Alla företag som har kunder, anställda eller ett nyhetsbrev behandlar personuppgifter och omfattas av dataskyddsförordningen, GDPR. De flesta småföretag behöver inget dataskyddsombud, men alla behöver en rättslig grund för varje behandling, en integritetspolicy som stämmer med verkligheten, avtal med de leverantörer som hanterar uppgifterna och rutiner för incidenter och registerutdrag. Integritetsskyddsmyndigheten, IMY, kan besluta om sanktionsavgifter även mot små bolag. Vi går igenom er behandling, skriver de dokument som krävs och svarar på konkreta frågor om marknadsföring, kamerabevakning och anställdas uppgifter.
Rättslig grund och information
Varje behandling av personuppgifter behöver en rättslig grund. För ett företag är det oftast avtalet med kunden eller den anställde, en rättslig förpliktelse som bokföring eller ett berättigat intresse som väger tyngre än den enskildes. Samtycke är en av grunderna, men det behövs mer sällan än många tror.
De personer ni samlar in uppgifter om ska få veta vem som ansvarar, varför uppgifterna behandlas, med vilken grund, hur länge de sparas och vilka rättigheter de har. Informationen ska lämnas när uppgifterna samlas in från personen själv, vanligen i en integritetspolicy. Den som begär ett registerutdrag ska normalt få svar inom en månad.
Det här behöver ni ha på plats
- En registerförteckning över era behandlingar. Undantaget för företag med färre än 250 anställda gäller inte när behandlingen sker löpande, kan innebära risker för de registrerade eller omfattar känsliga uppgifter eller uppgifter om brott.
- En integritetspolicy till kunder och besökare och motsvarande information till anställda.
- Personuppgiftsbiträdesavtal med leverantörer som behandlar uppgifter för er räkning, till exempel lönesystem, molnlagring och nyhetsbrevstjänster.
- En rutin för personuppgiftsincidenter och för att svara på registerutdrag.
- Bestämda gallringstider som följs i systemen.
Dataskyddsombud och personnummer
Ett privat företag måste utse ett dataskyddsombud om kärnverksamheten består i att regelbundet och systematiskt övervaka personer i stor omfattning, eller i att behandla känsliga uppgifter eller uppgifter om brott i stor omfattning. Det gäller få småföretag. Personnummer får behandlas utan samtycke bara när det är klart motiverat, till exempel för att identifiera någon säkert.
Tillsyn och sanktionsavgifter
IMY är tillsynsmyndighet i Sverige. Myndigheten kan granska företag efter klagomål eller på eget initiativ och besluta om sanktionsavgift. För de allvarligaste överträdelserna är taket 20 miljoner euro eller fyra procent av den globala årsomsättningen, om det beloppet är högre. Avgiften bestäms i varje enskilt fall, bland annat efter hur allvarlig överträdelsen är.
Så hjälper vi er
Beskriv verksamheten, vilka uppgifter ni hanterar och vilka system ni använder. Inom 24 timmar får ni en kostnadsfri första bedömning och ett fast pris, som mest 9 995 kr exkl. moms. Vi går igenom er behandling, skriver integritetspolicy, registerförteckning och personuppgiftsbiträdesavtal och svarar på era frågor om nyhetsbrev, kamerabevakning och anställdas uppgifter. Läs också om marknadsföringsrätt och om att granska avtal med leverantörer.
Frågor och svar
Vilka dokument måste ett litet företag ha?
En registerförteckning över behandlingarna, en integritetspolicy till kunder och besökare, information till anställda och personuppgiftsbiträdesavtal med leverantörer som behandlar uppgifter för er räkning, till exempel lönesystem, molnlagring och nyhetsbrevstjänster. Ni behöver också en rutin för incidenter och för att svara på registerutdrag. Företag med färre än 250 anställda är undantagna från registerförteckningen bara om behandlingen är tillfällig, inte innebär risker och inte omfattar känsliga uppgifter eller uppgifter om brott. Det är sällan fallet.
Behöver vi samtycke för att skicka nyhetsbrev?
Till fysiska personer krävs som huvudregel samtycke i förväg enligt marknadsföringslagen. Undantaget gäller kunder som har lämnat sin e-postadress vid ett köp. Till dem får ni skicka reklam för era egna liknande varor och tjänster, om de inte har sagt nej och fick en tydlig möjlighet att avböja när adressen samlades in och får det i varje utskick. Lagens samtyckeskrav gäller utskick till fysiska personer. Varje utskick ska ändå ha en giltig adress för avregistrering, oavsett mottagare.
Vad gör vi vid en personuppgiftsincident?
Bedöm risken för de registrerade och dokumentera vad som har hänt. Anmäl till Integritetsskyddsmyndigheten utan onödigt dröjsmål och om möjligt inom 72 timmar från att ni fick kännedom om incidenten, om det inte är osannolikt att den medför en risk för personers rättigheter och friheter. Är risken hög ska även de berörda personerna informeras. Alla incidenter ska dokumenteras internt, även de som inte anmäls.
Får vi kamerabevaka butiken eller lagret?
Ja, om ert intresse av bevakningen väger tyngre än de bevakades intresse av integritet, till exempel för att förebygga brott på en plats där brott har förekommit. Sedan den 1 april 2025 behöver ingen ansöka om tillstånd hos IMY, men ni måste själva göra och dokumentera bedömningen innan ni börjar. Ni ska också informera om bevakningen och begränsa lagringstiden. Bevakning av anställda och personalutrymmen kräver särskild försiktighet.
Hur länge får vi spara kunduppgifter?
Så länge de behövs för ändamålet. Bokföringsunderlag ska sparas till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. Uppgifter om en förfrågan som inte ledde till affär bör raderas inom kort. Bestäm och dokumentera gallringstider per uppgiftstyp och se till att de följs i systemen.
Sidan bygger på dataskyddsförordningen (GDPR), marknadsföringslagen och Integritetsskyddsmyndighetens vägledning. Kontrollerad mot förordningens text 2 oktober 2026. Sidan ger allmän information och ersätter inte en bedömning av ert ärende.