Till dig som använder bildspelet för att presentera!

Transkript

1 Till dig som använder bildspelet för att presentera! Om bildspelet Originalet till bildspelet är producerat av Projekt för hantering av personuppgifter (Dnr STYR 2016/1173) Syftet är att hjälpa medarbetare att kommunicera innebörden av den kommande dataskyddsförordningen och vad den innebär för Lunds universitet. Bildspelet innehåller väldigt många bilder. Det är viktigt att du som presenterar gör ett urval. För att underlätta det har vi märkt sidorna med. Allmänt bra om alla får del av dem Diskussion ingen central fakta, men är tänkt att stimulera diskussion Överkurs nog mest lämpliga för fördjupade diskussioner om ni har gott om tid Fördjupning välj ut den eller de exempel som är mest relevanta för din målgrupp På en del sidor finns det information i Anteckningsfältet som antingen förklarar eller exemplifierar innehållet eller innehåller diskussionspunkter. Avsnitt Del 1 Översikt: Fokuserar på allmän information om den nya lagen, kompletterat med exempel från universitetsvärlden. Del 2 IT-perspektiv: Bygger på att man är införstådd med innehållet i den första delen. Den har ett IT- och informationssäkerhets-perspektiv och riktar sig främst till medarbetare som ansvarar för olika IT-system som innehåller personuppgifter. Del 3 Projektet: Förklarar kortfattat projektet Disclaimer Eftersom dataskyddsförordningen inte tillämpas än är en del uppgifter fortfarande osäkra. De olika delarna och nya versioner av bildspelet kan komma att publiceras på: Återkoppling Har du förslag till förbättringar är du välkommen att kontakta projektkommunikatören Jonas.Wisbrant@cs.lth.se.

2 Del 1: Introduktion till dataskyddsförordningen VERSION NOVEMBER 2017

3 Diskussion Hej universitetet! Jag heter. Jag vill veta vilka uppgifter ni har om mig tack, jag vill att ni raderar dem. Källa:

4 Allmänt Innehåll Del 1: Om dataskyddsförordningen Varför, sammanfattning & konsekvenser Generella begrepp Personuppgift Behandling av personuppgift Rättslig grund Registrerades rättigheter Information till registrerade Dokumenterat samtycke Del 2: IT-perspektiv Ansvar & roller i organisationen Behörigheter i IT-system Teknik var kommer informationen i från utbyte av uppgifter mellan system Hantering av registrerades rättigheter Information till registrerade Allmänt

5 Allmänt Orsak och verkan Dataskyddsförordningen (DSF) = General Data Protection Regulation (GDPR) - Gäller från 25 maj Gäller organisationer men inte privatpersoner syftar till att skydda rätten till privatliv underlätta fritt flöde av personuppgifter inom EU (men inte ut) konsekvenser vi måste veta vad vi får och inte får göra tydligare och mer information till registrerade stringent och dokumenterad organisation

6 Quizz: Vad är det värsta som kan hända 26/ Diskussion 1. Hög administrativ belastning när vi ska möta registrerades rättigheter x. 20 miljoner kr i böter 2. Tidningen Lundagård eller Uppdrag Granskning kommer med allvarlig kritik 3. Vi ställer till det för en registrerad

7 Sammanfattning Hur uppgifter får behandlas i korthet Allmänt Idag får behandlas för vissa särskilt angivna och berättigade ändamål behandling ska ske korrekt och öppet gentemot den registrerade Principer från 25 maj 2018 uppgiftsminimering, dvs att man inte får behandla fler uppgifter än vad som behövs lagringsminimering, dvs att de inte får förvaras längre än nödvändigt mer betoning på uppgifternas integritet och konfidentialitet. ansvarsskyldighet vi måste dokumentera att vi följer reglerna överföring till tredje land endast med uttryckligt stöd i förordningen Din personliga rätt till information om att och varför personuppgifter behandlas snabb rättning av felaktigheter att bli bortglömd dataportabilitet information vid incidenter med personuppgifter att undanbe dig automatiska beslut

8 Kontext: Dataskyddsombud och förteckning över personuppgiftsbehandlingar Dataskyddsombudet ska bl a: troliggöra för datainspektionen att vi följer förordningen kunna säkerställa att vi kan möta de registrerades rättigheter hålla en förteckning över personuppgiftsbehandlingar 6 strategier på hög nivå som projektet driver så lång vi hinner Stora system i PM3 è Förvaltningsplaner beskriver systemet i förhållande till DSF Utbildning för ALLA anställda och ALLA studenter Samordnad organisation för stöd & råd Standardiserad information till de största grupperna av registrerade Register över behandlingar som kopplar Verksamhet ó Rättslig grund ó IT-system Rutiner för hantering av registrerades rättigheter

9 Dataskyddsförordningen centrala begrepp VERSION NOVEMBER 2017

10 Personuppgift vad är det Allmänt varje upplysning som avser en identifierad eller identifierbar fysisk person * Namn, foto, adress, genom, epost, beskrivning, betyg, ålder, personnummer hårfärg, skonummer, humör, kompetens Katter, fiktiva eller avlidna personer har inga rättigheter Vi FÅR och SKA behandla stora mängder personuppgifter. * Källa: DSF Artikel 4.1

