GDPR Hosting Index 2026: Svenska webbhotell rankade på dataskydd
Varför ett GDPR-index för svenska webbhotell?
Sedan 2018 har GDPR ställt nya krav på var och hur personuppgifter får lagras. För svenska företag som driver hemsidor, e-handel eller medlemssystem är webbhotellet en av de viktigaste underleverantörerna att granska, om det inte uppfyller GDPR gör inte din verksamhet det heller. Sanktionsavgifter kan nå 4 % av årsomsättningen.
Trots det är compliance-information ofta gömd i kundavtal, spridd över flera dokument eller helt enkelt frånvarande från leverantörens hemsida. Detta index samlar all relevant information på ett ställe och poängsätter varje leverantör med samma sex kriterier. Vi har valt kriterier som speglar både formella GDPR-krav (DPA, EU-lagring) och praktiska kontrollfunktioner (backup, kryptering, support på svenska).
Urvalet av tio leverantörer återspeglar den svenska marknadens största spelare plus några nordiska alternativ som GleSYS och Binero. Internationella jättar som Hostinger och Cloudways är inkluderade för referens, de är fortfarande GDPR-kompatibla om EU-datacenter väljs men når sällan svenska leverantörers poäng på supportkriteriet.
Rankning 2026
| # | Leverantör | Land | Poäng | % | Betyg |
|---|---|---|---|---|---|
| 1 | HostUp | Sverige | 60/60 | 100% | A |
| 2 | Inleed | Sverige | 55/60 | 92% | A |
| 3 | GleSYS | Sverige/Finland | 53/60 | 88% | A |
| 4 | Binero | Sverige | 47/60 | 78% | B+ |
| 5 | One.com | Danmark | 46/60 | 77% | B+ |
| 6 | Loopia | Sverige | 45/60 | 75% | B+ |
| 7 | Hostinger | Litauen | 33/60 | 55% | C |
| 8 | Wopsa | Sverige | 28/60 | 47% | D |
| 9 | Miss Hosting | Sverige (global ägare) | 20/60 | 33% | F |
Uppdateras vartannat år eller när en leverantör publicerar väsentliga compliance-förändringar.
Detaljerade poäng per leverantör
HostUp
A · 100%100% svenskägt, oberoendeDatacenter i Stockholm (Älvsjö). DPA publicerad. Daglig backup + NVMe-replication. End-to-end-kryptering. 24/7 svensk support.
Inleed
A · 92%100% svenskägt, oberoendeDatacenter i Falun, Tällberg, Stockholm. DPA tillgängligt på begäran. Daglig backup på alla plan. 24/7 svensk support.
GleSYS
A · 88%EU-ägd (Cube Infrastructure)Egna datacenter i Stockholm, Falkenberg, Oulu. DPA publicerad. End-to-end-kryptering. ISO 27001. Strikt EU Access Policy.
Binero
B+ · 78%100% svenskägt, publicerat bolagDatacenter i Vallentuna. End-to-end-kryptering. ISO 27001/9001/14001. B2B-fokus sedan 2019 (webbhotell såldes till Loopia).
One.com
B+ · 77%Danska (group.ONE/Cinven)Datacenter i Danmark. DPA inkluderad i kontrakt. Daglig backup. Admin-data kan överföras till USA/Indien/UAE, påverkar EU-compliance.
Loopia
B+ · 75%EU-ägd (team.blue, Nederländerna)Datacenter i Västerås. Daglig backup. 24/7 svensk support. DPA ej publicerad som PDF. Förvärvad av team.blue 2024.
Hostinger
C · 55%Litauisk (privat)Globalt datacenter-nätverk (ej Sverige/Norden). DPA publicerad. AES-kryptering. ISO 27001. Support främst engelska.
Wopsa
D · 47%Svenskt (Cygrids Communications)Datacenter i Eslöv. 24/7 svensk support. DPA ej publicerad. Backup- och krypteringsstandarder ej dokumenterade publikt.
