Artikel 5 i GDPR innehåller de grundregler som alla andra regler bygger på. Om du kan dem kan du ofta själv bedöma om något är rimligt.
De sex principerna
- Laglighet, korrekthet och öppenhet. Det måste finnas en rättslig grund (lektion 3). Uppgifterna ska behandlas på ett rättvist sätt, och människor ska få veta vad som sker.
- Ändamålsbegränsning. Uppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål. De får inte sedan användas på ett sätt som inte går ihop med det ursprungliga syftet.
- Uppgiftsminimering. Samla bara in det som är adekvat, relevant och nödvändigt. Fråga dig: behöver jag verkligen den här uppgiften?
- Korrekthet. Uppgifterna ska vara riktiga och uppdaterade. Felaktiga uppgifter ska rättas eller raderas utan dröjsmål.
- Lagringsminimering. Spara inte uppgifter längre än de behövs. När syftet är uppfyllt ska uppgifterna raderas, anonymiseras eller, om lagen kräver det, sparas enligt lagens regler.
- Integritet och konfidentialitet. Uppgifterna ska skyddas mot obehörig åtkomst, förlust och förstörelse. Det kräver tekniska och organisatoriska åtgärder.
Ansvarsskyldighet
Enligt artikel 5.2 ska den personuppgiftsansvariga kunna visa att principerna följs. Det räcker alltså inte att göra rätt. Organisationen ska också kunna dokumentera att den gör rätt, till exempel genom rutiner, register och utbildning.
Exempel från vardagen
- Ändamål. En butik samlar in telefonnummer för att kunna meddela att en beställning är klar. Numret får inte utan vidare användas för reklam.
- Minimering. Ett webbformulär för en nyhetsbrevsprenumeration behöver en e-postadress. Det behöver inte födelsedatum eller hemadress.
- Korrekthet. En kund har flyttat och sagt det. Då ska adressen ändras överallt där den används.
- Lagring. Ansökningshandlingar från en rekrytering som är klar ska inte ligga kvar för alltid. Arbetsgivaren bestämmer gallringstider, och du följer dem.
- Säkerhet. En lista med kunduppgifter ska inte ligga öppen på en delad skrivbordsyta eller skickas till fel mottagare.
Inbyggt dataskydd
Artikel 25 kräver inbyggt dataskydd och dataskydd som standard. Det betyder att system och rutiner ska utformas så att principerna följs från början. Som standard ska bara de uppgifter som behövs för varje syfte behandlas, och bara de personer som behöver dem ska ha tillgång.
Din roll
- Använd uppgifter bara för det arbetet kräver.
- Ta inte med dig mer än du behöver, och spara inte egna kopior i privata filer.
- Rätta fel du hittar eller säg till den som ansvarar för uppgiften.
- Följ gallringsregler och rutiner. Fråga om något är oklart.
- Tänk på principerna även när något känns smidigt: det som är enkelt är inte alltid lagligt.
Ett exempel som visar alla principerna
En kollega på personalavdelningen får en lista med alla anställdas sjukfrånvaro för att planera bemanningen. Ändamålet är bemanning, så listan ska inte användas för att bedöma vem som "är sjuk för ofta" i ett löneärende. Hon behöver bara datum och antal dagar, inte diagnoser. Listan ska vara riktig, skyddas med behörighet och raderas när den inte behövs längre. Så fungerar principerna tillsammans.