GDPR – Dataskyddsförordningen som skyddar den personliga integriteten

Den personliga integriteten är skyddsvärd i samhället. Det är bakgrunden till dataskyddsförordningen som gäller i hela EU sedan 2018.

På engelska heter förordningen General Data Protection Regulation (GDPR). I Sverige har förordningen ersatt personuppgiftslagen. Förordningen reglerar hur personuppgifter får behandlas, det vill säga samlas in, hanteras och sparas. Syftet är att skydda alla EU-medborgares personuppgifter och personliga integritet. EU vill också förenkla för företag och organisationer att verka i flera länder inom EU.

Det är viktigt att leva upp till kraven i GDPR inte minst för att inte riskera böter. Alla verksamheter som behandlar personuppgifter har ett ansvar. I Sverige är det Integritetsskyddsmyndigheten (IMY) som utövar tillsyn och är den myndighet som granskar att reglerna tillämpas rätt. IMY har också till uppgift att ge vägledning och stöd i frågor rörande GDPR.

En personuppgift är all den information som kan knytas till en levande person. Personens namn är en personuppgift, men även en bild eller en ljudupptagning räknas som personuppgift (även om namnet inte nämns).

Det är viktigt att klassa de personuppgifter som ska behandlas, då det krävs olika skydd för respektive klass. Det finns tre klasser enligt GDPR, men i Sverige har vi också en fjärde för personnummer.

• Känsliga personuppgifter, exempelvis etniskt ursprung, hälsa, fackligt medlemskap och sexuell läggning. Känsliga personuppgifter är det i princip förbjudet att behandla om det inte finns särskilda skäl. De ska i så fall skyddas extra.
• Integritetskänsliga personuppgifter, exempelvis löneuppgifter, lagöverträdelser och sociala förhållanden. Dessa uppgifter får bara behandlas om det finns stöd i lag eller med tillstånd. Även här ska förhöjd skyddsnivå tillämpas.
• Personnummer, huvudregeln är att den registrerade ska ge sitt samtycke till att personnummer behandlas.
• Okänsliga personuppgifter, exempelvis namn, adress, arbetsgivare och e-postadress.

Det är en hel del att hålla reda på när en verksamhet ska säkerställa att behandlingen av personuppgifter uppfyller kraven enligt GDPR. Till att börja med måste de sju grundläggande principerna efterlevas.

• Det finns stöd enligt de rättsliga grunderna, som beskrivs här nedan.
• Det måste finnas ett tydligt ändamål med behandlingen av personuppgifter.
• Uppgiftsminimering innebär att endast nödvändiga uppgifter ska samlas in.
• Personuppgifter som visar sig vara felaktiga måste rättas eller raderas.
• Gallring av personuppgifter ska ske så snart de inte längre behövs.
• Det måste finnas adekvat tekniskt och organisatoriskt skydd för att hindra obehörig åtkomst.
• Förutom att dessa grundläggande principer måste efterlevas behöver det finnas dokumenterat HUR man följer principerna.

I GDPR beskrivs tre roller och deras respektive ansvarsområde. Den första rollen, Personuppgiftsansvarig, är alltid aktuell. De två övriga rollerna, Personuppgiftsbiträde och Dataskyddsombud, är aktuella i vissa fall. Nedan beskrivs rollerna.

• Personuppgiftsansvarig, är den som avser att behandla personuppgifter för ett specifikt syfte. Det kan vara en fysisk eller juridisk person. I ett företag är det aldrig enskilda medarbetare eller VD:n som bär ansvaret, utan företaget som juridisk person.
• Personuppgiftsbiträde, den personuppgiftsansvarige kan utse ett personuppgiftsbiträde som övertar utförandet för behandlingen av personuppgifter för den personuppgiftsansvariges räkning. Parterna behöver upprätta ett personuppgiftsbiträdesavtal där det ska framgå hur biträdet får behandla personuppgifterna.
• Dataskyddsombud, är en utökad roll jämfört med personuppgiftsombud i den förra lagen (PUL). Det är inte ett måste att ha ett dataskyddsombud, men ska ses som en kvalitetsstämpel. I rollen ingår att vara rådgivare till den egna verksamheten i frågor om behandling av personuppgifter och att vara kontakt gentemot IMY.

En av de grundläggande principerna i GDPR, som beskrevs här ovan, är att det måste finnas ett syfte med behandlingen av personuppgifter för att den ska vara laglig. Detta syfte kallas rättslig grund.

