Ett byggföretag sitter på tre register fyllda med personuppgifter: kunder med namn och kontaktuppgifter, personal med personnummer, och leverantörskontakter. GDPR gäller alla tre - oavsett om du är ensam hantverkare eller har trettio anställda. Poängen är inte att sluta samla data, utan att ha rätt rättslig grund, rätt lagringstid och rätt dokumentation. Sköter du det slarvigt kan en allvarlig överträdelse kosta upp till 20 miljoner euro eller 4 % av årsomsättningen. Sköter du det rätt är det en eftermiddags jobb en gång per år.
Behöver du mallar och underlag för att komma igång? Utgå från våra gratis verktyg och mallar för byggföretag ->
Börja med rättslig grund - inte samtycke
GDPR vilar på sex rättsliga grunder (Art. 6): samtycke, avtal, rättslig förpliktelse, skydd av grundläggande intressen, allmänt intresse och berättigat intresse. Ett register är fullt lagligt så länge du har en av dessa grunder, följer principerna och informerar de registrerade. Missförståndet är att man alltid måste be om samtycke - det stämmer sällan.
För ett byggföretags kundregister är grunden nästan alltid avtal (att fullgöra offert eller entreprenad) eller berättigat intresse. Personalregistret vilar på avtal (anställningen) plus rättslig förpliktelse (skatt och arbetsmiljö). Leverantörskontakter hanteras oftast på berättigat intresse. Samtycke är faktiskt den svagaste grunden - den kan återkallas när som helst - och behövs sällan i en B2B-relation. Spara samtycket till renodlad marknadsföring, som nyhetsbrev och utskick.
Personalliggaren - ett lagkrav som också är GDPR-data
Elektronisk personalliggare krävs på byggarbetsplatsen när den samlade kostnaden för byggverksamheten förväntas överstiga fyra prisbasbelopp. Prisbasbeloppet för 2026 är fastställt till 59 200 kr, vilket ger en gräns på 236 800 kr. I byggbranschen måste liggaren vara elektronisk - papper godtas inte.
Liggaren innehåller namn och personnummer på alla som är verksamma på platsen, alltså tydlig personuppgiftshantering. Den rättsliga grunden är rättslig förpliktelse enligt skatteförfarandelagen (SFL 39 kap). Här finns en nyckelpoäng som många missar: uppgifterna får endast användas för Skatteverkets kontroll. Det är olagligt att återanvända liggardatan till lön, tidrapportering eller schemaläggning - även om det vore praktiskt. Vill du ha tidrapportering behöver du samla den datan separat, på egen grund.
Uppgifterna ska bevaras i två år efter utgången av det kalenderår då räkenskapsåret eller byggverksamheten avslutades. Saknas eller brister liggaren vid Skatteverkets besök blir kontrollavgiften 12 500 kr, plus 2 500 kr per person som inte är dokumenterad. Och eftersom liggaren oftast är en molntjänst behöver du ett personuppgiftsbiträdesavtal (PUB-avtal) med leverantören.
Hur länge får du spara? Lagringstider som krockar
GDPR:s princip om lagringsminimering säger att data ska raderas när ändamålet upphört. Men den principen vägs mot rättslig förpliktelse - och flera lagar tvingar fram längre lagring än du kanske vill.
Bokföringslagen kräver att räkenskapsinformation - fakturor, verifikationer och avtal med bokföringsvärde - bevaras i 7 år efter utgången av det kalenderår då räkenskapsåret avslutades. Sedan 1 juli 2024 behöver materialet inte längre sparas i fysisk form, så länge det kan tillgängliggöras elektroniskt under hela arkiveringstiden. Personalliggaren: 2 år. Marknadsföringssamtycke: radera när kunden tackar nej.
Det praktiska knepet är att separera ändamål. Att du måste spara en faktura i 7 år betyder inte att hela CRM-posten med säljanteckningar, telefonlogg och gamla offertutkast ska ligga kvar lika länge. Fakturan sparas för bokföringsändamålet; resten gallras när kundrelationen är avslutad. Sätt en gallringsrutin per registertyp - inte en gemensam "vi sparar allt i sju år".
Dokumentationen IMY faktiskt frågar efter
Vid en granskning är det första dokumentet Integritetsskyddsmyndigheten (IMY) oftast begär din registerförteckning - ett internt register över behandlingar. Där listar du vilka personuppgifter du behandlar, för vilket ändamål, hur länge och med vilken rättslig grund. Har du inget att visa upp ser det illa ut från start.
