{"id":10372,"date":"2024-05-24T11:45:10","date_gmt":"2024-05-24T10:45:10","guid":{"rendered":"https:\/\/www.arbetsgivarjuristen.se\/?p=10372"},"modified":"2025-07-27T14:48:27","modified_gmt":"2025-07-27T13:48:27","slug":"what-the-employer-does-to-comply-with-gdpr","status":"publish","type":"post","link":"https:\/\/lewlex.se\/en\/sa-gor-arbetsgivaren-for-att-efterleva-gdpr\/","title":{"rendered":"What employers do to comply with GDPR"},"content":{"rendered":"\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\n\t\t\t\n\t\t\t
\n\t\t\t\t

Dataskyddsreglerna i Sverige<\/h2> \n\t\t\t\t\t\t\t<\/div>\n\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t

Det finns flera anledningar till att som arbetsgivare g\u00f6ra r\u00e4tt n\u00e4r det kommer till att efterleva reglerna om GDPR. Dels kan b\u00f6terna vara h\u00f6ga, men framf\u00f6rallt \u00e4r det dumt att arbetstagare kan ha en h\u00e5llhake p\u00e5 arbetsgivaren f\u00f6r att denne inte f\u00f6ljer reglerna. Dataskyddsf\u00f6rordningen best\u00e5r av 99 artiklar och 173 sk\u00e4l. Det inneb\u00e4r att arbetet med dataskydd kan g\u00f6ras omfattande, denna text kan givetvis inte vara utt\u00f6mmande. Men med denna guide som du tar dig igenom p\u00e5 10 min s\u00e5 kan du det b\u00e4ttre \u00e4n de allra flesta.<\/p>

I hela EU till\u00e4mpas dataskyddsf\u00f6rordningen som stiftades 2016 av Europaparlamentet och Europar\u00e5det. Den b\u00f6rjade g\u00e4lla 2018. Den f\u00f6rordningen tillsammans med den svenska kompletteringslagen (2018:218) till\u00e4mpar vi i Sverige p\u00e5 all behandling av personuppgifter. Det finns fler lagar som reglerar behandling av personuppgifter. Men n\u00e4r det g\u00e4ller arbetsgivares behandling av personuppgifter s\u00e5 \u00e4r det fr\u00e4mst dataskyddsf\u00f6rordningen som till\u00e4mpas, \u00e4ven kallad GDPR (General Data Protection Regulation). Det \u00e4r i princip samma regler som g\u00e4ller f\u00f6r arbetsgivare s\u00e5som f\u00f6retag utan anst\u00e4llda, med n\u00e5got undantag. Det \u00e4r IMY som har till uppgift att kontrollera efterlevnaden av dataskyddsf\u00f6rordningen samt ta emot klagom\u00e5l fr\u00e5n allm\u00e4nheten.<\/span><\/p>\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\n\t\t\t\n\t\t\t
\n\t\t\t\t

Vad \u00e4r personuppgifter?<\/h2> \n\t\t\t\t\t\t\t<\/div>\n\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t

All information som kan identifiera en just nu levande m\u00e4nniska \u00e4r personuppgifter och omfattas av dataskyddsf\u00f6rordningen. \u00c4ven olika uppgifter som tillsammans kan kopplas till en person anses vara personuppgifter. Exempelvis foton, personnummer, registreringsnummer p\u00e5 bilar som \u00e4gs av fysiska personer, filmer, IP-adresser och telefonnummer.\u00a0<\/p>\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\n\t\t\t\n\t\t\t
\n\t\t\t\t

Arbetsgivarens skydigheter<\/h2> \n\t\t\t\t\t\t\t<\/div>\n\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t

