Grundläggande begrepp i GDPR
Det finns vissa begrepp inom dataskyddslagstiftningen som är centrala. På denna sida beskrivs dessa grundläggande begrepp. Innan man som användare rör sig vidare till sidans övriga delar bör man ha en grundläggande förståelse för dessa begrepp.
1. Vad är en personuppgift? (Artikel 4.1)
I GDPR artikel 4.1 definieras en personuppgift som en upplysning som avser en identifierad eller identifierbar fysisk person. Definitionen är avsiktligt bred och innefattar alla typer av uppgifter som direkt eller indirekt går att härleda till en fysisk person.
Inom lagstiftningen talar man om direkta och indirekta personuppgifter:
Direkta personuppgifter
Indirekta personuppgifter
Indirekta personuppgifter avser sådana uppgifter som inte direkt kan användas för att identifiera en person men som i kombination med annan information kan användas för att identifiera någon, exempelvis:
Känsliga personuppgifter
I artikel 9.1 i dataskyddsförordningen (GDPR) anges uttömmande vilka kategorier av personuppgifter som anses vara särskilt skyddsvärda och därför som huvudregel är förbjudna att behandla.
Begreppet omfattar följande typer av personuppgifter:
Dessa uppgifter benämns i svensk rätt som känsliga personuppgifter eller särskilda kategorier av personuppgifter.
Lagöverträdelser (Artikel 10)
Utöver de ovan nämnda särskilda kategorierna av personuppgifter finns en särskild reglering i artikel 10 GDPR. Denna artikel avser personuppgifter om fällande domar i brottmål, lagöverträdelser som innefattar brott samt därmed sammanhängande säkerhetsåtgärder.
Viktiga principer
- Det krävs inte att organisationen själv har alla kompletterande uppgifter. Det räcker att någon annan (t.ex. annan myndighet, leverantör eller registerhållare) kan identifiera personen.
- Praktiskt identifierbarhet räcker, inte absolut säkerhet.
- Vid tvekan: utgå från att det är en personuppgift.
2. Vad är personuppgiftsbehandling? (Artikel 4.2)
Personuppgiftsbehandling definieras mycket brett. Alla åtgärder som rör personuppgifter utgör behandling, oavsett om åtgärden är digital eller manuell.
Exempel på åtgärder: insamling, registrering, organisering, strukturering, lagring, bearbetning, ändring, läsning, tillgång eller utlämnande, radering, förstöring.
Både muntligt och skriftligt utlämnande räknas som behandling.
3. Personuppgiftsansvarig (Artikel 4.7)
Personuppgiftsansvarig är enligt artikel 4.7 i GDPR den som bestämmer ändamålen och medlen för behandlingen av personuppgifter.
Det är den personuppgiftsansvarige som är ytterst ansvarig för att behandlingen sker i enlighet med lagen.
4. Personuppgiftsbiträde (Artikel 4.8)
Personuppgiftsbiträde definieras i artikel 4.8 i GDPR som ”en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning”.
Gränsdragningen mellan vem som är personuppgiftsansvarig och vem som är personuppgiftsbiträde baseras på vem som bestämmer varför och hur behandlingen sker.
5. Den registrerade
Begreppet ”den registrerade” avser den levande fysiska person vars uppgifter behandlas. GDPR gäller inte för avlidna personer.
6. Personuppgiftsincident (Artikel 4.12)
En personuppgiftsincident är en säkerhetsincident som leder till att personuppgifter förstörs, går förlorade, ändras eller kommer i orätta händer.
Det är viktigt att förstå att en incident inte bara handlar om "hackare". Det kan lika gärna vara ett slarvfel eller ett tekniskt misstag.
7. Konsekvensbedömningar (DPIA)
En DPIA ska göras när behandlingen innebär hög risk för den registrerades rättigheter och friheter.
En fullständig DPIA ska innehålla: Beskrivning, Syfte, Datatyper, Behandlingsflöde, Mottagare, Teknik, Nödvändighet/Proportionalitet, Riskbedömning och Åtgärder.
Risksituationer: Automatiserad behandling, stora datamängder, ny teknik (AI, kamera, biometrik).
Om riskerna kvarstår som höga efter åtgärder krävs förhandssamråd med IMY.
8. Tredjelandsöverföring
Tredjeland innebär länder utanför EU/EES. Som huvudregel är överföringar dit förbjudna, om inte särskilda förutsättningar uppfylls.
8.1 Adekvansbeslut
EU-kommissionen kan besluta att ett land har likvärdig skyddsnivå (t.ex. Kanada, Nya Zeeland, Storbritannien). USA:s status är osäker och riskerar att ogiltigförklaras.
8.2 Andra mekanismer
Binding Corporate Rules (BCR) eller Standardavtalsklausuler (SCC) kan användas men kräver ofta omfattande kompletterande säkerhetsbedömningar.
8.3 Utmaningen med Molntjänster och Tredjeland
Ingen fråga har diskuterats mer intensivt i offentlig IT-sektor de senaste åren än "Molnfrågan". Kärnan i problemet är konflikten mellan GDPR:s krav på att data ska stanna inom EU/EES (eller länder med adekvat skyddsnivå) och amerikansk övervakningslagstiftning (FISA 702, CLOUD Act).
Schrems II och dess efterspel
Schrems II-domen 2020 innebar att EU-domstolen underkände avtalet för dataöverföring mellan EU och USA, eftersom amerikanska övervakningslagar ansågs kränka EU-medborgares integritet. Detta gjorde det juridiskt mycket svårt för svenska myndigheter att använda amerikanska molntjänster utan omfattande tekniska skyddsåtgärder.
Domen ställde krav på att varje organisation själv måste säkerställa att uppgifter inte kan läsas av främmande makt, vilket ledde till striktare praxis från tillsynsmyndigheten IMY.
För att lösa problemet infördes ett nytt ramverk 2023 (Data Privacy Framework), vilket just nu underlättar dataflöden men vars långsiktiga hållbarhet fortfarande utmanas i domstol.
Grundregel: Du får aldrig skicka personuppgifter till ett land utanför EU utan att först garantera att de är lika skyddade där som här.
Efter EU-domstolens dom i Schrems II-målet 2020 stod det klart att överföring av personuppgifter till amerikanska molntjänster (som Microsoft, Google, AWS) är problematisk. Eftersom dessa bolag lyder under amerikansk lag kan de tvingas lämna ut data till amerikanska underrättelsetjänster, även om datan lagras på servrar i Sverige.
Detta har skapat en enorm osäkerhet. IMY har i granskningar slagit fast att användning av exempelvis Google Analytics eller Facebook-pixeln på offentliga webbplatser ofta innebär olaglig tredjelandsöverföring.