Prata in jobbet, så får offerten namn, adress och ROT-avdraget uträknat, och raden om personuppgifter står sist.
Varje offert till en privatperson bär personuppgifter: namn, adress, telefonnummer, ofta en bild på huset och ibland ett personnummer för ROT-avdraget. Vad du får göra med dem avgörs av EU:s dataskyddsförordning (EU) 2016/679, som gäller i Sverige utan att föras in i svensk lag, och av lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, som brukar kallas dataskyddslagen. Nedan står reglerna artikel för artikel och paragraf för paragraf, ur förordningen i den svenska språkversionen på EUR-Lex, ur dataskyddslagen i lydelse t.o.m. SFS 2026:1589, ur prop. 2017/18:105 som införde den, ur den upphävda personuppgiftslagen (1998:204) för att visa vad som ändrades 2018, och ur lagen (2009:194) om förfarandet vid skattereduktion för hushållsarbete för ROT-delen. Artiklar utan namn är förordningens, paragrafer med kapitel är dataskyddslagens. Alla källor lästes den 6 oktober 2026. Författningsregistret visade samma dag att dataskyddslagen har 9 ändringsposter, den senaste är SFS 2026:1589 som träder i kraft den 1 januari 2027, och att ingen av dem rör 3 kap. EUR-Lex visade samma dag ingen antagen ändring av förordningen.
| Uppgiften | Laglig grund | Hur länge du får ha den |
|---|---|---|
| Namn, adress och telefon i offerten | Åtgärd före avtal (art. 6.1 b) | Tills kunden har svarat, sedan rensa |
| Samma uppgifter när kunden säger ja | Avtal (art. 6.1 b) | Med räkenskaperna, sju år (BFL 7 kap. 2 §) |
| Köparens personnummer för ROT | Rättslig förpliktelse (art. 6.1 c) | Så länge Skatteverket kan kräva tillbaka |
| Personnumret redan i offerten | Svårt att visa klart motiverat (3 kap. 10 §) | Bör inte finnas där |
| Bilden på kundens hus | Åtgärd före avtal (art. 6.1 b) | Så länge den behövs för jobbet |
Förordningen gäller din firma, inte kundens kök. Artikel 2.1 säger att förordningen ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg. En offert i en app, ett mejl eller ett kalkylblad är automatisk behandling. Undantaget i artikel 2.2 c gäller behandling som en fysisk person utför som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll. Det skyddar kunden som sparar din offert i en pärm, inte dig som skrev den i din rörelse. Att firman är liten ändrar ingenting: ordet hantverkare står noll gånger i förordningen, och ordet offert likaså. Det är behandlingen som avgör, inte branschen.
Offerten har en egen laglig grund. Artikel 6.1 räknar upp sex grunder, och minst en måste finnas. Led b säger: Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. När en privatperson ber dig räkna på ett badrum är offerten just en sådan åtgärd. Du behöver alltså inget samtycke för att skriva namn och adress i offerten. Grunden räcker så långt kundens begäran räcker: till offerten och, om kunden säger ja, till avtalet.
Uppräkningen är uttömmande. Regeringen skrev det rakt ut i prop. 2017/18:105: Uppräkningen i artikel 6.1 är uttömmande. Om ingen av grunderna passar är behandlingen inte laglig. Det betyder att en uppgift du samlat in för offerten inte automatiskt får användas till något annat, till exempel ett nyhetsbrev till alla som någon gång fått ett pris av dig.
Före 2018 räckte det att inte missbruka uppgifterna. Personuppgiftslagen (1998:204) hade en missbruksregel i 5 a §. Den gällde uppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter. Ett mejl eller en offert i löpande text föll ofta där, och då gällde i stort sett bara att du inte fick kränka kundens integritet. Propositionen till dataskyddslagen konstaterar att det är slut: Detta gäller all behandling av personuppgifter, även sådan ostrukturerad behandling som i dag kan ske utan stöd av rättslig grund enligt missbruksregeln i 5 a § PUL. Den som lärde sig reglerna före den 25 maj 2018 har en lucka just där offerten ligger.
Personnumret har en egen regel i svensk lag. Förordningen nämner inte ordet personnummer. Artikel 87 lämnar frågan till medlemsstaterna: Medlemsstaterna får närmare bestämma på vilka särskilda villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Sverige har gjort det i 3 kap. 10 § dataskyddslagen: Personnummer och samordningsnummer får behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Ordet personnummer står tre gånger i dataskyddslagen: i rubriken över 3 kap. 10 § och i 10 och 11 §§.
