View
0
Download
0
Category
Preview:
Citation preview
Sammanfattning utbildning i ny dataskyddsförordning (del 1)
NYA REGLER FÖRHANTERING AVPERSONUPPGIFTER
Utbildning i nydataskydds- förordningLotta Kavartardze
registreringsnummer. Även om man som
innehavare av ett register över till exempel
lägenhetsnummer inte vet vem som bor i
respektive bostad, finns det någon annan
som sitter på kopplingen. Därmed blir det
en personuppgift även för den part som
inte har tillgång till kopplingen mellan
nummer och person.
Samma sak gäller om man pseudonymi-
serar eller krypterar. Så länge det finns
en någon eller något som kan identifiera
uppgifterna till en specifik person är det
en personuppgift. För att bryta kopplingen
till en person måste uppgifterna helt och
hållet anonymiseras.
Lotta Kavartardze har länge jobbat med dataskydds- och personupp-giftslagen och har bra koll på vad den nya förordningen innebär. Un-der utbildningens två dagar berättar hon om grundläggande faktorer för personuppgiftsbehandling och hur man kan anpassa sin verksamhet ef-ter nuvarande och kommande lagar.
Personuppgiftslagen omfattar alla uppgifter
som kan kopplas till en enskild person och
som hanteras eller har hanterats digitalt.
Som företag eller organisation har man rätt
att registrera och förvara personuppgifter
som är nödvändiga för att bedriva verksam-
heten. Men de får endast vara registrerade
så länge man kan motivera att de behövs
för verksamheten och att de som har till-
gång till den behöver dem i sitt arbete. Ett
grundläggande tips från Lotta är därför att
aldrig registrera mer än vad som behövs.
Vad är en personuppgift?En personuppgift är all typ av informa-
tion som på något sätt kan kopplas
till en identifierbar, fysisk person som
är i livet. Det kan vara direkta uppgifter,
såsom namn eller personnummer, men
också indirekta uppgifter som till exempel
lägenhetsnummer, e-postadresser eller
Även omdömen och värderingar koppla-
de till en specifik person är personuppgif-
ter, till exempel beskrivning av bemötande
eller uppträdanden av specifika personer.
Dessa uppgifter anses ofta vara mer inte-
gritetskränkande än andra, eftersom det
kanske innebär en subjektiv beskrivning
eller värdering. Det är också denna typ av
register som bostadsbolag i första hand
blivit dömda för gällande överträdelser
av personuppgiftslagen. Lottas bild av
just omdömen och värderingar är att det
bara är dumt att skriva ner och registrera,
både för verksamheten och ur ett juridiskt
perspektiv.
HistoriaDen första dataskyddslagen kom till när folkräkningen flyttade från pappersblanket-
ter till en av statens första datorer på 1960-talet. Det uppstod då en oro kring säker-
heten för hur uppgifterna skulle hanteras digitalt samt vem som övervakar de som
övervakar befolkningen. Diskussionen mynnade ut i den första datalagen från 1973.
I slutet av 1980-talet antogs nuvarande PUL-lag, och med tanke på hur den digitala
världen såg ut då kan man förstå att den är något daterad. Den nya förordningen,
som kommer från EU och i stort sett är samma lag i alla medlemsländer, träder i kraft
25 maj 2018. Syftet är att få en mer enhetlig lagstiftning över hela unionen. Det kom-
mer finnas områden där länderna kan införa undantag, överordnade lager etc, men
med den nya förordningen får alla länder samma lägsta- och högstanivå för vad som
gäller för behandling av personuppgifter.
på i vilket system det sparas, vem som har
behörighet och vilka uppgifter som ingår.
Även här råder mantrat att inte spara/
registrera mer än vad som behövs för verk-
samheten.
känslig informationDet är förbjudet att registrera personupp-
gifter som klassas som känsliga. Följande
uppgifter räknas som känsliga enligt
lagen: Ras eller etniskt ursprung (både
direkta uppgifter eller indirekta uppgifter,
till exempel modersmål), politiska åsikter,
religiös eller filosofiskt övertygelse, med-
lemskap i fackförening, hälsa och sexualliv.
