Dataskyddspolicy – mall för företag

# Dataskyddspolicy för [Företagsnamn]

Antagen av: [Styrelse / VD]
Datum: [ÅÅÅÅ-MM-DD]
Version: 1.0
Ägare: [Roll, t.ex. DPO eller ekonomichef]
Revideras: Årligen och vid väsentliga förändringar.

## 1. Syfte och omfattning
Policyn beskriver hur [Företagsnamn] behandlar personuppgifter i enlighet med GDPR.
Den gäller alla anställda, konsulter och praktikanter samt samtliga system och processer
där personuppgifter förekommer.

## 2. Grundprinciper
Vi behandlar personuppgifter:
- lagligt, korrekt och öppet gentemot den registrerade,
- för särskilda, uttryckligt angivna och berättigade ändamål,
- begränsat till vad som är nödvändigt (dataminimering),
- korrekt och uppdaterat,
- inte längre än nödvändigt,
- med lämplig säkerhet,
- och på ett sätt vi kan visa och dokumentera (ansvarsskyldighet).

## 3. Roller och ansvar
Personuppgiftsansvarig: [Företagsnamn]
Dataskyddsansvarig/DPO: [Namn, kontaktuppgift]
Systemägare: ansvarar för behandling i sina system.
Chefer: ansvarar för att medarbetare känner till och följer policyn.
Alla medarbetare: ansvarar för att följa policyn och rapportera avvikelser.

## 4. Rättslig grund
Innan en ny behandling påbörjas ska rättslig grund fastställas och dokumenteras:
avtal, rättslig förpliktelse, samtycke, berättigat intresse, skydd av grundläggande
intressen eller allmänt intresse. Vid berättigat intresse dokumenteras en
intresseavvägning. Samtycke ska vara frivilligt, specifikt, informerat och möjligt
att återkalla.

## 5. Registerförteckning
En registerförteckning enligt artikel 30 förs och uppdateras minst [halvårsvis].
Per behandling anges: ändamål, rättslig grund, kategorier av registrerade och uppgifter,
mottagare, eventuell tredjelandsöverföring, gallringstid och säkerhetsåtgärder.

## 6. Registrerades rättigheter
Begäran tas emot via [e-postadress] och besvaras utan onödigt dröjsmål, senast inom
en månad. Rättigheterna omfattar tillgång, rättelse, radering, begränsning,
dataportabilitet, invändning samt rätt att inte bli föremål för enbart automatiserat
beslutsfattande med rättsliga eller liknande betydande effekter.
Ansvarig för handläggning: [Roll].

## 7. Lagring och gallring
Uppgifter gallras enligt gallringsschema, exempel:
| Kategori | Lagringstid | Grund |
| --- | --- | --- |
| Kunduppgifter | Avtalstid + [X] år | Avtal / bokföringslag |
| Ansökningshandlingar | [6-24] månader | Berättigat intresse |
| Support- och chattloggar | [12] månader | Berättigat intresse |
| Marknadsföringskontakter | Till återkallat samtycke | Samtycke |
Gallring ska ske i samtliga system, inklusive backuper enligt fastställd rutin.

## 8. Säkerhet
- Behörighet tilldelas enligt minsta privilegium och gås igenom [halvårsvis].
- Uppgifter krypteras i vila och under överföring.
- Åtkomst loggas och loggar granskas vid misstanke om avvikelse.
- Medarbetare utbildas i dataskydd vid anställning och därefter årligen.

## 9. Personuppgiftsincidenter
Misstänkt incident rapporteras omedelbart till [Roll]. Incidenten dokumenteras,
bedöms och anmäls vid behov till Integritetsskyddsmyndigheten inom 72 timmar.
Vid hög risk för de registrerade informeras även dessa. Incidentregister förs.

## 10. Personuppgiftsbiträden
Nya leverantörer som behandlar personuppgifter för vår räkning godkänns av [Roll].
Personuppgiftsbiträdesavtal tecknas alltid innan behandling påbörjas.
Underbiträden och behandlingsländer dokumenteras.

## 11. Överföring till tredjeland
Överföring utanför EU/EES sker endast med giltig överföringsgrund och dokumenterad
överföringsbedömning. Kompletterande skyddsåtgärder vidtas vid behov.

## 12. AI och automatiserat beslutsfattande
- Personuppgifter får endast matas in i AI-verktyg som är godkända enligt vår lista.
- Känsliga personuppgifter får inte matas in utan särskilt godkännande från [Roll].
- Beslut som väsentligt påverkar individer får inte fattas helt automatiserat utan
  rättslig grund, information och möjlighet till mänsklig granskning.
- Vid ny AI-behandling av personuppgifter i större omfattning görs en DPIA.

## 13. Konsekvensbedömning (DPIA)
DPIA genomförs vid behandling som sannolikt leder till hög risk, t.ex. omfattande
profilering, storskalig behandling av känsliga uppgifter eller systematisk övervakning.

## 14. Uppföljning
Efterlevnaden följs upp [årligen] av [Roll] och rapporteras till ledningen.
Avvikelser åtgärdas enligt beslutad åtgärdsplan.

Kontakt i dataskyddsfrågor: [e-postadress]

• Registerförteckningen är upprättad — policyn refererar till ett dokument som faktiskt finns.
• Gallringsschemat innehåller verkliga lagringstider per kategori.
• Kontaktväg för registrerades begäran är bemannad och testad.
• Listan över godkända AI-verktyg är publicerad och aktuell.
• PUB-avtal finns med samtliga biträden i förteckningen.
• Incidentprocessen är övad och håller 72-timmarsfristen.
• Alla medarbetare har fått policyn och genomgått grundutbildning.
• Ansvarig roll och nästa revisionsdatum är angivna i dokumentet.