Behandling av personuppgifter är varje åtgärd som vidtas med uppgifter som kan identifiera en levande person, oavsett om det sker digitalt eller på papper. Enligt GDPR, som gäller i Sverige sedan 2018, omfattar behandling insamling, registrering, lagring, bearbetning, spridning och radering av personuppgifter. Det spelar ingen roll om du driver ett litet företag eller en stor myndighet. Hanterar du uppgifter om identifierbara personer, behandlar du personuppgifter och omfattas av regelverket. Den här artikeln förklarar vad personuppgiftsbehandling innebär i praktiken, vilka rättsliga grunder som krävs och vad du behöver tänka på för att följa lagen.
Vad är behandling av personuppgifter?
Personuppgiftsbehandling är, i juridisk mening, ett vidsträckt begrepp. Varje steg i hanteringskedjan kräver en rättslig grund och tillräckliga säkerhetsåtgärder. Det räcker alltså inte att bara skydda lagringen. Även läsning, sökning, utlämning och arkivering räknas som behandling och måste hanteras korrekt.
Begreppet behandling täcker med andra ord hela livscykeln för en personuppgift. Från det att uppgiften samlas in till dess att den raderas eller arkiveras, sker en rad behandlingsåtgärder. Varje sådan åtgärd måste ha stöd i GDPR. Det är ett krav som gäller löpande, inte bara vid systemimplementering eller vid ett enstaka tillfälle.
En vanlig missuppfattning är att behandling bara avser digital hantering. Enligt GDPR gäller reglerna även manuell hantering av personuppgifter, förutsatt att uppgifterna ingår i ett organiserat system. Fysiska pärmar med kunduppgifter, handskrivna listor med anställdas sjukfrånvaro och pappersbaserade ansökningshandlingar är alla exempel på behandling som faller under GDPR.
Vad räknas som personuppgifter?
Personuppgifter är all information som direkt eller indirekt kan identifiera en fysisk person. Namn, personnummer, bilder och IP-adresser är tydliga exempel. Men även uppgifter som till synes är anonyma kan räknas som personuppgifter om de går att koppla till en individ via annan information.
Pseudonymiserade uppgifter, det vill säga uppgifter där identifierande information ersatts med en kod, räknas fortfarande som personuppgifter om kopplingen till individen kan återskapas. Detsamma gäller krypterade uppgifter om nyckeln finns tillgänglig. Det är ett viktigt distinktion som många organisationer missar i sin inventering av behandlingar.
GDPR skiljer mellan vanliga personuppgifter och känsliga personuppgifter. Känsliga uppgifter är en särskild kategori som kräver striktare hantering.
Känsliga personuppgifter inkluderar:
- Hälsouppgifter, till exempel diagnoser och läkemedelslistor
- Politiska åsikter och religiös övertygelse
- Biometriska data som fingeravtryck och ansiktsigenkänning
- Genetiska uppgifter
- Uppgifter om etniskt ursprung
- Uppgifter om sexuell läggning
Proffstips: Gör en enkel kategorisering av alla uppgifter din verksamhet hanterar. Dela upp dem i vanliga personuppgifter och känsliga personuppgifter. Det ger dig direkt en bild av var de striktaste kraven gäller och var du behöver lägga extra resurser på säkerhetsåtgärder.
Hur säkerställs laglig behandling av personuppgifter?
Laglig personuppgiftsbehandling kräver alltid en rättslig grund. Utan en giltig grund är behandlingen olaglig, oavsett hur väl skyddad uppgiften är tekniskt. GDPR artikel 6 anger de rättsliga grunder som är tillåtna för vanliga personuppgifter.
De sex rättsliga grunderna enligt artikel 6 i GDPR:
- Samtycke. Den registrerade har lämnat ett frivilligt, specifikt och informerat samtycke till behandlingen.
- Avtal. Behandlingen är nödvändig för att fullgöra ett avtal med den registrerade, till exempel ett anställningsavtal eller ett köpeavtal.
- Rättslig förpliktelse. Behandlingen krävs för att uppfylla en lagstadgad skyldighet, till exempel bokföringslagen eller skattelagstiftningen.
- Skydd av grundläggande intressen. Behandlingen är nödvändig för att skydda någons liv, till exempel i en nödsituation.
- Uppgift av allmänt intresse. Behandlingen utförs som ett led i myndighetsutövning eller annan uppgift av allmänt intresse.
- Intresseavvägning. Den personuppgiftsansvariges eller en tredje parts berättigade intressen väger tyngre än den registrerades integritetsintressen.
Samtycke är inte alltid den stabilaste grunden. Samtycke kan återkallas när som helst av den registrerade, vilket kan tvinga organisationen att omedelbart avbryta behandlingen. Intresseavvägning och avtal ger ofta en mer stabil grund för löpande behandlingar.
