Behandling av personuppgifter

En personuppgift är allt som kan kopplas till en levande person. Det finns både direkta och indirekta personuppgifter.

Exempel på direkta personuppgifter

Uppenbara uppgifter som namn, personnummer och adress.

Exempel på indirekta personuppgifter

Uppgifter som går att koppla till en individ som ip-adress, fastighetsbeteckning, diarienummer, kundnummer, e-postadress och telefonnummer.
Även foton och ljudupptagningar räknas som personuppgifter.

Extra skyddsvärda personuppgifter

Alla personuppgifter som rör barn är extra skyddsvärda. Det kan också vara uppgifter som handlar om brott, sådant som omfattas av sekretess och tystnadsplikt, omdömen eller ekonomiska förhållanden. Detta är uppgifter som lätt kan uppfattas som kränkande om de hanteras på fel sätt, och ska hanteras extra varsamt.

Känsliga personuppgifter

Det finns personuppgifter som inte får registreras om det inte finns mycket starka och tydliga skäl till att göra det. Det är uppgifter om:

• Ras eller etniskt ursprung
• Politiska åsikter
• Facklig tillhörighet
• Hälsouppgifter
• Religiös eller filosofisk övertygelse
• Sexualliv eller sexuell läggning
• Biometriska (exempelvis fingeravtryck) och genetiska uppgifter (exempelvis DNA)

Det kan förekomma att kommunerna behöver registrera känsliga personuppgifter för att uppfylla ett lagkrav eller vid myndighetsutövande. Då används extra skyddsåtgärder för att ingen obehörig ska kunna ha tillgång till dessa uppgifter.

Även personuppgifter som inte är bedömda som särskilt känsliga kan vara mer värda att skydda. Personuppgifter av mycket personlig eller privat natur anses generellt vara mer värda att skydda än andra typer av personuppgifter.

Alla registrerade har rättigheter gentemot den som är personuppgiftsansvarig. Vissa av rättigheterna är beroende av vilken rättslig grund den aktuella behandlingen vilar på. Detta innebär att vissa rättigheter bara kan göras gällande under vissa förutsättningar.

Kommunerna ska göra det möjligt för de registrerade att utöva sina rättigheter.

Rättigheter som finns beskrivna i dataskyddförordningen (GDPR)

Rätt till information

Den registrerade har rätt att få information kring vad, varför, när, hur, hur länge, på vilken rättslig grund och av vem eller vilka dennes personuppgifter behandlas.

Informationen ska lämnas kostnadsfritt i en lättillgänglig form med ett tydligt och enkelt språk.

Skulle en personuppgiftincident uppstå (till exempel ett dataintrång eller liknande) har den registrerade rätt att få information kring incidenten och hur kommunerna har agerat för att återställa säkerheten kring dennes personuppgifter.

Begära ut registerutdrag

Den registrerade har rätt att få tillgång till sina personuppgifter som behandlas eller andra personuppgifter som registreras som denne har rätt att ta del av, exempelvis barn som denne är vårdnadshavare till. För att få tillgång till den informationen ska en begäran om registerutdrag göras av den registrerade.
Vill du veta vilka av dina personuppgifter som behandlas av kommunerna kan du begära ett registerutdrag. Du kan även ha rätt att begära för andra än dig själv, till exempel som vårdnadshavare.

Du kan skriftligen begära ett registerutdrag. För mer information kontakta Trainee Sundsvallsregionens samordnare. Kontaktuppgifter hittar du längre ner på sidan.

Rätta personuppgifter

Den registrerade har rätt att begära att felaktiga personuppgifter rättas och att ofullständiga personuppgifter kompletteras. Vissa registerlagstiftningar detaljerar hur denna rättighet ska tillämpas. Personuppgifter som behandlas i enlighet med viss lagstiftning får till exempel endast justeras under vissa förutsättningar. Om personuppgifterna kan rättas eller kompletteras inom gällande lagstiftningar ska detta ske så snart som möjligt.

För mer information kontakta Trainee Sundsvallsregionens samordnare. Kontaktuppgifter hittar du längre ner på sidan.

Radera personuppgifter

Beroende på omständigheter i det enskilda fallet och på vilken rättslig grund som personuppgiftsbehandlingen grundar sig på, kan den registrerade även ha rätt att få sina personuppgifter raderade. Rättigheten har begränsad tillämpning inom kommunernas olika förvaltningar eftersom de flesta behandlingar av personuppgifter vilar på en rättslig grund där exempelvis annan lagstiftning gör att rätten att radera inte är tillämplig.

