SKARPNÄCKS STADSDELSFÖRVALTNING

Transkript

1 SKARPNÄCKS STADSDELSFÖRVALTNING ADMINISTRATIVA AVDEL NINGEN SKARPNÄCKS STADSDELSNÄMNDS INSTRUKTION FÖR BEHANDLING AV PERSONUPPGIFTER Personuppgiftsansvarige Skarpnäcks stadsdelsförvaltning Box JOHANNESHOV Tel (vx) Fax: E-post: Skarpnäcks stadsdelsnämnd är personuppgiftsansvarig för behandling av personuppgifter i nämndens alla verksamheter i enlighet med personuppgiftslagen (PuL), SFS 1998:204 med senare ändringar t.o.m. SFS 2006:398. Ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets eller stadsdelsnämndens ledning får behandla personuppgifter bara i enlighet med denna instruktion (4 och 30 PuL). All behandling av personuppgifter i nämndens verksamheter ska ske i enlighet med personuppgiftslagen (PuL) så att den personliga integriteten för den enskilde inte kränks. PuL - grundläggande regler 1. Människor ska skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter. 2. Till skillnad från gamla datalagen omfattar PuL inte bara automatiserad behandling av personuppgifter utan även manuella register som ingår eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter. 3. PuL gäller inte vid behandling av personuppgifter som ett led i en verksamhet av rent privat natur. 4. PuL tillämpas inte i den utsträckning det skulle strida mot grundlagsbestämmelserna om tryck- och yttrandefrihet eller inskränka offentlighetsprincipen. 5. PuL i princip tillämpas inte heller på journalistisk, konstnärlig eller litterär verksamhet. Box 5117, Johanneshov. Björkhagsplan 6 Telefon

2 6. Om det i en annan lag eller i förordningen finns bestämmelser som avviker från PuL, gäller de bestämmelserna i stället. 7. Ansvaret för att behandling av personuppgifter sker på ett lagligt sätt läggs i första hand på den som behandlar sådana uppgifter. Datainspektionen utövar tillsyn över att PuL efterlevs. Det gamla systemet med licens och tillstånd är avskaffat. 8. Behandling av personuppgifter ska anmälas till Datainspektionen. Detta gäller dock inte om den som ansvarar för behandlingen har utsett ett så kallat personuppgiftsombud, anmälan av behandlingen görs i så fall till personuppgiftsombudet. 9. För behandling av personuppgifter i ostrukturerat material, till exempel i löpande text, gäller en förenklad reglering som innebär att den får utföras utan särskilda hanteringsregler som finns i 9-10, 13-19, 21-26, 28, och 42 PuL, så länge behandlingen inte innebär en kränkning av den registrerades personliga integritet. 10. PuL ställer upp vissa grundläggande krav på behandlingen av personuppgifter i ett strukturerat material. Dessa krav innebär bland annat att personuppgifter får behandlas bara för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgifter som man har samlat in för ett visst ändamål får man inte senare behandlas på ett sätt som inte är förenligt med detta ändamål. 11. Personuppgifter får, om de grundläggande kraven är uppfyllda, i princip behandlas bara om den registrerade har lämnat sitt samtycke till det. Från denna regel finns dock vissa undantag, till exempel om det är nödvändigt: -vid myndighetsutövning -när en arbetsuppgift av allmänt intresse skall utföras -för att den personuppgiftsansvarige ska kunna fullgöra en rättslig skyldighet -för att ett avtal med den registrerade ska kunna fullgöras. 12. För behandling av känsliga personuppgifter till exempel om politiska åsikter eller hälsa, religion och sexuell läggning gäller särskilt stränga regler. Detsamma gäller överföring av personuppgifter till andra länder.

3 13. Den registrerade har rätt till information om behandling av personuppgifter som rör honom eller henne. 14. Den som bryter mot PuL kan bli skadeståndsskyldig eller dömas till straff. Viktiga definitioner enligt PuL Personuppgift är all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Behandling av personuppgifter är varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Den registrerade är den som personuppgifterna avser. Samtycke är varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandling av personuppgifter. Varje stadsdelsnämnd i Stockholms stad är personuppgiftsansvarig. Personuppgiftsombud är den fysiska person som, efter förordnande av den personuppgiftsansvarige, självständigt ska se till att personuppgifter behandlas på ett lagligt och korrekt sätt. Mottagare är den till vilken personuppgifter lämnas ut. När personuppgifter lämnas ut för att en myndighet ska kunna utföra sådan tillsyn, kontroll eller revision som den är skyldig att sköta, anses dock inte myndigheten som mottagare. Personuppgiftsbiträde är den som behandlar personuppgifter för den personansvariges räkning (till exempel en utomstående servicebyrå, upphandlad leverantör eller avtalspartner).

