Riktlinjer för behandling av personuppgifter vid webbpublicering

Transkript

1 Riktlinjer för behandling av personuppgifter vid webbpublicering Fastställt av : Kommunfullmäktige : , 122 Dnr: 2013-KS0548/003 För revidering ansvarar: Dokumentet gäller för: Kommunstyrelse, nämnder och förvaltningar Dokumentet gäller tillsvidare

2 RIKTLINJE Sida 2(8) Innehållsförteckning Inledning... 3 Allmänt om personuppgifter på internet... 3 Ansvarig för webbpublicering... 3 Regler enligt personuppgiftsförordningen... 4 Rätten att lägga ut protokoll med mera på Internet... 4 Begränsningar då uppgifter direkt pekar ut en person... 4 Detta får inte publiceras på webben... 4 Information till den registrerade om behandling av personuppgifter... 4 Diarium... 5 Protokoll... 6 Medborgarförslag... 6 Riktlinjer för... 6 Avvägningar... 6 Huvudregel... 7 Sekretess... 7 Ansökan om samtycke till uttag från spärrat konto... 7 Fastighetsbeteckning... 7 Personuppgifter där vi ska iaktta försiktighet... 8 Ytterligare informationon om PuL och Internet m.m.... 8

3 RIKTLINJE Sida 3(8) Inledning Dessa riktlinjer gäller för webbplatser som ägs och/eller administreras av och omfattar publicering av personuppgifter som ingår i vissa allmänna handlingar som preciseras nedan i avsnittet Rätten att lägga ut protokoll m.m på internet. För övrig publicering av personuppgifter, exempelvis allmän information om kommunen på kommunens webbplats, gäller personuppgiftslagens allmänna bestämmelser. Allmänt om personuppgifter på internet Som huvudregel gäller att personuppgifter bara får publiceras på internet om kraven i personuppgiftslagen (PuL) är uppfyllda. Vid tillämpning av bestämmelserna är det viktigt att känna till att personuppgifter i lagens mening är all information som direkt eller indirekt kan hänföras till en levande fysisk person. Vidare måste man vara medveten om att särskilda regler gäller för utlämnande av personuppgifter till utlandet eftersom uppgifter som publiceras över internet får världsomfattande spridning. Kraven i PuL, såvitt avser exponering av personuppgifter på internet, innebär i korthet och förenklat att det måste finnas ett berättigat syfte att sprida uppgifterna och att uppgifterna är harmlösa ur integritetssynpunkt. Bestämmelserna i PuL är generellt hållna, vilket innebär att det inte alltid klart går att utläsa vad som är tillåtet. För att öka kommunernas möjlighet att lägga ut protokoll med mera på internet finns ett särskilt stadgande i 12 personuppgiftsförordningen. Bestämmelsen innebär att några typer av allmänna handlingar (eller uppgifter ur dessa) alltid får publiceras på internet. Dock finns det en begränsning vad gäller att personuppgifter som direkt pekar ut en person i vissa fall måste tas bort. Uppgifter som omfattas av sekretess får aldrig publiceras på ett publikt nät. Ansvarig för webbpublicering Kommunstyrelsen och nämnderna är personuppgiftsansvariga för de behandlingar av personuppgifter som nämnden har att utföra. I är det kommunchefen för utåtperspektivet som ytterst är ansvarig inom tjänstemannaorganisationen för innehållet på kommunens webbplats. För personuppgifter som publiceras på kommunens webbplats ansvarar respektive webbredaktör för att bevaka och bedöma vilka personuppgifter som får publiceras. Vad gäller publicering av protokoll är det respektive nämndsekreterare som ansvarar för att protokollen uppfyller kraven för publicering och att personuppgifter som inte får publicerats har maskats eller tagits bort före publicering. All publicering av information på webbplatsen ska utföras av anställda som tilldelats behörighet för uppdraget och fått relevant utbildning.