Nytt för den nya dataskyddsförordningen
är att även biometrisk och genetisk infor-
mation räknas som känslig information.
Självklart finns undantag, ett fackförbund
måste till exempel registrera sina medlem-
mar och HR-avdelningar måste kunna
registrera sjukfrånvaro. Ska man tillämpa
undantagen måste man ha koll på vad och
när det gäller, och om man över huvud
taget som organisation har rätt till det. Det
är också viktigt att fundera över om känslig
information är viktig att registrera, oftast
är det inte det. Det som kan ligga till grund
för undantag är till exempel skriftligt sam-
tycke, arbetsrätten, rättsliga anspråk (till
exempel om man vill göra en anmälan till
Bild, video, ljudupptagningar, biome-
trisk och genetisk information är också
personuppgifter. Till det räknas till exem-
pel inspelade samtal och kameraövervak-
ning där man kan identifiera individer.
Biometrisk information är till exempel
fingeravtryck. Förtydligande över vad som
är en personuppgift och fler kategorier
finns i den nya dataskyddsförordningen.
Vilka uppgifter får man spara?Kundförhållandet som studentbostadsfö-
retag har med sina hyresgäster ger rätt att
spara uppgifter som är berättigade för och
har grund i verksamheten. Oftast behöver
man inte samtycke för att registrera till
exempel namn, personnummer, adress etc.
Enligt Lotta är det ibland både överflödigt
och skapar merjobb att be om samtycke.
När man behöver samtycke eller inte är en
avvägning man får göra från fall till fall. Dä-
remot är det enligt den nya förordningen
otroligt viktigt att bostadsföretagen har
information tillgänglig för hyresgästerna
om hur personuppgifter behandlas.
Som studentbostadsföretag är det intres-
sant att spara uppgifter kring gamla hy-
resgäster eftersom många har en maxtid
som man får hyra studentbostad. Det är då
enligt lagen godkänt att spara den typen
av uppgifter, men det är viktigt att tänka
polisen). Fler undantag specificeras i den
nya förordningen.
Hos studentbostadsföretag kan känsliga
uppgifter komma in via fritextformulär, till
exempel genom ärendehanteringssystem.
Det kan man som företag inte rå över, men
man har ett ansvar för att den informatio-
nen inte förs vidare till andra system eller
följer med i den fortsatta hanteringen.
Extra skyddsvärda uppgifterMellan personuppgifter och känsliga upp-
gifter finns en kategori med personuppgif-
ter som anses vara lite extra värda att vara
försiktig med. Det är till exempel person-
nummer, samarbetsförmåga, viss ekono-
misk information eller annat som ligger
nära privatlivet. För studentbostadsföretag
kan det till exempel handla om någon som
kontinuerligt ligger efter med hyran. Det
finns inget förbud mot att registrera detta
och det kräver heller inte samtycke, men
det krävs extra säkerhetsåtgärder för de
platser där uppgifterna finns registrerade.
övergripande legala föränd-ringar med den nya data-skyddsförordningenÄven om alla medlemsstater kommer ha
samma lagtext, lämnar den stort utrymme
för tolkningar. När lagen träder i kraft 2018
kommer vi inte helt att veta hur den ska
tillämpas, utan det kommer praxis be-
stämma i stor utsträckning. Eftersom det
är oklart så kräver både förordningen och
omständigheterna att företag och orga-
nisationer i större utsträckning dokumen-
terar hur man behandlar personuppgifter
och vad som är syftet bakom att registrera
dem. Lotta tipsar om att man gärna kan
ta hjälp av krav som andra lagar ställer,
till exempel hyreslagen, för att motivera
registrering.
