Dataskyddsförordningen, GDPR, tillämpades 25 maj 2018. På den här sidan har vi samlat sådant som gäller BL Administration och GDPR, vad du ska tänka på för att uppfylla de krav som de nya reglerna ställer och vilka programfunktioner du kan använda dig av i ditt arbete med GDPR.

Vad är GDPR?

EU har beslutat om en dataskyddsförordning (GDPR) som gäller behandling av personuppgifter. GDPR står för General Data Protection Regulation. Förordningen är en vidareutveckling av personuppgiftslagen (PUL) som gällt tidigare. GDPR ställer bland annat större krav på dokumentation och information från den eller dem som hanterar personuppgifter. Förordningen ska börja tillämpas 25 maj 2018.

Syftet med GDPR är att säkerställa och harmonisera skyddet för fysiska personers personuppgifter. Fysiska personer ska få större kontroll över sina personuppgifter samtidigt som företag bara behöver förhålla sig till ett enda regelverk när de bedriver verksamhet i flera EU-länder.

GDPR gäller för samtliga företag/myndigheter/föreningar och i vissa fall även privatpersoner som har verksamhet i ett EU-land eller med individer som befinner sig i ett EU-land. Den gäller all personuppgiftsbehandling i systematisk form, i princip all form av elektronisk hantering av personuppgifter, inklusive register, databaser och löpande text. Den kan även gälla viss manuell hantering, t ex register man har på papper.

På vår hemsida finns en särskild sektion, Integritet & GDPR, där har vi samlat all information om vår syn på integritet och vårt integritetsarbete. Här finns även fakta och verktyg som du har nytta av i ditt GDPR-arbete.

Personuppgiftsbiträdesavtal

GDPR gäller för den personuppgiftsansvarige, dvs den som hanterar personuppgifter i sin verksamhet och som bestämmer vilka uppgifter som ska behandlas och vad de ska användas till. Den gäller även för den som är personuppgiftsbiträde, dvs den som hanterar personuppgifter för den personuppgiftsansvariges räkning, t ex en leverantör av en IT-tjänst.

Både en personuppgiftsansvarig och ett personuppgiftsbiträde har alltså ansvar för att GDPR följs. Båda måste t ex föra register över behandling och har ett eget ansvar för säkerhet. Använder du någon annan för att behandla dina personuppgifter måste du ha ett skriftligt personuppgiftsbiträdesavtal med denne, tillsammans med en instruktion om hur biträdet får behandla de personuppgifter som du är ansvarig för.

Genom att du använder BL Administration är vi som leverantör av programmet ett personuppgiftsbiträde för dig, dels genom att vi lagrar er data om ni använder någon av våra tjänster, dels genom att vi agerar som biträde om vi fjärrstyr er dator eller tar in filer från er för åtgärd i vår support. Detta innebär att du behöver ha ett personuppgiftsbiträdesavtal med oss. Vi erbjuder ett färdigt sådant biträdesavtal med tillhörande information på https://gdprsign.blinfo.se. Vi rekommenderar att du som personuppgiftsansvarig skriver under detta avtal med.

Personuppgifter

Vad räknas då som personuppgifter? Jo, en personuppgift är något som ensamt eller i kombination med andra uppgifter kan peka ut en unik nu levande person. Ett bra exempel är ett personnummer som helt ensamt kan peka ut en viss person.

Enbart ett namn är i sig troligen inte en personuppgift eftersom det kan finnas flera personer med samma namn. Kombinerar man däremot namnet med en adress och postort är det högst troligt en personuppgift eftersom namnet och adressen pekar på en viss person.

Längre ned listas de personuppgifter som förekommer i respektive del av programmet.

Känsliga personuppgifter

Vissa kategorier av personuppgifter anses vara känsliga personuppgifter. Det gäller uppgift om ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, uppgifter om en persons sexualliv eller sexuella läggning, genetiska uppgifter, biometriska uppgifter samt uppgifter om hälsa. Här gäller ännu mer restriktiva regler.

Känsliga personuppgifter återfinns i BL Administration främst i löneprogrammet (BL Lön eller BL Lön Plus).

