GDPR för företag

Så här läser vi GDPR och reglerna om e-postreklam. Integritetsskyddsmyndigheten (IMY) har tillsyn över GDPR och förklarar reglerna på imy.se. Hanterar du känsliga uppgifter, eller uppgifter om många kunder, ta hjälp av en jurist.

Vad GDPR är, och när den gäller dig

GDPR, dataskyddsförordningen, är EU:s lag som skyddar privatpersoners personuppgifter. Samlar du in namn, mejladresser, telefonnummer eller adresser från kunder, och det gör nästan alla företag, gäller den dig. Den gäller också uppgifter om anställda och om kontaktpersoner hos dina företagskunder. Företaget är personuppgiftsansvarigt, och i ett aktiebolag är det ytterst styrelsen som svarar för att reglerna följs.

Varje behandling behöver en rättslig grund. De vanligaste för ett litet företag är avtal (du behöver adressen för att leverera beställningen), rättslig förpliktelse (bokföringen kräver att kvitton och fakturor sparas), berättigat intresse och samtycke. Skriv ner vilken grund du använder för vad.

Får vi spara kundlistan i ett kalkylark?

Ja. Ett kalkylark på den egna datorn, till exempel i LibreOffice Calc, är ett helt okej ställe för en kundlista. Samla bara in det du behöver: namn, mejl och vad personen beställt räcker ofta, adress när du ska leverera eller fakturera, och personnummer bara om du verkligen måste. Dela listan bara inom företaget, aldrig som en öppen länk. Skydda datorn med lösenord, kryptera disken och ta säkerhetskopior, så att listan varken försvinner eller hamnar hos fel person. Ska flera arbeta i listan samtidigt fungerar CryptPad, som lagrar allt krypterat.

Nyhetsbrev och reklam via mejl

Här gäller marknadsföringslagen vid sidan av GDPR. Reklam via mejl eller sms till en privatperson kräver att personen har sagt ja i förväg, till exempel genom att bocka i en ruta i kassan eller anmäla sig på din lista. En enskild firma räknas som privatperson här.

Det finns ett undantag för befintliga kunder. Har du fått kundens mejladress när den köpte något av dig får du skicka reklam för dina egna, liknande produkter, om kunden fick en tydlig möjlighet att tacka nej när adressen samlades in och får det igen i varje utskick. Till företag och andra juridiska personer får du skicka reklam utan samtycke, men mottagaren ska alltid kunna avsäga sig fler utskick.

Varje utskick ska visa vem som skickar och ha en länk för att avbryta som faktiskt fungerar. Mejl om kundens egen beställning, leverans eller kvitto är inte reklam och kräver inget separat ja.

Tjänster som hanterar uppgifterna åt dig

Mejlverktyget, webbutiken, bokföringsprogrammet och molnlagringen behandlar dina kunders uppgifter åt dig. Med var och en behövs ett personuppgiftsbiträdesavtal; hos de flesta seriösa leverantörer ingår det i villkoren eller går att godkänna i kontrollpanelen. Kontrollera också var uppgifterna lagras. Ligger de utanför EU ska det framgå av din integritetspolicy.

Hur länge får du spara uppgifterna?

Så länge du behöver dem för det du sa att de skulle användas till, och inte längre. Gör en enkel gallringsplan: vilka listor som finns, hur länge varje lista sparas och vem som rensar. En fast dag i kalendern, gärna samma dag som bokslutet, gör att det blir av.

Kvitton och fakturor är ett undantag. Bokföringen ska sparas i sju år, och så länge kan du neka en kund som vill få just de uppgifterna raderade. Men undantaget gäller bara bokföringen: samma kund ska ändå bort ur nyhetslistan och kundregistret om den ber om det.

För UF-företag

När UF-året tar slut ska du göra upp med dina personuppgifter. Radera kundlistor, mejllistor och konton som inte behövs längre. Gå igenom allt med guiden Avslut i juni och checklistan för juni-avslut, så att inget glöms kvar.

Vad en integritetspolicy ska innehålla

Den behöver inte vara lång, men den ska svara på det här, i klarspråk:

1. Vem som är personuppgiftsansvarig, med företagets namn och kontaktuppgifter.
2. Vilka uppgifter du samlar in, varför, och vilken rättslig grund du stödjer dig på.
3. Vem som får ta del av dem, till exempel din webbutik, ditt mejlverktyg eller fraktbolaget, och om de förs utanför EU.
4. Hur länge du sparar dem, till exempel två år efter senaste köpet, och sju år för det som hör till bokföringen.
5. Kundens rättigheter: att få veta vilka uppgifter du har, få dem rättade eller raderade, invända och ta tillbaka ett samtycke.
6. Att kunden kan klaga hos IMY om den tycker att du gör fel.

Lägg texten som en egen sida i webbutiken eller länka till den längst ner på hemsidan. Juridisk checklista går igenom resten av det juridiska.

Förteckning, frågor från kunder och incidenter

Ett litet företag behöver i praktiken en förteckning över sina behandlingar. Undantaget för företag med färre än 250 anställda gäller inte behandling som pågår hela tiden, som ett kundregister eller löner. Ett kalkylark med en rad per lista räcker: vad, varför, grund, hur länge och vilka tjänster som är inblandade.

Ber en kund om ett utdrag över sina uppgifter, eller om att få dem raderade, ska du svara inom en månad. Och om något går fel, till exempel en dator med kundlistan blir stulen eller ett mejl går till fel mottagare, ska det anmälas till IMY inom 72 timmar om det kan innebära en risk för de drabbade. Skriv ner vad som hänt även om du inte anmäler.

Vad händer om du gör fel?

Sanktionsavgifterna kan i teorin bli mycket stora. För ett litet företag handlar det i praktiken om att kunna visa att du tar reglerna på allvar: att du vet vilka uppgifter du har och varför, att du har en policy som stämmer och att du rättar fel när du hittar dem.

Vill du fördjupa dig är Integritetsskyddsmyndigheten, IMY den svenska myndighet som förklarar GDPR på vanlig svenska, med svar riktade till små företag.