5. Rätten att hantera personuppgifter

Grundutbildning i GDPR 5. Rätten att hantera personuppgifter

Alla företag och organisationer som vill behandla personuppgifter i sin verksamhet måste följa GDPR. En viktig regel i GDPR är att det måste finnas ett syfte för behandlingen av personuppgifter och det kallas att det finns en rättslig grund. Utan en rättslig grund är personuppgiftsbehandlingen inte laglig.

Det finns sex rättsliga grunder. Nedan följer en kortfattad beskrivning av var och en, samt ett exempel.

Samtycke: Den registrerade har godkänt behandlingen av personuppgifterna.

Tips! Ofta är det inte lämpligt eller ens möjligt att stödja sig på den registrerades samtycke. Överväg därför alltid först om det går att stödja personuppgiftsbehandlingen på någon av de andra rättsliga grunderna.

Exempel: En arbetsgivare vill spela in en reklamfilm från sitt kontor. Det finns risk att medarbetare kommer med i bakgrunden på filmen. Här är det lämpligt att be om samtycke från medarbetarna om de vill vara med på filmen eller om de hellre tillfälligt vill sitta i en annan likvärdig del av kontoret för att inte kunna komma med på filmen. Medarbetare som inte samtycker får inte utsättas för några negativa konsekvenser.

Avtal med registrerade: Den registrerade har ett avtal eller ska ingå ett avtal med den personuppgiftsansvariga.

Exempel: En förening behöver behandla personuppgifter i ett medlemsregister. Ett annat exempel är när en kund köper en vara i en webbshop.

Intresseavvägning: Den personuppgiftsansvariga får behandla personuppgifter om den personuppgiftsansvarigas intressen väger tyngre än den registrerades skydd för sina personuppgifter och om behandlingen är nödvändig för det aktuella ändamålet. Det är hårda krav att använda intresseavvägning som rättslig grund och en noggrann avvägning av vems intressen som väger tyngst måste alltid göras. Myndigheter ska inte använda intresseavvägning som rättslig grund utan ska använda rättslig förpliktelse, dvs behandla personuppgifter med stöd av lag.

Exempel: Ett företag som vill skicka direktmarknadsföring till sina kunder kan anses ha ett berättigat intresse. Den registrerade (kunden) måste när som helst kunna undanbe sig fortsatta utskick.

Rättslig förpliktelse: Det finns lagar eller regler som gör att den personuppgiftsansvariga måste behandla vissa personuppgifter i sin verksamhet.

Exempel: Ett företag behöver behandla löneuppgifter för att kunna rapportera de anställdas inkomster till Skatteverket.

Myndighetsutövning och uppgift av allmänt intresse: Myndighetsutövning är den rättsliga grunden för statliga och kommunala verksamheter där behandlingen av personuppgifter har stöd i lagar från EU eller svensk rätt. Uppgift av allmänt intresse gäller också för myndigheter och privata aktörer när de har ett uppdrag av riksdag eller regering. Uppgiften blir av allmänt intresse genom att uppdraget kommer från just regering och riksdag.

Exempel: Inom den kommunala sektorn är förskola och skola av allmänt intresse både när den utförs i kommunal eller privat regi. Rikstäckande infrastruktur och energiförsörjning är allmänt intresse oavsett om det är i statlig regi eller om utföraren är ett kommunalt eller statligt bolag eller en helt privat aktör.

Skydda grundläggande intresse: Att behandla personuppgifter med stöd av grundläggande intresse kan bara användas när det handlar om att rädda liv och den registrerade är medvetslös och inte kan fatta egna beslut.

Exempel: Ambulansen anländer till en medvetslös patient och behöver behandla personuppgifter som t ex blodgrupp och sjukdomshistoria för att rädda livet på patienten. Här ingår även kontaktuppgifter för att underrätta anhöriga.