Det här med GDPR verkar så komplicerat. Vad gäller till exempel för mig som är chef för ett företag med 50-talet anställda när det gäller löner? Måste jag be dem om ett medgivande för att kunna skicka ut löner?
Anton
SVAR: Dataskyddsförordningen (GDPR – General Data Protection Regulation) gäller som lag i alla EU:s medlemsländer från och med den 25 maj 2018. Den ersätter då vår gamla personuppgiftslag (PUL) från -95. Syftet är att stärka individens ställning och enkelt uttryckt så handlar det mest om att spara mindre, informera mer och dokumentera allt.
EN VIKTIG REGEL är att man måste ha ”rättslig grund” för att behandla personuppgifter. Det handlar om att man gör det efter ett uttryckligt medgivande, för att uppfylla ett avtal, för att uppfylla en rättslig förpliktelse, för att skydda vitala (livsviktiga intressen), för att utföra en uppgift av allmänt intresse (rör myndigheter) eller att man efter en intresseavvägning bedömt att man har ett berättigat intresse som väger tyngre än individens behov av skydd.
NÄR DET GÄLLER anställda så kan bara medgivanden användas i undantagsfall eftersom samtycket endast kan ges frivilligt och de anställda är i en beroendeställning. Grunden för att behandla de anställdas personuppgifter är därför främst avtal (man måste kunna behandla tidsregistrering och betala lön m.m.) samt att man har en rättslig förpliktelse att t.ex. betala skatter, sköta bokföringen enligt lag och hantera försäkringar.
ENDAST NÄR DET gäller sådant där den anställde verkligen kan neka, kan och bör man använda sig av medgivande; att få sin bild på företagets hemsida är ett sådant exempel. I sammanhanget bör man komma ihåg att ett medgivande ska vara tydligt informerat så att den som ger det måste veta vad det är man ger medgivande till. Dessutom ska man komma ihåg att ett medgivande alltid återkallas. Att tänka på i sammanhanget är att det är företaget som samlar in och behandlar personuppgifterna som är personuppgiftsansvarig. Om man anlitar ett annat företag för t.ex. lönehantering eller bokföring så behöver man ha ett personuppgiftsbiträdesavtal med uttryckliga instruktioner med mera Det är därför viktigt att man har kontroll på sina processer för att veta vad för uppgifter som behandlas var och av vem.
MATS LEKMAN
ADVOKATFIRMAN NOVA
MATS.LEKMAN@NOVA.SE
www.nova.se