Grundkurs i personuppgiftslagen. Grundkurs för personuppgiftsombud

Transkript

1 Välkomna till Datainspektionen Grundkurs i personuppgiftslagen Grundkurs för personuppgiftsombud Ulrika Bergström, Jonas Agnvall, Agneta Runmarker och Ranja Bunni mars 2016 Grundkurs i personuppgiftslagen

2 Kursupplägget Idag (alla) Kort om Datainspektionen Genomgång av personuppgiftslagen (PuL) Översiktlig genomgång av den kommande EUförordningen Imorgon (bara personuppgiftsombud) Grupparbete Genomgång av personuppgiftsombudets arbetsuppgifter Diskussion Diskussion och summering Grundkurs i personuppgiftslagen

3 Datainspektionens verksamhet Ärendehandläggning Klagomål, förfrågningar, samråd Tillsynsverksamhet Upplysningstjänst Besvarar frågor per mail och telefon Utbildningsverksamhet Föreläsningar, kurser och konferenser Övrigt Personuppgiftsombud Regelgivning Remisser Internationellt arbete Grundkurs i personuppgiftslagen

4 Personuppgiftslagen Grundkurs i personuppgiftslagen

5 Personuppgiftslagen Ska skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter Innehåller två regelverk Hanteringsreglerna Missbruksregeln Grundkurs i personuppgiftslagen

6 Personuppgiftslagen är subsidiär Konkurrerande bestämmelser i annan lag eller förordning tar över personuppgiftslagen Registerförfattningar Grundkurs i personuppgiftslagen 2 PuL

7 Några viktiga definitioner Personuppgift All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet Grundkurs i personuppgiftslagen 3 PuL

8 Några viktiga definitioner Behandling Varje åtgärd som vidtas i fråga om personuppgifter Grundkurs i personuppgiftslagen 3 PuL

9 Några viktiga definitioner Personuppgiftsansvarig Den som bestämmer ändamålen med och medlen för behandlingen av personuppgifter Grundkurs i personuppgiftslagen 3 PuL

10 Några viktiga definitioner Personuppgiftsbiträde Den som behandlar personuppgifter för den personuppgiftsansvariges räkning Biträdesavtal Ansvaret vilar alltid på den personuppgiftsansvarige! Grundkurs i personuppgiftslagen 3 PuL

11 Några viktiga definitioner Personuppgiftsombud Den fysiska person som, efter förordnande av den personuppgiftsansvarige, självständigt ska se till att personuppgifter behandlas på ett korrekt och lagligt sätt Grundkurs i personuppgiftslagen 3 PuL

12 När gäller personuppgiftslagen? När den personuppgiftsansvarige är etablerad i Sverige, eller etablerad i tredje land men för behandlingen av personuppgifter använder sig av utrustning som finns i Sverige Grundkurs i personuppgiftslagen 4 PuL

13 När gäller personuppgiftslagen? Automatiserad behandling Manuell behandling i vissa fall Grundkurs i personuppgiftslagen 5 PuL

14 Grundkurs i personuppgiftslagen

15 Personuppgiftslagen Parallella regelverk Hanteringsreglerna Fokus på hanteringen Strukturerat material Påtaglig personuppgiftsanknuten struktur Typiskt sett register, ärendehanteringssystem, personalregister, kundhanteringssystem, etc. Missbruksregeln Fokus på missbruket Ostrukturerat material Inte påtaglig personuppgiftsanknuten struktur Typiskt sett vardaglig hantering av personuppgifter; löpande text, bild- och ljudupptagningar Grundkurs i personuppgiftslagen

16 Missbruksregeln utgångspunkt Tillåtet att behandla personuppgifter så länge det inte innebär en kränkning av den registrerades personliga integritet Grundkurs i personuppgiftslagen Missbruksregeln 5 a 2 st PuL

17 Missbruksregeln kränkningsbedömning Kränkningsbedömning Ingen schablonmässig bedömning Bland annat följande ska beaktas * : vilken typ av personuppgifter sammanhang syfte spridning konsekvenser * Hanteringsreglerna kan vägleda, fungera som ledstång (prop. 2005/06:173, s. 27) Grundkurs i personuppgiftslagen Missbruksregeln 5 a 2 st PuL

18 Missbruksregeln kränkande? Vad kan anses som kränkande? Förfölja och skandalisera Sprida uppgifter om meningsmotsättningar Samla stora mängder uppgifter om en person utan godtagbart ändamål Medvetet behandla felaktiga eller missvisande uppgifter Grundkurs i personuppgiftslagen Missbruksregeln 5 a 2 st PuL

