Byråer inom revision, redovisning och lön hanterar ofta stora mängder personuppgifter i sina kunduppdrag. Det kan handla om uppgifter om kunders anställda, leverantörer och andra personer samt personuppgifter i bokföringsunderlag. Här går vi igenom vad byrån behöver tänka på för att hantera personuppgifter enligt dataskyddsförordningen (GDPR).
Dataskydd behöver vara en naturlig del av byråns löpande verksamhet och kunduppdrag. En viktig utgångspunkt är att förstå byråns roll vid behandling av personuppgifter, vilka grundläggande principer som gäller och vilka uppgifter som behöver behandlas.
Byrån behöver också arbeta förebyggande genom att använda säkra system, begränsa åtkomsten till personuppgifter och dokumentera hur uppgifterna hanteras.
När är byrån personuppgiftsansvarig eller personuppgiftsbiträde?
En central fråga inom GDPR är om byrån är personuppgiftsansvarig eller personuppgiftsbiträde.
Den personuppgiftsansvarige bestämmer varför personuppgifter ska behandlas och hur behandlingen ska gå till, det vill säga ändamål och medel. Ansvaret avgörs av var det faktiska inflytandet över behandlingen ligger. Ett personuppgiftsbiträde behandlar personuppgifter för en personuppgiftsansvarigs räkning.
Byråns roll behöver bedömas för varje behandling och kan inte avgöras enbart utifrån vilken typ av uppdrag det gäller.
En förenklad tumregel är att byrån normalt är personuppgiftsbiträde när kunden bestämmer ändamålen med behandlingen och byrån behandlar personuppgifterna enligt kundens instruktioner. Om byrån själv bestämmer ändamålen och medlen är den normalt personuppgiftsansvarig.
Exempel på byråns ansvar vid olika uppdrag
Vid lönehantering enligt kundens instruktioner är byrån normalt personuppgiftsbiträde.
Vid revision är byrån däremot som huvudregel personuppgiftsansvarig för behandlingen av personuppgifter inom revisionsuppdraget. Det beror på att revisorn självständigt bedömer vilka underlag och personuppgifter som behöver behandlas och hur granskningen ska genomföras.
Byrån är normalt också personuppgiftsansvarig för sina egna behandlingar, exempelvis fakturering, kundkännedomsåtgärder enligt penningtvättsregelverket och behörighetsadministration. Samma byrå kan alltså vara personuppgiftsansvarig för vissa behandlingar och personuppgiftsbiträde för andra.
När byrån är personuppgiftsbiträde krävs ett personuppgiftsbiträdesavtal. Avtalet reglerar den personuppgiftsansvariges instruktioner för behandlingen och beskrivs närmare längre ned i artikeln. Ett praktiskt råd är att lägga avtalet och instruktionerna som bilagor till uppdragsavtalet.
Grundläggande principer för behandling av personuppgifter
All behandling av personuppgifter måste följa GDPR. Det innebär bland annat att behandlingen ska följa de grundläggande principerna i artikel 5 GDPR och ha stöd i en rättslig grund.
Rättslig grund – när får personuppgifter behandlas?
Varje behandling av personuppgifter måste ha en rättslig grund enligt GDPR. Utan rättsligt stöd för behandlingen är den inte laglig.
När byrån är personuppgiftsbiträde behandlar den personuppgifter för kundens räkning och enligt kundens dokumenterade instruktioner. Det är då kunden, som personuppgiftsansvarig, som ansvarar för att det finns rättsligt stöd för behandlingen.
Uppgiftsminimering – behandla bara de uppgifter som behövs
En annan grundläggande princip i GDPR är uppgiftsminimering. Det innebär att byrån inte ska behandla fler personuppgifter än vad som behövs för ändamålet.
Innan ett uppdrag påbörjas bör byrån därför komma överens med kunden om vilka personuppgifter som behövs för att utföra uppdraget.