4 Känsliga personuppgifter är uppgifter om etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt personuppgifter som rör hälsa eller sexualliv. Blockering av personuppgifter är en åtgärd som vidtas för att personuppgifterna ska vara förknippade med information om att de är spärrade och om anledningen till spärren och för att personuppgifterna inte ska lämnas ut till tredje man annat än med stöd av 2 kap. Tryckfrihetsförordningen (TF). Tredje land är en stat som inte ingår i Europeiska unionen (EU) eller är ansluten till Europeiska ekonomiska samarbetsområdet (EES). Tredje man är någon annan än den registrerade, den personuppgiftsansvarige, personuppgiftsombudet, personuppgiftsbiträdet och sådana personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har befogenhet att behandla personuppgifter. Behandling av personuppgifter i ostrukturerat material De flesta av bestämmelserna i PuL behöver inte tillämpas när man behandlar personuppgifter i ostrukturerat material, till exempel i löpande text, under förutsättning att den behandlingen inte innebär någon kränkning av den registrerades personliga integritet. Det ostrukturerade materialet kan också vara bild eller ljud, e-postmeddelanden och texter som publiceras på Internet eller promemorior eller andra dokument som skrivs i ett ordbehandlingsprogram. För att den förenklade lagen ska kunna tillämpas får detta ostrukturerade material inte ingå i eller vara avsett att ingå i ett dokument- eller ärendehanteringssystem eller någon annan databas. Säkerhetsåtgärder vid behandling av personuppgifter måste också tillämpas. För att undvika risker för en kränkning av den registrerades personliga integritet ska följande riktlinjer tillämpas: Behandla inte personuppgifter för otillbörliga syften, såsom förföljelse eller skandalisering Samla inte utan godtagbara skäl en stor mängd uppgifter om en person Rätta personuppgifter som visar sig vara felaktiga eller missvisande

5 Förtala eller förolämpa inte någon annan Bryt inte mot sekretess eller tystnadsplikt. Den som är osäker på vad som är en kränkning eller vad som är ostrukturerat material kan i stället välja att följa alla bestämmelser i PuL för hantering av personuppgifter i strukturerat material. Tillåten behandling av personuppgifter i strukturerat material I Skarpnäcks stadsdelsnämnds verksamheter ska de som behandlar personuppgifter se till att personuppgifter behandlas bara om det är lagligt behandlas på ett korrekt sätt och i enlighet med god sed samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen behandlas bara om det är nödvändigt med hänsyn till ändamålen med behandling som behandlas är riktiga och, om det är nödvändigt, aktuella rättas, blockeras eller utplånas om de är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen inte bevaras under en längre tid än vad som är nödvändigt. PuL ger i huvudsak den registrerade en rätt att bestämma över sina personuppgifter. Har den registrerade lämnat sitt samtycke till behandlingen av personuppgifter är behandlingen i regel tillåten. Ett samtycke ska vara en frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar den tilltänkta behandlingen.

6 Utan samtycke får personuppgifterna behandlas bara om denna behandling är nödvändig för att: ett avtal med den registrerade ska kunna fullgöras eller åtgärder som den registrerade begärt ska kunna vidtas innan ett avtal träffas en rättslig skyldighet måste fullgöras vitala intressen för den registrerade måste skyddas en arbetsuppgift av allmänt intresse ska kunna utföras en arbetsuppgift ska kunna utföras i samband med myndighetsutövning ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man som personuppgifterna lämnas ut till ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten (intresseavvägning) Känsliga personuppgifter Behandlingen av känsliga personuppgifter är enligt regeln i 13 PuL förbjuden. Reglerna för behandling av känsliga personuppgifter gäller utöver de grundläggande och allmänna krav som ska vara uppfyllda vid all behandling av personuppgifter. Förbud mot behandling av känsliga uppgifter gäller dock inte vid uttryckigt samtycke av den registrerade när uppgifter på ett tydligt sätt offentliggörs av den registrerade vid nödvändig behandling för att den personuppgiftsansvarige ska kunna fullgöra skyldigheter eller utöva rättigheter inom arbetsrätten, för att skydda vitala intressen hos den registrerade eller någon annan och den registrerade inte kan lämna sitt samtycke, eller för att fastställa, göra gällande eller försvara rättsliga anspråk

