På nästan alla arbetsplatser hanteras uppgifter om människor. En kassör ser kundernas namn. En receptionist skriver upp besökare. En sjuksköterska läser en journal. En lärare har en klasslista. Reglerna för sådana uppgifter finns i dataskyddsreglerna, och de gäller dig lika mycket som din arbetsgivare.
Lagarna i Sverige
- Dataskyddsförordningen, ofta kallad GDPR (EU 2016/679), är huvudregelverket. Den gäller direkt i alla EU-länder.
- Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, ofta kallad dataskyddslagen, fyller i det som varje land själv får bestämma. Det gäller till exempel personnummer och uppgifter om lagöverträdelser.
- Många branscher har egna lagar med regler om personuppgifter, till exempel i vården, skolan och på myndigheter.
Tillsynsmyndighet är Integritetsskyddsmyndigheten (IMY). IMY ger vägledning, tar emot klagomål och anmälningar om incidenter, granskar verksamheter och kan besluta om sanktionsavgifter.
Personuppgift
En personuppgift är all information som kan kopplas till en levande person. Uppgiften behöver inte vara hemlig. Exempel:
- namn, adress, e-postadress och telefonnummer
- personnummer och anställningsnummer
- foto, filmklipp från kamera och röstinspelning
- en anteckning om vad en person har sagt eller gjort
- IP-adress och andra nätidentiteter
Om du kan förstå vem uppgiften gäller, också genom att lägga ihop flera uppgifter, är det en personuppgift. Uppgifter om en avliden person omfattas inte. Rena företagsuppgifter, till exempel ett bolags omsättning, är inte heller personuppgifter, men namnet och e-postadressen till en kontaktperson är det.
Behandling
Att behandla personuppgifter betyder nästan allt man kan göra med dem: samla in, spara, läsa, ändra, skicka, sammanställa, radera. Redan att öppna en journal på skärmen är en behandling.
Reglerna gäller när uppgifterna hanteras digitalt. De gäller också för pappersregister som är ordnade så att man kan söka fram uppgifter om personer, till exempel en pärm sorterad efter namn. Rent privata uppgifter i hemmet omfattas inte.
Vem är vem?
- Personuppgiftsansvarig bestämmer varför och hur uppgifterna ska behandlas. Din arbetsgivare är oftast personuppgiftsansvarig.
- Personuppgiftsbiträde behandlar uppgifter för den ansvariges räkning och enligt dennes instruktioner. Exempel är ett lönebolag eller en molntjänst.
- Registrerad är den person som uppgifterna handlar om: kunder, patienter, elever, kollegor och jobbsökande.
- Dataskyddsombud måste finnas hos myndigheter och hos vissa andra verksamheter. Ombudet ger råd, kontrollerar att reglerna följs och är kontaktpunkt för IMY. Du får vända dig dit med frågor.
Den personuppgiftsansvariga bär huvudansvaret enligt lagen. Du som anställd arbetar för arbetsgivaren, följer dess regler och behandlar uppgifter bara för arbetets skull.
Det här kan du förvänta dig
Arbetsgivaren ska ha egna riktlinjer, ett register över sina behandlingar och instruktioner för de system ni använder. Den här kursen ger dig grunden, men den kan inte ersätta det. I sista lektionen går vi igenom vad som är arbetsgivarens uppgift.