Gäller GDPR även för mitt företag om jag inte har personal?
Allmänna dataskyddsförordningen gör ingen åtskillnad baserat på företagsstorlek. Det finns ingen nedre gräns i lagen för antalet anställda eller omsättning under vilken reglerna inte gäller. En fråga är avgörande: behandlar du personuppgifter? Så snart du registrerar ett kundens namn, en e-postadress, en adress för en faktura eller uppgifter om en arbetssökande, behandlar du personuppgifter enligt GDPR, även om du är företagets enda anställd.
Det betyder i praktiken att nästan varje företag, från egenföretagare till stort företag, på något sätt faller inom GDPR:s tillämpningsområde. Skillnaden ligger inte i om lagen gäller, utan i omfattningen och arten av vad du behandlar: en egenföretagare som fakturerar tre kunder per år har en annan praktisk uppgift än en webbutik med tusentals kundprofiler. Skyldigheterna blir större när behandlingen är mer riskfylld eller omfattande, men utgångspunkten förblir densamma för alla.
Vad som faktiskt avgör hur tungt GDPR väger för dig
GDPR har ett konkret undantag som är kopplat till företagsstorlek: skyldigheten att föra en behandlingsöversikt gäller i princip inte för organisationer med färre än 250 anställda, såvida inte behandlingen är återkommande, utgör en risk för registrerades rättigheter, eller avser särskilda kategorier av personuppgifter som exempelvis hälsouppgifter. I praktiken omfattas de flesta små och medelstora företag fortfarande av något av dessa undantag, helt enkelt för att kunduppgifter behandlas regelbundet och därför inte är tillfälliga. Undantaget är således smalare än det verkar vid första anblicken.
Viktigare än det ena undantaget är arten av vad du behandlar. Om du endast behandlar affärskontaktuppgifter från andra företag är risken vanligtvis begränsad. Om du behandlar uppgifter om konsumenter, personal, arbetssökande eller kamerabild gäller samma skyldigheter som för ett stort företag: en rättslig grund för behandlingen, tydlighet gentemot registrerade, avtal med parter som behandlar uppgifter för din räkning, och en plan för vad som händer om något går fel.
Situationer då GDPR helt klart gäller för dig
Om du har en webbutik behandlar du kunduppgifter, beställningsuppgifter och ofta uppgifter genom en betalningsleverantör eller leveranstjänst. Om du har personal behandlar du lönuppgifter, frånvarouppgifter och ibland ett personnummer. Om du arbetar med arbetssökande behandlar du cv och motivationsbrev. Om du använder kameraövervakning på en plats behandlar du bildmaterial från besökare och anställda. I alla dessa fall gäller GDPR helt klart, oavsett om du arbetar ensam eller med tio personer.
Situationer då det väger mindre tungt, men försvinner inte
En egenföretagare som endast fakturerar till affärsuppdragsgivare och inte har personal eller konsumenter behandlar vanligtvis mindre känsliga uppgifter och i mindre volymer. Det gör den praktiska uppgiften mer överskådlig, men det betyder inte att lagen inte gäller. Även då måste du kunna förklara varför du behåller uppgifter, hur länge, och med vem du eventuellt delar dem, till exempel via ett bokföringsprogram eller en molntjänst. EDPB:s riktlinjer och förklaringarna från Datainspektionen betonar ständigt att skyldigheterna följer risken, inte att de försvinner för små aktörer.
Hur du kontrollerar detta för din egen situation
Den mest användbara frågan är inte "är jag stor nog för att räknas", utan "vilka personuppgifter behandlar jag, från vem, och varför". Gå igenom dina viktigaste affärsprocesser: fakturering, kundkontakt, personaladministration, marknadsföring, säkerhet. I varje process där ett namn, e-postadress eller annan identifierbar uppgift förekommer är GDPR relevant. Den som ännu inte har den här överblicken klar kan hitta hjälp i kunskapsbas med förklaringar för varje situation en utgångspunkt för att bestämma vilka skyldigheter som hör till vilken typ av behandling.
De vanligaste frågorna från andra företagare ger också en bra bild av var tvivlet brukar ligga; dessa samlas på sidan med svar på frågor som små och medelstora företagare ofta ställer. Om du vill veta hur informationen på gdpria.eu framställs och vilken källa som motsvarar varje svar, läser du det på sidan som förklarar var den använda informationen kommer från.
Den slutliga bedömningen av din egen situation är din ansvar, eventuellt med en jurist eller med Myndigheten för skydd av personuppgifter som frågekälla för allmän vägledning. Det vi erbjuder på dessa sidor är struktur för att kunna göra denna bedömning, inte själva rådet.
Om du snabbt och utan bindande verkan vill se vilka skyldigheter som gäller för din typ av företag kan du skapa ett affärskonto och bygga upp översikten för din egen situation. Den första utforskningen, inklusive källan för varje svar, är och förblir gratis.