Gästregister och hotellanmälan 2026: komplett guide för hotell och pensionat

Paolo Vezzola

Grundare · Vezpa PMS · Profil →

Sverige reformerade sitt hotellregelverk 2025: den gamla lagen om hotell- och pensionatsrörelse (1966:742) upphävdes och ersattes den 1 januari 2025 av lagen (2024:1082) om hotell- och pensionatsrörelser, som tog bort kravet på polistillstånd och ersatte det med en kostnadsfri anmälan till Polismyndigheten. Samtidigt togs den allmänna skyldigheten att föra gästregister bort. Kvar står registreringskortet för utländska gäster enligt utlänningsförordningen (2006:97) 6 kap. 13 §: gäster som inte är medborgare i ett nordiskt land fyller i ett kort som anläggningen förvarar och visar för polisen på begäran. Till skillnad från många andra europeiska länder har Sverige i dagsläget ingen centraliserad automatisk rapportering — registret ska finnas och tillgängliggöras på begäran. I den här guiden förklarar jag vad som ska registreras, hur GDPR påverkar lagring och radering och hur processen kan automatiseras med ett PMS.

Det rättsliga underlaget

Reglerna som i dag berör gästuppgifter och hotellverksamhet i Sverige:

• Lagen (2024:1082) om hotell- och pensionatsrörelser — huvudlagen sedan den 1 januari 2025 (ersatte lagen 1966:742), reglerar anmälningsplikt till Polismyndigheten och tillsyn
• Utlänningsförordningen (2006:97) 6 kap. 13 § — registreringskort för utländska gäster (nordiska medborgare är undantagna); den gamla förordningen 1966:743 om gästregistrets innehåll gäller inte längre
• Utlänningslagen (2005:716) — ger polisen ytterligare befogenheter att begära information om utländska gäster
• Dataskyddslagen (2018:218) och GDPR — sätter ramar för behandling, lagring och radering av personuppgifter
• Bokföringslagen (1999:1078) — kräver dokumentation av transaktioner i 7 år, men gästregistret i sig är inte transaktionsdokumentation

Den praktiska tillämpningen utförs av Polismyndigheten, som har behörighet att genomföra kontroller när som helst. I vissa fall kan även länsstyrelsen vara involverad (för tillståndsprövning) och Integritetsskyddsmyndigheten (IMY) vid GDPR-frågor.

Anmälningsplikt och 9-bäddsgränsen

En viktig skiljelinje i svensk lag är den så kallade 9-bäddsgränsen. Sedan den 1 januari 2025 (lagen 2024:1082, som ersatte lagen 1966:742) är verksamheten anmälningspliktig till Polismyndigheten när:

• Rörelsen har 9 eller fler bäddar i egentliga gästrum
• Rörelsen erbjuder minst 5 egentliga gästrum
• Rörelsen har karaktär av "hotell eller pensionat"

Under 9-bäddsgränsen (t.ex. ett litet B&B med 3-4 gästrum i en familjebostad) behövs ingen anmälan till polisen, och någon allmän gästregisterskyldighet finns inte längre. Registreringskortet för utländska gäster gäller däremot oavsett storlek. Detta är en viktig distinktion för Airbnb-uthyrare — de flesta ligger under 9-bäddsgränsen och behöver inte anmäla sig till polisen, men ska fortfarande låta utländska gäster fylla i registreringskort.

Anmälan görs till Polismyndigheten och är sedan den 1 januari 2025 kostnadsfri — det tidigare kravet på polistillstånd med ansökningsavgift är borttaget. Verksamheten omfattas dock fortfarande av grundläggande krav, bland annat:

• Ägarens/rörelseutövarens personliga lämplighet (ingen kriminalitet relevant för uppdraget)
• Lokalens säkerhet (brandsäkerhet, utrymningsvägar)
• Hälsoregler (sanitet, livsmedelshantering om frukost serveras)
• Bokföringen och registerrutinerna

Vad måste registreras

Registreringskortet ska enligt utlänningsförordningen innehålla namn, födelsedatum, medborgarskap och ankomstdag. Många anläggningar samlar ändå in fler uppgifter för egen del, till exempel:

Observera att "yrke" krävdes i den gamla lagen från 1966 men inte längre. Enligt GDPR:s dataminimering bör du bara samla in de uppgifter du faktiskt behöver.

