En registerförteckning enligt artikel 30 GDPR beskriver organisationens behandlingar av personuppgifter: varför de utförs, vilka människor och uppgifter de berör, vilka mottagare som finns och hur uppgifterna skyddas. Den är ett register över verksamhetens behandlingar, inte en lista över varje kund eller anställd. En användbar förteckning hjälper organisationen att hitta ansvariga personer och underlag när en behandling ändras, en registrerad begär tillgång eller IMY ställer frågor.
Den här guiden skiljer artikelns obligatoriska innehåll från kompletterande fält som underlättar arbetet. Mallarna behöver fyllas med verkliga förhållanden och kontrolleras av dem som känner verksamheten. En välformulerad registerpost gör inte en otillåten behandling tillåten, men den gör brister synliga och möjliga att följa upp.
Vilka organisationer måste föra register?
Skyldigheten gäller både personuppgiftsansvariga och personuppgiftsbiträden, med olika innehåll för de två rollerna. En organisation kan behöva båda registren: exempelvis när en redovisningsbyrå behandlar kundernas löneuppgifter som biträde och samtidigt ansvarar för uppgifter om sina egna anställda. Börja därför med att avgöra vem som är personuppgiftsansvarig och personuppgiftsbiträde för respektive behandling.
Artikel 30.5 innehåller ett undantag för företag och organisationer med färre än 250 anställda. Undantaget gäller emellertid inte för en behandling som är annat än tillfällig, sannolikt medför en risk för de registrerades rättigheter och friheter eller omfattar uppgifter enligt artikel 9 eller artikel 10. Det räcker att en av dessa omständigheter föreligger för att den aktuella behandlingen ska omfattas av registerskyldigheten. Riskvillkoret kräver inte att risken är hög.
IMY:s vägledning om register över behandlingar anger att varje behandling ska bedömas för sig. Ett mindre företag kan därför behöva registrera återkommande löneadministration, medan en annan, tillfällig behandling kan omfattas av undantaget om den varken uppfyller riskvillkoret eller avser artikel 9- eller artikel 10-uppgifter. Undantaget är inte ett generellt undantag från GDPR. IMY rekommenderar dessutom register även när skyldigheten inte gäller; det är en rekommendation som ska skiljas från lagkravet.
Beskriv behandlingen på rätt nivå
Utgå från vad verksamheten gör med uppgifterna. Rekrytering, löneutbetalning, hantering av kundbeställningar och säkerhetsövervakning är tänkbara behandlingsaktiviteter. Ett system kan stödja flera sådana aktiviteter, och samma aktivitet kan använda flera system. Om förteckningen bara innehåller produktnamn blir det svårt att förstå varför uppgifterna behandlas och när de ska raderas.
En alltför bred post, exempelvis ”HR”, döljer skillnader mellan sökande, anställda och tidigare anställda. Rekryteringsunderlag, löneuppgifter och rehabiliteringshandlingar kan ha olika ändamål, rättsliga förutsättningar, mottagare och lagringstider. Dela upp posten när dessa skillnader annars försvinner. Undvik samtidigt en ny aktivitet för varje knapptryckning: registret ska ge en begriplig överblick som går att hålla aktuell.
Använd definitionen av personuppgifter och konkreta exempel när verksamheten identifierar uppgiftskategorier. Kundnummer, inloggningshistorik och bedömningar av en identifierbar person kan behöva beskrivas även om organisationen inte har samlat dem i en traditionell personakt. Registret ska omfatta den faktiska behandlingen, inte bara sådant som redan kallas personuppgifter internt.
Den personuppgiftsansvarigas obligatoriska uppgifter
Artikel 30 i GDPR anger vilka uppgifter den personuppgiftsansvarigas register ska innehålla. Kontaktuppgifterna omfattar den ansvariga organisationen och, i tillämpliga fall, gemensamt personuppgiftsansvariga, företrädaren och dataskyddsombudet. En intern handläggare kan anges därutöver men ersätter inte organisationens identitet.
Registret ska ange ändamålen samt beskriva kategorierna av registrerade och personuppgifter. Formuleringen ”administration” blir sällan tillräckligt upplysande på egen hand. Att administrera deltagande i en utbildning är ett annat ändamål än att använda deltagarnas beteende för framtida försäljningsurval. Beskriv också vilka grupper som berörs: deltagare, kontaktpersoner hos arbetsgivare och föreläsare behöver inte behandlas på samma sätt.
Mottagarkategorier ska anges, inklusive mottagare i tredjeländer eller internationella organisationer. Där sådana överföringar förekommer ska destinationerna identifieras. Artikel 30 har dessutom ett särskilt dokumentationskrav för lämpliga skyddsåtgärder vid överföringar enligt artikel 49.1 andra stycket. Det innebär inte att just standardavtalsklausuler är obligatoriska för varje överföring. En praktiskt användbar förteckning länkar även till bedömningen av vilken överföringsmekanism som faktiskt används.
