När en organisation skickar en ljudfil till en leverantör för transkribering eller undertextning uppstår en kedja av frågor som sällan besvaras med en enda mening om serverplats. Var lagras filen egentligen? Vem har åtkomst? Hur länge finns den kvar? Och vad händer med kopior som skapas under bearbetningen?
Den här artikeln går igenom vad lagring av ljudfiler innebär ur ett GDPR-perspektiv, från primär lagring och underbiträden till radering och kundkontroll. Du får också tio konkreta frågor att ställa till en blivande leverantör. Om du vill fördjupa dig i datasäkerhet vid språktjänster rekommenderar vi vår guide till säker transkribering och undertextning.
Varför serverplats inte räcker som svar på lagringsfrågan
Många organisationer ställer frågan ”Var lagras mina filer?” och förväntar sig ett enkelt svar: ”I EU.” Men GDPR handlar inte enbart om var en server fysiskt befinner sig. Förordningen reglerar hela livscykeln för personuppgifter, från insamling och bearbetning till lagring och radering. Att en primär server står i exempelvis Frankfurt eller Stockholm ger därför bara en del av bilden.
Molntjänster komplicerar frågan ytterligare. En fil som laddas upp till en molntjänst för transkribering kan kopieras till tillfälliga bearbetningsmiljöer, säkerhetskopieras till andra datacenter och bli tillgänglig för supportpersonal i andra länder. Enligt EDPB:s vägledning räknas även fjärråtkomst från ett tredjeland, till exempel när en tekniker visar data på sin skärm för felsökning, som en dataöverföring enligt GDPR:s kapitel V.
I praktiken innebär det att en organisation som vill förstå var ljudfiler lagras behöver kartlägga flera lager: primär lagring, tillfälliga kopior under bearbetning, säkerhetskopior samt vilka personer och system som har teknisk åtkomst. EU-lagring är relevant, men det är inte synonymt med fullständig GDPR-efterlevnad.
Hur underbiträden och internationell åtkomst påverkar lagringen
Ett underbiträde (sub-processor) är varje tredje part som behandlar personuppgifter på uppdrag av den ursprungliga leverantören. Begreppet är bredare än många tror. Det handlar inte bara om den som aktivt läser eller redigerar filen. Varje aktör med teknisk åtkomst till personuppgifterna, exempelvis en molninfrastrukturleverantör som AWS eller Azure, ett övervakningsverktyg eller en CDN-tjänst, kan kvalificera sig som underbiträde enligt GDPR.
Varför underbiträden spelar roll för lagring av ljudfiler
Enligt GDPR artikel 28 måste en leverantör ha skriftligt godkännande från den personuppgiftsansvarige innan nya underbiträden anlitas. Underbiträdena ska vara bundna av samma dataskyddskrav som den ursprungliga leverantören. Om ett underbiträde brister i sitt ansvar kvarstår det fulla ansvaret hos den leverantör som organisationen har avtal med.
EDPB förtydligade i sitt yttrande 22/2024 att den personuppgiftsansvarige alltid ska ha tillgång till aktuell information om samtliga underbiträden, inklusive namn, adress och kontaktperson. Leverantören ska tillhandahålla dessa uppgifter proaktivt, inte vänta på att bli tillfrågad.
Internationell dataöverföring och dess konsekvenser
När en leverantör använder underbiträden utanför EU/EES uppstår frågan om internationell dataöverföring. EU-US Data Privacy Framework (DPF) ger för närvarande en rättslig grund för överföringar till certifierade amerikanska företag, men ramverket är föremål för överklagande vid EU-domstolen. Flera europeiska tillsynsmyndigheter har rekommenderat att organisationer upprätthåller standardavtalsklausuler (SCC) som reservlösning.
För den som köper en molntjänst för transkribering innebär detta att frågan ”Lagras data i EU?” behöver kompletteras med: ”Vilka underbiträden har åtkomst, var befinner de sig och vilken rättslig grund gäller för eventuella överföringar?” Att ignorera underbiträdeskedjan är en av de vanligaste bristerna vid val av leverantör för AI-transkribering eller AI-undertexter.
Radering, lagringstider och kundkontroll i praktiken
GDPR anger inga fasta lagringstider. I stället kräver förordningen att varje organisation fastställer och motiverar sina egna lagringsperioder utifrån syftet med behandlingen. Principen om lagringsminimering i artikel 5(1)(e) innebär att personuppgifter inte får sparas längre än vad som är nödvändigt.
