Al behandling af personoplysninger kræver mindst ét behandlingsgrundlag efter artikel 6. Visse oplysninger er desuden ekstra følsomme og kræver mere.
De seks behandlingsgrundlag
- Samtykke. Personen har sagt ja på en frivillig, specifik, informeret og utvetydig måde. Det skal være lige så let at trække samtykket tilbage som at give det.
- Kontrakt. Behandlingen er nødvendig for at opfylde en kontrakt med personen eller for at gennemføre foranstaltninger, personen har bedt om, før kontrakten indgås. Et eksempel er kundens leveringsadresse ved en bestilling.
- Retlig forpligtelse. Loven kræver behandlingen, for eksempel oplysninger til bogføring eller til Skatteverket (den svenske skattemyndighed).
- Vitale interesser. Behandlingen er nødvendig for at beskytte nogens liv, for eksempel i en nødsituation.
- Opgave i samfundets interesse eller offentlig myndighedsudøvelse. Dette er det mest almindelige grundlag for myndigheder og kommuner.
- Legitim interesse. Behandlingen er nødvendig for en legitim interesse hos virksomheden, og den interesse vejer tungere end personens privatliv. Grundlaget kan ikke bruges af myndigheder, når de udfører deres opgaver.
Samtykke blandt ansatte
I et ansættelsesforhold har arbejdsgiveren magt over den ansatte. Derfor er det sjældent frivilligt, når en ansat siger ja. Arbejdsgivere bør i stedet støtte sig til kontrakt, retlig forpligtelse eller legitim interesse. Regn ikke med, at en kollegas ja er et gyldigt samtykke, bare fordi du spurgte.
Følsomme personoplysninger
Artikel 9 kalder dem særlige kategorier af personoplysninger. Som udgangspunkt må de ikke behandles, og undtagelser gælder kun i særlige tilfælde. Oplysninger om:
- race eller etnisk oprindelse
- politisk opfattelse
- religiøs eller filosofisk overbevisning
- fagforeningsmæssigt tilhørsforhold
- genetiske oplysninger
- biometriske oplysninger med henblik på entydig identifikation af en person
- helbred
- seksuelle forhold eller seksuel orientering
En almindelig undtagelse er, at behandlingen er nødvendig, for at arbejdsgiveren eller den ansatte kan overholde forpligtelser inden for arbejdsretten. Eksempler er oplysninger om sygefravær og rehabilitering. Selv da må oplysningerne kun gå til dem, der har brug for dem. Skriv ikke diagnoser i e-mails eller chats, som flere kan læse.
Oplysninger om lovovertrædelser
Oplysninger om straffedomme og lovovertrædelser kan efter 3 kap. 8 § dataskyddslagen behandles af myndigheder. Andre må kun behandle dem i visse tilfælde, først og fremmest når bestemmelser eller afgørelser fra regeringen eller IMY tillader det (3 kap. 9 §). Hvis du som privat arbejdsgiver vil bede om en udskrift af straffeattesten eller lignende, så spørg først den, der har ansvaret for databeskyttelsen.
Personnummer
Personnummeret er en meget stærk identifikator. Derfor har Sverige særlige regler (artikel 87 i GDPR). Efter 3 kap. 10 § dataskyddslagen må personnummer og samordningsnummer kun behandles uden samtykke, når det er klart begrundet af hensyn til formålet, behovet for sikker identifikation eller en anden tungtvejende grund.
I praksis betyder det:
- Spørg ikke efter personnummer, når navn og e-mailadresse er nok.
- Skriv ikke personnummer i emnefelter, åbne lister, filnavne eller i beskeder, der går over åbne kanaler.
- Send ikke personnummer i almindelig e-mail, hvis der findes en sikrere vej.
- Brug kun den del af nummeret, der er nødvendig, for eksempel de sidste fire cifre, hvis det er nok til opgaven.
Børn
For onlinetjenester kan et barn i Sverige selv give samtykke fra 13 års alderen. Er barnet yngre, kræves samtykke fra forældremyndighedens indehaver. Børns oplysninger skal beskyttes særlig omhyggeligt.
Din rolle
Spørg dig altid selv: hvilket grundlag har vi for at gøre dette? Hvis du ikke ved det, så spørg din leder, databeskyttelsesrådgiveren eller den, der har ansvaret for databeskyttelsen, inden du indsamler eller deler oplysninger.