19 Missbruksregeln kränkande? Forts. Vad kan anses som kränkande? Förtal och förolämpning Spridning av personuppgifter som innebär att man bryter mot tystnadsplikt Kringgå personuppgiftslagens hanteringsregler Grundkurs i personuppgiftslagen Missbruksregeln 5 a 2 st PuL

20 Grundkurs i personuppgiftslagen

21 Grundläggande krav 1. Behandlingen Laglig Korrekt och i enlighet med god sed Grundkurs i personuppgiftslagen Hanteringsreglerna 9 PuL

22 Grundläggande krav 2. Ändamålen Särskilda, uttryckligt angivna och berättigade Ej behandla för oförenliga ändamål Grundkurs i personuppgiftslagen Hanteringsreglerna 9 PuL

23 Grundläggande krav 3. Uppgifterna Adekvata, relevanta, riktiga och aktuella Inte fler än nödvändigt Får ej bevaras längre än nödvändigt Grundkurs i personuppgiftslagen Hanteringsreglerna 9 PuL

24 Missbruksregeln grundläggande krav Hanteringsreglerna 1. Laglig och korrekt behandling 2. Särskilda och berättigade ändamål 3. Riktiga, aktuella och inte fler uppgifter än nödvändigt Missbruksregeln Vägledning: Om en behandling uppfyller de grundläggande kraven i 9 PuL kan den inte anses kränkande enligt missbruksregeln Kom ihåg: Hanteringsreglerna kan vägleda, fungera som ledstång Grundkurs i personuppgiftslagen

25 Grundkurs i personuppgiftslagen

26 Tillåten behandling 1. Samtycke Vad är ett samtycke enligt personuppgiftslagen? Frivilligt Särskilt Otvetydigt Individuellt Informerat Skriftligt, muntligt eller konkludent handlade Kan återkallas Grundkurs i personuppgiftslagen Hanteringsreglerna 10 PuL

27 Tillåten behandling 2. Om behandlingen är nödvändig på grund av: Avtal med den registrerade Rättslig skyldighet Skydda vitala intressen för den registrerade Arbetsuppgift av allmänt intresse Myndighetsutövning Berättigat intresse efter en intresseavvägning Grundkurs i personuppgiftslagen Hanteringsreglerna 10 PuL

28 Missbruksregeln tillåten behandling Hanteringsreglerna 1. samtycke, eller 2. om behandlingen är nödvändig för någon av punkterna a-f Missbruksregeln Vägledning: Om en behandling är tillåten enligt 10 PuL kan den inte anses kränkande enligt missbruksregeln. Kom ihåg: Hanteringsreglerna kan vägleda, fungera som ledstång Grundkurs i personuppgiftslagen

29 Grundkurs i personuppgiftslagen

30 Känsliga personuppgifter Ras eller etniskt ursprung Politiska åsikter Religiös eller filosofisk övertygelse Medlemskap i fackförening Hälsa och sexualliv Som huvudregel är det förbjudet att behandla känsliga personuppgifter, men Grundkurs i personuppgiftslagen Hanteringsreglerna 13 PuL

31 undantag finns i hanteringsreglerna Uttryckligt samtycke Eget offentliggörande Nödvändig behandling Ideella organisationer Hälso- och sjukvård Forskning Statistik Grundkurs i personuppgiftslagen Hanteringsreglerna PuL

32 Uppgift om lagöverträdelse Huvudregel, 21 Förbud för andra än myndigheter att behandla personuppgifter om lagöverträdelse Undantag, DIFS 1998:3 Socialtjänsten Friskolor Advokatverks. Whistleblowing Rättsligt anspråk Anmälningsskyldighet Undantag efter DI:s beslut Exempel: Bankväsendet Djurgårdens elitfotboll M.fl. Grundkurs i personuppgiftslagen Hanteringsreglerna 21 PuL

33 Missbruksregeln känsliga personuppgifter Hanteringsreglerna Känsliga personuppgifter: 1. Samtycke, eller 2. Om undantagssituation finns Lagöverträdelser Myndighet OK! Annars undantag Missbruksregeln Typen av uppgifter spelar in i kränkningsbedömningen, känsligheten hos uppgifterna ska beaktas. Alltså: Känsliga personuppgifter och uppgifter om lagöverträdelser särskild uppmärksamhet vid kränkningsbedömningen Grundkurs i personuppgiftslagen

34 Grundkurs i personuppgiftslagen

35 Personnummer 1. Samtycke 2. Klart motiverat med hänsyn till ändamålet med behandlingen vikten av en säker identifiering något annat beaktansvärt skäl Grundkurs i personuppgiftslagen Hanteringsreglerna 22 PuL

36 Grundkurs i personuppgiftslagen

37 Överföring till tredje land Huvudregel Förbud mot överföring till tredje land (ett land utanför EU/EES-området) Grundkurs i personuppgiftslagen Hanteringsreglerna 33 PuL

