Grundkurs i dataskyddslagstiftningen. Grundkurs för personuppgiftsombud

Transkript

1 Grundkurs i dataskyddslagstiftningen Grundkurs för personuppgiftsombud den november 2016 Lisa Johansson, Tove Fors, Ulrika Bergström och Agneta Runmarker

2 Disposition Idag Introduktion Kort om Datainspektionen Rätten till privatliv Genomgång av personuppgiftslagen Genomgång av Dataskyddsförordningen Diskussion och summering Imorgon (bara personuppgiftsombud) Grupparbete Genomgång av personuppgiftsombudets arbetsuppgifter Diskussion

3 Datainspektionens verksamhet Ärendehandläggning Klagomål, förfrågningar, samråd Tillsynsverksamhet Upplysningstjänst Besvarar frågor per mejl och telefon Utbildningsverksamhet Föreläsningar, kurser och konferenser Övrigt Personuppgiftsombud Regelgivning Remisser Internationellt arbete

4 Rätten till privatliv

5 Rätten till privatliv Europakonventionen om de mänskliga rättigheterna EU:s stadga om de grundläggande rättigheterna Regeringsformen Dataskyddsdirektivet/ Dataskyddsförordningen Personuppgiftslagen och registerförfattningar Annan lagstiftning

6 EU:s rättighetsstadga artikel 8 1. Var och en har rätt till skydd av de personuppgifter som rör honom eller henne. 2. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. 3. En oberoende myndighet ska kontrollera att dessa regler efterlevs.

7 Personuppgiftslagen

8 Personuppgiftslagen Ska skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter 1 personuppgiftslagen

9 Personuppgiftslagen Innehåller två regelverk Hanteringsreglerna - trappan Missbruksregeln - ostrukturerat material 5 a personuppgiftslagen

10 Personuppgiftslagen är subsidiär Konkurrerande bestämmelser i annan lag eller förordning tar över personuppgiftslagen 2 personuppgiftslagen

11 Viktiga definitioner

12 Några viktiga definitioner Personuppgift enligt personuppgiftslagen: All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet 3 personuppgiftslagen

13 Några viktiga definitioner Personuppgift enligt dataskyddsförordningen: Varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet Artikel 4

14 Några viktiga definitioner Behandling enligt personuppgiftslagen: Varje åtgärd som vidtas i fråga om personuppgifter 3 personuppgiftslagen

15 Några viktiga definitioner Personuppgiftsansvarig enligt personuppgiftslagen: Den som bestämmer ändamålen och medlen för behandling av personuppgifter 3 personuppgiftslagen

16 Några viktiga definitioner Personuppgiftsbiträde enligt personuppgiftslagen: Den som behandlar personuppgifter för den personuppgiftsansvariges räkning 3 personuppgiftslagen

17 Några viktiga definitioner Personuppgiftsombud enligt personuppgiftslagen: Den fysiska person som, efter förordnande av den personuppgiftsansvarige, självständigt ska se till att personuppgifter behandlas på ett korrekt och lagligt sätt I dataskyddsförordningen ändras personuppgiftsombud till dataskyddsombud 3 personuppgiftslagen

18 När gäller personuppgiftslagen?

19 När gäller personuppgiftslagen? Automatiserad behandling av personuppgifter Denna lag gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad Manuell behandling i vissa fall 5 personuppgiftslagen

20 När gäller dataskyddsförordningen? Automatiserad behandling av personuppgifter Denna förordning ska tillämpas på sådan behandling av personuppgifter som är helt eller delvis företas på automatisk väg ( ) Manuell behandling i vissa fall Artikel 2, skäl 15

21 När gäller personuppgiftslagen? När den personuppgiftsansvarige är etablerad i Sverige etablerad i tredje land men för behandlingen av personuppgifter använder sig av utrustning som finns i Sverige 4 personuppgiftslagen

22 När gäller dataskyddsförordningen? Personuppgiftsansvariga och personuppgiftsbiträden som är etablerade i EU Personuppgiftsansvariga och personuppgiftsbiträden som är etablerade utanför EU och erbjuder varor och tjänster i EU eller övervakar registrerades beteende i EU Artikel 3, skäl 23 och 24

