GDPR är inte ett förbud mot att använda data – det är ett krav på ansvarsfulla val

Varför detta kräver ledningens uppmärksamhet

Integritetsfrågor delegeras ofta till jurister, informationssäkerhet eller IT. Dessa funktioner är avgörande, men de kan inte besluta om organisationens riskaptit, prioriteringar eller acceptabla avvägningar.

De allvarligaste riskerna uppstår när ansvaret är splittrat. En verksamhet samlar in uppgifterna, en annan upphandlar systemet, en leverantör behandlar informationen och ledningen utgår från att någon annan har granskat helheten.

Konsekvenserna kan bli större än sanktionsavgifter. Bristande integritetsstyrning kan skada enskilda, störa verksamheten, minska förtroendet och hindra organisationen från att använda värdefulla data när de verkligen behövs.

Vad regelverket medger

GDPR kräver inte samtycke för all behandling av personuppgifter. Beroende på situationen kan behandlingen grundas på samtycke, avtal, rättslig förpliktelse, skydd av grundläggande intressen, en uppgift av allmänt intresse eller ett berättigat intresse som inte väger tyngre än den registrerades rättigheter.

Rätt rättslig grund ska väljas innan behandlingen börjar. Den kan inte väljas i efterhand enbart för att motivera en redan etablerad hantering.

Inom dessa ramar kan organisationer:

• använda de personuppgifter som behövs för att leverera avtalade tjänster;
• uppfylla rättsliga krav och andra regelkrav;
• skydda system, förebygga bedrägerier och upprätthålla informationssäkerhet;
• tillgodose berättigade organisatoriska intressen efter att ha bedömt konsekvenserna för den enskilde;
• analysera korrekt anonymiserad information som inte längre kan kopplas till en identifierbar person.

De grundläggande principerna gäller hela tiden: tydliga ändamål, uppgiftsminimering, riktighet, begränsad lagring, öppenhet, säkerhet och ansvarsskyldighet.

Vad regelverket begränsar

En organisation får inte samla in personuppgifter bara för att de kan bli användbara senare. Uppgifterna får inte heller automatiskt återanvändas för ett nytt och oförenligt ändamål.

GDPR begränsar särskilt:

• överdriven eller spekulativ insamling av personuppgifter;
• otydlig sekundär användning av kunders, medarbetares eller invånares uppgifter;
• obegränsad lagring utan dokumenterat behov;
• åtkomst som ges till fler personer än vad som krävs;
• delning med leverantörer utan tydligt ansvar och tillräckliga skyddsåtgärder;
• överföringar till tredjeland utan tillämplig överföringsmekanism;
• behandling av känsliga personuppgifter utan både rättslig grund och det ytterligare stöd som krävs;
• helt automatiserade beslut med rättsliga eller liknande betydande följder, utom i begränsade fall och med lämpliga skyddsåtgärder.

Den registrerade ska också få tydlig information om behandlingen och kunna utöva tillämpliga rättigheter, exempelvis tillgång, rättelse, invändning och radering.

Riskerna som ledningen bör granska

Den huvudsakliga risken avgörs inte enbart av mängden data. Den uppstår i kombinationen av känslighet, omfattning, åtkomst, tekniskt beroende och konsekvenser för den enskilde.

• Vet vi vilka personuppgifter organisationen faktiskt använder?
• Är varje väsentlig behandling kopplad till ett tydligt ändamål och en rättslig grund?
• Är ansvaret tydligt mellan oss och våra leverantörer?
• Kan vi radera uppgifter när ändamålet har upphört?
• Byggs integritet och säkerhet in i nya tjänster från början?
• Kan profilering eller automatiserade beslut påverka en enskild på ett oskäligt sätt?
• Skulle vi upptäcka och hantera en personuppgiftsincident tillräckligt snabbt?

En konsekvensbedömning avseende dataskydd krävs när en behandling sannolikt medför hög risk för enskildas rättigheter och friheter. Den ska göras innan behandlingen inleds och hållas aktuell när förutsättningarna förändras.

Ett praktiskt första steg

1. Kartlägg en viktig process från insamling till radering.
2. Identifiera ändamål, rättslig grund, system, mottagare och ansvarig ägare.
3. Ta bort uppgifter och behörigheter som inte behövs.
4. Granska leverantörsavtal, överföringar och ansvar vid incidenter.
5. Avgör om den kvarvarande risken kräver en formell konsekvensbedömning eller ett ledningsbeslut.

En personuppgiftsincident som sannolikt medför risk för enskilda ska normalt anmälas till tillsynsmyndigheten utan onödigt dröjsmål och, om möjligt, inom 72 timmar från det att organisationen fick vetskap om incidenten. Vid hög risk kan även de berörda personerna behöva informeras.

Frågor för ledningsgruppen

• Vilken användning av personuppgifter skulle vara svårast att förklara offentligt?
• Var förlitar vi oss på antaganden i stället för belägg?
• Vem har mandat att stoppa en behandling när risken är oacceptabel?
• Kan vi visa att våra beslut om integritet följs i praktiken?

God integritetsstyrning hindrar inte organisationen från att använda data. Den skapar förutsättningar för att göra det lagligt, ansvarsfullt och med trygghet.

Officiella källor

• Europeiska kommissionen – Principer för behandling av personuppgifter
• Europeiska kommissionen – Rättsliga grunder för behandling
• Europeiska kommissionen – När krävs en konsekvensbedömning?
• Europeiska kommissionen – Personuppgiftsincidenter

Artikeln ger generell vägledning ur ett ledningsperspektiv och utgör inte juridisk rådgivning. Branschspecifika och nationella regler kan medföra ytterligare krav.