GDPR lönehantering hantera löneuppgifter säkert

Vilka personuppgifter finns i lönehanteringen?

Börja med att följa en vanlig lönekörning från tidrapport till färdigt lönebesked. Då blir det lättare att upptäcka var uppgifter samlas in och vilka kopior som uppstår längs vägen. Det räcker inte att titta på själva löneprogrammet om underlagen också finns i mejl, kalkylblad, papperspärmar eller delade mappar.

Vanliga uppgifter i lönearbetet är namn, kontaktuppgifter, personnummer, bankkonto, arbetad tid, lön, ersättningar och frånvaro. Vissa underlag kan dessutom avslöja privata förhållanden, exempelvis uppgifter om hälsa. Fundera därför på vilken information den som räknar lönen faktiskt behöver, snarare än att rutinmässigt skicka hela dokument eller långa mejltrådar.

Gör gärna en enkel förteckning med uppgiftstyp, användningsområde, system, mottagare och ansvarig kontaktperson. Ta även med överföringar till bokföringen. Om du vill samordna de delarna kan du läsa mer om bokföring av löner.

Hur skyddar man personuppgifter i lönehanteringen?

En bra praktisk utgångspunkt är att skilja mellan att lämna underlag, beräkna lön och godkänna utbetalning. Alla som deltar i arbetet behöver inte se samma information. Be därför om personliga användarkonton och behörigheter som går att anpassa efter arbetsuppgiften.

Se över åtkomsten när någon byter roll, slutar eller bara ska hjälpa till tillfälligt. Fråga också om systemet erbjuder flerfaktorsinloggning och loggar som gör det möjligt att följa åtkomst och ändringar. Det är funktioner att bedöma när du jämför lösningar, inte ett skäl att anta att ett system automatiskt löser hela dataskyddsarbetet.

Glöm inte vardagen runt programmet. En exporterad lönelista på en gemensam skrivare eller en delad dator kan skapa andra risker än själva systemet. Bestäm därför även hur utskrifter, nedladdningar och arbetskopior ska hanteras.

Kan man skicka lönebesked med mejl?

Bedöm hur lönebeskedet skickas och skyddas i stället för att utgå från att all mejlhantering fungerar likadant. Vanlig e-post, krypterad överföring och en inloggad löneportal är olika lösningar. Fråga leverantören hur mottagaren identifieras, hur uppgifterna skyddas och vad som händer om ett besked skickas till fel person.

En löneportal kan vara ett alternativ till bilagor som blir kvar i flera inkorgar. Undersök då också hur tidigare anställda får tillgång till sina besked och hur felaktiga kontaktuppgifter rättas. Välj en tydlig rutin som fungerar även vid semester och personalbyte.

Om ett lönebesked eller en lönelista hamnar fel är det värdefullt att ha en förberedd kontaktväg. Bestäm vem som tar emot informationen, dokumenterar händelsen och samordnar bedömningen av nästa steg. Undvik att sprida de berörda uppgifterna ytterligare när händelsen diskuteras.

GDPR vid outsourcing av lönehantering – vad bör avtalet beskriva?

När en extern byrå sköter lönerna behöver ni reda ut rollerna i personuppgiftshanteringen, inte bara vem som räknar fram beloppen. Be byrån beskriva vilka uppgifter den tar emot, i vilka system de hanteras och vilka andra leverantörer som får tillgång till dem. Fråga också hur upplägget för personuppgiftsbiträdesavtal ser ut och hur det passar den tjänst du köper.

Be om konkreta svar på hur behörigheter, supportåtkomst, säkerhetskopior och överföringar hanteras. Undersök var uppgifterna lagras och om support eller andra tjänster innebär åtkomst från andra länder. Ett allmänt löfte om att tjänsten är GDPR-anpassad säger mindre än en tydlig beskrivning av arbetsflödet.

Avtalet bör också göra det enkelt att förstå vad som händer när samarbetet avslutas. Hur får du tillbaka materialet, i vilket format och hur hanteras kvarvarande kopior? För fler frågor inför upphandlingen kan du använda guiden om avtal vid outsourcing av lönehantering.

Hur hanteras skyddade personuppgifter i lönearbetet?

Om lönehanteringen berör någon med skyddade personuppgifter är det särskilt viktigt att gå igenom hela informationsflödet. Skatteverket har tagit fram en vägledning som även privata aktörer kan använda. Uppgifter som indirekt visar var någon vistas kan vara betydelsefulla, inte bara en bostadsadress.

Planera därför arbetssättet tillsammans med en utsedd ansvarig och undvik att sprida detaljer i vanliga arbetslistor. Gå igenom hur kontaktuppgifter, lönebesked, utskrifter och systemkopplingar hanteras. Beskriv inte personens situation eller lämna identifierande uppgifter i en första offertförfrågan. Ange bara att det finns behov av en särskilt anpassad rutin och be om en lämplig kanal för fortsatt dialog.

Begär offert på lönehantering med tydliga dataskyddsrutiner

För att få jämförbara offerter behöver leverantörerna förstå omfattningen. Beskriv ungefär hur många lönebesked det gäller, om lönerna är fasta eller varierande och vilket löneprogram du använder. Ange också om du vill ha hjälp med tidrapporter, lönebesked, bokföringsunderlag och arbetsgivardeklaration.

Be varje leverantör förklara sitt arbetssätt för säker överföring, behörigheter, incidentkontakt och avslut av tjänsten. Fråga vad som ingår i löpande hjälp och vad som hanteras som ett separat uppdrag. Då blir det lättare att jämföra både tjänstens innehåll och ansvarsfördelningen.

Använd offertformuläret för att beskriva verksamheten och vad du vill ha hjälp med. Skicka inte personnummer, kontonummer, löneunderlag eller uppgifter om enskilda anställdas hälsa. Sådant kan vid behov lämnas senare genom en överenskommen, lämplig kanal.