Personuppgiftslagen Så berör den dig som företag Christina Wainikka December 2007

Transkript

1 Personuppgiftslagen Så berör den dig som företag Christina Wainikka December 2007

2

3 1 Innehållsförteckning Innehållsförteckning... 1 Förord Introduktion PERSONUPPGIFTSLAGEN VAD ÄR PERSONUPPGIFTER? BEHANDLING AV PERSONUPPGIFTER PERSONUPPGIFTSANSVARIG - PERSONUPPGIFTSBITRÄDE ANSVAR ÖVERFÖRING AV PERSONUPPGIFT TILL TREDJE LAND Behandling av personuppgifter om anställda OM ANSTÄLLDAS PERSONUPPGIFTER VID REKRYTERING REKRYTERINGSPROCESSEN SVAR PÅ ANNONS OCH SPONTANFÖRFRÅGNINGAR ANSÖKAN INTERVJUANTECKNINGAR REFERENSER KÄNSLIGA UPPGIFTER UNDER PÅGÅENDE ANSTÄLLNING BEHANDLING AV PERSONUPPGIFTER UNDER PÅGÅENDE ANSTÄLLNING ANSTÄLLNINGSLISTOR UNDERLAG FÖR FULLFÖLJANDE AV SKYLDIGHETER KOMPETENSDATABASER BETYG OCH OMDÖMEN ANVÄNDNING AV IT-SYSTEM LOGGNING KAMERAÖVERVAKNING KÄNSLIGA UPPGIFTER EFTER AVSLUTAD ANSTÄLLNING BEHANDLING AV PERSONUPPGIFTER EFTER AVSLUTAD ANSTÄLLNING SKÄL TILL ATT ANSTÄLLNINGEN AVSLUTATS BETYG OCH OMDÖMEN... 16

4 RÄTTSLIGA ANSPRÅK Behandling av personuppgifter i kundrelationer SKILLNAD MELLAN KUND OCH KONSUMENT VID MARKNADSFÖRING UNDER PÅGÅENDE RELATION PERSONUPPGIFTER UNDER PÅGÅENDE RELATION KUNDLISTOR FÖR FULLFÖLJANDE AV ÅTAGANDE KUNDHANTERINGSSYSTEM - LOJALITETSPROGRAM EFTER AVSLUTAD RELATION BEHANDLING AV PERSONUPPGIFT EFTER AVSLUTAD RELATION Behandling av personuppgifter i andra affärsförhållanden I VILKA RELATIONER KAN PERSONUPPGIFTER KOMMA ATT BEHANDLAS? FÖRÄNDRADE AFFÄRSMODELLER För den som vill veta mer BÖCKER OM PERSONUPPGIFTSLAGEN FÖRARBETEN TILL LAGEN HEMSIDOR MED INFORMATION... 22

5 3 Förord Personuppgifter är något vi har omkring oss ständigt och som många hanterar varje dag. I ett företag hanteras personuppgifter om anställda, om kunder, om affärskontakter och så vidare. Många gånger uppkommer frågor om hur dessa personuppgifter kan, får eller ska hanteras. Redan i samband med Personuppgiftslagens tillkomst utarbetade en informationsskrift om lagen. Behovet av information om hur företagen ska göra i olika situationer har också visat sig vara stort. Vi har därför låtit utarbeta en mer utförlig informationsskrift. Syftet med denna skrift är att ge en enkel handledning till de personer i företagen som hanterar personuppgifter. Den är uppbyggd kring olika situationer när företag kan komma att hantera personuppgifter. Tanken är att den som står inför en konkret fråga ska kunna slå upp just det avsnittet och därmed få vägledning om vad som är möjligt att göra. Av naturliga skäl går det inte ens i en mer utförlig skrift att redogöra för allt som rör hantering av personuppgifter. Skriften avslutas därför med hänvisningar till var det finns mer information att hämta för den som har behov av ytterligare information. I konkreta situationer kan det också vara lämpligt att konsultera juridisk expertis för att undvika fel. Skriften är författad av jur dr Christina Wainikka, Wainikkas Innovationsbyrå. Stockholm december 2007 Nicklas Skår

6 4 1. Introduktion 1.1 PERSONUPPGIFTSLAGEN Personuppgiftslagen, PUL, började gälla den 24 oktober 1998 (SFS 1998:204). Lagen kom till mot bakgrund av ett EG-direktiv (95/46/EG). När PUL infördes fick den ett stort genomslag. Det har dock hänt mycket sedan dess och lagen har därför moderniserats. Den 1 januari 2007 började en rad förändringar gälla i PUL. Många av dessa förändringar är att ses som lättnader. Tanken med PUL är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter, det vill säga uppgifter som rör oss som individer. De förändringar som infördes 1 januari 2007 gjordes för att underlätta mycket av den vardagliga behandlingen av personuppgifter, som normalt inte innebär risker för att den personliga integriteten kränks. PUL innehåller numera två olika regelsystem. Det ena regelsystemet är en rad detaljerade hanteringsregler, som styr hur behandling av personuppgifter får gå till. Det finns till exempel regler om vilka grundläggande krav som ska vara uppfyllda vid behandling av personuppgifter, regler om vad som är tillåten behandling samt regler om skyldighet att informera de registrerade. Detta regelsystem gäller för behandling av personuppgifter i strukturerat material som till exempel dataregister, databaser samt dokumenthanteringssystem. Det andra regelsystemet i PUL infördes bland annat eftersom hanteringsreglerna i PUL ansågs alltför omfattande och byråkratiska i vardagliga situationer där personuppgifter visserligen behandlas, men inte är inlagda i ett register eller liknande som gör det lätt att söka fram uppgifterna. Denna typ av hantering får i princip utföras fritt, så länge inte den vars personuppgifter behandlas blir kränkt. Det som avgör om det är det ena eller det andra regelverket som ska tillämpas, är bedömningen av hur hanteringen av personuppgifterna går till. Detta uttrycks som att det första regelverket, med sina detaljregler, ska tillämpas när personuppgifter behandlas som ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter. Regelverket med hanteringsreglerna ska med andra ord tillämpas när informationen är sorterad för att man enkelt ska kunna söka fram eller sammanställa personuppgifter. Strukturen ska vara sådan att det är påtagligt enklare att söka eller sammanställa personuppgifter. En enkel namnlista på nätet innebär normalt sett inte ett sådant strukturerat system. 1.2 VAD ÄR PERSONUPPGIFTER? Personuppgifter handlar om sådant som rör oss som individer. Det är inte bara uppgifter såsom namn, adress och personnummer som är personuppgifter. Som personuppgifter räknas allt som direkt, eller indirekt, kan knytas till en levande fysisk person. Det innebär att även uppgifter som bilars registreringsnummer och fotografier kan vara personuppgifter. 1.3 BEHANDLING AV PERSONUPPGIFTER PUL gäller behandling av personuppgifter. Med behandling avses allt som görs med personuppgifter, oavsett om det sker i en dator eller på papper. Det finns därför många exempel på be-