Vid ett löneuppdrag behöver exempelvis ett sjukintyg inte skickas till byrån om den information som krävs för lönehanteringen kan lämnas på annat sätt. Om byrån däremot hjälper kunden med ett specifikt HR-ärende kan behovet se annorlunda ut.
Känsliga personuppgifter – vad gäller enligt GDPR?
Vissa personuppgifter räknas som känsliga och omfattas därför av ett starkare skydd. I GDPR benämns de särskilda kategorier av personuppgifter. Det gäller bland annat uppgifter om hälsa och medlemskap i en fackförening.
Som huvudregel är det förbjudet att behandla känsliga personuppgifter om inte något av undantagen i artikel 9 GDPR är tillämpligt. För att behandlingen ska vara tillåten krävs även en rättslig grund enligt artikel 6 GDPR. En sådan grund kan vara att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse (artikel 6.1 c). Ett tillämpligt undantag kan vara att behandlingen är nödvändig för att fullgöra skyldigheter inom arbetsrätten (artikel 9.2 b).
I löneuppdrag behöver uppgifter om exempelvis hälsa och facklig tillhörighet ofta behandlas för att uppdraget ska kunna utföras. Byrån är då ofta personuppgiftsbiträde och behandlar uppgifterna enligt kundens dokumenterade instruktioner. Kunden ansvarar, som personuppgiftsansvarig, för att behandlingen har rättslig grund och att ett tillämpligt undantag för behandling av känsliga personuppgifter finns.
När byrån får tillgång till känsliga personuppgifter i samband med ett kunduppdrag behöver byrån ta ställning till om uppgifterna behövs för behandlingen och, om byrån är personuppgiftsbiträde, att behandlingen omfattas av kundens instruktioner.
Uppgifterna ska överföras mellan byrån och kunden på ett säkert sätt och endast vara tillgängliga för personer som behöver dem i sitt arbete. De ska inte heller sparas längre än nödvändigt, med hänsyn till behandlingens ändamål och eventuella krav på bevarande.
Andra lagkrav kan påverka hur personuppgifter hanteras
Principen om uppgiftsminimering innebär inte att personuppgifter alltid kan tas bort när ett uppdrag avslutas. Byrån kan behöva bevara uppgifter för att uppfylla rättsliga skyldigheter enligt andra lagar. Det kan exempelvis handla om personuppgifter som behöver behandlas och bevaras enligt penningtvättslagen.
Ett anställningsavtal kan behövas för löneadministrationen, men också ligga till grund för redovisningen av löner och kontroll av att löneutbetalningar sker enligt avtalet.
Hur länge uppgifterna behöver bevaras måste därför bedömas utifrån byråns olika ändamål med behandlingen.
Så skyddar byrån personuppgifter i sina system
Personuppgifter ska skyddas med lämpliga tekniska och organisatoriska åtgärder. Byrån bör därför använda system där information kan delas och lagras på ett säkert och kontrollerat sätt.
En viktig princip är att endast de personer som behöver personuppgifterna för sitt arbete ska ha tillgång till dem. Om byrån exempelvis utför både löne- och redovisningstjänster åt samma kund bör medarbetarna som huvudregel endast ha tillgång till de underlag som behövs för att utföra de egna arbetsuppgifterna.
I praktiken bör byrån bland annat använda individuella användarkonton och flerfaktorsautentisering, hålla systemen uppdaterade, säkerhetskopiera information och testa att den går att återställa. Behörigheter bör också ses över regelbundet och tas bort eller ändras när en medarbetare byter roll eller slutar.
Hantering av personuppgifter via e-post
Vanlig e-post innebär särskilda risker vid hantering av personuppgifter. Information kan exempelvis skickas till fel mottagare eller överföras utan tillräckligt skydd.
Risken för att skicka till fel mottagare kan öka genom automatisk ifyllnad av namn och e-postadresser eller användning av e-postlistor.
Byrån ansvarar för att personuppgifter som behandlas via e-post har lämpligt skydd. Därför bör känsliga och andra integritetskänsliga personuppgifter inte skickas via oskyddad e-post.
