GDPR Gimo pastorat

GDPR Definitioner och begrepp

Vad är GDPR?​

GDPR står för General Data Protection Regulation, den svenska översättningen är dataskyddsförordningen. Det är en EU-lagstiftning som Sverige ska tillämpa direkt, precis som om det vore en svensk lag. GDPR handlar om att privatpersoner ska kunna kontrollera vem som har deras personuppgifter och i vilken utsträckning. Företag får endast samla in de personuppgifter som de behöver och de måste hantera uppgifterna på rätt sätt. ​

Syftet med GDPR är att uppnå en enhetlig dataskyddsreglering i EU, och på så sätt stärka individers rättigheter. Många av GDPR:s regler liknar de som idag finns i personuppgiftslagen (PUL). De största förändringarna jämfört med PUL är dock just att de registrerades (personerna vars uppgifter behandlas av en personuppgiftsansvarig) rättigheter utökas, att sanktioner som drabbar sådana personuppgiftsansvariga vars personuppgiftsbehandling inte följer lagen blir hårdare, och att kraven på personuppgiftsansvariga i övrigt skärps.​I och med att GDPR träder i kraft den 25 maj 2018 har svenska företag och myndigheter ett stort arbete framför sig med att se till att de lever upp till GDPR:s krav​. 

Vad är personuppgifter?

​Med personuppgifter menas all information ("varje upplysning") som direkt eller indirekt går att koppla till en identifierbar levande person, särskilt med hänvisning till en identifierare såsom namn, personnummer, lokaliseringsuppgifter eller onlineidentifikatorer eller faktorer som är specifika för personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. E-postadresser, telefonnummer och bilder är några vanliga exempel på personuppgifter.

Elektroniska identiteter kan räknas som personuppgifter om de går att koppla till levande personer. Exempel är IP-nummer, eller cookies som lagrar information om en användares besök på en webbplats. Även uppgifter som är krypterade, anonymiserade eller på annat sätt avidentifierade är personuppgifter om de med hjälp av kompletterande information (och utan ett allt för omfattande arbete) kan kopplas till en fysisk levande person.

Uppgifterna måste finnas i någon form av register för att täckas av GDPR. En sko är inte en personuppgift enligt GDPR när den bärs av en levande person, men om en skomakare skriver upp i sitt register vem skon tillhör kan den informationen anses vara en personuppgift.​​​

Vilka är konsekvenserna av att inte följa GDPR?

Till skillnad från vad som gäller enligt PUL, kommer GDPR inte att medföra någon risk för böter eller fängelse vid olaglig personuppgiftsbehandling. Däremot introduceras höga så kallade sanktionsavgifter som kan komma i fråga för personuppgiftsansvariga företag som bryter mot GDPR:s bestämmelser. Dessa sanktionsavgifter, som har ett tak på 20 000 000 EUR, har utan tvekan en potential att bringa företag och organisationer i konkurs. I Sverige har det dessutom föreslagits att även myndigheter ska kunna drabbas av sanktionsavgifter, dock endast upp till ett tak på 20 000 000 SEK.

 Sanktionsavgifter är dock inte det enda personuppgiftsansvariga behöver oroa sig för – fysiska personer som har "lidit materiell eller immateriell skada till följd av en överträdelse av [GDPR]" kan begära skadestånd från den personuppgiftsansvarige eller personuppgiftsbiträdet. I praktiken är detta troligtvis den största risken, eftersom Datainspektionen i nuläget har långt ifrån de resurser som skulle krävas för att se så att GDPR följs.

Grundläggande definitioner​

Behandling - Alla åtgärder som vidtas i fråga om personuppgifter, t.ex. insamling, lagring och bearbetning.  

Personuppgiftsansvarig - Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter.

Personuppgiftsbiträde - Den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Alla som kommer åt eller kan komma åt personuppgifter är personuppgiftsbiträden, t.ex. leverantörer av system innehållande personuppgifter.

Registrerade - De fysiska, levande personer vars personuppgifter behandlas.

Tillsynsmyndighet - Den nationella myndighet som ska övervaka att GDPR efterlevs i landet. I Sverige är det Integritetsskyddsmyndigheten som kommer att vara tillsynsmyndighet enligt GDPR (se Grundläggande definitioner). På Integritetsskyddsmyndigheten hemsida, www.imy.se  läggs kontinuerligt ut information om dataskyddsreformen samt om hur GDPR ska tolkas och efterlevas.

