Hantering av personuppgifter
De uppgifter som du lämnar i blanketter eller e-tjänster kommer Arjeplogs kommun att registrera i datasystem. Registreringen görs för att kommunen (eller kommunens underleverantör) ska kunna fullgöra sin skyldighet gentemot dig, eller den tjänsten berör. Registreringen kan också säkra information som är av livsavgörande betydelse.
Uppgifterna kommer att sparas så länge de behövs i verksamheten. Vill du veta exakt hur länge de sparas kan du vända dig till kommunens kundtjänst. Om du är missnöjd med hur Arjeplogs kommun behandlar personuppgifter om dig har du möjlighet att lämna klagomål till Datainspektionen.
För mer information om dataskydd och anmäler personuppgiftsincident hittar du på nedanstående länkar.
Personuppgifter i Arjeplogs kommun
All behandling av personuppgifter måste uppfylla de grundläggande principer som anges i dataskyddsförordningen. Principerna innebär bland annat att personuppgifter bara får samlas in och behållas för berättigade ändamål och att mängden uppgifter ska begränsas till vad som är nödvändigt för ändamålen. Uppgifterna får inte senare behandlas på ett sätt som är oförenligt med dessa ändamål och heller inte sparas längre än nödvändigt. För att uppfylla det krävs dokumentation av att gallringsrutiner följs. En viktig nyhet är att det uttryckligen anges att den personuppgiftsansvariga ska kunna visa att Dataskyddsförordningen följs.
Inför ikraftträdandet ska kommunerna se till att ett antal politiska beslut är fattade och ett dataskyddsombud utsett. Arjeplogs kommun har upprättat de aktuella dokumenten och de är beslutade av kommunstyrelsen respektive Miljö-, bygg och räddningsnämnden.
Vi arbetar löpande för att säkerställa att vi följer Dataskyddsförordningen.
Definitioner
Det finns några viktiga definitioner som kan vara värda att känna till.
Personuppgift
En uppgift som direkt eller indirekt kan användas för att identifiera en person som är i livet. Det kan till exempel vara uppgifter som direkt pekar ut en person eller som tillsammans med andra uppgifter pekar ut en person.
Personuppgiftsansvarig
Den som är juridiskt ansvarig för behandlingen av personuppgifter. I Arjeplogs kommun är det alltid nämnden, alltså Kommunstyrelsen respektive Miljö-, bygg och räddningsnämnden.
Personuppgiftsbiträde
Den som behandlar uppgifter för kommunens räkning. Vanligtvis är det en leverantör av IT-tjänster.
Dataskyddsombud
En person som blivit utsedd av nämnden att se till att personuppgifterna behandlas på ett korrekt och lagligt sätt.
Gallring
När personuppgifter inte längre behövs för de ändamålen de togs in för, ska de raderas eller avidentifieras. Finns lagkrav som kräver lagring, till exempel bokföringslagen, ska den lagen följas.
Laglig behandling
För att personuppgifter ska få behandlas i verksamheten är ett nämndsbeslut om behandlingen en förutsättning. Beslutet ska bland annat innehålla uppgifter om vilka personuppgifter som behandlas, syftet med behandlingen, om personnummer registreras, vilken laglig grund som finns och hur länge uppgifterna sparas. Personuppgiftsansvariga är skyldiga att föra ett register över behandlingar av personuppgifter, som även ska uppdateras löpande.
Behandling av personuppgifter sker både via programvara och löpande text. Löpande text avser Word, Excel, mail och liknande och kallas även osorterad data. Beslut har fattats av nämnderna om godkännande av hantering av personuppgifter i löpande text.
Känsliga personuppgifter
Vissa personuppgifter är till sin natur särskilt känsliga och har därför ett starkare skydd i dataskyddsförordningen. Grundregeln är att det är förbjudet att behandla sådana personuppgifter, men det finns undantag som exempelvis samtycke och viss rättslig grund. Kommunen har ett fåtal fall där känsliga personuppgifter behandlas, och det ska alltid göras endast då handläggningen av ärenden kräver det. Känsliga personuppgifter omfattar:
- Etniskt ursprung
- Politiska åsikter
- Religiös eller filosofisk övertygelse
- Medlemskap i fackförening
- Hälsa
- Sexualliv eller sexuell läggning
- Genetisk eller biometrisk information
Personuppgiftsincident
En personuppgiftsincident är en säkerhetsincident som kan innebära risker för människors friheter och rättigheter. Riskerna kan innebära att någon förlorar kontroller över sina uppgifter eller att rättigheterna inskränks, till exempel diskriminering, identitetsstöld, bedrägeri eller skadlig ryktesspridning. En incident har inträffat om uppgifter om en eller flera registrerade personer har blivit förstörda, gått förlorade på ett sätt eller kommit i orätta händer.
Samtycke för behandling av personuppgifter
Samtycke för behandling av personuppgifter behövs i normalfallet inte inom kommunala organisationer.
Informationsplikt
Personuppgiftsansvarig är skyldig att informera om att den enskildes personuppgifter behandlas. Detta är uppfyllt i och med text på hemsidan.
Detta tar vi hänsyn till när vi hanterar personuppgifter:
- Att vara ytterst noggrann med att inte behandla känsliga personuppgifter, om det inte är nödvändigt för ärendet.
- Att vara säker på att personuppgifterna behövs för handläggning. Vissa system kräver mer uppgifter än vi behöver för handläggning, och det kan vi i nuläget inte göra så mycket åt även om vi kan förändra det på längre sikt.
- Att säkerställa att behandlingen är godkänd av nämnden: finns systemet i registret för Arjeplogs kommuns behandling av personuppgifter?
- Att löpande utföra gallring av personuppgifter. Dokumentera även detta.
- Att inte lämna ut personuppgifter utan att vara säker på att rättslig grund för det finns. Rättslig grund kan bland annat vara myndighetsutövning.
- Att om du misstänker att en personuppgiftsincident inträffat, ta genast kontakt med kommunens kontaktperson.
- Att personuppgifter i sociala medier har ett eget regelverk, i enlighet med nämndsbeslut
- Att medborgare har rätt att begära registerutdrag, flytt, rättning och radering av sina personuppgifter. Kontakta då kommunens kontaktperson.