Bevarandetid och radering enligt GDPR

Utlänningsförordningen anger ingen exakt bevarandetid för registreringskorten, vilket är en anomali jämfört med nyare EU-lagstiftning. I praxis gäller följande:

• Minimum 1 år från incheckning, i enlighet med allmän rekommendation från Polismyndigheten
• GDPR (Article 5(1)(e)) kräver att personuppgifter endast bevaras så länge som är nödvändigt för ändamålet
• Integritetsskyddsmyndigheten (IMY) har i flera beslut fastslagit att 1 års lagring är tillräckligt för gästregister i normalfall
• Efter 1 år ska uppgifterna raderas automatiskt, såvida inte det finns annat rättsligt grund för längre lagring (t.ex. pågående utredning)

Det är en vanlig missuppfattning att gästregistret måste lagras lika länge som bokföringsmaterialet (7 år enligt bokföringslagen). Detta är fel — gästregistret är en separat handling som inte är bokföringsdokument. Bokföringen ska innehålla fakturor och kvittensunderlag, inte personnummer och adresser till alla gäster.

Polisens tillgång till registret

Till skillnad från många andra europeiska länder har Sverige ingen daglig automatisk rapportering av gäster till polisen. Gästdata lämnas endast ut på specifik begäran från Polismyndigheten. Denna begäran kan komma:

• Från lokal polis i samband med utredning av brott
• Från Säkerhetspolisen (Säpo) vid säkerhetsärenden
• Från Gränspolisen vid utlänningsärenden
• Från Migrationsverket i samband med asylärenden eller utvisningsbeslut

Begäran måste i princip vara skriftlig (men kan vara muntlig vid akuta fall, exempelvis pågående brottsutredning). Hotellet är skyldigt att svara utan onödigt dröjsmål, vilket i praxis betyder samma dag eller nästa arbetsdag. Registreringskorten ska hållas tillgängliga för Polismyndigheten, och den som inte gör det riskerar sanktioner.

Praktiska fall

I praktiken händer det flera gånger per år att polisen kontaktar hotell med förfrågningar:

• Efterlyst person: polisen vill veta om en specifik person har övernattat och när
• Gruppkontroll: när en grupp utlänningar misstänks ha utnyttjat hotellet för olaglig aktivitet
• Spårning av rörelse: när polisen behöver fastställa var en misstänkt befann sig ett visst datum
• Säkerhetskontroll: vid statsbesök eller större evenemang kontrollerar polisen alla gäster på centrala hotell

De flesta hotellchefer upplever 2-5 sådana förfrågningar per år. Om PMS-systemet har en bra sökfunktion och rapporteringsmodul tar det bara några minuter att svara. Om registret är på papper kan det ta timmar att leta igenom flera årspärmar.

Böter och sanktioner

Beloppen nedan är endast vägledande; sedan 2025 gäller de främst registreringskorten och anmälningsplikten:

Sedan 2025 krävs inget polistillstånd längre, men Polismyndigheten har kvar tillsynen och kan ingripa mot en anläggning som inte sköter registreringskorten eller anmälan.

Automatisering med PMS

Manuell hantering av gästregistret på papper eller i Excel är fortfarande vanligt i små svenska B&B och familjeägda pensionat, men det är både tidskrävande och utsatt för fel. Ett modernt PMS automatiserar:

