Integritetspolicy
Information om behandling och lagring av personuppgifter.
Principer för behandling och lagring av personuppgifter
Den personuppgiftsansvariges behandling och lagring av personuppgifter måste uppfylla krav och grundläggande principer som anges i EU:s dataskyddsförordning.
Principerna innebär bland annat att personuppgifter bara får samlas in för berättigade ändamål (av legitima skäl) och att mängden uppgifter ska begränsas till vad som är nödvändigt. Uppgifterna får inte senare behandlas eller lagras på ett sätt som är oförenligt med dessa ändamål längre än nödvändigt.
Principerna ska iakttas vid all behandling av personuppgifter och den personuppgiftsansvarige ska kunna visa att dessa följs. Principerna är:
Laglighet och öppenhet
Personuppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Kravet på att behandlingen av personuppgifter ska vara laglig innebär bland annat att det måste finnas en rättslig grund för behandlingen.
Att personuppgifter ska behandlas på ett öppet sätt i förhållande till den registrerade innebär bland annat att det ska vara klart och tydligt för denne hur hans eller hennes personuppgifter samlas in och i övrigt behandlas. De registrerade måste därför få information om behandlingen som är både lättillgänglig och formuleras med ett klart och tydligt språk.
Ändamålsbegränsning
Personuppgifter ska bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Det innebär att den som ska behandla personuppgifter måste ha ändamålen klara för sig redan innan insamlingen av personuppgifter börjar. Personuppgifterna får sedan inte behandlas på ett sätt som är oförenligt med dessa ändamål. De på förhand fastställda ändamålen är med andra ord det som sätter ramarna för behandlingen.
Uppgiftsminimering
Personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Det är med andra ord inte tillåtet att samla in personuppgifter för obestämda framtida behov.
Korrekthet
Personuppgifterna ska vara korrekta och uppdaterade. Den som behandlar personuppgifter måste vidta rimliga åtgärder för att säkerställa att felaktiga personuppgifter raderas eller rättas utan dröjsmål. Om det krävs för ändamålen ska personuppgifterna dessutom vara uppdaterade.
Lagringsminimering
Personuppgifter får inte sparas/förvaras i en form som möjliggör identifiering av den registrerade, under en längre tid än vad som framgår av ändamål och eller samtycke för vilka personuppgifterna behandlas. När personuppgifterna inte längre behövs för angivna ändamål ska personuppgifter raderas eller avidentifieras.
Integritet och konfidentialitet
Personuppgifterna ska skyddas bland annat mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse.
Ansvarsskyldighet
Den som behandlar personuppgifter ansvarar för att principerna om personuppgiftsbehandling följs och måste kunna visa på vilket sätt man följer dem.
Den registrerades rättigheter
Du som registrerad har ett antal rättigheter enligt dataskyddsförordningen över tiden som dina personuppgifter behandlas. Dessa rättigheter innebär i korthet att du kan få information om när och hur dina personuppgifter behandlas. Rättigheterna du har är:
Rätt till information
Du som registrerad har rätt att få information om den personuppgiftsansvariges personuppgiftsbehandling.
Information om personuppgiftsbehandlingen ska lämnas av den personuppgiftsansvarige både när uppgifterna samlas in och när den registrerade annars begär det.
Därutöver finns det vissa tillfällen när särskild information ska ges till den registrerade, till exempel om det inträffar en personuppgiftsincident hos den personuppgiftsansvarige och det finns risk för till exempel identitetsstöld eller bedrägeri.
Informationen ska tillhandahållas den registrerade kostnadsfritt i en lättillgänglig, skriftlig form och med ett tydligt och enkelt språk. I dataskyddsförordningen anges utförligt vilken information som ska ges.
Den registrerade har också rätt att begära att få information om till vem personuppgifter lämnats ut till.
Rätt till rättelse
Du som registrerad har rätt att vända dig till den personuppgiftsansvarige och be att få felaktiga personuppgifter rättade eller kompletterade så att behandlingen av dina personuppgifter är relevanta med hänsyn till ändamålet med behandlingen.
Rätt till radering (rätten att bli bortglömd)
Du som registrerad har rätt att vända dig till den personuppgiftsansvarige och be att uppgifterna som avser dig raderas. Uppgifterna måste raderas i följande fall:
- Om uppgifterna inte längre behövs för de ändamål som de samlades in för
- Om behandlingen grundar sig på den enskildes samtycke och denne återkallar samtycket
- Om behandlingen sker för direktmarknadsföring och den enskilde motsätter sig att uppgifterna behandlas
- Om den enskilde motsätter sig personuppgiftsbehandling som sker inom ramen för myndighetsutövning eller efter en intresseavvägning och det inte finns berättigade skäl som väger tyngre än den enskildes intresse
- Om personuppgifterna har behandlats olagligt
- Om radering krävs för att uppfylla en rättslig skyldighet
- Om personuppgifterna avser barn och har samlats in i samband med att barnet skapar en profil i ett socialt nätverk
Om uppgifter raderas på den registrerades begäran måste den personuppgiftsansvarige också informera dem som de har tillhandahållit personuppgifterna till som ett led i den registrerades önskemål. Det gäller dock inte om det skulle visa sig omöjligt eller innebär en alltför betungande insats.
