Personuppgiftshantering

Personuppgiftshantering avser alla aktiviteter som rör personuppgifter, dvs uppgifter som direkt eller indirekt kan kopplas till en person. Detta innefattar insamling, lagring, organisering, användning, överföring, publicering och radering av uppgifter. I Sverige regleras personuppgiftshantering främst av GDPR (dataskyddsförordningen) tillsammans med nationell lagstiftning samt tillsyn av Integritetsskyddsmyndigheten.

Enligt lagstiftningen ska behandlingen ske i enlighet med principer som främjar skyddet av de registrerade: laglighet, korrekthet, öppenhet; ändamålsbegränsning; uppgiftsminimering; korrekthet; lagringsbegränsning; integritet och konfidentialitet samt ansvarsskyldighet. Den som är personuppgiftsansvarig (data controller) ansvarar för verksamhetens behandling och kan använda en personuppgiftsbiträdes (data processor) vid behov. Den registrerade har rättigheter såsom tillgång till sina uppgifter, rättelse, radering, begränsning av behandling, dataportabilitet och rätt att göra invändningar.

Behandling får bara ske på rättslig grund: samtycke, avtal, rättslig förpliktelse, skydd av vitala intressen, uppgift av allmänt intresse eller berättigat berättigande (legitimate interests). Särskilda kategorier av uppgifter kräver särskilda skyddsåtgärder.

Säkerhet är avgörande: lämpliga tekniska och organisatoriska åtgärder ska vidtas, och personuppgiftsincidenter ska anmälas till tillsynsmyndigheten inom 72 timmar när risker föreligger. Om uppgifter överförs till tredje land krävs adekvata skydd eller garantier, exempelvis standardavtalsklausuler. För högriskverksamhet krävs ibland integritetsskydd i design och DPIA.