De \u00e5tta principerna<\/span><\/h4>

Det finns ett antal principer som arbetsgivaren ska ha som gyllene regler i sin behandling av personuppgifter. Dessa \u00e4r <\/span>laglighet, korrekthet, \u00f6ppenhet, \u00e4ndam\u00e5lsbegr\u00e4nsning, uppgiftsminimering, lagringsminimering, intergritet\/ konfidentialitet och ansvarsskyldighet.<\/span> <\/em>Dessa principer finns f\u00f6rklarade p\u00e5 m\u00e5nga st\u00e4llen. Men i korthet s\u00e5 f\u00e5rpersonuppgifter enbart behandlas med en laglig grund, en av dessa \u00e4r anst\u00e4llningsavtal. Vidare ska de uppgifter som lagras vara korrekta, det ska ske p\u00e5 ett \u00f6ppet och transparent s\u00e4tt, de f\u00e5r enbart behandlas utifr\u00e5n \u00e4ndam\u00e5len, de personuppgifter som behandlas ska utg\u00f6ras av ett minimum i f\u00f6rh\u00e5llande till \u00e4ndam\u00e5let. De ska vidare lagras s\u00e5 kort tid som m\u00f6jligt. Uppgifterna ska skyddas samt s\u00e5 \u00e4r den personuppgiftsansvariga, oftast arbetsgivaren som \u00e4r ansvarig f\u00f6r reglernas efterlevnad.<\/span><\/p>

Plan f\u00f6r inbyggt dataskydd<\/span><\/h4>

Vidare beh\u00f6ver arbetsgivaren ha en tanke med hur denne ska till\u00e4mpa inbyggt dataskydd i sin verksamhet. Det vill s\u00e4ga l\u00e4mpliga tekniska och organisatoriska \u00e5tg\u00e4rder f\u00f6r att underbygga principerna, exempelvis pseudonomyisering. <\/span><\/p>

N\u00e4r du sl\u00e5r in ditt personnummer n\u00e4r du g\u00e5r till tandl\u00e4karen s\u00e5 brukar de fyra sista siffrorna bli fyrkanter. Det \u00e4r ett exempel p\u00e5 hur verksamhetsut\u00f6varen haft en tanke kring inbyggt dataskydd. <\/span><\/p><\/blockquote>

Uppr\u00e4tta personuppgiftsbitr\u00e4desavtal med dina leverant\u00f6rer<\/span><\/h4>

De f\u00f6retag som arbetsgivaren samarbetar med och delar arbetstagarnas personuppgifter med s\u00e5som revisionsbyr\u00e5 eller f\u00f6retagsh\u00e4lsa m\u00e5ste arbetsgivaren uppr\u00e4tta personuppgiftsbitr\u00e4desavtal med.<\/span><\/p>

Register \u00f6ver behandling<\/span><\/h4>

Ett register \u00f6ver hur arbetsgivaren behandlar personuppgifterna beh\u00f6ver uppr\u00e4ttas. Denna ska IMY kunna f\u00e5 ta del av om de efterfr\u00e5gar det. Registret ska bland annat inneh\u00e5ller namn och kontaktuppgifter till arbetsgivaren, vilka uppgifter som behandlas, vilka \u00e4ndam\u00e5l som arbetsgivaren vilar sina sk\u00e4l f\u00f6r behandling p\u00e5 mm.<\/span><\/p>

Plan f\u00f6r att skydda datan<\/span><\/h4>

Arbetsgivaren m\u00e5ste ha en struktur och plan f\u00f6r hur denne arbetar med s\u00e4kerheten av personuppgifterna som denne lagrar.<\/p>

Anm\u00e4lningsplikt vid incidenter<\/span><\/h4>

Uppst\u00e5r det en incident, exempelvis att en dator stj\u00e4ls, beh\u00f6ver ibland incidenten anm\u00e4las till IMY inom 72h.<\/p>