Personuppgifter i programmet

I BL Administration förekommer på många ställen fält som är avsedda för personuppgifter. Dessutom finns på flera ställen (kund, leverantör, anställd, etc.) fria anteckningsfält där du kan ha sparat personuppgifter. Samtliga dessa register omfattas av GDPR och måste följa lagens krav. Nedan listas de fält i respektive programdel som är avsedda för personuppgifter:

Allmänt

• Generella företagsuppgifter – Nås via Arkiv – Företagsuppgifter – Generella. Här finns ett flertal fält med generella personuppgifter, exempelvis namn och e-postadress, ytterligare personuppgifter såsom adress samt identitetspersonuppgifter som organisationsnummer..
• Användare – Nås via Arkiv – Systemunderhåll – Användare. Här finns fält för generella personuppgifter, främst namn, och IT-relaterade personuppgifter som användarnamn och lösenord.
• Kopplade dokument – Till poster i olika register kan kopplade dokument lagras. Dessa återfinns antingen i en tabell i databasen eller i en Bildfiler-mapp i företagsmappen. Från och med version 2019.3.100 lagras kopplade dokument på en filarea utanför själva databasen. Kopplade dokument kan vara i princip vilka filer som helst och kan därmed även innehålla personuppgifter av olika slag.
• Betalfiler mm. – Du kan på flera ställen i programmet skapa olika typer av filer för uppladdning till internetbank eller till Skatteverket (exempelvis lönefiler, leverantörsbetalningar, autogirofiler och begäran om utbetalning för HUS-arbete). Dessa föreslås sparas i företagsmappen, men du kan själv ha valt att lagra dessa på annan plats i ditt nätverk. Dessa kan innehålla personuppgifter av olika slag.

Bokföring

• Verifikationer – I verifikationstext och transaktionstext kan generella personuppgifter som kund- och leverantörsnamn förekomma. Verifikationerna nås bland annat via Aktivitet – Kontroll/Analys – Verifikationskontroll.
• Projekt – Nås via Uppläggning – Projekt. Här finns fält med generella personuppgifter som kundnamn, ansvarig samt kontaktperson.

Fakturering

• Kunder – Nås via Uppläggning – Kunder. Här finns ett flertal fält för generella personuppgifter, utökade personuppgifter samt identitetspersonuppgifter, exempelvis namn, adress, person-/organisationsnummer. Detta är samma register som används i tidredovisningen.
• Leveransadresser – Nås via Uppläggning – Leveransadresser. Här finns fält för generella och utökade personuppgifter som namn och adress.
• E-postadresser – Nås via Uppläggning – E-postadresser. Här finns fält för generella personuppgifter i form av e-postadresser.
• Referenser – Nås via Uppläggning – Referenser – Er referens samt Uppläggning – Referenser – Vår referens. Här finns fält för generella personuppgifter i form av namn.
• Kundreskontra – I kundreskontran som nås via Aktivitet – Kontroll reskontra per kund finns generella och utökade personuppgifter lagrade. Personuppgifterna hämtas från registren för kunder, leveransadresser och referenser.
• Offerter – I offerthistoriken som nås via Aktivitet – Orderlista – Offerter finns generella och utökade personuppgifter lagrade. Personuppgifterna hämtas från registren för kunder, leveransadresser och referenser.

Leverantör

• Leverantörer – Nås via Uppläggning – Leverantörer. Här finns ett flertal fält för generella personuppgifter, utökade personuppgifter samt identitetspersonuppgifter, exempelvis namn, adress, organisationsnummer.
• Attestanter – Nås via Uppläggning – Attestanter. Här finns fält för generella personuppgifter såsom namn och e-postadress.
• Leverantörsreskontra – I leverantörsreskontran som nås via Aktivitet – Kontroll reskontra per leverantör finns generella och utökade personuppgifter lagrade. Personuppgifterna hämtas från leverantörsregistret.

