Grundkurs i dataskyddslagstiftningen Grundkurs för personuppgiftsombud den 15-16 november 2016 Lisa Johansson, Tove Fors, Ulrika Bergström och Agneta Runmarker
Disposition Idag Introduktion Kort om Datainspektionen Rätten till privatliv Genomgång av personuppgiftslagen Genomgång av Dataskyddsförordningen Diskussion och summering Imorgon (bara personuppgiftsombud) Grupparbete Genomgång av personuppgiftsombudets arbetsuppgifter Diskussion
Datainspektionens verksamhet Ärendehandläggning Klagomål, förfrågningar, samråd Tillsynsverksamhet Upplysningstjänst Besvarar frågor per mejl och telefon Utbildningsverksamhet Föreläsningar, kurser och konferenser Övrigt Personuppgiftsombud Regelgivning Remisser Internationellt arbete
Rätten till privatliv
Rätten till privatliv Europakonventionen om de mänskliga rättigheterna EU:s stadga om de grundläggande rättigheterna Regeringsformen Dataskyddsdirektivet/ Dataskyddsförordningen Personuppgiftslagen och registerförfattningar Annan lagstiftning
EU:s rättighetsstadga artikel 8 1. Var och en har rätt till skydd av de personuppgifter som rör honom eller henne. 2. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. 3. En oberoende myndighet ska kontrollera att dessa regler efterlevs.
Personuppgiftslagen
Personuppgiftslagen Ska skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter 1 personuppgiftslagen
Personuppgiftslagen Innehåller två regelverk Hanteringsreglerna - trappan Missbruksregeln - ostrukturerat material 5 a personuppgiftslagen
Personuppgiftslagen är subsidiär Konkurrerande bestämmelser i annan lag eller förordning tar över personuppgiftslagen 2 personuppgiftslagen
Viktiga definitioner
Några viktiga definitioner Personuppgift enligt personuppgiftslagen: All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet 3 personuppgiftslagen
Några viktiga definitioner Personuppgift enligt dataskyddsförordningen: Varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet Artikel 4
Några viktiga definitioner Behandling enligt personuppgiftslagen: Varje åtgärd som vidtas i fråga om personuppgifter 3 personuppgiftslagen
Några viktiga definitioner Personuppgiftsansvarig enligt personuppgiftslagen: Den som bestämmer ändamålen och medlen för behandling av personuppgifter 3 personuppgiftslagen
Några viktiga definitioner Personuppgiftsbiträde enligt personuppgiftslagen: Den som behandlar personuppgifter för den personuppgiftsansvariges räkning 3 personuppgiftslagen
Några viktiga definitioner Personuppgiftsombud enligt personuppgiftslagen: Den fysiska person som, efter förordnande av den personuppgiftsansvarige, självständigt ska se till att personuppgifter behandlas på ett korrekt och lagligt sätt I dataskyddsförordningen ändras personuppgiftsombud till dataskyddsombud 3 personuppgiftslagen
När gäller personuppgiftslagen?