Om möjligt ska registret innehålla förutsedda raderingsfrister för olika uppgiftskategorier och en allmän beskrivning av tekniska och organisatoriska säkerhetsåtgärder. Kvalifikationen ”om möjligt” finns i artikeltexten. Den är inte ett bra arbetssätt för att lämna kända lagringstider eller tillgängliga säkerhetsbeskrivningar tomma. Om information saknas behöver organisationen klargöra vad som är oklart och vem som ska utreda frågan.
Skilj lagkrav från kompletterande fält
Rättslig grund är viktig för behandlingens laglighet, men den räknas inte upp som ett eget obligatoriskt fält i artikel 30. Detsamma gäller internt processansvar, systemnamn, versionsdatum, hänvisning till informationstext och status för en konsekvensbedömning. Att ta med dessa uppgifter är ofta ändamålsenligt, eftersom registret då kan visa var organisationens övriga bedömningar finns.
Markera gärna i mallen vilka fält som följer direkt av artikel 30 och vilka som är organisationens egna arbetsfält. Det gör att en granskare kan skilja en verklig brist i lagstadgat innehåll från en ofullständig intern komplettering. Båda kan behöva åtgärdas, men av olika skäl. En tom ruta för ett projektnummer ska inte beskrivas som samma rättsliga problem som att behandlingsändamålet saknas.
Använd länkar till beslut och rutiner i stället för att kopiera hela dokument till varje rad. En säkerhetsbeskrivning kan exempelvis hänvisa till en aktuell åtkomstmodell och en fastställd rutin för säkerhetskopiering. Hänvisningen måste dock vara begriplig och tillgänglig för dem som behöver den. Ett gammalt dokumentnamn på en okänd server ger varken överblick eller tillförlitlig bevisning om ansvarsskyldighet.
Mall för en registerpost hos den ansvariga
Följande arbetsmall kombinerar artikel 30-fält med tydligt markerade kompletteringar. Den innehåller inga förvalda rättsliga grunder eller lagringstider. Fyll inte i en standardtext förrän den stämmer med den aktuella behandlingen.
Behandlingens namn: [avgränsad aktivitet].
Personuppgiftsansvarig och kontakter: [organisation, kontaktväg samt eventuella gemensamt ansvariga, företrädare och dataskyddsombud].
Ändamål: [konkreta ändamål].
Registrerade och uppgiftskategorier: [grupper och uppgifter; markera artikel 9 och 10 där relevant].
Mottagarkategorier: [interna och externa mottagare, inklusive relevanta biträden].
Tredjelandsöverföringar: [länder eller internationella organisationer; dokumentation av skyddsåtgärder när artikel 49.1 andra stycket används].
Raderingsfrister, om möjligt: [frist eller konkret utgångspunkt för respektive kategori och hänvisning till gallringsregler].
Allmän säkerhetsbeskrivning, om möjligt: [åtgärder och aktuella hänvisningar].
Kompletterande arbetsfält: [rättslig grund, eventuellt artikel 9-undantag, intern ägare, system, information till registrerade, överföringsbedömning, senaste kontroll och öppna åtgärder].
När två ändamål kräver olika beslut bör de kunna särskiljas även om de finns i samma registerpost. En uppgift kan behövas för att leverera en beställning utan att det medför rätt att använda uppgiften i en separat marknadsföringsprofil. Registret bör visa skillnaden så att information, behörigheter och gallring går att genomföra för respektive ändamål.
Biträdets register är ett eget underlag
Biträdet ska enligt artikel 30.2 ange namn och kontaktuppgifter för sig självt och varje personuppgiftsansvarig som det arbetar för samt tillämpliga företrädare och dataskyddsombud. Registret ska beskriva kategorierna av behandlingar som utförs för varje ansvarigs räkning. Det ska också ange relevanta tredjelandsöverföringar och motsvarande särskilda dokumentation samt, om möjligt, en allmän säkerhetsbeskrivning.
Ett biträde kan organisera återkommande tjänster genom gemensamma beskrivningar och kundspecifika hänvisningar. Lösningen måste ändå göra det möjligt att identifiera behandlingen för varje personuppgiftsansvarig. En lista med tjänstenamn utan kunder eller en kundlista utan behandlingskategorier täcker inte båda delarna. Skillnader i driftsmiljö, underbiträden eller överföringar behöver framgå där de är relevanta.
Biträdets registerpost: [biträdets namn och kontaktuppgifter].