1. Krav på ordning och redaEn av de största förändringarna för en-
skilda företag är det ökade kravet på att
redogöra för hur man behandlar person-
uppgifter och varför man har de regist-
rerade. Kraven sträcker sig bland annat
till att det ska finnas tydliga strategier för
behandling av personuppgifter, öppenhet
gentemot de vars personuppgifter är re-
gistrerade och en struktur i organisationen
för ansvarsfördelning.
2. Ny dataskyddsstyrelseEn europeisk dataskyddsstyrelse kommer
tillsättas som har ansvar för förordningen.
Förordningen innebär stora sanktions-
avgifter, upp till €20 miljoner eller fyra
procent av omsättningen. Anledning till
att kraven är så höga är för att man med
större effekt ska kunna komma åt de stora
it-bolagen som verkar i EU.
3. Ökad dokumentationSom tidigare nämnt ställs stora krav på
analyser, rutiner och dokumentation.
Man ska kunna visa och bevisa att man
följer lagstiftningen med hjälp av doku-
mentation. Den kan till exempel innebära
olika policys, analyser av behandling av
personuppgifter, rutiner för gallring etc.
Förordningen kräver också att system och
programvaror är privacy by default, och
inte privacy by design. De betyder att ut-
gångsläget i alla system som hanterar per-
sonuppgifter automatiskt ska vara de som
är bäst för integriteten, och att det inte
behöver ske via manuella inställningar.
4. Ökat krav för samtyckeÄven krav för samtycke kommer att bli
hårdare. Hur det kommer se ut exakt vet
man ännu inte, men det lutar åt att sam-
tyckestexten måste ligga helt separat och
inte får blandas ihop med annan informa-
tion eller text. Lotta tycker därför att man i
första hand ska försöka hitta andra anled-
ningar att registrera personuppgifter än
samtycke, till exempel motivera varför de
behövs för verksamheten.
5. Ökat krav på information gentemot hyresgästenInformationskravet, som inte ska blandas
ihop med samtycke, kommer också blir
större. Till exempel ställs krav på att man
mer tillgängligt och utförligt ska beskriva
hur man registrerar personuppgifter, var
man gör det och varför. Det ska även fram-
gå vilka rättigheter individen har, till ex-
empel att de har rätt att klaga eller begära
skadestånd. Här rekommenderar Lotta att
vara noggrann, tydlig och detaljrik.
6. Krav på dataskyddsombudDen nya förordningen kräver att det finns
ett dataskyddsombud på arbetsplatsen
som har hand om frågor rörande data-
skydd och personuppgifter.
7. Informera om dataintrångOm det händer något med företagets
IT-system eller liknanden måste det do-
kumenteras. Vid allvarliga fall av intrång
måste det anmälas och berörda kunder
måste meddelas. Mer information om den
här biten kommer närmare införandet.
8. IT-leverantören blir tillsynsobjektTill skillnad från tidigare lagstiftning
innebär den nya förordningen även att
IT-leverantörer blir tillsynsobjekt. Det be-
tyder att de måsta ta större ansvar för hur
de hanterar personuppgifter. Men som
företag har man fortsatt ansvar för att de
IT-program man använder sig av hanterar
personuppgifter på rätt sätt.
Problemområden för data-skydd – vad går fel?Enligt Lotta är det brist på medvetande
som oftast orsakar problem, man vet helt
enkelt inte vad som gäller eller vilka krav
man behöver möta. Ett annat stort pro-
blem är att man har för lite eller för dålig
information om hur man behandlar per-
sonuppgifter, både internt och externt.
Att gallra i gamla personuppgifter är också
en sak som många missar. Ofta kanske
man inte gör det eftersom tekniken inte
kräver det, till exempel att servern inte
är full. Men det är ingen ursäkt, gamla
personuppgifter som inte längre behövs i
verksamheten ska kontinuerligt rensas ut.
