GPSR säkerhetsklagomål – register, olyckor och femårsgräns

Kort svar: Ett klagomål om att en konsumentprodukt kan vara farlig ska inte hanteras som en vanlig returfråga utan säkerhetsbedömning. Tillverkare och importörer som omfattas av EU:s förordning om allmän produktsäkerhet (GPSR) behöver ha tillgängliga klagomålskanaler, undersöka relevanta säkerhetsklagomål och dokumentera utredning och åtgärder. Personuppgifter i det särskilda klagomålsregistret får bara sparas så länge de behövs – aldrig längre än fem år efter registreringen. Det är en maxgräns, inte en standardlagringstid.

Guiden gäller främst svenska tillverkare och importörer av konsumentprodukter. Driver du en butik utan att vara tillverkare eller importör måste du först klarlägga din roll som exempelvis distributör. För produkter med särskild EU-lagstiftning måste också samspelet med sektorsregler bedömas. GPSR har tillämpats sedan 13 december 2024.

1. Vilka klagomål omfattas – och vilka gör det inte?

Artiklarna 9.11–9.13 och 11.9–11.11 i GPSR handlar om säkerhetsklagomål och uppgifter om olyckor med produkter som påstås vara farliga. En trasig vara kan vara både en reklamationsfråga och en säkerhetsfråga, men alla returärenden är inte säkerhetsärenden. Använd en första triage innan ärendet tilldelas rätt ansvarig.

Det här är illustrativa exempel, inte fastställda bedömningar av verkliga produkter. Vid omedelbar risk får en blankett eller en intern godkännandeprocess inte fördröja skyddsåtgärder.

2. Vem ansvarar: tillverkare, importör eller distributör?

Tillverkare: ska bland annat tillhandahålla en offentlig kanal där konsumenter kan lämna klagomål och få information om produktolyckor (artikel 9.11), undersöka relevanta klagomål och dokumentera dessa samt vidtagna åtgärder i internt register (9.12).

Importör: har egna motsvarande skyldigheter enligt artikel 11.9–11.11 och kan enligt artikel 11.10 registrera relevanta uppgifter i tillverkarens register eller i eget register. Samarbete ersätter inte importörens ansvar för att skyldigheterna faktiskt fullgörs.

Distributör och marknadsplats: omfattas av andra, delvis överlappande säkerhets- och informationsskyldigheter. Att bara sälja produkten innebär inte automatiskt att distributören har exakt samma registerskyldighet som tillverkaren. Kontrollera den faktiska rollen och specialregler innan ni utformar rutinen.

3. Så bygger ni en spårbar utredning i sju steg

1. Ta emot: registrera datum, kontaktväg, produkttyp, modell, batchnummer och ett internt ärende-ID. Separera identifierande kunduppgifter från det tekniska ärenderegistret när möjligt.
2. Skyddsbedöm: gör en omedelbar bedömning av riskens allvar och om försäljning, lager eller användning behöver stoppas.
3. Fastställ ansvar: identifiera tillverkare, importör, distributör, eventuell ansvarig person i EU samt vilka andra aktörer som behöver information.
4. Utred: dokumentera uppgifter, fotografier, partinummer, provningsresultat, beslut och vilken information som ännu saknas. Hitta inte på mätvärden eller intyg.
5. Pröva anmälan: bedöm artikel 20 vid allvarliga olyckor och andra skyldigheter att rapportera farliga produkter enligt artiklarna 9, 11 och 12. Rapportera via rätt kanal utan onödigt dröjsmål när kraven är uppfyllda.
6. Åtgärda och följ upp: dokumentera exempelvis korrigering, lagerstopp, kundinformation, återtagande eller återkallelse samt vem som verifierat effekten.
7. Pröva lagring: bestäm om personuppgifter fortfarande är nödvändiga, följ upp raderingsbeslut och behåll de tekniska bevis som annan tillämplig lag kräver.

4. När ska en olycka rapporteras?

GPSR artikel 20 gäller olyckor kopplade till användning av en produkt som har lett till dödsfall eller allvarliga negativa följder för hälsa och säkerhet, tillfälliga eller bestående. Tillverkaren ska se till att anmälan görs genom Safety Business Gateway utan onödigt dröjsmål efter att den fått kännedom om olyckan. Importörer och distributörer som får kännedom om en sådan olycka ska utan onödigt dröjsmål underrätta tillverkaren. Om tillverkaren saknar etablering i EU finns särskilda regler för ansvarig person.

Viktigt: anmälan av en olycka enligt artikel 20 och underrättelse om en farlig produkt enligt andra GPSR-bestämmelser är olika prövningar. Ett ärende kan kräva skyddsåtgärder och annan rapportering även om ingen person har skadats allvarligt. Se även översikten över GPSR, Safety Gate och återkallelser.

