Behandling av personuppgifter

Dataskyddsförordningen (GDPR) ställer höga krav på hantering av personuppgifter och vilka rättigheter den registrerade har.

Dataskyddsförordningen (GDPR) har till syfte att skydda den grundläggande mänskliga rättigheten, rätten till ett privatliv. Den personliga integriteten ska inte kränkas i samband med behandlingen av personuppgifter. Sundsvalls kommun behandlar personuppgifter för att kunna fullgöra sina skyldigheter och åtaganden mot invånare, fastighetsägare, näringsidkare och myndigheter.

Så fort en personuppgift hanteras så kallas det att personuppgiften behandlas. Det kan vara att den samlas in, registreras, lagras, ändras eller raderas. Lagen gäller när personuppgifter hanteras med hjälp av it-stöd. Personuppgifter som endast finns i pappersform och aldrig blir digital omfattas inte av dataskyddsförordningen.

En personuppgift är allt som kan kopplas till en levande person. Det finns både direkta och indirekta personuppgifter.

Exempel på direkta personuppgifter

Uppenbara uppgifter som namn, personnummer, adress

Exempel på indirekta personuppgifter

Uppgifter som går att koppla till en individ som ip-adress, fastighetsbeteckning, diarienummer, kundnummer, e-postadress och telefonnummer.

Även foton och ljudupptagningar räknas som personuppgifter.

Extra skyddsvärda personuppgifter

Alla personuppgifter som rör barn är extra skyddsvärda. Det kan också vara uppgifter som handlar om brott, sådant som omfattas av sekretess och tystnadsplikt, omdömen eller ekonomiska förhållanden. Detta är uppgifter som lätt kan uppfattas som kränkande om de hanteras på fel sätt, och ska hanteras extra varsamt.

Känsliga personuppgifter

Det finns personuppgifter som inte får registreras om det inte finns mycket starka och tydliga skäl till att göra det. Det är uppgifter om:

  • Ras eller etniskt ursprung
  • Politiska åsikter
  • Facklig tillhörighet
  • Hälsouppgifter
  • Religiös eller filosofisk övertygelse
  • Sexualliv eller sexuell läggning
  • Biometriska (exempelvis fingeravtryck) och genetiska uppgifter (exempelvis DNA)

Det kan förekomma att Sundsvalls kommun behöver registrera känsliga personuppgifter för att uppfylla ett lagkrav eller vid myndighetsutövande. Då används extra skyddsåtgärder för att ingen obehörig ska kunna ha tillgång till dessa uppgifter.

Även personuppgifter som inte är bedömda som särskilt känsliga kan vara mer värda att skydda. Personuppgifter av mycket personlig eller privat natur anses generellt vara mer värda att skydda än andra typer av personuppgifter.

Alla registrerade har rättigheter gentemot den som är personuppgiftsansvarig. Vissa av rättigheterna är beroende av vilken rättslig grund den aktuella behandlingen vilar på. Detta innebär att vissa rättigheter bara kan göras gällande under vissa förutsättningar.

Sundsvalls kommun ska göra det möjligt för de registrerade att utöva sina rättigheter.

Rättigheter som finns beskrivna i dataskyddförordningen (GDPR)

Rätt till information

Den registrerade har rätt att få information kring vad, varför, när, hur, hur länge, på vilken rättslig grund och av vem eller vilka dennes personuppgifter behandlas.

Informationen ska lämnas kostnadsfritt i en lättillgänglig form med ett tydligt och enkelt språk.

Skulle en personuppgiftincident uppstå (till exempel ett dataintrång eller liknande) har den registrerade rätt att få information kring incidenten och hur Sundsvalls kommun agerat för att återställa säkerheten kring dennes personuppgifter.

Begära ut registerutdrag

Den registrerade har rätt att få tillgång till sina personuppgifter som behandlas eller andra personuppgifter som registreras som denne har rätt att ta del av, exempelvis barn som denne är vårdnadshavare till. För att få tillgång till den informationen ska en begäran om registerutdrag göras av den registrerade.

Vill du veta vilka av dina personuppgifter som behandlas av Sundsvalls kommun kan du begära ett registerutdrag. Du kan även ha rätt att begära för andra än dig själv, till exempel som vårdnadshavare.