När sådana uppgifter behöver överföras elektroniskt bör byrån använda ett kommunikationssätt som ger tillräckligt skydd utifrån riskerna, exempelvis en säker portal eller krypterad e-post.
Om en kund ändå skickar känsliga eller andra integritetskänsliga personuppgifter via vanlig e-post bör byrån bedöma hur uppgifterna ska hanteras. Som utgångspunkt bör de tas bort från e-postsystemet när de inte längre behöver finnas där.
Kunden bör samtidigt informeras om hur sådana uppgifter ska lämnas till byrån framöver.
När behövs ett personuppgiftsbiträdesavtal?
Ett personuppgiftsbiträdesavtal krävs när en extern part behandlar personuppgifter för en personuppgiftsansvarigs räkning.
Avtalet ingås mellan den personuppgiftsansvarige, som bestämmer ändamålen och medlen för behandlingen, och personuppgiftsbiträdet, som behandlar uppgifterna på den personuppgiftsansvariges uppdrag. Det kan exempelvis vara aktuellt vid användning av molntjänster, andra lagringstjänster, it-support eller lönehantering.
När byrån är personuppgiftsbiträde ska behandlingen av personuppgifter regleras genom ett personuppgiftsbiträdesavtal med kunden som innehåller de villkor som följer av artikel 28 GDPR.
Avtalet ska ange:
- Föremålet för och varaktigheten av behandlingen
- Behandlingens art och ändamål
- Vilken typ av personuppgifter som behandlas
- Vilka kategorier av registrerade som omfattas, samt
- Den personuppgiftsansvariges skyldigheter och rättigheter
I avtalet ska det bland annat särskilt föreskrivas att personuppgiftsbiträdet endast får behandla personuppgifter enligt den personuppgiftsansvariges dokumenterade instruktioner samt att personuppgiftsbiträdet ska tillse att de personer som behandlar personuppgifterna har åtagit sig att iaktta konfidentialitet, att underbiträden inte anlitas utan förhandstillstånd, att lämpliga tekniska och organisatoriska åtgärder vidtas för att skydda de personuppgifter som behandlas och att den personuppgiftsansvarige får bistånd med att fullgöra vissa skyldigheter enligt GDPR.
Personuppgiftsincidenter – vad ska byrån göra?
En personuppgiftsincident är en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring av personuppgifter. Det kan också handla om att uppgifter röjs för obehöriga eller att någon får obehörig åtkomst till dem. Det spelar ingen roll om incidenten sker av misstag eller med avsikt.
Exempel på personuppgiftsincidenter är att:
- Ett löneunderlag skickas till fel mottagare via e-post
- Någon får obehörig åtkomst till en kundmapp i en portal
- En dator med personuppgifter blir stulen
- Personuppgifter raderas eller blir otillgängliga
Byrån bör ha fastställda rutiner för att hantera personuppgiftsincidenter.
Rutinerna bör tydliggöra ansvarsfördelningen. Det kan exempelvis finnas färdiga mallar för incidentrapportering och instruktioner om vem en misstänkt incident ska rapporteras till.
När byrån är personuppgiftsbiträde
Om byrån behandlar de berörda personuppgifterna som personuppgiftsbiträde ska den underrätta kunden om incidenten utan onödigt dröjsmål. Byrån ska också bistå kunden med den information som personuppgiftsbiträdet har tillgång till och som behövs för att kunden ska kunna fullgöra sina skyldigheter enligt GDPR.
När kunden är personuppgiftsansvarig är det kunden som bedömer om incidenten ska anmälas till Integritetsskyddsmyndigheten (IMY), ansvarar för att anmälan görs i rätt tid och tar ställning till om de registrerade ska informeras.
När byrån är personuppgiftsansvarig
När byrån är personuppgiftsansvarig ska den dokumentera alla personuppgiftsincidenter, även dem som inte anmäls till IMY. Dokumentationen ska bland annat beskriva vad som har inträffat, vilka konsekvenser incidenten har fått och vilka åtgärder som har vidtagits eller föreslagits för att åtgärda incidenten eller mildra dess potentiella negativa effekter.
