Każde przetwarzanie danych osobowych wymaga co najmniej jednej podstawy prawnej na mocy art. 6. Niektóre dane są dodatkowo szczególnie wrażliwe i wymagają więcej.
Sześć podstaw prawnych
- Zgoda. Osoba powiedziała „tak” dobrowolnie, konkretnie, świadomie i jednoznacznie. Wycofanie zgody ma być tak samo łatwe jak jej udzielenie.
- Umowa. Przetwarzanie jest niezbędne do wykonania umowy z osobą albo do działań, o które osoba prosiła przed zawarciem umowy. Przykładem jest adres dostawy klienta przy zamówieniu.
- Obowiązek prawny. Przetwarzania wymaga prawo, na przykład dane do księgowości lub dla urzędu skarbowego (Skatteverket).
- Ochrona żywotnych interesów. Przetwarzanie jest niezbędne do ochrony czyjegoś życia, na przykład w sytuacji zagrożenia.
- Zadanie realizowane w interesie publicznym lub sprawowanie władzy publicznej. To najczęstsza podstawa w urzędach i gminach.
- Prawnie uzasadniony interes. Przetwarzanie jest niezbędne do realizacji prawnie uzasadnionego interesu firmy i ten interes przeważa nad prywatnością osoby. Urzędy nie mogą korzystać z tej podstawy przy wykonywaniu swoich zadań.
Zgoda wśród pracowników
W stosunku pracy pracodawca ma władzę nad pracownikiem. Dlatego „tak” pracownika jest rzadko dobrowolne. Pracodawcy powinni raczej opierać się na umowie, obowiązku prawnym lub prawnie uzasadnionym interesie. Nie zakładaj, że „tak” współpracownika jest ważną zgodą tylko dlatego, że padło pytanie.
Dane szczególnych kategorii
Artykuł 9 nazywa je szczególnymi kategoriami danych osobowych. Co do zasady nie wolno ich przetwarzać, a wyjątki obowiązują tylko w określonych przypadkach. Dane dotyczące:
- pochodzenia rasowego lub etnicznego
- poglądów politycznych
- przekonań religijnych lub światopoglądowych
- przynależności do związku zawodowego
- danych genetycznych
- danych biometrycznych służących do identyfikacji osoby
- zdrowia
- seksualności lub orientacji seksualnej
Częstym wyjątkiem jest sytuacja, gdy przetwarzanie jest niezbędne, by pracodawca lub pracownik mógł wypełnić obowiązki z zakresu prawa pracy. Przykładem są dane o nieobecności chorobowej i rehabilitacji. Także wtedy dane mają trafiać tylko do osób, które ich potrzebują. Nie pisz diagnoz w e-mailach ani czatach, które może czytać więcej osób.
Dane o naruszeniach prawa
Zgodnie z rozdz. 3 § 8 dataskyddslagen dane o przestępstwach, wyrokach i środkach przymusu w postępowaniu karnym mogą przetwarzać urzędy. Inne podmioty mogą to robić tylko w określonych przypadkach, głównie gdy zezwalają na to przepisy lub decyzje rządu albo IMY (rozdz. 3 § 9). Jeśli jako prywatny pracodawca chcesz zażądać wyciągu z rejestru karnego lub czegoś podobnego, najpierw zapytaj osobę odpowiedzialną za ochronę danych.
Numer personalny
Numer personalny (personnummer) to bardzo silny identyfikator. Dlatego Szwecja ma szczególne przepisy (art. 87 RODO). Zgodnie z rozdz. 3 § 10 dataskyddslagen numery personalne i numery koordynacyjne można przetwarzać bez zgody tylko wtedy, gdy jest to wyraźnie uzasadnione celem, wagą pewnej identyfikacji lub innym godnym uwagi powodem.
W praktyce oznacza to:
- Nie pytaj o numer personalny, gdy wystarczą imię, nazwisko i adres e-mail.
- Nie pisz numerów personalnych w tematach wiadomości, otwartych listach, nazwach plików ani w wiadomościach wysyłanych otwartymi kanałami.
- Nie wysyłaj numerów personalnych zwykłym e-mailem, jeśli jest bezpieczniejsza droga.
- Używaj tylko tej części numeru, która jest potrzebna, na przykład czterech ostatnich cyfr, jeśli wystarcza do zadania.
Dzieci
W usługach internetowych dziecko w Szwecji może samo wyrazić zgodę od 13. roku życia. Jeśli jest młodsze, wymagana jest zgoda opiekuna prawnego. Dane dzieci trzeba chronić ze szczególną starannością.
Twoja rola
Zawsze pytaj siebie: jaką mamy podstawę, żeby to zrobić? Jeśli nie wiesz, zapytaj przełożonego, inspektora ochrony danych lub osobę odpowiedzialną za ochronę danych, zanim zaczniesz zbierać lub udostępniać dane.