Dataskyddsjuristen bedömer laglig grund och dokumenterar vad som gör behandlingen laglig
Det krävs en laglig grund för behandling av personuppgifter för att behandlingen ska vara laglig. Den lagliga grunden behöver det företag som är ansvarig för behandlingen (den personuppgiftsansvarige) fastställa innan behandlingen påbörjas. Det handlar om att ha ett giltigt skäl eller rättsligt stöd för varje enskild personuppgiftsbehandling. GDPR anger sex olika lagliga grunder:
En viss behandling kan rymmas inom en eller flera av de legala grunderna. Varje behandling av personuppgifter måste dock kopplas till en av dessa grunder för att vara laglig, det vill säga även om behandlingen skulle kunna rymmas inom flera av de lagliga grunderna måste den personuppgiftsansvarige välja en av dem.
Valet av laglig grund påverkar vilka rättigheter de registrerade (exempelvis den personuppgiftsansvariges kunder) har och vilka skyldigheter som åligger den personuppgiftsansvarige. Det är därför viktigt att noggrant analysera och dokumentera vilken GDPR laglig grund som används för varje specifik behandling. Utan laglig grund är behandlingen av personuppgifter olaglig enligt GDPR.
GDPR lagliga grunder: I den här texten går vi igenom de sex lagliga grunder som finns. Morling Consulting värderar vilka legala grunder som kan vara aktuella för viss behandling och vad effekten av den valda lagliga grunden är.
Vi identifierar vilka personuppgiftsbehandlingar som sker och i vilka system och processer de ingår så att varje aktivitet blir möjlig att koppla till rätt laglig grund. Resultatet blir en tydlig beskrivning som gör den fortsatta bedömningen effektiv och spårbar.
För varje behandling sammanställer vi vad som driver behovet av behandlingen och vilka krav som påverkar valet av grund, exempelvis avtalsrelationer, skyldigheter i lag eller annat. Det ger ett beslutsunderlag som minskar risken för otydliga eller svårmotiverade val.
Vi prövar vilka grunder som är tillämpliga och pekar ut den grund som bäst matchar respektive behandling. Samtidigt tydliggörs vilka rättigheter som blir relevanta utifrån valet av laglig grund.
Vi tar fram formuleringar och underlag som kan läggas i registret över behandlingar så att valet går att förklara vid frågor eller granskning. Fokus ligger på motivering av vald grund och vad som behöver följas upp över tid.
Vi sätter en rutin för när den legala grunden behöver omprövas vid nya ändamål, förändrade processer eller nya mottagare så att grunden förblir hållbar. Det gör det enklare att hantera uppdateringar utan att skapa luckor i dokumentation eller information till registrerade.
När tolkningen blir svår kan det vara helheten i era flöden som avgör vad som är rimligt och hållbart. Förankra arbetet i dokumentation och praktiska kontroller så att beslut går att försvara över tid. Klicka vidare för att stärka underlaget runt avtal, register och lagring.
När en organisation ska välja laglig grund för behandling av personuppgifter är det viktigt att göra en noggrann bedömning. Valet påverkar både rättigheter och skyldigheter och det är inte alltid helt enkelt att byta grund i efterhand. Några centrala faktorer att tänka på är:
Genom att analysera dessa faktorer minskar risken för brister i efterlevnaden och stärker skyddet för de registrerades rättigheter.
Samtycke som GDPR laglig grund innebär att en person frivilligt, specifikt, informerat och otvetydigt har gett sitt godkännande till behandling av sina personuppgifter för ett eller flera specifika ändamål. Efter att ett samtycker getts måste det vara lika enkelt att återkalla det som det var att ge det, och personen måste informeras om denna rättighet innan samtycke ges.
Samtycket ska vara en aktiv handling och kan inte presumeras genom tystnad eller passivitet. Det är den personuppgiftsansvariges ansvar att kunna visa att giltigt samtycke har inhämtats.
Avtal är en laglig grund under GDPR och det innebär att behandling av personuppgifter är tillåten när det är nödvändigt för att fullgöra ett avtal där den registrerade är part. Avtal som legal grund täcker även förberedande åtgärder som vidtas innan ett avtal kommit till stånd när åtgärderna är ett led i att ingå avtal på den registrerades begäran.
Till exempel kan ett företag behandla en kunds adress för att leverera varor som beställts enligt ett köpeavtal. Denna grund är vanlig vid transaktioner, anställningsförhållanden och tjänsteleveranser där personuppgiftsbehandling krävs för att uppfylla avtalsförpliktelser.