För bostadsföretag specifikt är fritext ett
problemområde. Som bostadsföretag kan
man inte ansvara för vad hyresgäster eller
andra skriver i fritextrutor, utan problemet
ligger istället i att fritexten ofta förs vidare
in i andra system oredigerade och att tex-
ten ibland innehåller personuppgifter.
Elektroniska nycklar, kameraövervakning,
utelämnande av uppgifter till tredje part
för till exempel marknadsföring och olika
typer av e-tjänster är andra områden där
det lätt kan uppkomma problem för bo-
stadsföretag.
Lottas tips för att jobba med dataskyddtet och dels för att det kan finnas liten kunskap om vad
en personuppgift är. Genom att utbilda personal vet de
bättre vilken information de ska ge i samband med kart-
läggningen.
• Känns arbetet stort? Börja på en liten enhet eller en en-
het ni känner till väl.
• Skapa ett nätverk/kontaktpersoner för att bolla frågor
med och som kan hjälpa till med att föra projektet
framåt.
• Träffa de personerna som hanterar olika system och
intervjua dem för att förstå vad deras arbete innebär. Här
kan man utgå ifrån färdiga mallar och enkäter.
• Ta reda på om personer gör andra saker utanför de större
systemen, till exempel egna listor i Excel, Word etc.
• Gör en juridisk utvärdering utifrån kartläggningen och
intervjuerna. Vad stämmer överens med lagen och vad
behöver justeras, läggas till eller tas bort? Till exempel
kan en behandling behöva raderas, gamla register
behöver gallras och ändamålsbeskrivningen för en be-
handling/registrering/utlämning vara fel eller behöva
förtydligas.
• Kommunicera de förändringar som identifieras snabbt
(helst inom någon/några veckor) till de som berörs. Får
man ingen respons tror man att allt är bra och nödvän-
diga förbättringar uteblir.
• Var inte en stoppkloss eller skapa onödiga hinder. Gå
istället till botten med varför man vill använda person-
uppgifter i olika situationer och gör en bedömning uti-
från resultatet.
• Gör en GAP-analys: Här är vi -> hit ska vi. Vad är GAPet
övergripande tips• Förankra arbetet och syftet i styrelse och/eller lednings-
grupp. Att organisationen förstår vikten av arbetet med
dataskydd och behandling av personuppgifter är en
förutsättning för ett lyckat projekt.
• Skapa förståelse bland chef och kollegor – peka på tänk-
bara konsekvenser, inte bara risker utan även att ett bra
dataskydd kan stödja er verksamhet.
• Specificera ambitionen med dataskyddsarbetet – var är
ni idag och vilken nivå ska ni lägga er på? Alla behöver
inte vara bäst. Ambitionsnivån bestämmer hur mycket
tid, resurser och vilken budget projektet ska få.
• Ta fram en projektplan eller projektdirektiv – dataskydds-
arbetet är ett arbete som behöver styrning och ledning
• Se arbetet som ett projekt som ska genomföras under en
viss tid och sätt upp delmål
• Involvera personal, chef och medarbetare i hela proces-
sen. Även om man hyr in extern kompetens – se till att
någon går med under arbetets gång för att kunskapen
inte ska gå förlorad
tips för nulägesanalys/kartläggning• Att kartlägga alla rutiner och behandlingar av person-
uppgifter är ett omfattande arbetet. Skaffa ett verktyg
som är bra och underlättar arbetet med dokumentation
och registerförteckning.
• Kategorisera rött, gult, grönt. Vilka behandlingar/proces-
ser behöver åtgärdas, prioriteras eller är bra som de är
• Innan man börjar kartlägga är det bra att informera och
utbilda om projektet internt, dels för att förankra projek-
emellan, hur tar vi oss över det och vem för vad?