23 När gäller inte personuppgiftslagen? Några undantag: Vid privat behandling t.ex. elektronisk dagbok eller registrering av grannar Uppgifter om avlidna Tryck- och yttrandefrihet Om behandlingen uppfyller kraven för journalistiska ändamål eller konstnärligt eller litterärt skapande. Vid utlämnande av allmänna handlingar enligt offentlighetsprincipen 6-8 personuppgiftslagen

24 När gäller inte dataskyddsförordningen? Undantag för privatpersoners behandling Uppgifter om avlidna Nationell säkerhet och gemensam utrikes- och säkerhetspolitik Brottsbekämpande myndigheter ( polisdirektivet ) Tryck- och yttrandefrihet Tillgången till allmänna handlingar - offentlighetsprincipen Artikel 2, skäl , Artikel 85, skäl 153, Artikel 86, skäl 154

25 Grundläggande krav

26 Grundläggande krav Behandlingen laglig, korrekt och i enlighet med god sed 9 personuppgiftslagen

27 Grundläggande krav Ändamålen Särskilda, uttryckligt angivna och berättigade Ej behandla för oförenliga ändamål 9 personuppgiftslagen

28 Grundläggande krav Uppgifterna Adekvata, relevanta, riktiga och aktuella Inte fler än nödvändigt Får ej bevaras längre än nödvändigt 9 personuppgiftslagen

29 Tillåten behandling

30 Tillåten behandling Samtycke Varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandlingen av personuppgifter som rör honom eller henne 3 och10 personuppgiftslagen

31 Tillåten behandling (forts) Nödvändigt för Avtal med den registrerade Rättslig skyldighet Skydda vitala intressen för den registrerade Arbetsuppgift av allmänt intresse Myndighetsutövning Berättigat intresse intresseavvägningen 10 personuppgiftslagen

32 Känsliga personuppgifter Ras eller etniskt ursprung Politiska åsikter Religiös eller filosofisk övertygelse Medlemskap i fackförening Hälsa- och sexualliv Dataskyddsförordningen omfattar även genetiska och biometriska uppgifter samt sexuell läggning 13 personuppgiftslagen, artikel 9

33 Undantag känsliga personuppgifter Uttryckligt samtycke Eget offentliggörande Nödvändig behandling Ideella organisationer Hälso- och sjukvård Forskning och statistik personuppgiftslagen

34 Uppgifter om lagöverträdelser Uppgifter om lagöverträdelser Förbud för andra än myndigheter som huvudregel Undantag Föreskrifter Beslut från Datainspektionen 21 personuppgiftslagen, artikel 10

35 Personnummer Personnummer Samtycke Klart motiverat med hänsyn till Ändamål Vikten av säker identifiering Något annat beaktansvärt skäl 22 personuppgiftslagen

36 När får ni föra över personuppgifter till tredje land?

37 När får ni föra över personuppgifter till tredje land? Förbud mot överföring till tredje land Tillåtet om Land med adekvat skyddsnivå Standardavtalsklausuler BCR - binding corporate rules (koncerner) Särskilda beslut från Datainspektionen Utan krav på skyddsnivå Samtycke från registrerad Särskilda situationer personuppgiftslagen

38 Information till registrerade

39 Information till registrerade Information ska lämnas självmant, både när uppgifter samlas in från: den registrerade, eller från annat håll Undantag lagstadgad reglering omöjligt eller oproportionerligt stor arbetsinsats sekretess eller tystnadsplikt i lag eller annan författning personuppgiftslagen

40 Information till registrerade Informationens innehåll Personuppgiftsansvariges identitet Ändamålen Övrig info för att den registrerade ska kunna ta till vara sina rättigheter, t.ex. mottagare av uppgifterna rätt att ansöka om information rätt till rättelse Undantag: Information om det den registrerade redan känner till 25 personuppgiftslagen

41 Information till registrerade Registerutdrag Gratis en gång per år Skriftlig ansökan Information ska lämnas om vilka uppgifter som behandlas varifrån uppgifterna har hämtats ändamålen med behandlingen mottagare av uppgifterna Dataskyddsförordningen - utökad informationsplikt 26 personuppgiftslagen