För mer information kontakta Trainee Sundsvallsregionens samordnare. Kontaktuppgifter hittar du längre ner på sidan.

Begränsa behandling av personuppgifter

Beroende på omständigheter i det enskilda fallet kan den registrerade ha rätt till att behandlingen av personuppgifterna begränsas till endast lagring under den tid det tar att utreda en invändning från den registrerade.

För mer information kontakta Trainee Sundsvallsregionens samordnare. Kontaktuppgifter hittar du längre ner på sidan.

Flytta personuppgifter

Den registrerade har i vissa fall rätt att få tillgång till personuppgifter i ett format som gör dem möjliga att föra över till en annan personuppgiftsansvarig, det vill säga att få sina personuppgifter flyttade. Det kallas för dataportabilitet. Rättigheten har begränsad tillämpning inom kommuner eftersom merparten av personuppgiftsbehandlingarna vilar på en rättslig grund där dataportabilitet inte är tillämplig.

För mer information kontakta Trainee Sundsvallsregionens samordnare. Kontaktuppgifter hittar du längre ner på sidan.

Invändningar mot behandling av personuppgifter

Om den lagliga grunden för behandlingen av personuppgifter baseras på berättigat intresse (intresseavvägning) eller allmänt intresse har registrerade under vissa förutsättningar rätt att invända mot hur dennes personuppgifter behandlas.

Den enskilde har alltid rätt att invända mot att dennes personuppgifter används för direkt marknadsföring. En sådan invändning kan göras när som helst. Görs en invändning mot direkt marknadsföring, får personuppgifterna inte längre behandlas för sådana ändamål.

Särskilda regler gäller för personuppgifter som behandlas för vetenskapliga och historiska forskningsändamål eller statistiska ändamål.

För mer information kontakta Trainee Sundsvallsregionens samordnare. Kontaktuppgifter hittar du längre ner på sidan. En invändning som kvarstår efter kontakt ska lämnas in skriftligen.

Återkalla samtycke

Om den rättsliga grunden för en behandling av personuppgifter är ett samtycke från den registrerade så har denne rätt att återkalla samtycket. Ett återkallande av samtycket påverkar dock inte lagligheten av personuppgiftsbehandlingen för tiden innan samtycket återkallades. Efter ett återkallande får inte kommunen längre behandla de uppgifter som var kopplade till samtycket.

För mer information kontakta Trainee Sundsvallsregionens samordnare. Kontaktuppgifter hittar du längre ner på sidan.

Lämna till klagomål till Datainspektionen

Om den registrerade inte är nöjd med hur den aktuella kommunen hanterar personuppgifterna går det att vända sig till tillsynsmyndigheten Datainspektionen med klagomål.

Datainspektionen

Telefon: 08-657 61 00
E-post: datainspektionen@datainspektionen.se

Postadress:
Datainspektionen
Box 8114
104 20 Stockholm

När personuppgifter behandlas av den aktuella kommunen, eller på uppdrag av den aktuella kommunen, ska de grundläggande principerna i dataskyddsförordningen (GDPR) vara uppfyllda. De grundläggande principerna anges i artikel 5 i dataskyddsförordningen, datainspektionen.se och är:

• Laglig och öppen
• Ändamålsenlig
• Uppgiftsminimering
• Korrekthet
• Lagringsminimering
• Integritet och konfidentialitet
• Ansvarsskyldighet

Sammanfattning och förenklade förklaringar kring de grundläggande principerna

Syfte

Det ska vara tydligt vad personuppgiften ska användas till, och syftet får inte ändras i efterhand.

Relevans

Bara de uppgifter som behövs för att uppnå syftet samlas in, ”bra att ha”-uppgifter samlas inte in.

Radera

När uppgifterna inte längre behövs ska de tas bort, om det inte finns andra lagar som ställer krav på lagringstid. Uppgifter som är felaktiga har den registrerade rätt att få ändrade.

Tillgång

Bara de som behöver tillgång till personuppgifterna i sitt arbete ska kunna se dem.

Skydda

För att inte obehöriga ska få tillgång till uppgifterna så skyddas de genom olika säkerhetsåtgärder som till exempel bra lösenord och flerfaktorsinloggning (exempelvis sms-kod, bank-id). Kraven på skydd kan variera beroende på hur stor skada personuppgifterna kan orsaka den registrerade om de hanteras fel.