Konsekvensbed\u00f6mningar vid h\u00f6g risk<\/span><\/h4>

Konsekvensbed\u00f6mningar beh\u00f6ver arbetsgivaren utf\u00f6ra om behandlingen inneb\u00e4r en stor risk f\u00f6r arbetstagarna och dokumentera detta. Finns det en h\u00f6g risk med behandlingen s\u00e5 ska arbetsgivaren samr\u00e5da med IMY.<\/p>

Skyldighet att utse dataskyddsombud vid viss behandling<\/span><\/h4>

Det finns framf\u00f6rallt tre olika omr\u00e5den som kr\u00e4ver att arbetsgivaren utser ett dataskyddsombud. Det \u00e4r om arbetsgivarens k\u00e4rnverksamhet och p\u00e5 grund av sin karakt\u00e4r och \u00e4ndam\u00e5l kr\u00e4ver regelbunden och systematisk \u00f6vervakning av de registrerade eller om arbetsgivaren i stor omfattning behandlar k\u00e4nsliga personuppgifter.<\/p>\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\n\t\t\t\n\t\t\t
\n\t\t\t\t

Arbetstagarens nio grundl\u00e4ggande r\u00e4ttigheter<\/h2> \n\t\t\t\t\t\t\t<\/div>\n\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t

Information om behandling och vid incidenter<\/span><\/h4>

N\u00e4r arbetstagaren b\u00f6rjar sitt arbete har denne r\u00e4tt att f\u00e5 information om hur arbetsgivaren kommer anv\u00e4nda hens personuppgifter. \u00a0Det \u00e4r d\u00e4rf\u00f6r personuppgiftspolicyn kommit till st\u00e5nd. Informationen som ska finnas med framg\u00e5r av artikel artikel 13 i dataskyddsf\u00f6rordningen. F\u00f6r det fall arbetsgivaren f\u00e5r arbetstagarens information fr\u00e5n n\u00e5gon annan \u00e4n arbetstagaren, exempelvis en rekryteringsbyr\u00e5 s\u00e5 har hen ocks\u00e5 r\u00e4tt att f\u00e5 ta del av en personuppgiftspolicy, d\u00e5 framg\u00e5r dess inneh\u00e5ll av artikel 14.<\/p>

Tillg\u00e5ng<\/span><\/h4>

Arbetstagaren har r\u00e4tt till att f\u00e5 reda p\u00e5 vad arbetsgivaren hanterar f\u00f6r personuppgifter. Ett s\u00e5 kallat registerutdrag. F\u00f6rutom vilka personuppgifter det \u00e4r som behandlas s\u00e5 ska denne bland annat \u00e4ven f\u00e5 reda p\u00e5 vad personuppgifterna anv\u00e4nds till, hur l\u00e4nge de kommer sparas, varifr\u00e5n de kommer, om personuppgifterna delas med n\u00e5gon annan exempelvis en redovisningsbyr\u00e5, huruvida uppgifterna anv\u00e4nds till automatiserat beslutsfattande eller profilering mm. Denna r\u00e4ttighet \u00e4r dock inte absolut. Det finns undantag om exempelvis arbetstagaren g\u00f6r beg\u00e4ran ofta eller om beg\u00e4ran skulle inverka negativt p\u00e5 andra m\u00e4nniskors r\u00e4ttigheter och friheter, vilket dock b\u00f6r vara s\u00e4llsynt p\u00e5 en vanlig arbetsplats. Det kan dock finnas s\u00e5dana situationer, exempelvis f\u00f6r att skydda visselbl\u00e5sare.<\/p>

R\u00e4ttelse<\/span><\/h4>

\u00c4r personuppgifterna felaktiga har arbetstagaren r\u00e4tt att f\u00e5 dem r\u00e4ttade samt \u00e4ven f\u00e5 dem kompletterade om det st\u00e4mmer \u00f6verrens med \u00e4ndam\u00e5let med behandlingen.<\/p>