Begär ut registerutdrag via e-tjänst

Begäran om registerutdrag

Har du inte möjlighet att använda e-tjänsten kan du skriftligen begära ett registerutdrag. För mer information kontakta koncernstabens dataskyddsamordnare. Kontaktuppgifter hittar du längre ner på sidan.

Rätta personuppgifter

Den registrerade har rätt att begära att felaktiga personuppgifter rättas och att ofullständiga personuppgifter kompletteras. Vissa registerlagstiftningar detaljerar hur denna rättighet ska tillämpas. Personuppgifter som behandlas i enlighet med viss lagstiftning får till exempel endast justeras under vissa förutsättningar. Om personuppgifterna kan rättas eller kompletteras inom gällande lagstiftningar ska detta ske så snart som möjligt.

För mer information kontakta den aktuella nämndens dataskyddsamordnare. Kontaktuppgifter hittar du längre ner på sidan.

Radera personuppgifter

Beroende på omständigheter i det enskilda fallet och på vilken rättslig grund som personuppgiftsbehandlingen grundar sig på, kan den registrerade även ha rätt att få sina personuppgifter raderade. Rättigheten har begränsad tillämpning inom offentlig förvaltning eftersom de flesta behandlingar av personuppgifter vilar på en rättslig grund där exempelvis annan lagstiftning gör att rätten att radera inte är tillämplig.

För mer information kontakta den aktuella nämndens dataskyddsamordnare. Kontaktuppgifter hittar du längre ner på sidan.

Begränsa behandling av personuppgifter

Beroende på omständigheter i det enskilda fallet kan den registrerade ha rätt till att behandlingen av personuppgifterna begränsas till endast lagring under den tid det tar att utreda en invändning från den registrerade.

För mer information kontakta den aktuella nämndens dataskyddsamordnare. Kontaktuppgifter hittar du längre ner på sidan.

Flytta personuppgifter

Den registrerade har i vissa fall rätt att få tillgång till personuppgifter i ett format som gör dem möjliga att föra över till en annan personuppgiftsansvarig, det vill säga att få sina personuppgifter flyttade. Det kallas för dataportabilitet. Rättigheten har begränsad tillämpning inom kommuner eftersom merparten av personuppgiftsbehandlingarna vilar på en rättslig grund där dataportabilitet inte är tillämplig.

För mer information kontakta den aktuella nämndens dataskyddsamordnare. Kontaktuppgifter hittar du längre ner på sidan.

Invändningar mot behandling av personuppgifter

Om den lagliga grunden för behandlingen av personuppgifter baseras på berättigat intresse (intresseavvägning) eller allmänt intresse har registrerade under vissa förutsättningar rätt att invända mot hur dennes personuppgifter behandlas.

Den enskilde har alltid rätt att invända mot att dennes personuppgifter används för direkt marknadsföring. En sådan invändning kan göras när som helst. Görs en invändning mot direkt marknadsföring, får personuppgifterna inte längre behandlas för sådana ändamål.

Särskilda regler gäller för personuppgifter som behandlas för vetenskapliga och historiska forskningsändamål eller statistiska ändamål.

För mer information kontakta den aktuella nämndens dataskyddsamordnare. Kontaktuppgifter hittar du längre ner på sidan. En invändning som kvarstår efter kontakt ska lämnas in skriftligen.

Återkalla samtycke

Om den rättsliga grunden för en behandling av personuppgifter är ett samtycke från den registrerade så har denne rätt att återkalla samtycket. Ett återkallande av samtycket påverkar dock inte lagligheten av personuppgiftsbehandlingen för tiden innan samtycket återkallades. Efter ett återkallande får inte kommunen längre behandla de uppgifter som var kopplade till samtycket.

För mer information kontakta den aktuella nämndens dataskyddsamordnare. Kontaktuppgifter hittar du längre ner på sidan.

Lämna till klagomål till Datainspektionen

Om den registrerade inte är nöjd med hur Sundsvalls kommun hanterar personuppgifterna går det att vända sig till tillsynsmyndigheten Datainspektionen med klagomål.