7 vid behandling inom ideella organisationer inom hälso- och sjukvården, om det är nödvändigt för förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling eller administration av hälso- och sjukvård. Lagen om behandling av personuppgifter inom socialtjänsten (2001:454) och Förordningen om behandling av personuppgifter inom socialtjänsten (2001: 637) reglerar hantering av personuppgifter vid myndighetsutövning i kommunal verksamhet. En kommunal myndighet får behandla personuppgifter för bland annat: 1. Handläggning av ärenden om bistånd, stödinsatser, vård och behandling samt annan social service som följer av bestämmelser i socialtjänstlagen; 2. Faderskapsutredningar, utredning om vård av barn, adoptionsärenden samt annan verksamhet inom familjerätten som följer av bestämmelserna i föräldrabalken; 3. Handläggning av ärenden och annan verksamhet som följer av bestämmelserna i lagen med särskilda bestämmelser om vård av unga (LVU) och lagen om vård av missbrukare i vissa fall (LVM); 4. Handläggning av ärenden om insatser och för särskilda uppgifter som följer av bestämmelser i lagen om stöd och service till vissa funktionshindrade (1993:387); 5. Handläggning av ärenden om tillstånd till parkering för rörelsehindrade; 6. Handläggning av ärenden om bistånd som lämnas av socialnämnd enligt lagstiftning om mottagande av asylsökande, med flera; 7. Handläggning av ärenden om introduktionsersättning för flyktingar och vissa andra utlänningar; 8. Handläggning av ärenden och annan verksamhet inom socialtjänsten som utförs vid kommunal invandrarbyrå;

8 9. Handläggning av ärenden som följer av bestämmelser i lagen med särskilda bestämmelser om unga lagöverträdare (1964:167) och körkortsförordningen (1998:980); 10. Tillsyn, uppföljning, utvärdering, kvalitetssäkring och administration av verksamheten. Kommunala myndigheter får behandla samtliga kategorier av personuppgifter helt eller delvis automatiserat eller manuellt i ett register, det vill säga även personoch samordningsnummer, känsliga personuppgifter om etnisk ursprung, politiska åsikter, religiös eller filosofisk övertygelse, facklig tillhörighet, hälsa eller sexualliv, lagöverträdelser. Dock inte i alla sammanhang och behandlingen måste ske i enlighet med gällande lagstiftning. Vid handläggning av ärenden om tillstånd till parkering för rörelsehindrade (pkt.5) och av ärenden som följer av bestämmelserna i körkortsförordningen (pkt.9) får en kommunal myndighet inte behandla andra känsliga personuppgifter än uppgifter som rör hälsa. I sammanställningar av personuppgifter hos en socialnämnd får inte uppgifter om ömtåliga personliga förhållanden finnas med. Begränsningen gäller inte innehållet i personakterna utan bara sådana register som utgör sammanställningar av uppgifter, såsom bevakningsregister av olika slag, sammanställningsregister om uppgifter som inte innebär myndighetsutövning och handläggningar av ärenden i ovan angivna pkt Vid myndighetsutövning och vid uppföljning, utvärdering, kvalitetssäkring, forskning och framställning av statistik får dock känsliga personuppgifter och andra uppgifter om ömtåliga personliga förhållanden behandlas om uppgifterna har lämnats i ett ärende eller är nödvändiga för verksamheten. Känsliga personuppgifter får behandlas utan den registrerades samtycke för forskningsändamål om behandlingen har godkänts av etikprövningsnämnden enligt särskild lagstiftning om etikprövning av forskning som avser människor. Personnummer/samordningsnummer För behandling av personnummer/samordningsnummer utanför socialtjänsten krävs samtycke eller att behandlingen ska vara klart motiverad med hänsyn till

