Hej.
Detta är ett kort förenklat svar som innehåller några bedömningar. De är inte juridiska råd som ni kan kopiera och följa, ni måste alltid göra bedömningar utifrån er verksamhet och kännedom om lagen.
Men...
Om ett företag är en enskild firma så räknas det som privatperson.
Om du har namn på kontaktperson/fakturamottagare hos en juridisk person så är det också personuppgifter, precis som du skriver.
Jag utgår från att de uppgifter ni har är de som är nödvändiga för att uppfylla köpavtal och dem får ni lov att behandla, dvs ni måste inte be om lov. Hur länge ni kan spara dem för t ex marknadsföring kan bero på vilken verksamhet ni har, men Datainspektionens tumregel är 12 månader efter sista livstecken från kunden. Det som ingår i bokföringen ska sparas i 7 år efter räkenskapsårets slut, enligt Bokföringslagen.
Ni har en skyldighet att informera om ett antal saker men här vet ju personerna redan vilka uppgifter ni fått och vad ni ska ha dem till så det är ju inte så meningsfullt att dra igång en jättekampanj för att berätta det för var och en.
Men ni behöver trots allt informera om vilka uppgifter ni har, vad ni gör med dem, vilket lagligt stöd ni har för det, hur man kontaktar er och lite annat.
För många kan det räcka att sammanfatta informationen i en Dataskyddspolicy som man lägger på sin webbplats. Då kan man hänvisa till den t ex från en kort textrad på fakturorna, skylt i butikslokalen/verkstaden eller var det nu behövs. Tänk på att skriva så det är enkelt att förstå vad ni gör med uppgifterna. Språket behöver absolut inte kännas som ”juridiska” 🙂
Jag klipper ur den här artikeln: https://vismaspcs.se/ditt-foretagande/sakerhet/vad-behover-du-gora-infor-gdpr
---
Information är A och O
Med insamlande av personuppgifter kommer informationsskyldighet. Dock behöver du inte informera om sådant som den som lämnar uppgifterna kan antas känna till, som exempelvis någon beställer en vara och lämnar sin adress. Då kan man anta att personen som beställt varorna vet vad du ska använda adressuppgifterna till. Däremot så vet de inte hur länge du tänker behålla dem eller om du kommer att använda dem i marknadsföringssyfte.
Listan över informationskrav i lagen är lång, och vi ger bara en sammanfattning här.
Du är skyldig att bland annat informera om:
· Vem du är
· Syfte, det vill säga vad du ska ha uppgifterna till
· Vilken rättslig grund du stödjer dig på
· När du kommer att ta bort uppgifterna
· Om du tänker dela med någon och om du delar med någon utanför EU/EES. (T ex Google, Microsoft)
· Vilka rättigheter den registrerade har
Och lite annat smått och gott. Du hittar den kompletta listan över informationskrav i artikel 13 i GDPR. http://www.privacy-regulation.eu/sv/13.htm
---