Vetskap

Personer som registreras ska få veta om att de registreras och få information om behandlingen på ett lättbegripligt sätt. Bland annat om hur länge uppgifterna lagras, vad syftet är med behandlingen och på vilken rättslig grund personuppgifterna behandlas.

Hur de olika kommunerna jobbar med att behandla personuppgifter

Här nedan följer länkar till de olika kommunerna som ingår i Trainee Sundsvallsregionen, där kan du läsa mer om hur de behandlar personuppgifter.

Om personuppgifter, hudiksvall.se, Hudiksvalls kommun

GDPR och behandling av personuppgifter, harnosand.se, Härnösands kommun

Om personuppgifter, nordanstig.se, Nordanstig kommun

Behandling av personuppgifter, sundsvall.se, Sundsvalls kommun

Dina rättigheter enligt GDPR, timra.se, Timrå kommun

Behandling av personuppgifter, ange.se, Ånge kommun

Samtycke

Samtycke som rättslig grund är i de flesta fall inte nödvändigt för de uppgifter som hämtas in av de aktuella kommunernas verksamheter. Det beror på att uppgifterna används i samband med exempelvis myndighetsutövning som rättslig grund, för att kunna fullgöra en skyldighet som åligger kommunen eller ett avtalsförhållande.

Om ett samtycke behövs har den registrerade rätt att återkalla det. Då får de personuppgifter kopplade till samtycket inte längre behandlas.

All behandling av personuppgifter måste stödja sig mot minst en rättslig grund. Finns det ingen rättslig grund är behandlingen av den personuppgiften inte laglig. En rättslig grund måste vara fastställd innan en behandling av personuppgifter påbörjas och den får inte bytas under en pågående personuppgiftsbehandling.

I dataskyddsförordningen GDPR finns sex rättsliga grunder

• Samtycke
• Avtal
• Intresseavvägning
• Rättslig förpliktelse
• Myndighetsutövning och uppgift av allmänt intresse
• Grundläggande intresse

Inom offentlig verksamhet är de vanligast förekommande rättsliga grunderna:

• Rättslig förpliktelse
• Myndighetsutövning och uppgift av allmänt intresse
• Avtal

Här följer en kortfattad presentation av de sex rättsliga förpliktelserna:

Samtycke

Den registrerade har lämnat ett godkännande på att dennes personuppgifter får behandlas för det syfte som är presenterat. Ett samtycke går alltid att återkalla.

Avtal

Den registrerade har ett avtal med eller ska ingå avtal med någon av kommunernas olika personuppgiftsansvariga (nämnder eller förvaltningar).

Intresseavvägning

Om den personuppgiftsansvariges (nämndens) intressen väger tyngre än den registrerades och om behandlingen är nödvändig för det aktuella syftet får personuppgifter behandlas utan ett samtycke från den registrerade.

Denna rättsliga grund får inte myndigheter använda sig av när de behandlar personuppgifter.

Rättslig förpliktelse

Det finns lagar eller regler som står över dataskyddsförordningen GDPR och gör att den personuppgiftsansvarige (nämnden) måste behandla vissa personuppgifter i sin verksamhet.

Myndighetsutövning och uppgift av allmänt intresse

Denna rättsliga grund är till för att de olika kommunerna och andra offentliga verksamheter ska kunna utföra sina myndighetsuppgifter eller utföra uppgifter av allmänt intresse.

Grundläggande intresse

Den här rättsliga grunden innebär att personuppgifter får behandlas om det är nödvändigt för att rädda liv. I första hand kommer den att vara aktuell inom vården.

Läs mer om de olika rättsliga grunderna på Datasinspektionens webbplats, Rättslig grund för personuppgiftsbehandling, datainspektionen.se.

Kommuner har ett övergripande ansvar att inte bara följa dataskyddsförordningen (GDPR) utan även att visa hur alla nämnder och enheter gör detta. Det kallas i dataskyddsförordningen för ansvarsskyldighet.

Detta innebär bland annat att de olika kommunerna ska ta fram och följa dokumenterade planer för hur respektive nämnd arbetar för att uppfylla de krav dataskyddsförordningen (GDPR) ställer.