• Ta fram åtgärdsplaner, följ upp och dokumentera
• Titta även på att ta fram guidelines, policys och se över
avtal med IT-leverantören
tips för utbildning i organisationen• Medvetenhet är en förutsättning för ett gott dataskydds-
arbete. Alla ska ha en grundläggande kunskap om data-
skyddslagen – men alla behöver inte vara experter
• Ta fram exempel från verkligheten
• Lägg ut en Q&A på intranätet med de vanligaste frå-
gorna
• Andra sätt att öka kunskapen om dataskydd är e-lear-
ning, arbetsplatsträffar, seminarier, utbildning etc.
tips för papper• Många studentbostadsföretag har ett gäng gamla
kontrakt i pappersform. Dessa är personuppgifter och
innehåller dessutom även signaturer, vilket gör det extra
viktigt att tänka till kring säkerheten kring det.
• Sätt lås på skåpet
• Vem har behörighet till dokumenten?
• Bär inte omkring på informationen
• Informera om säkerhet kring papper och fysiska doku-
ment i företaget och eventuellt externa aktörer
• Se till att slänga/förstöra papper på rätt sätt
bEHandling aV PErson-UPPgiftErPå af bostädErClaes Hjortronsteen
steg 1: förankringMed insikten om att här är ett område som
behöver prioriteras började Claes med att
förankra det i ledningsgruppen. Lednings-
gruppen fick en kort utbildning i vad PUL
egentligen innebär och vad det kräver
av AF Bostäder. Framförallt diskuterade
de vad en dålig skött behandling av per-
sonuppgifter kan få för konsekvenser för
företaget, och en av de saker som kändes
viktig var att varumärket riskerade att få
dåligt rykte och renommé.
AF Bostäder tog ett snabbt beslut om att
prioritera frågan och tillsatte en projekt-
grupp bestående av Claes själv och företa-
gets ledningskoordinator. Projektgruppens
ansvar innefattade att göra en kartlägg-
ning av hur personuppgifter behandlades
idag, utbilda personalen, ta fram förslag
på en framtida organisation för ansvar för
personuppgiftsbehandling samt ta fram
nödvändiga dokument och policys.
Det första målet vara att kartlägga hur
ärendehanteringen såg ut i dagsläget.
Vilka uppgifter finns i vilka system och
vilka har tillgång till dem. Därefter jäm-
förde de resultatet med kraven från data-
skyddslagen och identifierade områden
som behövde prioriteras och förändras.
Med oss från AF Bostäder är Claes Hjortronsteen, försäljningschef, som genomfört en grundlig genomgång och kartläggning av deras behand-ling av personuppgifter. Han berät-tar om deras resa och delar med sig av tips om vad man ska göra - och vad man inte ska göra.
Precis som på många andra studentbo-
stadsföretag inkommer personuppgifter
till AF Bostäder främst via bostadsansök-
ningar, men även olika typer av särbe-
handling och studie- och medlemskon-
troll. Och med tanke på den stora mängd
personuppgifter de hanterar började Claes
för några år sedan känna en gnagande
oro – är det här något de behöver ta tag
i? Hur ser rutinerna för personuppgifter ut
på företaget och var de i enlighet med vad
lagen kräver?
Efter lite research av vad dataskyddslagen
innebär idag och troligen kommer innebä-
ra 2018 samt en snabb koll på hur de han-
terade personuppgifter insåg Claes att de
var långt ifrån att ha sitt på det torra. Bland
annat insåg han att de saknade policys, var
dåliga på att informera studenterna om
hur deras uppgifter behandlas, hade ingen
behörighetsstruktur och var dåliga på att
gallra bort uppgifter från gamla kunder.
steg 2: kartläggningKartläggningen började med att projektet
förankrades i hela företaget för att alla
skulle vara medvetna om vad som hände
och varför. Målet med kartläggningen var
att besvara vad som registreras var, varför
och av vem. De bad därför IT-avdelningen
att ta fram en snabbanalys över vilka sys-
tem som används i företaget. För att få rätt
svar från medarbetarna och rätt riktning på
diskussionen tog de fram ett frågeformulär
att utgå ifrån som baserades på PUL:s krav
och innefattade allt de behövde veta.
