Som företag i Sverige är du skyldig att följa den EU-reglerade förordningen om hantering av personuppgifter som kallas för GDPR. Förordningen gäller som lag i EU:s medlemsstater och EES-länder. GDPR syftar till att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd för personuppgifter.
GDPR är ett omfattande regelverk och felaktig behandling kan leda till omfattande sanktionsavgifter Juristerna på EZlegal kan bland annat hjälpa dig skriva extern och intern integritetspolicy, göra konsekvensbedömningar och skriva personuppgiftsbiträdesavtal eller underbiträdesavtal.
Under konsultationen får du prata med en av våra jurister i 20 minuter där de ger dig en inledande vägledning, en behovsanalys, och förslag till nästa steg — helt utan bindning.
Tre roller styr ansvaret för hur personuppgifter samlas in, behandlas och skyddas.
Bestämmer över behandlingen av personuppgifter — vanligtvis ett företag, en annan juridisk person eller en myndighet. Denne måste kunna visa att behandlingen sker i enlighet med GDPR
”…bestämmer ändamålen och medlen för behandlingen av personuppgifter” — Artikel 4.7 GDPR
Den som är anlitad av den personuppgiftsansvarige, till exempel en IT- eller marknadsföringsleverantör, och som behandlar personuppgifter för dennes räkning.
Regleras genom ett personuppgiftsbiträdesavtal enligt Artikel 28.3 GDPR.
Den fysiska person vars personuppgifter behandlas. Det är den registrerades rättigheter som hela regelverket är byggt för att skydda.
Se Kapitel 3 GDPR för samtliga rättigheter.
All behandling av personuppgifter måste vila på en berättigad grund enligt GDPR. Utan laglig grund får behandlingen inte genomföras.
Den registrerade godtar frivilligt, genom uttalande eller entydig bekräftande handling, den aktuella behandlingen. Den personuppgiftsansvarige måste kunna visa att samtycke faktiskt lämnats för det aktuella slaget av behandling.
Den registrerade ska när som helst kunna återkalla sitt samtycke, och ska informeras om denna rättighet redan när samtycket lämnas.
Att tänka på
För att samtycke ska utgöra en giltig rättslig grund krävs en jämlik maktbalans. Eftersom maktförhållandet typiskt sett är ojämlikt i relationer som myndighet–medborgare och arbetsgivare–arbetstagare, kan samtycke som regel inte tillämpas som rättslig grund i dessa situationer.
Behandlingen är laglig om den är nödvändig för att fullgöra ett avtal som den registrerade är part i, eller för att vidta åtgärder på den registrerades begäran innan ett sådant avtal ingås.
Det är den personuppgiftsansvariges uppgift att visa att avtalets huvudsakliga ändamål inte hade kunnat uppnås utan behandlingen.
Exempel
En anställds bankuppgifter och personnummer behandlas för att arbetsgivaren ska kunna betala ut lön enligt anställningsavtalet.
Behandlingen är laglig i den mån den är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse enligt nationell rätt eller EU-rätt.
Det kan till exempel handla om en skyldighet att behandla personuppgifter i brottsbekämpande syfte, eller bokförings- och skattelagstiftningens krav.
Exempel
Denna grund kräver att förpliktelsen är fastställd i lag, inte bara att den är lämplig eller praktisk för verksamheten.
Utöver samtycke, avtal och rättslig förpliktelse finns tre ytterligare grunder som kan göra en behandling laglig: motstående intressen (för att skydda grundläggande intressen hos den registrerade eller annan), myndighetsutövning (för uppgift av allmänt intresse eller som ett led i myndighetsutövning) och berättigat intresse.
Berättigat intresse är den grund som oftast kräver en noggrann intresseavvägning mellan den personuppgiftsansvariges intresse och den registrerades rätt till integritet.
Osäker på vilken grund som gäller?
Vi hjälper er att göra en korrekt intresseavvägning och dokumentera den korrekt.
Den svenska tillsynsmyndigheten för behandling av personuppgifter heter Integritetsskyddsmyndigheten (IMY). Deras uppgift är att bedriva tillsyn och granska efterlevnaden av dataskyddsrättsliga bestämmelser. Tillsynen bedrivs antingen genom att IMY begär skriftliga svar på sina frågor till berörda organisationer eller genomför en inspektion på plats.
Om IMY gör bedömningen att en kommande behandling riskerar att bryta eller har brutit mot dataskyddslagstiftningen kan de delar ut en varning eller reprimand. Vid allvarligare överträdelser kan IMY meddela förelägganden att vidta vissa åtgärder, samt meddela begränsningar och förbud mot en viss behandling av personuppgifter.
