Grundkurs i dataskyddslagstiftningen Grundkurs för personuppgiftsombud den 20-21 september 2016 Eva Maria Broberg, Lisa Johansson, Jonas Agnvall och Martin Brinnen
Disposition Idag Introduktion Kort om Datainspektionen Rätten till privatliv Genomgång av personuppgiftslagen Genomgång av Dataskyddsförordningen Diskussion och summering Imorgon (bara personuppgiftsombud) Grupparbete Genomgång av personuppgiftsombudets arbetsuppgifter Diskussion
Datainspektionens verksamhet Ärendehandläggning Klagomål, förfrågningar, samråd Tillsynsverksamhet Upplysningstjänst Besvarar frågor per mejl och telefon Utbildningsverksamhet Föreläsningar, kurser och konferenser Övrigt Personuppgiftsombud Regelgivning Remisser Internationellt arbete
Rätten till privatliv
Rätten till privatliv Europakonventionen om de mänskliga rättigheterna EU:s rättighetsstadga Regeringsformen Personuppgiftslagen/ kompl. regler Dataskyddsdirektivet/ Dataskyddsförordningen Annan lagstiftning
Artikel 8 Skydd av personuppgifter 1. Var och en har rätt till skydd av de personuppgifter som rör honom eller henne. 2. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. 3. En oberoende myndighet ska kontrollera att dessa regler efterlevs. EU:s rättighetsstadga
Personuppgiftslagen
Personuppgiftslagen Ska skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter Innehåller två regelverk Hanteringsreglerna Missbruksregeln
Personuppgiftslagen är subsidiär Konkurrerande bestämmelser i annan lag eller förordning tar över personuppgiftslagen
Viktiga definitioner
Några viktiga definitioner Personuppgift enligt personuppgiftslagen: All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet 3 personuppgiftslagen
Några viktiga definitioner Personuppgift enligt dataskyddsförordningen: Varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet Artikel 4
Några viktiga definitioner Behandling enligt personuppgiftslagen: Varje åtgärd som vidtas i fråga om personuppgifter 3 personuppgiftslagen
Några viktiga definitioner Personuppgiftsansvarig enligt personuppgiftslagen: Den som bestämmer ändamålen och medlen för behandling av personuppgifter 3 personuppgiftslagen
Några viktiga definitioner Personuppgiftsbiträde enligt personuppgiftslagen: Den som behandlar personuppgifter för den personuppgiftsansvariges räkning 3 personuppgiftslagen
Några viktiga definitioner Personuppgiftsombud enligt personuppgiftslagen: Den fysiska person som, efter förordnande av den personuppgiftsansvarige, självständigt ska se till att personuppgifter behandlas på ett korrekt och lagligt sätt 3 personuppgiftslagen
När gäller personuppgiftslagen?
När gäller personuppgiftslagen? Automatiserad behandling av personuppgifter Denna lag gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad Manuell behandling i vissa fall 5 personuppgiftslagen
När gäller personuppgiftslagen? När den personuppgiftsansvarige är etablerad i Sverige etablerad i tredje land men för behandlingen av personuppgifter använder sig av utrustning som finns i Sverige 4 personuppgiftslagen
När gäller dataskyddsförordningen? Personuppgiftsansvariga och personuppgiftsbiträden som är etablerade i EU Personuppgiftsansvariga och personuppgiftsbiträden som är etablerade utanför EU och erbjuder varor och tjänster i EU eller övervakar registrerades beteende i EU Artikel 3, skäl 23 och 24
När gäller inte personuppgiftslagen? Några undantag: Vid privat behandling t.ex. elektronisk dagbok eller registrering av grannar Uppgifter om avlidna Tryck- och yttrandefrihet Om behandlingen uppfyller kraven för journalistiska ändamål eller konstnärligt eller litterärt skapande. Vid utlämnande av allmänna handlingar enligt offentlighetsprincipen 6-8 personuppgiftslagen
När gäller inte dataskyddsförordningen? Undantag för privatpersoners behandling Uppgifter om avlidna Nationell säkerhet och gemensam utrikes- och säkerhetspolitik Brottsbekämpande myndigheter ( polisdirektivet ) Tryck- och yttrandefrihet Tillgången till allmänna handlingar - offentlighetsprincipen Artikel 2, skäl 16-21+27, Artikel 85, skäl 153, Artikel 86, skäl 154
Grundläggande krav
Grundläggande krav Behandlingen laglig, korrekt och i enlighet med god sed Ändamålen Särskild, uttryckligt angivna och berättigade Ej behandla för oförenliga ändamål Uppgifterna Adekvata, relevanta, riktiga och aktuella Inte fler än nödvändigt Får ej bevaras längre än nödvändigt 9 personuppgiftslagen
Tillåten behandling
