Meny

I Sverige hade vi tidigare Personuppgiftslagen (PUL), men sedan den 25 maj 2018 är det dataskyddsförordningen som gäller i hela EU. Dataskyddsförordningen heter på engelska The General Data Protection Regulation och förkortas GDPR.

Börja med att titta på filmen som beskriver vad GDPR handlar om.

Spela video igen

Grundläggande principer

GDPR har ett antal grundläggande principer för all behandling av personuppgifter. Här beskrivs de sju principerna i korthet.

Laglighet, korrekthet och öppenhet

Det måste finnas en rättslig grund till stöd för behandlingen av personuppgifter. De rättsliga grunderna beskrivs i ett senare avsitt i denna utbildning. Korrekthet syftar till att behandlingen ska vara rättvis, skälig, rimlig och proportionerlig i förhållande till den registrerade. Öppenhet innebär att den registrerade har rätt att veta att och varför personuppgifter samlas in och de används. De ska veta hur de kan rätta och radera felaktiga uppgifter.

Ändamålsbegränsning

Det måste finnas tydliga ändamål med insamlingen av personuppgifter. Ändamålen ska dokumenteras och vara specifika och konkreta. Det får inte vara luddigt som att ”förbättra användarupplevelsen”. Ändamålet måste preciseras mer än så. Ändamålet behöver också vara berättigat, vilket innebär att behandlingen av personuppgifterna ska ske i enlighet med GDPR, men också följa annan tillämplig lagstiftning och allmänna rättsprinciper.

Tänk på att om redan insamlade personuppgifter ska behandlas på ett nytt sätt måste det utvärderas om de ursprungliga ändamålen gäller för den nya behandlingen. Om inte, måste processen börja om och gå igenom alla steg som en ny personuppgiftsbehandling. I det fall de ursprungliga ändamålen fortfarande gäller ska de registrerade informeras om den nya behandlingen av personuppgifterna.

Uppgiftsminimering

Endast personuppgifter som behövs för ändamålet ska samlas in. Det är otillåtet att samla in extra personuppgifter som det kan tänkas bli ”bra att ha” i framtiden.

Riktighet

Personuppgifter ska rättas eller raderas om det uppdagas att de är felaktiga. Det måste finnas rutiner för detta. Till exempel ska de registrerade kunna påtala felaktigheter.

Lagringsminimering

Grundregeln är att personuppgifter bara får sparas så länge de behövs för ändamålet. Det ska finnas rutiner för gallring, det vill säga att radera. Det finns undantag från regeln att gallring måste ske när ändamålet inte längre är tillämpbart. Det kan gälla bokföringsuppgifter och speciella arkivändamål för exempelvis forskning. I båda dessa fall ska personuppgifterna fortsätta att skyddas mot obehörig åtkomst.

Integritet och konfidentialitet

Personuppgifter måste skyddas med både tekniska och organisatoriska säkerhetsåtgärder för att undvika obehörig åtkomst eller att de blir förstörda av olyckshändelser. Kryptering, säkerhetskopiering, brandväggar och skydd mot skadlig kod (antivirus) är exempel på tekniska åtgärder. Till organisatoriska åtgärder hör interna rutiner i form av instruktioner och riktlinjer i verksamheten.

Ansvarsskyldighet

Det är inte bara ett krav att följa dessa grundläggande principer, utan det måste också finnas en dokumenterad redovisning på vilket sätt de grundläggande principerna följs. Det ska bland annat finnas ett uppdaterat register över de personuppgiftsbehandlingar som förekommer, tydlig information till de registrerade, en dataskyddspolicy med interna riktlinjer för dataskydd.

Lär mer

På Integritetsskyddsmyndigheten (IMY) finns mer att lära om de Grundläggande principerna.

Kontrollfrågor