRM-system eller en intern mappstruktur där ni samlar allt som rör GDPR, så att det finns lättillgängligt vid behov. Kom ihåg att vissa dokument måste förvaras digitalt enligt GDPR.

2. GDPR är en konkurrensfördel – inte ett hinder

Många startups ser GDPR som en bromskloss, men i själva verket kan ett medvetet dataskyddsarbete vara ett säljargument. Kunder och investerare vill se företag som tar integritet och informationssäkerhet på allvar.

När ni visar att ni:

• Har tydlig information till kunder och användare

• Hanterar data säkert

• Har rutiner för incidenter och gallring
  

…så signalerar ni professionalism, trovärdighet och långsiktighet.

💡 Det kan vara skillnaden mellan att vinna eller förlora nästa investering.

3. Bygg en grund med rätt hjälp och verktyg

GDPR behöver inte vara svårt. Med rätt mallar, rutiner och stöd kommer ni långt – och slipper onödig osäkerhet.

👉 GDPR-Hjälpen erbjuder:

• Kostnadsfria checklistor för startups och småföretag

• Färdiga mallar för biträdesavtal och interna rutiner eller implementeringsfärdiga paket för den som vill slippa göra GDPR-arbetet.

• Juridisk rådgivning som hjälper er bygga trygghet inför framtida investeringar
  

Vill ni se hur er startup står till i GDPR-arbetet?

📊 Testa vårt gratis GDPR-test här:
https://www.gdprhjalpen.se/se/ska-vi-se-var-ni-star-pa-gdpr-resan

Starta starkt – väx tryggt

GDPR-efterlevnad är inte bara en juridisk skyldighet, det är ett tecken på mognad, struktur och förtroende. Starta rätt – och visa investerarna att ni har byggt en trygg och hållbar grund från början.

💼 Behöver ni hjälp att komma igång?

Kontakta GDPR-Hjälpen för juridisk rådgivning, mallar och utbildning anpassad för startups.

GDPR-Hjälpen
info@gdprhjalpen.se