Berörd personuppgiftsansvarig: [kundens identitet och kontaktuppgifter; tillämpliga företrädare och dataskyddsombud].
Behandlingskategorier för kundens räkning: [exempelvis lagring och tillgängliggörande av dokument enligt instruktion].
Överföringar: [relevanta destinationer och dokumentation enligt artikel 30.2 c].
Säkerhet, om möjligt: [allmän beskrivning och versionsbestämda hänvisningar].
Kompletteringar: [avtalsreferens, underbiträden, tjänsteägare, kontroller och uppdateringsdatum].
Registret ersätter inte regleringen enligt artikel 28. Den kräver ett skriftligt avtal eller en annan bindande rättsakt enligt unionsrätt eller medlemsstatsrätt, även i elektronisk form. Koppla därför registerposten till det tillämpliga personuppgiftsbiträdesavtalet och artikel 28-villkoren. Avtal och register besvarar olika frågor och måste stämma överens med leveransen.
Samla uppgifterna från verksamheten
Börja med att kartlägga IT-system och informationsflöden, men låt inte systemlistan ensam bestämma resultatet. Intervjua de funktioner som samlar in, ändrar, använder och lämnar ut uppgifterna. Fråga också om exporter, lokala kalkylblad och manuella arbetssteg. Ett centralt system kan ha goda regler samtidigt som en återkommande export lagras utan kontroll.
För varje aktivitet bör en person som känner processen kontrollera beskrivningen. Ekonomifunktionen kan bekräfta vilka underlag som behövs för bokföringen, medan IT behöver bekräfta åtkomst och teknisk radering. Juridik eller dataskyddsfunktionen kan bedöma grunder och undantag. Fördela arbetet efter faktisk kunskap; ett dataskyddsombud ska inte automatiskt göras till beslutsfattare för samtliga behandlingar.
Om det finns osäkerheter, dokumentera dem som öppna frågor i arbetsmaterialet och prioritera utredningen. Skriv inte ”ingen överföring” enbart därför att leverantörens server står i EU. Undersök även relevanta åtkomstmöjligheter, supportupplägg och underleverantörer. När uppgiften väl förs in som ett fastställt förhållande ska det finnas ett underlag som någon ansvarar för att hålla aktuellt.
Ett exempel: från bred HR-post till fungerande avgränsning
Anta att ett företag först beskriver all personaladministration som en behandling med lagring ”sju år efter avslutad anställning”. Vid genomgången visar det sig att posten omfattar både kandidaters ansökningar, löneunderlag och rehabiliteringsanteckningar. Samma frist kan inte motiveras enbart genom att allt ligger i HR-systemet. Organisationen behöver dela upp bedömningen utifrån dokumentens innehåll och användning.
Bokföringslagens huvudregel för räkenskapsinformation räknas till utgången av det sjunde året efter slutet av det kalenderår då räkenskapsåret avslutades. Den räknas alltså inte generellt från anställningens slut och omfattar inte automatiskt hela personalakten. Regeln finns i 7 kap. 2 § bokföringslagen. Övriga uppgifter behöver egna motiverade frister eller kriterier utifrån ändamål och tillämpliga regler.
I den förbättrade förteckningen framgår vilka uppgiftskategorier som används för respektive aktivitet och var besluten finns. Rekrytering får en egen beskrivning, löneadministration kopplas till specificerade underlag och rehabilitering bedöms med hänsyn till hälsouppgifter. Därefter måste systemens funktioner och åtkomstregler anpassas. En rättad registerrad räcker inte om alla filer fortfarande ligger i samma obegränsat tillgängliga mapp.
Granska en registerpost mot ett verkligt informationsflöde
Välj ett representativt ärende och följ uppgifterna från insamling till avslut. Anta att en utbildningsarrangör har registrerat anmälan och fakturering som en aktivitet. Vid kontrollen visar det sig att deltagarlistor dessutom skickas till en extern lokalvärd och att närvarouppgifter förs över till beställarens personalfunktion. Dessa mottagare och utlämnanden behöver bedömas, även om anmälningssystemets standardbeskrivning inte nämner dem.
Jämför sedan registerposten med vad deltagaren får veta, vad leverantörsavtalen anger och vad de ansvariga faktiskt gör. Om informationstexten säger att uppgifter inte delas men verksamheten regelbundet lämnar ut dem finns en motsägelse som kräver utredning. Lösningen är inte automatiskt att bara ändra informationstexten: organisationen måste först bedöma om utlämnandet är tillåtet och nödvändigt. Registerarbetet hjälper till att upptäcka frågan men avgör inte svaret.
