Företag behandlar ofta personuppgifter om kunder, anställda, leverantörer och andra kontakter. När personuppgifter behandlas måste verksamheten följa dataskyddsförordningen, GDPR. Ett strukturerat dataskyddsarbete minskar juridiska risker och bidrar till en tryggare hantering av information.

Vad räknas som personuppgifter?

Personuppgifter är information som direkt eller indirekt kan kopplas till en fysisk person. Det kan exempelvis vara namn, kontaktuppgifter, personnummer, bilder, IP-adresser eller andra uppgifter som gör det möjligt att identifiera en person.

Ha en rättslig grund för behandlingen

Ett företag får inte behandla personuppgifter utan stöd i GDPR. För varje behandling behöver verksamheten kunna identifiera vilken rättslig grund som används. Det kan exempelvis handla om att behandlingen är nödvändig för att fullgöra ett avtal eller en rättslig förpliktelse. I vissa situationer kan samtycke eller en intresseavvägning vara aktuell.

Samla inte in fler uppgifter än nödvändigt

Företag bör endast samla in personuppgifter som behövs för det aktuella ändamålet. Uppgifterna ska inte sparas längre än vad som är nödvändigt och bör raderas eller anonymiseras när det inte längre finns ett berättigat behov av att behålla dem.

Informera de registrerade

Personer vars uppgifter behandlas har rätt att få information om behandlingen. Företaget behöver därför tydligt informera bland annat om vilka personuppgifter som behandlas, varför de behandlas, hur länge de sparas och vilka rättigheter den registrerade har.

Skydda personuppgifterna

Personuppgifter ska skyddas genom lämpliga tekniska och organisatoriska säkerhetsåtgärder. Vilken säkerhetsnivå som krävs beror bland annat på vilken typ av information som behandlas och vilka risker behandlingen innebär.

Personuppgiftsincidenter

Om personuppgifter exempelvis förloras, förstörs eller blir tillgängliga för obehöriga kan det vara fråga om en personuppgiftsincident. Företaget behöver ha rutiner för att upptäcka, dokumentera och hantera sådana incidenter. I vissa fall måste incidenten även anmälas till Integritetsskyddsmyndigheten.

Avtal med externa leverantörer

Många företag använder externa leverantörer för exempelvis IT-system, molntjänster, bokföring eller andra tjänster där personuppgifter behandlas. När en leverantör behandlar personuppgifter för företagets räkning kan ett personuppgiftsbiträdesavtal behövas.

GDPR är ett löpande arbete

Dataskydd är inte något som endast behöver hanteras när verksamheten startar. Företag bör regelbundet kontrollera sina rutiner, avtal och behandlingar av personuppgifter och uppdatera dem när verksamheten förändras.