I princip alla företag är enligt förordningen skyldiga att ha en förteckning som beskriver de olika sätt som man hanterar personuppgifter på.

Förteckningen ska innehålla:

• kontaktuppgifter till den som är ansvarig för hanteringen av personuppgifterna (vanligtvis ditt företag)
• vad uppgifterna används till (till exempel kundregister, kontaktuppgifter på webbplats)
• vilka kategorier av personer och uppgifter som förekommer (till exempel anställda eller kunder)
• tidsgräns för borttagning av uppgifter, om möjligt
• om uppgifterna överförs till ett annat land eller annan organisation ska information finnas om det
• beskrivning av säkerhetsåtgärder som används vid behandling, om möjligt.

Vissa uppgifter om kunden får du registrera utan att först få kundens medgivande. Det gäller uppgifter som behövs för att du ska kunna uppfylla avtalet med kunden, som exempelvis kontaktuppgifter och leveransadress. En del andra uppgifter kräver kundens samtycke.

Ibland behöver kunderna ge sitt samtycke
Vill du registrera fler uppgifter om kunden än vad som behövs för att uppfylla avtalet? Då behöver du fråga kunden om lov först.

Sportaffären kanske vill registrera vilka sporter som kunden är intresserad av, och mataffären vilken mat som kunden föredrar.

För att få registrera den typen av uppgifter krävs att kunden ger sitt samtycke, det vill säga att kunden först får information om att du kommer att spara den typen av uppgifter och varför, och sedan godkänner att du gör det. Registrera inte uppgifter som du inte behöver.

Informera kunderna
Du ska också informera kunden om vilken typ av uppgifter du sparar och hur du använder uppgifterna. Det kan du till exempel göra i en kortfattad text i kundinformationen eller avtalet och där hänvisa till mer utförlig information på er webbplats.

Läs mer om att informera kunderna (verksamt.se)

Var försiktig med omdömen om kunderna
Genom att anteckna kundens intressen kan du skapa ett personligt förhållande till varje kund som på så sätt känner sig välkommen och kommer tillbaka. Säg till exempel att du har en frisörsalong. Att hålla ordning på vad kunden köpte vid det senaste besöket gör att du kan föreslå dessa produkter vid senare besök och på så sätt göra mer affärer. Sådana uppgifter kan få sparas om kunden har samtyckt till det.

Känsliga uppgifter
Det gäller dock att vara försiktig med vilken typ av uppgifter du antecknar om kunden. Du bör till exempel aldrig skriva ner omdömen om kunden eller några som helst känsliga uppgifter om exempelvis kundens hälsa, religiösa åskådning eller politiska åsikter.

Läs mer om känsliga uppgifter (Datainspektionen)

Vill du skicka e-post till personer som inte är kunder? Enligt marknadsföringslagen gäller då som huvudregel att en e-postadress enbart får användas i marknadsföringssyfte om personen samtyckt till det på förhand.

• Skicka aldrig känsliga personuppgifter via e-post, till exempel uppgifter om någons hälsa, religiösa åskådning eller politiska åsikter.
• Undvik även att skicka andra integritetskänsliga uppgifter som exempelvis lönebesked via e-post.
• För över personuppgifter till andra system och radera mejlet. Mejlar en anställd in och sjukanmäler sig, registrera det i lönesystemet och radera mejlet.
• Om ni har kontaktformulär på er webb som genererar ett mejl till er, så försök att undvika fritextfält. Har ni sådana fält så uppmana den som fyller i formuläret att inte skriva in några personuppgifter i fältet.
• Bestäm hur länge ni behöver spara e-post och radera mejlen efter den tiden. Spara aldrig mejl med personuppgifter ”för att det kan vara bra att ha”.
• Informera era anställda om ovanstående punkter.

Skulle du vilja föra några andra anteckningar, som exempelvis vad kunden föredrog vid förra besöket, så krävs normalt att du först fått kundens medgivande att spara den typen av uppgifter.

Skulle du få ett sådant medgivande är det viktigt att aldrig skriva ner omdömen om kunden eller några som helst känsliga uppgifter om exempelvis kundens hälsa, religiösa åskådning eller politiska åsikter.

Uppgifter om enskilda näringsidkare och uppgifter om kontaktpersoner på företagen är dock personuppgifter, och sådana personuppgifter är tillåtna att hantera för att hantera avtalet med leverantörerna.

Vissa uppgifter behöver du registrera för att kunna uppfylla avtalet mellan dig som arbetsgivare och din anställda. Det kan vara uppgifter som behövs för att beräkna den anställdas lön men även uppgifter för in- och utpasseringssystem, telefonväxel och för andra it-system.

Företaget behöver även hantera personuppgifter om de anställda för att leva upp till lagkrav som exempelvis rapportering av skatter och sociala avgifter.

Om du vill spara kontaktuppgifter till anhöriga för att kunna kontakta dessa vid olycksfall eller sjukdom så bör du ge skriftlig information om detta som din anställda kan ta med till sina anhöriga.

För att publicera sådana uppgifter på företagets webb så behöver du ha en rättslig grund, du måste alltså kunna visa att du har stöd för det i dataskyddsförordningen.

Det gör du lättast genom att fråga din anställda om det är okej att publicera kontaktuppgifter och foton på webben. Tänk på att du då måste respektera de anställdas vilja.

Om företaget kan motivera att det är viktigt för företaget att publicera uppgifterna, till exempel för att den anställda är en chef eller har kundorienterade arbetsuppgifter, så kan det ändå vara okej att publicera uppgifterna utan den anställdas medgivande.

Du måste alltid informera dina anställda om att deras bilder och andra personuppgifter kommer att publiceras på er webbplats.

Läs mer om olika rättsliga grunder för att få samla in personuppgifter (verksamt.se)

När uppgifterna inte längre behövs för det syfte som de en gång samlades in för, så ska de tas bort. För ett företag innebär det till exempel att uppgifter om personer som inte längre är kunder ska tas bort från it-systemen.

Kunduppgifter får sparas ett år efter avslutad kundrelation
En tumregel enligt Datainspektionen är att personuppgifter om en tidigare kund i normala fall får användas för marknadsföringsändamål under ett års tid efter att kundrelationen har upphört.

Om du som säljare behöver kunna fullgöra eventuella garantiåtaganden kan det motivera att vissa personuppgifter sparas tills garantin har gått ut.

Skapa rutiner för att ta bort uppgifter
Ett tips är att i din förteckning över vilka personuppgifter som hanteras i företaget även ange hur länge olika typer av uppgifter behöver sparas. Sedan gäller det även att ha rutiner på plats som säkerställer att uppgifterna verkligen tas bort efter utsatt tid.

Viktigt om den här guiden!