Tillåten behandling Samtycke Varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandlingen av personuppgifter som rör honom eller henne 3 och10 personuppgiftslagen
Tillåten behandling (forts) Nödvändigt för Avtal med den registrerade Rättslig skyldighet Skydda vitala intressen för den registrerade Arbetsuppgift av allmänt intresse Myndighetsutövning Berättigat intresse intresseavvägningen 10 personuppgiftslagen
Känsliga personuppgifter Ras eller etniskt ursprung Politiska åsikter Religiös eller filosofisk övertygelse Medlemskap i fackförening Hälsa- och sexualliv Dataskyddsförordningen omfattar även genetiska och biometriska uppgifter 13 personuppgiftslagen, artikel 9
Undantag känsliga personuppgifter Uttryckligt samtycke Eget offentlighetsgörande Nödvändig behandling Ideella organisationer Hälso- och sjukvård Forskning och statistik 14-19 personuppgiftslagen
Uppgifter om lagöverträdelser Uppgifter om lagöverträdelser Förbud för andra än myndigheter som huvudregel Undantag Föreskrifter Beslut från Datainspektionen 21 personuppgiftslagen, artikel 10
Personnummer Personnummer Samtycke Klart motiverat med hänsyn till Ändamål Vikten av säker identifiering Något annat beaktansvärt skäl 22 personuppgiftslagen
När får ni föra över personuppgifter till tredje land?
När får ni föra över personuppgifter till tredje land? Förbud mot överföring till tredje land Tillåtet om Land med adekvat skyddsnivå Standardavtalsklausuler BCR - binding corporate rules (koncerner) Särskilda beslut från Datainspektionen Utan krav på skyddsnivå Samtycke från registrerad Särskilda situationer 33-35 personuppgiftslagen
Information till registrerade
Information till registrerade Information ska lämnas självmant, både när uppgifter samlas in från: den registrerade, eller från annat håll Undantag lagstadgad reglering omöjligt eller oproportionerligt stor arbetsinsats sekretess eller tystnadsplikt i lag eller annan författning 23-27 personuppgiftslagen
Information till registrerade Informationens innehåll Personuppgiftsansvariges identitet Ändamålen Övrig info för att den registrerade ska kunna ta till vara sina rättigheter, t.ex. mottagare av uppgifterna rätt att ansöka om information rätt till rättelse Undantag: Information om det den registrerade redan känner till 25 personuppgiftslagen
Information till registrerade Registerutdrag Gratis en gång per år Skriftlig ansökan Information ska lämnas om vilka uppgifter som behandlas varifrån uppgifterna har hämtats ändamålen med behandlingen mottagare av uppgifterna Dataskyddsförordningen - utökad informationsplikt 26 personuppgiftslagen
Rättelse På eget initiativ eller på begäran av den registrerade ska personuppgiftsansvarig snarast rätta, blockera eller utplåna uppgifter som inte behandlats i enlighet med personuppgiftslagen 9 och 28 personuppgiftslagen
Säkerhet enligt personuppgiftslagen Den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifterna Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med hänsyn till teknik kostnad risker uppgifternas känslighet 30-32 personuppgiftslagen
Sammanfattning personuppgiftslagen
Dataskyddsförordningen
Varför nya regler?
Varför nya regler? Modernisering nu gällande regler bygger på ett direktiv från 1995 Förstärkning av enskildas rättigheter och tydliggörande av skyldigheter för den som behandlar personuppgifter Harmonisering samma rättigheter och skyldigheter i hela EU/EES
Vilka är de största nyheterna? En förordning gäller som svensk lag Harmonisering innebär enhetligare tillämpning Missbruksregeln i 5 a försvinner Stärkt ställning för den registrerade Samtycke, information m.m. Ökat ansvar för ansvariga och biträden Riskbaserad skyldigheter och ansvar Skyldighet att anmäla dataskyddsincidenter Sanktionsavgifter
Vad är (i princip) oförändrat? Strukturen Tillämpningsområdet Grundläggande krav Rättslig grund Känsliga personuppgifter Överföring till tredje land
Grundläggande principer
Navet grundläggande principer Laglighet, korrekthet och öppenhet Ändamålsbegränsning Uppgiftsminimering Korrekthet Lagringsminimering Integritet och konfidentialitet Ansvarsskyldighet Art. 5, skäl 39, art. 6.4, skäl 50
Vad är nytt? Öppenhetsprincipen Integritet och konfidentialitet Ansvarsskyldighet
Hur kan vi visa att vi följer förordningen? Certifiering och uppförandekoder Anta interna strategier för dataskydd Dokumentation Konsekvensbedömning Öppenhetsprincipen
När får ni behandla personuppgifter?
