Nogle gange skal personoplysninger gives til en anden. Så gælder der nogle regler, du bør kende.
Videregivelse internt i organisationen
Kun de, der har brug for oplysningerne i deres arbejde, skal have adgang. Din adgang i et system er en del af arbejdsgiverens beskyttelse. At du kan se en oplysning, betyder ikke, at du må kigge på den. At slå en bekendt, en nabo eller en kendt person op uden arbejdsmæssig grund er uautoriseret adgang, selv om ingen andre opdager det. Systemerne logger ofte adgang, og den, der kigger uden grund, kan få ansættelsesretlige konsekvenser.
Videregivelse til en udenforstående
Før du sender oplysninger til en udenforstående, så spørg:
- Hvem er modtageren, og hvad skal vedkommende bruge oplysningerne til?
- Har organisationen et behandlingsgrundlag og et formål, der dækker videregivelsen?
- Har modtageren ret til at få dem? Kontrollér, hvem personen er.
- Findes der en databehandleraftale, hvis modtageren arbejder for jer?
Giv ikke oplysninger i telefonen til en person, du ikke kan identificere. Bed i stedet om at vende tilbage, og ring tilbage på et nummer, du selv har.
Databehandlere
Når en leverandør behandler oplysninger på vegne af arbejdsgiveren, for eksempel et lønbureau eller en cloudtjeneste, kræves der en skriftlig databehandleraftale (artikel 28). Aftalen regulerer blandt andet, hvilke oplysninger leverandøren må behandle, hvordan de beskyttes, og hvad der gælder, når aftalen ophører. Du skal ikke selv begynde at bruge en ny tjeneste med personoplysninger, uden at det er afklaret.
Uden for EU og EØS
Personoplysninger kan frit flyttes inden for EU og EØS. Overførsel til et land uden for kræver ekstra beskyttelse efter kapitel V i GDPR. Det kan være en afgørelse fra EU-Kommissionen om, at landet har et tilstrækkeligt beskyttelsesniveau, eller standardkontraktbestemmelser. Nogle cloudtjenester har servere eller support uden for EU. Det er arbejdsgiveren, der skal vurdere det, men du skal spørge, før du begynder at bruge en ny tjeneste.
Offentlighedsprincippet og GDPR
Hvis du arbejder i en myndighed, en kommune eller en region, gælder et særligt system.
- Offentlighedsprincippet findes i tryckfrihetsförordningen (den svenske grundlov om trykkefrihed). Alle har ret til at få indsigt i allmänna handlingar (offentlige dokumenter) hos myndigheder. Et dokument er offentligt, hvis det opbevares hos myndigheden og er indkommet dertil eller oprettet der.
- Offentlighets- och sekretesslagen (2009:400) (lov om offentlighed og sekretess) afgør, hvilke oplysninger der er underlagt sekretess og derfor ikke må udleveres.
- Efter 1 kap. 7 § dataskyddslagen anvendes databeskyttelsesreglerne ikke i det omfang, det ville stride mod tryckfrihetsförordningen. GDPR er derfor ingen grund til at nægte udlevering af et offentligt dokument, der ikke er underlagt sekretess.
Nogle vigtige punkter:
- Spørgsmålet om udlevering vurderes efter sekretessreglerne. Et dokument, der ikke er hemmeligt, udleveres, selv om det indeholder personoplysninger.
- Myndigheden må som hovedregel ikke spørge, hvorfor nogen vil se et dokument, eller hvem personen er, medmindre det er nødvendigt for sekretessvurderingen (tryckfrihetsförordningen 2 kap. 18 §).
- Databeskyttelsesreglerne gælder derimod for, hvordan myndigheden indsamler, opbevarer, beskytter og sletter oplysninger i sine egne systemer.
Begge regelsæt gælder altså samtidig og supplerer hinanden. Er du i tvivl om, om noget må udleveres, så spørg den, der har ansvaret for det, for eksempel registratoren, en jurist eller databeskyttelsesrådgiveren.
Markedsføring
Folk har en absolut ret til at gøre indsigelse mod direkte markedsføring (artikel 21.3). Hvis nogen siger "hold op med at sende reklamer til mig", skal du give det videre med det samme. Regler om markedsføring via e-mail og sms findes også i marknadsföringslagen (den svenske markedsføringslov), og reglerne om cookies på websteder findes i lagen om elektronisk kommunikation (den svenske lov om elektronisk kommunikation). Spørg den ansvarlige, før du sender noget ud.