Riskbedömning, incidentrapportering och korrigerande åtgärder enligt GPSR

Översikt: GPSR och kopplingen till tidigare moduler

Denna modul bygger vidare på dina kunskaper om marknadskontrollförordningen (EU) 2019/1020 och rollerna för ekonomiska aktörer.

Nu fokuserar vi på förordning (EU) 2023/988 om allmän produktsäkerhet (GPSR), som:

• antogs 2023,
• ersatte det tidigare allmänna produktsäkerhetsdirektivet (GPSD) 2001/95/EG,
• började tillämpas fullt ut i EU under 2024–2025 (relativt nyligen jämfört med idag, mars 2026).

I denna modul går vi steg för steg igenom:

1. Hur riskbedömning ska göras och dokumenteras enligt GPSR.
2. Krav på säkerhetsinformation och spårbarhet.
3. Hur incidentrapportering fungerar.
4. När och hur frivilliga respektive myndighetsinitierade korrigerande åtgärder aktualiseras.

Kom ihåg kopplingen:

• GPSR anger kraven på produktsäkerhet och vad ekonomiska aktörer måste göra.
• Marknadskontrollförordningen (MKR) anger hur myndigheterna utövar tillsyn och verkställer dessa krav.

Målgruppen är du som blivande jurist, ingenjör, ekonom eller annan samhällsvetare på grundnivå som behöver kunna förklara processen praktiskt, inte bara återge lagtext.

Steg 1: Vad kräver GPSR om riskbedömning?

En central nyhet i GPSR jämfört med det gamla direktivet är mer systematiska krav på riskbedömning.

Förenklat innebär GPSR att tillverkare (och i viss mån andra ekonomiska aktörer) ska:

1. Identifiera risker

• fysiska risker (t.ex. kvävning, elchock, brand),
• kemiska risker (t.ex. farliga ämnen),
• digitala och cybersäkerhetsrelaterade risker (t.ex. uppkopplade produkter som kan hackas och orsaka fysisk skada),
• risker kopplade till sårbara konsumenter (barn, äldre, personer med funktionsnedsättning).

1. Bedöma risknivå

• sannolikhet att skadan inträffar,
• allvarlighetsgrad på skadan,
• exponering (hur, hur ofta, hur länge produkten används).

1. Dokumentera riskbedömningen

• i en skriftlig riskbedömnings- eller säkerhetsdokumentation, som ska kunna visas upp för marknadskontrollmyndigheter,
• uppdatera dokumentationen när ny information framkommer (t.ex. incidenter, klagomål, ny teknik).

1. Vidta riskreducerande åtgärder

• teknisk utformning ("safety by design"),
• varningar och bruksanvisning,
• begränsning av målgrupp (t.ex. åldersgräns),
• övervakning efter att produkten släppts på marknaden ("post-market surveillance").

Detta är inte bara en engångsaktivitet före utsläppandet på marknaden, utan en kontinuerlig process under produktens hela livscykel.

Steg 2: Exempel på riskbedömning – leksak med uppkoppling

Föreställ dig en internetuppkopplad leksak (t.ex. en smart nalle som kan prata med barnet via en app).

1. Identifiera risker

• Fysiska: Smådelar kan lossna → kvävningsrisk.
• Kemiska: Material i plastdelar kan innehålla förbjudna ftalater.
• Elektriska: Felaktig laddare → brandrisk.
• Digitala: Osäker programvara → någon kan ta kontroll över nallen, spela upp skrämmande ljud eller samla in barns röstdata.
• Målgrupp: Barn 3–7 år → extra skyddskrav.

2. Bedöm risknivå

• Hur sannolikt är det att delar lossnar? (testresultat, standarder)
• Hur allvarlig kan skadan bli? (kvävning = mycket allvarlig)
• Hur lätt är det att hacka produkten? (penetrationstester, cybersäkerhetsstandarder)

3. Dokumentera

Tillverkaren upprättar en riskbedömningsrapport som innehåller:

• beskrivning av produkten och målgrupp,
• identifierade risker och bedömning (matris eller liknande),
• vilka standarder som tillämpats (t.ex. leksaksstandarder, cybersäkerhetsstandarder),
• vilka åtgärder som vidtagits (t.ex. säkrare anslutning, kryptering, barnsäker batterilucka).

4. Åtgärder

• Konstruktion: Skruvade batteriluckor, robusta fästen för smådelar.
• Programvara: Krypterad kommunikation, krav på starka lösenord, automatiska säkerhetsuppdateringar.
• Information: Tydlig varning i bruksanvisningen om att standardlösenord ska bytas, åldersrekommendation, instruktioner om säker användning.

