Personuppgifter och dataskydd

De registrerade är begreppet som används avseende de individer vars personuppgifter verksamheten behandlar, dvs de individer som berörs av personuppgiftsbehandlingen och vars information universitetet hanterar i någon form. Det kan t.ex. röra anställda och studenter, respondenter inom forskning eller uppdragstagare i någon form etc. De registrerade skulle enkelt uttryckt kunna sägas vara huvudpersonerna i dataskyddslagstiftningen, eftersom det är de registrerades uppgifter som ska skyddas och tas omhand på ett adekvat sätt. I dataskyddslagstiftningen tillerkänns de registrerade ett antal rättigheter, såsom den allmänt kända rättigheten ”att bli bortglömd” (mer om de registrerades rättigheter nedan).

Dataskyddsombudet är ett ombud för de registrerade och har därmed en oberoende roll. De flesta organisationer och verksamheter som behandlar personuppgifter måste enligt lagstiftningen utse ett dataskyddsombud. Dataskyddsombudets uppgift är att övervaka att organisationen följer dataskyddslagstiftningen. Detta kan ske dels genom kontroller, men också genom information och rådgivning till organisationen. Dataskyddsombudet kan t.ex. utfärda rekommendationer till den personuppgiftsansvarige. Dataskyddsombudet kan inte ta över den personuppgiftsansvariges uppgifter i förhållande till lagstiftningen och utöva ett ansvar. Det innebär i praktiken att verksamheten behöver förstå med vilken rätt de utför personuppgiftsbehandlingar och se till att lagstiftningen efterlevs genom att uppfylla de krav på dokumentation, transparens och riskanalyser som lagstiftningen ställer.

I varje medlemsstat ska det finnas en tillsynsmyndighet för övervakningen av tillämpningen av dataskyddslagstiftningen. I Sverige utövar Integritetsskyddsmyndigheten (IMY) tillsyn över verksamheter som har att följa dataskyddslagstiftningen. Privatpersoner som är missnöjda med hur en verksamhet behandlar deras personuppgifter kan vända sig till IMY med klagomål och IMY kan fatta beslut och utfärda sanktionsavgifter om de bedömer att en verksamhet inte följer lagstiftningen.

Den verksamhet som bestämmer varför personuppgifter ska behandlas och hur det ska gå till är personuppgiftsansvarig. En verksamhet kan vara ensamt personuppgiftsansvarig eller gemensamt personuppgiftsansvarig tillsammans med annan verksamhet. Ansvaret för personuppgiftsbehandlingar inom Stockholms universitet följer de besluts- och delegationsordningar som gäller på universitetet. Detta innebär att rektor har ett övergripande ansvar som är delegerat till de olika verksamhetsgrenarna inom universitetet, som i sin tur har att se till att uppfylla regelverket.

Gemensamt ansvarig

Om universitetet bestämmer varför och hur personuppgifter ska behandlas tillsammans med annan part, t.ex. vid samverkan och forskning, så innebär det ett gemensamt personuppgiftsansvar. Vid gemensamt personuppgiftsansvar ställer lagstiftningen krav på avtal mellan parterna. Kravet på avtal i lagstiftningen finns där för att ansvarsuppfyllande och utförande, såsom till vem de registrerade ska vända sig för att utöva sina rättigheter, ska vara tydligt. Här (länk till wordmall) hittar du en exempelmall för avtal gällande gemensamt personuppgiftsansvar.

Ensamt ansvarig

Ibland förekommer flöden av personuppgifter mellan två organisationer utan att situationen innebär ett gemensamt ansvar eller att någon agerar på uppdrag av annan som personuppgiftsbiträde. I dessa fall är organisationerna ensamt ansvariga för sina behandlingar. Det är viktigt att komma ihåg att ändamålen för de olika behandlingarna måste vara förenliga med varandra för att det ska vara tillåtet med en överföring av uppgifter från en part till en annan.

Exempel: När en arbetsgivare skickar personuppgifter till företagshälsovården för ändamålet förbättrad arbetsmiljö för medarbetaren och hälsvårdsföretaget därefter behandlar uppgifterna för ändamålet att erbjuda individen vård, så innebär det att de två olika organisationerna har ensamt ansvar, där ändamålen med de olika behandlingarna ändå är förenliga med varandra.

Ibland kan det finnas önskemål och anledning att reglera flödet av data mellan två ensamt ansvariga i ett datadelningsavtal. För rådgivning kontakta rättssekretariatet (länk till fråga juristen).