Claes understryker att arbetet med kart-
läggning tar tid, för AF Bostäder tog det
nästan upp mot ett år. Det involverar ofta
många personer, som själva har mycket att
göra. Och i vissa fall får det lov att ta tid, för
att alla information ska komma fram och
bli tillgänglig.
steg 3: organisationNästa fråga projektgruppen tog sig an var
organisationsfrågan. Vem ska äga ansvaret
när projektgruppens arbete är över? De
kom ganska snart fram till att ha en enda
PU-ansvarig inte var en lösning eftersom
ansvaret bör ligga hos de som jobbar
nära arbetet med personuppgifter. AF
Bostäder är organisatoriskt uppdelat i tre
processområden (boutveckling, fastighets-
utveckling och försäljning) och ansvaret
för personuppgifterna lades på de tre
som är ansvariga för respektive område.
De är därmed ansvariga för hur person-
uppgifter behandlas inom sitt respektive
område. Dessutom inrättade AF Bostäder
en PU-samordnare, som ansvarar för att
koordinera de olika processansvariga samt
vidareutbilda företaget i ämnet.
Kompetens och verksamhetsstöd är a
och o i arbetet med personuppgifter. Allt
från interna och externa utbildningar till
dokument, checklistor och IT-stöd är vik-
tigt för att få en bra grund i företaget för
både kartläggning och genomförande.
Claes och hans kollegor skapade egna
dokument, mallar och IT-stöd, men märkte
i efterhand att det finns att tillgå på annat
håll. Något som i efterhand kunde sparat
en hel del arbete.
steg 4: anpassningEfter kartläggningen var det dags att an-
passa program, dokument och arbetssätt
efter lagstiftningen. Claes främsta tips
är att även låta detta ta tid. Man kan inte
hoppa på alla bollar samtidigt och samtlig
involverad personal måste få det stöd som
behövs.
Det AF Bostäder gjorde var bland annat att
upprätta biträdesavtal med alla IT-leveran-
törer. Eftersom den nya dataskyddsförord-
ningen kräver att man har koll på hur per-
sonuppgifter behandlas även av externa
parter och leverantörer är det viktigt att ta
reda på hur de i sin tur hanterar person-
uppgifter. Vad gäller IT-system och olika
program så har även de så klart behövt
anpassas. Där är Claes tips att anpassa dem
så att så lite manuellt arbete som möjligt
behövs i framtiden.
En annan viktigt sak är särskilja var in-
formation och medgivande. Att be om
hyresgästens medgivande för användning
av personuppgifter är inte detsamma som
att informera om hur man hanterar dem.
AF Bostäder var därför tvungna att bättre
tillhandahålla information om hur man
använder personuppgifter och varför.
avslutande rådUnder de två år som Claes och AF Bostäder
har jobbat med personuppgifter har de
lärt sig ett och annat. Det Claes hela tiden
återkommer till är att det är en process
som måste få ta tid. Bestäm tempo och
vilka resurser som ska användas inom
företaget och ta det i den takt det behövs
utan att tappa sikte på målet.
Han ångrar heller inte att de internt lade
ner så mycket arbete på processen, istäl-
let för att ta in en konsult. Vinsten är att
kompetensen de fått stannar kvar inom
företaget, vilket är en tydlig fördel i det
kommande kontinuerliga arbetet.
Ett mer konkret tips Claes avslutar med
är att försöka avveckla kommunikation i
fritext och/eller i okontrollerade kanaler,
till exempel Facebook och mejl. Det är en
gråzon vad gäller dataskydd och det är
bättre att utveckla nya, säkrare vägar för
kommunikation med hyresgäster.
Nytt
medlemserbjudande!
Smarta verktyg för säker
och korrekt hantering
av personuppgifter
Läs mer på vår webb
Recommended