Så behandlar miljöförvaltningen personuppgifter

Personuppgifter är all slags information som kan knytas till en idag levande fysisk person, det vill säga, alla uppgifter som kan identifiera en person. Det gäller både invånare och oss medarbetare. Det spelar ingen roll om personen går att identifiera direkt genom uppgiften eller om det krävs mer information.

Exempel på personuppgifter är personnummer, e-postadress, adress, namn, IP-adress, GPS-position, foto som visar eller kan kopplas till en person, röstinspelning, svar på en tentamen, svar på en medarbetarenkät, löneuppgifter, fingeravtryck och uppgift om familjemedlemmar.

Vissa personuppgifter klassificeras som känsligare än andra. Det betyder att personuppgifter hanteras på olika sätt beroende på känslighetsgrad. Exempel på känsliga personuppgifter är sexuell läggning, etnisk och religiös tillhörighet, facklig tillhörighet och uppgifter om hälsa.

När miljöförvaltningen arbetar med personuppgifter kallas det att behandla. Behandling av personuppgifter kan vara allt från att samla in och registrera uppgifter till att lämna ut eller radera dem. Nästan allt vi gör med en personuppgift är att behandla den, även att till exempel läsa den, skicka den, och kopiera den.

Miljönämnden är så kallat personuppgiftsansvarig för de behandlingar av personuppgifter som miljöförvaltningen utför. Det betyder att nämnden är ytterst ansvarig för och ska säkerställa att förvaltningens behandling av personuppgifter sker i enlighet med GDPR och gällande svensk dataskyddslagstiftning.

Nämnden som personuppgiftsansvarig bestämmer för vilka ändamål i sin verksamhet, det vill säga varför, personuppgifter ska behandlas samt genom vilka medel, det vill säga hur, personuppgifterna ska behandlas. Samtliga behandlingar måste dock vara lagliga och till exempel inte omfatta mer personuppgifter än som behövs för verksamheten (se punkterna 6 och 7).

Nämnden har en skyldighet att föra ett register över samtliga behandlingar av personuppgifter som sker på förvaltningen. Respektive avdelningschef är ansvarig för de behandlingar som sker inom avdelningen och ska kunna lämna information om behandlingen. Det är också avdelningschefernas ansvar att avdelningens behandlingar förs in i registret. Avdelningschefen för verksamhetsstöd ansvarar för anmälning av behandlingar som har samband med nämndadministrationen.

Vilka personuppgifter vi behandlar varierar. Det beror på vilka personuppgifter enskilda ger in till förvaltningen och vilka personuppgifter vi behöver för att utföra den uppgift som det handlar om. I tillsynsärenden kan t.ex. både namn, personnummer, mailadresser, telefonnummer, adresser, foton, kontouppgift och information om hälsa förekomma. I andra ärenden kan t.ex. information om resvanor eller invånares åsikter förekomma.

Vi behöver behandla personuppgifter när vi handlägger ärenden bland annat för att kunna:

• bekräfta enskildas identitet,
• kontakta enskilda och kommunicera information, handlingar och beslut,
• utreda och besluta i ärenden,
• kommunicera uppgifter till annan part, sakägare eller överprövande myndighet,
• administrera en betalning av förvaltningens handläggningskostnad vid ärenden om tillsyn enligt gällande taxa.

Vi behöver också behandla personuppgifter i vårt arbete med att:

• ta fram, dokumentera och sprida information om nämndens verksamhetsområde och miljötillståndet i staden,
• bjuda in till event/projekt, genomföra event/projekt, dokumentera event/projekt och sprida information från event/projekt som anordnas av nämnden eller förvaltningen, ensamt eller i samarbete med andra,
• sprida information genom exempelvis utskick av informationsmaterial till berörda parter,
• utvärdera och utveckla våra event och våra informationsmaterial,
• ordna och delta i olika undersöknings- och forskningsprojekt. Projekten är på både EU-nivå och lokal nivå.

För att ens få behandla en personuppgift måste man ha en så kallad laglig grund för behandlingen. Det finns enligt GDPR bara sex stycken lagliga grunder och minst en av dessa måste vara uppfyllda för att en behandling ska få ske.

1. Samtycke – med hänsyn till att den enskilde lätt kan anses vara i beroendeställning till oss som myndighet är det inte vanligt för en myndighet att använda sig av den lagliga grunden samtycke.
2. Avtal
3. Rättslig förpliktelse
4. Skydda grundläggande intressen
5. Uppgift av allmänt intresse eller myndighetsutövning – nästan all behandling av personuppgifter som sker på förvaltningen faller under denna grund.
6. Berättigat intresse/Intresseavvägning – om vi behöver lämna över uppgifter till en tredje part krävs det att vi gör en intresseavvägning för att avgöra om överlämnandet kan ske. En tredje part måste då ha ett berättigat intresse av uppgifterna (t.ex. för marknadsföring) som väger tyngre än den enskildes integritet.

När vi behandlar personuppgifter måste vi dessutom följa dessa grundläggande principer:

1. Personuppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt gentemot den registrerade.
2. Personuppgifterna får endast samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål.
3. Personuppgifterna som samlas in ska vara adekvata, relevanta och inte för omfattande i förhållande till behandlingens ändamål.
4. Personuppgifterna ska vara korrekta och om nödvändigt uppdaterade.
5. Personuppgifterna ska inte bevaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för ändamålet.
6. Personuppgifterna ska behandlas på ett sätt som säkerställer lämplig säkerhet och konfidentialitet för personuppgifterna.