7 5 handling av personuppgifter. Det kan vara insamling av personuppgifter, genom att exempelvis inhämta någons adress. Det kan även vara registrering av personuppgifter, genom att lägga till en persons telefonnummer i mobilens telefonlista. Det kan också vara lagring av personuppgifter, såsom att behålla uppgifter om kollegor. PUL gäller således för alla typer av behandling av personuppgifter. Det är dock viktigt att komma ihåg att alla regler i PUL inte gäller för alla typer av behandling. 1.4 PERSONUPPGIFTSANSVARIG - PERSONUPPGIFTSBITRÄDE Vanligen är den juridiska person som behandlar personuppgifter i sin verksamhet personuppgiftsansvarig. Det innebär t.ex. att det är aktiebolaget som sådant som är personuppgiftsansvarigt för behandlingen av personuppgifter i ett kundregister och för behandlingen av de anställdas personuppgifter. Det faktum att det är en anställd i bolaget som beslutat om behandlingen gör inte att denne blir personuppgiftsansvarig. Den som behandlar personuppgifter för den personuppgiftsansvariges räkning utanför den personuppgiftsansvariges organisation är ett personuppgiftsbiträde. Ett personuppgiftsbiträde får bara behandla personuppgifter enligt givna instruktioner. Mellan den personuppgiftsansvarige och personuppgiftsbiträdet ska finnas ett skriftligt avtal. I avtalet ska anges att personuppgiftsbiträdet bara får behandla personuppgifterna i enlighet med instruktionerna samt att biträdet måste vidta lämpliga åtgärder för att skydda personuppgifterna. Det är inte personuppgiftsbiträdet som har ansvaret gentemot de vars personuppgifter behandlas. Ansvaret ligger kvar hos den personuppgiftsansvarige. Detta ansvar går inte att överlåta. 1.5 ANSVAR Det är styrelsen och VD som har det yttersta ansvaret för att behandlingar av personuppgifter följer PUL. Den som kränker den personliga integriteten kan bli skadeståndsskyldig. En registrerad person som orsakas skada eller kränkning genom en felaktig behandling av personuppgifter har alltså rätt till ersättning. I lagen finns också ett straffansvar för den som uppsåtligen eller av grov oaktsamhet behandlar personuppgifter i strid med lagens bestämmelser. Påföljden kan bli böter eller fängelse i högst två år. 1.6 ÖVERFÖRING AV PERSONUPPGIFT TILL TREDJE LAND PUL innehåller särskilda regler om överföring av personuppgifter till tredje land. Som tredje land räknas länder utanför EU och EES. Grundprincipen är att det inte är tillåtet att överföra personuppgifter till tredje land, om landet inte har tillräckligt skydd för personuppgifter. När något läggs ut på Internet kan det bli tillgängligt från de flesta länder i världen. I PUL:s mening är det dock inte att betrakta som överföring av personuppgifter. Det företag som däremot skickar personuppgifter om anställda eller kunder till andra länder där företaget är verksamt, för att exempelvis göra vissa utskick, gör överföring av personuppgift.

8 6 När ett företag vill göra sådan överföring måste det göra en bedömning om skyddet för personuppgifter i det mottagande landet är tillräckligt (adekvat). Denna bedömning görs från fall till fall och är bland annat beroende av vilka typer av personuppgifter det är fråga om. I vissa fall är det tillåtet att göra överföring av personuppgifter även om skyddet för personuppgifter i det aktuella landet inte är tillräckligt. Det gäller exempelvis när en överföring av personuppgifter är nödvändigt för att fullgöra skyldigheter i ett avtal. Det kan handla om att det är nödvändigt att överföra personuppgifter för att kunna betala ut lön till en anställd. Det är också tillåtet om den som personuppgifterna rör har lämnat sitt samtycke, under förutsättning att samtycket föregåtts av att personen fått tillräcklig information.

9 7 2. Behandling av personuppgifter om anställda 2.1 OM ANSTÄLLDAS PERSONUPPGIFTER Ett företag som har anställda kan komma att behandla de anställdas personuppgifter i en mängd olika situationer. En del av dessa situationer är helt oproblematiska i förhållande till PUL. En del andra situationer faller inom det område som kräver att de detaljerade hanteringsreglerna i PUL följs. Det är alltså inte relationen som sådan mellan företaget och de anställda som avgör hur personuppgifterna får hanteras. Det är situationen, hanteringen och personuppgifternas natur som avgör. De olika situationerna när ett företag ska hantera personuppgifter om anställda kan delas in i tre kategorier. I denna skrift görs därför genomgången i tre olika delar, utifrån de tre olika situationerna. Den första är vad som gäller vid rekrytering, den andra är vad som gäller under pågående anställning och den tredje är vad som gäller efter avslutad anställning. Det är dock två saker som är viktiga att framhålla. Det ena är att PUL innehåller regler om informationsskyldighet. Informationsskyldigheten innebär att de vars personuppgifter kommer att behandlas ska informeras om vilka personuppgifter som samlas in och vad dessa uppgifter ska användas till. Det andra har beröring på informationsskyldigheten, nämligen möjligheten att lämna samtycke. När en anställd lämnar samtycke till en viss behandling av personuppgifter är det viktigt att han eller hon fått sådan information att fördelarna och nackdelarna med behandlingen framgår tydligt. Samtycket måste gälla en viss behandling som rör den anställde och som utförs av arbetsgivaren för ett bestämt syfte. Samtycket kan inte vara allmänt hållet. 2.2 VID REKRYTERING REKRYTERINGSPROCESSEN När ett företag rekryterar kommer det i kontakt med många personer. Genom hela rekryteringsprocessen måste företaget behandla personuppgifter. Det handlar exempelvis om namn och adress på de sökande. För en del personer är rekryteringen den enda kontakt de har med företaget. En del av dessa personer blir en del av organisationen genom att de anställs. Det ställs olika krav på behandlingen av personuppgifter för de som blir anställda och de som inte blir anställda. Det kan därför vara bra att se på behandling av personuppgifter utifrån rekryteringsprocessens olika faser SVAR PÅ ANNONS OCH SPONTANFÖRFRÅGNINGAR Den första fasen i rekryteringsprocessen består ofta av att en person som är intresserad av anställning hör av sig, per e-post, brev eller telefon. Denna kontakt kan ske på grund av att personen har sett en annons eller helt spontant. Det kan också vara så att någon tipsat personen om att höra av sig till företaget för en viss typ av anställning. I det här skedet har ofta inte någon tidigare kontakt funnits mellan personen och företaget.