Skilj också mellan att något inte förekommer och att det ännu inte har kontrollerats. En tom ruta om mottagare kan annars tolkas som att inga mottagare finns. I arbetsmaterialet kan en tydligt beskriven osäkerhet få en ansvarig utredare och en tidsatt åtgärd. Vid sammanställning till ledningen bör det framgå vilka poster som är kontrollerade och vilka som fortfarande bygger på ofullständiga uppgifter.
Avsluta granskningen med att kontrollera om en annan medarbetare kan förstå posten utan muntlig förklaring från författaren. Personen ska kunna hitta relevant process, kontaktpunkt och underlag. Om svaret kräver att någon känner till interna förkortningar eller ett odokumenterat undantag behöver beskrivningen förbättras. Denna läsbarhetskontroll är en rekommenderad arbetsmetod, inte ett separat formkrav i artikel 30.
Uppdatering, säkerhet och användning i vardagen
Artikel 30 anger inte att ett register ska uppdateras just en gång om året. En årlig genomgång kan vara en intern kontroll, men förändringar behöver fångas när de sker. Nya ändamål, nya mottagare, ett leverantörsbyte eller en ändrad raderingsrutin kan göra den befintliga beskrivningen missvisande långt före nästa kalenderkontroll.
Utse därför en intern ägare för varje aktivitet och bestäm vilka ändringar som ska anmälas. Vid ett systembyte behöver någon kontrollera både den framtida behandlingen och vad som händer med gamla exporter och arkiv. Kopplingen till lagringsminimering och gallring gör att registret blir en ingång till genomförda regler i stället för en katalog med önskade frister.
Förteckningen kan innehålla säkerhetsinformation och kontaktuppgifter som inte bör spridas obegränsat. Anpassa behörigheter, versionshantering och möjligheten att exportera underlaget. Samtidigt måste den gå att göra tillgänglig för IMY på begäran enligt artikel 30.4. Ett internt behörighetshinder är inte ett skäl att sakna en fungerande utlämningsrutin till tillsynsmyndigheten.
Registret hjälper också vid en begäran om registerutdrag enligt artikel 15, men är inte själva svaret. Det pekar ut processer, system och ansvariga som behöver söka fram personens uppgifter. Vid riskbedömning kan samma överblick visa att organisationen behöver undersöka en aktivitet närmare. Registret ersätter inte den sakliga bedömningen eller en eventuell konsekvensbedömning.
Kalkylblad eller särskilt verktyg?
GDPR kräver skriftlig form, inklusive elektronisk form. IMY:s vägledning anger att registret ska vara tillgängligt elektroniskt. Något krav på en viss programvarutyp följer inte av artikel 30. Ett kalkylblad kan fungera om innehåll, ansvar, åtkomst och uppdateringar går att hantera. Ett mer avancerat verktyg kan vara motiverat när många verksamheter behöver samordna uppgifterna.
Jämför arbetssätt före funktioner: kan organisationen skilja ansvarig- och biträdesroller, exportera kompletta uppgifter, spåra ändringar och ge rätt personer tillgång? Använd en jämförelse av GDPR-programvara som stöd för frågor till leverantörer och kontrollera funktionerna i den aktuella produkten. Ett inköp innebär inte att befintliga uppgifter blir riktiga eller att saknade rättsliga bedömningar skapas automatiskt.
När ni bedömer kostnaden för GDPR-programvara, räkna även med inventering, kvalitetssäkring och löpande ansvar hos verksamheten. Behovet av dataskyddsombud avgörs separat enligt artikel 37. Att registret behöver en samordnare är inte i sig ett lagkrav på att utse ett ombud.
Vanliga frågor om registerförteckningen
Behöver ett företag med tio anställda ett register?
För behandlingar som är annat än tillfälliga, sannolikt medför risk för de registrerades rättigheter och friheter eller omfattar artikel 9- eller artikel 10-uppgifter gäller inte undantaget i artikel 30.5. Återkommande löneadministration är ett praktiskt exempel på en behandling som behöver registreras även i ett litet företag. Bedöm övriga aktiviteter var för sig.
Ska alla anställdas och kunders namn stå i registret?
Nej. Registret beskriver behandlingsaktiviteter och kategorier av registrerade och uppgifter. Det ska inte fyllas med kopior av kunddatabasen eller personalakterna. Kontaktuppgifterna för ansvarig organisation och tillämpliga företrädare och ombud har däremot en särskild funktion i artikel 30.
Måste hela registret publiceras på webbplatsen?
Artikel 30 föreskriver inte generell publicering för allmänheten. Skyldigheten att informera registrerade enligt artiklarna 13 och 14 är en annan uppgift och kräver begriplig, relevant information. För myndigheter kan dessutom regler om allmänna handlingar och sekretess påverka utlämnande. Gör den bedömningen för den aktuella organisationen och uppgifterna.