När gäller personuppgiftslagen? Automatiserad behandling av personuppgifter Denna lag gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad Manuell behandling i vissa fall 5 personuppgiftslagen
När gäller dataskyddsförordningen? Automatiserad behandling av personuppgifter Denna förordning ska tillämpas på sådan behandling av personuppgifter som är helt eller delvis företas på automatisk väg ( ) Manuell behandling i vissa fall Artikel 2, skäl 15
När gäller personuppgiftslagen? När den personuppgiftsansvarige är etablerad i Sverige etablerad i tredje land men för behandlingen av personuppgifter använder sig av utrustning som finns i Sverige 4 personuppgiftslagen
När gäller dataskyddsförordningen? Personuppgiftsansvariga och personuppgiftsbiträden som är etablerade i EU Personuppgiftsansvariga och personuppgiftsbiträden som är etablerade utanför EU och erbjuder varor och tjänster i EU eller övervakar registrerades beteende i EU Artikel 3, skäl 23 och 24
När gäller inte personuppgiftslagen? Några undantag: Vid privat behandling t.ex. elektronisk dagbok eller registrering av grannar Uppgifter om avlidna Tryck- och yttrandefrihet Om behandlingen uppfyller kraven för journalistiska ändamål eller konstnärligt eller litterärt skapande. Vid utlämnande av allmänna handlingar enligt offentlighetsprincipen 6-8 personuppgiftslagen
När gäller inte dataskyddsförordningen? Undantag för privatpersoners behandling Uppgifter om avlidna Nationell säkerhet och gemensam utrikes- och säkerhetspolitik Brottsbekämpande myndigheter ( polisdirektivet ) Tryck- och yttrandefrihet Tillgången till allmänna handlingar - offentlighetsprincipen Artikel 2, skäl 16-21+27, Artikel 85, skäl 153, Artikel 86, skäl 154
Grundläggande krav
Grundläggande krav Behandlingen laglig, korrekt och i enlighet med god sed 9 personuppgiftslagen
Grundläggande krav Ändamålen Särskilda, uttryckligt angivna och berättigade Ej behandla för oförenliga ändamål 9 personuppgiftslagen
Grundläggande krav Uppgifterna Adekvata, relevanta, riktiga och aktuella Inte fler än nödvändigt Får ej bevaras längre än nödvändigt 9 personuppgiftslagen
Tillåten behandling
Tillåten behandling Samtycke Varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandlingen av personuppgifter som rör honom eller henne 3 och10 personuppgiftslagen
Tillåten behandling (forts) Nödvändigt för Avtal med den registrerade Rättslig skyldighet Skydda vitala intressen för den registrerade Arbetsuppgift av allmänt intresse Myndighetsutövning Berättigat intresse intresseavvägningen 10 personuppgiftslagen
Känsliga personuppgifter Ras eller etniskt ursprung Politiska åsikter Religiös eller filosofisk övertygelse Medlemskap i fackförening Hälsa- och sexualliv Dataskyddsförordningen omfattar även genetiska och biometriska uppgifter samt sexuell läggning 13 personuppgiftslagen, artikel 9
Undantag känsliga personuppgifter Uttryckligt samtycke Eget offentliggörande Nödvändig behandling Ideella organisationer Hälso- och sjukvård Forskning och statistik 14-19 personuppgiftslagen
Uppgifter om lagöverträdelser Uppgifter om lagöverträdelser Förbud för andra än myndigheter som huvudregel Undantag Föreskrifter Beslut från Datainspektionen 21 personuppgiftslagen, artikel 10
Personnummer Personnummer Samtycke Klart motiverat med hänsyn till Ändamål Vikten av säker identifiering Något annat beaktansvärt skäl 22 personuppgiftslagen
När får ni föra över personuppgifter till tredje land?
När får ni föra över personuppgifter till tredje land? Förbud mot överföring till tredje land Tillåtet om Land med adekvat skyddsnivå Standardavtalsklausuler BCR - binding corporate rules (koncerner) Särskilda beslut från Datainspektionen Utan krav på skyddsnivå Samtycke från registrerad Särskilda situationer 33-35 personuppgiftslagen
Information till registrerade
Information till registrerade Information ska lämnas självmant, både när uppgifter samlas in från: den registrerade, eller från annat håll Undantag lagstadgad reglering omöjligt eller oproportionerligt stor arbetsinsats sekretess eller tystnadsplikt i lag eller annan författning 23-27 personuppgiftslagen
Information till registrerade Informationens innehåll Personuppgiftsansvariges identitet Ändamålen Övrig info för att den registrerade ska kunna ta till vara sina rättigheter, t.ex. mottagare av uppgifterna rätt att ansöka om information rätt till rättelse Undantag: Information om det den registrerade redan känner till 25 personuppgiftslagen
Information till registrerade Registerutdrag Gratis en gång per år Skriftlig ansökan Information ska lämnas om vilka uppgifter som behandlas varifrån uppgifterna har hämtats ändamålen med behandlingen mottagare av uppgifterna Dataskyddsförordningen - utökad informationsplikt 26 personuppgiftslagen
Rättelse På eget initiativ eller på begäran av den registrerade ska personuppgiftsansvarig snarast rätta, blockera eller utplåna uppgifter som inte behandlats i enlighet med personuppgiftslagen 9 och 28 personuppgiftslagen
Säkerhet enligt personuppgiftslagen Den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifterna Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med hänsyn till teknik kostnad risker uppgifternas känslighet 30-32 personuppgiftslagen
Sammanfattning personuppgiftslagen
Dataskyddsförordningen
Varför nya regler?