En organisation som gör överträdelser av GDPR kan få en sanktionsavgift som bestäms av vissa beloppsgränser. Sanktionsavgiften varierar beroende på vem som begått överträdelsen, vilken bestämmelse det gäller och hur allvarlig överträdelsen är.
Uppgifter som avser en identifierad eller identifierbar fysisk person som direkt eller indirekt kan identifieras med hjälp av uppgiften. Till exempel namn, personnummer, adress, telefonnummer, privata mejladresser och foton eller ljudinspelningar.
Den som är anlitad av den personuppgiftsansvarige, t.ex. en IT-leverantör, för att behandla personuppgifter för dennes räkning. Personuppgiftsbiträdet måste kunna lämna tillräckliga garantier för att de kan säkerställa att de når upp till kraven i GDPR. Behandling genom ett personuppgiftsbiträde ska regleras genom personuppgiftsbiträdesavtal.
Avtal mellan personuppgiftsansvarig och personuppgiftsbiträde som ska innehålla information om föremålet för behandlingen, behandlingens varaktighet, art och ändamål, typ av personuppgifter och kategorier av registrerade och den personuppgiftsansvariges skyldigheter och rättigheter.
Fysisk eller juridisk person, myndighet, institution eller annat organ som ansvarar för och beslutar om behandling av personuppgifter i en organisation. Den personuppgiftsansvarige är skyldig att vidta lämpliga tekniska och organisatoriska åtgärder för att inte bara säkerställa, utan också kunna visa, att behandlingen sker i enlighet med GDPR.
Den åtgärd (eller flera åtgärder) som utförs av den registrerades personuppgifter, till exempel insamling, registrering, lagring eller läsning.
En process som ska utreda vilka konsekvenser en behandling leder till för skyddet av personuppgifter. Konsekvensbedömningen ska genomföras om det är sannolikt att en viss typ av behandling medför risk för intrång i individuella fri- och rättigheter. Konsekvensbedömning regleras i Artikel 35–36 GDPR.
Den fysiska person vars personuppgifter behandlas.
En säkerhetsincident som riskerar fysiska personers fri- och rättigheter genom att leda till oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt röjande eller åtkomst till personuppgifter. Personuppgiftsincidenter ska anmälas av den personuppgiftsansvarige till IMY inom 72 h från det att denne fick vetskap om händelsen.
Den registrerade har flera rättigheter enligt GDPR som ni som personuppgiftsansvariga ansvarar för att möjliggöra. Klicka för att läsa mer om respektive rättighet.
*En rättsutredning kan bli aktuellt i olika ärendeslag och priserna kan differentiera utifrån vilken timtaxa ditt ärendets svårighetsgrad och komplexitet påkallar. Läs mer om våra tjänster.
Tidigare reglerades den svenska personuppgiftsbehandlingen av Personuppgiftslagen (PUL). Efter att GDPR trädde i kraft år 2018 har man i Sverige valt att komplettera med lagen (2018:218) om kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen), som därmed ersatte PUL. Regler kring dataskydd förekommer även i flera författningar som exempelvis regleras dataskydd i brottsdatalagen (2018:1177), patientdatalagen (2008:355) och kamerabevakningslagen (2018:1200). Man behöver därför vara uppmärksam i sin personuppgiftsbehandling på om någon speciallagstiftning är tillämplig.
Personuppgift är all slags information som direkt eller indirekt kan identifiera en person — t.ex. namn, personnummer, adress, IP-adress eller ett registreringsnummer, om uppgiften i kombination med annan information kan knytas till en identifierbar individ.
Dataskyddsombudet bistår den personuppgiftsansvarige med råd och information samt övervakar efterlevnaden av GDPR och interna dataskyddsrutiner. Ett dataskyddsombud ska utses i offentliga organ och när kärnverksamheten kräver omfattande övervakning av registrerade eller behandling av känsliga uppgifter. Rollen är rådgivande och granskande — ansvaret ligger fortsatt kvar hos den personuppgiftsansvarige.
Artikel 5 GDPR slår fast fem principer: laglighet, korrekthet och öppenhet; ändamålsbegränsning; uppgiftsminimering; integritet och konfidentialitet; samt ansvarsskyldighet — att den personuppgiftsansvarige själv ansvarar för att principerna efterlevs.
En personuppgiftsincident är en säkerhetsincident som riskerar registrerades fri- och rättigheter — till exempel att uppgifter förloras, ändras, läcker ut eller nås av obehöriga. Så bör ni agera:
© 2024 EZlegal
