Klientarbete och GDPR

När du bokför och betalar ut lön åt en kund hanterar du personuppgifter som inte är dina: anställdas personnummer och löner, kunders namn och adresser, kanske uppgifter om sjukfrånvaro. Dataskyddsförordningen (GDPR) kräver att det finns ett avtal om hur du får använda dem. Kunderna förväntar sig dessutom att det du ser stannar hos dig.

Det här säger reglerna

Vem ansvarar. Kunden bestämmer varför och hur uppgifterna i den egna bokföringen och lönen behandlas, och är därför i regel personuppgiftsansvarig. Behandlar du uppgifterna åt kunden är du personuppgiftsbiträde. Bedömningen beror på uppdraget, så kontrollera vad som gäller för just dina uppdrag. För uppgifter du behandlar för egen räkning, till exempel om dina egna kunder och kundkännedom enligt penningtvättslagen, är du själv personuppgiftsansvarig.

Biträdesavtalet (artikel 28.3). Enligt Integritetsskyddsmyndigheten (IMY) ska avtalet mellan kunden och dig bland annat beskriva:

• vilka uppgifter det gäller, om vilka personer, varför och hur länge,
• att du bara får behandla uppgifterna enligt kundens dokumenterade instruktioner,
• att de som behandlar uppgifterna hos dig har åtagit sig sekretess,
• vilka säkerhetsåtgärder du har,
• att du bara får anlita underbiträden, till exempel ett bokföringsprogram i molnet, med kundens tillstånd,
• att du hjälper kunden när någon vill ha ut eller rätta sina uppgifter, och vid en personuppgiftsincident,
• att du raderar eller lämnar tillbaka uppgifterna när uppdraget slutar, om inte lag kräver att de sparas.

Sekretess. Sekretessen för dig och dina anställda skriver du in i uppdragsavtalet och i anställningsavtalen. Biträdesavtalet ska också säga att de som behandlar uppgifterna har åtagit sig sekretess.

När uppdraget slutar. Räkenskapsinformationen är kundens. Enligt bokföringslagen 7 kap. ska den sparas i sju år efter utgången av det kalenderår då räkenskapsåret avslutades, och det är kundens ansvar. Ditt ansvar är att lämna tillbaka materialet så att kunden kan uppfylla det, och att radera dina egna kopior om inget annat är avtalat. Dokumentation om kundkännedom ska du däremot själv spara i fem år från att affärsförbindelsen upphörde (penningtvättslagen 5 kap. 3 §). Längre än så får du spara den bara om det behövs för att förebygga, upptäcka eller utreda penningtvätt, och aldrig längre än tio år sammanlagt (5 kap. 4 §). Därefter bör uppgifterna raderas, eftersom dataskyddsförordningen inte tillåter att personuppgifter sparas längre än nödvändigt.

Så här gör du

1. Skriv ett personuppgiftsbiträdesavtal med varje kund, gärna som en bilaga till uppdragsavtalet.
2. Gör en lista över de underbiträden du använder och berätta för kunden om dem. NONOX listar sina egna underbiträden i dataskyddsdokumenten på webbplatsen.
3. Ge varje person i NONOX bara den roll den behöver. Se Roller och behörigheter och Bjud in och bli inbjuden.
4. Bestäm hur du lämnar tillbaka materialet när ett uppdrag slutar. I NONOX kan kunden fortsätta själv i samma företag, eller ta ett arkivpaket, se Arkivpaket.
5. Läs GDPR för företagare om byråns egna personuppgifter.

Vanliga misstag

• Att skicka löneunderlag och personnummer med vanlig e-post utan att tänka på säkerheten.
• Att radera bokföringen när kunden slutar innan den har lämnats tillbaka.
• Att inte ha något avtal alls för att kunden "bara" har några anställda.

Bra att veta

Läs också Penningtvätt för byråer och Arkivering.

Källor

• IMY – Personuppgiftsbiträdesavtal
• IMY – Dataskyddsförordningen i fulltext
• Riksdagen – Bokföringslag (1999:1078), 7 kap.
• Riksdagen – Lag (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism, 5 kap.

Senast kontrollerad 5 november 2026