Datainspektionen

Telefon: 08-657 61 00
E-post: datainspektionen@datainspektionen.se

Postadress:
Datainspektionen
Box 8114
104 20 Stockholm

När personuppgifter behandlas i Sundsvalls kommun, eller på uppdrag av Sundsvalls kommun, ska de grundläggande principerna i dataskyddsförordningen (GDPR) vara uppfyllda. De grundläggande principerna anges i artikel 5 i dataskyddsförordningen och är:

  • Laglig och öppen
  • Ändamålsenlig
  • Uppgiftsminimering
  • Korrekthet
  • Lagringsminimering
  • Integritet och konfidentialitet
  • Ansvarsskyldighet

Sammanfattning och förenklade förklaringar kring de grundläggande principerna

Syfte

Det ska vara tydligt vad personuppgiften ska användas till, och syftet får inte ändras i efterhand.

Relevans

Bara de uppgifter som behövs för att uppnå syftet samlas in, ”bra att ha”-uppgifter samlas inte in.

Radera

När uppgifterna inte längre behövs ska de tas bort, om det inte finns andra lagar som ställer krav på lagringstid. Uppgifter som är felaktiga har den registrerade rätt att få ändrade.

Tillgång

Bara de som behöver tillgång till personuppgifterna i sitt arbete ska kunna se dem.

Skydda

För att inte obehöriga ska få tillgång till uppgifterna så skyddas de genom olika säkerhetsåtgärder som till exempel bra lösenord och flerfaktorsinloggning (exempelvis sms-kod, bank-id). Kraven på skydd kan variera beroende på hur stor skada personuppgifterna kan orsaka den registrerade om de hanteras fel.

Vetskap

Personer som registreras ska få veta om att de registreras och få information om behandlingen på ett lättbegripligt sätt. Bland annat om hur länge uppgifterna lagras, vad syftet är med behandlingen och på vilken rättslig grund personuppgifterna behandlas.

Hur Sundsvalls kommun jobbar för att följa de grundläggande principerna

Sundsvalls kommun har för att kunna följa dataskyddsförordningen utbildat personal i vad den nya lagen innebär. Detta har resulterat i förbättrade arbetssätt och förnyade mallar, riktlinjer och handböcker. Nedan följer några exempel på hur Sundsvalls kommun arbetar för att uppfylla förordningen.

Sundsvalls kommun ska:

  • Behandla personuppgifter på ett lagligt, korrekt och öppet sätt i förhållande till den vars personuppgifter registreras.
  • Sträva efter att vara tydlig och konkret i beskrivningen av hur personuppgifter behandlas.
  • Se till att personuppgifter behandlas på minst en utpekad rättslig grund och att annan lagstiftning som inverkar på behandlingen följs. Personuppgifter som hanteras utan rättslig grund är enligt Datainspektionen olaglig.
  • Gör en avvägning mellan den registrerades integritet och den egna verksamhetens effektivitet.

Samtycke

Samtycke som rättslig grund är i de flesta fall inte nödvändigt för de uppgifter som hämtas in av kommunens olika verksamheter. Det beror på att uppgifterna används i samband med exempelvis myndighetsutövning som rättslig grund, för att kunna fullgöra en skyldighet som åligger kommunen eller ett avtalsförhållande.

Om ett samtycke behövs har den registrerade rätt att återkalla det. Då får de personuppgifter kopplade till samtycket inte längre behandlas.

All behandling av personuppgifter måste stödja sig mot minst en rättslig grund. Finns det ingen rättslig grund är behandlingen av den personuppgiften inte laglig. En rättslig grund måste vara fastställd innan en behandling av personuppgifter påbörjas och den får inte bytas under en pågående personuppgiftsbehandling.

I dataskyddsförordningen GDPR finns sex rättsliga grunder

  • Samtycke
  • Avtal
  • Intresseavvägning
  • Rättslig förpliktelse
  • Myndighetsutövning och uppgift av allmänt intresse
  • Grundläggande intresse

Inom offentlig verksamhet som Sundsvalls kommun tillhör är de vanligast förekommande rättsliga grunderna:

  • Rättslig förpliktelse
  • Myndighetsutövning och uppgift av allmänt intresse
  • Avtal

Här följer en kortfattad presentation av de sex rättsliga förpliktelserna:

Samtycke

Den registrerade har lämnat ett godkännande på att dennes personuppgifter får behandlas för det syfte som är presenterat. Ett samtycke går alltid att återkalla.