Grundläggande principer

GDPR har sex grundläggande principer för personuppgiftsbehandling: 

1.     Laglighet, korrekthet och öppenhet. Personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt gentemot den registrerade.

2.     Ändamålsbegränsning. Personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och får senare inte behandlas på ett sätt som går emot dessa ändamål.

3.     Uppgiftsminimering. Personuppgifter ska vara adekvata, relevanta och inte för omfattande för behandlingens ändamål.

4.     Korrekthet. Personuppgifter ska vara korrekta och uppdateras vid behov.

5.     Lagringsminimering. Personuppgifter får inte lagras på ett sådant sätt att de kan användas för att identifiera en registrerad under en längre period än vad behandlingsändamålen kräver.

6.     Integritet och konfidentialitet. Lämplig säkerhet ska säkerställas för personuppgifter som behandlas, så att obehörig eller otillåten behandling, förlust, förstöring eller skada genom olyckshändelse kan undvikas.​

Lagliga grunder 

För att få behandla personuppgifter måste behandlingen vila på dels ett berättigat ändamål (se Grundläggande principer), dels minst en av de lagliga grunder som räknas upp i GDPR. Genom att bygga på en laglig grund uppfylls även den första dataskyddsprincipen – att personuppgifterna behandlas på ett lagligt sätt.

• Samtycke. Den registrerade har lämnat entydigt, frivilligt och specifikt samtycke.
• Avtal. Behandlingen är nödvändig för att fullgöra eller ingå ett avtal.
• Rättslig förpliktelse. Behandlingen är nödvändig för att kunna fullgöra en rättslig förpliktelse.
• Intresseavvägning. Grundläggande intresse: Behandlingen är nödvändig för att skydda en fysisk persons grundläggande intressen.

Allmänt intresse: Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse.
Myndighetsutövning: Behandlingen är nödvändig som ett led i myndighetsutövning.
Berättigat intresse: Behandlingen är nödvändig för ett berättigat intresse hos den personuppgiftsansvarige eller en tredje part, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre.

När personuppgifter samlas in ska den registrerade få information om bland annat vilken laglig grund behandlingen av hens personuppgifter vilar på. Det måste därför säkerställas redan innan uppgifterna samlas in vilken laglig grund som är aktuell. Det räcker dock inte att det finns en laglig grund för behandlingen – den måste fortfarande uppfylla resten av kraven som ställs upp i GDPR, såsom de grundläggande principerna.

Vad är skillnaden mellan de lagliga grunderna samtycke och avtal?

Skillnaden mellan de lagliga grunderna samtycke och avtal är att ett samtycke är frivilligt och kan ges för personuppgifter som inte är strikt nödvändiga att behandla, medan ett avtal kräver viss behandling av personuppgifter.

Exempel:
För att kunna veta vilka som är medlemmar och inte behöver ni ha deras personuppgifter. Ni behöver även kontaktuppgifter för att kunna ha medlemsvård. Lagringen av kontaktuppgifterna grundar sig då på avtal, eftersom den är nödvändig för att kunna uppfylla avtalet som medlemskapet innebär.​

Inför ett läger är det bra för er att veta vad de medverkande har för allergier. Men eftersom sådan information inte är nödvändig för att avtalet (att medverka på läger) ska kunna uppfyllas, måste den medverkande samtycka till att uppgifter om allergi sparas.​
Vad krävs för att publicera bilder i församlingsbladet och på webben?

Tidningar som har ansvariga utgivare får publicera bilder utan att inhämta tillåtelse på något sätt. I de fallen agerar de som skriver och publicerar bilder som journalister och behöver bara ta hänsyn till att inte begå exempelvis förtal, förolämpning, högförräderi och olaga hot.

För annan typ av publicering eller spridning, behövs samtycke från de personer som går att identifiera på bilderna. Samtycket behöver inte vara skriftligt, men det är församlingen som har bevisbördan. Av den anledningen rekommenderas att det dokumenteras på något sätt.

Frivilligarbetare

Objektivt sätt anses det att frivilligarbetare utgör arbete å Svenska Kyrkans vägnar. Därmed ligger ansvaret för hur de hanterar personuppgifter på respektive församling/pastorat/stift. Därför rekommenderas att samtliga frivilligarbetare har skrivit under sekretessavtal där det bland annat framgår hur de ska tänka när de hanterar personuppgifter.

