| Table of Contents |
|---|
...
Därför behöver en överföring betraktas ur tre perspektiv för att reda ut hur överföringen skall betraktas och om det är tillåtet i enlighet med GDPR. Dessa tre perspektiv är:
Vem äger infrastrukturen som utför behandlingen
Vilken rättslig grund har behandlingen
Vem är personuppgiftsansvarig för behandlingen
Ett försök att förtydliga de olika perspektiven syns färgkoden återkommande i diagrammen nedan.
...
Begrepp | Innebörd | Exempel |
|---|---|---|
Personuppgift | Personuppgifter är all slags information som kan knytas till en levande person. Det kan röra sig om namn, adress och personnummer. Även foton på personer klassas som personuppgifter. | |
Känsliga personuppgifter | Vissa personuppgifter är till sin natur särskilt känsliga och har därför ett starkare skydd. De kallas för känsliga personuppgifter. | Känsliga personuppgifter är uppgifter om
|
Extra skyddsvärd personuppgift | Ett personnummer anses vara en extra skyddsvärd personuppgift. | |
Extern aktör Extern part | En annan organisation än GU. Annan juridisk person. Annan juridisk zon. | |
Personuppgiftsbehandling Behandling | Varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. | |
Personuppgiftsansvarig (PUA) | Personuppgiftsansvarig är den organisation (till exempel aktiebolag, stiftelse, förening eller myndighet) som bestämmer för vilka ändamål uppgifterna ska behandlas och hur behandlingen ska gå till. | |
Personuppgiftsbiträde (PUB) | Personuppgiftsbiträde är den som behandlar personuppgifter för en personuppgiftsansvarigs räkning. Ett personuppgiftsbiträde och dess personal får enbart behandla personuppgifter enligt instruktion från den personuppgiftsansvariga. | |
Personuppgiftsbiträdesavtal (PUBA) Biträdesavtal | Det är vanligt att personuppgiftsansvariga anlitar biträden för att utföra en viss personuppgiftsbehandling för att använda biträdets specifika expertis eller erfarenhet som den personuppgiftsansvariga saknar i sin organisation. … När ett personuppgiftsbiträde behandlar personuppgifter åt den personuppgiftsansvariga, ska behandlingen regleras genom avtal (eller annan rättsakt) | Personuppgiftsbiträdesavtal - Integritetsskyddsmyndigheten (imy.se) |
General Data Protection Regulation (GDPR) Dataskyddsförordningen | ||
Lagring (behandling) | ||
Överföring (behandling) | ||
Uppgiftsminimering (princip) | Personuppgifter som behandlas ska vara adekvata, relevanta och inte för omfattande i förhållande till ändamålet. | |
Riktighet (princip) | Personuppgifter som behandlas ska vara riktiga och, om nödvändigt, uppdaterade. | |
Rättslig grund | Ett lagligt stöd i dataskyddsförordningen för att behandlingen av personuppgifter ska vara tillåten. | |
Samtycke (rättslig grund) | Med samtycke menas varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne. | |
Allmänt intresse (rättslig grund) se Myndighetsutövning | ||
Myndighetsutövning och uppgifter av allmänt intresse (rättslig grund) | Alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter är enligt regeringens mening av allmänt intresse. Om uppgifterna inte vore av allmänt intresse skulle myndigheterna inte ha ålagts att utföra dem. | Studieadministrativa processer OBS! Uppgifter avser i sammanhanget inte personuppgifter utan myndighetens uppdrag som en rättslig grund för behandling Se Myndighetsutövning och uppgifter av allmänt intresse - Integritetsskyddsmyndigheten (imy.se) |
Spridning |
Dessa begrepp är inte lika viktiga men ändå:
Begrepp | Innebörd | Exempel |
|---|---|---|
Dataskyddsombud | ||
Dataskyddsgruppen |
Interaktionsmönster
Push (sändare initierar)
...
Det kan finnas problem med denna approach i vissa fall. Alla uppgifter kommer att skickas och här måste man bedöma om huruvida man litar på mottagaren eller inte. Vilken risk finns att uppgifterna missbrukas, dvs att mottagaren bryter mot avtalet. Risk- och sårbarhetsanalys måste göras.
Pros | Cons |
|---|---|
Asynkron push med uppslag från cache hos extern part
...
Syftet med detta är att undvika ett synkront beroende med uppslag mot GU. Samma data är tillgänglig för leverantören men i form av en enklare teknisk lösning.
Pros | Cons |
|---|---|
Pull (mottagare initierar)
...
I detta fall regleras förhållandet mellan GU och extern part genom ett Tjänsteavtal t.ex. att extern part har rätt att begära ut information om student baserat på personnummer.
Pros | Cons |
|---|---|
Beslutsstöd
Rättsliga aspekter
...
Det är väldigt viktigt att den personuppgiftsansvariga tydligt klargör vilka personuppgiftsbehandlingar det är man vill lägga över på ett personuppgiftsbiträde.
Juridiska hinder
Man måste givetvis bedöma redlighet och lämplighet hos den aktören som skall utföra behandlingen innan beslut kan tas:
Bedömning måste göras som alltid enligt
OSL
GDPR
Vilka är minimikraven för ett avtal?
...