Meny

Den som är personuppgiftsansvarig har ytterligare några skyldigheter utöver kraven på att ha en rättslig grund för behandlingen av personuppgifter och att sörja för rätt skyddsnivå vid behandlingen.

Identifiering av registrerad

Det är av största vikt att personuppgifter som lämnas ut går till rätt person. När en registrerad begär att få ut sina personuppgifter eller att dessa ska raderas måste personen identifieras på ett säkert sätt. Metoder för identifiering regleras inte i GDPR utan det är personuppgiftsansvariges bedömning som måste ske i varje enskilt fall.

Samla inte in nya personuppgifter i onödan

Vid tveksamhet på identiteten hos en person som lämnat in en begäran om att få ut sina personuppgifter kan det behöva inhämtas kompletterande information för att identifiera personen. Samtidigt ska inte fler personuppgifter än nödvändigt samlas in. I dessa fall måste en proportionalitetsbedömning göras för att säkerställa att identifieringen inte leder till en ny och onödig behandling av personuppgifter.

Underlätta för de registrerade

Personuppgiftsansvariga ska underlätta för de registrerade att kontrollera sina personuppgifter. Det är bara i det fall det inte är möjligt att identifiera den registrerade som en begäran kan avslås. Skälet till att identifiering inte går att genomföra måste då redovisas.

Den vars personuppgifter behandlas hos ett företag eller organisation har rätt att framföra klagomål och i vissa fall få skadestånd om behandlingen inte följer regelverket i GDPR .

Klagomål och skadestånd

En registrad kan lämna in klagomål till Integritetsskyddsmyndigheten om personen anser att den personuppgiftsansvariga behandlar uppgifter om honom eller henne i strid med GDPR. Integritetsskyddsmyndigheten hanterar klagomål och bedömer om tillsyn ska inledas. Den registrerade får därefter besked om vad beslutet blev gällande klagomålet. 

En registrerad som har lidit skada till följd av att hans eller hennes personuppgifter har behandlats i strid med GDPR kan ha rätt till skadestånd av den eller de personuppgiftsansvariga som medverkat vid behandlingen.

Ett personuppgiftsbiträde kan också bli skadeståndsansvarigt om denne har brutit mot de bestämmelser som specifikt riktar sig till biträden eller har behandlat uppgifter i strid med den personuppgiftsansvarigas instruktioner.

Den registrerade kan begära skadestånd direkt från den personuppgiftsansvariga eller personuppgiftsbiträdet eller vända sig till en domstol och väcka skadeståndståndstalan.

Det är antingen personuppgiftsansvariga eller personuppgiftsbiträdet som ersätter den registrerade för hela skadan. De får sedan i sin tur reglera detta sinsemellan. En personuppgiftsansvarig eller ett biträde har dock ingen skyldighet att betala ersättning om de kan visa att de inte på något sätt är ansvariga för skadan.

Anmälan av personuppgiftsincident

Definitionen av en personuppgiftsincident är att en eller flera registrerade personers uppgifter har blivit förstörda, gått förlorade på annat sätt eller kommit i orätta händer. I de allvarligaste fallen kan detta leda till att den registrerade lider ekonomisk skada eller att deras fri- och rättigheter kränks.

Det är rekommenderat att ha en intern process hos den personuppgiftsansvariga för medarbetare att anmäla personuppgiftsincidenter, till exempel till ett dataskyddsombud. Dataskyddsombudets kontaktuppgifter ska anmälas till IMY.

Personuppgiftsansvarig är skyldig att anmäla vissa personuppgiftsincidenter till IMY.

Lär mer

Hos Integritetsskyddsmyndigheten (IMY) finns mer att lära om Personuppgiftsansvariga och Personuppgiftsincidenter.

Kontrollfrågor