Sammenfatning
Lønadministration indebærer behandling af mange personoplysninger, og som arbejdsgiver er I dataansvarlige. Bruger I et lønbureau, er bureauet databehandler, og en skriftlig databehandleraftale er et lovkrav. I skal have et lovligt behandlingsgrundlag, informere medarbejderne, opbevare data sikkert og kun så længe nødvendigt, og kunne håndtere et databrud.
Kort svar
GDPR og lønadministration hænger uløseligt sammen: når I kører løn, behandler I en stor mængde personoplysninger om jeres medarbejdere – navn, CPR-nummer, kontonummer, løn, fravær og mere. Som arbejdsgiver er I dataansvarlige og har ansvaret for, at oplysningerne behandles lovligt og sikkert. Bruger I et lønbureau, er bureauet databehandler, og så skal der være en skriftlig databehandleraftale på plads.
Hvilke persondata behandles i lønnen?
Lønadministration omfatter en bred vifte af personoplysninger. De fleste er almindelige oplysninger som navn, adresse, CPR-nummer, kontonummer, løn, pension og skatteoplysninger. Men der kan også indgå følsomme oplysninger – fx helbredsoplysninger i forbindelse med sygefravær eller oplysning om fagforeningsmedlemskab. Følsomme oplysninger er underlagt skærpede krav og kræver et særligt behandlingsgrundlag.
Er I dataansvarlig eller databehandler?
Rollerne er afgørende, fordi kravene er forskellige. Den, der bestemmer formålet med og midlerne til behandlingen, er dataansvarlig – det er jer som arbejdsgiver. Et lønbureau, der kører lønnen på jeres vegne og efter jeres instruks, er databehandler. Bemærk, at hverken SKAT eller banken er jeres databehandlere – de behandler oplysningerne som selvstændigt dataansvarlige.
Databehandleraftalen er et lovkrav
Overlader I lønbehandlingen til et lønbureau, er en databehandleraftale et krav efter GDPR. Aftalen skal være skriftlig og som minimum beskrive formålet med behandlingen, hvilke kategorier af oplysninger der behandles, hvor længe behandlingen varer, hvilke sikkerhedsforanstaltninger der gælder, brugen af eventuelle underdatabehandlere, og hvad der sker med data, når samarbejdet ophører. Mangler aftalen, er det i sig selv en overtrædelse, der kan udløse bøde eller påbud.
Ansvaret er jeres
Selv når I bruger et lønbureau, er det fortsat jer som dataansvarlige, der har det overordnede ansvar for, at reglerne overholdes. I skal kunne dokumentere det – blandt andet ved at føre en fortegnelse over jeres behandlingsaktiviteter og ved at føre et vist tilsyn med, at databehandleren lever op til aftalen.
Behandlingsgrundlaget
Al behandling af personoplysninger kræver et lovligt grundlag. I lønsammenhæng er grundlaget typisk, at behandlingen er nødvendig for at opfylde ansættelseskontrakten og for at overholde en retlig forpligtelse – fx indberetning til skattemyndighederne. Følsomme oplysninger kræver et særskilt grundlag, og behandlingen af CPR-numre er reguleret særskilt i databeskyttelsesloven. Samtykke er sjældent det rette grundlag i et ansættelsesforhold, fordi det kan trækkes tilbage.
Oplysningspligt og medarbejderens rettigheder
I skal informere medarbejderne om behandlingen – hvilke oplysninger I behandler, til hvilket formål, på hvilket grundlag, hvor længe de gemmes, og hvordan man kan klage til Datatilsynet. Det gøres typisk i en privatlivspolitik eller personalehåndbog. Medarbejderne har desuden ret til indsigt i egne oplysninger, ret til at få rettet forkerte oplysninger og i visse tilfælde ret til sletning.
Opbevaring og sletning
Personoplysninger må kun opbevares, så længe der er et sagligt formål. Lønbilag indgår dog i regnskabsmaterialet, som efter bogføringsloven skal gemmes i 5 år. Når formålet og opbevaringspligten ophører, skal oplysningerne slettes eller anonymiseres. Sørg for klare sletteregler – også for fratrådte medarbejdere.
Sikkerhed og databrud
I skal have passende tekniske og organisatoriske sikkerhedsforanstaltninger: begrænset adgang til lønoplysninger – så kun de medarbejdere, der har brug for det, kan se dem – og sikker fremsendelse, så fx CPR-numre aldrig sendes i en almindelig, ukrypteret mail. Sker der et brud på persondatasikkerheden, skal det som udgangspunkt anmeldes til Datatilsynet uden unødig forsinkelse og senest inden for 72 timer, hvis bruddet indebærer en risiko for de registrerede.
Vi hjælper jer med GDPR og lønadministration
Hos Dansk Løn Service er vi jeres databehandler, når vi kører jeres løn. Det betyder en klar databehandleraftale, sikker håndtering af data og faste rutiner for opbevaring og sletning – så I kan have ro i maven, når det gælder GDPR og lønadministration. Kontakt os for en snak om jeres opsætning.
Reglerne er forenklet her. GDPR-compliance bør kvalitetssikres konkret – søg vejledning hos en databeskyttelsesrådgiver eller advokat ved tvivl.