42 Rättelse På eget initiativ eller på begäran av den registrerade ska personuppgiftsansvarig snarast rätta, blockera eller utplåna uppgifter som inte behandlats i enlighet med personuppgiftslagen 9 och 28 personuppgiftslagen

43 Säkerhet enligt personuppgiftslagen Den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifterna Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med hänsyn till teknik kostnad risker uppgifternas känslighet personuppgiftslagen

44 Sammanfattning personuppgiftslagen

45 Dataskyddsförordningen

46 Varför nya regler?

47 Varför nya regler? Modernisering nu gällande regler bygger på ett direktiv från 1995 Förstärkning av enskildas rättigheter och tydliggörande av skyldigheter för den som behandlar personuppgifter Harmonisering samma rättigheter och skyldigheter i hela EU/EES

48 Vad är (i princip) oförändrat? Strukturen Tillämpningsområdet Grundläggande krav Rättslig grund Känsliga personuppgifter Överföring till tredje land

49 Grundläggande principer

50 Grundläggande principer Laglighet, korrekthet och öppenhet Ändamålsbegränsning Uppgiftsminimering Korrekthet Lagringsminimering Integritet och konfidentialitet Ansvarsskyldighet Artikel 5, skäl 39, Artikel 6.4, skäl 50

51 Laglighet, korrekthet och öppenhet Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade all information och kommunikation i samband med en personuppgiftsbehandling ska vara lättillgänglig och begriplig och ett klart och tydligt språk ska användas Artikel 5

52 Ändamålsbegränsning Uppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål Ändamålet ska dokumenteras Oförenlighetsbedömning Artikel 5

53 Uppgiftsminimering Uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas Inte för att personuppgifterna kan vara bra att ha Artikel 5

54 Korrekthet Uppgifterna ska vara korrekta och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål Artikel 5

55 Lagringsminimering Uppgifterna får inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas Inför tidsfrister för radering eller regelbunden kontroll Artikel 5

56 Integritet och konfidentialitet Uppgifterna ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder Nyhet Säkerhet för personuppgifter Artikel 5

57 Ansvarsskyldighet Den personuppgiftsansvarige ska ansvara för och kunna visa att de grundläggande principerna efterlevs Tydligt ansvar! Inte endast följa förordningen utan även visa att förordningen följs Artikel 5

58 Hur kan vi visa att vi följer förordningen? Anta interna strategier för dataskydd Dokumentation Konsekvensbedömning Öppenhetsprincipen Uppförandekoder och certifiering Artikel 24, 30, 35, 5, 40-42

59 När får ni behandla personuppgifter?

60 När får ni behandla personuppgifter? Samtycke Behandling är nödvändig för avtal rättslig förpliktelse grundläggande intressen arbetsuppgift av allmänt intresse och myndighetsutövning intresseavvägning (ej för myndigheter)

61 Samtycke Samtyckesframställan ska presenteras på ett klart och tydligt sätt och ni ska kunna visa att den registrerade har samtyckt Den registrerade ska informeras om rätten att återkalla ett samtycke Mycket begränsat för myndigheter att använda Om villkoret för att få tillgång till en vara och tjänst är ett samtycke till onödig behandling (utöver) kan det innebära att samtycket inte kan anses frivilligt Samtycke av barn under 16 år (13 år) kräver godkännande av vårdnadshavare för informationssamhällets tjänster Artikel 6-8, skäl 42-43

62 När får ni behandla personuppgifter? Samtycke Behandlingen är nödvändig för avtal rättslig förpliktelse* grundläggande intressen arbetsuppgift av allmänt intresse * myndighetsutövning* intresseavvägning (begränsat för myndigheter) Artikel 6, skäl 44-50

63 När får ni behandla känsliga personuppgifter? Principiellt förbud att behandla vissa kategorier av uppgifter nya kategorier Undantag möjliga såsom förut (små justeringar och tillägg) uppgifter om lagöverträdelser? personnummer? Artikel 9, skäl 10 och 51, Artikel 10, Artikel 87

