Samtycke är i teorin ett undantag, men i offentlig sektor är det i princip otillåtet att använda samtycke. Skälet är beroendeförhållandet mellan myndighet och individ: ett samtycke kan inte anses frivilligt.

Endast mycket begränsade undantag finns, t.ex. verksamheter inom AKF som inte bedriver myndighetsutövning.

Arbetsgivare får behandla känsliga uppgifter när det krävs för att uppfylla skyldigheter enligt arbetsrätten, exempelvis vid hantering av facklig anslutning i samband med löne- och kollektivavtalsfrågor.

Exempelvis Försäkringskassan som måste behandla hälsouppgifter för att tillämpa socialförsäkringsbalken (SFB).

Undantaget kan tillämpas vid rättsprocesser, både när organisationer försvarar sig och när de väcker talan.

Detta är det mest relevanta undantaget för kommunal verksamhet. Förutsättningen är att behandlingen är fastställd i nationell lag, förordning, föreskrift eller kollektivavtal.

Social omsorg enligt SoL och LSS samt kommunal hälso- och sjukvård är tydliga exempel där behandling är direkt tillåten via artikel 9.2 h.

Handlingar som omfattas av arkivlagens krav och forskning som följer nationella regler är också undantagna.

Personnummer får inte skickas via okrypterad e-post eller publiceras öppet online. Även om numret är offentligt hos Skatteverket skapas en hög integritetsrisk när det blir sökbart eller kan fångas upp av fel mottagare.

Uppgifter om lön, skulder eller konton räknas inte som känsliga enligt artikel 9, men de är ändå mycket integritetskänsliga. Felaktig hantering, som att lönespecifikationer hamnar hos fel person eller skickas via osäkra system, bedöms som allvarliga incidenter eftersom de avslöjar detaljer om individens privata ekonomi.

Anteckningar från utvecklingssamtal, HR-bedömningar eller personlighetstester kan påverka en persons rykte, karriär och relationer på arbetsplatsen. Därför måste åtkomsten begränsas kraftigt och uppgifterna gallras så snart de inte längre behövs.

Det gäller inte bara domar utan även misstankar, polisanmälningar och uppgifter i visselblåsarsystem. Endast myndigheter får normalt behandla dessa uppgifter. De kräver särskilt höga säkerhetsåtgärder eftersom utlämnande kan få mycket allvarliga konsekvenser för den enskilde.

För personer med skyddad identitet är fel hantering inte bara en integritetsrisk utan en direkt säkerhetsrisk. Information om deras adress eller personnummer måste hanteras med maximal restriktivitet.

När det gäller statistik är det viktigt att förstå att inte all sammanställning av personuppgifter automatiskt räknas som statistik i dataskyddsrättslig mening. Det är alltså inte så att varje aggregering av uppgifter i exempelvis Excel per automatik omfattas av reglerna om behandling för statistiska ändamål och därmed skulle vara "tillåten".

Bestämmelserna om behandling för statistiska ändamål finns i artikel 89 GDPR, och de förutsätter att den statistiska behandlingen är förenlig med nationell rätt. Det innebär att det måste finnas stöd i lag eller annan författning för att den aktuella statistikhanteringen ska få ske inom ramen för det statistiska undantaget.

Det statistiska ändamålet befriar inte verksamheten från att följa GDPR:s grundläggande principer.

Statistiska ändamål i GDPR regleras i artikel 89 och kräver:

• särskilda skyddsåtgärder,
• att behandlingen är förenlig med nationell lagstiftning,
• att användningen inte strider mot övriga integritetsskyldigheter.

Det är alltså inte tillåtet att använda personuppgifter för statistik hur som helst bara för att de sammanställs i aggregerad form.

Även när personuppgifter behandlas för arkivändamål eller statistiska ändamål måste GDPR:s grundläggande principer följas. Undantagen i GDPR innebär inte att verksamheten kan bortse från reglerna – de innebär bara att viss vidarebehandling kan vara tillåten, förutsatt att den:

• har stöd i nationell lagstiftning, och
• fortfarande sker i enlighet med principerna om bl.a. ändamålsbegränsning, uppgiftsminimering och lagringsminimering.

Arkivändamål och arkivlagen

Inom offentlig verksamhet är arkivhanteringen reglerad i bland annat:

• arkivlagen,
• speciallagstiftning (t.ex. socialtjänstlagstiftning),
• kommunens dokument- och informationshanteringsplaner (DIPPen).

När en myndighet bedriver myndighetsutövning finns ofta en uttrycklig skyldighet att bevara vissa handlingar för framtiden. Det innebär att:

• man inte får gallra vissa uppgifter,
• och att arkivering då är ett rättsligt reglerat ändamål.

Arkivändamål i GDPR är därför inte något verksamheten "hittar på", utan ska vila på tydligt lagstöd.

Statistiska ändamål – kräver också rättslig grund

På motsvarande sätt gäller för statistik att:

• det normalt ska finnas någon lag eller annan författning som ålägger verksamheten att ta fram eller rapportera statistiken, eller
• att statistikföringen i vart fall är tydligt inbyggd i ändamålet med behandlingen från början.

