Man får inte behandla personuppgifter bara för att man har tillgång till dem. Det måste alltid finnas en rättslig grund. De vanliga grunderna står i artikel 6.1, och i Danmark upprepar databeskyttelsesloven § 6 dem.
De sex grunderna
Behandling är laglig om minst en av dessa är uppfylld:
- a) Samtycke från den registrerade.
- b) Avtal: behandlingen är nödvändig för att fullgöra ett avtal med personen, till exempel att leverera en vara eller betala lön.
- c) Rättslig förpliktelse: lagen kräver det, till exempel att spara verifikationer eller rapportera lön till skattemyndigheterna.
- d) Grundläggande intressen: behandlingen är nödvändig för att skydda någons liv.
- e) Allmänt intresse eller myndighetsutövning. Detta används främst av myndigheter.
- f) Berättigat intresse: företaget har ett berättigat intresse, och det väger tyngre än personens intressen och rättigheter. Det kräver en konkret intresseavvägning. Offentliga myndigheter kan inte använda den här grunden i sina uppgifter.
Samtycke måste vara äkta
Ett samtycke måste vara frivilligt, specifikt, informerat och otvetydigt (artikel 4.11 och artikel 7). Det kräver en aktiv handling. En förbockad ruta är inte ett samtycke. Personen kan återkalla samtycket när som helst, och det ska vara lika lätt att återkalla det som att ge det. Företaget måste kunna visa att samtycket har getts.
I anställningsförhållanden är samtycke ofta en svag grund. Den anställde är beroende av arbetsgivaren och kan känna sig pressad, och då är samtycket inte frivilligt. Lagen tillåter dock samtycke i anställningsförhållanden (§ 12, stk. 3), så det beror på situationen.
Barn: När en informationssamhällets tjänst, till exempel ett socialt medium eller en app, använder samtycke som grund kan ett barn själv ge det från 15 år i Danmark (§ 6, stk. 2). Är barnet yngre krävs samtycke från den som har vårdnaden. Gränsen höjdes från 13 till 15 år den 1 januari 2024.
Känsliga uppgifter
Artikel 9 kallar vissa uppgifter särskilda kategorier. I vardagligt tal säger man ofta känsliga personuppgifter. Det är uppgifter om:
- ras eller etniskt ursprung
- politiska åsikter, religiös eller filosofisk övertygelse
- medlemskap i fackförening
- genetiska uppgifter och biometriska uppgifter när de används för att identifiera en person
- hälsa
- sexualliv eller sexuell läggning
Utgångspunkten är att dessa uppgifter inte får behandlas. Det finns undantag, till exempel uttryckligt samtycke eller att det är nödvändigt för att fullgöra skyldigheter och utöva rättigheter inom arbetsrätten. Databeskyttelsesloven (§ 7, stk. 2 och § 12) ger arbetsgivare den möjligheten om behandlingen är nödvändig.
I praktiken
- Skriv inte diagnoser, religion eller fackliga förhållanden i fria textfält, om det inte är din uppgift att registrera dem.
- När en anställd säger sig vara sjuk är det en hälsouppgift. Arbetsgivaren får registrera frånvaron, men behöver sällan känna till diagnosen.
- Om du är osäker på vilken grund som täcker det du ska göra, fråga den som ansvarar för dataskydd hos er.
Regel: Ingen grund, ingen behandling. Ju känsligare uppgiften är, desto strängare är kraven.