Hejsan, vilka bra och intressanta frågeställningar!
Så fint att höra att du vill lära dig mer, juridiken är omfattande och kan i vissa fall vara komplicerad. GDPR berör alla företag som på något sätt behandlar personuppgifter inom sin verksamhet, vilket de allra flesta företag gör. Därför är det viktigt att känna till vilka rättigheter och skyldigheter företag har enligt lagen.
För att en behandling av personuppgifter ska vara laglig enligt GDPR, krävs det att varje ändamål med en personuppgiftbehandling har stöd i en (1) av de totalt sex (6) stycken rättsliga grunderna. De rättsliga grunderna är följande: Avtal, Rättslig förpliktelse, Samtycke, Intresseavvägning, Myndighetsutövning och uppgift av allmänt intresse och Grundläggande intresse.
GDPR kräver alltså stöd i en (1) rättslig grund, för varje enskilt ändamål med behandlingen. Det är inte tillåtet att ”byta” rättslig grund, om det exempelvis skulle uppstå problem med den först valda rättsliga grunden. Detta innebär att det alltså inte är bättre att ett företag använder flera rättsliga grunder än enbart en, för ett specifikt ändamål med behandlingen av en viss personuppgift.
Däremot kan företag behandla olika personuppgifter med stöd i olika rättsliga grunder, beroende på ändamålet med behandlingen. Exempelvis kan ett företag ingå avtal med en kund och därigenom behandla kundens personuppgifter för att fullgöra avtalet. Denna personuppgiftbehandlingen sker då med stöd i den rättsliga grunden Avtal.
Om kunden väljer att prenumerera på företagets nyhetsbrev och aktivt lämnar sitt samtycke till att företaget får behandla kundens e-postadress som är en personuppgift, kan företaget behandla dennes e-postadress för att skicka nyhetsbrev till kunden. Denna personuppgiftsbehandlingen sker då med stöd i den rättsliga grunden Samtycke.
Som svar till din första fråga, kan företag alltså behandla olika personuppgifter med stöd i olika rättsliga grunder. Men företag bör inte behandla ett och samma ändamål med en viss behandling av en viss personuppgift, med stöd i flera rättsliga grunder. Varje ändamål med en viss behandling ska alltså enbart ha stöd i en rättslig grund för att vara giltig.
Din andra fråga handlar om dataskyddsprinciperna som företag måste följa enligt GDPR. Det finns sju (7) stycken dataskyddsprinciper enligt GDPR.
Principerna är följande:
- Laglighet, korrekthet och öppenhet: All behandling av personuppgifter ska vara laglig, korrekt och öppen/transparent gentemot de registrerade personerna.
- Ändamålsbegränsning: Personuppgifterna får bara bli insamlade och behandlade för uttryckligt angivna och berättigade ändamål. Det är alltså inte tillåtet att samla in uppgifter ”bara för att de kan vara bra att ha i framtiden”.
- Uppgiftsminimering: Endast nödvändiga, adekvata och relevanta personuppgifter för det specifika ändamålet med behandlingen ska samlas in. Personuppgifter som inte är nödvändiga, ska inte bli behandlade.
- Riktighet: Personuppgifterna ska vara uppdaterade och riktiga. Felaktiga uppgifter ska rättas eller raderas.
- Lagringsminimering: Personuppgifter får enbart sparas under tiden de behövs för ändamålet med behandlingen. När uppgifterna inte längre behövs, ska de raderas (gallras).
- Integritet och konfidentialitet: Personuppgifterna ska skyddas genom lämpliga tekniska och organisatoriska säkerhetsåtgärder.
- Ansvarsskyldighet: Företaget måste kunna visa att GDPR följs och på vilket sätt. Exempelvis genom att föra skriftlig dokumentation, loggböcker för gallringar och incidenter, register över behandlingen, upprätta dataskyddspolicy och informera de registrerade personerna om hur företaget behandlar personuppgifter m.m.
Företag ska försöka tillämpa dessa principer genomgående vid all behandling av personuppgifter och ska kontrollera varje behandling mot ovan angivna principer.
Datainspektionen är tillsynsmyndigheten i GDPR-relaterade ärenden och de har samlat massa bra information om GDPR på deras hemsida. De har även översatt GDPR till svenska och har publicerat olika checklistor som företagare han använda i sin verksamhet, för att analysera sitt GDPR-arbete. Här finns en länk till Datainspektionens webbplats med specifik information om GDPR: https://www.datainspektionen.se/lagar–regler/dataskyddsforordningen/ .
Hoppas att svaren ovan var vägledande!
Önskar dig lycka till med allt.
