Månadens fråga – Behandling av personuppgifter enligt GDPR

Hej, spännande fråga! Den är inte heller helt enkel att svara på, men jag ska göra ett försök. Personnummer är ju en personuppgift (precis som namn, adress, telefonnummer m.m.) och måste därför hanteras med hänsyn tagen till dataskyddsförordningen (GDPR). GDPR säger att ni som verksamhet endast ska behandla personuppgifter om ni har en så kallad rättslig grund för behandlingen.

GDPR styr både digitala och analoga data, till exempel en digital databas eller ett handskrivet register över personuppgifter. För att GDPR ska gälla måste personuppgifterna vara sökbara. Om man exempelvis sorterar alla pantkvitton utifrån lämnade personnummer så skapas ett register där man kan söka efter ett visst personnummer. Då gäller GDPR. Om kvittona däremot sorteras efter exempelvis datum eller belopp blir inte personnumren sökbara och omfattas därför inte av GDPR. Jag antar att ni inte sorterar kvittona efter personnummer, då bör det inte heller vara ett problem att skriva personnumren på respektive kvitto.

Om ni sorterar efter personnummer, eller på annat sätt kombinerar uppgifter så att personuppgifterna blir sökbara, så omfattas ni av GDPR och behöver förhålla er till det. I ditt exempel ovan så påstår leverantören att ni inte behöver personnumret för att minska bedrägerierna (de påstår ju att deras system inte går att lura) och då får ni inte heller registrera det. Det kan dock absolut vara så att leverantören tror lite mer på sin produkt än vad den faktiskt kan leverera, säljare har en tendens att överdriva ibland. Om systemet inte är vattentätt kan det vara så att ni faktiskt behöver lagra personnummer för att förebygga bedrägerier och att det då föreligger ett så kallat berättigat intresse. Då får ni också göra det enligt GDPR, så länge som ni följer de steg som ni alltid måste förhålla er till när det gäller hantering av personuppgifter. Det är du som personuppgiftsansvarig som måste kunna visa att intresset överväger integritetsintrånget.

Jag skulle tro, jag är ingen expert på GDPR, att ert system med personnummer på kvitton inte omfattas av GDPR och att ni därför kan fortsätta som tidigare. Min rekommendation är dock att ni ser över om ni verkligen behöver registrera personnumren och slutar med det om det inte är direkt nödvändigt. Ett förslag är exempelvis att markera kvittot på annat sätt då just personnummer anses vara särskilt integritetskänsligt. Att minimera hanteringen av personuppgifter är en bra princip och det enda sättet att vara helt säker på att man följer GDPR är att undvika personuppgifterna helt.

GDPR är komplicerat och vi har mycket duktiga experter på Svensk Handel som kan hjälpa er vid behov. Slå oss en signal!