10 8 En del företag väljer att hänvisa till att personen ska göra en formell ansökan. Företaget kan då välja att inte arkivera e-post eller brev eller att inte anteckna telefonsamtalet. I sådant fall har inga personuppgifter behandlats. I en del fall väljer företag att spara dessa första kontakter, med eventuella anteckningar. Det kan handla om korta anteckningar om namn, adress och vilken anställning den sökande är intresserad av. Dessa anteckningar innehåller alltså personuppgifter och det kan vara nödvändigt att beakta PUL:s regelverk. För det fall att personuppgifterna antecknas på ett vanligt papper, eller i en löpande text i en fil i ett ordbehandlingsprogram behöver inte PUL:s hanteringsregler tillämpas. Sådana anteckningar kan göras bara för att användas som avstämning gentemot de ansökningshandlingar som sedan kommer in. För det fall att personuppgifterna registreras i ett mer avancerat system, för att vara sökbara, blir PUL:s hanteringsregler fullt ut tillämpbara. Personuppgifterna får registreras och de får också sparas, men bara så länge de är nödvändiga för ansökningsförfarandet. De ska därefter gallras. För det fall att företaget vill behålla uppgifterna för en längre tid, för att exempelvis användas vid en framtida rekrytering krävs att den sökande lämnar samtycke. Precis som alltid vid samtycke krävs att den sökande får information om hur uppgifterna kommer att behandlas och för vilket syfte ANSÖKAN De första kontakterna följs ofta upp av en formell ansökan. En ansökan om anställning innehåller ofta en mängd personuppgifter av olika slag. Det handlar om att från de enkla uppgifterna om namn, adress och personnummer till uppgifter om utbildningar, tidigare arbeten, förtroendeuppdrag och liknande. I en del fall hanteras alla ansökningshandlingar i pappersform. Handlingarna läggs i olika högar och sorteras på olika sätt. En sådan hantering innebär inte att PUL:s hanteringsregler blir tilllämpbara. I andra fall byggs register upp där de sökandes profiler matchas på olika sätt. Tanken med registret är att underlätta gallringen, och sådana register är särskilt vanliga när det är många sökanden. Den här typen av hantering kräver att PUL:s hanteringsregler tillämpas. Enligt hanteringsreglerna i PUL får personuppgifter i ansökningar registreras och sparas så länge det är nödvändigt för ansökningsförfarandet. När ansökningsförfarandet har avslutats ska uppgifterna gallras bort. Det kan i vissa fall bli nödvändigt att helt ta bort det skapade registret. Uppgifter om den eller de som anställdes förs då över till de register som används för anställda. För det fall att företaget vill behålla uppgifterna, för att underlätta kommande rekryteringsprocesser, krävs samtycke från den sökande. För att samtycket ska vara giltigt krävs att den sökande fått information om hur uppgifterna kommer att behandlas och för vilket syfte. I vissa fall kan det bli en tvist om anställningsförfarandet har gått rätt till. En sökande som gallrats bort och inte fått anställning kan stämma företaget. Det kan exempelvis handla om en sökande som ansett sig blivit könsdiskriminerad eller diskriminerad på grund av funktionshinder. Om sådan diskriminering skett finns ett skadeståndsansvar. För att kunna hantera sådana stämningar får företag spara uppgifter från rekryteringsprocessen så länge en sökande som inte har anställts kan vidta rättsliga åtgärder. Den som vill stämma ett företag på grund av påstådd diskriminering vid en rekrytering måste dock iaktta vissa preskriptionsfrister. Krav måste framställas senast inom två år från den påtalade händelsen och talan måste väckas inom några måna-

11 9 der därefter. Det är således möjligt att spara handlingar om rekryteringsprocessen så länge talan kan väckas och under den tid en rättslig prövning pågår INTERVJUANTECKNINGAR I samband med en rekryteringsprocess genomförs nästan alltid någon form av intervju. Vid intervjun görs ofta någon form av anteckningar. Dessa anteckningar kan, beroende på intervjuarens personlighet, vara tämligen ingående och personliga. I många fall är anteckningarna bara handskrivna lappar, som slängs så fort rekryteringsprocessen är klar. Det kan också handla om enkla anteckningar i ett ordbehandlingssystem. För det fall att det är ett ostrukturerat material behöver inte hanteringsreglerna i PUL tillämpas. Man bör dock vara observant på att anteckningarna skulle kunna uppfattas som kränkande. I så fall börjar PUL:s hanteringsregler gälla istället. För det fall att anteckningarna systematiseras och registreras för att vara sökbara, exempelvis för att kunna para ihop ett register med ansökningar med registret med anteckningar, blir hanteringsreglerna i PUL tillämpliga. Anteckningarna får registreras och sparas så länge det är nödvändigt för ansökningsförfarandet. Precis som för ansökningarna gäller att de får sparas så länge sökanden kan vidta rättsliga åtgärder, men därefter ska uppgifterna gallras bort. Om företaget vill spara uppgifter för att exempelvis använda vid framtida rekrytering krävs den sökandes samtycke. Samtycket måste föregås av att den sökanden fått information om varför uppgifterna sparas och vad uppgifterna kan komma att användas till. Det kan finnas anledning att spara anteckningarna, precis som själva ansökan, för att kunna bemöta rättsliga anspråk REFERENSER I samband med rekrytering inhämtas ofta referenser från olika håll. Inhämtning av referenser kan innebära behandling av personuppgifter inte bara om den sökande utan även om den som lämnat referensen. För det fall att referenserna registreras och sparas, inom ramen för exempelvis en rekryteringsdatabas, krävs att PUL:s hanteringsregler beaktas. Inom ramen för vad som är nödvändigt för ansökningsförfarandet får uppgifter från dem som lämnat referenser registreras och sparas. När det inte längre är nödvändigt ska de gallras bort. För det fall att företaget vill spara uppgifterna längre krävs samtycke. Om det bara är uppgifterna om den sökande som sparas krävs enbart samtycke från den sökande. Om det är uppgifter både om den sökande och den som lämnat referensen som sparas krävs samtycke från båda KÄNSLIGA UPPGIFTER I samband med en rekrytering kan ibland känsliga uppgifter komma fram. Det kan handla om uppgifter kring den sökandes hälsostatus eller uppgifter kring den sökandes tidigare lagöverträdelser. Behandling av känsliga uppgifter kräver särskild nogsamhet. Generellt kan sägas att det är viktigt vid behandling av känsliga uppgifter att dessa inte kränker den som uppgifterna rör. Kränkande behandling är inte tillåten. Bedömningen av om en behandling är kränkande sker genom en samlad bedömning. I bedömningen görs en avvägning mellan hur känsliga uppgifterna är, i vilket sammanhang de förekommer, vilken spridning de fått eller riskerar att få. Det vägs också in vilket syftet är bakom behandlingen av uppgifterna och vad