När får ni behandla personuppgifter? Samtycke Behandling är nödvändig för avtal rättslig förpliktelse grundläggande intressen arbetsuppgift av allmänt intresse och myndighetsutövning intresseavvägning (ej för myndigheter)
Samtycke Samtyckesframställan ska presenteras på ett klart och tydligt sätt och ni ska kunna visa att den registrerade har samtyckt Den registrerade ska informeras om rätten att återkalla ett samtycke Mycket begränsat för myndigheter att använda Om villkoret för att få tillgång till en vara och tjänst är ett samtycke till onödig behandling (utöver) kan det innebära att samtycket inte kan anses frivilligt Samtycke av barn under 16 år (13 år) kräver godkännande av vårdnadshavare för informationssamhällets tjänster Artikel 6-8, skäl 42-43
När får ni behandla personuppgifter? Samtycke Behandling är nödvändig för avtal rättslig förpliktelse grundläggande intressen arbetsuppgift av allmänt intresse myndighetsutövning intresseavvägning (ej för myndigheter) Artikel 6, skäl 44-50
När får ni behandla känsliga personuppgifter? Principiellt förbud att behandla vissa kategorier av uppgifter två nya kategorier Inga sakliga förändringar avseende: samtycke, vitala intressen, eget offentliggörande, rättsliga anspråk Vissa förändringar och nyheter avseende: arbetsrätten, ideella organisationer, domstolars dömande verksamhet, allmänt intresse, hälsooch sjukvård, folkhälsan uppgifter om lagöverträdelser? Artikel 9, skäl 10 och 51
När får ni föra över personuppgifter till tredje land?
När får ni föra över personuppgifter till tredje land? En överföring kräver stöd i dataskyddsförordningen! Gäller även för personuppgiftsbiträdet. Beslut av Kommissionen om att landet har en adekvat skyddsnivå Lämpliga skyddsåtgärder har vidtagits Särskilda undantag t.ex. samtycke, fullgöra ett avtal, allmänintresset, rättsliga anspråk, skydda grundläggande intressen Artikel 45, skäl 103-107, Artikel 46, skäl 108-109, Artikel 47, skäl 110, Artikel 49, skäl 111
Registrerades rättigheter
Registrerades rättigheter Information och registerutdrag Rättelse och radering Begränsning av behandling Dataportabilitet Invändning mot behandling Motsätta sig automatiserad behandling Artiklarna 12-23
Information och registerutdrag Information är en väsentlig del av skyddet Den personuppgiftsansvarige har en skyldighet att ge klar och tydlig information underlätta utövande av rättigheterna Tidsfrister och kostnadsfritt Informationsskyldigheten är mer omfattande än tidigare Artikel 12, skäl 60
Skyldighet att lämna information När personuppgifter samlas in från den registrerade (art. 13) När personuppgifter samlas in från annan (art. 14) Den registrerades rätt till tillgång (registerutdrag) (art. 15) PUA:s register över behandling (art. 30.1) Personuppgiftsansvarige Ja Ja Nej Ja Dataskyddsombudet Ja Ja Nej Ja Ändamålen Ja Ja Ja Ja Rättslig grund Ja Ja Nej Nej Kategorier av personuppgifter Nej Ja Ja Ja Intresse vid intresseavvägning Ja Ja Nej Nej Mottagarna Ja Ja Ja Ja Tredjelandsöverföring m.m. Ja Ja Ja Ja Lagringstid Ja Ja Ja Ja De registrerades rättigheter Ja Ja Ja Nej Rätten att dra tillbaka ett samtycke Ja Ja Nej Nej Rätten att lämna klagomål till DPA Ja Ja Ja Nej Uppgiftsskyldighet enligt avtal eller lag Ja Nej Nej Nej Automatiserat beslutsfattande Ja Ja Ja Nej Källa varifrån uppgifterna har hämtats Nej Ja Ja Nej Säkerhetsåtgärder Nej Nej Nej Ja OBS. Tabellen är förenklad och ej fullständig. Ytterligare skyldigheter att informera finns i andra bestämmelser. Artikel 13-15 och 30.1, skäl 60-64
Rättelse Rätta felaktiga uppgifter Komplettera ofullständiga uppgifter Informera mottagare om rättelsen Artikel 16 och 19, skäl 65