Den personuppgiftsansvarige kan ha rättslig förpliktelse som kräver att personuppgifter behandlas. Det innebär att den legala grunden rättslig förpliktelse blir aktuell till den mån behandlingen är nödvändigt för att uppfylla en skyldighet som följer av lag, förordning eller annat rättsligt krav.
Till exempel kan en organisation behandla personuppgifter för att uppfylla bokföringsskyldighet enligt bokföringslagen. Denna grund gäller när den personuppgiftsansvarige är juridiskt förpliktigad att utföra behandlingen, och den kan inte användas för frivilliga åtaganden. Det innebär att det behöver fastställas hur långt den rättslig förpliktelsen sträcker sig och om det är otydligt kan i vissa fall en annan legal grund behöva övervägas.
Personuppgifter får behandlas om det är nödvändigt för att skydda den registrerades eller någon annan persons vitala intressen, särskilt när personen är fysiskt eller juridiskt oförmögen att ge sitt samtycke. Den legala grunden är då skydd för grundläggande intressen vilken främst är aktuell i nödsituationer, till exempel om en person är medvetslös och behöver akut medicinsk vård. Det bör övervägas om andra legala grunder är aktuella innan skydd för grundläggande intressen tillämpas.
Den lagliga grunden uppgift av allmänt intresse eller myndighetsutövning innebär att personuppgiftsbehandling är tillåten när den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Detta gäller främst för offentliga myndigheter, men kan även omfatta privata aktörer som utför uppgifter av allmänt intresse.
Behandlingen måste ha stöd i lag, annan författning, kollektivavtal eller beslut som meddelats med stöd av lag. Ett exempel kan vara personuppgiftsbehandling inom skola, vård eller annan offentlig verksamhet.
Intresseavvägning som legal grund innebär att en organisation kan behandla personuppgifter om dess berättigade intresse väger tyngre än den registrerades integritetsintressen. Organisationen måste göra en noggrann bedömning där dess legitima intressen vägs mot individens rättigheter och friheter. Intresseavvägning som legal grund skiljer sig alltså från de andra legala grunderna i det att den personuppgiftsansvarige själv måste identifiera och väga det egna legitima intresset mot den registrerades intresse.
Intresseavvägning kan exempelvis användas för direktmarknadsföring, men det bör noteras att det finns en rätt för den registrerade att invända mot att få direktmarknadsföring. Intresseavvägningen måste dokumenteras och behandlingen måste vara nödvändig för att uppnå det berättigade intresset.
Vi på Morling Consulting kan hjälpa ert företag med GDPR, exempelvis värdering av tillämplig legal grund. Vi hjälper verksamheter med efterlevnad av GDPR och kan hjälpa till med enstaka insatser, projekt eller åtaganden över längre tid.
En laglig grund är det rättsliga stödet som krävs för att få behandla personuppgifter på ett lagligt sätt enligt dataskyddsförordningen (GDPR). Behandlingen måste alltid ske under en av de sex lagliga grunderna som anges i GDPR, annars är behandlingen olaglig.
De lagliga grunderna är:
Ja, utan en laglig grund är behandlingen olaglig. Den personuppgiftsansvarige måste ha identifierat och dokumenterat en giltig laglig grund innan personuppgifter får behandlas.
Det beror på ändamålet med behandlingen. Man bör utgå från:
Valet ska dokumenteras eftersom det påverkar både skyldigheter och registrerades rättigheter. De registrerade ska även få information om de lagliga grunder som tillämpas och vilka rättigheter som är förknippat med detta, exempelvis i en integritetsskyddspolicy.
Intresseavvägning är lämplig när:
Exempel: Viss typ av marknadsföring eller förebyggande av bedrägerier.
Ja, enligt principen om ansvarsskyldighet i GDPR måste varje behandling av personuppgifter kunna motiveras och dokumenteras. Dokumentationen ska visa vilken laglig grund som valts och hur bedömningen gjorts (särskilt vid intresseavvägning).
Vi erbjuder:
Om en organisation behandlar personuppgifter utan en giltig laglig grund bryter den mot GDPR. Det kan leda till:
Nej, varje behandling måste knytas till en laglig grund. Det är inte tillåtet att ”backa upp” samma behandling med flera grunder. Däremot kan olika grunder gälla för olika delar av en organisations personuppgiftsbehandling.
Samtycke bör undvikas när:
I dessa fall är det bättre att överväga andra grunder som avtal, rättslig förpliktelse eller intresseavvägning.
Morling Consultings rådgivning kan till exempel innebära:
Rådgivningen anpassas alltid efter verksamhetens behov, risknivå och juridiska förutsättningar.
Behöver du bedöma laglig grund för en behandling? Hör av dig så tar vi det vidare
”*” anger obligatoriska fält
