Hantering av medarbetardata: En praktisk GDPR-guide

Det krävs tydliga regler för personalregister: vad som samlas in, vem som har tillgång till uppgifterna och när de ska raderas. Utgå från syftet med varje register, snarare än en lista över information som kan komma till nytta någon gång.

Faktagranskat den 21 september 2026. Nationella arbetsrättsliga regler och omständigheterna kring behandlingen spelar också roll.

Samla in information för ett specifikt syfte

Kontaktuppgifter, löneuppgifter, arbetstider och prestationsuppgifter tjänar olika syften. Dokumentera syftet, vilka personer som behöver åtkomst och vilka regler för lagringstid som gäller för varje kategori. Ett HR-system bör hjälpa dig att hålla dessa skillnader tydliga.

GDPR kräver dataminimering. Att vara arbetsgivare innebär inte en allmän rätt att samla in en anställds personuppgifter. Uppgifter om fällande domar och brott regleras av artikel 10, separat från de särskilda kategorierna i artikel 9. GDPR, artiklarna 5, 9 och 10

Hälsouppgifter, fackföreningsmedlemskap och biometriska uppgifter som används för unik identifiering kräver särskild försiktighet. Vid behandling av särskilda kategorier av personuppgifter måste både en grund enligt artikel 6 och ett tillämpligt villkor enligt artikel 9 fastställas. Nödvändigheten enligt arbetsrätten i artikel 9.2 b beror på tillstånd i EU-lagstiftningen eller nationell lagstiftning, eller ett kvalificerat kollektivavtal, med skyddsåtgärder. EDPB: laglig behandling och känsliga uppgifter

Välj den rättsliga grunden för varje åtgärd

Avtalsmässig nödvändighet, rättslig skyldighet och berättigade intressen är vanliga begrepp inom arbetsrätten, men vilken grund som är lämplig beror på verksamheten. En klausul i ett avtal innebär inte att all relaterad användning av uppgifter är nödvändig. Berättigade intressen kräver en bedömning av nödvändighet och intresseavvägning; ytterligare nationella regler kan gälla för övervakning.

Samtycke är ofta olämpligt när anställningsförhållandet hindrar ett fritt val. När samtycke används måste det vara möjligt att vägra eller återkalla det utan negativa konsekvenser. Dokumentera grunden innan behandlingen påbörjas. EDPB: rättsliga grunder

Förklara behandlingen tydligt

För information som samlas in direkt från den anställde kräver artikel 13 normalt att information om integritetsskydd lämnas när uppgifterna inhämtas. Uppgifter som inhämtas från andra källor omfattas av artikel 14, med egna tidsfrister och undantag. Behandla ändamål, rättsliga grunder, mottagare, lagring, överföringar där så är relevant samt tillämpliga rättigheter. Ett bekräftande av ett meddelande innebär inte samtycke till alla aktiviteter som beskrivs däri. GDPR, artiklarna 13 och 14

Se till att informationen är lätt att hitta efter introduktionen. Om en anställd frågar om en viss användning av sina uppgifter bör någon kunna förklara den faktiska processen bakom formuleringen.

Hantera förfrågningar från medarbetare genom en tydlig process

Anställda kan begära tillgång till och rättelse av sina uppgifter och kan, beroende på omständigheterna, ha rätt till radering, begränsning, portabilitet eller invändning. Radering är inte ovillkorlig: lagstadgade bevaringsskyldigheter och rättsliga anspråk kan motivera att vissa uppgifter behålls. Begränsning innebär inte heller ett absolut förbud mot all användning av bevarade uppgifter.

Portabilitet avser uppgifter som tillhandahålls av den enskilde och som behandlas automatiskt på grundval av samtycke eller avtal. Det omfattar inte alla HR-register. Begäranden ska normalt besvaras inom en månad; en tillåten förlängning måste motiveras inom den första månaden. Rättelser, radering och begränsningar kan behöva meddelas mottagarna, med förbehåll för undantagen i artikel 19. EDPB: enskildas rättigheter

Ett användbart internt arbetsflöde är att:

1. Registrera när begäran inkom och utse en ansvarig.
2. Fastställ vad som begärs och verifiera identiteten på ett proportionerligt sätt.
3. Sök igenom relevanta system, inklusive dokument och korrespondens.
4. Granska svaret för information om andra personer och tillämpliga begränsningar.
5. Skicka svaret på ett säkert sätt och dokumentera vad som har gjorts.

Ställ in lagringstiden efter typ av uppgift och jurisdiktion

Det finns ingen enhetlig EU-tabell för bevarande av alla typer av personaluppgifter. Löneunderlag, kandidatakter och arbetsmiljöjournaler kan omfattas av olika krav. Dokumentera skälet till varje bevarandeperiod, när tidsfristen börjar löpa, eventuella begränsade arkiveringsfaser och vad som händer när perioden löper ut.

Frankrikes dataskyddsmyndighet CNIL publicerar riktlinjer för lagring av personuppgifter, men de landspecifika tidsperioderna bör inte framställas som EU-omfattande regler. Rättsliga krav på bevarande och lagstadgade lagringstider kan ändras när radering är lämpligt. CNIL: lagringstider

En standardinställning i programvaran är en inställning som ska utvärderas, inte ett bevis på att den valda perioden är laglig. Inkludera export, anslutna tjänster och hantering av säkerhetskopior i din process.

För register över aktiviteter, inte en andra personalförteckning

Ett register över behandlingsaktiviteter beskriver verksamheter såsom löneadministration eller rekrytering. Det är inte en separat rad för varje ny anställd. Utgå inte från att skyldigheten upphör om man har färre än 250 anställda: undantaget är begränsat och löpande HR-behandling är inte av tillfällig karaktär. EDPB: register och ansvarsskyldighet

Kontrollera varje leverantörs roll

När en leverantör behandlar uppgifter för din räkning krävs ett avtal enligt artikel 28 om uppdragstagare. Andra mottagare kan agera som oberoende eller gemensamma personuppgiftsansvariga och kräver en annan bedömning; inte varje utlämnande av uppgifter innebär ett uppdragstagarförhållande. GDPR, artiklarna 26 och 28

Vid överföringar utanför EES ska du kontrollera tillämpligt beslut om adekvat skyddsnivå eller skyddsåtgärder samt tjänsteavtalet. Att företaget är registrerat i EU och att servern är placerad där är inte avgörande för hela dataflödet. EDPB: internationella överföringar

PersoHR erbjuder dataexport, arbetsflöden för radering och revisionsloggar för att stödja dessa processer. Din organisation måste fortfarande avgöra vilka regler som gäller, konfigurera tjänsten därefter och granska förfrågningarna innan åtgärder vidtas.