En personuppgiftsincident som medför risk för de registrerades rättigheter och friheter ska som huvudregel anmälas till IMY. Anmälan ska om möjligt göras inom 72 timmar från det att byrån fått vetskap om incidenten.
Om incidenten sannolikt leder till hög risk för de registrerades rättigheter och friheter ska de berörda personerna som utgångspunkt informeras utan onödigt dröjsmål.
Hur länge får byrån spara personuppgifter?
Personuppgifter får sparas så länge som de behövs för ändamålet med behandlingen. När uppgifterna inte längre behövs ska de raderas eller anonymiseras. Det följer av principen om lagringsminimering. GDPR anger däremot inga generella tidsgränser för hur länge olika typer av personuppgifter får sparas. Byrån behöver därför bedöma hur länge personuppgifter behöver bevaras för olika ändamål och införa rutiner för gallring.
I vissa fall kan byrån vara skyldig att bevara uppgifter även efter att de inte längre behövs för det ursprungliga ändamålet. Det gäller exempelvis räkenskapsinformation som ska bevaras enligt bokföringslagen. Uppgifterna ska skyddas med lämpliga säkerhetsåtgärder under hela lagringstiden.
Byrån bör ha dokumenterade rutiner för lagring och gallring. Där ska det framgå vilka uppgifter som sparas, varför de sparas och när de ska raderas samt vem som ansvarar för gallringen.
Dokumentation och register över personuppgiftsbehandlingar
Alla verksamheter som behandlar personuppgifter behöver ha kontroll över sina behandlingar.
För byrån innebär det att ha överblick över:
- I vilken roll som byrån behandlar personuppgifter
- Vilka personuppgifter som samlas in och behandlas
- För vilka ändamål uppgifterna behandlas
- I vilka system behandlingen sker
- Vilken rättslig grund som är tillämplig på respektive behandling
- Vilka som har åtkomst till uppgifterna
- Hur länge uppgifterna ska sparas
Byrån behöver som regel föra en förteckning över sin personuppgiftsbehandlingar. Vilka uppgifter förteckningen ska innehålla beror på om byrån är personuppgiftsansvarig eller personuppgiftsbiträde. En sådan förteckning ger också byrån bättre överblick över sina behandlingar.
Information till registrerade
När byrån är personuppgiftsansvarig ska den se till att de registrerade får tydlig och lättillgänglig information om behandlingen enligt artiklarna 13 och 14 GDPR.
Informationen ska bland annat beskriva hur personuppgifterna behandlas och vilka rättigheter de registrerade har enligt GDPR. Den kan exempelvis lämnas genom en integritetspolicy.
När byrån är personuppgiftsbiträde är det i stället kunden, som personuppgiftsansvarig, som ansvarar för att de registrerade får den information som krävs. Byrån ska dock bistå kunden i den utsträckning som följer av personuppgiftsbiträdesavtalet.
Så hanterar byrån registrerades rättigheter
När byrån är personuppgiftsansvarig ska den underlätta för de registrerade att utöva sina rättigheter enligt GDPR.
En begäran ska hanteras utan onödigt dröjsmål och som huvudregel besvaras inom en månad. Under vissa förutsättningar kan tidsfristen förlängas med ytterligare två månader.
Byrån bör ha tydliga rutiner för att hantera sådana begäranden. När en begäran kommer in behöver byrån först avgöra i vilken roll den behandlar de aktuella personuppgifterna.
Om byrån är personuppgiftsbiträde ska begäran hanteras i enlighet med kundens instruktioner och personuppgiftsbiträdesavtalet. Det är kunden, i egenskap av personuppgiftsansvarig, som ansvarar för att den registrerades begäran hanteras enligt GDPR.
Om byrån är personuppgiftsansvarig ansvarar den själv för att begäran hanteras enligt GDPR.