12 10 behandlingen ska leda till. Bedömningen kan alltså ses som en avvägning i varje enskilt fall där personens behov av en fredad privat sfär vägs mot andra motstående intressen. Det är en typ av känsliga uppgifter som kan vara av särskild betydelse vid rekrytering. Det har under senare år blivit allt vanligare att företag ber om att få ett registerutdrag från polisens belastningsregister. När det gäller registerutdrag kan inte företaget begära ett sådant utdrag, det måste den det berör själv göra. När ett registerutdrag lämnas till företaget får uppgifterna i utdraget inte hanteras hur som helst. När det gäller uppgifter om brott gäller inte de förenklade reglerna i PUL, eftersom det är frågan om känsliga uppgifter. Huvudregeln är att det bara är myndigheter som får behandla personuppgifter om lagöverträdelser som innebär brott. Det innebär att företaget som tar emot ett registerutdrag inte får registrera uppgifterna. Det får ta emot uppgifterna, men alltså inte registrera och spara dem digitalt. När det gäller denna typ av uppgifter blir det inte heller tillåtet att behandla dessa uppgifter med stöd av ett samtycke. Det är alltså inte tillåtet att registrera uppgifter om brott som en sökande begått, inte ens om den sökande godkänner registreringen. I vissa fall finns det dock stöd i lag för ett registerutdrag ur polisens belastningsregister. Det finns exempelvis en särskild lag om registerkontroll av personal inom förskoleverksamhet, skola och barnomsorg (SFS 2000:873). Det är dock även i dessa situationer den sökande som ska begära fram registerutdraget. I dessa situationer får uppgifterna registreras. 2.3 UNDER PÅGÅENDE ANSTÄLLNING BEHANDLING AV PERSONUPPGIFTER UNDER PÅGÅENDE ANSTÄLLNING När en person blir anställd av ett företag inleds en relation. I denna relation måste företag ofta och av många olika anledningar hantera de anställdas personuppgifter för att relationen ska fungera. Det kan handla om allt från hur mycket lön en anställd ska få, till vem som kommer på julfesten, till filmerna i övervakningskameran. Dessa olika situationer skiljer sig väldigt mycket åt och det är också stora skillnader mellan hur uppgifter får behandlas i de olika situationerna. Genomgången av hur personuppgifter får/ska/bör hanteras under pågående anställning görs således utifrån några olika situationer ANSTÄLLNINGSLISTOR För företag som har mer än ett par anställda uppkommer ofta ett behov av att ha någon form av lista över de anställda. Det finns många olika sätt att upprätta en sådan lista. En enkel lista, som görs i ett ordbehandlingsprogram eller rent av för hand, faller in under undantaget från hanteringsreglerna i PUL. Det är alltså de förenklade reglerna som gäller för den typen av anställningslistor. I en del fall kanske listan över de anställda skapas i ett ordbehandlingsprogram, men överförs sedan till ett ärendehanteringssystem eller liknande. I de fallen blir hanteringsreglerna i PUL fullt ut tillämpbara.

13 UNDERLAG FÖR FULLFÖLJANDE AV SKYLDIGHETER Ett företag kan behöva behandla de anställdas personuppgifter för att fullfölja olika typer av skyldigheter. En del av dessa skyldigheter uppkommer på grund av avtal, både kollektivavtal och anställningsavtal. Andra av dessa skyldigheter uppkommer på grund av rättsliga krav enligt lagar och förordningar. De skyldigheter som ett företag måste fullfölja gentemot de anställda är de som har att göra med administrationen av anställningsavtalet, inklusive kollektivavtalet. Avtalen innebär en skyldighet för den anställde att utföra visst arbete och för företaget en skyldighet att betala ut lön. För mycket av denna administration av företagets skyldigheter behövs behandling av personuppgifter. Det handlar exempelvis om olika former av personaladministrativa system för att betala ut löner. Lönesystemet måste också innehålla möjligheter att registrera olika typer av frånvaro, eftersom det i olika grad påverkar företagets skyldighet att betala ut lön. Enligt PUL är det tillåtet att behandla personuppgifter om det är nödvändigt för att anställningsavtalet eller något annat avtal mellan företaget och den anställde ska kunna uppfyllas. PUL innebär alltså att normala personaladministrativa system är tillåtna. Det är dock viktigt att komma ihåg att detta bara gäller för den typ av behandling som följer av skyldigheten i ett avtal. Det är inte tillåtet att med detta som ursäkt göra andra typer av personuppgiftsbehandlingar inom ramen för det personaladministrativa systemet. Det är till exempel inte tillåtet att använda det personaladministrativa systemet för att göra tidsstudier eller kartläggningar av personalens privatliv. De avtal som ger denna möjlighet till behandling av personuppgifter måste vara träffade mellan företaget och den anställde. För det fall att ett företag har träffat ett avtal med ett bemanningsföretag för att få arbete utfört av en person blir situationen en annan. Den som är arbetsgivare är bemanningsföretaget och det är bemanningsföretaget som får behandla personuppgifter för att uppfylla sina skyldigheter gentemot den anställde. Det företag som personen utför arbetet hos kan inte åberopa anställningsavtalet. Det finns också ett annat utrymme för behandling av anställdas personuppgifter. Företaget får behandla personuppgifter om det är nödvändigt och intresset av att behandla personuppgifterna är större än den anställdes intresse av att uppgifterna inte behandlas. Detta kräver alltså en intresseavvägning och den måste göras utifrån varje enskild situation. När det gäller behandling av personuppgifter för att fullgöra en rättslig skyldighet kan det uppkomma i en mängd situationer. Det finns flera lagar och förordningar som innebär att företag är skyldiga att lämna ut uppgifter om de anställda till exempelvis olika myndigheter. Företag har till exempel en skyldighet att redovisa skatter och avgifter för de olika anställda. För att kunna fullfölja denna skyldighet måste vissa personuppgifter behandlas. När det finns en rättslig skyldighet att lämna information om anställda finns också en rätt enligt PUL för företaget att samla in och registrera nödvändiga personuppgifter. Det ger inte en rätt att samla in alla typer av personuppgifter, utan bara de som berörs av den rättsliga skyldigheten att lämna ifrån sig uppgifter om de anställda KOMPETENSDATABASER I en del fall behöver företag använda sig av kompetensdatabaser. Det kan handla om stora organisationer som använder kompetensdatabaser för internrekrytering till olika tjänster, men också för att kunna sätta samman olika projektgrupper. Det finns andra företag som använder kompetensdatabaser för att matcha personer med kundernas behov. Det kan vara rekryteringsföretag