64 När får ni föra över personuppgifter till tredje land?

65 När får ni föra över personuppgifter till tredje land? En överföring kräver stöd i dataskyddsförordningen! Gäller även för personuppgiftsbiträdet. Beslut av Kommissionen om att landet har en adekvat skyddsnivå Lämpliga skyddsåtgärder har vidtagits Särskilda undantag t.ex. samtycke, fullgöra ett avtal, allmänintresset, rättsliga anspråk, skydda grundläggande intressen Artikel 45, skäl , Artikel 46, skäl , Artikel 47, skäl 110, Artikel 49, skäl 111

66 Registrerades rättigheter

67 Registrerades rättigheter Information och registerutdrag Rättelse och radering Begränsning av behandling Dataportabilitet Invändning mot behandling Motsätta sig automatiserad behandling Artiklarna 12-23

68 Information och registerutdrag Information är en väsentlig del av skyddet Den personuppgiftsansvarige har en skyldighet att ge klar och tydlig information underlätta utövande av rättigheterna Tidsfrister och kostnadsfritt Informationsskyldigheten är mer omfattande än tidigare Artikel 12, skäl 60

69 Skyldighet att lämna information När personuppgifter samlas in från den registrerade (art. 13) När personuppgifter samlas in från annan (art. 14) Den registrerades rätt till tillgång (registerutdrag) (art. 15) PUA:s register över behandling (art. 30.1) Personuppgiftsansvarige Ja Ja Nej Ja Dataskyddsombudet Ja Ja Nej Ja Ändamålen Ja Ja Ja Ja Rättslig grund Ja Ja Nej Nej Kategorier av personuppgifter Nej Ja Ja Ja Intresse vid intresseavvägning Ja Ja Nej Nej Mottagarna Ja Ja Ja Ja Tredjelandsöverföring m.m. Ja Ja Ja Ja Lagringstid Ja Ja Ja Ja De registrerades rättigheter Ja Ja Ja Nej Rätten att dra tillbaka ett samtycke Ja Ja Nej Nej Rätten att lämna klagomål till DPA Ja Ja Ja Nej Uppgiftsskyldighet enligt avtal eller lag Ja Nej Nej Nej Automatiserat beslutsfattande Ja Ja Ja Nej Källa varifrån uppgifterna har hämtats Nej Ja Ja Nej Säkerhetsåtgärder Nej Nej Nej Ja OBS. Tabellen är förenklad och ej fullständig. Ytterligare skyldigheter att informera finns i andra bestämmelser. Artikel och 30.1, skäl 60-64

70 Rättelse Rätta felaktiga uppgifter Komplettera ofullständiga uppgifter Informera mottagare om rättelsen Artikel 16 och 19, skäl 65

71 Radering rätten att bli glömd Radera personuppgifter om den registrerade Informera, i vissa fall, andra personuppgiftsansvariga och mottagare Förutsättningar, bl.a. om uppgifter inte längre behövs för ändamålen återkallat samtycke Undantag, bl.a. Nödvändig för yttrande- och informationsfriheten Nödvändig för rättslig förpliktelse, allmänt intresse och myndighetsutövning, rättsliga anspråk Artikel 17 och 19, skäl 65-66

72 Begränsning av behandling På begäran av den registrerade vid begäran om rättelse eller invändning, som alternativ till radering, om den registrerade behöver uppgifterna för rättsliga anspråk Uppgifterna får endast användas i vissa särskilt angivna fall, bl.a. den registrerades samtycke Den registrerade ska underrättas när begränsningen upphör Artikel 18, skäl 66

73 Dataportabilitet Rätt att få ut och överföra egna personuppgifter till annan personuppgiftsansvarig i ett strukturerat, allmänt använt och maskinläsbart format, om uppgifter har tillhandahållits av den registrerade, behandling sker med stöd av samtycke eller avtal, behandling sker automatiserat inte påverkar andra rättigheter och friheter Artikel 20, skäl 68

74 Invända mot behandling Den registrerade har rätt att invända mot (motsätta sig) behandling av sina personuppgifter som grundas på allmänt intresse, myndighetsutövning eller intresseavvägning Den personuppgiftsansvarige måste göra en ny prövning (intresseavvägning) utifrån den registrerades situation och eventuellt upphöra med behandling Vid direkt marknadsföring måste behandling upphöra Särskilt om forskning och statistik och bevakning av rättsliga anspråk, allmänt intresse m.m. Artikel 21, skäl 69-70

