Byta kundservicesystem: så flyttar ni kunddata enligt GDPR

Ett byte av kundservicesystem är ett dataprojekt lika mycket som ett verktygsprojekt. Flera års ärenden, kundkort, bilagor och interna anteckningar ska någonstans, och det mesta av det är personuppgifter. Den här artikeln går igenom vad GDPR kräver av er när ni flyttar kunddata mellan två leverantörer, vad som ska följa med, vad som ska raderas och vad ni ska kräva av den leverantör ni lämnar.

Vem ansvarar för kunddatan under bytet?

Ni är personuppgiftsansvariga för kunddatan hela vägen, och både den gamla och den nya leverantören är personuppgiftsbiträden. Det ändras inte av att datan flyttar. Enligt Integritetsskyddsmyndigheten, IMY, ska ett biträde när avtalet upphör antingen radera eller återlämna personuppgifterna, och radera befintliga kopior, om inte lagstiftning kräver att de sparas. Det är ni som bestämmer vilket.

Det innebär tre saker i praktiken. Ni behöver ett biträdesavtal med den nya leverantören innan den första uppgiften flyttas dit. Ni behöver läsa biträdesavtalet med den gamla leverantören för att se vad det säger om export, radering och tidsfrister. Och ni behöver en person som äger bytet och fattar besluten om vad som ska följa med, för leverantörerna kan inte fatta dem åt er.

Vad ska följa med, och vad ska inte?

Det som fortfarande behövs för ett tydligt syfte ska följa med. Det som inte behövs ska raderas i den gamla miljön, inte flyttas till den nya. Principen om lagringsminimering innebär enligt IMY att personuppgifter bara får sparas så länge de behövs för ändamålet, och att ni ska ha rutiner för gallring. Ett byte är det tillfälle då de flesta företag upptäcker att rutinen saknats.

Den sista raden är den som oftast går fel. Om en kund begärt radering i mars och ni flyttar en export från februari, är kunden tillbaka. Vad som gäller för sådana begäranden beskrivs i artikeln om GDPR-förfrågningar i inkorgen; vid ett byte ska listan över verkställda raderingar stämmas av mot det som flyttas.

Hur länge får ni spara gamla ärenden?

Så länge ändamålet kräver, och det avgör ni själva med en skriven regel. GDPR anger ingen tid i månader. En vanlig uppdelning är att ett ärende behövs så länge det kan komma tillbaka, vilket för de flesta e-handlar och tjänsteföretag betyder reklamationstiden, tre år, för ärenden som rör ett köp, och betydligt kortare för frågor som "var är mitt paket".

Bokföringen är undantaget. Räkenskapsinformation, till exempel fakturor och kreditnotor, ska enligt Skatteverket sparas i sju år efter utgången av det kalenderår då räkenskapsåret avslutades. Det kravet gäller bokföringen, inte chattloggen där kunden frågade om fakturan. En vanlig miss är att låta hela ärendehistoriken ärva bokföringens sju år; det är tvärtom: fakturan sparas i ekonomisystemet, ärendet gallras enligt kundservicens regel.

Skriv regeln innan ni exporterar. Den avgör hur stor exporten blir, hur mycket som ska raderas hos den gamla leverantören och vad ni kan säga till en kund som frågar.

Hur flyttar ni datan säkert?

Datan flyttas som en export i ett maskinläsbart format, över en krypterad kanal, till en miljö där bara de som arbetar med bytet har åtkomst, och den kontrolleras innan den gamla miljön stängs. Fyra saker avgör om det går bra.

1. Formatet. Begär exporten i ett format som den nya leverantören kan läsa in utan handpåläggning: strukturerad data per ärende med kund, tidpunkter, meddelanden och bilagor, inte en PDF per ärende. Innan ni skriver på med en ny leverantör: fråga hur ni får ut datan igen. Det är samma fråga som i köpguiden för ärendehanteringssystem, och svaret säger mycket om leverantören.
2. Vägen. Exportfiler ska inte mejlas, läggas i en delad mapp eller ligga på en bärbar dator. De innehåller allt ni vet om era kunder. En tappad export är en personuppgiftsincident som kan behöva anmälas till IMY inom 72 timmar.
3. Kontrollen. Räkna ärenden, kunder och bilagor i källan och i målet. Öppna ett urval och jämför. Kontrollera särskilt att raderade kunder inte återuppstått och att åtkomstbehörigheter inte följt med fel.
4. Övergången. Under en period finns datan på två ställen. Bestäm hur lång den perioden är, vem som har åtkomst till den gamla miljön under tiden och när den stängs. Ju längre den är, desto fler ärenden hamnar i fel system.

Vad kräver ni av den gamla leverantören när avtalet upphör?

