Orice prelucrare de date personale cere cel puțin un temei legal, potrivit articolului 6. Unele date sunt în plus deosebit de sensibile și cer mai mult.
Cele șase temeiuri legale
- Consimțământ. Persoana a spus da în mod liber, specific, informat și neechivoc. Retragerea consimțământului trebuie să fie la fel de ușoară ca acordarea lui.
- Contract. Prelucrarea este necesară pentru executarea unui contract cu persoana sau pentru măsuri cerute de persoană înainte de contract. Un exemplu este adresa de livrare a clientului la o comandă.
- Obligație legală. Legea cere prelucrarea, de exemplu date pentru contabilitate sau pentru Skatteverket (agenția fiscală suedeză).
- Protejarea intereselor vitale. Prelucrarea este necesară pentru a proteja viața cuiva, de exemplu într-o situație de urgență.
- Sarcină de interes public sau exercitarea autorității publice. Acesta este cel mai frecvent temei pentru autorități și comune.
- Interes legitim. Prelucrarea este necesară pentru un interes legitim al firmei, iar acel interes cântărește mai mult decât integritatea persoanei. Temeiul nu poate fi folosit de autorități când își îndeplinesc sarcinile.
Consimțământul în rândul angajaților
Într-un raport de muncă, angajatorul are putere asupra angajatului. De aceea, atunci când un angajat spune da, rareori este liber. Angajatorii ar trebui să se sprijine mai degrabă pe contract, obligație legală sau interes legitim. Nu socotiți că un da al unui coleg este un consimțământ valabil doar pentru că l-ați întrebat.
Categoriile speciale de date
Articolul 9 le numește categorii speciale de date personale. În principiu, ele nu pot fi prelucrate, iar excepțiile se aplică doar în cazuri speciale. Este vorba despre date privind:
- originea rasială sau etnică
- opiniile politice
- convingerile religioase sau filosofice
- apartenența la un sindicat
- datele genetice
- datele biometrice pentru identificarea unei persoane
- sănătatea
- viața sexuală sau orientarea sexuală
O excepție frecventă este că prelucrarea este necesară pentru ca angajatorul sau angajatul să își îndeplinească obligațiile din dreptul muncii. Exemple sunt datele despre absențele pentru boală și despre reabilitare. Și atunci datele trebuie să ajungă doar la cei care au nevoie de ele. Nu scrieți diagnostice în e-mailuri sau chaturi pe care le pot citi mai mulți.
Date privind încălcările legii
Potrivit cap. 3 § 8 din dataskyddslagen, datele privind infracțiuni, condamnări și măsuri procesuale penale pot fi prelucrate de autorități. Alții le pot prelucra doar în anumite cazuri, mai ales când reglementări sau decizii ale guvernului ori ale IMY o permit (cap. 3 § 9). Dacă, în calitate de angajator privat, doriți să cereți un extras din cazierul judiciar sau ceva similar, întrebați mai întâi persoana responsabilă de protecția datelor.
Numărul personal de identificare (personnummer)
Numărul personal de identificare este un identificator foarte puternic. De aceea Suedia are reguli speciale (articolul 87 din GDPR). Potrivit cap. 3 § 10 din dataskyddslagen, numărul personal de identificare și numărul de coordonare (samordningsnummer) pot fi prelucrate fără consimțământ doar când este clar justificat având în vedere scopul, importanța identificării sigure sau alt motiv demn de luat în seamă.
În practică, aceasta înseamnă:
- Nu cereți numărul personal de identificare când sunt suficiente numele și adresa de e-mail.
- Nu scrieți numărul personal de identificare în subiectul mesajelor, în liste deschise, în nume de fișiere sau în mesaje care circulă pe canale deschise.
- Nu trimiteți numărul personal de identificare în e-mail obișnuit dacă există o cale mai sigură.
- Folosiți doar partea din număr care este necesară, de exemplu ultimele patru cifre, dacă este suficient pentru sarcină.
Copii
Pentru serviciile online, un copil din Suedia poate da singur consimțământul de la 13 ani. Dacă este mai mic, este necesar consimțământul tutorelui. Datele copiilor trebuie protejate cu deosebită grijă.
Rolul dumneavoastră
Întrebați-vă întotdeauna: ce temei avem pentru a face asta? Dacă nu știți, întrebați șeful, responsabilul cu protecția datelor sau persoana responsabilă de protecția datelor înainte de a colecta sau de a transmite date.