Definitioner
För att bättre förstå reglerna kring personuppgifter och integritet bör några viktiga begrepp först definieras.
Personuppgifter: Personuppgifter är alla upplysningar om en fysisk person och alla upplysningar om hans/hennes person eller personliga omständigheter, om informationen kan identifiera den fysiska personen. Den grundläggande förutsättningen för att det ska vara fråga om en personuppgift är att en viss individ direkt eller indirekt kan identifieras mot bakgrund av uppgifterna. Uppgifter om avlidna eller ofödda personer anses inte vara personuppgifter.
Behandling av personuppgifter: Personuppgiftsbehandling innebär en åtgärd eller kombination av åtgärder beträffande personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring. Definitionen är således bred och innefattar samtliga åtgärder som vidtas i fråga om information som definieras som en personuppgift.
Den registrerade: Den registrerade är den person som personuppgifterna i fråga avser.
Känsliga personuppgifter: Känsliga personuppgifter innebär personuppgifter som innehåller information om bland annat religion, etnicitet, hälsa, sexualitet samt personnummer. För ytterligare information se : Känsliga personuppgifter innebär personuppgifter som innehåller information om bland annat religion, etnicitet, hälsa, sexualitet samt personnummer. För ytterligare information se [Känsliga personuppgifter och personnummer].
Personuppgiftsansvarig: Personuppgiftsansvarig tionen eller myndigheten som bestämmer ändamålen med behandlingen av personuppgifter och hur behandlingen får ske. Behandling av personuppgifter kan ske av andra företag på uppdrag av den personuppgiftsansvarige.
Personuppgiftsbiträde: sonuppgifter för en personuppgiftsansvarigs räkning kallas personuppgiftsbiträde. GDPR ställer krav på att behandlingen som görs av ett personuppgiftsbiträde regleras i avtal mellan den personuppgiftsansvarige och personuppgiftsbiträdet. Ett sådant avtal betecknas vanligtvis som ett personuppgiftsbiträdesavtal.
Personuppgiftspolicy: Personuppgiftspolicy är ett dokument som ska beskriva bland annat vilka personuppgifter som samlas in, hur de samlas in och används. Den vars personuppgifter behandlas har rätt att få del av information om personuppgiftsbehandlingen, se vidare nedan, och en policy bör därför upprättas inför behandling av personuppgifter som den registrerade får ta del av innan behandlingen påbörjas. För ytterligare information se : Personuppgiftspolicy är ett dokument som ska beskriva bland annat vilka personuppgifter som samlas in, hur de samlas in och används. Den vars personuppgifter behandlas har rätt att få del av information om personuppgiftsbehandlingen, se vidare nedan, och en policy bör därför upprättas inför behandling av personuppgifter som den registrerade får ta del av innan behandlingen påbörjas. För ytterligare information se [Personuppgiftspolicy].
Konsekvensbedömning: Konsekvensbedömning innebär att den personuppgiftsansvarige i samråd med dataskyddsombudet (för det fall att ett dataskyddsombud har utsetts) gör en riskbedömning. En konsekvensbedömning ska göras:
Innan en ny form av personuppgiftsbehandling påbörjas,
Om risken med personuppgiftsbehandling som är pågående, ändras eller
För pågående personuppgiftsbehandlingar för vilka en konsekvensbedömning inte har gjorts tidigare.
En konsekvensbedömning är en ständigt pågående process. Konsekvensbedömningar görs för att ta reda på vilka risker som föreligger med personuppgiftsbehandlingen, utarbeta rutiner för att undvika och hantera risker samt för att ta fram underlag som kan användas som bevis för att dataskyddsförordningen med tillhörande lagstiftning följs.
Personuppgiftsincident: en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.