All behandling av personuppgifter kräver minst en rättslig grund enligt artikel 6. Vissa uppgifter är dessutom extra känsliga och kräver mer.
De sex rättsliga grunderna
- Samtycke. Personen har sagt ja på ett frivilligt, specifikt, informerat och otvetydigt sätt. Det ska vara lika lätt att ta tillbaka samtycket som att ge det.
- Avtal. Behandlingen behövs för att fullgöra ett avtal med personen, eller för åtgärder som personen har bett om innan avtalet. Ett exempel är kundens leveransadress vid en beställning.
- Rättslig förpliktelse. Lagen kräver behandlingen, till exempel uppgifter till bokföring eller till Skatteverket.
- Skydda grundläggande intressen. Behandlingen behövs för att skydda någons liv, till exempel i en nödsituation.
- Uppgift av allmänt intresse eller myndighetsutövning. Detta är den vanligaste grunden för myndigheter och kommuner.
- Berättigat intresse. Behandlingen behövs för ett berättigat intresse hos företaget, och det intresset väger tyngre än personens integritet. Grunden kan inte användas av myndigheter när de utför sina uppgifter.
Samtycke bland anställda
I ett anställningsförhållande har arbetsgivaren makt över den anställde. Därför är det sällan frivilligt när en anställd säger ja. Arbetsgivare bör i stället stödja sig på avtal, rättslig förpliktelse eller berättigat intresse. Räkna inte med att en kollegas ja är ett giltigt samtycke bara för att du frågade.
Känsliga personuppgifter
Artikel 9 kallar dem särskilda kategorier av personuppgifter. De får i grunden inte behandlas, och undantag gäller bara i särskilda fall. Uppgifter om:
- ras eller etniskt ursprung
- politiska åsikter
- religiös eller filosofisk övertygelse
- medlemskap i fackförening
- genetiska uppgifter
- biometriska uppgifter för att identifiera en person
- hälsa
- sexualliv eller sexuell läggning
Ett vanligt undantag är att behandlingen behövs för att arbetsgivaren eller den anställde ska kunna fullgöra skyldigheter inom arbetsrätten. Exempel är uppgifter om sjukfrånvaro och rehabilitering. Även då ska uppgifterna bara komma till dem som behöver dem. Skriv inte diagnoser i e-post eller chattar som flera kan läsa.
Uppgifter om lagöverträdelser
Uppgifter om brott, domar och straffprocessuella tvångsmedel får enligt 3 kap. 8 § dataskyddslagen behandlas av myndigheter. Andra får behandla dem bara i vissa fall, främst när föreskrifter eller beslut från regeringen eller IMY tillåter det (3 kap. 9 §). Om du som privat arbetsgivare vill begära utdrag ur belastningsregistret eller liknande, fråga först den som ansvarar för dataskyddet.
Personnummer
Personnumret är en mycket stark identifierare. Därför har Sverige särskilda regler (artikel 87 i GDPR). Enligt 3 kap. 10 § dataskyddslagen får personnummer och samordningsnummer behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet, vikten av säker identifiering eller något annat beaktansvärt skäl.
I praktiken betyder det:
- Fråga inte efter personnummer när namn och e-postadress räcker.
- Skriv inte personnummer i ämnesrader, öppna listor, filnamn eller i meddelanden som går över öppna kanaler.
- Skicka inte personnummer i vanlig e-post om det finns en säkrare väg.
- Använd bara den del av numret som behövs, till exempel de fyra sista siffrorna, om det räcker för uppgiften.
Barn
För tjänster på nätet kan ett barn i Sverige själv samtycka från 13 års ålder. Är barnet yngre krävs samtycke från vårdnadshavaren. Barns uppgifter ska skyddas särskilt noga.
Din roll
Fråga dig alltid: vilken grund har vi för att göra det här? Om du inte vet, fråga din chef, dataskyddsombudet eller den som ansvarar för dataskyddet innan du samlar in eller delar uppgifter.