14 12 som använder dem, men även bemanningsföretag som använder sig av kompetensdatabaser för att matcha sina anställda med den kompetens som kunderna behöver. För att en kompetensdatabas ska kunna fylla sitt syfte behöver den vara strukturerad och sökbar. Det gör att de förenklade reglerna i PUL inte kan tillämpas, utan att de detaljerade hanteringsreglerna måste beaktas. Vilka personuppgifter som brukar behövas för att bygga en kompetensdatabas är varierande. I en del situationer anses det räcka med rena faktauppgifter om utbildning, arbetslivserfarenhet, genomförda uppdrag, behörighet för vissa typer av arbeten och licenser/certifikat. I vissa fall kan önskemål finnas om att även registrera olika typer av omdömen. Frågan om hur omdömen kan behandlas är en delvis annan fråga, så den tas upp för sig nedan. I det följande diskuteras därför bara kompetensdatabaser som innehåller rena fakta om utbildningar, genomförda uppdrag och så vidare. När det gäller kompetensdatabaser kan de ibland innehålla uppgifter som är nödvändiga för att företaget ska kunna sköta sina åtaganden. Det kan till exempel handla om att det finns krav i lag eller förordningar om att personer som utför vissa typer av arbeten måste ha en viss behörighet eller inneha en viss licens. Företag får då behandla sådana personuppgifter i kompetensdatabaser utan hinder av PUL. För andra typer av kompetensdatabaser får företag behandla personuppgifter om den vars uppgifter behandlas har lämnat sitt samtycke. Har samtycke lämnats får i princip alla typer av faktauppgifter om en persons kompetens behandlas. I alla situationer när samtycke krävs måste detta samtycke baseras på att personen fått tillräcklig information. Sådan information kan exempelvis gälla hur uppgifterna kommer att behandlas, vem som kommer att behandla dem och hur länge uppgifterna kommer att lagras. För att samtycket ska vara giltigt krävs dock inte bara att arbetstagaren gett sitt godkännande. Det krävs att arbetstagaren har ett fritt val att lämna samtycke, eller inte göra det. Ställs arbetstagaren inför ett tvång att lämna samtycke är inte samtycket giltigt. Det kan till exempel handla om att företaget kräver att personen ska lämna samtycke utan att ta hänsyn till personens inställning. Det krävs också att arbetstagaren har möjlighet att senare ta tillbaka sitt samtycke, utan att för den skull drabbas av några nackdelar. Företaget har också en skyldighet att ta hänsyn till etik och god sed på arbetsmarknaden när personuppgifter behandlas BETYG OCH OMDÖMEN Företag genomför ofta olika tester eller samlar på ett strukturerat sätt in olika typer av omdömen om de anställda. Det kan handla om personlighetstester och skapande av profiler för att se hur grupper bäst kan sättas samman. Det kan också handla om att samla in omdömen om personer för att ge dem bra möjligheter att utvecklas. För att få registrera resultat av personlighetstester, profiler, betyg, omdömen och liknande krävs att den vars personuppgifter det gäller lämnar sitt samtycke. För att samtycket ska vara giltigt krävs att personen fått tillräcklig information om vilken behandling som kommer att ske av personuppgifterna. Samtycket kan återkallas när som helst. Det är viktigt att den behandling som sedan görs av olika betyg, omdömen, testresultat och så vidare verkligen motsvarar det som samtycket gäller. Finns det från företagets sida önskemål om att göra någon annan form av behandling av personuppgifterna måste företaget be om samtycke för den behandlingen, även om det gäller betyg, omdömen, testresultat och så vidare som företaget har registrerat och sparat sedan tidigare.