Att den raderar eller återlämnar allt, inklusive kopior och säkerhetskopior, inom en skriven tid, och bekräftar det skriftligt. GDPR:s artikel 28 ger er valet mellan radering och återlämnande, och enligt Europeiska dataskyddsstyrelsens riktlinjer om personuppgiftsansvariga och biträden ska avtalet ge er möjlighet att ändra det valet före tjänstens slut. Att ni valde "radera" när avtalet skrevs hindrar alltså inte att ni begär en export först.

Fråga om tre saker som sällan står i avtalet: hur länge säkerhetskopior finns kvar efter raderingen, om underbiträden (till exempel en molnleverantör) raderar i samma takt, och om leverantören behåller något med hänvisning till lag, i så fall vad. Begär ett skriftligt intyg på att raderingen är genomförd, med datum. Det är dokumentet ni visar om IMY frågar.

Var hamnar datan hos den nya leverantören?

I det land och hos de underbiträden som biträdesavtalet anger, och det ska ni veta innan ni flyttar. Att lagra personuppgifter i en molntjänst räknas som en överföring till det land där tjänsten finns, enligt IMY:s sida om överföring till tredjeland. Lagring inom EU och EES kräver inget extra. För USA gäller sedan den 10 juli 2023 EU-kommissionens beslut om adekvat skyddsnivå, enligt IMY:s sida om överföringar till USA, förutsatt att mottagaren är ansluten till EU-US Data Privacy Framework. Andra länder kräver standardavtalsklausuler och en egen bedömning.

Fråga också vad leverantören gör med datan utöver att lagra den. Används ärendena för att träna AI-modeller, och i så fall vems? Vad som gäller när en AI läser ärenden står i artikeln om GDPR och AI i kundservice. Vad Supportifier svarar på de frågorna, inklusive var data lagras och vad biträdesavtalet täcker, står på sidan om säkerhet.

Så gör ni

1. Utse en ägare för bytet som fattar besluten om datan. Leverantörerna gör det inte.
2. Skriv gallringsregeln innan ni exporterar: hur länge olika ärendetyper sparas och varför.
3. Läs det gamla biträdesavtalet och begär export, radering och skriftligt intyg enligt det. Ändra valet mellan radering och återlämnande om ni behöver.
4. Teckna biträdesavtal med den nya leverantören och kontrollera lagringsland, underbiträden och vad datan används till.
5. Gallra i källan innan export: ärenden äldre än regeln, kunder som begärt radering, bilagor som inte hör till det som flyttas.
6. Flytta, räkna och jämför. Kontrollera antal och ett urval, särskilt att raderade personer inte kommit tillbaka.
7. Stäng den gamla miljön på ett bestämt datum, ta emot raderingsintyget och arkivera det med biträdesavtalet. Byter ni till Supportifier får ni en lista på vad som behövs från den gamla leverantören i det första samtalet.

Vanliga frågor

Måste vi flytta all ärendehistorik till det nya systemet?

Nej, och ni bör inte göra det. Flytta det som fortfarande behövs för ett tydligt syfte: öppna ärenden, ärenden inom er gallringstid och kundkort för aktiva kunder. Allt annat raderas hos den gamla leverantören. En migration är det enda tillfället då gallringen är gratis, eftersom ni ändå går igenom datan.

Får den gamla leverantören behålla en kopia efter bytet?

Bara om lag kräver det, och då ska leverantören kunna säga vilken lag och vad som sparas. I övrigt ska allt raderas, inklusive säkerhetskopior, inom den tid avtalet anger. Begär ett skriftligt intyg med datum. Fråga också hur länge säkerhetskopior ligger kvar innan de skrivs över.

Vad händer om vi tappar bort en exportfil?

Det är en personuppgiftsincident. Bedöm risken för de registrerade: en fil med namn, mejladresser och ärendetexter för tusentals kunder är sällan en låg risk. Då ska incidenten anmälas till IMY inom 72 timmar från att ni upptäckte den, och vid hög risk ska kunderna informeras. Undvik läget genom att aldrig flytta exporten via mejl eller delade mappar.

Måste vi informera kunderna om att vi byter system?

Inte om bytet i sig, så länge ändamålet och behandlingen är desamma. Om den nya leverantören finns i ett annat land eller om ni börjar använda datan på ett nytt sätt, till exempel för en AI-chatt, ska integritetspolicyn uppdateras så att den stämmer. Kontrollera att den anger rätt kategorier av mottagare och rätt lagringsland.

Källor

• Personuppgiftsbiträdesavtal — Integritetsskyddsmyndigheten, läst 2026
• Grundläggande principer — Integritetsskyddsmyndigheten, läst 2026
• Överföring av personuppgifter till tredjeland — Integritetsskyddsmyndigheten, läst 2026
• Överföringar av personuppgifter till USA — Integritetsskyddsmyndigheten, läst 2026
• Guidelines 07/2020 on the concepts of controller and processor in the GDPR — Europeiska dataskyddsstyrelsen, 2021
• Bokföring: vad kräver lagen? — Skatteverket, läst 2026