GDPR på våra webbplatser

När du publicerar bild, film eller ljud med personuppgifter på en webbplats måste du ha klart för dig vad syftet är och vilken rättslig grund du använder när du gör det. När du publicerar en bild innehållande identifierbara personer på någon av våra webbplatser kan den rättsliga grunden vara antingen så kallat allmänt intresse, samtycke eller att personen är anställd av staden.

Det finns inget krav på att vi som kommun måste publicera bild, film eller ljud på våra webbplatser, men vi får lov att göra sådant som ryms i den så kallade kommunala kompetensen, enligt kommunallag (2017:725) 2 kap. 1§. Det kan till exempel innebära att genom bild, film eller ljud informera om våra verksamheter på våra webbplatser.

Se hur bilder används på webben

I mediabiblioteket på vår webbplattform kan redaktörerna se på vilken sida bilderna används. Vi strävar efter att löpande plocka bort bilder som inte används. I lathunden förklaras hur bildanvändning spåras. 

Samtycke eller inte?

När vi publicerar bild, film och ljud i syfte att informera om våra verksamheter på våra webbplatser kan vi luta oss mot den rättsliga grunden allmänt intresse. Exempel på när en bild eller film används för att informera om våra verksamheter är när vi publicerar en bild av människor som deltar i en föreläsning på stadsarkivet, eller på en folksamling på någon av kommunens badstränder. Att vi använder allmänt intresse som rättslig grund betyder att vi inte behöver inhämta skriftliga samtycken för publicering av bild, film och ljud på webbplatsen. Men när det är möjligt bör vi ändå fråga personen som medverkar om lov.

Observera att det inom vissa av stadens verksamheter finns sekretessbestämmelser som gör att vi inte får publicera bilder på personer som förekommer i verksamheten. Om du är osäker på vad som gäller för just din verksamhet ta kontakt med juristen på din förvaltning eller någon av stadsjuristerna.

Om du publicerar bild, film eller ljud med personuppgifter som används som dekoration dekoration, eller för att symbolisera en viss verksamhet eller företeelse (till exempel ett porträtt på ett skrattade barn på en sida om en skola), kan du inte använda den rättsliga grunden allmänt intresse, eftersom materialet inte behövs för att informera om våra verksamheter. I dessa fall rör det sig istället om att bilden används för marknadsföringsändamål och du måste då inhämta ett samtycke från den eller de personer som finns på bilden eller filmen som rättslig grund, alternativt överväga att använda en bild som inte innehåller personuppgifter.

Vad gör vi om någon inte längre vill finnas med på webbplatsen?

Om en person som förekommer på bild, film eller ljud hör av sig och inte längre vill finnas med på webbplatsen, måste du utan dröjsmål ta bort materialet.

Varje nämnd ska ha en dokumenthanteringsplan. I planen anges hur handlingar ska förvaras och gallras, det vill säga raderas. Även bild, film och ljudfiler räknas som handlingar. Innan du raderar något behöver du alltså kontrollera att du har stöd för raderingen i din nämnds dokumenthanteringsplan.

Hur länge sparar vi material?

Personuppgifter får inte lagras längre än nödvändigt. GDPR hindrar dock inte att personuppgifter sparas för arkivändamål även om de från början samlats in för annat ändamål. När det gäller mediabiblioteket på helsingborg.se, intranät och kampanjsajter rekommenderas att bilder och filer som inte används rensas bort efter ett år.

Det här bör du göra

1. Se över om din webbplats (alla webbplatser med staden som avsändare) har bild, film eller ljud som innehåller personuppgifter. Vilken rättslig grund använder du för behandlingen? Behövs samtyckesavtal? Om avtal behövs men saknas, bör du ordna ett avtal eller radera materialet. Innan du raderar bör du alltid kontrollera din nämnds dokumenthanteringsplan enligt ovan.
2. Rensa bild, film och ljud med personuppgifter som inte längre används från mediearkivet. Det finns en ny funktion i wordpress som gör det möjligt att se på vilka sidor en mediafil används. Innan du raderar bör du alltid kontrollera din nämnds dokumenthanteringsplan enligt ovan.

I de flesta formulär på webben samlar vi in personuppgifter av något slag. Precis som med bilder måste du ha klart för dig vad syftet med behandlingen är och vilken rättslig grund du använder när du gör det. Viktigt att tänka på när det gäller formulär är att inte samla in fler uppgifter än du behöver för att utföra avsedd uppgift.

Vad ska jag tänka på när jag skapar ett formulär?

När du skapar ett formulär måste du någonstans i samband med formuläret informera om att du behandlar personuppgifter, med vilket syfte och rättslig grund som du gör det och när uppgifterna raderas. I formulärverktyget finns en checkbox för informationstext om personuppgifter. Texten är generell, så du måste anpassa den för syftet med just ditt formulär. Tänk också på att texten ska innehålla en länk till information om hur staden behandlar personuppgifter.

Exempel på hur en sådan text kan se ut:

I det här formuläret samlar vi in personuppgifter om dig för att ta emot din anmälan till sommarpraktik. Uppgifterna kommer inte att hanteras för något annat syfte, och kommer att raderas när du avslutat din praktik i Helsingborgs stad. Den rättsliga grunden för behandlingen är [ange]. Tänk på att det du skickar in blir en allmän handling. Personuppgiftsansvarig är Helsingborgs stad, [ange nämnd]. På helsingborg.se kan du läsa hur Helsingborgs stad hanterar personuppgifter..

