Personalliggare och GDPR kan hänga ihop
Från den 1 juli 2018 är det fler som kommer att registreras i personalliggare då reglerna utvidgats till att gälla både fler branscher och i vissa fall även företagaren och företagarens familj. Detta samtidigt som allt fler uppmärksammar integritetsfrågorna vid behandling av personuppgifter med anledning av GDPR (EU:s dataskyddsförordning).
Finns det anställd personal ska det finnas personalliggare i vissa branscher. Dessa branscher är sedan tidigare bygg-, restaurang-, frisör- och tvätteribranschen – och nu med tillägg av de med verksamhet inom service av motorfordon, kropps- och skönhetsvård eller är livsmedels- eller tobaksgrossist.
Om det finns anställd personal som omfattas av personalliggare så ska även företagaren, make/maka och barn under 16 år tas med i personalliggaren. Denna utvidgning gör att den personliga integriteten även för företagare blir drabbad av systemet med personalliggare.
Ofta är det smidigt att föra personalliggare med automatisk databehandling, även om inget hindrar att det förs på papper. Inom byggbranschen är det dock krav på elektronisk personalliggare. Om personalliggaren förs på papper är det tveksamt om den är ett sådant register som omfattas av GDPR eftersom det inte ses som ett sökbart register. Som alltid vid hantering av personuppgifter är det viktigt att följa de grundläggande principerna i GDPR. Detta ska också vara dokumenterat. Då personalliggaren ska sparas i två år efter företagets beskattningsårs utgång är det inte fråga om någon tillfällig behandling.
Det är enkelt att förklara ändamålet med behandlingen med hänvisning till lagstiftningen. Tänk på att ta med i dokumentation och information om du tänker använda uppgifterna även till något annat. Det är heller inget problem att förklara att den rättsliga grunden för behandlingen är en rättslig förpliktelsemed hänvisning till lagstiftningen. Vilka uppgifter som samlas in, lagras, lämnas ut till Skatteverket och så småningom raderas framgår av lagstiftningen och mer uppgifter finns ingen anledning att ha i personalliggare. Lagringstiden är inte heller några problem eftersom uppgifterna ska raderas när det inte längre finns något ändamål eller rättslig grund för laglig behandling. Det största problemet är kanske den gnagande oro som företagare kan känna över att de inte lever upp till kraven på säkerhet. Visserligen är det inga känsliga personuppgifter som förs i en personalliggare, men då personnummer ska framgå av personalliggaren är det minst sagt olämpligt om uppgifterna hamnar hos obehöriga. Personalliggaren måste dock alltid finnas tillgänglig i verksamhetslokalen.
De nya reglerna om personalliggare är ett exempel på hur företag hela tiden måste uppdatera sin dokumentation över hur personuppgifter hanteras och sin information till de registrerade. Det gäller att från början hitta bra system och rutiner så att det blir enkelt att följa reglerna och samtidigt se till att bara rätt personer har tillgång till uppgifterna.