GDPR för företagare

Nästan alla företag hanterar personuppgifter: kundernas namn och mejladresser, kontaktpersoner hos leverantörer, anställdas personnummer och lön. Dataskyddsförordningen, som brukar kallas GDPR, gäller i hela EU och styr hur du får samla in, använda och spara sådana uppgifter. I Sverige är det Integritetsskyddsmyndigheten (IMY) som har tillsyn.

Det här säger reglerna

Vad som är en personuppgift. Allt som kan kopplas till en levande person: namn, personnummer, mejladress, telefonnummer, en bild. Uppgifter om ett aktiebolag är inte personuppgifter, men en kontaktperson på bolaget är det. En enskild firma har inget eget organisationsnummer; ägarens personnummer är firmans identitetsbeteckning.

Rättslig grund. Enligt GDPR artikel 6 måste varje behandling ha en rättslig grund. För ett litet företag är de vanligaste:

• Avtal – du behöver uppgifterna för att leverera det kunden har köpt, eller för att betala lön enligt anställningsavtalet.
• Rättslig förpliktelse – en lag kräver det, till exempel bokföringslagen för fakturor och kvitton, eller skattereglerna för lönen.
• Intresseavvägning – du har ett berättigat intresse som väger tyngre än personens intresse av att slippa behandlingen, till exempel att följa upp en tidigare kund.
• Samtycke – personen har frivilligt sagt ja, till exempel till ett nyhetsbrev. Samtycket ska gå att ta tillbaka.

Inte mer än nödvändigt. Enligt de grundläggande principerna i artikel 5 ska du bara samla in de uppgifter du behöver för ändamålet, och inte spara dem längre än nödvändigt.

Lagringstid och bokföringslagen. Här möts två lagar. GDPR säger att du ska radera när uppgifterna inte längre behövs. Bokföringslagen 7 kap. 2 § säger att räkenskapsinformationen ska sparas till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. En faktura med kundens namn ska därför sparas hela den tiden, även om kunden ber dig radera den. Kundens uppgifter i ett marknadsföringsregister, däremot, ska tas bort när du inte längre behöver dem.

Information till de registrerade. När du samlar in personuppgifter ska du berätta vem du är, varför du behandlar uppgifterna, med vilken rättslig grund, hur länge de sparas och vilka rättigheter personen har (artiklarna 13 och 14). Det brukar samlas i en integritetspolicy på webbplatsen eller i avtalet.

Rättigheter. Personen har bland annat rätt att få ett registerutdrag, få fel rättade och få uppgifter raderade när ingen annan lag kräver att de sparas.

Register över behandlingar. Enligt artikel 30 ska du föra ett register över hur du behandlar personuppgifter. Ett företag med färre än 250 anställda slipper registret bara för behandlingar som är tillfälliga, inte medför risk för de registrerade och inte gäller känsliga uppgifter eller brott (artikel 30.5). Det mesta ett företag gör är inte tillfälligt: kundregistret, fakturorna och lönen används hela tiden. IMY tar lönehanteringen som exempel på en behandling som ska finnas i registret. Räkna därför med att du behöver ett register, även om det är kort. EU har föreslagit lättnader i just den här regeln för mindre företag; kontrollera hos IMY om de har börjat gälla.

Säkerhet och incidenter. Du ska skydda uppgifterna, till exempel med behörigheter och säkra inloggningar. Försvinner eller sprids uppgifter av misstag kan det vara en personuppgiftsincident. Den ska anmälas till IMY utan onödigt dröjsmål och om möjligt inom 72 timmar från att du fick veta om den, om det inte är osannolikt att den innebär en risk för de berörda (artikel 33.1). Kommer anmälan senare ska du förklara varför. Alla incidenter ska dessutom dokumenteras, även de som inte behöver anmälas (artikel 33.5). Innebär incidenten en hög risk ska du också informera de personer som berörs (artikel 34). Läs IMY:s vägledning om det händer.

Så här gör du

1. Skriv en lista över vilka personuppgifter du har, var de finns och varför: kunder, leverantörer, anställda, nyhetsbrev. Listan blir grunden för ditt register över behandlingar.
2. Skriv in en rättslig grund och en lagringstid för varje rad.
3. Skriv en integritetspolicy i klarspråk och visa den där du samlar in uppgifter.
4. Bestäm hur du svarar på en begäran om registerutdrag eller radering. I NONOX kan du ta ut ett registerutdrag för en kund, leverantör eller anställd. Se Personuppgifter.
5. Använder du CRM: ange rättslig grund för varje kontaktperson och gallra gamla kontakter. Se GDPR i CRM.
6. Ge varje person i företaget sin egen inloggning och bara den behörighet hen behöver. Se Roller och behörigheter.

Vanliga misstag

• Att radera en faktura för att kunden ber om det. Bokföringslagen går före. Förklara för kunden varför den sparas och hur länge.
• Att spara allt för säkerhets skull. Uppgifter utan ändamål ska inte finnas kvar.
• Att dela en inloggning. Då går det inte att se vem som gjorde vad.

Bra att veta

IMY har vägledningar för företag på imy.se, och där kan du också läsa hela dataskyddsförordningen. Är du osäker på en lagringstid eller en rättslig grund, fråga en jurist.

Källor

• IMY – Företags hantering av personuppgifter
• IMY – Grundläggande principer enligt GDPR
• IMY – Dataskyddsförordningen i fulltext
• IMY – Föra register över behandling
• Bolagsverket – Organisationsnummer
• Riksdagen – Bokföringslag (1999:1078), 7 kap.

Senast kontrollerad 4 november 2026