Skillnad mellan subjektiva och objektiva personuppgifter
Det är skillnad mellan subjektiva och objektiva personuppgifter och många tänker först på de objektiva när de hör begreppet personuppgift.
Det finns flera saker att tänka på vid behandling av personuppgifter enligt dataskyddsförordningen (GDPR) och hantering av personuppgiftsincidenter.
En personuppgift är en uppgift som kan bli kopplad till en fysiskt levande person. Företag måste behandla personuppgifter i enlighet med GDPR som reglerar hur det ska gå till. Exempel på personuppgifter är namn och personnummer. Dessutom är det skillnad på personuppgifter med subjektiv och objektiv karaktär samt tydliga och mindre tydliga personuppgifter. Exempel på behandling av personuppgifter är insamling, lagring, bearbetning, strukturering, radering och användning. I princip allt man gör med personuppgifter, är en form av behandling.
Företag ska arbeta förebyggande genom att vidta organisatoriska och tekniska säkerhetsåtgärder för att försöka minimera risken för personuppgiftsincidenter. Dessutom ska företag ha rutiner för att kunna hantera eventuella personuppgiftsincidenter. Kort sagt är en personuppgiftsincident när personuppgifter blir förstörda eller ändrade. Detsamma gäller om någon obehörig får tillgång till personuppgifter. En vanlig personuppgiftsincident är felskickade mejl som innehåller personuppgifter. I vissa fall kan personsuppgiftsincidenter få allvarliga konsekvenser för de registrerade som blir drabbade. Till exempel att de blir drabbade av ID-stöld eller bedrägeri. I vissa fall har företag en skyldighet att rapportera personuppgiftsincidenter till IMY och registrerade.
Om ett företag behandlar personuppgifter på ett sätt som inte är lämpligt, kan det leda till att de får betala en sanktionsavgift. Det är IMY (Integritetsskyddsmyndigheten) som är tillsynsmyndigheten i Sverige och de har befogenhet att tilldela företag, organisationer och offentliga organ sanktionsavgifter vid överträdelser av GDPR. Däremot utfärdar de inte alltid sanktionsavgifter, utan det beror på situationen. Vid mindre överträdelser kan de istället ge en reprimand (varning). Dessutom kan de be företaget upphöra med behandlingen.
Tredjeland betyder enligt GDPR ett land utanför EU/EES-området. Det är tillåtet at överföra personuppgifter till ett tredjeland i vissa fall, men då gäller striktare regler. Ett exempel på överföring till tredjeland är när ett företag skickar ett mejl till någon i USA som innehåller personuppgifter. Vissa länder uppfyller kraven för adekvat skyddsnivå utanför EU/EES-området och då är det tillåtet att överföra personuppgifter dit. Observera att företag inte kan göra den bedömningen själva, utan det är EU-kommissionen som gör det.
Det är skillnad mellan subjektiva och objektiva personuppgifter och många tänker först på de objektiva när de hör begreppet personuppgift.
Registrerade personer har rätt till information i samband med att personens personuppgifter ska bli behandlade
Företag måste kunna bevisa att de följer GDPR och det kan uppstå stora ekonomiska konsekvenser för företag som inte följer GDPR.
Det finns fyra grupper av integritetskänsliga uppgifter som kan vara bra att känna till vid behandling av personuppgifter enligt GDPR.
Anonymiserade personuppgifter är inte omfattade av GDPR eftersom anonymiserade personuppgifter inte går att koppla till en fysisk person.
Här är några vanliga frågor om GDPR samt svar som kan vara bra för företagare att känna till. Det är viktigt att företag följer GDPR i sin verksamhet.
Här kan du läsa om grundläggande information om GDPR för företag. Som företagare bör du känna till grundläggande information om GDPR.
Vi är en juristbyrå som arbetar inom GDPR med att skriva och granska GDPR avtal till främst företag. Vi arbetar enbart med fasta priser.
Det är viktigt att tänka på GDPR vid direktmarknadsföring. Många företag marknadsför sin produkt/tjänst genom direktmarknadsföring.
GDPR för småföretagare kan vara krångligt, speciellt om man är ensamföretagare. Det är viktigt att småföretagare känner till bestämmelserna i GDPR.