9 ändamålet med behandlingen, vikten av en säker identifiering, eller något annat beaktansvärt skäl. Överföring av personuppgift till tredje land Det är i princip förbjudet att till tredje land (ett land utanför EU och EES) föra över personuppgifter om det mottagarland inte har en adekvat nivå för skydd av personuppgifter. EG-domstolen och Sveriges Högsta Domstolens har slagit fast att publicering av personuppgifter på Internet i normalfallet inte innebär en överföring av uppgifterna till alla länder som har tillgång till Internet. Även om det tredje land i fråga inte har adekvat skyddsnivå är det tillåtet att överföra personuppgifter dit, om den registrerade har lämnat sitt samtycke till överföringen eller när överföringen är nödvändig för att ett avtal mellan den registrerade och den personuppgiftsansvarige ska kunna fullgöras eller åtgärder som den registrerade begärt ska kunna vidtas innan ett avtal träffas ett sådant avtal mellan den personuppgiftsansvarige och tredje man som är i den registrerades intresse ska kunna ingås rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras vitala intressen för den registrerade ska kunna skyddas. Information som den registrerade alltid ska få Inhämtas personuppgifterna från den registrerade ska informationen om behandlingen självmant ges i samband med insamlingen. Hämtas personuppgifterna från en annan källa än den registrerade, till exempel från närstående, bekant, andra tjänstemän, andra dokument, ska den personuppgiftsansvarige lämna informationen självmant till den registrerade först när personuppgifterna registreras eller lämnas ut till tredje man. Informationsskyldigheten begränsas av regler om sekretess och tystnadsplikt. Informationen till den registrerade behöver inte lämnas om sådant som den registrerade redan känner till och heller inte om det är omöjligt eller skulle innebära en oproportionerligt stort arbetsinsats.

10 Informationen skall utformas ur den registrerades synvinkel och innehålla uppgifter om den personuppgiftsansvariges identitet, uppgift om ändamålen med behandlingen, och all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, om det är frivilligt eller om det föreligger en skyldighet att lämna personuppgifterna, rätten att få information efter ansökan, rätten att få rättelse vid felaktiga personuppgifter och till vem man kan vända sig för att få den rättelsen. Information lämnas till den registrerade. Detta gäller även för den som har god man eller förvaltare eller är under 18 år om han eller hon själv kan tillgodogöra sig informationen. Är så inte fallet lämnas informationen till vårdnadshavare, god man eller förvaltare under förutsättning att motstridiga intressen inte kan förekomma. Normalt sett kan barn som är fyllda 15 år anses kunna ta emot information. Information som den registrerade får efter ansökan Den personuppgiftsansvarige är skyldig att till var och en som skriftligt ansöker om det en gång per kalenderår gratis lämna information som rör den sökande. Ansökan måste undertecknas personligen av den registrerade. Informationen om behandling av personuppgifter måste vara begriplig för den registrerade och ska innehålla data om vilka uppgifter om den sökande som behandlats, varifrån dessa uppgifter har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottaggare som uppgifterna lämnats ut. Besked om behandlingen av personuppgifter skall lämnas inom en månad från det att ansökan gjordes. Myndigheten beslut om information kan överklagas till domstol. Rättelse Den personuppgiftsansvarige är skyldig att på begäran av den registrerade snarast rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med PuL eller föreskrifter som har utfärdats med stöd av den lagen. Den personuppgiftsansvarige skall också underrätta tredje man till vilken uppgifterna har lämnats ut om den åtagna åtgärden, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon sådan underrättelse behöver dock inte lämnas, om detta visar sig omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats.

11 Säkerhet vid behandlingen Vid behandling av personuppgifter föreligger skyldighet att vidta lämpliga säkerhetsåtgärder för att skydda personuppgifterna. Säkerhetsnivån skall vara lämplig utifrån de tekniska möjligheterna som finns inom förvaltningen, kostnaderna för att genomföra åtgärderna, riskerna vid behandling av personuppgifterna och hur känsliga de behandlade personuppgifterna är. Anmälan av behandlingar av personuppgifter till personuppgiftsombud Enligt PuL skall all helt eller delvis automatiserad behandling av personuppgifter skriftligen anmälas till tillsynsmyndigheten (Datainspektionen) innan en sådan behandling eller en serie av sådana behandlingar med samma eller liknande ändamål genomförs. Om den personuppgiftsansvarige har utsett ett personuppgiftsombud och anmält detta till Datainspektionen skall anmälan om behandling av personuppgifter i stället ske till denne. Undantag från anmälningsskyldighet har reglerats i Personuppgiftsförordningen (1998:1191) och andra författningar. Skarpnäcks stadsdelsnämnd har förordnat Anna Remmets till personuppgiftsombud ( 8 den 24 maj 2012). Vid frågor om PuL kontakta: Anna Remmets tel: e-post: anna.remmets@stockholm.se Tillsynsmyndighet: Datainspektionen,