Radering rätten att bli glömd Radera personuppgifter om den registrerade Informera, i vissa fall, andra personuppgiftsansvariga och mottagare Förutsättningar, bl.a. om uppgifter inte längre behövs för ändamålen återkallat samtycke Undantag, bl.a. Nödvändig för yttrande- och informationsfriheten Nödvändig för rättslig förpliktelse, allmänt intresse och myndighetsutövning, rättsliga anspråk Artikel 17 och 19, skäl 65-66
Begränsning av behandling Uppgifterna får endast användas i vissa särskilt angivna fall, bl.a. den registrerades samtycke På begäran av den registrerade vid begäran om rättelse eller invändning, som alternativ till radering, om den registrerade behöver uppgifterna för rättsliga anspråk Den registrerade ska underrättas när begränsningen upphör Artikel 18, skäl 66
Invända mot behandling Den registrerade har rätt att invända mot (motsätta sig) behandling av sina personuppgifter som grundas på allmänt intresse, myndighetsutövning eller intresseavvägning Den personuppgiftsansvarige måste göra en ny prövning (intresseavvägning) utifrån den registrerades situation och eventuellt upphöra med behandling Vid direkt marknadsföring måste behandling upphöra Särskilt om forskning och statistik och bevakning av rättsliga anspråk, allmänt intresse m.m. Artikel 21, skäl 69-70
Automatiserade beslut - profilering Automatiserad beslut inte tillåtna om beslut grundas enbart på automatiserad behandling (inkl. profilering) får rättslig följder eller liknande effekt Automatiserad beslut tillåtna i vissa fall och under vissa förutsättningar Avtal Lagstiftning Samtycke Artikel 22, skäl 71-72
Dataportabilitet Rätt att få ut och överföra egna personuppgifter till annan personuppgiftsansvarig i ett strukturerat, allmänt använt och maskinläsbart format, om uppgifter har tillhandahållits av den registrerade, behandling sker med stöd av samtycke eller avtal, behandling sker automatiserat inte påverkar andra rättigheter och friheter Artikel 20, skäl 68
Skyldigheter för den som behandlar personuppgifter
Skyldigheter för personuppgiftsansvariga Ansvarsskyldighet Den personuppgiftsansvarige ska vidta åtgärder för att säkerställa att förordningen följs, och för att kunna visa att förordningen följs Artikel 24, 25, 28, 30 och 32-35
Skyldigheter för personuppgiftsansvariga, forts. Inbyggt dataskydd och dataskydd som standard Krav på biträdesavtalet Register över behandlingar Säkerhet Anmälan av personuppgiftsincidenter Konsekvensbedömningar och förhandssamråd Utse dataskyddsombud
Skyldigheter för personuppgiftsbiträden Lämna garantier för att förordningen följs Krav på biträdesavtalet Bistå den personuppgiftsansvarige Register över behandling Eget ansvar för säkerhet Anmälan av personuppgiftsincidenter till den personuppgiftsansvarige Utse dataskyddsombud Artikel 28, 30, 32 och 33
Vad händer om ni bryter mot reglerna?
Vad händer om ni bryter mot reglerna? Datainspektionen Tillsyn och föreläggande Administrativa sanktionsavgifter Den registrerade Klagomål Skadestånd Artikel 77, 78, 82, 83, 84
Gränsöverskridande behandling av personuppgifter inom EU
Gränsöverskridande behandling inom EU Gränsöverskridande behandling och lokala fall one-stop-shop Samarbete mellan dataskyddsmyndigheterna Europeiska dataskyddsstyrelsen (EDPB) Artikel 55 och 56
Vad händer 2018? Dataskyddsförordningen ersätter dataskyddsdirektivet från 1995 och personuppgiftslagen upphör att gälla All svensk lagstiftning inom förordningens tillämpningsområde måste ses över (påbörjat) Europeiska dataskyddsstyrelsen ersätter den s.k. 29-gruppen Datainspektionen får nya arbetsuppgifter Personuppgiftsansvariga och personuppgiftsbiträden ska vara förberedda och följa dataskyddsförordningen
Sammanfattning och avslutning
Frågor?