Lön

• Anställda – Nås via Uppläggning – Anställda. Här finns fält för generella personuppgifter, utökade personuppgifter, identitetsuppgifter, arbetsrelaterade personuppgifter, ekonomiska personuppgifter samt känsliga personuppgifter, exempelvis namn, adress, personnummer, uppgifter om anställning, löneuppgifter samt facktillhörighet. Detta är samma register som används i tidredovisningen, dock visas inte uppgifter som krävs för användande av tidredovisningen.
• Lönehistorik – I lönehistoriken som nås via Aktivitet – Kontroll lön finns generella och utökade personuppgifter som hämtas från anställdaregistret lagrade. Dessutom finns ekonomiska personuppgifter och känsliga personuppgifter som registrerats i samband med lönekörningar lagrade.

Tidredovisning

• Kunder – Nås via Uppläggning – Kunder. Här finns ett flertal fält för generella personuppgifter, utökade personuppgifter samt identitetspersonuppgifter, exempelvis namn, adress, person-/organisationsnummer. Detta är samma register som används i faktureringen.
• Medarbetare – Nås via Uppläggning – Medarbetare. Här finns fält för generella och utökade personuppgifter samt IT-relaterade personuppgifter, exempelvis namn, adress och inloggningsuppgifter. Detta är samma register som används i löneprogrammet, dock visas inte uppgifter som krävs för användande av löneprogrammet.
• Tidstransaktioner – I historiken för tidstransaktioner, som nås via Aktivitet – Tidredovisning, finns generella personuppgifter som hämtas från kundregistret och medarbetarregistret.

Exportera personuppgifter

Enligt GDPR ska det vara möjligt att exportera personuppgifter enligt kraven på dataportabilitet och möjligheten att få ut ett registerutdrag. Båda dessa krav tillgodoses i BL Administration av funktionen Exportera personuppgifter.

Dataportabilitet

Dataportabilitet innebär att exempelvis en kund som lämnat sina personuppgifter till ett företag har rätt att få ut sina personuppgifter i elektronisk form för att sedan använda uppgifterna på annat håll. Ett företag som tagit emot personuppgifterna är skyldigt att underlätta en sådan överflyttning av personuppgifter på ett strukturerat sätt.

Registerutdrag

Ett registerutdrag ska alltid lämnas skriftligen och ska innehålla information om vilka uppgifter om den sökande som behandlas i form av ett utdrag med alla de personuppgifter som rör personen som sökt registerutdrag, varifrån dessa uppgifter kommer, vad som är ändamålet med behandlingen och till vilka mottagare eller kategorier av mottagare uppgifterna lämnas ut. Från programmet kan du få ut personuppgifterna för den aktuella personen, men förutom det behöver du alltså komplettera uppgifterna med dokumentation om ändamålet mm, eftersom dessa uppgifter inte framgår i BL Administration på något sätt.

Det är upp till dig som personuppgiftsbehandlare att säkerställa att det är rätt person som ber om uppgifterna. Det krävs alltså någon form av verifiering eller identifiering av att det faktiskt är den personen som uppgifterna avser som också efterfrågat dem. Det kan ske exempelvis genom legitimation, inloggning med hjälp av Bank-ID eller annan inloggad tjänst hos företaget.

Läs mer om programmets funktion för att Exportera personuppgifter.

Radera personuppgifter (avidentifiera)

Enligt GDPR får personuppgifter inte sparas, det vill säga förvaras i en form som möjliggör identifiering av den registrerade, under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas.

När personuppgifterna inte längre behövs för dessa ändamål ska de raderas eller avidentifieras. För att säkerställa att personuppgifter inte sparas längre än nödvändigt bör den som behandlar personuppgifter införa tidsfrister och rutiner för radering eller avidentifiering.

Man har bara laglig rätt att behandla personuppgifter om man har en så kallad rättslig grund. De fyra olika grunder man normalt kommer att använda sig av är samtycke, avtal, rättslig förpliktelse eller intresseavvägning. Samtycke är ett sätt att hämta ett uttryckligt godkännande från kunden. Avtal ger dig rätt att behandla personuppgifter för att kunna uppfylla det ni ingått avtal om. Rättslig förpliktelse är tex att man är tvungen att spara bokföringsunderlag i sju år enligt bokföringslagen eller att man är tvungen att skicka in en inkomstdeklaration till Skatteverket. Intresseavvägning innebär att du anser att ditt intresse av att behandla uppgiften väger tyngre än den registrerades rätt att inte bli behandlad, det kan t ex vara fråga om direktreklam.