Klart motiverat är en avvägning, inte ett ja. Propositionen förklarar vad som krävs. Bestämmelsen innebär att en intresseavvägning mellan behovet av behandlingen och de integritetsrisker som den innebär ska göras. Omständigheter som bör tillmätas betydelse vid intresseavvägningen är exempelvis om det eftersträvade syftet med behandlingen kan uppnås på annat sätt, behandlingens omfattning och om den förutsätter samkörning av register. Personnummer och samordningsnummer utgör inte känsliga personuppgifter i dataskyddsförordningens mening, men regeringen skriver att regeln ger uttryck för att behandlingen bör vara restriktiv.
Regeln är samma som 1999. Personuppgiftslagens 22 § löd i lydelse enligt lag (1999:1059): Uppgifter om personnummer eller samordningsnummer får utan samtycke behandlas bara när det är klart motiverat med hänsyn till a) ändamålet med behandlingen, b) vikten av en säker identifiering, eller c) något annat beaktansvärt skäl. Dataskyddslagen gjorde listan till en mening men behöll innehållet, och propositionen säger det med fyra ord: Bestämmelsen motsvarar 22 § PUL. Den säger också att praxis kring personuppgiftslagen bör vara vägledande. 3 kap. 10 § har inte ändrats sedan lagen trädde i kraft den 25 maj 2018.
ROT-avdraget kräver personnumret, men först i begäran. Lagen (2009:194) om förfarandet vid skattereduktion för hushållsarbete säger i 9 § vad din begäran till Skatteverket ska innehålla, bland annat personnummer eller samordningsnummer i de fall sådant nummer finns för köparen. Där har du en rättslig förpliktelse enligt artikel 6.1 c, och 2 kap. 1 § dataskyddslagen bekräftar att uppgifter får behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning. Men 8 § säger när: Utbetalning får begäras efter det att hushållsarbetet har utförts och betalats. Begäran ska ha kommit in senast den 31 januari året efter det beskattningsår då arbetet betalades.
Offerten kan räkna med ROT utan personnumret. Avdraget i offerten är en beräkning på arbetskostnaden. Den kräver inte att du vet vem som till slut ska stå som köpare, och 9 § ställer inga krav på offerten alls. Begär personnumret när kunden har sagt ja, och lägg det i ROT-underlaget i stället för i den pdf som skickas med mejl. Då har du en rättslig förpliktelse att peka på när du behandlar numret, i stället för en avvägning du måste kunna försvara.
Ta bara det du behöver. Artikel 5.1 c kräver uppgiftsminimering: De ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. För en offert räcker namn, adress till arbetsplatsen och ett sätt att nå kunden. Ett personnummer, en kopia av en id-handling eller uppgifter om vem som bor i huset tillför inget till priset.
Du ska kunna visa att du följer reglerna. Artikel 5.2 lägger bevisbördan på dig: Den personuppgiftsansvarige ska ansvara för och kunna visa att punkt 1 efterlevs. Det är du som är personuppgiftsansvarig för dina kunders uppgifter, även om du använder ett program för att skriva offerten. Har du en rad i offerten om hur du hanterar uppgifterna och en rutin för att rensa, har du något att visa.
Kunden ska få veta, och offerten är rätt ställe. Artikel 13 gäller när du samlar in uppgifterna från kunden själv. Du ska när personuppgifterna erhålls lämna information om bland annat vem du är och hur du nås, ändamålet och den rättsliga grunden, mottagarna och, enligt artikel 13.2 a, Den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period. Kunden ska också få veta att den kan begära tillgång, rättelse och radering och klaga hos tillsynsmyndigheten. Fyra meningar sist i offerten täcker det.
Tillsynen sköts av IMY. Förordningen (2018:219) med kompletterande bestämmelser säger i 3 §: Integritetsskyddsmyndigheten är tillsynsmyndighet enligt EU:s dataskyddsförordning. Paragrafen har den lydelsen sedan förordning (2020:1140). Det är dit en kund klagar, och det är dit du anmäler en incident.
Spara inte en avböjd offert för säkerhets skull. Artikel 5.1 e säger: De får inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. När kunden har tackat nej är ändamålet med offerten uppnått. Ingen av lagarna på den här sidan kräver att du sparar en offert som aldrig blev en affär. Vill du kunna följa upp kunden om ett år behöver du en egen grund för det, och kunden ska ha fått veta det.