Miljöförvaltningen kan under vissa förutsättningar ge andra aktörer tillåtelse att behandla personuppgifter åt oss. Dessa aktörer kallas personuppgiftsbiträden och får bara lov att behandla personuppgifter enligt särskilda instruktioner från oss. Ett personuppgiftsbiträde kan till exempel vara ett företag som sköter driften av ett IT-system som miljöförvaltningen använder, till exempel Sokigo som agerar stöd vad gäller Ecos. För att andra aktörer ska få behandla våra personuppgifter krävs att vi upprättar ett PUB-avtal.

En enskild har rätt att få information om vilka uppgifter som finns registrerade hos oss om hen. Begäran ska vara skriftlig och den registrerade kan använda stadens e-tjänst (Registerutdrag), mejl eller post.

Om begäran kommer in utanför e-tjänsten ska vi be personen komma till förvaltningen och identifierar sig med legitimation.

En begäran om registerutdrag som kommer in till förvaltningen ska diarieföras.

Det är personuppgiftssamordnaren som har ansvar för att behandla en begäran om registerutdrag. Samtliga avdelningschefer ska kontaktas och de ska i sin tur kontrollera om den enskilde finns registrerad. Kontroll ska göras i Ecos, e-post, mappstruktur G med mera. Även svaret ska diarieföras.

Den registrerade har rätt att be att få felaktiga uppgifter rättade. Den enskilde har dessutom rätt att komplettera med sådana personuppgifter som saknas och som är relevanta med hänsyn till ändamålet med personuppgiftsbehandlingen.

Om en rättelse sker ska nämnden som personuppgiftsansvarig informera eventuella tredje parter som denna har lämnat uppgifter vidare till, att uppgifterna har rättats. Det gäller dock inte om det skulle visa sig omöjligt eller innebär en alltför betungande insats.

Om vi på förvaltningen hanterar en personuppgift på ett som kan innebära en risk för en eller flera enskildas fri- och rättigheter kallas det för en personuppgiftsincident. En personuppgiftsincident har till exempel inträffat om uppgifter om en eller flera registrerade personer har

• blivit förstörda (om vi råkat gallra eller tappa bort personuppgifter)
• gått förlorade på annat sätt (dator, telefon eller fysiska uppgifter stjäls)
• kommit i orätta händer (mail skickas till fel adress)

Det spelar ingen roll om vår hantering har skett oavsiktligt eller med avsikt. I båda fallen är det en personuppgiftsincident.

Om man misstänker att det skett en personuppgiftsincident är det viktigt att man omedelbart tar kontakt med personuppgiftssamordnaren som kommer att rådgöra med GDPR-teamet och GDPR-ansvarig på stadsledningsförvaltningen för att avgöra om incidenten är allvarlig eller inte.

Inte allvarlig personuppgiftsincident

Om incidenten inte är allvarlig ska den ändå registreras i stadens e-tjänst för personuppgiftsincidenter. Det är personuppgiftssamordnaren som registrerar incidenten.

Exempel på incident som inte är allvarlig:

Jag skickade ut sammanlagt 479 mejl med information om trängselregler till serveringar och matställen i Helsingborg torsdag 30/4. Mejlen i sig innehöll inga personuppgifter, men jag missade att lägga adresserna i hemlig kopia-fältet, utan la dem i det vanliga fältet ”Till” i Outlook. Skickade omkring 100 mejl åt gången. Adresserna var blandade. En del innehöll namn och/eller efternamn, andra bara ”info” och namnet på verksamheten. En person har svarat oss på kommunikationsmailen påpekat detta misstag.

Allvarlig personuppgiftsincident

Om det konstateras att incidenten är allvarlig ska förutom registrering i stadens e-tjänst även nämnden, genom personuppgiftssamordnaren, anmäla incidenten till Integritetsskyddsmyndigheten inom 72 timmar efter det att överträdelsen har upptäckts.

En allvarlig incident kan exempelvis vara att obehöriga riskerar att få tillgång till känsliga personuppgifter, exempelvis sjukdomshistorik eller att stora mängder personuppgifter av misstag raderas.

De personer som drabbas av personuppgiftsincidenten måste omedelbart informeras om det är stor risk för att deras rättigheter och friheter kan påverkas, till exempel om det finns risk för id-stöld eller bedrägeri.

Personuppgiftssamordnaren ska årligen stämma av med varje avdelningschef för att kontrollera att de anmälda behandlingarna är aktuella. Om förändringar gjorts i anmälda behandlingarna ska nya behandlingar anmälas och registreras i förvaltningens register över personuppgiftsbehandlingar. I samband med uppföljningen kontrolleras om det finns nytillkomna personuppgiftsbiträden och om i så fall avtal har tecknats.

Använd processtrukturen och informationshanteringsplanen som checklistor.

Personuppgiftssamordnaren ska en gång om året rapportera till nämnden om personuppgiftsbehandlingar och dataskyddsarbetet.

Vår personuppgiftssamordnare heter Sara Synneby och ansvarar för att samordna dataskyddsarbetet på förvaltningen och sammanställa/uppdatera nämndens register med anmälda behandlingar. Sara är också vår kontaktperson gentemot dataskyddsombudet.

Förvaltningens GDPR-team består av Åsa Nilsson, Sara Synneby, Thea Wien och Andrea Wikhäll.

Staden har valt att ha ett externt dataskyddsombud (Security Solutions) som utövar intern kontroll av att GDPR efterlevs inom staden.

Integritetsskyddsmyndigheten (IMY) är den statliga myndighet som utövar tillsyn av efterlevnaden av lagstiftningen.