Radering (r\u00e4tten till att bli bortgl\u00f6md)<\/span><\/h4>

Det finns flera villkor som ska vara uppfyllda f\u00f6r att en arbetstagare ska ha r\u00e4tt att f\u00e5 sina uppgifter raderade. Det kan exempelvis vara fallet om anst\u00e4llningen upph\u00f6rt och arbetsgivarens ursprungliga \u00e4ndam\u00e5l med behandlingen inte l\u00e4ngre \u00e4r aktuell. Bara f\u00f6r att en anst\u00e4llning upph\u00f6rt s\u00e5 finns det dock inte n\u00e5gon grund f\u00f6r att f\u00f6r den saken skull f\u00e5 sina uppgifter raderade. Exempelvis s\u00e5 beh\u00f6ver ju arbetsgivaren \u00e4ven i forts\u00e4ttningen kunna administrera pension samt lagra anst\u00e4llningsavtal.<\/p>

Begr\u00e4nsning av behandling<\/span><\/h4>

Begr\u00e4nsning inneb\u00e4r som det l\u00e5ter att behandlingen avgr\u00e4nsas till enskilda omr\u00e5den och syften. Exempelvis under tiden som r\u00e4ttelse p\u00e5g\u00e5r.<\/p>

Dataportabilitet (att arbetsgivaren skickar vidare uppgifterna)<\/span><\/h4>

\u00a0Ska arbetstagaren exempelvis byta arbete s\u00e5 \u00e4r arbetsgivaren skyldig p\u00e5 arbetstagarens \u00f6nskem\u00e5l underl\u00e4tta en \u00f6verflyttning av personuppgifterna till den nya arbetsgivaren. Det g\u00e4ller dock enbart de uppgifter som arbetstagaren sj\u00e4lv l\u00e4mnat till arbetsgivaren samt om det \u00e4r tekniskt m\u00f6jligt.<\/p>

Inv\u00e4ndning<\/span><\/h4>

F\u00f6r huvuddelen av de uppgifter som arbetsgivaren behandlar kan denne anv\u00e4nda sig av den lagliga grunden om avtal. F\u00f6r det fall arbetsgivaren \u00e4ven f\u00f6r andra uppgifter till\u00e4mpar den lagliga grunden om intresseavv\u00e4gning f\u00f6r att behandla enskilda uppgifter s\u00e5 har arbetstagaren r\u00e4tt att inv\u00e4nda mot den behandlingen. Arbetsgivaren har d\u00e5 en skyldighet att visa p\u00e5 att dennes intresse v\u00e4ger tyngre \u00e4n arbetstagaren, annars ska behandlingen upph\u00f6ra.<\/p>

Automatiserade beslut<\/span><\/h4>

I de allra flesta fallen s\u00e5 borde automatiserade beslut och profilering p\u00e5 grundval av personuppgifter inte f\u00f6rekomma inom ramen f\u00f6r arbetstagare och arbetsgivare. Ett undantag skulle kunna vara i samband med att arbetstagaren sparat f\u00f6r m\u00e5nga semesterdagar var p\u00e5 dessa betalas ut till arbetstagaren. I det fallet s\u00e5 finns det dock ett undantag om det \u00e4r n\u00f6dv\u00e4ndigt f\u00f6r att kunna uppfylla fullg\u00f6randet av ett avtal, vilket ju anst\u00e4llningsavtalet \u00e4r.<\/p>\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\n\t\t\t\n\t\t\t
\n\t\t\t\t

Kontroll av IT-system, kamerabevakning och GPS-sp\u00e5rning av f\u00f6retagsbilar<\/h2> \n\t\t\t\t\t\t\t<\/div>\n\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t