Den antagna offerten följer bokföringen. När kunden har sagt ja blir offerten en del av avtalet, och avtalet en del av underlaget för fakturan. Bokföringslagen 7 kap. 2 § säger att räkenskapsinformationen ska bevaras fram till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. Den skyldigheten är en rättslig förpliktelse, och den går före kundens önskan om radering.
ROT-underlaget har en egen klocka. Skatteverket kan kräva tillbaka en felaktig utbetalning, och 14 § i lagen (2009:194) sätter gränsen: Ett beslut om återbetalning får inte meddelas efter utgången av det sjätte året efter det beskattningsår som utbetalningen avser. Så länge den tiden löper har du ett skäl att kunna visa vad du begärde och för vem.
Radering har undantag som passar en firma. Kunden kan begära att uppgifterna raderas enligt artikel 17, men artikel 17.3 b säger att rätten inte gäller i den utsträckning behandlingen är nödvändig För att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten eller enligt en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Led e lägger till: För att kunna fastställa, göra gällande eller försvara rättsliga anspråk. Bokföringen och en pågående reklamation får du alltså behålla. Allt annat ska bort.
En månad att svara. Ber kunden att få se vad du har om honom eller henne ska du svara utan onödigt dröjsmål och, enligt artikel 12.3, under alla omständigheter senast en månad efter att ha mottagit begäran. Tiden får förlängas med två månader om begäran är komplicerad, men du ska säga det inom den första månaden. Svaret är kostnadsfritt enligt artikel 12.5.
Kalkylanteckningen behöver du inte lämna ut. Dataskyddslagen 5 kap. 2 § gör ett undantag från rätten till tillgång: Artikel 15 i EU:s dataskyddsförordning gäller inte personuppgifter i löpande text som inte har fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande. Dina anteckningar från platsbesöket och ett offertutkast omfattas. Undantaget faller om texten har lämnats ut till tredje part, till exempel skickats till en underentreprenör, och om uppgifterna har behandlats under längre tid än ett år i löpande text som inte har fått sin slutliga utformning.
En kundlogg är inget utkast. Propositionen drar gränsen: Text som är avsedd att ändras eller kompletteras löpande och således aldrig kommer att få någon slutlig utformning omfattas inte av undantaget. En anteckningsfil per kund som du fyller på år efter år ska alltså lämnas ut på begäran. Och även när undantaget gäller handlar det om uppgifterna, inte dokumentet: Själva utkastet behöver således inte lämnas ut.
Programmet du skriver i är ett personuppgiftsbiträde. När ett offertprogram, en molntjänst eller en redovisningsbyrå behandlar dina kunders uppgifter för din räkning är den ett personuppgiftsbiträde. Artikel 28.1 säger att du ska endast anlita personuppgiftsbiträden som ger tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder. Enligt artikel 28.3 ska det finnas ett avtal, och i det ska bland annat stå att biträdet endast får behandla personuppgifter på dokumenterade instruktioner från den personuppgiftsansvarige. Kräv avtalet av den du anlitar.
Registret över behandlingar gäller nästan alltid ändå. Artikel 30 kräver ett register över behandlingen. Artikel 30.5 ger ett undantag som ser ut att passa en liten firma, men läs hela meningen: skyldigheterna ska inte gälla för ett företag eller en organisation som sysselsätter färre än 250 personer såvida inte den behandling som utförs sannolikt kommer att medföra en risk för registrerades rättigheter och friheter, behandlingen inte är tillfällig eller den omfattar vissa särskilda uppgifter. Ett kundregister som du skriver offerter ur varje vecka är svårt att kalla tillfälligt. En sida i ett dokument räcker: vad du sparar, varför, hur länge och vem som får se det.
Undantaget kan ändras, men har inte gjort det. Kommissionen föreslog i maj 2025, i COM(2025) 501, att registret bara ska krävas när behandlingen sannolikt leder till hög risk. Samtidigt bör tillämpningsområdet för undantaget utvidgas till att omfatta små midcapföretag och organisationer med färre än 750 anställda. EUR-Lex listar det förslaget och ett till, COM(2025) 837, som förslag om ändring av förordningen. Den 6 oktober 2026 visade EUR-Lex ingen antagen ändring, så artikel 30.5 gäller i sin lydelse från 2016.
En borttappad telefon kan vara en incident. Försvinner en telefon eller en dator med kundernas adresser och personnummer, eller skickas en offert till fel kund, är det en personuppgiftsincident. Artikel 33.1 kräver anmälan till tillsynsmyndigheten utan onödigt dröjsmål och, om så är möjligt, inte senare än 72 timmar efter att ha fått vetskap om den, såvida det inte är osannolikt att incidenten medför en risk. En offert med bara namn och pris är sällan en risk. En lista med personnummer är det.