Personuppgiftsansvarig

Personuppgiftsansvarig är den som är ansvarig för att lagstiftningen följs och som bestämmer vilka personuppgifter som ska behandlas och vad de ska användas till. Det är en juridisk person, det vill säga nämnden eller styrelsen.

Varje nämnd i kommunen är personuppgiftsansvarig och därmed ytterst ansvarig för sin behandling av personuppgifter. Nämnderna ska ansvara för och kunna visa att de följer dataskyddsförordningens grundläggande principer.

Insamlande av personuppgifter

Personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade syften och inte senare behandlas på ett annat sätt än vad som var syftet med dem.

Personuppgifterna ska vara korrekta, relevanta och inte för omfattande i förhållande till varför de samlades in.

Personuppgifter kan samlas in från den registrerade själv, via ett ombud eller via digitala system där personuppgifterna redan finns registrerade.

Korrekta personuppgifter

Personuppgifterna som den aktuella kommunen hanterar ska vara korrekta och om nödvändigt uppdaterade. Felaktiga personuppgifter ska rättas eller raderas så snart som möjligt.

Inom vissa områden finns särskilda regler för hur rättelse och radering får ske och vem eller vilka som får utföra rättningen.

Lagring av personuppgifter

Personuppgifter får inte sparas längre än vad som behövs utifrån syftet med behandlingen. När syftet är uppnått ska arkivering, gallring eller avidentifiering av personuppgifterna alltid övervägas. Kommunerna kan i vissa fall styras av lagar som kräver att arkivering måste ske och att gallring inte är möjlig.

Information och kommunikation

Den aktuella kommunen ska informera om hur vi behandlar de registrerades personuppgifter och om vilka rättigheter de registrerade har enligt dataskyddsförordningen.

Den registrerade har rätt att få information när dennes personuppgifter behandlas. Information om personuppgiftsbehandlingen ska lämnas av den aktuella kommunen både när uppgifterna samlas in och när den registrerade begär det.

Informationen ska vara koncis, klar, tydlig och begriplig och ges i ett lättillgängligt format. Språket ska vara klart, tydligt, och anpassat till mottagaren, exempelvis om informationen är särskilt riktad till barn.

Den aktuella kommunen ska ge informationen skriftligt och när det går i elektronisk form. Om den registrerade begär det ska informationen ges muntligt, under förutsättning att den registrerade har styrkt sin identitet.

Personuppgifter ska skyddas mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse. Är uppgifterna känsliga eller särskilt värda att skydda ska högre tekniska och organisatoriska krav ställas.

Utgångspunkten ska alltid vara att endast behöriga personer ska ges tillgång till skyddsvärd information.

Säkerhetsåtgärder

Den aktuella kommunen måste se till att ha en lämplig säkerhet för hantering av personuppgifter, både tekniskt och organisatoriskt. Vad som är lämplig säkerhet beror på bland annat riskerna med behandlingen, vilken typ av uppgifter som behandlas, vilken skada det skulle kunna innebära för den registrerade och på de tekniska möjligheter som finns. Detta sker bland annat genom informationssäkerhetsklassning, riskanalys och konsekvensbedömningar (DPIA), som betyder Data Protection Impact Assessment.

Konsekvensbedömning (DPIA)

Vid en omfattande hantering av känsliga personuppgifter eller om det finns risk för att särskilda krav på skydd inte kan uppnås ska den aktuella kommunen först genomföra en konsekvensbedömning avseende dataskydd i samråd med den aktuella kommunens dataskyddsombud.

Om en sådan konsekvensbedömning innebär att de bedömda höga riskerna kvarstår måste den aktuella kommunen samråda med Datainspektionen som är tillsynsmyndigheten innan behandlingen påbörjas.

För kommuners verksamhet gäller offentlighetsprincipen, regeringen.se. Offentlighetsprincipen innebär en rätt för var och en att ta del av allmänna handlingar.

Det innebär att du kan begära och få personuppgifter utlämnade oavsett för vilket ändamål personuppgiften ursprungligen behandlades. Denna rätt gäller inte om handlingarna innehåller uppgifter som är belagda med sekretess enligt offentlighets- och sekretesslagen, riksdagen.se.

Sekretess gäller bland annat för utlämning av personuppgifter som skulle medföra att personuppgiften behandlas i strid med dataskyddsförordningen eller dataskyddslagen. Till exempel kan uppgifter sekretessbeläggas för att skydda enskildas personliga förhållanden inom skola, socialtjänst och hälso- och sjukvård.