Det finns sex rättsliga grunder att basera personuppgiftsbehandlingen på:

• Samtycke, genom att inhämta den registrerades godkännande.
• Avtal med registrerade, ett avtal ingås mellan den registrerade och den personuppgiftsansvarige.
• Berättigat intresse som innebär att personuppgiftsansvarig väger intresset för att behandla uppgifterna mot intresset av personlig integritet för den vars uppgifter behandlas, en intresseavvägning.
• Rättslig förpliktelse, ibland måste personuppgifter behandlas för att följa lagar och regler.
• Myndighetsutövning och uppgift av allmänt intresse, statliga och kommunala verksamheter kan behandla personuppgifter med stöd av lagar från EU eller Sverige. Även privata aktörer kan åberopa denna rättsliga grund, exempelvis en privat skola.
• Skydda grundläggande intresse, kan bara åberopas när den registrerade är medvetslös och det handlar om att rädda liv.

Genom GDPR har de registrerade fått ett förstärkt skydd när deras personuppgifter behandlas. De registrerade har åtta rättigheter som den personuppgiftsansvarige måste tillgodose.

• Rätt till information, den registrerade har rätt att veta när personuppgifter samlas in och även att efter begäran få utdrag över vilka personuppgifter som finns lagrade.
• Rätt till registerutdrag, den personuppgiftsansvarige måste, senast en månad efter en begäran från en registrerad, lämna ut vilka personuppgifter om den registrerade som behandlas, samt uppgift om var uppgifterna kommer ifrån, ändamålet med behandlingen och till vem de lämnas ut.
• Rätt till rättelse, den registrerade har rätt att få felaktiga uppgifter rättade eller kompletterade.
• Rätt till radering, under vissa förutsättningar har den registrerade rätt att få sina uppgifter raderade, till exempel om den rättsliga grunden varit samtycke och den registrerade vill återkalla samtycket. Det finns också tillfällen då radering inte kan utföras pga. lagar och regler.
• Rätt till begränsning av behandling, under vissa omständigheter kan den registrerade begära att behandlingen av personuppgifterna begränsas. Det kan till exempel gälla om den registrerade har påtalat att uppgifterna är felaktiga och därav behöver behandlingen begränsas tills rättning genomförts.
• Dataportabilitet, den registrerade har rätt att få ut sina personuppgifter om det är den registrerade själv som har lämnat dem, exempelvis på en social mediatjänst.
• Rätt att göra invändningar, denna rätt gäller för personuppgifter som behandlas med stöd av de rättsliga grunderna intresseavvägning, myndighetsutövning och uppgift av allmänt intresse. Om den registrerade invänder måste den personuppgiftsansvarige visa att det finns skäl som väger tyngre än den registrerades intresse.
• Automatiserat beslutsfattande och profilering, den registrerade har rätt att få reda på att automatiserat beslutsfattande används, till exempel om en kreditansökan görs och svaret sker automatiskt utan en personlig kontakt. Profilering innebär automatisk insamling av personuppgifter för att bedöma personliga egenskaper.

Den personuppgiftsansvarige måste ha en rättslig grund och följa de grundläggande principerna vid behandling av personuppgifter. Därtill finns det ytterligare några skyldigheter.

• Det är viktigt att ha goda rutiner för identifiering av en registrerad som begär att få ut sina uppgifter för att säkerställa att de lämnas ut till rätt person. Dock får inte identifieringen innebära att ytterligare onödiga personuppgifter samlas in.
• Det ska vara enkelt för de registrerade att kontrollera sina personuppgifter och den personuppgiftsansvarige har bara rätt att avslå en begäran om det inte går att identifiera den registrerade. Skälet till detta måste redovisas.
• En registrerad kan lämna in klagomål till IMY om denne anser att behandlingen av personuppgifter sker i strid med GDPR. I vissa fall blir den personuppgiftsansvarige skadeståndsskyldig om IMY anser behandlingen inte skett i enlighet med GDPR.
• I det fall det inträffar en personuppgiftsincident måste den i vissa fall anmälas till IMY. En personuppgiftsincident innebär att en eller flera registrerades personuppgifter kommit i orätta händer, gått förlorade eller förstörts, vilket kan medföra att den registrerades fri- och rättigheter kränks eller att denne lider ekonomisk skada.

GDPR påtalar att barn är extra skyddsvärda i en alltmer digitaliserad omvärld eftersom de är mindre medvetna om risker med att lämna ut personuppgifter. Detta i kombination med att FN:s barnkonvention gäller som svensk lag sedan 1 januari 2020 innebär att barnen fått ett stärkt juridiskt skydd.

Den vanligaste rättsliga grunden för att samla in barns personuppgifter är samtycke. I Sverige gäller åldersgränsen 13 år för att ge sitt samtycke. GDPR anger 16 år, men varje medlemsland får besluta om avsteg. För barn yngre än 13 år gäller att vårdnadshavare bör lämna samtycket.

De vanligaste tillfällena där barns personuppgifter samlas in är:

• Sociala medier
• Loggar
• Internetforum
• Videodelningsplattformar
• Chattprogram
• Onlinespel
• Appar med spel eller annat innehåll
• Uppkopplade leksaker.