Avtal

Den registrerade har ett avtal med eller ska ingå avtal med någon av Sundsvalls kommuns olika personuppgiftsansvariga (nämnder eller förvaltningar).

Intresseavvägning

Om den personuppgiftsansvariges (nämndens) intressen väger tyngre än den registrerades och om behandlingen är nödvändig för det aktuella syftet får personuppgifter behandlas utan ett samtycke från den registrerade.

Denna rättsliga grund får inte myndigheter använda sig av när de behandlar personuppgifter.

Rättslig förpliktelse

Det finns lagar eller regler som står över dataskyddsförordningen GDPR och gör att den personuppgiftansvarige (nämnden) måste behandla vissa personuppgifter i sin verksamhet.

Myndighetsutövning och uppgift av allmänt intresse

Denna rättsliga grund är till för att Sundsvalls kommun och andra offentliga verksamheter ska kunna utföra sina myndighetsuppgifter eller utföra uppgifter av allmänt intresse.

Grundläggande intresse

Den här rättsliga grunden innebär att personuppgifter får behandlas om det är nödvändigt för att rädda liv. I första hand kommer den att vara aktuell inom vården.

Läs mer om de olika rättsliga grunderna på Datasinspektionens webbplats, Rättslig grund för personuppgiftsbehandling.

Sundsvalls kommun har ett övergripande ansvar att inte bara följa dataskyddsförordningen (GDPR) utan även att visa hur alla nämnder och enheter gör detta. Det kallas i dataskyddsförordningen för ansvarsskyldighet.

Detta innebär bland annat att Sundsvalls kommun ska ta fram och följa dokumenterade planer för hur respektive nämnd arbetar för att uppfylla de krav dataskyddsförordningen (GDPR) ställer.

Personuppgiftsansvarig

Personuppgiftsansvarig är den som är ansvarig för att lagstiftningen följs och som bestämmer vilka personuppgifter som ska behandlas och vad de ska användas till. Det är en juridisk person, det vill säga nämnden eller styrelsen.

Varje nämnd i kommunen är personuppgiftsansvarig och därmed ytterst ansvarig för sin behandling av personuppgifter. Nämnderna ska ansvara för och kunna visa att de följer dataskyddsförordningens grundläggande principer.

Insamlande av personuppgifter

Personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade syften och inte senare behandlas på ett annat sätt än vad som var syftet med dem.

Sundsvalls kommun känner till och dokumenterar anledningen till att en viss personuppgift hanteras och att personuppgifterna inte senare används för en helt annan anledning som går emot den ursprungliga.

Personuppgifterna ska vara korrekta, relevanta och inte för omfattande i förhållande till varför de samlades in.

Personuppgifter kan samlas in från den registrerade själv, via ett ombud eller via digitala system där personuppgifterna redan finns registrerade.

Korrekta personuppgifter

Personuppgifterna som Sundsvalls kommun hanterar ska vara korrekta och om nödvändigt uppdaterade. Felaktiga personuppgifter ska rättas eller raderas så snart som möjligt.

Inom vissa områden finns särskilda regler för hur rättelse och radering får ske och vem eller vilka som får utföra rättningen.

Lagring av personuppgifter

Personuppgifter får inte sparas längre än vad som behövs utifrån syftet med behandlingen. När syftet är uppnått ska arkivering, gallring eller avidentifiering av personuppgifterna alltid övervägas. Sundsvalls kommun kan i vissa fall styras av lagar som kräver att arkivering måste ske och att gallring inte är möjlig.

Information och kommunikation

Sundsvalls kommun ska informera om hur vi behandlar de registrerades personuppgifter och om vilka rättigheter de registrerade har enligt dataskyddsförordningen.

Den registrerade har rätt att få information när dennes personuppgifter behandlas. Information om personuppgiftsbehandlingen ska lämnas av Sundsvalls kommun både när uppgifterna samlas in och när den registrerade begär det.

Informationen ska vara koncis, klar, tydlig och begriplig och ges i ett lättillgängligt format. Språket ska vara klart, tydligt, och anpassat till mottagaren, exempelvis om informationen är särskilt riktad till barn.