En verksamhet eller organisation som behandlar personuppgifter på uppdrag och instruktioner av någon annan agerar som personuppgiftsbiträde. Ett personuppgiftsbiträde har inget eget ändamål med behandlingen, utan behandlar uppgifter enbart på uppdrag av annan (dvs den personuppgiftsansvarige). Ett personuppgiftsbiträde kan inte kontrollera personuppgiftsbehandlingen eller ändra på syftet med behandlingen, utan agerar alltid på uppdrag av den personuppgiftsansvarige. Stockholms universitet agerar endast undantagsvis som personuppgiftsbiträde. Ett typiskt personuppgiftsbiträde är en leverantör av IT-system och leverantör av s.k. molntjänster som lagrar och hanterar personuppgifter åt den ansvarige. Om du har behov av ett personuppgiftsbiträdesavtal så finns standardavtalsklausuler för personuppgiftsbiträdesavtal (framtagna av EU-kommissionen). Obs att standardavtalsklausuler inte får ändras. Denna exempelmall (länk till word-mall) kan också användas vid behov av personuppgiftsbiträdesavtal.

Vid universitetet finns en central registerförteckning som beskriver de personuppgiftsbehandlingar som sker inom universitetets övergripande verksamhetsförmågor. Personuppgiftsbehandlingar inom forskning och samverkan samt studenters behandling av personuppgifter (vid t.ex. examensarbeten) behöver registreras särskilt, eftersom ändamål med behandlingarna och kategorier av personuppgifter kan skilja sig åt beroende på vilka studier som genomförs och hur uppgifterna hanteras inom det specifika projektet/studien. Varje institution ansvarar för att ha ett eget uppdaterat register över forskning och samverkan samt för personuppgiftsbehandlingar inom studentarbeten. Institutioner kan använda excel-mallen Registerförteckning institution (länk till excelmall) för detta syfte. Registret ska vara tillgängligt i elektroniskt format och hållas uppdaterat. På begäran ska det göras tillgängligt för dataskyddsombudet och IMY. Vid universitetet pågår det för närvarande ett arbete att systematisera universitetets samlade registerförteckning.

I GDPR stadgas att personuppgiftsbehandling är laglig om den är nödvändig för att utföra en uppgift av allmänt intresse som ska vara fastställd antingen genom unionsrätten eller en medlemsstats nationella rätt. Därför måste uppgiften av allmänt intresse alltid utgå från lag, förordning eller annat uppdrag som universitetet fått av riksdag eller regering, såsom exempelvis regleringsbrev.

I 1 kap. 2 § Högskolelagen (1992:1434), HL stadgas att universitetets uppdrag är att bedriva utbildning och forskning och att det i universitetets uppgift ska ingå att samverka med det omgivande samhället för ömsesidigt utbyte och verka för att den kunskap och kompetens som finns vid universitetet kommer samhället till nytta. Mycket av verksamheten vid ett lärosäte utgår från detta uppdrag, som därmed utgör grunden för att hantera de personuppgifter som är nödvändiga för att kunna utföra uppgiften.

Exempel på uppdrag av allmänt intresse:

• Forskning och samverkan
• Nödvändiga stödverksamheter som styrning och ledning, ekonomi, lokalförsörjning, IT-stöd med flera
• Uppdragsutbildning
• Publika evenemang
• Nyhetsbrev

Om det finns en lag, författning eller ett kollektivavtal som säger att universitetet måste utföra vissa uppgifter så får du lov att hantera de personuppgifter som är nödvändiga för att kunna utföra dessa.

Rättslig förpliktelse är en vanligt förekommande rättslig grund inom personalarbetet. Detta eftersom personalarbetet till stor del grundar sig på lagar, författningar eller kollektivavtal.

Du får lov att hantera personuppgifter när det är nödvändigt som ett led i myndighetsutövningen. Myndighetsutövning motsvarar vid universitetet bland annat antagning av studenter, examination eller utfärdande av examensbevis.

Det är tillåtet att hantera personuppgifter när det behövs för att fullfölja avtal som universitetet har ingått eller kommer att ingå med en enskild person.

Vid vissa tillfällen kan en person ge sitt samtycke till att universitetet hanterar hens personuppgifter. Tänk på att samtycket ska vara frivilligt, informerat och dokumenterat. Du ska inte be personer som står i beroendeställning till universitetet om samtycke. Detta innebär att du som regel inte kan använda samtycke som rättslig grund för anställda och studenter.