Nästan alla jobb har med uppgifter om människor att göra. En receptionist skriver ner en gästs namn. En butiksanställd tar emot en leveransadress. En handläggare läser en journal. Reglerna om skydd av personuppgifter gäller därför dig och inte bara din chef. Tillsammans kallas de dataskyddsreglerna, och ofta säger man bara GDPR.
Reglerna i Danmark
- Dataskyddsförordningen är EU-förordning 2016/679. Den gäller direkt i Danmark.
- Databeskyttelsesloven (den danska dataskyddslagen, lag nr 502 av den 23 maj 2018, senare ändrad) kompletterar förordningen med danska regler, till exempel om CPR-nummer, anställningsförhållanden och straff.
- Datatilsynet är den myndighet som utövar tillsyn över reglerna i Danmark.
Förordningen gäller när personuppgifter behandlas helt eller delvis elektroniskt. Den gäller också för pappershandlingar om uppgifterna ingår i ett register, till exempel en pärm sorterad efter namn. Rent privata förhållanden är undantagna, till exempel din egen telefonbok hemma.
Vad är en personuppgift?
En personuppgift är all information som rör en identifierad eller identifierbar fysisk person (förordningens artikel 4.1). Det kan vara:
- namn, adress, e-post och telefonnummer
- CPR-nummer, kundnummer och anställningsnummer
- bilder och ljudinspelningar där man kan känna igen personen
- IP-adresser och platsdata
- lön, betyg, sjukfrånvaro och beskrivningar av en anställds arbete
Uppgiften behöver inte vara hemlig. Till och med en e-postadress som står på en webbplats är en personuppgift. Uppgifter om ett företag är inte personuppgifter, men uppgifter om personen bakom en enskild firma är det. Anonyma uppgifter, där ingen kan ta reda på vem det gäller, står utanför reglerna. Pseudonymiserade uppgifter är fortfarande personuppgifter.
Vad är behandling?
Behandling är allt man kan göra med uppgifter: samla in, registrera, lagra, läsa, söka, skicka, ändra, dela och radera (artikel 4.2). När du bara tittar i ett system behandlar du redan uppgifter.
Vem är vem?
- Den registrerade är den person som uppgifterna handlar om: kunden, patienten, eleven eller kollegan.
- Den personuppgiftsansvariga bestämmer varför och hur uppgifterna behandlas (artikel 4.7). Det är oftast din arbetsgivare, inte du personligen.
- Personuppgiftsbiträdet behandlar uppgifter för den personuppgiftsansvariges räkning, till exempel en lönebyrå eller en leverantör av ett it-system (artikel 4.8). Det ska finnas ett skriftligt personuppgiftsbiträdesavtal (artikel 28).
Som anställd får du bara behandla uppgifter efter arbetsgivarens instruktion (artikel 29). Du kan inte själv bestämma dig för att använda kundlistan till ett nytt ändamål.
Varför det spelar roll
Reglerna skyddar människors privatliv. Om uppgifter hamnar i fel händer kan en person utsättas för bedrägeri, mobbning eller diskriminering. Misstag skadar också företagets rykte, och de kan leda till sanktioner.
Kom ihåg: Fråga dig själv innan du använder uppgifter om en person: Behöver jag dem i mitt arbete, och får jag använda dem på det här sättet?