Varför nya regler? Modernisering nu gällande regler bygger på ett direktiv från 1995 Förstärkning av enskildas rättigheter och tydliggörande av skyldigheter för den som behandlar personuppgifter Harmonisering samma rättigheter och skyldigheter i hela EU/EES
Vad är (i princip) oförändrat? Strukturen Tillämpningsområdet Grundläggande krav Rättslig grund Känsliga personuppgifter Överföring till tredje land
Grundläggande principer
Grundläggande principer Laglighet, korrekthet och öppenhet Ändamålsbegränsning Uppgiftsminimering Korrekthet Lagringsminimering Integritet och konfidentialitet Ansvarsskyldighet Artikel 5, skäl 39, Artikel 6.4, skäl 50
Laglighet, korrekthet och öppenhet Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade all information och kommunikation i samband med en personuppgiftsbehandling ska vara lättillgänglig och begriplig och ett klart och tydligt språk ska användas Artikel 5
Ändamålsbegränsning Uppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål Ändamålet ska dokumenteras Oförenlighetsbedömning Artikel 5
Uppgiftsminimering Uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas Inte för att personuppgifterna kan vara bra att ha Artikel 5
Korrekthet Uppgifterna ska vara korrekta och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål Artikel 5
Lagringsminimering Uppgifterna får inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas Inför tidsfrister för radering eller regelbunden kontroll Artikel 5
Integritet och konfidentialitet Uppgifterna ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder Nyhet Säkerhet för personuppgifter Artikel 5
Ansvarsskyldighet Den personuppgiftsansvarige ska ansvara för och kunna visa att de grundläggande principerna efterlevs Tydligt ansvar! Inte endast följa förordningen utan även visa att förordningen följs Artikel 5
Hur kan vi visa att vi följer förordningen? Anta interna strategier för dataskydd Dokumentation Konsekvensbedömning Öppenhetsprincipen Uppförandekoder och certifiering Artikel 24, 30, 35, 5, 40-42
När får ni behandla personuppgifter?
När får ni behandla personuppgifter? Samtycke Behandling är nödvändig för avtal rättslig förpliktelse grundläggande intressen arbetsuppgift av allmänt intresse och myndighetsutövning intresseavvägning (ej för myndigheter)
Samtycke Samtyckesframställan ska presenteras på ett klart och tydligt sätt och ni ska kunna visa att den registrerade har samtyckt Den registrerade ska informeras om rätten att återkalla ett samtycke Mycket begränsat för myndigheter att använda Om villkoret för att få tillgång till en vara och tjänst är ett samtycke till onödig behandling (utöver) kan det innebära att samtycket inte kan anses frivilligt Samtycke av barn under 16 år (13 år) kräver godkännande av vårdnadshavare för informationssamhällets tjänster Artikel 6-8, skäl 42-43
När får ni behandla personuppgifter? Samtycke Behandlingen är nödvändig för avtal rättslig förpliktelse* grundläggande intressen arbetsuppgift av allmänt intresse * myndighetsutövning* intresseavvägning (begränsat för myndigheter) Artikel 6, skäl 44-50
När får ni behandla känsliga personuppgifter? Principiellt förbud att behandla vissa kategorier av uppgifter nya kategorier Undantag möjliga såsom förut (små justeringar och tillägg) uppgifter om lagöverträdelser? personnummer? Artikel 9, skäl 10 och 51, Artikel 10, Artikel 87
När får ni föra över personuppgifter till tredje land?
