Lönedata är några av de mest känsliga personuppgifter ett företag hanterar: personnummer, lön, bankkonto, sjukfrånvaro och föräldraledighet. Dataskyddsförordningen, GDPR, styr hur uppgifterna får behandlas, och bokföringslagen styr hur länge löneunderlagen ska sparas. Vi hjälper dig att hantera lönedata enligt GDPR när lönen läggs ut. Här beskriver vi ansvaret, avtalen och arkiveringen.
Integritetsskyddsmyndigheten, IMY, beskriver på sidan Arbetsliv att arbetsgivaren är personuppgiftsansvarig för de anställdas personuppgifter. Ansvaret ligger kvar hos arbetsgivaren även när någon annan, till exempel en leverantör av ett IT-system, sköter behandlingen. IMY påpekar också att ett samtycke inte kan ges samma betydelse i en anställning som i andra sammanhang.
När vi sköter lönen är vi personuppgiftsbiträde. Det betyder att vi behandlar uppgifterna för ditt företags räkning och enligt dina instruktioner.
Lönedata och GDPR: vem ansvarar
Roll
Vem
Ansvar
Personuppgiftsansvarig
Ditt företag
Bestämmer vilka uppgifter som behandlas och varför
Personuppgiftsbiträde
Lönebyrån
Behandlar uppgifterna enligt instruktion och avtal
Underbiträde
Till exempel leverantören av lönesystemet
Får anlitas bara med skriftligt förhandstillstånd
Personuppgiftsbiträdesavtal
IMY:s sida om personuppgiftsbiträdesavtal nämner lönesystem som ett typiskt exempel på när ett sådant avtal behövs. Avtalet ska vara skriftligt och innehålla minst detta:
att biträdet bara behandlar uppgifterna enligt dokumenterade instruktioner
att alla som behandlar uppgifterna har tystnadsplikt
att biträdet vidtar de säkerhetsåtgärder som krävs
att underbiträden bara anlitas med skriftligt förhandstillstånd och med samma skyldigheter
att biträdet hjälper den ansvarige att uppfylla de registrerades rättigheter
hur uppgifterna hanteras när avtalet upphör
att den ansvarige får göra granskningar
Vi tecknar avtalet innan vi tar emot några uppgifter. Det gäller också vid ett byte av löneleverantör, där det gamla avtalet avgör hur uppgifterna lämnas tillbaka eller raderas.
Särskilt känsliga uppgifter i lönen
Lönen innehåller uppgifter om sjukdom och föräldraledighet. Sjukfrånvaro behövs för att räkna sjuklön och karensavdrag, men själva diagnosen behövs inte. Ett läkarintyg behöver enligt sjuklönelagen inte ange vilken sjukdom det gäller, och vi ber inte om sådana uppgifter.
Frånvarouppgifter för föräldrapenning och tillfällig föräldrapenning lämnas till Skatteverket och skickas vidare till Försäkringskassan. Enligt Skatteverkets sida Lämna arbetsgivardeklaration ska arbetsgivaren informera den anställde om vilka frånvarouppgifter som har lämnats. Se även föräldraledighet och frånvaro.
Arkivering av löneunderlag enligt bokföringslagen
Hur länge löneunderlag som är räkenskapsinformation ska sparas styrs av bokföringslagen:
Bevarandetid. Till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades (7 kap. 2 §).
Plats och ordning. Huvudregeln är att räkenskapsinformationen ska förvaras i Sverige, i ordnat skick och på ett betryggande och överskådligt sätt (7 kap. 2 §).
Form. Den ska bevaras som pappershandling eller i elektronisk form enligt lagens regler (7 kap. 1 §).
Överföring. Originalhandlingar får förstöras om informationen förs över till en annan handling utan risk att den förändras eller försvinner (7 kap. 6 §).
För en lönelista från ett räkenskapsår som slutar den 31 december 2026 innebär det att den ska sparas till och med 2033. Uppgifter som inte är räkenskapsinformation, till exempel kopior av ansökningshandlingar eller gamla kontaktuppgifter, bör gallras när de inte längre behövs.
Säkerhet i det dagliga arbetet
Säkra kanaler. Löneunderlag skickas inte som okrypterade bilagor i vanlig e-post.
Behörigheter. Bara de som arbetar med lönen har tillgång till lönedata.
Kontoändringar. Nya bankkonton bekräftas direkt med den anställde innan de används.
Loggning. Ändringar i personalregistret ska gå att följa i efterhand.
Instruktioner om vilka uppgifter vi ska behandla och i vilket syfte, i personuppgiftsbiträdesavtalet.
Kontaktperson för frågor om personuppgifter, och dataskyddsombud om företaget har ett.
Arkivrutin för de underlag vi skickar varje månad.
Vanliga misstag
Inget biträdesavtal. Avtalet ska finnas innan lönedata lämnas över.
Diagnoser i löneunderlaget. Lönen behöver bara veta att den anställde varit sjuk och hur länge.
Allt sparas för alltid. Det som inte är räkenskapsinformation bör gallras.
Löneunderlag i öppna mappar. Begränsa åtkomsten till dem som arbetar med lönen.
Checklista
Personuppgiftsbiträdesavtal tecknat
Lista över underbiträden godkänd
Rutin för att informera anställda om lämnade frånvarouppgifter
Arkiv för löneunderlag i sju år efter räkenskapsårets utgång
Gallringsrutin för övriga personuppgifter
Beskriv ditt företag
Vanliga frågor
Arbetsgivaren. Enligt IMY ligger ansvaret kvar hos arbetsgivaren även när någon annan sköter behandlingen.
Bland annat att uppgifterna bara behandlas enligt dokumenterade instruktioner, tystnadsplikt, säkerhetsåtgärder, regler för underbiträden och hur uppgifterna hanteras när avtalet upphör.
Nej. Lönen behöver bara veta att den anställde varit sjuk och hur länge. Ett läkarintyg behöver inte ange sjukdomen.
Underlag som är räkenskapsinformation ska bevaras till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades.