Kommunstyrelsen. Godkänt av kommunstyrelsen , 77 Kompletterad av kommunstyrelsen , 162

Transkript

1 Kommunstyrelsen Regler och rutin med beskrivning av arbetet enligt PuL samt organisationsbeskrivning och regler för webbpublicering av personuppgifter på Godkänt av kommunstyrelsen , 77 Kompletterad av kommunstyrelsen , 162

2 INNEHÅLLSFÖRTECKNING REGLER OCH RUTIN FÖR BEHANDLING AV PERSONUPPGIFTER... 3 Inledning... 3 Personuppgiftslagens syfte... 3 Vad är personuppgifter?... 3 Känsliga uppgifter... 3 Vad är en behandling?... 4 Tänk på före användning av personuppgifter... 4 Anmälan till personuppgiftsombud... 4 Information till och samtycke från den registrerade... 4 Säkerhet vid behandling... 5 Internet... 5 Rättelse... 5 Ytterligare information... 5 Sekretess och tystnadsplikt... 5 BESKRIVNING AV ORGANISATIONEN... 7 RUTINER FÖR WEBBPUBLICERING AV PROTOKOLL/FÖREDRAGNINGSLISTOR OCH WEBBDIARIUM... 8 Övergripande... 8 Ansvar för innehåll och publicering... 8 Uppgifter som inte ska förekomma på Internet maskeras... 8 Länkade uppgifter... 9 Genomgång av aktualitet... 9 Informationsskyldighet

3 REGLER OCH RUTIN FÖR BEHANDLING AV PERSONUPPGIFTER Inledning Innan personuppgifter får registreras elektroniskt gäller ett antal regler som finns i personuppgiftslagen, sekretesslagen samt personuppgiftsförordningen. Ansvarig för vad som görs med personuppgifterna är enligt PuL den som behandlar dessa uppgifter och inom kommunen är detta respektive nämnd och styrelse. Personuppgiftslagens syfte Lagens syfte är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Vad är personuppgifter? All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Det kan även uttryckas som så att en person är identifierbar eller sökbar utifrån de uppgifter som förs. Det kan t ex vara namn på personer, personnummer, födelsedata, adresser, kundnummer, bilder på personer, anställningsnummer, kodnummer osv. Känsliga uppgifter I vissa fall finns behov av registrering av så kallade känsliga uppgifter. Till känsliga uppgifter räknas bland annat hälsa/ohälsa, religiös övertygelse, facklig tillhörighet, politisk övertygelse samt sexuell läggning. Det finns också uppgifter som kan vara sekretessbelagda. I de fall där sekretessbelagd information registreras så ska dessa uppgifter hanteras med stor försiktighet. Grundregeln är: för att registrera känsliga uppgifter om någon person krävs samtycke. I vissa fall finns det undantag exempelvis när det är fråga om personnummer i samband med att avtal/kontrakt finns, facklig tillhörighet i samband med löneförhandlingar, politisk övertygelse i samband med registrering av förtroendemän med olika uppdrag och arvoderingar m.m. I de fall som känsliga uppgifter används ska antalet användare som ges möjlighet att se dessa uppgifter, begränsas till de personer som i sitt arbete har nytta av dessa uppgifter. Särskilda sekretessförbindelser finns mellan arbetsgivare och arbetstagare. Är du tveksam till registrering eller användning av känsliga uppgifter så hör av dig till PuL-kontaktpersonen eller Pul-ombudet. 3

4 Vad är en behandling? Begreppet behandling betyder vad som görs med personuppgifterna. Det kan enligt lagen vara fråga om exempelvis insamling, registrering, lagring, bearbetning eller ändring, sammanställning. Tänk på före användning av personuppgifter Avgörande måste ske om personuppgifterna får föras enl PuL. I nämnd ordning gäller att ta ställning till - de grundläggande kraven i PuL 9. - om behandlingen kan hänföras till något av de fall som anges i PuL är uppgifterna känsliga måste behandlingen vara tillåten enligt PuL innebär behandlingen att personuppgifterna överförs till tredje land måste även PuL följas. Den registrerade ska informeras om behandlingen. Den registrerade ska där så krävs, enligt PuL, ge sitt samtycke till behandling av personuppgifter. Behandling av personuppgifter ska anmälas till personuppgiftsombudet. När behandlingen bedöms tillåten ska denna dokumenteras på blanketten Anmälan om behandling av personuppgifter till personuppgiftsombud, bilaga 1. Behövs förtydligande hör av dig till PuL-kontaktpersonen. Anmälan till personuppgiftsombud Personuppgiftsombudet är den som är utsedd av kommunstyrelsen som ska tillse att personuppgifterna behandlas på ett lagligt och korrekt sätt enligt PuL. Behandlingen ska anmälas till personuppgiftsombudet, vilket sker genom att anmälan sänds till Pul-kontaktpersonen. Blanketten ska vara fullständigt ifylld. Denna anmälan kommer sedan att vara en del av underlaget då den registrerade ansöker om att få ta del av vilka personuppgifter som behandlas om den sökande. Information till och samtycke från den registrerade Informationen ska innehålla det som behövs för att den registrerade ska kunna ta till vara sina rättigheter: Vem den personuppgiftsansvarige är. Ändamålen med behandlingen. Övrig information som den registrerade behöver för att kunna ta till vara sina rättigheter i samband med behandling, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. 4

5 Den registrerade har rätt att få uppgift om vilka personuppgifter som behandlas om den registrerade en gång per år enligt PuL 26. Sådan information ska ges den registrerade på särskild blankett. Separat rutin finns för detta, bilaga 2. Personuppgiftsansvarig ska se till att den registrerade ger sitt samtycke när så erfordras. Säkerhet vid behandling Den som arbetar med personuppgifter får göra detta endast i enlighet med personuppgiftslagen, sekretesslagen, Datainspektionens allmänna råd om säkerhet för personuppgifter och kommunens IT-säkerhetsregler. Ansvaret för att det finns lämpliga säkerhetsåtgärder ligger hos personuppgiftsansvarig. Kontroll över att säkerhetsåtgärderna följs utförs av personuppgiftsombudet. Vid anlitande av personuppgiftsbiträde (konsult eller annan som behandlar myndighetens personuppgifter) ska avtal som reglerar säkerhetsfrågor tecknas. Utgångspunkten är att avtalet ska eliminera otillåten behandling. Internet Särskilda regler gäller för överförande av uppgifter till tredje land och publicering via Internet. Stor försiktighet måste iakttas innan uppgifter läggs ut på Internet. Rättelse Nämnden eller styrelsen är skyldig att på begäran av den registrerade snarast rätta personuppgifterna som inte har behandlats i enlighet med denna lag eller föreskrifter. Personuppgiftsombudet hjälper de registrerade att få rättelse när det finns anledning misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. Ytterligare information Utöver ovan finns vissa undantag. Information om dessa kan hämtas antingen i lagtexten eller i de skrifter som är utgivna av Datainspektionen och finns att hämta på Respektive personuppgiftsansvarigs kontaktperson kan också vara behjälplig. Sekretess och tystnadsplikt Huvudregeln är att bestämmelser om sekretess och tystnadsplikt till skydd för enskild inte hindrar att någon får reda på uppgifter om sig själv (14 kap. 4 sekretesslagen). Som exempel på ett undantag härifrån kan nämnas 7 5

6 kap. 3 sekretesslagen som behandlar frågan om sekretess i förhållande till den vård- och behandlingsbehövande själv. I den utsträckning bestämmelserna i PuL innebär att information ska lämnas till den registrerades vårdnadshavare eller i förekommande fall en god man eller förvaltare måste den personuppgiftsansvarige pröva om sekretessreglerna tillåter att information rörande den registrerade lämnas ut till denna, t ex 7 kap. 5 och 14 kap. 4 andra stycket i sekretesslagen. Någon motsvarighet till bestämmelse om rätt för en enskild att förfoga över sekretess som gäller till hans skydd finns dock inte i fråga om sekretess till skydd för andra intressen. Som exempel på sekretess till skydd för andra intressen än enskilda förhållanden kan nämnas 5 kap. 1 sekretesslagen om sekretess för uppgift som hänför sig till förundersökning i brottmål. Undantaget från informationsskyldigheten i PuL gäller alltså bara i den utsträckning det är särskilt föreskrivet att uppgifterna inte lämnas ut. När information ska lämnas efter ansökan bör den personuppgiftsansvarige ta ut fullständiga datautskrifter för att sedan stryka eller utesluta de uppgifter som inte får lämnas ut. 6

7 BESKRIVNING AV ORGANISATIONEN Personuppgiftsansvarig Kommunstyrelsen ansvarar för att lagen följs. Att vara personuppgiftsansvarig innebär också att bevaka att personuppgifter behandlas utifrån bestämda ändamål. Delegat Enligt särskild delegationsordning (bilaga 3) har kommunchefen delegation på bland annat att fastställa ändamål. Personuppgiftsombud PuL-kontaktperson Ödeshögs kommun har utsett ett externt ombud för samtliga nämnder och styrelser. Ombudet ska vara en tillgång för nämnderna när det gäller integritetsskydd vid behandling av personuppgifter. Ombudet har bland annat till uppgift att stödja och kontrollera att nämnderna behandlar personuppgifter på ett korrekt och lagligt sätt. Dock är respektive nämnd eller styrelse ytterst ansvarig för all behandling av personuppgifter. Finns minst en person inom styrelsen som utgör kontaktperson i PuL-frågor. Ansvarar för att anmäla nya behandlingar inom kommunstyrelsens verksamhetsområde. 7

8 Regler för webbpublicering av personuppgifter på (protokoll/föredragningslistor och webbdiariet) Antagna av kommunstyrelsen , 162 RUTINER FÖR WEBBPUBLICERING AV PROTOKOLL/FÖREDRAGNINGSLISTOR OCH WEBBDIARIUM Övergripande Publicering på får endast utföras av registrator och nämndssekreterare samt av förvaltningen utsedda och utbildande webbredaktörer och skribenter. Varje sida ska innehålla uppgift om vem som har publicerat informationen, vem som är informationsansvarig och när sidan senast uppdaterades. Före publicering av handlingar på webbplatsen måste handlingarna kontrolleras, att ingen information som kan uppfattas som kränkande, känslig, eller sekretessbelagda uppgifter, läggs ut. Ansvar för innehåll och publicering Ansvarig för innehållet som publiceras är kommunsekreteraren och nämnds sekreterare. Före webbpublicering sker genomgång av samtliga handlingar, diarium och protokoll av registrator eller nämnds sekreterare. Registrator är ansvarig för att; Maskera känsliga uppgifter före publicering Genomföra årlig genomgång av publicerad information och uppgifter Årlig kontroll av länkars aktualitet Borttag av personuppgifter om så krävs Uppgifter som inte ska förekomma på Internet maskeras Maskering görs genom att kryssmarkera (XXXXX) eller på annat sätt avmarkera de uppgifter som bedöms vara känsliga eller vara sekretessbelagda uppgifter. Nämnds sekreterare och registrator bör använda standardformuleringar för vanligt förekommande ärendeslag för att undvika att maskning ska behöva göras. När det gäller protokoll och handlingar på webben bör förnamn och efternamn på de personer som berörs av ärendet maskas. Direkt utpekande personuppgifter rörande enskilda, till exempel namn får publiceras, bara om 8

9 dessa och övriga publicerade uppgifter, enskilt eller sammantaget, inte kan antas leda till att den registrerades personliga integritet kränks. Sådana personuppgifter får därför inte publiceras i kombination med information som är integritetskänslig, rör lagöverträdelser eller omfattas av sekretess eller tystnadsplikt. Detta får inte publiceras på webben: Känsliga personuppgifter, uppgift om etniskt ursprung, politiska åsikter, religiös eller filosofisk överträdelse, medlemskap i fackförening och uppgifter som rör ohälsa/hälsa och sexualliv) om det inte finns samtycke från registrerade eller om denna själv på ett tydligt sätt offentliggjort uppgifterna, till exempel en politisk tjänsteman på en blogg Uppgifter som omfattas av sekretess eller tystnadsplikt Integritetskänslig information till exempel uppgifter om enskildes personliga förhållanden eller sådant som har nära koppling till den enskildes privata sfär Personnummer eller samordningsnummer Uppgifter om lagöverträdelser Länkade uppgifter Motsvarande genomgång som görs av handlingar och protokoll ska också göras av länkade dokument för att säkerställa även denna information före publicering. Länkade uppgifter ska regelbundet uppdateras och kontrolleras. Genomgång av aktualitet En gång per år görs genomgångar av med inriktning på att ta bort och rensa inaktuella uppgifter, information och länkade uppgifter. Fem år efter publiceringsdatumet bedöms protokoll vara inaktuella på webben. Informationsskyldighet Information till de registrerade när det gäller protokoll och webbdiarium görs på följande sätt; Förtroendevalda ges information i samband med nyval eller omval på blanketten för Persondata för förtroendevalda Medborgare, privatpersoner som berörs av ärendehanteringen informeras via Mottagningsbrev som alltid skickas som mottagningsbevis för inkommen handling Information om personuppgiftslagen återfinns också på 9

10

11

12

13

14

15

16