Personuppgiftsregler

Personuppgiftsregler refererar till de regler och principer som styr hur personuppgifter får behandlas inom EU och Sverige. Huvudramen utgörs av Dataskyddsförordningen (GDPR) tillsammans med nationell lagstiftning och tillsynsmyndigheter. GDPR gäller för alla organisationer som behandlar uppgifter om enlevande personer och kräver att behandlingen sker på ett lagligt, transparent och säkert sätt.

De grundläggande principerna omfattar laglighet, rättvisa och öppenhet i behandlingen, ändamålsbegränsning så att uppgifterna endast används för specificerade ändamål, uppgiftsminimering så att endast lämpliga uppgifter samlas in, riktighet och lagringstidsbegränsning samt integritet och konfidentialitet. Organisationer måste ha en rättslig grund för behandlingen, såsom samtycke, avtal, rättslig förpliktelse eller berättigat intresse, och vara ansvariga för att visa efterlevnad.

Roller och ansvar inkluderar begreppen datakontrollant (den som bestämmer ändamålen och medlen för behandlingen) och databehandlare (den som behandlar uppgifter på uppdrag). Det krävs ofta personuppgiftsbiträdesavtal, bedömningar av dataskydd genomförs (DPIA) vid högriskbehandling, och företag måste anmäla allvarliga personuppgiftsincidenter till tillsynsmyndigheten inom kort tid.

Rättigheterna hos individer är omfattande: tillgång till egna uppgifter, rättelse, radering (right to be forgotten), dataportabilitet, begränsning av behandling, invändning mot viss behandling samt skydd mot automatiserade beslut i vissa fall.

Överföringar utanför EES och tillsyn innefattar krav på adekvata skyddsåtgärder eller godkända överföringsmekanismer. Sveriges Integritetsskyddsmyndigheten (IMY) övervakar efterlevnaden och kan föreskriva åtgärder eller utdöma sanktioner vid överträdelser. Praktiskt krävs integritetsskydd i design och standard, dokumentation av behandling och utbildning av personal.