GDPR — registrerades rättigheter
Innehåll
Hantera GDPR-begäranden från kunder, anställda och kontaktpersoner — registerutdrag, dataportabilitet och radering.
Översikt
Dataskyddsförordningen (GDPR) ger varje registrerad (en fysisk person vars data du lagrar) vissa rättigheter. B2B.nu har inbyggda verktyg för de vanligaste begäranden:
- Artikel 15 – Rätt till tillgång: ett registerutdrag över all data du lagrar om personen.
- Artikel 17 – Rätt till radering: begäran om att data raderas (kan nekas om bokföringslagen kräver bevarande).
- Artikel 20 – Dataportabilitet: ett strukturerat JSON-format som personen kan ta med sig till en annan leverantör.
Viktigt: B2B.nu krypterar automatiskt alla känsliga personuppgifter (personnummer, lön, kontaktuppgifter) per företag med separata nycklar, enligt GDPR art 32.
Komma igång
Gå till GDPR-verktyg i menyn (eller sök "GDPR" i sökfunktionen). Sidan visar två huvudfunktioner:
- Registerutdrag — exportera data om en specifik person.
- Raderingsbegäran — registrera en begäran som admin sedan granskar.
Registerutdrag (art 15 + 20)
Registerutdrag genereras från respektive register, inte från GDPR-sidan.
För en kund
- Gå till Kunder.
- Öppna kundens detaljvy.
- Klicka på GDPR-export.
- En JSON-fil med all lagrad data laddas ner: kundkort, kontaktpersoner och en sammanfattning av fakturor.
För en anställd
- Gå till Anställda.
- Öppna den anställdes detaljvy.
- Klicka på GDPR-export.
- JSON-filen innehåller anställningsuppgifter och lönebesked-sammanfattning.
Kräver rollen administratör.
Varje export loggas i ditt audit log så att du kan bevisa att registerutdraget skickats.
Vad ingår i exporten?
- Personuppgifter (namn, kontaktuppgifter, personnummer/org.nr)
- Relationer (kontaktpersoner för kunden, eller lönekörningar för anställd)
- Sammanfattande transaktionsdata (fakturor/lönebesked — belopp, datum, status)
Detaljer om enskilda fakturor eller lönebesked ingår inte i JSON:en — dessa arkiveras enligt Bokföringslagen separat. Hänvisa vid behov till den faktiska fakturan/lönebeskedet.
Raderingsbegäran (art 17)
När en registrerad begär att få sina uppgifter raderade:
- Gå till GDPR-verktyg.
- Fyll i formuläret Raderingsbegäran:
- Typ av registrerad: Kund, Anställd eller Kontaktperson.
- ID: personens ID i systemet (syns i URL:en på detaljvyn).
- Motivering (frivilligt): text som förklarar grunden för begäran. Max 2000 tecken.
- Klicka på Registrera raderingsbegäran.
Begäran sparas med status Väntande och admin får ett ärende att granska. Raderingsbegäran genomför inte automatiskt någon radering — beslutet fattas manuellt eftersom bokföringskrav ibland hindrar radering.
När får man säga nej till radering?
Bokföringslagen kap 7 § 2 kräver att räkenskapsinformation bevaras i 7 år från räkenskapsårets slut. Det innebär att:
- Fakturor, bokföringsverifikationer och lönebesked får inte raderas inom arkiveringsperioden, även om den registrerade begär det.
- Personuppgifter utöver bokföringsdata (t.ex. kontaktuppgifter, anteckningar, historik i CRM) kan raderas.
Praxis:
- Registrera begäran enligt ovan.
- Admin kollar om personen är kopplad till bokföringsdata.
- Om ja → informera personen skriftligt att data bevaras fram till slutet på arkiveringsperioden (+ 2 år för anställda efter anställningens slut). Raderas automatiskt när perioden gått ut.
- Om nej → all data kan raderas direkt.
Vanliga frågor
Måste jag svara på en GDPR-begäran direkt? Nej, men du har en månad på dig enligt GDPR art 12.3. Kan förlängas med ytterligare två månader vid komplexa begäranden — men då måste du informera personen.
Hur levererar jag registerutdraget till personen? JSON-filen laddas ner till din dator. Skicka den till personen via krypterad e-post (t.ex. lösenordsskyddad zip) eller en säker fildelningstjänst. Skicka aldrig personuppgifter över osäkrade kanaler.
Vad händer om en anställd slutar och vill att sina uppgifter raderas? Lönedata måste bevaras i 7 år (bokföringslag). Personuppgifter utöver lönedata kan raderas efter anställningens slut + 2 år. Systemet hanterar detta automatiskt när admin godkänner raderingsbegäran efter karensperioden.
Varför är vissa fält maskerade i vanliga listor? Känsliga fält som personnummer och lönebelopp är fältkrypterade. De visas bara när du explicit öppnar ett enskilt register, för att minimera spridning av personuppgifter.
Är GDPR-exporten "personuppgifter i strukturerat format" (art 20)? Ja. JSON är ett maskinläsbart, öppet format som uppfyller kravet i art 20. Personen kan ge filen till en annan leverantör som kan läsa den.