För känsliga personuppgifter gäller striktare regler. Utöver en rättslig grund enligt artikel 6 krävs även ett undantag enligt artikel 9 i GDPR, till exempel att behandlingen är nödvändig för hälso- och sjukvård eller att den registrerade uttryckligen samtyckt. Känsliga uppgifter kräver dessutom ofta en konsekvensbedömning, kallad DPIA, innan behandlingen påbörjas.
Proffstips: Dokumentera alltid vilken rättslig grund du stöder dig på för varje behandling, och anteckna varför du valt just den grunden. Det är den dokumentationen Integritetsskyddsmyndigheten (IMY) begär vid en tillsyn.
Vilka typer av behandlingar förekommer och hur påverkar de ansvaret?
Behandlingar förekommer i många former, både digitala och manuella. Varje form av behandling medför ett ansvar för den personuppgiftsansvarige att säkerställa att den är laglig, ändamålsenlig och säker.
Vanliga behandlingstyper i svenska verksamheter:
- Insamling: Att ta emot personuppgifter via formulär, avtal, e-post eller sensorer.
- Registrering: Att föra in uppgifter i ett system, en databas eller ett fysiskt register.
- Lagring: Att spara uppgifter på server, i molntjänst eller i pappersarkiv.
- Bearbetning: Att analysera, sammanställa eller på annat sätt förändra uppgifter.
- Överföring: Att skicka uppgifter till en annan part, till exempel en leverantör eller ett systerbolag.
- Radering: Att ta bort uppgifter när de inte längre behövs eller när den registrerade begär det.
Skillnaden mellan digital och manuell behandling är juridiskt sett liten. Organisationer måste hantera båda med lika stor noggrannhet. Missbedömningar av manuell hantering är en vanlig felkälla. En pärm med kunduppgifter som förvaras i ett olåst arkivrum är lika problematisk som en oskyddad databas.
Nedan visas en översikt över behandlingstyper och de viktigaste säkerhetskraven:
| Behandlingstyp | Exempel | Viktigt säkerhetskrav |
|---|---|---|
| Insamling | Webbformulär, avtal | Informationsplikt, rättslig grund |
| Lagring | Databas, molntjänst, pärm | Åtkomstkontroll, kryptering |
| Överföring | E-post till leverantör | Databehandlaravtal, kryptering |
| Bearbetning | Analys, profilering | Ändamålsbegränsning, DPIA vid hög risk |
| Radering | Gallring, anonymisering | Rutiner för lagringstider |
Organisatoriska säkerhetsåtgärder är lika viktiga som tekniska. Utbildning av personal, tydliga rutiner och ansvarsfördelning är grundläggande krav. Tekniska åtgärder som kryptering och åtkomstkontroll skyddar uppgifterna, men utan rätt rutiner och ansvar faller hela skyddet.
Exempel på behandling av personuppgifter i svenska verksamheter
Behandling av personuppgifter sker i praktiken i nästan alla typer av organisationer. Nedan följer konkreta exempel på hur behandling ser ut i olika sammanhang.
Inom företag:
- Ett e-handelsföretag samlar in namn, adress och betalningsinformation vid köp. Det är en behandling som kräver avtal som rättslig grund.
- Ett HR-system lagrar anställdas löner, frånvaro och prestationsbedömningar. Behandlingen stöds av anställningsavtalet och rättsliga förpliktelser.
- En marknadsavdelning skickar nyhetsbrev till kunder baserat på deras köphistorik. Det kräver samtycke eller en giltig intresseavvägning.
Inom myndigheter:
- Skatteverket behandlar personnummer och inkomstuppgifter för skatteberäkning. Rättslig grund är rättslig förpliktelse och myndighetsutövning.
- En socialtjänst dokumenterar ärenden med känsliga uppgifter om enskilda. Det kräver stöd i socialtjänstlagen och en DPIA vid hög integritetsrisk.
Inom forskning och vård:
- Ett sjukhus behandlar patientjournaler med hälsouppgifter. Behandlingen kräver stöd i patientdatalagen och GDPR artikel 9.
- En forskningsinstitution anonymiserar data för statistiska analyser. Anonymiseringen är i sig en behandling som måste dokumenteras.
Dokumentation är en central skyldighet. Alla organisationer med fler än 250 anställda, och många mindre organisationer, måste föra ett register över behandlingar enligt GDPR artikel 30. Registret ska innehålla information om ändamål, kategorier av uppgifter, mottagare och lagringstider.
Konsekvensbedömningar, DPIA, är obligatoriska när behandlingen sannolikt medför hög risk för de registrerades rättigheter och friheter. Före behandling av känsliga uppgifter krävs ofta en sådan bedömning enligt artikel 35 i GDPR. Många organisationer brister på just den punkten, vilket är en av de vanligaste anledningarna till tillsynsärenden hos IMY.