Allt detta är en konkret tillämpning av GPSR:s krav på riskbedömning och säkerhetsinformation.

Steg 3: Din egen mini‑riskbedömning

Tänk dig att du är produktansvarig för en elcykel som säljs online i hela EU.

1. Skriv (mentalt eller på papper) ned minst tre olika typer av risker du behöver beakta enligt GPSR:

• minst en fysisk risk,
• minst en kemisk eller brandrelaterad risk,
• minst en digital eller datarelaterad risk (om cykeln har app eller uppkoppling).

1. Fundera sedan på:

• Vilka test eller standarder skulle du vilja använda för att bedöma dessa risker?
• Vilken säkerhetsinformation till konsumenten skulle minska riskerna (t.ex. laddningsinstruktioner, hjälmanvändning, app‑säkerhet)?

➡️ Reflektion: Hur skiljer sig detta från en mer traditionell, snäv teknisk säkerhetskontroll? Ser du hur GPSR trycker på både teknik, användning och information?

Steg 4: Spårbarhet och informationskrav enligt GPSR

GPSR förstärker kraven på spårbarhet och säkerhetsinformation till både konsumenter och myndigheter.

Spårbarhet – vad måste kunna spåras?

Minst följande ska finnas på produkten, förpackningen eller medföljande dokumentation:

• Identifiering av produkten (t.ex. typ, batch- eller serienummer),
• Tillverkarens namn och kontaktuppgifter (postadress och ofta även webbadress/e‑post),
• Om relevant: importörens uppgifter (för produkter från tredjeland),
• För vissa produktkategorier: digitala identifierare (t.ex. QR‑kod) för snabb åtkomst till säkerhetsinformation.

Syftet är att:

• snabbt kunna spåra tillbaka vilka partier som är berörda vid en risk,
• nå ut till berörda konsumenter vid återkallelser,
• möjliggöra effektivt samarbete med marknadskontrollmyndigheter (koppling till MKR 2019/1020).

Informationskrav mot konsumenter

Informationen ska vara:

• klar, begriplig och lättillgänglig,
• på det språk som krävs i medlemsstaten där produkten säljs (i Sverige → svenska),
• anpassad till målgruppen (t.ex. enklare språk och tydliga symboler för barnprodukter).

Den ska omfatta:

• Bruksanvisning (hur man använder produkten säkert),
• Varningar (t.ex. åldersgränser, "får ej användas utan vuxens tillsyn"),
• Information om risker som inte kan elimineras tekniskt men kan hanteras genom beteende,
• Vid behov: information om digitala risker (t.ex. vikten av att uppdatera programvara, byta lösenord).

Bristande spårbarhet och information kan i sig göra en produkt osäker enligt GPSR, även om den tekniskt sett fungerar bra.

Steg 5: Snabbkoll – spårbarhet

Testa din förståelse av spårbarhetskraven.

Steg 6: Incidentrapportering enligt GPSR – vem, vad, när?

GPSR knyter an till och kompletterar reglerna om marknadskontroll. När något går fel krävs snabb incidentrapportering.

Vem ska rapportera?

Främst:

• Tillverkare (och i vissa fall importörer) har det primära ansvaret,
• Online‑plattformar kan också omfattas av särskilda skyldigheter att samarbeta och vidarebefordra information,
• Distributörer måste vidarebefordra information om risker till tillverkare/importörer och myndigheter.

Vad är en rapporteringspliktig incident?

Typiskt:

• När en produkt som redan finns på marknaden visar sig vara farlig eller inte uppfylla säkerhetskraven,
• När det inträffat en allvarlig olycka eller nästan‑olycka kopplad till produkten,
• När företaget blir medvetet om systematiska fel (t.ex. återkommande felrapporter) som kan leda till skador.

När och hur snabbt?

GPSR (tillsammans med sektorsregler och nationell rätt) förutsätter att rapportering sker utan onödigt dröjsmål när en allvarlig risk upptäcks.

I praktiken innebär det:

• att företaget ska ha interna rutiner för att upptäcka och bedöma incidenter,
• att rapportering ska göras snabbt via relevanta nationella system (i Sverige: till ansvarig myndighet, t.ex. Konsumentverket eller sektorsspecifik myndighet),
• att informationen ska vara tillräcklig för att myndigheten ska kunna bedöma risken (produktbeskrivning, typ av skada, omfattning, redan vidtagna åtgärder).

Myndigheterna använder sedan bl.a. Safety Gate/RAPEX‑systemet för att dela information mellan medlemsstaterna.