75 Automatiserade beslut - profilering Automatiserad beslut inte tillåtna om beslut grundas enbart på automatiserad behandling (inkl. profilering) får rättslig följder eller liknande effekt Automatiserad beslut tillåtna i vissa fall och under vissa förutsättningar Avtal Lagstiftning Samtycke Artikel 22, skäl 71-72

76 Skyldigheter för den som behandlar personuppgifter

77 Vem behandlar personuppgifter? Personuppgiftsansvariga Personuppgiftsbiträden och även biträden har ett ansvar enligt förordningen.

78 Skyldigheter för personuppgiftsansvariga Ansvarsskyldighet Den personuppgiftsansvarige ska vidta åtgärder för att säkerställa att förordningen följs, och för att kunna visa att förordningen följs Artikel 24, 25, 28, 30 och 32-35

79 Skyldigheter för personuppgiftsansvariga, forts. Inbyggt dataskydd och dataskydd som standard Krav på biträdesavtalet Register över behandlingar Säkerhet Anmälan av personuppgiftsincidenter Konsekvensbedömningar och förhandssamråd Utse dataskyddsombud

80 Skyldigheter för personuppgiftsbiträden Lämna garantier för att förordningen följs Krav på biträdesavtalet Bistå den personuppgiftsansvarige Register över behandling Eget ansvar för säkerhet Anmälan av personuppgiftsincidenter till den personuppgiftsansvarige Utse dataskyddsombud Artikel 28, 30, 32 och 33

81 Dataskyddsombud

82 Dataskyddsombud Yrkesmässiga kvalifikationer och sakkunskap om dataskydd Kontaktuppgifter offentliggörs och meddelas tillsynsmyndigheten Ska minst: Informera och ge råd Övervaka efterlevnad Samarbeta med tillsynsmyndigheten och vara tillgänglig för de registrerade Fullgöra sitt uppdrag och utföra sina uppgifter på ett oberoende sätt Artikel 37-39, skäl 97

83 Vad händer om ni bryter mot reglerna?

84 Vad händer om ni bryter mot reglerna? Datainspektionen Tillsyn och föreläggande Administrativa sanktionsavgifter Den registrerade Klagomål Skadestånd Artikel 77, 78, 82, 83, 84

85 Gränsöverskridande behandling av personuppgifter inom EU

86 Gränsöverskridande behandling inom EU Gränsöverskridande behandling och lokala fall Samarbete mellan dataskyddsmyndigheterna Europeiska dataskyddsstyrelsen (EDPB) Artikel 55 och 56

87 Checklista

88 Checklista Skapa medvetenhet inom organisationen Är ledningen insatt? Finns det resurser för arbetet? Utse dataskyddsombud Inventera personuppgiftsbehandlingar Vilka kategorier av personuppgifter behandlas? Känsliga personuppgifter? Uppgifter om barn? Hur samlas uppgifterna in och till vilka lämnas de ut? Upprätta ett register över personuppgiftsbehandlingar Särskilda integritetsrisker ( hög risk )

89 Checklista (forts) Se över vilken rättslig grund för behandlingen Myndigheter kan i princip inte använda samtycke eller intresseavvägning Se över vilken information som lämnas till de registrerade Uppfylls informationskraven? Lättillgänglig form samt klart och tydligt språk

90 Checklista (forts) Ta fram rutiner för de registrerades rättigheter Registerutdrag, rättelse, radering, begränsning, dataportabilitet, invändning, automatiserat beslutsfattande Överförs uppgifter till tredje land? Se över säkerheten för behandlade personuppgifter Ta fram rutiner för incidentrapportering Inbyggt dataskydd och dataskydd som standard

91 Checklista (forts) Det räcker inte bara att göra rätt utan ni ska kunna visa att ni gör rätt! Utarbeta interna strategier för dataskydd Följ utvecklingen (nationell lagstiftning) Tänk på att skyddet för personuppgifter är inte bara en grundläggande rättighet utan även en fråga om de registrerades förtroende Att inte förbereda sig för dataskyddsförordningen kan bli dyrt (kanske även för myndigheter)

92 Frågor?

93