4 RIKTLINJE Sida 4(8) Regler enligt personuppgiftsförordningen Rätten att lägga ut protokoll med mera på Internet Kommunen får lägga ut information från vissa allmänna handlingar även om informationen omfattar personuppgifter. De allmänna handlingar som avses är sådana som utgör eller ingår i diarium (som avses i 5 kap. 2 Offentlighets- och sekretesslagen), kallelse till ett sammanträde med fullmäktige eller en nämnd, utskott kungörelse om sammanträde med fullmäktige, eller justerat protokoll som har förts vid ett sammanträde med fullmäktige, nämnd eller utskott Begränsningar då uppgifter direkt pekar ut en person Av 12 första stycket personuppgiftsförordningen (1998:1191) framgår att personuppgifter som ingår i ett diarium och som anges i 5 kap. 2 offentlighetsoch sekretesslagen får publiceras på internet av en kommun. Direkt utpekande personuppgifter rörande enskilda, till exempel namn, får publiceras bara om dessa och övriga publicerade uppgifter, enskilt eller sammantaget, inte kan antas leda till att den registrerades personliga integritet kränks. Sådana personuppgifter får därför inte publiceras i kombination med information som är integritetskänslig, rör lagöverträdelser eller omfattas av sekretess eller tystnadsplikt. Även personuppgifter som enskilt betraktas som harmlösa kan vid en publicering på webben komma att anses som kränkande. Personnummer och samordningsnummer får aldrig publiceras. För publicering av övriga personuppgifter får en så kallad intresseavvägning avgöra i det enskilda fallet. Vid en sådan bedömning ska kommunens intresse av att publicera personuppgifter om enskilda på sin webbplats vägas mot den enskildes intresse av en fredad och privat sfär. Detta får inte publiceras på webben Känsliga personuppgifter (uppgift om ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening och uppgifter som rör hälsa och sexualliv) om det inte finns ett samtycke från den registrerade eller om denne själv på ett tydligt sätt offentliggjort uppgifterna, till exempel en politisk tjänsteman på en blogg Uppgifter som omfattas av sekretess eller tystnadsplikt Integritetskänslig information till exempel uppgifter om enskildes personliga förhållande eller sådant som har en nära koppling till den enskildes privata sfär Personnummer eller samordningsnummer Uppgift om lagöverträdelse Information till den registrerade om behandling av personuppgifter Den registrerade har alltid rätt till information om registreringen enligt personuppgiftslagen. Den som har lämnat informationen ska göra anteckning om att och på vilket sätt information har lämnats.

5 RIKTLINJE Sida 5(8) Information som lämnas enligt PuL ska omfatta: uppgift om den personuppgiftsansvariges identitet, dvs.nämnd, adress, telefonnummer m m, uppgift om ändamålen med behandlingen och all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Har informationen hämtats från annat håll än den registrerade själv ska information också lämnas om vilken typ av uppgifter behandlingen gäller, såsom namn, personnummer, inkomster m m. Information behöver dock inte lämnas om sådant som den registrerade redan känner till Diarium Om kommunens diarium publiceras på hemsidan ska information om personuppgiftsbehandlingen lämnas på webbplatsen, i anslutning till diariet. ansvarar för att information kring gällande bestämmelser publiceras i anslutning till diariet.

6 RIKTLINJE Sida 6(8) Protokoll Förtroendevalda Förtroendevalda i ska i samband med att de blivit valda få skriftlig information om kommunens rutiner kring personuppgiftsbehandling vid publicering av protokoll med mera på kommunens webbplats. ansvarar för att nya förtroendevalda får information om vilka rutiner som tillämpas vid publicering av protokoll med mera. Tjänstemän Tjänstemän ska vid nyanställningsintroduktion få skriftlig information om kommunens rutiner kring personuppgiftsbehandling vid publicering av protokoll med mera på kommunens webbplats. Närmast lönesättande chef ansvarar för att berörd personal får information om vilka rutiner som tillämpas vid publicering av protokoll med mera. Enskilda Personuppgifter i protokoll som rör enskilda individer ska i regel inte publiceras på kommunens webbplats. I det fall ett protokoll innehåller personuppgifter gällande enskild och det publiceras ska det meddelas den enskilde före publicering. Information om att personuppgifter i protokoll publiceras på kommunens webbplats ska ske i anslutning till den sida där protokollen publiceras. ansvarar för information om personuppgiftslagen rörande enskildas personuppgifter återfinns på kommunens webbplats. Medborgarförslag Medborgare som lämnar in ett medborgarförslag i framtagen mall, ger samtycke till publicering av personuppgifter genom att skriva under handlingen. Samtliga förslagsställare får även ett informationsbrev där det framgår att medborgarförslagen och förslagsställarens namn publiceras på kommunens hemsida. Riktlinjer för Riktlinjerna i detta dokument är direkt baserade på ovan nämnda bestämmelser i personuppgiftsförordningen, där det framgår vad kommunen får göra. Det innebär inte att allt som är tillåtet enligt förordningen alltid bör göras. Avvägningar Vägledande för i vilken utsträckning publicering av personuppgifter ska ske på vår webbplats är allmänhetens intresse tillgång till lättillgänglig information. Mot detta intresse ska den registrerades intresse av skydd mot kränkning av den personliga integriteten vägas. I det fall det uppstår en intressekonflikt mellan dessa två perspektiv ska hänsyn till den personliga integriteten vara vägledande för om en personuppgift ska publiceras eller inte på kommunens hemsida.