Dataskyddspolicy

Personuppgiftsansvar

Gimo pastorat är personuppgiftsansvarig för behandlingen av personuppgifter för medlemmar i Svenska Kyrkan. Information om hur du kontaktar oss finns under rubriken Om oss längst upp på sidan.

Insamling av personuppgifter

Vad en personuppgift är

Personuppgifter är all slags information som direkt eller indirekt kan hänföras till fysisk person som är i livet. Det gäller till exempel namn, personnummer, adress, e-postadress och telefonnummer. Det gäller också till exempel krypterade uppgifter och olika slags elektroniska identiteter, som exempelvis OP-nummer, om de kan kopplas till fysiska personer.

Hur vi samlar in personuppgifter och vilka uppgifter vi samlar in
Gimo pastorat samlar in personuppgifter på flera sätt dels genom Svenska Kyrkans gemensamma medlemsregister men i första hand direkt från dig.

Offentlighetsprincipen

Svenska Kyrkan tillämpar offentlighetsprincipen och det innebär att skrivelser som skickas oss kan bli allmänna handlingar. Ärenden som berör bikt och själavård faller under sekretess.

Uppgifter som samlas in i samband med kyrklighandling

När du bokar en Kyrklighandling så som dop, vigsel, begravning samlar vi in personuppgifter från dig för att kunna fullgöra din beställning. Det är uppgifter om namn, personnummer, adress och kontaktuppgifter så som telefonnummer och e-postadress. Detta för att kunna genomföra den kyrkliga handling som du som medlem efterfrågat. Om bokningen omfattar barn samlar vi in samma uppgifter som ovan rörande barnet då det odöpta barnet ännu inte är medlem i Svenska Kyrkan.

Uppgifter som samlas in vid personlig kontakt

Vi samlar in personuppgifter från dig när du kontaktar oss, till exempel via expeditionen på e-post, telefon eller på andra sätt. I första hand samlar vi in de personuppgifter som behövs för att kunna besvara din fråga eller hantera ditt ärende. Det är uppgifter om namn och ärende. Beroende på hur du väljer att kontakta oss kan vi också samla in kontaktuppgifter som till exempel e-postadress eller telefonnummer. 
Vid personlig kontakt samlar vi också in de övriga personuppgifter som du själv väljer att lämna till oss. Det kan till exempel vara uppgifter om allergier, hälsotillstånd eller andra uppgifter om dig eller ditt barn som vi kan behöva för att möta speciella behov av till exempel allergikost i samband med grupper och samlingar.

Hantering och lagring av personuppgifter

Gimo pastorats rättsliga grund att behandla dina personuppgifter
Gimo pastorat behandlar dina personuppgifter lagenligt. Det kan förekomma att samma personuppgifter behandlas både med stöd av samtycke så som medlemskap i Svenska Kyrkan och fullgörande av avtal då Gimo pastorat administrerar begravningsverksamheten som lyder under begravnings lagen.  Det innebär att även om du återkallar ditt samtycke och den behandling som grundas på samtycket upphör, kan personuppgiften ändå finnas kvar hos oss för andra ändamål. I huvudsak behandlar vi dina uppgifter för att fullgöra ett avtal i vilket du är part så som medlem i Svenska Kyrkan.

Lagkrav

Behandling av dina personuppgifter kan slutligen också komma att ske för att vi ska kunna uppfylla förpliktelser enligt lagar och förordningar.

Lagringstid

Vi sparar dina personuppgifter så länge som det krävs för ändamålet med behandlingen. Vi sparar alla de personuppgifter vi samlar in i vårt för Svenska Kyrkans gemensamma medlemsregister. I medlemsregistret spara personuppgifter och i kyrkoboken arkiveras de kyrkliga handlingarna som genomgåtts.

Samma personuppgifter kan lagras på flera olika ställen för olika ändamål. Det kan innebära att en uppgift som har gallrats ur ett system för att den inte längre är nödvändig kan finns kvar i ett annat system där den lagras med stöd av samtycke eller för ett annat ändamål där personuppgiften fortfarande behövs.

Rätt att begära information

Vill du veta om Gimo pastorat behandlar personuppgifter om dig, skicka en undertecknad begäran till oss. Du har rätt att begära information om personuppgifter som behandlas om dig hos Svenska Kyrkan Gimo pastorat och att få uppgifter rättade. Observera att Gimo pastorat enbart har tillgång till personuppgifter som behövs för ditt medlemskap i Svenska Kyrkan.