Tänk på att personuppgifter som samlats in via ett formulär för ett visst angivet syfte, till exempel som i exemplet ovan för hantering av anmälan om sommarpraktik, inte får användas för ett annat syfte utan att den registrerade informeras om detta nya syfte.

I lathunden kan du läsa mer om GDPR-inställningar för formulär.

Var hamnar personuppgifter som kommer in via formulär?

Formulärverktyget i stadens webbplattform kan kryptera och spara inkomna formulärsvar på webbplatsernas servrar om du väljer det när du skapar formuläret. Lagring av personuppgifter räknas som en behandling. Väljer du att lagra uppgifterna på servrarna måste du därför även ha en rättslig grund för lagringen. Intranätets server ligger inom staden, medan servrarna för helsingborg.se och kampanjsajter ligger hos Cloudnet i Tyskland. Eftersom GDPR gäller i hela EU, gäller samma regler för våra interna som externa servrar.

Staden har ett så kallat personuppgiftsbiträdesavtal (PUB-avtal)  på gång med med Cloudnet. Det innebär att det kommer att finnas avtalat hur Cloudnet får behandla de personuppgifter vi samlar in på våra externa webbplatser.

Hur länge sparas formulärsvar?

Du som skapar ett formulär ansvarar för att plocka bort formulärsvar när de inte längre behövs, eftersom personuppgifter inte får lagras längre än nödvändigt. Läs mer om hur du raderar formulärsvar.

Innan du raderar bör du alltid kontrollera din nämnds dokumenthanteringsplan enligt ovan.

På många av våra webbplatser finns kontaktuppgifter till personer, både anställda och personer som inte arbetar för staden. Men, vad som gäller kring publicering av personuppgifter beror på om personen arbetar i staden eller inte.

Kontaktuppgifter till anställda inom staden

Det är okej att publicera uppgifter på stadens intranät om anställdas namn, bild, befattning, telefonnummer, e-postadress och liknande uppgifter som har anknytning till arbetet. Publiceringen kan då grunda sig på det anställningsavtal som finns mellan arbetsgivaren och den anställde.

I de fall syftet med publiceringen är att informera utåt om vår verksamhet och en anställd själv vill synas i stadens olika kanaler för detta ändamål, kan publiceringen grunda sig på ett allmänt intresse med samma resonemang som beskrivs under rubriken Bild, film och ljud.

Kontaktuppgifter till personer som inte är anställda i staden

Ibland publicerar vi kontaktuppgifter till personer som inte är anställda i staden, till exempel namn, e-post och telefonnummer. Oftast handlar det om personer som är kontaktperson åt föreningar eller företag. Det är troligt att dessa personer gått med på att vara kontaktperson och därmed samtycker till publiceringen. För säkerhets skull bör vi ändå inhämta ett skriftligt samtycke för publiceringen, men i de här fallen räcker det med att personen i fråga bekräftar via mejl.

Även hantering av inkommande och utgående mejl som innehåller personuppgifter utgör en behandling av personuppgifter som ska följa reglerna i GDPR.

Tänk därför på att informera om behandling av personuppgifter om du uppmanar någon att ta kontakt med oss via mejl. I de formulär som används i exempelvis kontaktrutor finns plats för information om behandling av personuppgifter. Men om du länkar en e-postadress i löptext så måste du informera om behandlingen i samma text, eftersom länken direkt öppnar e-postprogrammet.

Digitaliseringsavdelningen, redaktionen och stadens jurister har tagit fram en text som informerar om hur staden hur staden behandlar personuppgifter, och att personuppgifter behandlas vid kontakt med staden. Texten ska finnas i alla anställdas e-postsignaturer. “Helsingborgs stad behandlar dina personuppgifter när du kommunicerar via e-post med oss. Du kan läsa mer om dina rättigheter och om hur Helsingborgs stad behandlar personuppgifter här.” (länk till https://helsingborg.se/personuppgifter).

Har du frågor om behandling av personuppgifter i mejl ska du i första hand vända dig till samordnare av personuppgiftsfrågor på din förvaltning. Du kan också vända dig till någon av våra stadsjurister.

På alla stadens webbplatser, även intranät och kampanjsajter, finns Google Analytics installerat. Genom Google Analytics får vi tillgång till statistik om hur våra användare använder våra webbplatser. I statistiken loggar Google användarens IP-adress. En IP-adress kan räknas som en personuppgift om den kan användas för att identifiera en person.

Enheten Digital utveckling på digitaliseringsavdelningen, SLF har valt att anonymisera IP-adresser på samtliga webbplatser inom stadens webbplattform även för Google. Det innebär att varken vi eller Google kan koppla en IP-adress till en person och att IP-adressen därmed inte heller kan ses som personuppgift.

Alla leverantörer som behandlar personuppgifter för vår räkning i en extern tjänst ska ha ett PUB-avtal med oss. Avtalet talar om hur personuppgifterna ska behandlas, vilket ansvar parterna har och annat som gäller mellan parterna.

Du behöver till exempel ett PUB-avtal om det finns personuppgifter i en extern tjänst hos en leverantör. Det är den som beställt eller avtalat om tjänsten som ska se till att det finns ett personuppgiftsbiträdesavtal.

Leverantören tillhandahåller ofta förslag på PUB-avtal. Bestämmelserna i dessa behöver kontrolleras så att de uppfyller reglerna i GDPR och inte innehåller oacceptabla krav på staden innan de undertecknas eller godkänns. Vänd dig till juristerna på stadsjuridiska enheten om du behöver hjälp med detta. Staden har också en egen mall för personuppgiftsbiträdesavtal som du kan använda.