H&M digitaliserar 2026: vad de samlar in om dig och dina 5 GDPR-rättigheter som kund

Under 2026 stänger H&M drygt 170 butiker globalt – och för varje dörr som stängs ökar bolaget sin satsning på digital handel, som nu står för mer än 30 procent av omsättningen. Det innebär att H&M samlar in mer data om sina kunder än någonsin tidigare. Problemet är att den svenska Integritetsskyddsmyndigheten (IMY) redan har dömt ut bolaget för GDPR-brott och utdömt en sanktionsavgift på 350 000 kronor för att ha ignorerat kundernas rätt att tacka nej till reklam. Vet du vad H&M vet om dig – och vad du kan göra åt det?

Vad händer med din data när H&M stänger butikerna?

H&M:s halvårsrapport för 2026, publicerad den 25 juni, visar en tydlig riktning: 61 butiker stängdes under första halvåret, med målet att stänga totalt circa 170 butiker under helåret. Parallellt investerar H&M kraftigt i digital infrastruktur, och onlineförsäljningen klättrar nu förbi 30 procent av gruppens totala omsättning.

Varje gång du handlar online hos H&M skapas ett detaljerat digitalt spår. Det handlar inte bara om vad du köper, utan om hur länge du stannar på en produktsida, vilka plagg du zoomar in på, vilka du lägger i varukorgen och sedan ångrar dig på. Den typen av beteendedata gör det möjligt för H&M att bygga skräddarsydda köparprofiler – profiler som sedan används för personanpassad marknadsföring och priskänslighetsanalyser.

H&M:s lojalitetsprogram hanteras av H&M Hennes & Mauritz GBC AB, med huvudkontor i Stockholm. Programmet är helt digitalt och samlar poäng på varje köp – både i butik och online. För att delta registrerar du personuppgifter som H&M lagrar, analyserar och i vissa fall delar vidare med "utvalda partners" – ett uttryck som i praktiken kan inbegripa reklamplattformar som Meta och Google.

För svenska konsumenter är situationen extra relevant: H&M är ett svenskt bolag, en av landets störst lojalitetsprogram ägs och driftas härifrån, och GDPR-ansvaret faller direkt under IMY:s jurisdiktion.

Vilken data samlar H&M faktiskt in om dig?

Enligt H&M:s sekretesspolicy behandlar bolaget följande kategorier av personuppgifter om sina kunder och lojalitetsprogrammedlemmar:

• Identitetsdata: namn, postadress, e-postadress, telefonnummer och födelsedata
• Transaktionsdata: inköpshistorik, returhistorik, betalningsuppgifter och orderinformation
• Beteendedata: sidor du besökt, tid på sidan, klickmönster och sökhistorik på hm.com
• Teknisk data: IP-adress, enhetsinformation, webbläsartyp och cookieidentifierare
• Platsdata: om du godkänt det i H&M-appen kan bolaget spåra din ungefärliga position
• Kundservicedata: innehållet i dina konversationer med H&M:s kundtjänst
• Lojalitetsprogramdata: poängsaldo, inlösenhistorik, kampanjdeltagande och erbjudandeöppningar

Det är en substantiell datamängd. Och det var just bristen på rutiner kring en av dessa kategorier – marknadsföringskonsent – som fick IMY att agera. Myndigheten konstaterade att H&M saknade funktionella processer för att respektera kunders rätt att avböja direktreklam, ett flagrant brott mot GDPR artikel 21.

Dina 5 lagliga rättigheter som H&M-kund

GDPR ger dig fem konkreta rättigheter mot företag som H&M. Dessa rättigheter gäller oavsett om du handlar online eller i butik, och oavsett om du är lojalitetsprogrammedlem eller inte:

Rätt till tillgång (artikel 15): Du kan begära ett fullständigt utdrag av all data H&M har lagrat om dig. Begäran görs via H&M:s webbplats under "Begär dina personuppgifter". H&M är skyldiga att svara inom en månad, kostnadsfritt.

Rätt till rättelse (artikel 16): Om dina uppgifter är felaktiga eller inaktuella – fel adress, gammalt telefonnummer – har du rätt att få dem korrigerade utan extra kostnad.

Rätt till radering (artikel 17): Populärt kallad "rätten att bli bortglömd". Du kan begära att H&M raderar dina uppgifter, men rätten är inte absolut – om H&M har ett lagstadgat skäl att behålla dem (exempelvis för bokföringen) kan de neka.

Rätt att invända mot direktreklam (artikel 21): Det här är exakt den rättighet som IMY slog ned på. Det är en ovillkorlig rätt – H&M kan inte neka en opt-out-begäran och behöver inte ens ett skäl från dig. Begäran måste verkställas omedelbart.

Rätt till dataportabilitet (artikel 20): Du kan begära att få ut dina uppgifter i ett maskinläsbart format (vanligtvis JSON) och flytta dem till en annan tjänst. Praktiskt om du exempelvis vill ha din inköpshistorik men inte längre vill vara H&M-kund.

