Personuppgiftslagen 20 april 2010

Transkript

1 Personuppgiftslagen 20 april 2010 Kristina Blomberg ,

2 Historia FoB-arna startade diskussionen på 1960-talet Datalagen (och Datainspektionen) kom 1973 EU-anpassning: PUL 1998 Speciallagstiftningar 2

3 Personuppgiftslagen (PuL)

4 Målsättning med personuppgiftslagen (PuL) Vid all behandling av personuppgifter är det viktigt att finna den rätta balansen mellan den enskildes behov av integritet och samhällets krav på rationell databehandling. 4

5 PuL är subsidiär (2 ) Bestämmelser i annan lag eller förordning gäller i stället för PuL (t.ex. arkivlagen) 5

6 Vissa undantag i PuL Undantag från hela lagen behandling för privata ändamål tryckfrihetsförordningen (TF) yttrandefrihetsgrundlagen (YGL) Undantag från allt i lagen utom från säkerhetsbestämmelserna journalistiskt ändamål konstnärligt eller litterärt skapande behandling i ostrukturerat material (som inte ingår i någon strukturerad databas) får inte kränka den registrerade 6

7 Vad är ostrukturerat material? Personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter. 7

8 T.ex. Löpande text i ordbehandlingsprogram Löpande text på Internet Ljud- och bildupptagningar Sökmotorer på Internet Namngivning av mappar i datorns filsystem Användning av datorstödd kommunikation (ej loggarna) Enkel personuppgiftsanknuten strukturering (personuppgifter som skrivits i en viss ordning) 8

9 Vad kan vara en kränkning? Att samla (eller registrera) personuppgifter för att förfölja eller skandalisera en person. Att sprida uppgifter om meningsmotståndare för att möjliggöra angrepp på dessa på grund av t.ex. deras politiska uppfattning, sexuella läggning eller etniska ursprung. Att samla en stor mängd uppgifter om en person utan något godtagbart skäl. Att medvetet behandla uppgifter som är klart felaktiga eller missvisande. Att sprida uppgifter som innebär förtal eller förolämpning. Att kringgå hanteringsreglerna för att på så sätt få behandla uppgifter som man annars inte fått behandla. Att sprida personuppgifter som innebär att man bryter mot författningsregler och andra regler som föreskriver tystnadsplikt 9

10 Kameraövervakning Plats dit allmänheten har tillträde Lagen om allmän kameraövervakning Länsstyrelsen lämnar tillstånd Plats dit allmänheten inte har tillträde (t.ex. skolor och arbetsplatser) Personuppgiftslagen Datainspektionen är tillsynsmyndighet 10

11 Kränkande med kameraövervakning? Intresseavvägning: Kränkning (vem, var, när) behov (vad, var, när) Finns alternativ Information Gallring Åtkomst (vem, när) 11

12 Integritetstrappan Information Överföring till 3:e land 33 Personnummer 22 Känsliga uppgifter Tillåten behandling 10 Definitioner o grundl. krav 3-9

13 Personuppgiftsansvarig (3 ) Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen. (det är organisationen som avses inte chefen!!!) 13

14 Personuppgifter (3 ) All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. 14

15 Behandling av personuppgifter (3 ) Varje åtgärd, t.ex: insamling registrering organisering lagring bearbetning ändring återvinning inhämtande användande utlämnande spridning sammanställning samkörning blockering utplåning förstöring 15

16 Grundläggande krav (9 ) Behandlingen laglig korrekt och i enlighet med god sed Ändamålen särskilda, uttryckligt angivna och berättigade ej behandla för ändamål som är oförenligt med ursprungliga ändamålet Uppgifterna adekvata, relevanta, riktiga och aktuella inte fler än nödvändigt 16 får ej bevaras längre än nödvändigt

17 Integritetstrappan Information Överföring till 3:e land 33 Personnummer 22 Känsliga uppgifter Tillåten behandling

18 Tillåten behandling (10 ) Samtycke eller nödvändigt för a) avtal b) rättslig skyldighet c) skydda vitala intressen för den registrerade d) arbetsuppgift av allmänt intresse e) myndighetsutövning eller efter en f) intresseavvägning 18

19 Samtycke (3 ) Viljeyttring som ska vara frivillig särskild otvetydig Tillräcklig information krävs Skriftligt, muntligt eller i form av konkludent handlande spelar ingen roll 19

20 Internetpublicering Exempel på sådant som normalt är tillåtet utan samtycke arbetsplatsrelaterade uppgifter om anställda på arbetsgivares webbplats uppgifter om kontaktperson på webbplats med samhällsinformation 20

21 Internetpublicering Exempel på sådant som normalt inte är tillåtet utan samtycke anställdas privata uppgifter (hemadress) på arbetsgivarens webbplats fotografier där man kan identifiera enskilda personer 21

22 Integritetstrappan Information Personnummer Överföring till 3:e land Intern et Känsliga uppgifter

23 Känsliga uppgifter (13 ) Uppgifter som avslöjar ras eller etniskt ursprung politiska åsikter samt religiösa eller filosofiska övertygelser medlemskap i fackförening Uppgifter som rör hälsa och sexualliv 23