Viktiga insikter
Laglig personuppgiftsbehandling kräver en giltig rättslig grund, dokumenterade rutiner och säkerhetsåtgärder för varje steg i behandlingskedjan, från insamling till radering.
| Punkt | Detaljer |
|---|---|
| Definition av behandling | Varje åtgärd med personuppgifter räknas som behandling, oavsett om den är digital eller manuell. |
| Rättslig grund krävs alltid | Utan stöd i GDPR artikel 6 är behandlingen olaglig, även om uppgifterna är tekniskt skyddade. |
| Känsliga uppgifter kräver mer | Hälsouppgifter och biometriska data kräver dubbelt stöd i GDPR och ofta en DPIA. |
| Manuell behandling underskattas | Fysiska register och pappershandlingar omfattas av GDPR om de ingår i ett organiserat system. |
| Dokumentation är obligatorisk | Register över behandlingar enligt artikel 30 är ett lagkrav för de flesta organisationer. |
Manuell behandling är den blinda fläcken de flesta missar
Jesper skriver:
Under åren jag arbetat med dataskyddsfrågor är det en sak som återkommer gång på gång: organisationer underskattar konsekvent sina manuella behandlingar. De lägger tid och pengar på att säkra sina IT-system, men glömmer pärmen med anställdas sjukintyg i det olåsta arkivet eller listan med kundkontakter som cirkulerar via e-post som en bifogad Excel-fil.
GDPR gör ingen principiell skillnad mellan ett CRM-system och en välordnad pärm. Manuella behandlingar som ingår i ett strukturerat system faller under samma regler. Det är en juridisk realitet som många inte tagit in fullt ut.
Min erfarenhet är att den bästa startpunkten inte är tekniken. Det är en ärlig inventering av alla ställen där personuppgifter faktiskt finns, inklusive de analoga. Utan den kartan kan du inte veta vad du behöver skydda. Och utan skydd kan du inte hävda att du uppfyller GDPR:s krav på lämpliga säkerhetsåtgärder.
Det andra misstaget jag ser är att organisationer väljer samtycke som rättslig grund för att det känns enkelt och tydligt. I praktiken är samtycke ofta den svagaste grunden. När en kund återkallar sitt samtycke måste behandlingen upphöra omedelbart. Intresseavvägning eller avtal ger en mer stabil grund för de flesta löpande affärsprocesser, men kräver en mer genomtänkt analys från början. Den analysen är värd att göra.
— Jesper
Trustview hjälper dig att hålla ordning på behandlingarna
Att hålla koll på alla behandlingar, deras rättsliga grunder och tillhörande säkerhetsåtgärder är ett arbete som kräver struktur. Trustview är en plattform för compliancearbete som samlar behandlingsregister, riskbedömningar och åtgärdsuppföljning på ett ställe.
Med Trustview kan du dokumentera varje behandling med ändamål, rättslig grund och lagringstid direkt i systemet. Du får stöd för att genomföra konsekvensbedömningar och tilldela ansvar till rätt person i organisationen. Plattformen är byggd för svenska förhållanden och hjälper dig att uppnå hållbar compliance utan att drunkna i administration. Vill du se hur ett strukturerat arbetsflöde för compliance ser ut i praktiken, finns guider och verktyg samlade på Trustview.se.
Vanliga frågor
Vad räknas som en personuppgift enligt GDPR?
En personuppgift är all information som direkt eller indirekt kan identifiera en levande person. Namn, personnummer, IP-adresser och biometriska data är alla personuppgifter.
Måste samtycke alltid inhämtas för behandling?
Nej. Samtycke är en av sex rättsliga grunder i GDPR artikel 6. Avtal, rättslig förpliktelse och intresseavvägning är vanliga alternativ som ofta ger en stabilare grund för löpande behandlingar.
Gäller GDPR även pappersbaserade register?
Ja. Manuell hantering av personuppgifter omfattas av GDPR om uppgifterna ingår i ett strukturerat system, till exempel en alfabetisk kundpärm eller ett journalarkiv.
Vad är en DPIA och när krävs den?
En DPIA, konsekvensbedömning, är en analys av integritetsrisker som krävs när en behandling sannolikt medför hög risk för de registrerade. Det gäller särskilt vid behandling av känsliga uppgifter eller storskalig profilering. Läs mer i Trustviews guide om konsekvensbedömning.
Vad händer om man saknar rättslig grund för behandlingen?
Behandlingen är olaglig och kan leda till sanktionsavgifter från IMY samt skadeståndskrav från de registrerade. IMY kan också förelägga organisationen att omedelbart upphöra med behandlingen.