När får ni föra över personuppgifter till tredje land? En överföring kräver stöd i dataskyddsförordningen! Gäller även för personuppgiftsbiträdet. Beslut av Kommissionen om att landet har en adekvat skyddsnivå Lämpliga skyddsåtgärder har vidtagits Särskilda undantag t.ex. samtycke, fullgöra ett avtal, allmänintresset, rättsliga anspråk, skydda grundläggande intressen Artikel 45, skäl 103-107, Artikel 46, skäl 108-109, Artikel 47, skäl 110, Artikel 49, skäl 111
Registrerades rättigheter
Registrerades rättigheter Information och registerutdrag Rättelse och radering Begränsning av behandling Dataportabilitet Invändning mot behandling Motsätta sig automatiserad behandling Artiklarna 12-23
Information och registerutdrag Information är en väsentlig del av skyddet Den personuppgiftsansvarige har en skyldighet att ge klar och tydlig information underlätta utövande av rättigheterna Tidsfrister och kostnadsfritt Informationsskyldigheten är mer omfattande än tidigare Artikel 12, skäl 60
Skyldighet att lämna information När personuppgifter samlas in från den registrerade (art. 13) När personuppgifter samlas in från annan (art. 14) Den registrerades rätt till tillgång (registerutdrag) (art. 15) PUA:s register över behandling (art. 30.1) Personuppgiftsansvarige Ja Ja Nej Ja Dataskyddsombudet Ja Ja Nej Ja Ändamålen Ja Ja Ja Ja Rättslig grund Ja Ja Nej Nej Kategorier av personuppgifter Nej Ja Ja Ja Intresse vid intresseavvägning Ja Ja Nej Nej Mottagarna Ja Ja Ja Ja Tredjelandsöverföring m.m. Ja Ja Ja Ja Lagringstid Ja Ja Ja Ja De registrerades rättigheter Ja Ja Ja Nej Rätten att dra tillbaka ett samtycke Ja Ja Nej Nej Rätten att lämna klagomål till DPA Ja Ja Ja Nej Uppgiftsskyldighet enligt avtal eller lag Ja Nej Nej Nej Automatiserat beslutsfattande Ja Ja Ja Nej Källa varifrån uppgifterna har hämtats Nej Ja Ja Nej Säkerhetsåtgärder Nej Nej Nej Ja OBS. Tabellen är förenklad och ej fullständig. Ytterligare skyldigheter att informera finns i andra bestämmelser. Artikel 13-15 och 30.1, skäl 60-64
Rättelse Rätta felaktiga uppgifter Komplettera ofullständiga uppgifter Informera mottagare om rättelsen Artikel 16 och 19, skäl 65
Radering rätten att bli glömd Radera personuppgifter om den registrerade Informera, i vissa fall, andra personuppgiftsansvariga och mottagare Förutsättningar, bl.a. om uppgifter inte längre behövs för ändamålen återkallat samtycke Undantag, bl.a. Nödvändig för yttrande- och informationsfriheten Nödvändig för rättslig förpliktelse, allmänt intresse och myndighetsutövning, rättsliga anspråk Artikel 17 och 19, skäl 65-66
Begränsning av behandling På begäran av den registrerade vid begäran om rättelse eller invändning, som alternativ till radering, om den registrerade behöver uppgifterna för rättsliga anspråk Uppgifterna får endast användas i vissa särskilt angivna fall, bl.a. den registrerades samtycke Den registrerade ska underrättas när begränsningen upphör Artikel 18, skäl 66
Dataportabilitet Rätt att få ut och överföra egna personuppgifter till annan personuppgiftsansvarig i ett strukturerat, allmänt använt och maskinläsbart format, om uppgifter har tillhandahållits av den registrerade, behandling sker med stöd av samtycke eller avtal, behandling sker automatiserat inte påverkar andra rättigheter och friheter Artikel 20, skäl 68
Invända mot behandling Den registrerade har rätt att invända mot (motsätta sig) behandling av sina personuppgifter som grundas på allmänt intresse, myndighetsutövning eller intresseavvägning Den personuppgiftsansvarige måste göra en ny prövning (intresseavvägning) utifrån den registrerades situation och eventuellt upphöra med behandling Vid direkt marknadsföring måste behandling upphöra Särskilt om forskning och statistik och bevakning av rättsliga anspråk, allmänt intresse m.m. Artikel 21, skäl 69-70
Automatiserade beslut - profilering Automatiserad beslut inte tillåtna om beslut grundas enbart på automatiserad behandling (inkl. profilering) får rättslig följder eller liknande effekt Automatiserad beslut tillåtna i vissa fall och under vissa förutsättningar Avtal Lagstiftning Samtycke Artikel 22, skäl 71-72
Skyldigheter för den som behandlar personuppgifter
Vem behandlar personuppgifter? Personuppgiftsansvariga Personuppgiftsbiträden och även biträden har ett ansvar enligt förordningen.