Miss Hosting
F · 33%Miss Group (Stockholm + global)Datacenter-placering oklar publikt. DPA ej publicerad. Backup- och krypteringsstandarder ej dokumenterade. 45 dagars pengarna-tillbaka-garanti.
Metodik och kriterier
Varje leverantör bedömdes på 6 kriterier med 0-10 poäng per kriterium (max 60 poäng totalt). Alla poäng baseras uteslutande på publikt tillgänglig information från leverantörens officiella webbplats, integritetspolicy, villkor, DPA-dokument och verifierbara tredjepartskällor. Hovra över frågetecknen nedan för förklaringar.
| Kriterium | 10 poäng | 5-7 poäng | 0-3 poäng |
|---|---|---|---|
| Datacenter-placering?DatacenterVar fysiska servrar är placerade. Sverige eller Norden ger 10, EU ger 7, mixed 5, utanför EU ger 0. GDPR kräver inte EU-lagring men förenklar compliance dramatiskt. | Sverige/Norden | EU (icke-Nordisk) | Utanför EU |
| PUB-avtal (DPA)?PUB-avtal (DPA)Personuppgiftsbiträdesavtal, ett juridiskt bindande kontrakt som reglerar hur leverantören hanterar dina kunders personuppgifter. Publicerad PDF = 10, på begäran = 7, oklart = 3, ej nämnd = 0. | Publicerad som PDF | Finns på begäran | Ej nämnd |
| Backup?BackupFrekvens och dokumentation av säkerhetskopior. Daglig + dokumenterad = 10, veckovis = 6, ad-hoc/oklart = 3. Påverkar recovery vid dataförlust. | Daglig + dokumenterad | Veckovis | Ad-hoc / oklart |
| Kryptering vid vila?KrypteringKryptering vid vila (at-rest). AES-256 dokumenterat = 10, partiell TLS-only = 5, ej dokumenterat = 0. Skyddar data även om fysisk disk komprometteras. | AES-256 dokumenterat | TLS + partial | Ej dokumenterat |
| Support på svenska?Svensk support24/7 svenska = 10, kontorstid svenska = 7, email-only svenska = 5, engelska endast = 0. Relevant för svenska företagskunder som behöver juridisk/teknisk hjälp på modersmålet. | 24/7 svenska | Kontorstid svenska | Engelska endast |
| Svensk äganderätt / EU-bas?ÄgandeSvenskägd = 10, EU-ägd (icke-Nordisk) = 7, utanför EU = 3. Svenskt ägande minskar risken för komplexa dataöverföringsmekanismer under GDPR. | Svenskägd | EU-ägd | Utanför EU |
Huvudresultat
Svenskägda hostar toppar rankningen. HostUp får full pott med A-betyg, tätt följt av Inleed och GleSYS som också landar på A-nivå. Samtliga har eget svenskt eller nordiskt datacenter och dokumenterar sin GDPR-compliance på ett sätt som företagskunder kan agera på, för mindre företag som vill minimera juridisk risk är dessa tre säkra val.
Den största differentieraren är PUB-avtal. HostUp, GleSYS och One.com publicerar sitt DPA som PDF direkt på sajten, vilket gör det trivialt att inkludera i en företagsjuridisk granskning. Inleed och Hostinger erbjuder det på begäran. Loopia, Wopsa och Miss Hosting publicerar inget publikt, det är en röd flagga för företagskunder som hanterar känsliga personuppgifter.
Hostinger betalar ett högt pris för sitt globala datacenter-nätverk. Trots modern teknik och ISO 27001-certifiering hamnar de på C-betyg eftersom datacenter saknas i Sverige eller Norden, och svensk support är begränsad. One.com hamnar i mitten med B+, ett EU-datacenter i Danmark är bra, men administrativ dataöverföring till USA, Indien och UAE drar ner poängen för en aktör som marknadsför sig tungt mot svenska användare.
Begränsningar
- • Denna index speglar publikt tillgänglig information, privata DPA-avtal som erbjuds på begäran räknas lägre även om innehållet kan vara likvärdigt.