Vad radering av ljudfiler faktiskt innebär
Radering av en ljudfil är mer komplext än att trycka på ”ta bort”. Raderingsskyldigheten omfattar inte bara själva inspelningen utan även alla härledda artefakter: transkriptet, eventuella AI-sammanfattningar, kvalitetspoäng och kopior hos underbiträden. Att radera ljudfilen men behålla transkriptet uppfyller inte GDPR:s krav om den registrerade har begärt radering.
EDPB:s samordnade tillsynsinsats om rätten till radering, vars rapport antogs i februari 2026, granskade över 760 personuppgiftsansvariga inom EES. Rapporten identifierade återkommande brister: avsaknad av tydliga lagringsperioder, otillräckliga interna rutiner för raderingsförfrågningar och tekniska begränsningar som förhindrade radering i säkerhetskopior.
Kundkontroll och verifiering
En organisation bör inte bara fråga om lagringstider utan också hur radering verifieras. Kan leverantören visa raderingsloggar? Omfattar raderingen även säkerhetskopior? Hur hanteras radering hos underbiträden? Och vad händer vid en incident, till exempel om en fil behöver återskapas från en säkerhetskopia efter att raderingsperioden löpt ut?
Kundkontrollerad lagring, där organisationen själv bestämmer när filer raderas via en portal eller ett API, ger ett extra lager av kontroll. Men även då kvarstår frågan om vad som händer med kopior i leverantörens system under bearbetningen.
Tio frågor att ställa till en leverantör om lagring av ljudfiler
Att välja en leverantör för transkribering eller undertextning kräver mer än att jämföra pris och leveranstid. Följande tio frågor hjälper dig att bedöma hur en leverantör hanterar lagring av ljudfiler ur ett GDPR-perspektiv:
- I vilka länder och datacenter lagras ljudfiler primärt, och vilken molninfrastrukturleverantör används?
- Skapas tillfälliga kopior under bearbetningen, och var lagras dessa?
- Hur hanteras säkerhetskopior, och i vilka regioner lagras de?
- Vilka underbiträden har teknisk åtkomst till ljudfilerna, och var befinner de sig?
- Hur informeras vi som kund om förändringar i underbiträdeskedjan, och har vi möjlighet att invända?
- Vilken rättslig grund används för eventuella dataöverföringar utanför EU/EES?
- Vilka lagringstider tillämpas, och kan vi som kund anpassa dem?
- Hur genomförs radering, och omfattar den alla kopior inklusive transkript, sammanfattningar och säkerhetskopior?
- Kan ni tillhandahålla raderingsloggar eller annan verifiering av att radering har genomförts?
- Hur hanteras ljudfiler vid en säkerhetsincident eller vid återställning från säkerhetskopia?
Dessa frågor ger en konkret bild av leverantörens databehandling vid transkribering och hjälper dig att bedöma om den uppfyller din organisations krav på säker lagring av ljudfiler. Enligt EDPB:s raderingsrapport planerar flera europeiska tillsynsmyndigheter, inklusive svenska IMY, sektorspecifika inspektioner under 2026 baserade på de brister som identifierats.
Vanliga frågor om lagring av ljudfiler och GDPR
Räcker det att leverantören lagrar data inom EU?
Nej. EU-lagring är en viktig faktor, men GDPR-efterlevnad kräver mer. Du behöver också veta vilka underbiträden som har åtkomst, hur länge filer sparas, hur radering genomförs och vilken rättslig grund som gäller för eventuella internationella överföringar.
Vad är skillnaden mellan ett biträde och ett underbiträde?
Biträdet (processorn) är den leverantör du har ett direkt avtal med. Underbiträdet är en tredje part som biträdet i sin tur anlitar för att behandla personuppgifter, exempelvis en molninfrastrukturleverantör. Samma dataskyddskrav gäller i hela kedjan.
Måste leverantören radera transkriptet om jag begär radering av ljudfilen?
Om den registrerade begär radering enligt artikel 17 omfattar skyldigheten alla personuppgifter som härrör från inspelningen, inklusive transkript och eventuella sammanfattningar. Att radera enbart ljudfilen räcker inte.
Hur vet jag att radering faktiskt har genomförts?
Be leverantören om raderingsloggar eller annan dokumentation som bekräftar att filer har raderats, inklusive kopior hos underbiträden och i säkerhetskopior. En trovärdig leverantör ska kunna visa att radering omfattar hela datakedjan.
Gäller GDPR-kraven även om jag använder en lokal inspelningslösning?
Ja. GDPR:s krav på databehandling vid transkribering är plattformsoberoende. Samma regler gäller oavsett om inspelningen görs via en molntjänst, ett lokalt system eller en enhet med inbyggd AI.
Behöver du en leverantör som tar lagring av ljudfiler och GDPR på allvar? Be om en offert så återkommer vi inom 24 timmar.