15 ANVÄNDNING AV IT-SYSTEM För många företag är olika former av IT-system avgörande för hur verksamheten kan bedrivas. Till IT-systemet hör olika datorer som företaget ställer till de anställdas förfogande som arbetsredskap. För företagen är det viktigt, bland annat från informationssäkerhetssynpunkt, att datorer och IT-system inte missbrukas. Det är för företagen också viktigt att anställda inte använder företagens datorer och IT-system för att exempelvis begå upphovsrättsintrång. Företag, såsom arbetsgivare, får med stöd av arbetsledningsrätten bestämma hur utrustningen får användas. För att företagens önskemål om hur utrustningen ska användas bör regler och riktlinjer för de anställdas användning av IT-systemen utarbetas. Dessa regler och riktlinjer ska ha till syfte att tydligt tala om vad som gäller för användning av IT-systemen, inklusive de enskilda datorerna. Med tydligt avses att reglerna och riktlinjer inte bara ska använda allmänna skrivningar såsom får inte missbrukas. Företag som har utarbetat tydliga regler och riktlinjer har också rätt att kontrollera att dessa regler och riktlinjer följs. Dessa kontroller kan bestå av stickprovskontroller av användning av e-post och Internet. För att sådana kontroller ska vara tillåtna krävs att de anställda verkligen är informerade om vilka regler och riktlinjer som gäller. Det är också avgörande att de blivit informerade om vilka kontroller som kan utföras och att syftet med kontrollerna framgått tydligt. När kontrollerna utförs måste de motsvara det som företaget informerat om. De måste vara av sådan art som företaget angivit och de måste motsvara det syfte som angivits. Kontrollerna måste alltså motsvara det som uttryckligen bestämts i förväg. Företaget har, i sin egenskap av arbetsgivare, normalt sett inte rätt att ta del av de anställdas privata e-post eller privata filer. För det fall att företaget har en allvarlig misstanke om illojalt eller brottsligt beteende kan dock företag har rätt att även ta del av sådant som är privat. Det kan till exempel handla om när anställda använder företagets datorer för att sprida piratkopierad musik eller olika typer av pornografiskt material LOGGNING Företag registrerar logguppgifter i en mängd olika situationer. Dessa registreras ofta av tekniska skäl, men det förekommer också att de registreras av andra skäl såsom säkerhetsskäl. Det handlar om alltifrån logguppgifter vid elektroniska inpasseringskontroller till loggfiler i program som gör att det går att kontrollera vilka adresser på Internet en anställd har besökt. Genom olika typer av loggning kan företag samla detaljerad information om den anställdes beteende. För många anställda upplevs detta ofta som mycket integritetskränkande. Om uppgifterna som registreras i en loggfil går att knyta till en enskild person är de personuppgifter och faller in under PUL:s tillämpningsområde. Detta gäller även för personuppgifter i loggfiler som skapas av särskilda programvaror. För det fall att det finns krav i lag eller förordning om att logguppgifter ska registreras och sparas är det tillåtet att behandla personuppgifter i denna form. Det kan handla om loggning som sker för att kontrollera att de anställda har behörighet till register med känsliga uppgifter. En del loggfiler skapas för att företaget ska kunna fullfölja sina åtaganden enligt avtal med den anställde. Det kan exempelvis handla om loggfiler som skapas i stämpelklockor och liknande system. När det finns en direkt koppling mellan uppgifterna på loggfilen och företagets möjligheter att fullfölja sina skyldigheter anses normalt behandlingen av personuppgifterna tillåten.

16 14 För att avgöra om det är en tillåten behandling av personuppgifter måste en bedömning göras från fall till fall. Det kan finnas anledning att logga Internetanvändningen i företaget för att på så sätt tekniskt övervaka IT-systemet av säkerhetsskäl. Sådan loggning är normalt tillåten enligt PUL. Loggningen får dock enbart användas för detta syfte. Den får inte senare användas för andra syften, såsom för att kontrollera hur enskilda arbetstagare använder Internet. För att utföra sådana kontroller krävs information och samtycke, såsom beskrivits ovan. I större organisationer kan hanteringen av loggfiler bli tämligen omfattande. I en del fall skapas då särskilda databaser för loggfilerna. Det är det mest praktiska sättet att hantera den stora mängden filer. För att använda databasen till något annat än att teknisk övervaka IT-systemet av säkerhetsskäl krävs information och samtycke KAMERAÖVERVAKNING För många företag har kameraövervakning blivit en nödvändig del av säkerhetsarbetet. Användning av övervakningskamera regleras i lagen om allmän kameraövervakning (SFS 1998:150). För de kameror som sitter på platser dit allmänheten har tillträde måste företaget normalt sett ha tillstånd från länsstyrelsen för att sätta upp dem. För kameror som sitter inne på en arbetsplats dit allmänheten inte har tillträde krävs inte tillstånd. Det är tillåtet, för företaget som arbetsgivare, att sätta upp såväl kameror som utrustning för ljudupptagning på platser i företagets lokaler och område dit allmänheten inte har tillträde. De anställda måste dock alltid informeras om att övervakningen sker. Bilder från en övervakningskamera som gör det möjligt att identifiera enskilda personer är personuppgifter. Om dessa bilder lagras digitalt är det behandling av personuppgifter, som förutsätter att hanteringsreglerna i PUL tillämpas KÄNSLIGA UPPGIFTER En del personuppgifter är att betrakta som känsliga personuppgifter i PUL:s mening. Till känsliga uppgifter hör uppgifter om brott, om etniskt ursprung, om politisk åskådning, om medlemskap i facklig organisation och uppgifter om hälsa. Generellt kan sägas att det råder ett förbud mot att behandla känsliga personuppgifter, men att det finns undantag från detta förbud. I vissa fall behöver ett företag behandla även känsliga uppgifter för att fullfölja sina skyldigheter eller utöva rättigheter i enlighet med arbetsrätten. Det kan handla om att företaget måste behandla uppgifter om sjukfrånvaro för att betala rätt sjuklön. Det kan också handla om att göra en rehabiliteringsutredning för att se om någon som varit långtidssjukskriven kan komma tillbaka i arbete. I de här fallen är behandling av känsliga personuppgifter tillåten, eftersom det handlar om att fullfölja skyldigheter. När det gäller medlemskap i facklig organisation kan det även där vara så att företaget har en skyldighet att fullfölja som kräver behandling av denna känsliga personuppgift. Det kan handla om att företaget har åtagit sig att göra avdrag på lönen för fackavgiften. För att kunna göra det måste uppgift om medlemskap i facklig organisation behandlas av företaget. Sådan behandling är tillåten. Företag kan komma att behöva behandla känsliga personuppgifter i samband med rättsliga anspråk. Det kan handla om att företaget blir stämt av någon, men lika väl att företaget stämmer någon. Behandlingen kan avse exempelvis medlemskap i facklig organisation. Information om

