Vad innebär datasäkerhet och personuppgifter?

Datasäkerhet syftar till reglerna och bestämmelserna som styr hanteringen av den data och information som kan kopplas ihop med en identifierbar individ. Reglerna om datasäkerhet och personuppgiftsbehandling sätter vissa ramar för insamlingen och hanteringen av personlig information, såsom sekretess och för vilka syften uppgifterna får hanteras. Reglerna om datasäkerhet och personuppgiftsbehandling syftar också till att ge individerna kontroll över den information som samlas in om dem.

Personuppgifter är all information som kan knytas direkt eller indirekt till en levande fysisk person. Personuppgifter inkluderar därför till exempel namn, personnummer, och adress men kan också vara exempelvis IP-adress och klickhistorik på en webbsida eftersom all information ses som en personuppgift så länge informationen kan kopplas till en fysisk person som är i livet.

Reglerna om personuppgifter (dataskyddsförordningen (GDPR) och tillhörande lagstiftning, bland annat dataskyddslagen) är tillämpbara för praktiskt taget alla företag, organisationer och myndigheter, eftersom alla företag, organisationer och myndigheter i regel samlar in någon form av information rörande sina anställda, kunder och medlemmar. Det ska dock noteras att reglerna bara är tillämpliga på information om individer och inte information avseende företag. Företag, organisationer och myndigheter har alltså inte samma rättigheter avseende information som samlas in och hanteras om dem. Dock har fysiska personer som agerar företrädare för företag, organisationer och myndigheter, vars personuppgifter används i något företags, organisations eller myndighets verksamhet samma rättigheter som när de agerar som privatpersoner.

Det företag, organisation eller myndighet som samlar in personuppgifterna och bestämmer hur personuppgifterna ska användas är den personuppgiftsansvarige, vilket innebär att företaget, organisationen eller myndigheten är ansvarigt för att reglerna efterlevs och kan bli skyldigt att betala sanktionsavgift och skadestånd. Företag som på uppdrag av annan behandlar personuppgifter är ett så kallad personuppgiftsbiträde (exempelvis är molntjänster typiskt sett sådana bolag) och även de måste följa kraven som ställs enligt tillämplig lagstiftning och kan bli skyldiga att betala sanktionsavgifter och skadestånd.

Syftet med GDPR är både att skydda individers fri- och rättigheter och då särskilt individers rätt till skydd av sina personuppgifter, men också att säkerställa ett fritt flöde av personuppgifter inom EU.

För information om skydd för uppgifter i elektronisk kommunikation se [Skydd för personuppgifter vid elektronisk kommunikation].