Utöver den behöver du:
- Integritetspolicy - informationen till de registrerade om hur du hanterar deras uppgifter.
- PUB-avtal med alla leverantörer som behandlar personuppgifter åt dig: bokföringsbyrå, CRM eller molntjänst, lönesystem och leverantör av digital personalliggare.
- Rutin för registerutdrag och radering - vem svarar och hur.
- Tekniska och organisatoriska skyddsåtgärder - åtkomststyrning så att inte alla ser allt, och kryptering.
Kamerabevakning på byggarbetsplatsen
Sedan april 2025 krävs inget tillstånd från IMY för företagets kameror. Men det betyder inte fritt fram: du måste själv ha en dokumenterad intresseavvägning (berättigat intresse, Art. 6.1 f) som visar att behovet av bevakning väger tyngre än de bevakades integritet. Motivera med stöld- och skadegörelseskydd, rikta kamerorna så att du minimerar att fånga förbipasserande, och skylta tydligt. Intresseavvägningen och en förteckning över pågående bevakning ska bevaras i minst fem år.
De registrerades rättigheter
Kunder, anställda och leverantörskontakter har rätt till information, registerutdrag (tillgång), rättelse och radering. Uppgifter ska raderas när ändamålet och den rättsliga grunden upphört. Ha en utpekad person eller rutin som kan hantera en sådan begäran och svara inom en månad - det är inget du vill improvisera fram när en tidigare anställd hör av sig.
Checklista - kom igång på en eftermiddag
- Inventera alla register - kund, personal, leverantör, liggare, kamera.
- Sätt rättslig grund per register (avtal, rättslig förpliktelse eller berättigat intresse).
- Skriv registerförteckningen.
- Sätt lagringstider och en gallringsrutin per registertyp.
- Teckna PUB-avtal med bokföringsbyrå, CRM, lönesystem och liggarleverantör.
- Publicera integritetspolicyn.
- Säkra åtkomst och kryptering.
- Dokumentera eventuell kamerabevakning med intresseavvägning.
Så gör du i ByggExp
ByggExp hjälper dig samla kund-, projekt- och leverantörsuppgifter på ett ställe med tydlig åtkomststyrning, så att inte alla anställda kommer åt allt. Du får en struktur där tidrapportering hålls skild från personalliggarens Skatteverksdata, och där avtal och underlag kan arkiveras elektroniskt genom hela bokföringens sjuårsperiod. Verktyget ersätter inte ditt juridiska ansvar - registerförteckning, integritetspolicy och PUB-avtal måste du fortfarande upprätta - men det gör det enklare att hålla data ordnad, gallringsbar och spårbar.
Vanliga frågor
Måste jag be kunderna om samtycke för att spara deras uppgifter?
Nej, oftast inte. För kundregister är den rättsliga grunden nästan alltid avtal (att fullgöra offert eller entreprenad) eller berättigat intresse. Samtycke behövs främst för renodlad marknadsföring, som nyhetsbrev, och är dessutom den svagaste grunden eftersom det kan återkallas när som helst.
Får jag använda personalliggaren till tidrapportering?
Nej. Uppgifterna i personalliggaren får enligt lag endast användas för Skatteverkets kontroll. Att återanvända dem till lön, tidrapportering eller schemaläggning är olagligt. Vill du ha tidrapportering måste du samla in den datan separat, på en egen rättslig grund.
Hur länge ska jag spara kunduppgifter?
Det beror på ändamålet. Fakturor och avtal med bokföringsvärde ska sparas i 7 år enligt bokföringslagen. Övriga uppgifter, som säljanteckningar och kontaktlogg, ska gallras när ändamålet upphört - alltså när kundrelationen är avslutad. Separera ändamålen istället för att spara allt lika länge.
Vad är en registerförteckning och behöver mitt lilla byggföretag en?
Ja. Registerförteckningen är intern dokumentation över vilka personuppgifter du behandlar, för vilket ändamål, hur länge och med vilken rättslig grund. Den gäller oavsett företagsstorlek och är oftast det första dokument IMY begär vid en granskning.
Kom igång
GDPR är fullt hanterbart för ett byggföretag när du bryter ner det i tre delar: rätt grund, rätt lagringstid och rätt dokumentation. Börja med mallar och underlag bland våra gratis verktyg, och vill du se hur du håller registren ordnade i praktiken kan du boka en demo.
Relaterat: Digitalisera byggföretaget med projektstyrning, Hitta kunder till byggfirman, Starta byggföretag 2026.