- • "Transparensrapport" övervägdes som sjunde kriterium men uteslöts eftersom alla tio leverantörer gav 0, vi återinför det när minst en host börjar publicera årliga rapporter om myndighetsförfrågningar.
- • Juridisk GDPR-tolkning är komplex. Denna index är ett beslutsstöd, inte en juridisk analys.
- • Backup-frekvens är svår att jämföra direkt (daglig vs veckovis vs snapshot-baserat).
Letar du efter det GDPR-säkraste valet?
Baserat på denna index rekommenderar vi svenska hostar med dokumenterad compliance:
Vanliga frågor om GDPR Hosting Index
Vi har granskat 10 svenska och nordiska webbhotell baserat på publikt tillgänglig information per april 2026. Varje leverantör bedöms på sex kriterier (datacenter-placering, PUB-avtal, backup, kryptering, svensk support, ägande) med 0-10 poäng per kriterium. Totalpoäng 0-60 översätts till betyg A-F. Endast verifierbara fakta från officiella webbplatser, integritetspolicyer och DPA-dokument används.
Nej. Vi har bedömt Inleed på exakt samma sätt som alla andra. Inleed hamnar på andra plats med ett B+, HostUp får något högre poäng eftersom de publicerar DPA som PDF direkt på sajten, medan Inleed erbjuder det på begäran. Om Inleed skulle publicera DPA som PDF skulle poängen öka till A-nivå. Se metodiksektionen för transparenta kriterier.
Personuppgiftsbiträdesavtal (PUB-avtal, på engelska DPA = Data Processing Agreement) är ett juridiskt bindande kontrakt som reglerar hur webbhotellet hanterar dina kunders personuppgifter enligt GDPR. Du som personuppgiftsansvarig (t.ex. företagare med hemsida) ska ha ett DPA med din hosting-leverantör. De bästa leverantörerna publicerar sitt DPA som PDF på sajten; andra erbjuder det på begäran.
GDPR kräver inte att data lagras i EU, men det förenklar compliance dramatiskt. Data i Sverige eller EES lyder under europeisk lag. Data utanför EU (t.ex. USA, Indien) kräver omfattande dataöverföringsmekanismer (Standard Contractual Clauses, Transfer Impact Assessment) och är särskilt känsligt efter Schrems II-domen. Svenska datacenter minimerar juridisk komplexitet.
Miss Hosting erbjuder en bra produkt för konsumenter, men GDPR-documentationen är tunn: datacenter-placering specificeras inte publikt, ingen DPA finns på sajten, och krypteringsstandarder är inte dokumenterade. Betyget speglar VAD som är publikt synligt, inte nödvändigtvis vad de faktiskt gör bakom kulisserna. De kan förbättra poängen genom att publicera mer detaljerad compliance-information.
Vi testade tidigare att inkludera "transparensrapport" (årliga rapporter om myndighetsförfrågningar) som sjunde kriterium, men eftersom samtliga 10 granskade leverantörer gav noll på den punkten differentierar den inte rankningen. Den är en branschstandard som skulle höja hela sektorn om den infördes, men används inte i den nuvarande bedömningen. Vi återinför den när minst en svensk leverantör börjar publicera sådana rapporter.
Vi är transparenta om vår metodik och källor. Affiliate-relationer (Inleed, HostUp, Loopia, Hostinger, Wopsa, Miss Hosting är partners) påverkar inte bedömningen, HostUp rankas t.ex. högre än Inleed trots att Inleed är primäraffiliate. Vi inkluderar också leverantörer utan affiliate (GleSYS, Binero, One.com) rättvist. Vi välkomnar leverantörer att kommentera sina poäng.
Vi uppdaterar GDPR Hosting Index vartannat år eller när en leverantör publicerar betydande compliance-förändringar (ny DPA, flyttat datacenter, ny kryptering). Nästa planerade uppdatering: oktober 2026. Leverantörer som vill uppdatera sin information kan kontakta kontakt@denna.se.