Arbetsgivare hanterar stora mängder personuppgifter om sina anställda och måste följa dataskyddsförordningen (GDPR) för att säkerställa att dessa uppgifter behandlas på ett lagligt och säkert sätt. Brister i hanteringen kan leda till höga sanktioner och skada både företagets rykte och förtroendet bland de anställda.
Vad gäller för behandling av anställdas personuppgifter?
Arbetsgivare får endast samla in, lagra och behandla personuppgifter som är nödvändiga för anställningsförhållandet. Detta innebär att all behandling av personuppgifter ska ha en tydlig och berättigad grund, såsom:
- Anställningsavtal – Grundläggande uppgifter som namn, adress, personnummer och anställningsvillkor.
- Löneuppgifter – Information som behövs för att kunna betala ut lön och sköta skatterapportering.
- Sjukintyg – Vid sjukfrånvaro kan arbetsgivaren behöva hantera viss information om hälsa, men endast i den omfattning som är nödvändig.
- Prestation- och utvecklingsbedömningar – Dokumentation kring medarbetarutveckling och arbetsinsatser.
Behandling av känsliga personuppgifter, såsom hälsouppgifter eller fackligt medlemskap, kräver särskild laglig grund och får bara ske om det finns ett tydligt behov enligt lag eller kollektivavtal.
Hur länge får personuppgifter sparas?
En grundläggande princip inom GDPR är att personuppgifter inte får sparas längre än nödvändigt. Arbetsgivaren måste därför ha tydliga rutiner för hur länge olika typer av information lagras och när den ska raderas.
Exempel på lagringstider:
- Personuppgifter kopplade till anställningen ska raderas när de inte längre är relevanta, exempelvis efter att anställningen har avslutats.
- Löne- och skatteuppgifter måste sparas i minst sju år enligt bokföringslagen.
- Pensionsrelaterade uppgifter kan behöva sparas längre, beroende på lagkrav och avtal.
- Sjukintyg och hälsodata ska raderas så snart det inte längre finns något arbetsrättsligt behov av dem.
Arbetsgivare bör regelbundet se över och rensa onödiga personuppgifter för att undvika onödiga risker och säkerställa GDPR-efterlevnad.
Konsekvenser av att bryta mot GDPR-reglerna
Om en arbetsgivare inte följer GDPR kan detta få allvarliga konsekvenser, både ekonomiskt och juridiskt. Möjliga påföljder inkluderar:
- Höga böter – Sanktioner kan uppgå till 20 miljoner euro eller 4 % av företagets globala omsättning, beroende på vilket belopp som är högst.
- Skadeståndskrav från anställda – Om personuppgifter hanteras felaktigt kan anställda kräva ersättning för integritetsintrång.
- Rykte och förtroendeskador – En läcka eller felaktig hantering av känsliga uppgifter kan påverka företagets anseende negativt.
- Tillsyn och granskningar – Integritetsskyddsmyndigheten (IMY) kan genomföra kontroller och ålägga arbetsgivaren att vidta korrigerande åtgärder.
Att ha en välfungerande GDPR-policy och rutiner för säker hantering av personuppgifter är därför avgörande för att undvika problem och skapa en trygg arbetsmiljö för både arbetsgivare och anställda.