• OCR på legitimation: vid incheckning fotograferar du gästens ID-kort, körkort eller pass, och PMS:et fyller automatiskt i alla nödvändiga fält (namn, personnummer/passnummer, medborgarskap, adress)
• Validering av svenska personnummer: PMS:et kontrollerar att personnumret är giltigt via Luhn-algoritmen och upptäcker skrivfel automatiskt
• Digital gästregister: kronologisk registrering med sök-, filter- och exportfunktioner till PDF eller Excel
• Automatisk radering efter 12 månader: gästdata markeras för automatisk borttagning, i enlighet med GDPR
• Snabb polisförfrågan-hantering: när polisen begär information genererar PMS en rapport på några sekunder, med komplett dokumentation av gästens vistelse
• Digital signatur på surfplatta: gästen signerar GDPR-samtycke direkt vid incheckningen, istället för pappersformulär
• GDPR-kompatibel lagring: krypterad databas, tvåfaktorsautentisering, audit-logg av all åtkomst

Läs också: nyckelbox och åtkomstkoder för självincheckning.

Vanliga frågor

Måste jag registrera även barn?

Formellt sett ja, men praxis tillåter förenklingar. För barn under 18 år som reser med sina föräldrar kan du nöja dig med att notera namn och ålder (utan personnummer för mycket små barn), medan föräldrarnas legitimation används som primär referens. För tonåringar (15-17 år) är det tillrådligt att registrera legitimationsnummer om de har eget ID-kort. Spädbarn behöver bara registreras som antal ("2 vuxna + 1 spädbarn").

Behöver jag registrera dagsgäster (utan övernattning)?

Nej. Skyldigheten gäller endast övernattande gäster. Dagsgäster (konferensdeltagare, spa-besökare, restauranggäster) behöver inte registreras, eftersom de inte faller under definitionen "hotell- eller pensionatsgäst" i lagen. Om en gäst bokar ett rum för en dag utan övernattning ("day use"), är registreringen inte obligatorisk men många hotell gör det ändå för enkelheten.

Kan jag lagra registret längre än 12 månader?

Endast med gästens explicita samtycke för annat ändamål (t.ex. marknadsföring eller CRM). För själva registerskyldigheten räcker 12 månader — efter det ska uppgifterna raderas. Om du vill spara data längre för lojalitetsprogram eller nyhetsbrev, ska detta grundas på separat frivilligt samtycke som kan dras tillbaka när som helst.

Vad händer om mina gästdata läckts på grund av en cyberattack?

GDPR Article 33 kräver att du rapporterar personuppgiftsincidenten till Integritetsskyddsmyndigheten (IMY) inom 72 timmar. Om läckan sannolikt innebär hög risk för de registrerade (t.ex. stöld av personnummer som kan användas för identitetsstöld), måste även gästerna underrättas direkt. IMY:s sanktioner för GDPR-brott kan uppgå till 20 miljoner euro eller 4 % av global årsomsättning. Det är därför kritiskt att PMS:et lagrar data krypterat och använder stark åtkomstkontroll (2FA, rollbaserad åtkomst, audit-logg).

Slutsats

Sveriges gästregister hade sitt ursprung i en lag från 1966, som den 1 januari 2025 ersattes av lagen (2024:1082) om hotell- och pensionatsrörelser — och med den försvann den allmänna skyldigheten att föra gästregister. Kvar står registreringskortet för utländska gäster: ingen daglig central rapportering, bara korten som anläggningen förvarar och visar för polisen vid behov. Kraven är tydliga: korrekta uppgifter, GDPR-kompatibel lagring och förmåga att snabbt svara på polisens förfrågningar.

Den goda nyheten är att stora delar av processen kan automatiseras med ett modernt PMS-system. Korrekt konfigurerat går gästregistret från minuter till sekunder per incheckning, och hantering av polisförfrågningar blir enklare.

Friskrivning: denna guide är av informativ karaktär och ersätter inte juridisk rådgivning. Exakta bötesbelopp och tillämpning kan ändras över tid och bero på behörig myndighet. Huvudkällor: lag (2024:1082) om hotell- och pensionatsrörelser (som den 1 januari 2025 ersatte lag 1966:742); utlänningslagen (2005:716); dataskyddslagen (2018:218) och GDPR; riksdagen.se; Polismyndigheten (polisen.se); IMY (imy.se). Kontakta polisen eller en jurist för din specifika situation.