Kunden kan kräva skadestånd. Artikel 82.1: Varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av denna förordning ska ha rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet för den uppkomna skadan. Dataskyddslagen 7 kap. 1 § utsträcker rätten till överträdelser av den svenska lagen, alltså även personnummerregeln i 3 kap. 10 §.
Sanktionsavgifterna är dimensionerade för koncerner. Artikel 83.4 tillåter avgifter upp till 10 000 000 EUR eller, om det gäller ett företag, på upp till 2 % av den totala globala årsomsättningen under föregående budgetår, bland annat för brister i registret, säkerheten och incidentanmälan. Artikel 83.5 tillåter upp till 20 000 000 EUR eller, om det gäller ett företag, på upp till 4 % av den totala globala årsomsättningen för brott mot grundprinciperna och kundens rättigheter. Taken är maxbelopp, och avgiften ska enligt artikel 83.1 vara proportionell. För en enskild firma är skadeståndet till kunden och ett föreläggande från IMY de troliga följderna.
Dataskyddslagen är kort och personnummerregeln orörd. Lagen har sju kapitel och 45 paragrafer. 1 kap. 3 § finns just nu i två lydelser, en som upphör och en som träder i kraft den 1 januari 2027 när Sveriges utrikes underrättelsetjänst läggs till. Ordet ska står 26 gånger och skall ingen gång. Ordet offert står noll gånger, och ordet kund likaså. Förordningen har 99 artiklar och 173 skäl och tillämpas från den 25 maj 2018.
Fyra meningar sist i offerten. Vi använder dina uppgifter för att lämna och, om du tackar ja, utföra den här offerten. Säger du nej raderar vi dem när du har svarat, säger du ja sparar vi dem så länge bokföringslagen och reglerna om ROT-avdrag kräver. Vi begär ditt personnummer först när ROT-avdraget ska ansökas hos Skatteverket. Du kan begära att få se, rätta eller radera dina uppgifter hos oss, och klaga hos Integritetsskyddsmyndigheten.
Beskriv jobbet och var det ska göras, så som du skulle säga det till kunden.
Offerten får namn och adress, ROT räknas på arbetet och raden om personuppgifter står sist, utan personnummer.
Kunden får en pdf med det den behöver, och personnumret begär du först när jobbet är klart.
Samma motor, skräddarsydd för din bransch. Testa 5 offerter gratis, konto på tio sekunder.
Mittkolumnen är svaret, högerkolumnen var det står.
| Kunden ber om | Svaret | Lagrum |
|---|---|---|
| Att få se sina uppgifter | Inom en månad, kostnadsfritt | art. 12.3, 12.5 och 15 |
| Att få se dina anteckningar från besöket | Inte utkast eller anteckningar | 5 kap. 2 § lag (2018:218) |
| Att du raderar allt | Inte det bokföringen kräver | art. 17.3 b |
| Att du slutar skicka erbjudanden | Ja, alltid | art. 21.2 och 21.3 |
| Att få klaga | Hos IMY, tillsynsmyndigheten | 3 § förordning (2018:219) |
| Att slippa lämna personnummer i offerten | Det behövs inte där | 8 och 9 §§ lag (2009:194) |
Rätten att invända mot direktmarknadsföring är ovillkorlig: om den registrerade invänder mot behandling för direkt marknadsföring ska personuppgifterna inte längre behandlas för sådana ändamål. Det står i artikel 21.3.
Ja. Förordningen gäller behandling av personuppgifter som helt eller delvis sker på automatisk väg (artikel 2.1). Undantaget i artikel 2.2 c gäller bara verksamhet av rent privat natur eller som har samband med hushållet, och en firma som skriver offerter är ingen sådan verksamhet. Antalet anställda spelar ingen roll för grundreglerna.
Nej. Artikel 6.1 b tillåter behandling som är nödvändig för att vidta åtgärder på begäran av den registrerade innan ett avtal ingås. När kunden ber om ett pris är offerten en sådan åtgärd.
Det är svårt att motivera. Enligt 3 kap. 10 § dataskyddslagen får personnummer behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet, vikten av en säker identifiering eller något annat beaktansvärt skäl. Offerten och ROT-beräkningen fungerar utan numret, och lagen om ROT-förfarandet kräver det först i begäran till Skatteverket.
