Dataskydd & integritet (GDPR)

Personuppgifter är all slags information, direkt såväl indirekt, som kan kopplas till en fysisk person som är i livet. Det kan röra direkta personuppgifter så som t.ex. namn, personnummer och foto. Men även indirekta personuppgifter så som IP-nummer eller ett registreringsnummer på en bil kan vara personuppgifter om uppgiften tillsammans med annan information kan kopplas till en person.

En företagsmail eller ett organisationsnummer till ett aktiebolag är inga personuppgifter. Om en person skriver ett mail från företagsmailen med undertecknande av sitt namn innehåller mailet dock personuppgifter även om själva mailet avsänds från företagsmailen. Likväl är ett aktiebolags organisationsnummer inte en personuppgift, däremot är organisationsnumret på en enskild firma en personuppgift.

För att få hantera personuppgifter måste man säkerställa att man efterlever GDPR. Det innebär bl.a. att de grundläggarna principerna måste iakttas. De grundläggande principerna ska genomsyra verksamheten vid behandlingen av personuppgifter. De innebär bl.a. följande:

• ha stöd i dataskyddsförordningen för att få behandla personuppgifter,
• informera de registrerade om hur behandlingen av personuppgifterna hanteras,
• endast samla in personuppgifter för specifika, särskilt angivna och berättigade ändamål,
• inte behandla fler personuppgifter än vad som behövs för ändamålen
• se till att personuppgifterna är riktiga,
• radera personuppgifterna när de inte längre behövs,
• skydda personuppgifterna, till exempel så att inte obehöriga får tillgång till dem och så att de inte förloras eller förstörs, och
• kunna visa att ni lever upp till dataskyddsförordningen och hur ni gör det.

Det är den personuppgiftsansvariga som ansvarar för efterlevnaden av GDPR. Det är viktigt att förtydliga att det inte är den enskilda medarbetaren hos den personuppgiftsansvariga som har det yttersta ansvaret för att behandlingen sker enligt GDPR, även om medarbetaren givetvis skall följa företagets rutiner och instruktioner på området.

Ett personuppgiftsbiträde har ett ansvar att följa de instruktioner som den personuppgiftsansvariga lämnat och får inte behandla personuppgifterna på något annat sätt. Personuppgiftsbiträdet har även ett visst självständigt ansvar i att säkerställa att den behandling som efterfrågas i instruktionerna uppfyller de krav som ställs enligt regelverket och meddela den personuppgiftsansvariga om att personuppgiftsbiträdet anser att instruktionerna står i strid med GDPR. Om personuppgiftsbiträdesavtalet ger utrymme för anlitandet av så kallade underbiträden, måste personuppgiftsbiträdet även säkerställa att underbiträdet ger tillräckliga garantier om att skyldigheterna i regelverket kommer att uppfyllas och att de registrerades rättigheter skyddas.

Den som är personuppgiftsansvarig ansvarar för behandlingen av personuppgifterna och att detta görs enligt GDPR. Detta utgörs av en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ. Viktigt att notera att en enskild fysisk person som jobbar i ett företag aldrig kan vara personuppgiftsansvarig utan själva företaget i sig. Däremot kan en fysisk person vara personuppgiftsansvarig t.ex. om man driver en enskild firma.

För att bedöma vem som är personuppgiftsansvarig eller personuppgiftsbiträde behöver man titta på vem som bestämmer för vilka ändamål uppgifterna skall behandlas samt hur behandlingen skall gå till. Personuppgiftsbiträde är den fysiska eller juridiska person, offentliga myndighet, institution eller annat organ som behandlar personuppgifter på uppdrag av den personuppgiftsansvariga och vilken då skall följa de instruktioner som den personuppgiftsansvariga ger.

Man kan vara både personuppgiftsansvarig och personuppgiftsbiträde i sin verksamhet beroende på vilken typ av behandling det gäller. Man är t.ex. vanligtvis personuppgiftsansvarig för behandlingen av anställdas personuppgifter, medan man i samma verksamhet kan vara personuppgiftsbiträde om man utför behandling av personuppgifter åt en annan personuppgiftsansvarig. Ett exempel är om man är ett IT-konsultföretag som har tillgång till de personuppgifter som den personuppgiftsansvariga ansvarar för vid utförandet av IT-konsulttjänsterna.

För att ett personuppgiftsbiträde skall kunna behandla de personuppgifter som den personuppgiftsansvariga ansvarar för åt den personuppgiftsansvariga måste ett personuppgiftsbiträdesavtal upprättas och undertecknas av parterna. Detsamma gäller om ett personuppgiftsbiträde anlitar någon annan för att utföra en del av behandlingen, d.v.s. ett underbiträde.

Ett personuppgiftsbiträdesavtal reglerar parternas skyldigheter i förhållande till varandra, GDPR och den registrerade. Personuppgiftsbiträdesavtalet reglerar vidare vilka personuppgifter som personuppgiftsbiträdet skall behandla, var de skall lagras, vilken säkerhetsnivå som skall uppnås och hur den personuppgiftsansvariga får kontrollera personuppgiftsbiträdet. Personuppgiftsbiträdet måste följa de instruktioner som den personuppgiftsansvariga lämnar i och med personuppgiftsbiträdesavtalet.