24 Förbud mot behandling av känsliga uppgifter (13 ) Undantag (15 19 ) Uttryckligt samtycke Eget offentliggörande Nödvändigt för arbetsrätten skydda vitala intressen fastställa, göra gällande eller försvara rättsliga anspråk Ideella organisationer (politiskt, religiöst, filosofiskt eller fackligt syfte) Hälso- och sjukvård Forskning (om godkänt av etikprövningsnämnd) Statistik (om samhällsintr. klart väger över risk för integritetsintrång) Myndighet i löpande text (om uppgifterna lämnats i ett ärende eller är nödvändiga för handläggningen) 24

25 Uppgifter om lagöverträdelser (21 ) Förbjudet för andra än myndigheter Undantag i DIFS 1998:3, bl.a. om behandlingen är nödvändig för att fullgöra en föreskrift på socialtjänstområdet, friskolors elevvårdande verksamhet advokatverksamhet enstaka uppgifter för: fastställande av rättsliga anspråk anmälningsskyldighet enligt lag 25

26 Integritetstrappan Information Överföring till 3:e land 33 Personnummer

27 Personnummer (22 ) Samtycke, eller klart motiverat med hänsyn till ändamålet med behandlingen vikten av en säker identifiering något annat beaktansvärt skäl 27

28 Integritetstrappan Information Överföring till 3:e land

29 Internetpublicering är inte att jämställa med överföring till tredje land EG-domstolens dom den 6 november 2003 i mål nr C-101/01 (konfirmandlärardomen) Högsta domstolens dom den 26 maj 2005 i mål nr B (Lundsbergsdomen) 29

30 Överföring av personuppgifter till tredje land (33-34 ) Förbud mot överföring till tredje land (= land utanför EU och EES) som ej har adekvat skyddsnivå Undantag: samtycke eller nödvändigt för avtal fastställa, göra gällande eller försvara rättsliga anspråk skydda vitala intressen för den registrerade 30

31 Undantag från förbudet mot överföring till tredje land 12 personuppgiftsförordningen (PuF) (gäller kommuner, landsting, kommunalförbund) Diarier och justerade protokoll får överföras till tredje land (publiceras på Internet) Personnummer måste tas bort Övriga personuppgifter som direkt pekar ut den registrerade måste tas bort om det inte rör förtroendevalda saknas risk för integritetsintrång 31

32 Integritetstrappan Information

33 Information ska lämnas självmant till de registrerade (23-24 ) När uppgifter samlas in direkt från den registrerade När uppgifter samlas in från annat håll än från den registrerade Undantag: lagstadgad registrering omöjligt eller oproportionerligt stor arbetsinsats Information behöver inte alls lämnas om det som den registrerade redan känner till. 33

34 Den information som skall lämnas självmant (25 ) Vem som är personuppgiftsansvarig Vilka ändamål man behandlar uppgifterna för Övrigt för att den registrerade ska kunna ta tillvara sina rättigheter t.ex. mottagare av uppgifter rätt att ansöka om info rätt till rättelse 34

35 Information efter ansökan (26 ) Registerutdrag Gratis en gång per kalenderår Information skall lämnas om: vilka uppgifter som behandlas varifrån uppgifterna kommer ändamålen med behandlingen mottagare av uppgifterna Den registrerade skall ansöka skriftligt hos den personuppgiftsansvarige. 35

36 Integritetstrappan

37 Behandlingar (ändamålen registren) skall anmälas till DI (36 ) Undantag bl.a. om personuppgiftsombud är utsett och anmält enligt personuppgiftsförordningen enligt DI:s föreskrifter För detaljerad information om anmälningsplikten se DI:s informationsblad Anmälan och förhandskontroll 37

38 Sanktioner (44-49 ) Förbud Vite Skadestånd Straff (böter eller fängelse upp till 2 år) Uppsåtligen eller av grov oaktsamhet lämnar osann uppgift till registrerad eller DI behandlar känsliga uppgifter i strid mot lagen kränker någon genom att behandla känsliga uppgifter eller uppgifter om lagöverträdelser i ett ostrukturerat material lämnar ut personuppgifter till tredje land i strid mot lagen underlåter att anmäla behandling till DI I ringa fall inget straff 38

39 Vad säger PuL om IT-säkerheten?

40 Säkerhetsåtgärder (31 ) Lämpliga tekniska och organisatoriska åtgärder ska vidtas. Beakta: tekniska möjligheter kostnad risker känslighet hos uppgifterna 40

41 Beslut om säkerhetsåtgärder (32 ) DI kan fatta beslut i enskilda fall Besluten kan förenas med vite DI har givit ut Säkerhet för personuppgifter 41

42 Dataintrång (4 kap. 9 c BrB) Bara den som behöver uppgifterna för sitt arbete får ha tillgång till dem Att olovligen bereda sig tillgång till en uppgift som är avsedd för automatiserad behandling är dataintrång Böter eller fängelse i högst två år 42

43 DI:s inspektionsverksamhet Planerad föranmäld Brandkårsutryckning ej föranmäld 43

44 Kristina Blomberg