Det finns en s\u00e4rskild del av arbetsr\u00e4tten kring anst\u00e4lldas integritet som kopplas ihop med GDPR. Det ligger i sakens natur att arbetsgivare ibland har behov av att bevaka arbetsplatsen och dess anst\u00e4llda. Syftet beh\u00f6ver inte vara att de anst\u00e4llda ska bevakas f\u00f6r att de sk\u00f6ter sig, utan oftast finns det mer legitima sk\u00e4l s\u00e5som s\u00e4kerhet, arbetsmilj\u00f6 eller att uppfylla andra lagar och regler s\u00e5som exempelvis det ofta \u00e4r med GPS i bilar i form av elektronisk k\u00f6rjournal. Men det som h\u00e4r \u00e4r viktigt att ha i \u00e5tanke \u00e4r att detta ocks\u00e5 \u00e4r personuppgifter som omfattas av reglerna.<\/p>\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\n\t\t\t\n\t\t\t
\n\t\t\t\t

S\u00e4rskilda GDPR-regler f\u00f6r arbetsgivarens visselbl\u00e5sarhantering<\/h2> \n\t\t\t\t\t\t\t<\/div>\n\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t

I Visselbl\u00e5sarlagen (2021:890) finns s\u00e4rskilda regler kring hantering av personuppgifter. Det som utm\u00e4rker sig \u00e4r att enbart \u00e4r det enbart \u00e4r de som \u00e4r beh\u00f6riga att ta emot, f\u00f6lja upp och l\u00e4mna \u00e5terkoppling p\u00e5 rapporter som f\u00e5r ha tillg\u00e5ng till personuppgifterna som behandlas. Tillg\u00e5ngen till personuppgifter ska begr\u00e4nsas till vad var och en beh\u00f6ver f\u00f6r att kunna fullg\u00f6ra sina arbetsuppgifter. Maximalt som en arbetsgivare f\u00e5r lagra informationen \u00e4r tv\u00e5 \u00e5r.<\/p>\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\n\t\t\t\n\t\t\t
\n\t\t\t\t

Dataskyddsregler i kollkektivavtal<\/h2> \n\t\t\t\t\t\t\t<\/div>\n\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t

I kollektivavtal kan det finnas regler om behandling av personuppgifter. B\u00e5de centrala s\u00e5som lokala.<\/p>\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\n\t\t\t\n\t\t\t
\n\t\t\t\t

K\u00e4nns det stort? B\u00f6rja med personuppgiftspolicyn<\/h2> \n\t\t\t\t\t\t\t<\/div>\n\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t

Att uppr\u00e4tta en personuppgiftspolicy \u00e4r det jag rekommenderar mindre arbetsgivare att b\u00f6rja med. Det \u00e4r din fasad ut\u00e5t avseende behandling av personuppgifter och det en utomst\u00e5ende direkt m\u00e4rker huruvida du har n\u00e5got t\u00e4nk \u00f6ver huvud taget avseende behandling av personuppgifter. Det andra \u00e4r att dokumentera alla era \u00f6verv\u00e4ganden. I enlighet med principen om ansvar s\u00e5 \u00e4r det arbetsgivarens sak att kunna bevisa f\u00f6r IMY att denne f\u00f6ljer GDPR.<\/p>

Lycka till, och gl\u00f6m inte h\u00f6ra av dig om du har fr\u00e5gor.<\/p>

Med v\u00e4nlig h\u00e4lsning,<\/p>

\"\"
Christoffer Lewinowitz
Arbetsgivarjurist<\/p>\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\n\t\t\t\n\t\t\t
\n\t\t\t\t

Hos oss \u00e4r f\u00f6rsta samtalet gratis!<\/h2> \n\t\t\t\t\t\t\t<\/div>\n\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Vi tycker det ska vara l\u00e4tt som arbetsgivare och chef att g\u00f6ra r\u00e4tt. Avst\u00e5ndet att be om hj\u00e4lp m\u00e5ste vara kort d\u00e4rf\u00f6r \u00e4r en f\u00f6rsta konsultation alltid gratis hos oss. Vi h\u00f6r vi av oss inom 24 h.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\n\t\t\t\n\n\t\t\t\n\t\t\t
\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t