Att känna till sina rättigheter är en sak. Att faktiskt hävda dem korrekt, tolka H&M:s svar och bedöma om svaret uppfyller GDPR:s krav är en annan – och det är där professionell rådgivning ofta gör skillnad. Liknande frågor uppstår vid andra lojalitetsprogram, som vi skrivit om tidigare i samband med ICA:s Stammis-kort och dataintegritet.

Emma i Stockholm: vad händer när H&M inte lyssnar?

Föreställ dig Emma, 34 år och H&M-lojalitetsprogrammedlem sedan 2019 i Stockholm. Den 3 juli 2026 loggar hon in på sin H&M-profil och skickar en formell opt-out-begäran via bolagets webbportal – hon vill inte längre ta emot personanpassade e-postutskick eller SMS-kampanjer. Begäran bekräftas automatiskt av H&M:s system.

Men den 26 juli, 23 dagar senare, kommer ett nytt personanpassat erbjudande med 25 procents rabatt på hennes "favoriter" – en lista H&M:s algoritm sammanställt baserat på hennes köphistorik. Veckan därpå följer ett SMS om en "exklusiv sommarrea".

Vad gäller juridiskt sett? Enligt GDPR artikel 21, punkt 3, är ett företag skyldigt att omedelbart upphöra med direktmarknadsföring när en invändning gjorts. Varje utskick efter Emmas begäran den 3 juli är en separat överträdelse.

Om Emma anmäler till IMY kan sanktionsavgifterna uppgå till antingen 10 miljoner euro eller 2 procent av H&M:s totala globala omsättning, beroende på vilket belopp som är högst. H&M:s omsättning för 2025 översteg 23 miljarder euro, vilket innebär att den maximala avgiften i teorin kan nå 460 miljoner euro – IMY dömer ut det högre av de två beloppen vid allvarliga brott.

I praktiken landade IMY:s faktiska böter mot H&M på 350 000 kronor vid den senaste granskningen. Men Emmas anmälan skapar ett formellt ärende, dokumenterar mönstret och stärker eventuella framtida fall. En IT-konsult eller dataskyddsjurist kan hjälpa henne att samla rätt bevis – skärmdumpar, exporterade kommunikationsloggar, tidsstämplar – och formulera anmälan på ett sätt som IMY faktiskt kan handlägga effektivt.

En sådan konsultation kostar vanligtvis 800–2 500 kronor. Det är en liten investering jämfört med att bli registrerad som en aktiv klagant hos IMY och potentiellt få rätt till skadestånd om ärendet klassas som en kränkning av dina personuppgiftsrättigheter.

När är det dags att konsultera en IT-expert?

Digital integritet kan verka abstrakt – men det finns tre konkreta situationer där en IT-konsult med GDPR-kompetens är direkt värdefull:

1. Du får inget svar på din datatillgångsbegäran. H&M har en lagstadgad svarstid på en månad. Om den månaden passerar utan svar har du rätt att anmäla till IMY och kräva en åtgärd.

2. Marknadsföringen fortsätter efter opt-out. Som IMY:s granskning av H&M visade är det inte ovanligt att stora bolag har tekniska luckor i sina CRM-system som gör att opt-out-begäranden inte verkställs korrekt. En IT-specialist kan hjälpa dig bevisa att felet är på H&M:s sida – inte din.

3. Du misstänker att dina uppgifter har läckt. Om du börjar få suspekta nätfiskemail med information som du bara lämnat till H&M – din storlek, preferenser, senaste köp – är det ett tecken på att uppgifter kan ha kommit i fel händer. Här är tidsfaktorn kritisk, och professionell hjälp kan snabba upp processen markant.

Du kan läsa mer om hur digital övervakning och integritetsfrågor hanteras generellt i vår artikel om anställd övervakning och GDPR-rättigheter på jobbet.

Vad du kan göra redan idag

Om du är H&M-kund eller lojalitetsprogrammedlem finns fyra konkreta steg du kan ta nu:

1. Begär din datakopia: Logga in på hm.com → Mitt konto → "Begär dina personuppgifter". Du får ett maskinläsbart utdrag inom 30 dagar.
2. Gör en opt-out: Gå till dina kommunikationsinställningar och avmarkera all direktreklam – e-post, SMS och push-notiser.
3. Dokumentera: Om du ändå fortsätter att få marknadsföring, ta skärmdumpar med tidsstämplar och spara dem.
4. Anmäl till IMY: Om H&M inte respekterar din begäran kan du anmäla till Integritetsskyddsmyndigheten kostnadsfritt.

H&M:s accelererade digitalisering 2026 innebär fler bekväma köpupplevelser – men också mer data i H&M:s händer. Ju mer du känner till dina GDPR-rättigheter, desto bättre rustad är du att faktiskt använda dem.

Observera: Den här artikeln är informativ och utgör inte juridisk rådgivning. Kontakta en IT-specialist eller dataskyddsjurist för rådgivning i ditt specifika fall.