11 Särskilda (känsliga) personuppgifter Allmänt Uppgifter som avslöjar ras etniskt ursprung politiska åsikter religiös övertygelse filosofisk övertygelse medlemskap i fackförening personnummer* samt genetiska uppgifter biometriska uppgifter som entydigt identifiera en fysisk person uppgifter om hälsa uppgifter fysisk persons sexualliv uppgifter om fysisk persons sexuella läggning får i utgångsläget INTE hanteras! * Personnummer nämns inte i DSF/GDPR men ges samma ställning personuppgifter som rör fällande domar i brottmål samt överträdelser Ny Ny

12 Behandling av personuppgift enligt DSF Allmänt Insamling Registrering Organisering Strukturering Lagring Bearbetning eller ändring Framtagning Läsning Användning Utlämning genom överföring, spridning eller tillhandahållande på annat sätt Justering eller sammanförande Begränsning Radering eller förstöring

13 Personuppgifter även i ostrukturerat material i mail, lokala listor och på webben Personuppgifter i ostrukturerat material slutar vara undantag. è Vi behöver säkerställa rättslig grund och information för t ex information och marknadsföring symbolfoton och mingelbilder text, nyheter och kalendarier sociala medier!!!

14 Allmänt Rättsliga grunder för behandling av personuppgifter Rättslig grund Innebär Aktuellt för universitetet rättslig förpliktelse myndighetsutövning uppgift av allmänt intresse avtal för att leva upp till lag och andra regler nödvändig som ett led i myndighetsutövning uppdrag från riksdag och regering för att fullfölja avtal med den registrerade samtycke frivilligt informerat dokumenterat skydd för grundläggande intressen säkerhetspolitik LADOK-förordningen Arkivlagen Arbetsmiljölagen examinering disciplinärenden utbildning forskning samverkan samarbetsavtal inköpsavtal forskning samverkan marknadsföring ev. vid samarbete med försvar

15 Rättsliga grunder: Exempel på varför vi får göra det vi gör Allmänt Ändamål med verksamhet è Att rekrytera studenter till våra utbildningsprogram och kurser Rättslig grund è Konsekvenser Samtycke - Information beroende på situation - Dokumentera samtycke - Process för återtagande av samtycke Antagning av studenter Allmänt intresse - LU-gemensam standardinformation Skriva in studenter Genomföra kurser Allmänt intresse + ev samtycke Allmänt intresse + ev samtycke - Standardinformationen gäller - ekurs för alla studenter + ev dokumentation av samtycke Standard-info gäller + ev. tillägg till standardinformation + samtycke vid ev. tillägg** Examinera studenter Myndighetsutövning Standardinformation gäller

16 Fördjupning Behandlingà Rättslig grund à konsekvenser Exempel: Attrahera och rekrytera studenter Behandling Locka studenter utifrån till utbildnings-program och kurser Exempel Intresseanmälningar, katalogutskick, deltagarlistor och anmälningar till events Rättslig grund Samtycke Verktyg Webbformulär Maillistor E-post Deltagarlistor + = Konsekvens Unik information till berörda Dokumentera samtycke Process för återtagande av samtycke PUprojektet Definierar verksamheter/ ändamål Kopplar rättsliga grunder Identifierar system som berörs Drar slutsatser utifrån den rättsliga grunden

17 Allmänt Registrerades rättigheter Rätt till Innebär Konflikt Information Information om personuppgiftsbehandlingen när uppgifterna samlas och på begäran. Incidenter Infosäkerhet Rättelse Få felaktiga uppgifter rättade och kompletterade Arkivering Radering När uppgifter inte behövs Återkallat samtycke Om det inte finns berättigade skäl vid myndighetsutövning mm. Begränsning av behandling Markeras för begränsad behandling även under utredning - Dataportabilitet Vid samtycke (ej forskningsstudier) och avtal - Att göra invändningar Myndighetsutövning och uppgift av allmänt intresse - Att slippa automatiserat beslutsfattande och profilering Antagning 1 - Arkivering Dokumenterad myndighetsutövning 1 UHR är nog personuppgiftsansvarig för antagningsprocessen fram tills universiteten tar över kommunikationen med de antagna

18 Allmänt Information till den registrerade Vid import av data från andra system: NyA à LADOK à Kuben à andra lokala system Vid insamling från den registrerade: vid inskrivning av studenter (redan gjort*) vid rekrytering av studenter publika arrangemang Inför forskning- med personuppgifter Gemensam standardinformation eller mallar tas fram för Nya studenter Nya medarbetare Forskningsstudier Kommunikation och samverkan

19 Fler rättsliga förpliktelser ger informationshantering med inbyggda motsättningar Fördjupning etik öppen data upphovsrätt offentlighet personuppgifter vårt uppdrag datasäkerhet arkivering

20 Vad gör jag nu FAQ etc. på personuppgifter.blogg.lu.se Prenumerera gärna!