7 RIKTLINJE Sida 7(8) Huvudregel Som tidigare konstateras i detta dokument kan personuppgifter som enskilt betraktas som harmlösa vid en publicering på webben komma att anses som kränkande. Mot den bakgrunden är huvudregeln i att personuppgifter, såsom namn, personnummer, adress rörande enskilda individer ska maskeras eller helt tas bort i protokoll, kallelser och kungörelser inför en publicering på kommunens hemsida. Det gäller även för övriga dokument som läggs ut för publicering i den mån de innehåller personuppgifter. För att minska behov av maskning ska förvaltningarna så långt det är möjligt minimera direkt utpekande personuppgifter i protokoll, kallelser och kungörelser. Handlingar tillhörande föredragningslistor och bilagor till protokoll bör inte publiceras på hemsidan. Sekretess Paragrafer i protokoll som rör ett ärende som är sekretessbelagt maskas i sin helhet. Det sker enklast genom att hela ärendet tas bort bortsett från paragrafnummer och huvudrubrik. Under huvudrubriken i paragrafen hänvisas till tillämplig sekretessbestämmelse i offentlighets- och sekretesslagen. Se exempel nedan från överförmyndarnämnden: 21 Ansökan om samtycke till uttag från spärrat konto Sekretess enligt 32 kap 4 offentlighets- och sekretesslagen. Fastighetsbeteckning Fastighetsbeteckning är en indirekt personuppgift i personuppgiftslagens mening. Det vill säga den pekar inte direkt ut en person på samma sätt som en ansiktsbild, ett namn eller ett personnummer. Publicering av fastighetsbeteckningar kan vara förenligt med personuppgiftslagen. Det gäller till exempel vid GIS-tillämpningar som görs tillgängliga för allmänheten, exempelvis informationskartor på kommunens hemsida. En sådan tillämpning kan i princip innehålla indirekta personuppgifter, exempelvis fastighetsbeteckning eller adress, förutsatt att det finns ett sakligt motiverat behov av behandlingen och att den i övrigt är förenlig med bestämmelserna i personuppgiftslagen. Vad gäller att publicera fastighetsbeteckningar i protokoll ska publicering ske återhållsamt. Det gäller särskilt i ärenden där det kan antas att den enskildes personliga integritet kränks genom publiceringen. Till exempel vid avslagsbeslut och ingripande myndighetsbeslut som vitesförelägganden med mera. Det innebär att vi i inte publicerar fastighetsbeteckningar i protokoll om beslutet till exempel gäller avslag på ansökan eller ett ingripande

8 RIKTLINJE Sida 8(8) myndighetsbeslut. Vid gynnande beslut kan fastighetsbeteckningen sålunda stå kvar vid en publicering. Se exempel nedan: Avslag Beslut Miljönämnden beslutar att avslå ansökan om inrättande av enskild avloppsanläggning på fastigheten XXX. Bifall Beslut Miljönämnden beslutar att bifalla ansökan om inrättande av enskild avloppsanläggning på fastigheten Svampen 2 Personuppgifter där vi ska iaktta försiktighet Följande dokument/personuppgifter utgör exempel på handlingar som i regel inte bör publiceras utan den registrerades samtycke, även om de ingår i handlingar som avses i avsnittet Rätten att lägga ut protokoll m.m på Internet Scannade namnteckningar på avtal, överenskommelser m m MBL-protokoll samt förteckning över fackliga ombud Uppgifter rörande myndighetsutövning där privatpersoner eller enskilda näringsidkare är föremål för åtgärder Adressuppgifter och foton på enskilda personer, exempelvis elevregister och skolkataloger. Ytterligare informationon om PuL och Internet m.m. Läs mer om PuL och Internet på Datainspektionens hemsida, Kommunstyrelsens personuppgiftsombud står till förfogande vid eventuella frågor.