Det finns undantag från rätten till radering och skyldigheten att informera andra om det är nödvändigt för att tillgodose andra viktiga rättigheter som till exempel rätten till yttrande- och informationsfrihet, för att uppfylla en rättslig förpliktelse, utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning.
Rätt till begränsning av behandling
Registrerade har i vissa fall rätt att kräva att behandlingen av personuppgifter begränsas. Med begränsning menas att uppgifterna markeras så att dessa i framtiden endast får behandlas för vissa avgränsade syften.
Rätten till begränsning gäller bland annat när den registrerade anser att uppgifterna är felaktiga och begärt rättelse. I sådana fall kan den registrerade även begära att behandlingen av uppgifterna begränsas under tiden uppgifternas korrekthet utreds.
När begränsningen ändras eller upphör ska den enskilde informeras om detta.
Dataportabilitet
Den registrerade har i vissa fall rätt att få ut och använda sina personuppgifter på annat håll till exempel i en annan social medietjänst (rätten till dataportabilitet). Den personuppgiftsansvarige är skyldig att underlätta en sådan överflyttning av personuppgifter.
En förutsättning är att den personuppgiftsansvarige behandlar personuppgifter med stöd av ett samtycke från den registrerade eller för att uppfylla ett avtal med den registrerade och det gäller bara sådana personuppgifter som den registrerade själv har lämnat.
Rätt att göra invändningar
Den registrerade har i vissa fall rätt att invända mot den personuppgiftsansvariges behandling av hans eller hennes personuppgifter.
Rätten att invända gäller när personuppgifter behandlas för att utföra en uppgift av allmänt intresse, som ett led i myndighetsutövning eller efter en intresseavvägning.
Om den enskilde invänder mot behandlingen i sådana fall får den personuppgiftsansvarige endast fortsätta att behandla uppgifterna om det går att visa att det finns tvingande berättigade skäl till att uppgifterna måste behandlas och som väger tyngre än den enskildes intressen, rättigheter och friheter eller om behandlingen sker för fastställande, utövande eller försvar av rättsliga anspråk.
Den enskilde har alltid rätt att invända mot att hans eller hennes personuppgifter används för direkt marknadsföring. En sådan invändning kan göras när som helst. Görs en invändning mot direkt marknadsföring, får personuppgifterna inte längre behandlas för sådana ändamål.
Särskilda regler gäller för personuppgifter som behandlas för vetenskapliga och historiska forskningsändamål eller statistiska ändamål.
Automatiserat beslutsfattande (inbegripet profilering)
Den registrerade har rätt att inte bli föremål för ett beslut som enbart grundas på någon form av automatiserat beslutsfattande, inbegripen profilering, där det automatiserade beslutsfattandet eller profileringen kan ha rättsliga följder för den registrerade eller på liknande sätt i betydande grad påverkar den registrerade.
Automatiserat beslutsfattande kan vara tillåtet om det är nödvändigt för ingående eller fullgörande av ett avtal mellan den registrerade och den personuppgiftsansvarige eller om den enskilde har gett sitt uttryckliga samtycke.
Klagomål
Om den registrerade anser att någon behandlar uppgifter om honom eller henne i strid med dataskyddsförordningen kan denne lämna in ett klagomål till den personuppgiftsansvarige eller till dataskyddsmyndighet. Dataskyddsmyndigheten tar del av klagomål och bedömer om tillsyn ska inledas och lämnar därefter besked till den registrerade. Dataskyddsmyndigheten måste meddela om tillsyn ska inledas eller inte inom tre månader efter att ha tagit emot klagomålet. Om den registrerade inte får besked inom den tiden, kan denne vända sig till domstol för att begära besked.
Skadestånd
Om den registrerade har lidit skada på grund av att dennes personuppgifter har behandlats i strid med dataskyddsförordningen, kan denne ha rätt till skadestånd av den eller de personuppgiftsansvariga som medverkat vid/till behandlingen.
Den registrerade kan begära skadestånd från den personuppgiftsansvarige eller personuppgiftsbiträdet eller väcka skadeståndstalan i domstol.
Dokumentnamn: GDPR och ansvarsfördelning (2.10)
Utgåva: 1
Utfärdad av: Linnea Malmstedt
Datum: 2025-02-19