Avidentifiering av uppgifter

I programmet kan det bli aktuellt att avidentifiera personuppgifter. Detta eftersom det inte går att ta bort kunder, leverantörer, anställda, etc. så länge det finns historik sparade på dem. Hur du tar bort gamla poster i historiken finns beskrivet nedan. Och när detta gjorts kan även posten i registret tas bort. Dock kan det vara så att historiken (kundreskontra, leverantörsreskontra, lönehistorik mm) kan behöva sparas utifrån rättslig förpliktelse, medan man kanske inte alltid har rättslig grund till att spara uppgifterna på exempelvis ett kund eller leverantör i registren.

Det finns ingen inbyggd funktionalitet för avidentifiering av poster, utan detta får göras manuellt. Du kan använda dig av funktionen Exportera Personuppgifter (se ovan) och där söka fram de poster som ska avidentifieras. Därefter letar du upp respektive post i registren och tar bort personuppgifterna. Du kan om du vill ersätta personuppgifterna med något som anger att posten avidentifierats, exempelvis ”XXX” eller något annat du själv väljer. De register som innehåller personuppgifter finns presenterade ovan.

Borttag av gamla poster

Eftersom du enligt GDPR inte får spara uppgifter längre tid än nödvändigt kan det bli aktuellt att ta bort historiken i programmet. Detta görs med hjälp av funktionen Borttag gamla poster.

Här kan du läsa mer om Borttag av gamla poster.

Lönebesked via e-post

I och med att GDPR börjar tillämpas 25 maj 2018 bör lönebesked inte alltid skickas med e-post, eftersom de kan innehålla känsliga personuppgifter. Möjligheten att skicka lönebesked via e-post finns kvar i löneprogrammen, men bör användas ansvarsfullt av dig som användare. Det är alltså, enligt vissa tolkningar av GDPR, möjligt att även fortsatt använda funktionen under vissa förutsättningar. Uppfylls inte dessa finns flera alternativ till att skicka lönebesked via e-post, bland annat genom vår app

Säkerhet

Varje databas är skyddad med unika inloggningsuppgifter som gör att man inte kan komma åt någons annan data av misstag. Individuella företag kan blockeras för åtkomst. Servrarna skyddas och övervakas dygnet runt.

För att skydda dina personuppgifter har vi ytterligare förstärkt skyddet genom både organisatoriska och tekniska åtgärder samt information:

• Överföring av filer från programmet till och från BL skyddas från och med version 2018.3.100 av kryptering för att försvåra att någon avlyssnar trafiken och kan stjäla personuppgifter när man för över filer från en lokal installation.
• Vi har tagit bort möjligheten att maila in företag, även om BL tar emot mail med krypterad överföring så kan ni kunder ha servrar som inte klarar kryptering och då skulle filer kunna skickas oskyddade.
• BL ändrar sina lagringspolicys för hur länge kundfiler kan lagras hos BL i samband med support, felsökning och konverteringshjälp.
• I vissa fall när känsliga uppgifter ska skickas mellan BL och kund så kan det krävas Bank-ID inloggning för att kunna ta del av dessa.
• Backuprutiner har gåtts igenom och i vissa delar förstärkts.

Användarrättigheter

För att hålla högre säkerhet vid arbete med personuppgifter går det att begränsa användarnas rättigheter. Detta styrs under Arkiv – Systemunderhåll – Databas i molnet – Användarrättigheter – Befintliga användare i företaget. Ligger istället databasen lokalt i datorn/nätverket gör du detta under Arkiv – Systemunderhåll – Användarprofiler.

Här kan du läsa mer om Användarrättigheter.
Här kan du läsa mer om Användarprofiler.