Vad innebär samtycke i GDPR?
Välkomna tillbaka till vår bloggserie i GDPR! Det här är den tredje delen av denna serie, har ni inte hunnit läsa de tidigare delarna kan ni göra det här. Idag tänkte jag att vi ska prata om samtycke, en viktig del av GDPR.
Att man behöver samtycke för att behandla personuppgifter är ingenting nytt och innebär egentligen ingen större skillnad gentemot PUL idag. Det kommer fortfarande krävas att man har samtycke från de personer vars personuppgifter man behandlar. Samtycket ska vara frivilligt, vilket innebär att personen ska få information om vad personuppgifterna används till, kunna medvetet samtycka och godta behandlingen av personuppgifter om sig själv. Om ni till exempel har ett fält där det står ”ange din e-postadress så får du ta del av vårt nyhetsbrev” så får ni endast använda denna information till att skicka just nyhetsbrev, ingenting annat.
När får man behandla personuppgifter utan samtycke?
Du får behandla personuppgifter utan samtycke från personerna det handlar om ifall det gäller avtalsfrågor. Till exempel när det gäller anställningsavtal, hyresavtal eller andra avtal som ger en grund för laglig behandling av uppgifterna. Dock gäller det endast information som är nödvändig för att ingå och/eller upprätthålla avtalet. Som jag har nämnt tidigare så finns det t.ex. ingen anledning till att samla in uppgifter om klädstorlek om någon ni ska anställa om ni inte tillhandahåller arbetskläder.
Du får även behandla personuppgifter om det är nödvändigt för att skydda intressen som är av grundläggande betydelse för personen eller någon annan person. Ett exempel på detta är information om närmast anhörig för anställda, där kan man kanske som företag hävda att vi anser att det är viktigare att komma i kontakt med en anhörig vid skada eller olycka än vad det är att skydda personens integritet. Uppgifter som är nödvändiga myndighetsutövning får också behandlas, till exempel Skatteverkets verksamhet. Man kan inte be om att bli raderad från Skatteverkets register, även om jag är rätt säker på att några skulle vilja det!
Det är viktigt att komma ihåg att det ska vara lika enkelt för personer att dra tillbaka sitt samtycke som att ge sitt samtycke till behandling av sina uppgifter. Det ska inte krävas att jag som privatperson ska behöva hoppa över tre hinder, ringa klockan 6 på morgon och sen fylla i femton ansökningsblanketter för att dra tillbaka mitt samtycke. Krävs det endast ett klick för att ge samtycke så ska det bara krävas ett klick för att dra tillbaka det.
Vad blir den största skillnaden för företag?
Det som blir den största skillnaden när vi ser till samtyckes-aspekten är att den så kallade missbruksregeln försvinner. Missbruksregeln innebär att man idag inte behöver vara lika strikt med behandlingen av särskilda personuppgifter, t.ex. information om personer i mail, på internet eller på en enklare lista som man har själv i sin egna dator. När missbruksregeln försvinner i samband med att GDPR införs en 25 maj 2018 kommer samma regler gälla för personuppgifter som finns i struktureras form i exempelvis databaser och lönesystem som för det som skrivs om personer i mail eller på webbsidor. Det innebär även att man måste ha en rättslig grund för behandlingen, eller samtycke från personerna. Om man idag vet med sig att man behandlar vissa personuppgifter med stöd av missbruksregeln kommer man ha fler nya regler att ta hänsyn till när förordningen träder i kraft.
Så, avslutningsvis, så är det rekommenderat att kontrollera att det finns tydliga rutiner och instruktioner i organisationen om vad som gäller för exempelvis att publicera personuppgifter på webben eller att skicka personuppgifter via e-post. Efter ni har gjort detta behöver ni undersöka om dessa rutiner och instruktioner behöver kompletteras eller ändras med hänsyn till de nya reglerna som GDPR medför.
Vi hörs snart igen! I slutet på denna serie kommer jag ha en frågestund i bloggen, så har ni några frågor som berör GDPR, maila mig gärna på denize.handestam@consultatum.se, så ska jag göra mitt bästa för att svara på era frågor!
