All behandling av personopplysninger krever minst ett behandlingsgrunnlag etter artikkel 6. Noen opplysninger er dessuten ekstra sensitive og krever mer.
De seks behandlingsgrunnlagene
- Samtykke. Personen har sagt ja på en frivillig, spesifikk, informert og utvetydig måte. Det skal være like lett å trekke samtykket tilbake som å gi det.
- Avtale. Behandlingen er nødvendig for å oppfylle en avtale med personen, eller for tiltak personen har bedt om før avtalen inngås. Et eksempel er kundens leveringsadresse ved en bestilling.
- Rettslig forpliktelse. Loven krever behandlingen, for eksempel opplysninger til regnskap eller til Skatteverket (den svenske skattemyndigheten).
- Vitale interesser. Behandlingen er nødvendig for å beskytte noens liv, for eksempel i en nødsituasjon.
- Oppgave i allmennhetens interesse eller utøvelse av offentlig myndighet. Dette er det vanligste grunnlaget for myndigheter og kommuner.
- Berettiget interesse. Behandlingen er nødvendig for en berettiget interesse hos virksomheten, og den interessen veier tyngre enn personens personvern. Grunnlaget kan ikke brukes av myndigheter når de utfører oppgavene sine.
Samtykke blant ansatte
I et arbeidsforhold har arbeidsgiveren makt over den ansatte. Derfor er det sjelden frivillig når en ansatt sier ja. Arbeidsgivere bør i stedet støtte seg på avtale, rettslig forpliktelse eller berettiget interesse. Ikke regn med at en kollegas ja er et gyldig samtykke bare fordi du spurte.
Sensitive personopplysninger
Artikkel 9 kaller dem særlige kategorier av personopplysninger. Som utgangspunkt kan de ikke behandles, og unntak gjelder bare i særskilte tilfeller. Opplysninger om:
- rase eller etnisk opprinnelse
- politisk oppfatning
- religiøs eller filosofisk overbevisning
- fagforeningsmedlemskap
- genetiske opplysninger
- biometriske opplysninger for å identifisere en person
- helse
- seksuelle forhold eller seksuell orientering
Et vanlig unntak er at behandlingen er nødvendig for at arbeidsgiveren eller den ansatte skal kunne oppfylle forpliktelser innen arbeidsretten. Eksempler er opplysninger om sykefravær og oppfølging. Selv da skal opplysningene bare gå til dem som trenger dem. Skriv ikke diagnoser i e-poster eller chatter som flere kan lese.
Opplysninger om lovbrudd
Opplysninger om straffbare forhold, dommer og straffeprosessuelle tvangsmidler kan etter 3 kap. 8 § dataskyddslagen behandles av myndigheter. Andre kan behandle dem bare i visse tilfeller, først og fremst når forskrifter eller vedtak fra regjeringen eller IMY tillater det (3 kap. 9 §). Hvis du som privat arbeidsgiver vil be om utskrift fra strafferegisteret eller lignende, spør først den som er ansvarlig for personvernet.
Personnummer
Personnummeret er en svært sterk identifikator. Derfor har Sverige særlige regler (artikkel 87 i GDPR). Etter 3 kap. 10 § dataskyddslagen kan personnummer og samordningsnummer behandles uten samtykke bare når det er klart berettiget med tanke på formålet, behovet for sikker identifisering eller en annen beaktelsesverdig grunn.
I praksis betyr det:
- Ikke spør etter personnummer når navn og e-postadresse er nok.
- Ikke skriv personnummer i emnefelt, åpne lister, filnavn eller i meldinger som går over åpne kanaler.
- Ikke send personnummer i vanlig e-post hvis det finnes en sikrere måte.
- Bruk bare den delen av nummeret som trengs, for eksempel de fire siste sifrene, hvis det er nok for oppgaven.
Barn
For tjenester på nett kan et barn i Sverige samtykke selv fra 13 års alder. Er barnet yngre, kreves samtykke fra foresatte. Barns opplysninger skal beskyttes særlig nøye.
Din rolle
Spør deg alltid: hvilket grunnlag har vi for å gjøre dette? Hvis du ikke vet, spør lederen din, personvernombudet eller den som er ansvarlig for personvernet før du samler inn eller deler opplysninger.