Steg 7: Exempel – incident med hushållsapparat

Anta att ett företag säljer en brödrost i flera EU‑länder. Efter några månader får de in flera rapporter om att brödrosten:

• överhettas,
• orsakar mindre bränder i kök,
• i ett fall har lett till rökskador och en person med lindriga brännskador.

Hur ska företaget agera enligt GPSR‑logiken?

1. Samla in information

• Vilka batchnummer är berörda?
• Hur många incidenter? Vilken typ av skador?
• Finns det ett konstruktionsfel eller ett produktionsfel i vissa serier?

1. Snabb riskbedömning

• Är det en allvarlig risk? (Brand i bostad → potentiellt mycket allvarligt.)
• Hur sannolik är risken? (Hur ofta inträffar felet?)

1. Incidentrapportering till myndigheter

• Rapportera till relevant nationell myndighet i de länder där produkten säljs,
• Beskriva produkt, risk, antal rapporter, skador och preliminära åtgärder.

1. Korrigerande åtgärder (se nästa steg)

• Stoppa försäljning av berörda batcher,
• Eventuell återkallelse från konsumenter,
• Uppdaterad information på webbplats, i butik, via e‑post om möjligt.

1. Uppföljning och dokumentation

• Dokumentera hela processen (viktigt vid senare myndighetsgranskning),
• Genomföra teknisk analys och ändra konstruktion eller produktionsprocess.

Detta illustrerar hur incidentrapportering, riskbedömning och korrigerande åtgärder hänger ihop i praktiken.

Steg 8: Frivilliga och myndighetsinitierade korrigerande åtgärder

När en produkt inte uppfyller GPSR:s säkerhetskrav kan korrigerande åtgärder bli aktuella. Dessa kan vara:

• Frivilliga åtgärder (initierade av företaget),
• Myndighetsinitierade åtgärder (beslut av marknadskontrollmyndighet enligt MKR 2019/1020, ofta med stöd av GPSR).

Exempel på korrigerande åtgärder

1. Mindre justeringar

• Ändra bruksanvisning eller varningar,
• Uppdatera programvara (t.ex. säkerhetsuppdatering för en uppkopplad produkt).

1. Marknadsåtgärder

• Stoppa försäljningen (tillfälligt eller permanent),
• Modifiera produkter hos återförsäljare innan vidare försäljning.

1. Återtagande och återkallelse

• Återtagande: ta bort produkten från distributionsledet (innan den når konsument),
• Återkallelse: be konsumenter som redan har produkten att sluta använda den och lämna tillbaka/åtgärda den.

Frivilliga vs. myndighetsinitierade åtgärder

• GPSR uppmuntrar frivilliga, snabba åtgärder från företagens sida.
• Om företaget agerar otillräckligt eller inte alls, kan marknadskontrollmyndigheten:
• fatta beslut om förbud, återkallelser eller andra åtgärder,
• använda sina befogenheter enligt MKR (t.ex. kräva information, genomföra inspektioner, besluta om sanktioner enligt nationell rätt).

I praktiken ser myndigheter ofta positivt på företag som tidigt och transparent vidtar frivilliga åtgärder – men kravet är alltid att risken för konsumenter ska undanröjas.

Steg 9: När räcker frivilliga åtgärder?

Resonera kring gränsen mellan frivilliga och myndighetsinitierade åtgärder.

Steg 10: Repetition av nyckelbegrepp

Använd korten för att repetera viktiga begrepp från GPSR kopplade till denna modul.

Steg 11: Sammanfattande tillämpningsövning

Avsluta med att koppla ihop alla delar.

Scenario: Du är compliance‑ansvarig hos en importör av små köksmaskiner. En mixer du importerar får klagomål om att knivbladen kan lossna under användning.

Fundera kort över följande frågor:

1. Riskbedömning:

• Vilken ytterligare information behöver du för att göra en uppdaterad riskbedömning?
• Hur skulle du bedöma allvarlighetsgrad och sannolikhet?

1. Spårbarhet:

• Vilka uppgifter behöver du snabbt kunna ta fram om batcher, leverantörer och kunder?

1. Incidentrapportering:

• Vid vilken punkt anser du att incidentrapportering till myndigheter är nödvändig?
• Vilken information måste ingå i rapporten?

1. Korrigerande åtgärder:

• Vilka frivilliga åtgärder skulle du initialt föreslå (t.ex. försäljningsstopp, information till återförsäljare, varning till konsumenter)?
• Under vilka omständigheter tror du att en full återkallelse skulle bli nödvändig?

➡️ Tips: Försök tänka i den ordning GPSR förutsätter: upptäckt av risk → riskbedömning → informationsinsamling (spårbarhet) → incidentrapportering → val av korrigerande åtgärder.