Sundsvalls kommun ska ge informationen skriftligt och när det går i elektronisk form. Om den registrerade begär det ska informationen ges muntligt, under förutsättning att den registrerade har styrkt sin identitet.

Personuppgifter ska skyddas mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse. Är uppgifterna känsliga eller särskilt värda att skydda ska högre tekniska och organisatoriska krav ställas.

Utgångspunkten ska alltid vara att endast behöriga personer ska ges tillgång till skyddsvärd information.

Säkerhetsåtgärder

Sundsvalls kommun måste se till att ha en lämplig säkerhet för hantering av personuppgifter, både tekniskt och organisatoriskt. Vad som är lämplig säkerhet beror på bland annat riskerna med behandlingen, vilken typ av uppgifter som behandlas, vilken skada det skulle kunna innebära för den registrerade och på de tekniska möjligheter som finns. Detta sker bland annat genom informationssäkerhetsklassning, riskanalys och konsekvensbedömningar (DPIA), som betyder Data Protection Impact Assessment.

Konsekvensbedömning (DPIA)

Vid en omfattande hantering av känsliga personuppgifter eller om det finns risk för att särskilda krav på skydd inte kan uppnås ska Sundsvalls kommun först genomföra en konsekvensbedömning avseende dataskydd i samråd med Sundsvalls kommuns dataskyddsombud.

Om en sådan konsekvensbedömning innebär att de bedömda höga riskerna kvarstår måste Sundsvalls kommun samråda med Datainspektionen som är tillsynsmyndigheten innan behandlingen påbörjas.

För kommunens verksamhet gäller offentlighetsprincipen. Offentlighetsprincipen innebär en rätt för var och en att ta del av allmänna handlingar.

Det innebär att du kan begära och få personuppgifter utlämnade oavsett för vilket ändamål personuppgiften ursprungligen behandlades. Denna rätt gäller inte om handlingarna innehåller uppgifter som är belagda med sekretess enligt offentlighets- och sekretesslagen.

Sekretess gäller bland annat för utlämning av personuppgifter som skulle medföra att personuppgiften behandlas i strid med dataskyddsförordningen eller dataskyddslagen. Till exempel kan uppgifter sekretessbeläggas för att skydda enskildas personliga förhållanden inom skola, socialtjänst och hälso- och sjukvård.

Läs mer om detta på sidan Allmän handling och offentlig handling

Barn- och utbildningsförvaltningen

Emma Gardfors
Telefon: 060-19 15 76
E-post: emma.gardfors@sundsvall.se

Förvaltningen för arbetsmarknad, vuxenutbildning och integration

Markus Juth
Telefon: 060-19 13 08
E-post: markus.juth@sundsvall.se

Koncernstaben, Servicecenter och Drakfastigheter

Camilla Eriksson
Telefon: 072-146 51 19
E-post: camilla.eriksson@sundsvall.se

Kultur- och fritidsförvaltningen

Eva-Lisa Järvinen
Telefon: 060-19 26 40
E-post: eva-lisa.jarvinen@sundsvall.se

Lantmäteriet, Stadsbyggnadskontoret

Åsa Jadelius
Telefon: 060-19 13 05
E-post: asa.jadelius@sundsvall.se

Miljökontoret

Kristin Eriksson
Telefon: 060-19 25 74
E-post: kristin.eriksson@sundsvall.se

Socialtjänsten

Rebecca Wikholm
Telefon: 060-19 10 20
E-post: rebecca.wikholm@sundsvall.se

Överförmyndarkontoret

Therese Östlund Samuelsson
Telefon: 060-19 10 00
E-post: therese.ostlund@sundsvall.se

Valnämnden

Ingela Lindqvist
Telefon: 073-275 32 47
E-post: ingela.lindqvist@sundsvall.se

Kontakt

Camilla Eriksson Dataskyddsamordnare, koncernstaben

072-146 51 19

Matts Boman Dataskyddsombud

060-12 32 00

Var sidan till hjälp?

  • Om du lämnar personuppgifter här kommer vi att behandla dessa enligt dataskyddsförordningen GDPR. Läs mer på sundsvall.se/personuppgifter. Det du skriver skickas direkt till den som uppdaterar sidan.