Skyldigheter för personuppgiftsansvariga Ansvarsskyldighet Den personuppgiftsansvarige ska vidta åtgärder för att säkerställa att förordningen följs, och för att kunna visa att förordningen följs Artikel 24, 25, 28, 30 och 32-35
Skyldigheter för personuppgiftsansvariga, forts. Inbyggt dataskydd och dataskydd som standard Krav på biträdesavtalet Register över behandlingar Säkerhet Anmälan av personuppgiftsincidenter Konsekvensbedömningar och förhandssamråd Utse dataskyddsombud
Skyldigheter för personuppgiftsbiträden Lämna garantier för att förordningen följs Krav på biträdesavtalet Bistå den personuppgiftsansvarige Register över behandling Eget ansvar för säkerhet Anmälan av personuppgiftsincidenter till den personuppgiftsansvarige Utse dataskyddsombud Artikel 28, 30, 32 och 33
Dataskyddsombud
Dataskyddsombud Yrkesmässiga kvalifikationer och sakkunskap om dataskydd Kontaktuppgifter offentliggörs och meddelas tillsynsmyndigheten Ska minst: Informera och ge råd Övervaka efterlevnad Samarbeta med tillsynsmyndigheten och vara tillgänglig för de registrerade Fullgöra sitt uppdrag och utföra sina uppgifter på ett oberoende sätt Artikel 37-39, skäl 97
Vad händer om ni bryter mot reglerna?
Vad händer om ni bryter mot reglerna? Datainspektionen Tillsyn och föreläggande Administrativa sanktionsavgifter Den registrerade Klagomål Skadestånd Artikel 77, 78, 82, 83, 84
Gränsöverskridande behandling av personuppgifter inom EU
Gränsöverskridande behandling inom EU Gränsöverskridande behandling och lokala fall Samarbete mellan dataskyddsmyndigheterna Europeiska dataskyddsstyrelsen (EDPB) Artikel 55 och 56
Checklista
Checklista Skapa medvetenhet inom organisationen Är ledningen insatt? Finns det resurser för arbetet? Utse dataskyddsombud Inventera personuppgiftsbehandlingar Vilka kategorier av personuppgifter behandlas? Känsliga personuppgifter? Uppgifter om barn? Hur samlas uppgifterna in och till vilka lämnas de ut? Upprätta ett register över personuppgiftsbehandlingar Särskilda integritetsrisker ( hög risk )
Checklista (forts) Se över vilken rättslig grund för behandlingen Myndigheter kan i princip inte använda samtycke eller intresseavvägning Se över vilken information som lämnas till de registrerade Uppfylls informationskraven? Lättillgänglig form samt klart och tydligt språk
Checklista (forts) Ta fram rutiner för de registrerades rättigheter Registerutdrag, rättelse, radering, begränsning, dataportabilitet, invändning, automatiserat beslutsfattande Överförs uppgifter till tredje land? Se över säkerheten för behandlade personuppgifter Ta fram rutiner för incidentrapportering Inbyggt dataskydd och dataskydd som standard
Checklista (forts) Det räcker inte bara att göra rätt utan ni ska kunna visa att ni gör rätt! Utarbeta interna strategier för dataskydd Följ utvecklingen (nationell lagstiftning) Tänk på att skyddet för personuppgifter är inte bara en grundläggande rättighet utan även en fråga om de registrerades förtroende Att inte förbereda sig för dataskyddsförordningen kan bli dyrt (kanske även för myndigheter)
Frågor?