17 15 en anställds medlemskap i facklig organisation kan behövas för att fullgöra vissa skyldigheter i den arbetsrättsliga lagstiftningen. När behandling av känsliga personuppgifter krävs i samband med rättsliga anspråk är behandlingen tillåten. Behandling av känsliga personuppgifter kan också bli tillåten om den uppgifterna rör lämnar sitt samtycke. Detta gäller dock inte personuppgifter om brott, sådana får inte behandlas av företag inte ens om samtycke finns. Notera dock att de specialfall som behandlas i avsnittet om rekrytering när det gäller känsliga uppgifter. För att samtycket ska vara giltigt krävs att det är helt frivilligt. När det gäller anställda görs bedömningen om frivilligheten med beaktande av att en anställd befinner sig i ett beroendeförhållande i förhållande till sin arbetsgivare. Samtycket anses bara vara frivilligt i de situationer där den anställde faktiskt haft ett fritt val och dessutom senare kan återkalla sitt samtycke utan att drabbas av nackdelar. För att samtycket ska vara giltigt krävs också att personen som personuppgiften berör fått tillräcklig information om hur den känsliga personuppgiften kan komma att behandlas, vad syftet med behandlingen är och hur länge den känsliga personuppgiften kommer att lagras. Slutligen krävs att samtycket är uttryckligt, det går inte att hävda att samtycket är underförstått. För att undvika tvister om samtycke lämnats eller inte kan det vara bra om samtycket lämnas skriftligt. Ett uttryckligt samtycke kan också göras genom att den anställde själv får fylla i uppgifterna i ett datasystem, samt då markera att samtycke lämnas. 2.4 EFTER AVSLUTAD ANSTÄLLNING BEHANDLING AV PERSONUPPGIFTER EFTER AVSLUTAD ANSTÄLLNING När en anställning avslutas upphör relationen mellan företaget och den anställde. Det gör att företaget inte längre har samma behov av att hantera personens personuppgifter. Mycket av den behandling som ett företag får göra av den anställdes personuppgifter grundade sig i att företaget måste göra denna behandling för att kunna fullgöra sina skyldigheter. När anställningen upphört finns inte detta skäl kvar. Företaget kan inte använda detta som skäl för att motivera fortsatt behandling av personuppgifter. Det finns dock några situationer när ett företag kan komma att behandla personuppgifter även efter avslutad anställning. Genomgången av hur personuppgifter får/ska/bör hanteras efter avslutad anställning görs utifrån några olika situationer SKÄL TILL ATT ANSTÄLLNINGEN AVSLUTATS När en anställning avslutas kan finnas anledning att bevara information om varför anställningen har upphört. En anställning kan upphöra genom att den anställde säger upp sig själv eller avlider. Anställningen kan också upphöra genom att företaget tar initiativet och anställningen kan då upphöra exempelvis genom uppsägning på grund av arbetsbrist, uppsägning på grund av personliga skäl eller avsked. Företaget får spara rena faktauppgifter om varför anställningen har upphört. Med detta avses exempelvis en kort anteckning med personens namn och uppsägning på grund av arbetsbrist. Uppgifterna får sparas för administrativa ändamål, exempelvis för att arbetsgivaren ska kunna

18 16 fullgöra sina lagliga skyldigheter när det gäller anställdas företrädesrätt till återanställning. De får även användas för att företag ska kunna lämna referenser till andra arbetsgivare BETYG OCH OMDÖMEN I samband med att en anställning avslutas ges ofta någon form av betyg och tjänstgöringsintyg till den anställde. Arbetsgivaren får spara kopior av dessa betyg, omdömen och tjänstgöringsintyg. Vid sidan av dessa intyg får företaget inte spara omdömen och liknande om den anställde utan att denne gett sitt uttryckliga samtycke. Samtycket är bara giltigt om företaget gett tydlig information om vilken typ av behandling som kan ske av uppgifterna, om vilket syftet är med att spara dem samt om hur länge uppgiften kommer att sparas RÄTTSLIGA ANSPRÅK När en anställning avslutas kan det i sig leda till olika typer av rättsliga anspråk. Företaget får spara personuppgifter så länge dessa kan vara nödvändiga i till exempel en tvist om felaktig uppsägning. I de fall när en anställd sagts upp på grund av arbetsbrist måste företaget spara uppgifter som behövs för att bevaka företrädesrätt till ny anställning. Det är också tillåtet att spara uppgifter som behövs för att avgöra om personen har tillräckliga kvalifikationer för en ny befattning.

19 17 3. Behandling av personuppgifter i kundrelationer 3.1 SKILLNAD MELLAN KUND OCH KONSUMENT. För många företag är det stor skillnad på kund och konsument. Till kunderna hör alla som köper varor eller tjänster från företaget. Alla kunder är dock inte konsumenter. Som konsumenter definieras bara fysiska personer som köper varor och tjänster för ändamål som faller utanför näringsverksamhet. PUL gäller bara personuppgifter. Det betyder att det är bara uppgifter om kunder som är fysiska personer som faller in under PUL:s tillämpningsområde. Det gör att PUL gäller fullt ut i förhållande till konsumenter, eftersom dessa är fysiska personer. PUL kan gälla även i relation till andra kunder, för det fall att företaget för register över kontaktpersoner och liknande hos sina kunder. Kundlistor som bara omfattar uppgifter om andra företag faller normalt utanför PUL:s tillämpningsområde. För att göra rätt är det således viktigt att undersöka om uppgifter i exempelvis kundregister rör fysiska personer eller juridiska personer. Det är styrande för om hanteringsreglerna i PUL ska tillämpas eller inte. Det som sägs i det följande gäller självklart också i fråga om uppgifter om leverantörer. 3.2 VID MARKNADSFÖRING I samband med olika marknadsföringsinsatser görs ofta olika typer av utskick. För att kunna göra dessa utskick behövs en mängd uppgifter, såsom adresser. För det fall att det handlar om adresser till fysiska personer är det fråga om personuppgifter. Detta gäller både om det är en lista över fysiska personer som innehar en viss position hos kundföretag eller om det är en lista över konsumenter. De nya förenklade reglerna i PUL gör att enkla kundlistor, i form av exempelvis en lista i löpande text skapad i ett ordbehandlingsprogram, inte kräver tillämpning av PUL:s hanteringsregler. Eftersom det ofta är fråga om en stor mängd uppgifter hanteras dessa dock i princip alltid i system som medför att PUL:s hanteringsregler ska tillämpas på behandlingen. Marknadsföring i form av exempelvis utskick kan göras både till existerande kunder och till sådana som företag ser som presumtiva kunder. När det gäller existerande kunder har möjligheter funnits till att lämna information om behandling av personuppgifter samt inhämta samtycke till sådan behandling. När det gäller presumtiva kunder har de inte fått möjlighet att lämna samtycke till behandling av deras personuppgifter. Det går inte heller att åberopa att behandlingen av personuppgifter är nödvändig för att fullgöra åtaganden. Företaget har inga åtaganden i relation till dem som bara är presumtiva kunder. För att särskilja vilken personuppgiftsbehandling som får göras bör listor för marknadsföring vara uppdelade efter existerande kunder och presumtiva kunder. Listan med de presumtiva kunderna bör gallras efter varje utskick, beroende på om de svara på utskicket eller inte. Rent praktiskt kan de presumtiva kunderna få svara på en fråga om de är intresserade av fortsatta utskick. Då inleds en relation, innan de har hunnit bli kunder vilka företaget har åtaganden gentemot.

