Personuppgifter i utbildningsdokument

Utbildningsintyg och GDPR – vad behöver företag tänka på?

Utbildningsintyg kan innehålla uppgifter som går att koppla till en person. Därför behöver företag veta varför dokumenten sparas, vem som får se dem och när de ska tas bort.

Se praktiska steg Läs integritetspolicyn
Säker hantering av utbildningsintyg och personuppgifter enligt GDPR
Ordning, begränsad åtkomst och tydliga gallringsrutiner behöver fungera tillsammans.

Utgångspunkten

Ett utbildningsintyg är ofta mer än bara ett dokument

Namn, arbetsgivare, utbildningens innehåll, genomförandedatum och giltighetstid är exempel på uppgifter som kan förekomma i ett intyg. När informationen kan knytas till en person är den en personuppgift och behöver hanteras därefter.

GDPR handlar inte bara om var filen ligger. Företaget behöver även ha ett tydligt ändamål med behandlingen, bedöma vilken rättslig grund som används och kunna beskriva vilka personer som får åtkomst. Den bedömningen görs av den ansvariga organisationen och kan inte ersättas av ett tekniskt system.

Observera: Den här sidan ger allmän information och är inte juridisk rådgivning. Ta hjälp av organisationens dataskyddsombud eller juridiska rådgivare när en konkret bedömning behövs.

En tydligare rutin

Fem praktiska steg för hantering av utbildningsintyg

Tekniken hjälper först när den används tillsammans med dokumenterade beslut och återkommande kontroller.

  1. Bestäm varför intygen behövs

    Beskriv ändamålet innan dokument samlas in. Det kan exempelvis handla om att planera utbildningar eller kunna visa att en viss utbildning har genomförts. Bedöm och dokumentera även den rättsliga grunden för behandlingen.

    Ändamål

  2. Samla inte in mer än vad som behövs

    Begränsa dokument, filnamn och anteckningar till den information som behövs för det beslutade ändamålet. Undvik extra personuppgifter som inte hjälper organisationen att hantera utbildningen.

    Minimering

  3. Begränsa och följ upp åtkomsten

    Bestäm vilka roller som behöver se intygen och se över åtkomsten när arbetsuppgifter förändras. I Utbildningsintyg får ett företagskonto tillgång till en privat användares intyg först efter att användaren har godkänt kontokopplingen.

    Behörighet

  4. Bestäm en lagringstid och gallra

    Sätt en rutin för när intyg ska granskas, uppdateras eller tas bort. Ett utgångsdatum för utbildningen är användbart för planering, men avgör inte automatiskt hur länge personuppgifterna får sparas.

    Lagringstid

  5. Hantera delning som en ny behandling

    När ett intyg skickas som en PDF-bilaga via e-post skapas en kopia utanför det digitala arkivet. Kontrollera mottagaren och dela bara det underlag som behövs. Läs mer om att dela utbildningsintyg digitalt.

    Delning

Organisationens ansvar

Ett system ersätter inte företagets egna beslut

Företaget behöver själv avgöra vilka intyg som ska behandlas, varför behandlingen är tillåten, vilka som får åtkomst och när uppgifterna ska gallras. Rutinerna bör vara begripliga för både ansvariga chefer och de personer vars intyg hanteras.

  • Dokumentera ändamål och rättslig grund.
  • Informera berörda personer på ett tydligt sätt.
  • Begränsa åtkomst efter arbetsuppgift och behov.
  • Följ upp lagringstider och genomför beslutad gallring.

Vad tjänsten stödjer

Ett samlat arkiv ger bättre förutsättningar för ordning

Utbildningsintyg samlar dokument i ett digitalt arkiv och låter privata användare godkänna en kontokoppling innan ett företag får åtkomst. Kopplade användare och deras intyg kan därefter visas i företagsportalen.

Funktionerna kan stödja företagets arbete, men de gör inte organisationen automatiskt GDPR-kompatibel. Läs mer om upplägget på sidan om utbildningsintyg för företag.

När anställningen upphör

Tidigare anställdas intyg kräver ett aktivt beslut

Att ett dokument går att spara betyder inte att det alltid ska ligga kvar eller vara åtkomligt.

Ta bort åtkomst
Avsluta kontokopplingar och andra behörigheter som inte längre behövs.
Bedöm fortsatt behov
Kontrollera om det finns ett dokumenterat ändamål och en rättslig grund för fortsatt lagring.
Gallra enligt rutin
Ta bort uppgifter när ändamålet har upphört och ingen annan grund motiverar fortsatt behandling.
Dokumentera beslutet
Gör det tydligt varför information sparas eller tas bort och vem som ansvarar för uppföljningen.

En samlad vy kan göra översynen enklare än om intygen ligger i separata mejl och mappar. Läs mer om att lagra utbildningsintyg digitalt.

Vanliga frågor

Om utbildningsintyg, personuppgifter och GDPR

Innehåller utbildningsintyg personuppgifter?

Ja, ofta. Ett utbildningsintyg kan exempelvis innehålla namn, arbetsgivare, utbildning, datum och andra uppgifter som kan kopplas till en person.

Blir ett företag automatiskt GDPR-kompatibelt genom att använda Utbildningsintyg?

Nej. Tjänsten kan stödja ordnad lagring och åtkomst, men varje organisation ansvarar fortfarande för bland annat rättslig grund, behörigheter, lagringstider och sina egna rutiner.

Hur länge får ett utbildningsintyg sparas?

Det finns ingen enda lagringstid som passar alla intyg. Organisationen behöver bedöma ändamål och rättslig grund, dokumentera sin gallringsrutin och ta bort uppgifter som inte längre behövs.

Vad bör göras med en tidigare anställds utbildningsintyg?

Ta bort åtkomst som inte längre behövs, avsluta onödiga kontokopplingar och bedöm om det finns ett dokumenterat ändamål och rättslig grund för fortsatt lagring.

Vad bör man tänka på när ett intyg delas via e-post?

Kontrollera mottagaradressen, skicka bara nödvändiga dokument och kom ihåg att en PDF-bilaga skapar en ny kopia utanför det ursprungliga arkivet.

Tydliga rutiner före tekniska verktyg

Se hur tjänsten kan passa in i företagets intygshantering

Utforska företagslösningen och läs den fullständiga integritetspolicyn innan ni går vidare.

För företag Integritetspolicy