5. Femårsgränsen – vad ska raderas och vad ska sparas?

Enligt artiklarna 9.13 och 11.11 får klagomålsregistret innehålla enbart personuppgifter som är nödvändiga för att utreda uppgiften om en påstått farlig produkt. Uppgifterna får bevaras bara så länge de behövs för utredningen och under inga omständigheter mer än fem år efter införandet i registret. GDPR:s principer om ändamålsbegränsning, dataminimering och lagringsminimering gäller parallellt.

Exempel: Om personuppgifter förs in den 10 november 2026 är den yttre femårsgränsen 10 november 2031, men tidigare gallring ska göras när uppgifterna inte längre behövs. Förvalta identifierande uppgifter i ett behörighetsstyrt system. Behåll exempelvis en avidentifierad versions- och batchhistorik när den fortfarande behövs för produktsäkerhetsarbetet, förutsatt att den verkligen är anonymiserad.

Femårsgränsen är inte en allmän instruktion att förstöra produktens tekniska dokumentation, provningsrapporter eller material som omfattas av andra bevarande- och bevissäkringskrav. Pröva varje kategori för sig och var försiktig med att kalla uppgifter anonyma om de fortfarande kan hänföras till en person.

6. Två realistiska situationer

Scenario A: flera klagomål om en varm laddare

Anta att tre kunder uppger att samma modell blir onormalt varm. Kvalitetsansvarig kopplar rapporterna till modell och batch, bedömer omedelbara försiktighetsåtgärder, kontaktar berörd ekonomisk aktör och prövar om produkten är farlig. En säkerhetsutredning bör inte vänta på ett dokumenterat personskadefall.

Scenario B: skada och begäran om radering

Anta att en kund har skadats och senare begär radering av sina kontaktuppgifter. Företaget ska dels snabbt bedöma om olycksanmälan krävs, dels pröva raderingsbegäran utifrån tillämplig dataskyddsrätt och behovet i utredningen. Det är inte korrekt att vare sig radera samtliga säkerhetsbevis automatiskt eller behålla varje personuppgift i fem år utan prövning.

7. Vanliga fel att undvika

• Att behandla varje reklamation som ett myndighetsanmält säkerhetsärende – eller avfärda en säkerhetsvarning som en vanlig retur.
• Att förväxla femårsgränsen för personuppgifter i klagomålsregistret med generell lagringstid för teknisk dokumentation.
• Att låta en Excel-lista ersätta faktisk riskbedömning, åtgärd, myndighetsanmälan eller verifierad radering.
• Att använda tillverkarens register utan att säkra ansvar, åtkomst, spårbarhet och rättighetsprövning.
• Att skriva 'godkänt' utan att beskriva vem som beslutat, på vilket underlag och vilka kontroller som faktiskt genomförts.

8. Vanliga frågor om GPSR:s klagomålsregister

Måste varje reklamation in i GPSR:s säkerhetsregister?

Nej. Bedöm om uppgiften rör säkerheten hos en produkt som påstås vara farlig. Enbart leveransförsening eller prisfel är normalt ingen sådan säkerhetsuppgift.

Får vi behålla personuppgifter i exakt fem år?

Inte per automatik. Fem år är den längsta tillåtna tiden i det särskilda registret; uppgifter som inte längre behövs för utredningen ska tas bort tidigare.

Kan en importör använda tillverkarens register?

Ja, artikel 11.10 tillåter att relevanta klagomål dokumenteras i tillverkarens register eller i ett eget. Importören måste ändå säkerställa att skyldigheterna uppfylls.

Är varje produktfel en olycka som måste anmälas?

Nej. Artikel 20 har särskilda rekvisit om dödsfall eller allvarlig påverkan på hälsa och säkerhet. Farliga produkter kan dock medföra andra rapporterings- och åtgärdsskyldigheter även utan sådan olycka.

9. Primärkällor, källkontroll och avgränsning

• Förordning (EU) 2023/988 (GPSR), särskilt artiklarna 9.11–13, 11.9–11, 12 och 20.
• Konsumentverkets frågor och svar om GPSR – tillämpning, aktörsroller och register.
• EU-kommissionens vägledning om Safety Business Gateway.
• Dataskyddsförordningen (GDPR), bland annat artikel 5.

Redaktionell rättskällekontroll: 10 november 2026. Informationen gäller svensk/EU-rätt och är generell vägledning, inte individuell juridisk rådgivning eller bevis på att en särskild produkt har testats. Vid allvarliga händelser, sektorsspecifika regler eller osäker rapporteringsplikt behövs kvalificerad bedömning.

Dokumentstöd: För den praktiska hanteringen finns GPSR-mallar för säkerhetsklagomål, olycksutredning och gallring. Dokumentpaketet hjälper till att organisera uppgifter men ersätter inte skyldigheter enligt GPSR eller GDPR.