GDPR — registrerades rättigheter

Hantera GDPR-begäranden från kunder, anställda och kontaktpersoner — registerutdrag, dataportabilitet och radering.

Översikt

Dataskyddsförordningen (GDPR) ger varje registrerad (en fysisk person vars data du lagrar) vissa rättigheter. B2B.nu har inbyggda verktyg för de vanligaste begäranden:

• Artikel 15 – Rätt till tillgång: ett registerutdrag över all data du lagrar om personen.
• Artikel 17 – Rätt till radering: begäran om att data raderas (kan nekas om bokföringslagen kräver bevarande).
• Artikel 20 – Dataportabilitet: ett strukturerat JSON-format som personen kan ta med sig till en annan leverantör.

Viktigt: B2B.nu krypterar automatiskt alla känsliga personuppgifter (personnummer, lön, kontaktuppgifter) per företag med separata nycklar, enligt GDPR art 32.

---

Komma igång

Gå till GDPR-verktyg i menyn (eller sök "GDPR" i sökfunktionen). Sidan visar två huvudfunktioner:

1. Registerutdrag — exportera data om en specifik person.
2. Raderingsbegäran — registrera en begäran som admin sedan granskar.

---

Registerutdrag (art 15 + 20)

Registerutdrag tas fram direkt på GDPR-sidan.

1. Gå till GDPR-verktyg.
2. Välj Typ av registrerad: Kund eller Anställd.
3. Sök i fältet Sök kund eller anställd på namn eller nummer (kundnummer, org.nr eller anställningsnummer). Skriv minst två tecken. Även inaktiva kunder och avslutade anställda går att hitta.
4. Välj personen i listan och klicka på Ladda ner registerutdrag.
5. En JSON-fil laddas ner:
6. Kund: kundkort, kontaktpersoner och en sammanfattning av fakturor.
7. Anställd: anställningsuppgifter och en sammanfattning av lönebesked.

Kräver rollen administratör. Andra användare ser bara en upplysning om att registerutdrag kräver administratör.

Varje export loggas i aktivitetsloggen så att du kan visa att registerutdraget har tagits fram.

Vad ingår i exporten?

• Personuppgifter (namn, kontaktuppgifter, personnummer/org.nr)
• Relationer (kontaktpersoner för kunden, eller lönekörningar för anställd)
• Sammanfattande transaktionsdata (fakturor/lönebesked — belopp, datum, status)

Detaljer om enskilda fakturor eller lönebesked ingår inte i JSON:en — dessa arkiveras enligt Bokföringslagen separat. Hänvisa vid behov till den faktiska fakturan/lönebeskedet.

---

Raderingsbegäran (art 17)

När en registrerad begär att få sina uppgifter raderade:

1. Gå till GDPR-verktyg.
2. Fyll i formuläret Raderingsbegäran:
3. Typ av registrerad: Kund, Anställd eller Kontaktperson.
4. ID: personens ID i systemet (syns i URL:en på detaljvyn).
5. Motivering (frivilligt): text som förklarar grunden för begäran. Max 2000 tecken.
6. Klicka på Registrera raderingsbegäran.

ID:t måste tillhöra en kund, anställd eller kontaktperson i det aktiva företaget, annars avvisas begäran. Det går inte att registrera en ny begäran för samma person medan en tidigare är obehandlad.

Begäran sparas med status Väntar på beslut. Raderingsbegäran genomför inte automatiskt någon radering — beslutet fattas manuellt eftersom bokföringskrav ibland hindrar radering.

Besluta om en raderingsbegäran (administratör)

Administratörer ser listan Raderingsbegäranden längst ned på GDPR-sidan, med väntande begäranden överst.

1. Läs motiveringen och kontrollera om personen är kopplad till bokföringsdata (se nedan).
2. Skriv en motivering i fältet bredvid begäran, till exempel Bokföringslagen 7 kap — fakturor bevaras till 2032.
3. Klicka på Godkänn eller Avslå. Beslutet sparas med datum och vem som beslutade.
4. En godkänd begäran får status Godkänd – ska utföras. Radera eller anonymisera uppgifterna i kund-, anställd- eller kontaktregistret och klicka sedan på Markera som utförd (skriv gärna vad som togs bort). Status blir Utförd.

Varje beslut loggas i aktivitetsloggen.

---

När får man säga nej till radering?

Bokföringslagen kap 7 § 2 kräver att räkenskapsinformation bevaras i 7 år från räkenskapsårets slut. Det innebär att:

• Fakturor, bokföringsverifikationer och lönebesked får inte raderas inom arkiveringsperioden, även om den registrerade begär det.
• Personuppgifter utöver bokföringsdata (t.ex. kontaktuppgifter, anteckningar, historik i CRM) kan raderas.

Praxis:

1. Registrera begäran enligt ovan.
2. Admin kollar om personen är kopplad till bokföringsdata.
3. Om ja → avslå begäran med motivering och informera personen skriftligt att data bevaras fram till slutet på arkiveringsperioden (+ 2 år för anställda efter anställningens slut). Uppgifterna raderas inte automatiskt när perioden gått ut — radera dem då manuellt.
4. Om nej → godkänn begäran, radera uppgifterna och markera begäran som utförd.

---

Vanliga frågor

Måste jag svara på en GDPR-begäran direkt? Nej, men du har en månad på dig enligt GDPR art 12.3. Kan förlängas med ytterligare två månader vid komplexa begäranden — men då måste du informera personen.

Hur levererar jag registerutdraget till personen? JSON-filen laddas ner till din dator. Skicka den till personen via krypterad e-post (t.ex. lösenordsskyddad zip) eller en säker fildelningstjänst. Skicka aldrig personuppgifter över osäkrade kanaler.

Vad händer om en anställd slutar och vill att sina uppgifter raderas? Lönedata måste bevaras i 7 år (bokföringslag). Personuppgifter utöver lönedata kan raderas efter anställningens slut + 2 år. Ett godkännande raderar inget av sig självt: radera eller anonymisera uppgifterna i anställdregistret och markera sedan begäran som utförd.

Varför är vissa fält maskerade i vanliga listor? Känsliga fält som personnummer och lönebelopp är fältkrypterade. De visas bara när du explicit öppnar ett enskilt register, för att minimera spridning av personuppgifter.

Är GDPR-exporten "personuppgifter i strukturerat format" (art 20)? Ja. JSON är ett maskinläsbart, öppet format som uppfyller kravet i art 20. Personen kan ge filen till en annan leverantör som kan läsa den.