20 UNDER PÅGÅENDE RELATION PERSONUPPGIFTER UNDER PÅGÅENDE RELATION Under en pågående relation med en kund kan personuppgifter komma att behandlas i en mängd olika situationer. Det kan handla om allt från kundlistor, för att ha en överblick över företagets kunder, till att använda register för att kunna fullfölja sin del av ett avtal. De olika situationerna skiljer sig åt, och genomgången i det följande bygger på olika situationer. Det är dock viktigt att hela tiden ha i åtanke att PUL bara gäller personuppgifter och alltså inte uppgifter om kunder som är juridiska personer KUNDLISTOR Många företag upprättar kundlistor av olika slag. Dessa kundlistor kan komma att användas för kommunikation med kunderna, men lika väl för att göra olika former av kundanalyser. Kundlistor som innehåller personuppgifter faller in under PUL:s tillämpningsområde. Är det fråga om enkla kundlistor kan de förenklade reglerna i PUL vara tillämpbara. För de allra flesta företag behöver dock kundlistorna finnas i mer avancerade system för att fylla någon som helst funktion. Det gör att hanteringsreglerna i PUL blir tillämpbara. Ett kundregister får innehålla namn, adress och andra uppgifter som är relevanta för kundförhållandet. För det fall att företaget vill registrera fler uppgifter än de som direkt är relevant för kundförhållandet krävs samtycke. För det fall att personuppgifterna bara ska användas för normal kundadministration behöver inte kunderna ges information om behandlingen. För det fall att uppgifterna ska behandlas även för andra ändamål måste kunderna informeras om dessa ändamål. Emellanåt kan man vilja registrera andra uppgifter om en kund. Det kan gälla födelsedag eller intressen. Sådan registrering är normalt inte tillåten utan samtycke. Personnummer får inte utan samtycke från den det berör användas som generellt kundnummer i olika sammanhang. I samband med kreditgivning, inklusive försäljning av varor mot faktura, får personnummer registreras. Personuppgifterna i ett kundregister får inte sparas längre än vad som är nödvändigt för att uppnå syftet med behandlingen. Det betyder att kundregister ständigt behöver gallras. De som inte längre är att betrakta som kunder ska tas ur registren. I vissa fall kan det dock finnas anledning att bevara personuppgifter en viss tid, till exempel för bokföringsändamål. Det är tillåtet att spara uppgifter av sådana skäl, om det finns krav i lag eller förordning. Men de kan inte användas för andra ändamål FÖR FULLFÖLJANDE AV ÅTAGANDE Kundrelationer bygger på olika typer av avtal. Avtal kännetecknas av att de är överenskommelser som skapar rättigheter och skyldigheter å ömse sidor. En del åtaganden för företag kan också uppkomma på grund av rättsliga krav, i lagar och förordningar. Företag får behandla personuppgifter om det är nödvändigt för att kunna fullfölja avtalet. Det kan handla om att företaget måste behandla personuppgifter för att kunna göra leverans till rätt adress. Det krävs inte att den det berör lämnar ett samtycke för denna behandling av personuppgifter. Behandlingen är nödvändig för fullgörande av avtalet, alltså är det tillåtet.

21 KUNDHANTERINGSSYSTEM - LOJALITETSPROGRAM Många företag använder sig av olika kundhanteringssystem för att bland annat använda sig av lojalitetsprogram. Lojalitetsprogram kan bestå av att kunderna samlar poäng vid köp, för att sedan få olika former av rabatter. Lojalitetsprogram kan också bestå av att kunderna får inbjudningar till särskilda evenemang. Administrationen av kundhanteringssystem och lojalitetsprogram förutsätter hantering av kunduppgifter. För att PUL ska vara tillämpligt krävs att kunduppgifterna rör fysiska personer. Det kan antingen gälla konsumenter men även fysiska personer som är anställda i kundföretag. Kunduppgifter som bara rör juridiska personer, såsom andra företag, faller utanför PUL:s tillämpningsområde. Kundhanteringssystem och lojalitetsprogram förutsätter i princip användning av någon form av databas eller liknande. Det gör att de förenklade reglerna i PUL inte är möjliga att tillämpa, det är de detaljerade hanteringsreglerna som är tillämpbara. Lojalitetsprogram bygger oftast på att en kund anmäler sig till programmet. När sådan anmälan har gjorts, genom en aktiv handling, får de personuppgifter som behövs för att fullfölja programmet behandlas. Behandlingen av personuppgifter får dock inte gå utöver det som krävs för att fullfölja lojalitetsprogrammet. Vill företaget använda personuppgifterna för även andra ändamål krävs samtycke för de olika behandlingarna. 3.4 EFTER AVSLUTAD RELATION BEHANDLING AV PERSONUPPGIFT EFTER AVSLUTAD RELATION När någon slutar att vara kund hos ett företag upphör relationen mellan företaget och kunden. Det gör att företaget inte längre har lika stort behov av att behandla personens personuppgifter. Den behandling som företag gör av personuppgifter i kundrelationer är många gånger tillåten eftersom den är nödvändig för att företaget ska kunna fullfölja sina skyldigheter. Upphör någon att vara kund har inte företaget några skyldigheter längre. Ett problem i kundrelationer är att det kan vara svårt att säga när de upphör. En kundrelation kan fortleva även om kunden inte köper företagets varor och tjänster under en tämligen lång tid. Bedömningen av om kundrelationen har upphört eller blir beroende av vilken typ av varor det är fråga om. När det gäller konsumentvaror på en lättrörlig marknad torde redan korta perioder av uteblivna köp kunna tolkas som att kundrelationen har upphört. När det gäller marknad för professionella tjänster köps dessa mer sällan, varför kundrelationen mycket väl kan anses bestå även efter ett år utan att någon tjänst köpts. Huvudprincipen i PUL är att sparande av personuppgifter bara får ske så länge det är nödvändigt för att nå syftet med behandlingen. Det kan finnas rättsliga krav i lagar och förordningar, exempelvis skatteregler, som gör att personuppgifter behöver bevaras en längre tid. Det faktum att behandlingen av personuppgifter får ske bara så länge som det är nödvändigt gör att gallring ständigt måste ske av personuppgifter. Gallring kan ske både utifrån ett tidsperspektiv, det vill säga när en viss tid gått sedan senaste köp och från ett ändamålsperspektiv. För det fall att företaget har ett register där det anges vad kunderna är intresserade av för erbjudanden måste gallring ske om företaget genomför förändringar i erbjudandena. Det kan handla om att ett företag säljer flera typer av produkter. Kunder har anmält sig till ett lojalitetsprogram riktat