GDPR för kommunikatörer

Vad är en personuppgift?

All information som direkt eller indirekt kan kopplas till en levande person är en personuppgift. Det gäller namn och e-postadresser, men också bilder och filmer där personer går att känna igen, röster i ljudfiler, användarnamn i sociala medier och en beskrivning som pekar ut en person (”rektorn på Björkskolan”).

Rättslig grund: allmänt intresse, sällan samtycke

All behandling av personuppgifter kräver en rättslig grund enligt artikel 6. För kommuner, regioner och myndigheter är den vanligaste grunden att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Att informera om verksamheten är en sådan uppgift. Statliga myndigheter har det i myndighetsförordningen och kommuner har det i sitt uppdrag. Myndigheter får inte använda intresseavvägning när de behandlar uppgifter för att utföra sina uppgifter.

Samtycke kan verka tryggt men är ofta fel val. Ett samtycke måste vara frivilligt och kan när som helst återkallas. Anställda står i beroendeställning till sin arbetsgivare, och invånare kan stå i beroendeställning till kommunen, så det kan vara svårt att visa att samtycket var frivilligt. Integritetsskyddsmyndigheten (IMY) avråder därför från samtycke i de flesta situationer där myndigheter publicerar bilder.

Principerna som styr allt

• Ändamål: Bestäm varför ni behandlar uppgifterna och använd dem inte till annat.
• Uppgiftsminimering: Använd inte fler uppgifter än som behövs. Behövs namnet i nyheten? Behöver ansiktet synas?
• Korrekthet: Rätta felaktiga uppgifter.
• Lagringsminimering: Spara inte uppgifter längre än nödvändigt, men tänk på att allmänna handlingar bara får gallras enligt beslut.
• Säkerhet: Skydda uppgifterna, till exempel genom att begränsa vem som har tillgång till bildbanken.
• Öppenhet: Informera de berörda om behandlingen.

Känsliga uppgifter och personnummer

Uppgifter om hälsa, etniskt ursprung, politiska åsikter, religion, fackmedlemskap, sexualliv och sexuell läggning är känsliga personuppgifter enligt artikel 9 och får bara behandlas i undantagsfall. En bild från en stödgrupp, en mottagning eller ett gudstjänstrum kan avslöja känsliga uppgifter. Personnummer får bara behandlas när det är klart motiverat, vilket det nästan aldrig är i kommunikation.

De registrerades rättigheter

• Information: Berätta hur ni behandlar personuppgifter, till exempel i en text på webbplatsen och i profilen på sociala medier.
• Invändning: När ni behandlar uppgifter för en uppgift av allmänt intresse har personen rätt att invända. Ni måste då sluta, om ni inte kan visa tvingande skäl. Att ta bort en bild från webbplatsen när någon ber om det är oftast det rimliga.
• Radering och rättelse: Personer kan begära att uppgifter raderas eller rättas. Rätten att få uppgifter raderade gäller inte allmänna handlingar som ska bevaras, men publiceringen på webben kan och bör ofta upphöra.

GDPR och offentlighetsprincipen

GDPR ska inte tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Det betyder att GDPR aldrig hindrar att allmänna handlingar lämnas ut. Däremot gäller GDPR fullt ut för det ni själva väljer att publicera.

Ni och plattformarna

När ni driver en sida på Facebook är ni enligt EU-domstolen gemensamt personuppgiftsansvariga med Meta för en del av behandlingen, till exempel den statistik ni får om besökarna. Ta med sociala medier i er förteckning över behandlingar och ha dataskyddsombudet med när ni startar nya kanaler eller verktyg.

Alla myndigheter ska ha ett dataskyddsombud. Ombudet är rätt person att fråga när ni är osäkra, och ska vara med när ni gör en konsekvensbedömning inför nya behandlingar med hög risk.