Hej stadsjurist Magdalena Kocan, kan du förklara det där med GDPR?

Den 25 maj ska EU:s dataskyddsförordning, GDPR, börja tillämpas. Här förklarar stadsjurist Magdalena Kocan vad GDPR är och vad vi måste göra nu.

Många pratar om GDPR men få verkar veta vad det egentligen är och vad det innebär för oss. Vad handlar det om?

– Förkortningen betyder General data protection regulation. På svenska säger vi EU:s dataskyddsförordning. Det är ett nytt regelverk som blir gemensamt för hela EU och som ska säkerställa att personuppgifter behandlas korrekt och säkert.

Vad är en personuppgift?

– Det är egentligen allt som kan knytas till en levande fysisk person. Det kan vara ett foto, en e-postadress eller ett telefonnummer. Men det skulle i vissa fall också kunna vara registreringsnumret på en persons bil eller en uppgift om någons yrkestitel.

Varför behövs det regler om hur vi får handskas med den här sortens uppgifter?

– Syftet är att tillgodose enskilda personers rättigheter. Dataskyddsförordningen ska, som det heter, stärka den enskildes skydd.

Personuppgiftslagen, pul, har ju fyllt den uppgiften. Vad händer med pul nu?

– Pul upphör att gälla och ersätts av GDPR den 25 maj i år. Från och med det datumet får hela EU samma regler för hur vi ska hantera personuppgifter.

Vad är skillnaden mellan personuppgiftslagen och GDPR?

– De har många likheter men GDPR innehåller en del bestämmelser som inte finns i personuppgiftslagen. En är det som kallas ”rätten att bli glömd”. Det innebär att en person kan begära att vi ska bort vissa uppgifter om hen – men vid sådana fall måste vi som en myndighet ta hänsyn till bland annat arkivlagstiftning. Vi kan inte ta bort uppgifter hur som helst, men vi kanske inte får fortsätta att behandla personuppgifterna.

Finns det något annat som skiljer GDPR från pul?  

– När GDPR börjar tillämpas den 25 maj kan Datainspektionen rikta sanktionsavgifter mot oss om vi inte följer dataskyddsförordningen, men vi ska inte stirra oss blinda på det. Vi måste också i vissa fall anmäla till Datainspektionen om det inträffar en incident när vi hanterar personuppgifter, till exempel om omfattande personuppgifter sprids felaktigt eller om vi drabbas av ett intrång.

Stämmer det att personer framöver ska kunna begära att få ut alla sina personuppgifter som finns hos kommunen?

– Det kan man redan idag enligt personuppgiftslagen. Men framöver blir det sannolikt lättare för oss att överblicka var personuppgifter finns. Alla förvaltningar inventerar vilka personuppgifter som de behandlar, och alla ska registrera sina personuppgiftsbehandlingar i en e-tjänst.

Det verkar som om vi i kommunen i mångt och mycket redan jobbat efter reglerna i GDPR.

– Vi har sedan år tillbaka rutiner för att följa personuppgiftslagen, men frågorna har inte varit i fokus. Den här typen av frågor är alltså inte något nytt, men när vi nu går över till GDPR ger det oss ett utmärkt tillfälle till att inventera och ta ställning till vilka personuppgifter vi hanterar, hur vi gör det, varför vi gör det och om vi kan fortsätta att göra det.

Hur förbereder sig förvaltningarna på GDPR?

– Man håller som bäst på att inventera vilka personuppgifter man behandlar. Det finns också personuppgiftsombud på alla förvaltningar som kan svara på hur det arbetet bedrivs.

Vilket stöd kan man få från stadsjuridiska enheten?

– Vi informerar om regelverket om man vill det. Vi har också tagit fram ett underlag som kan vara ett stöd vid inventeringen och en mall för personuppgiftsbiträdesavtal. Dessutom har digitaliseringsavdelningen hjälpt oss att ta fram en e-tjänst för anmälan av personuppgiftsbehandling som förvaltningarna kan använda och en annan e-tjänst som ska användas om någon begär att få ut sina personuppgifter.

Något annat vi måste tänka på?

Det måste alltid finnas en laglig grund för att vi ska få behandla personuppgifter. Ett exempel på laglig grund är att personen har lämnat samtycke till att vi behandlar personuppgifter, ett annat är att kommunen behöver behandla vissa personuppgifter för att kunna utföra sin myndighetsutövning.  Men inte heller detta är en skillnad mot vad som gällt hittills.

Det låter faktiskt som om vi kan sova lugnt på nätterna och inte ligga vakna och fundera över hur det här med GDPR ska gå.

– Ja, vi kan sova lugnt. Och vi har också ett utmärkt tillfälle till att gå igenom vilka personuppgifter vi behandlar.

Till slut, hur gör jag för att få veta mer om GDPR och hur vi jobbar med införandet här i kommunen?  

– Kontakta i första hand personuppgiftsombudet på din förvaltning. Du kan också skicka frågor till stadsjuristerna.

Gör så här om du vill veta mer

• Se vem som är personuppgiftsombud på din förvaltning och kontakta hen.
• Skicka en fråga till stadsjuristerna på e-postadressen joa@helsingborg.se.
• Läs på intranätet om behandling av personuppgifter.
• Läs vilka 10 områden som SKL:s prioriterar när det gäller GDPR.
• Läs Datainspektionens information om hur dataskyddsförordningen ska tillämpas.