När du begär utbetalning från Skatteverket. Enligt 8 § lagen (2009:194) får utbetalning begäras efter att arbetet har utförts och betalats, och enligt 9 § ska begäran innehålla köparens personnummer eller samordningsnummer.
En rättslig förpliktelse enligt artikel 6.1 c. Lagen (2009:194) kräver numret i begäran, och 2 kap. 1 § dataskyddslagen säger att personuppgifter får behandlas när det är nödvändigt för att fullgöra en rättslig förpliktelse som följer av lag.
Inte i sak. Propositionen 2017/18:105 säger att 3 kap. 10 § motsvarar 22 § i personuppgiftslagen, som gällde sedan 1999 med samma villkor. Det som försvann 2018 var missbruksregeln i 5 a § personuppgiftslagen, som gjorde att ostrukturerad text som mejl ofta föll utanför de flesta reglerna.
Nej. Propositionen säger att personnummer och samordningsnummer inte utgör känsliga personuppgifter i dataskyddsförordningens mening, men att de har getts en särställning genom artikel 87 och att behandlingen bör vara restriktiv.
Enligt artikel 13 vem du är och hur du nås, varför du behandlar uppgifterna och med vilken rättslig grund, vilka som får dem, hur länge du sparar dem, att kunden kan begära tillgång, rättelse och radering, och att kunden kan klaga hos tillsynsmyndigheten. Det ska ske när uppgifterna samlas in, så offerten är ett naturligt ställe.
Inte längre än vad som är nödvändigt för ändamålet (artikel 5.1 e). När kunden har svarat nej är ändamålet uppnått, och ingen av lagarna på den här sidan kräver att du sparar en offert som aldrig blev en affär.
Så länge den ingår i räkenskapsinformationen: enligt 7 kap. 2 § bokföringslagen fram till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. För ROT-underlaget kan Skatteverket besluta om återbetalning fram till utgången av det sjätte året efter beskattningsåret (14 § lagen 2009:194).
Nej, inte så länge bokföringslagen kräver att den sparas. Rätten till radering gäller inte i den utsträckning behandlingen är nödvändig för att uppfylla en rättslig förpliktelse (artikel 17.3 b) eller för att fastställa, göra gällande eller försvara rättsliga anspråk (artikel 17.3 e).
Utan onödigt dröjsmål och senast en månad efter att du fick begäran (artikel 12.3). Tiden får förlängas med två månader om begäran är komplicerad, men du ska meddela det inom den första månaden. Svaret är kostnadsfritt.
Normalt inte. Enligt 5 kap. 2 § dataskyddslagen gäller rätten till tillgång inte personuppgifter i löpande text som inte har fått sin slutliga utformning eller som är minnesanteckningar. Undantaget gäller inte om texten har lämnats ut till tredje part eller har legat som utkast i mer än ett år.
Om programmet lagrar och behandlar kundernas uppgifter för din räkning, ja. Då ska det enligt artikel 28.3 finnas ett avtal där det bland annat står att biträdet bara får behandla uppgifterna på dina dokumenterade instruktioner.
Oftast ja. Undantaget i artikel 30.5 för företag med färre än 250 anställda gäller inte om behandlingen inte är tillfällig, och ett kundregister som används löpande är inte tillfälligt. Kommissionen har föreslagit en ändring i COM(2025) 501, men den 6 oktober 2026 visade EUR-Lex ingen antagen ändring.
Bedöm om incidenten kan medföra en risk för kunden. Gör den det ska den anmälas till Integritetsskyddsmyndigheten utan onödigt dröjsmål och om möjligt inom 72 timmar (artikel 33.1). Ett namn och ett pris är sällan en risk, ett personnummer och en adress kan vara det.
Integritetsskyddsmyndigheten, IMY, enligt 3 § förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning, i lydelse enligt förordning (2020:1140).
Upp till 10 miljoner euro eller 2 procent av den globala årsomsättningen enligt artikel 83.4, och upp till 20 miljoner euro eller 4 procent enligt artikel 83.5, beroende på vilket värde som är högst. Avgiften ska vara proportionell, och för en liten firma är taken teoretiska.
Bara med en laglig grund som håller och om kunden har fått veta det. Invänder kunden mot direkt marknadsföring ska uppgifterna inte längre användas för det (artikel 21.3), och den rätten har inga undantag.
Varför du använder uppgifterna, hur länge du sparar dem om kunden säger nej och om kunden säger ja, att personnumret begärs först för ROT-ansökan, och att kunden kan begära att få se, rätta eller radera uppgifterna och klaga hos Integritetsskyddsmyndigheten.