Det är inte tillåtet att:

• skapa egna Excel-listor med statistik på eget initiativ,
• hävda att "det här är bara statistik"
• och därmed anse sig undantagen från t.ex. uppgiftsminimering eller lagringsminimering.

Statistik måste alltså bedömas utifrån:

• vilket syfte den har,
• vilket rättsligt stöd som finns,
• och vilka personuppgifter som faktiskt behandlas.

Äkta anonymisering

• Fullt anonymiserade uppgifter omfattas inte av GDPR.
• Det förutsätter att det inte finns någon rimlig möjlighet att återkoppla uppgifterna till en fysisk person – inte ens med hjälp av tilläggsinformation.

Pseudonymisering – fortfarande personuppgifter

I många fall är det som kallas "anonymt" i praktiken bara:

• pseudonymiserade uppgifter, där identiteten fortfarande kan återställas med hjälp av en kodnyckel eller andra tilläggsuppgifter.

I sådana fall gäller:

• GDPR är fortfarande fullt ut tillämpligt,
• de grundläggande principerna ska följas,
• säkerhetskraven är desamma som för andra personuppgifter.

Små grupper – svårt att anonymisera

Det kan vara särskilt svårt att anonymisera statistik när:

• antalet personer är mycket litet,
• t.ex. om endast fem personer i Solna får en viss typ av insats.

Då går det lätt att indirekt identifiera individerna, vilket innebär att:

• uppgifterna i praktiken inte är anonyma,
• och att GDPR därför fortfarande gäller.

Ett konkret exempel är socialförvaltningens hantering av personakter.

Ordinarie gallringsfrist

Som huvudregel gäller:

• Gallring sker fem år efter den senaste anteckningen i personakten.
• När femårsfristen löpt ut ska uppgifterna gallras, om inte särskilda undantag gäller.

Undantag – särskilda födelsedatum och vissa insatser

Det finns dock undantag där uppgifter ska bevaras permanent, bland annat:

• Personer födda den 5:e, 15:e eller 25:e i månaden – då ska akterna bevaras för arkivändamål och inte gallras.
• Vissa boendeinsatser för barn, exempelvis:
  • bostad med särskild service för barn enligt LSS,
  • boendeinsatser för barn som varit omhändertagna enligt LVU.

I dessa fall:

• finns ingen gallringsfrist,
• uppgifterna ska arkiveras för all framtid,
• och syftet är bland annat att säkerställa underlag för framtida forskning och andra samhälleliga behov.

Många verksamheter inom kommun och region har skyldighet att:

• följa upp resultat,
• rapportera statistik till nationella aktörer,
• ta fram underlag till årsredovisningar, kvalitetsuppföljningar m.m.

Här gäller:

• Det är troligen så att det finns lagstöd eller annan normgivning bakom den statistiken.
• Kommunen har ofta en uttrycklig skyldighet att följa upp och rapportera vissa data.
• Det är inte kommunen själv som "hittat på" att skicka statistik till Kolada.

Samtidigt måste man alltid fråga sig:

• Vad är ändamålet med statistiken?
• Varifrån kommer skyldigheten – är det Skolverket, SKR eller annan myndighet?
• Finns det ett tydligt rättsligt stöd?

Statistik kan alltså vara helt förenlig med GDPR – men det förutsätter att den är korrekt inordnad i ändamål, rättslig grund och övriga principer.

Ett uppmärksammat exempel är tillsynsärendet mot SKR gällande den nationella väntetidsdatabasen:

• SKR hade under lång tid haft en databas med väntetidsuppgifter som alla kommuner och regioner använde.
• Det fanns förarbeten som antydde att SKR skulle ha denna uppgift.
• Men det saknades uttryckligt stöd i lag eller annan författning.

Integritetsskyddsmyndigheten fann att:

• behandlingen stred mot GDPR,
• men att situationen var speciell,
• och SKR fick ingen sanktionsavgift.

I stället:

• konstaterades att uppgiften var viktig men att regeringen inte hade gjort sin del och gett tillräckligt lagstöd,
• SKR fick en tidsfrist att upphöra med behandlingen om inte lagstiftaren under tiden skapade stöd i lag.

SKR har överklagat beslutet. Fallet illustrerar att:

Det finns ett stort intresse i kommuner att:

• följa upp verksamheten,
• analysera välfärdsbrottslighet,
• arbeta mer systematiskt med kontroll och uppföljning.

Här blir frågorna juridiskt mer komplicerade, särskilt när:

• det handlar om uppgifter om lagöverträdelser,
• eller misstankar om brott kopplade till välfärdssystemet.

Då måste man särskilt noggrant överväga:

• Behöver vi personuppgifter, eller kan vi arbeta med aggregerat/anonymiserat underlag?
• Finns det ett tydligt lagstöd för denna typ av personuppgiftsbehandling?
• Vilka risker uppstår för de registrerade?