Personuppgifter

Personuppgifter, eller personuppgifter på svenska, är uppgifter som hänför sig till en identifierbar person. Det kan vara uppgifter som namn, e-postadress och telefonnummer, men även indirekta uppgifter som IP-adress, cookies eller biometriska data. Varje uppgift som ensam eller tillsammans med andra uppgifter gör det möjligt att identifiera en person räknas som personuppgift. Skyddet gäller både offentliga och privata aktörer som behandlar sådana uppgifter.

I EU regleras personuppgifter av allmänna dataskyddsförordningen (GDPR). I Sverige används begreppet vanligtvis inom ramen för GDPR och den svenska lagen om dataskydd, samt tillsynsmyndigheten Integritetsskyddsmyndigheten (IMY). Behandling av personuppgifter omfattar insamling, lagring, organisering, överföring och radering och kräver ofta en rättslig grund såsom samtycke, avtal, rättslig förpliktelse eller berättigat intresse.

GDPR föreskriver principer som laglighet, rättvisa och öppenhet; ändamålsbegränsning; uppgiftsminimering; korrekthet; lagringsbegränsning; integritet och konfidentialitet samt ansvar. Personuppgifter får endast behandlas i syfte som berättigar behandlingen och får inte lagras längre än nödvändigt. Överföring av uppgifter till tredje part eller till länder utanför EES kräver lämpliga skyddsåtgärder.

Om personer upplever att deras uppgifter behandlas felaktigt har de rättigheter som tillgång till uppgifter (registerutdrag), rättelse, radering (rätten att bli glömd), begränsning av behandling, dataportabilitet och invändning mot behandling samt rättigheter vid automatiserade beslut. Verksamheter ska lämna tydlig information i integritetspolicy eller liknande dokument om hur uppgifter behandlas.

Organisationer måste vidta lämpliga tekniska och organisatoriska åtgärder för att skydda uppgifter, exempelvis kryptering och åtkomstkontroller. De ska dokumentera behandlingsaktiviteter och anmäla personuppgiftsincidenter till IMY och de registrerade när det finns risk för integritetsskada.