38 Överföring till tredje land Möjligheter att överföra till tredje land Adekvat skyddsnivå (33 2 st. PuL, Kommissionens beslut: 35 1 st. PuL, 13 PUF bilaga 1,) Samtycke från den registrerade (34 PuL) Särskilda situationer: avtal, rättsligt anspråk, vitala intressen (34 PuL) Grundkurs i personuppgiftslagen Hanteringsreglerna

39 Överföring till tredje land Möjligheter att överföra till tredje land Standardavtalsklausuler (35 1 st PUL, 13 PUF och bilaga 2) BCR Binding Corporate Rules (35 3 st PUL, 14 PUF) Särskilda beslut från Datainspektionen Grundkurs i personuppgiftslagen Hanteringsreglerna

40 Grundkurs i personuppgiftslagen

41 Information till registrerade Information ska lämnas självmant, både när uppgifter samlas in från: den registrerade 23, eller från annat håll 24 Undantag 24 : lagstadgad reglering omöjligt eller oproportionerligt stor arbetsinsats Grundkurs i personuppgiftslagen Hanteringsreglerna PuL

42 Information till registrerade Informationens innehåll Personuppgiftsansvariges identitet Ändamålen Övrig info för att den registrerade ska kunna ta till vara sina rättigheter, ex: mottagare av uppgifterna rätt att ansöka om info rätt till rättelse Undantag: Information om det den registrerade redan känner till Grundkurs i personuppgiftslagen Hanteringsreglerna 25 PuL

43 Information till registrerade Registerutdrag Gratis en gång per år Skriftlig ansökan Information skall lämnas om: Vilka uppgifter som behandlas Varifrån uppgifterna har hämtats Ändamålen med behandlingen Mottagare av uppgifterna Grundkurs i personuppgiftslagen Hanteringsreglerna 26 PuL

44 Information till registrerade När kan man nekas information? Sekretess eller tystnadsplikt särskilt föreskrivet i lag eller annan författning Registerförfattning Offentlighets- och sekretesslagen Grundkurs i personuppgiftslagen Hanteringsreglerna 27 PuL

45 Rättelse På eget initiativ eller på begäran av den registrerade ska personuppgiftsansvarig snarast rätta, blockera eller utplåna uppgifter som inte behandlats i enlighet med personuppgiftslagen Grundkurs i personuppgiftslagen Hanteringsreglerna 9 och 28 PuL

46 Missbruksregeln information till registrerade Hanteringsreglerna 1. Informationsskyldighet 2. Rätt till registerutdrag 3. Rätt till rättelse Missbruksregeln Vägledning: I kränkningsbedömningen beaktas om den registrerade informerats om behandlingen. Den registrerade saknar rätt till registerutdrag och rättelse. Grundkurs i personuppgiftslagen

47 Grundkurs i personuppgiftslagen

48 Säkerhet enligt personuppgiftslagen Personuppgiftsbiträde 30 Krav på säkerhetsåtgärder 31 Vidta lämpliga tekniska och organisatoriska åtgärder Konkretiseras i Allmänna råd Befogenhet att besluta om säkerhetsåtgärder 32 Grundkurs i personuppgiftslagen PuL

49 Säkerhet enligt personuppgiftslagen Den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifterna Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med hänsyn till: Teknik Kostnad Risker Uppgifternas känslighet Grundkurs i personuppgiftslagen PuL

50 Sammanfattning Hanteringsreglerna Missbruksregeln Grundkurs i personuppgiftslagen

51 När gäller inte personuppgiftslagen? Några undantag Vid privat behandling av personuppgifter t ex elektronisk dagbok eller registrering av grannar I den utsträckning det skulle strida mot bestämmelserna i Tryckfrihetsförordningen (TF) eller Yttrandefrihetsgrundlagen (YGL) Om behandlingen uppfyller kraven för journalistiska ändamål eller konstnärligt eller litterärt skapande Grundkurs i personuppgiftslagen 6 7 PuL

52 När gäller inte personuppgiftslagen? Vid utlämnande av allmänna handlingar enligt offentlighetsprincipen Det enda som kan hindra ett utlämnande är bestämmelser i offentlighets- och sekretesslagen (OSL) I OSL finns en bestämmelse som hänvisar till personuppgiftslagen Mottagarens behandling efter utlämnandet Efterforska syftet med mottagarens begäran? Grundkurs i personuppgiftslagen 8 PuL och 21 kap 7 OSL

53 Grundkurs i personuppgiftslagen Frågor?

54 Hur får jag tag i mer information? Webbplatsen: E-post: datainspektionen@datainspektionen.se Telefonnummer: Faktabroschyrer, vägledningar och informationsblad Tidningen Integritet i Fokus Grundkurs i personuppgiftslagen