Syftet med GDPR är att ge individer starkare rättigheter över hur deras personuppgifter hanteras - en sådan rättighet är: rätten till information. Men vad betyder det egentligen för dig och din organisation?
“Genom att fylla i formuläret så godkänner ni att vi använder uppgifterna i vårt register enligt PuL (personuppgiftslagen)” - en formulering som brukar förekomma när du fyller i formulär på webben.
Det låter bra - men vad betyder det egentligen? Och räcker detta för att uppfylla individens rätt till information i enlighet med GDPR. Det enkla svaret är Nej - det räcker inte.
Den registrerade har rätt att få information när dennes personuppgifter behandlas
Enligt den nya dataskyddsförordningen måste ett företag eller förening, det vill säga den personuppgiftsansvarige som samlar in informationen berätta om personuppgiftsbehandlingen - i samband med att informationen samlas in.
Informationen ska tillhandahållas till den som lämnar sina uppgifter kostnadsfritt i en lättillgänglig, skriftlig form (som kan vara elektronisk) - men mer viktigt är att den ska vara skriven med ett enkelt och tydligt språk.
Kortfattat så kan man säga att informationen som du ska lämna vid insamlandet av personuppgifter är:
- Kontaktuppgifter till personuppgiftsansvarig (dvs du och din organisation)
- Den rättsliga grunden för behandlingen av personuppgifter
- Ändamålet med behandlingen (vad gör du med personens information)
Hur gör jag för att efterleva min skyldighet att informera personer om min förening eller företags personuppgiftsbehandling?
Det är inte alls så svårt - du skapar en integritetspolicy och ser till att denna är lätt att komma åt på alla era sidor, t.ex längst ner på sidan. Men vid ett formulär så ska ni göra denna länk mer synlig, gärna precis ovanför skicka knappen.
Din integritetspolicy behöver innehålla följande information:
Din organisations namn och kontaktdetaljer
Syftet med behandlingen av personuppgifter och med vilken laglig grund ni behandlar dem.
Om ni använder er av en intresseavvägning så ska ni beskriva er intresseavvägning.
Vilka som tar del av personuppgifterna (er förening / organisation och eventuell tredje part, om ni t.ex delar medlemsregister med någon annan).
Hur länge ni sparar personuppgifterna och varför ni väljer att spara dem under denna tid. (T.ex om ni har ett medlemsavtal så sparar ni uppgifterna 1 år efter avtalet sägs upp ur)
Om personuppgifterna behandlas i ett land utanför EU och i sånt fall vad ni gör för att säkerställa skyddet av dem.
Beskriv den registrerades rättigheter:
Rätt till information - Du kan få en kopia av dina personuppgifter som vi har om dig.
Rätt till rättelse - Du har rätten att få felaktiga uppgifter uppdaterade och rättade.
Rätt till att bli glömd - Du kan begära att vi ska radera din information. Vi får inte radera information som lagen kräver att vi behåller.
Rätt till dataportabilitet - Du har rätten att få en kopia på de personuppgifter vi har om dig i ett strukturerat format.
Rätt att göra invändningar - Du har alltid rätten att göra invändningar om vår hantering av dina personuppgifter. Kontakta i sånt fall nnn@dinorganisation.se.
Rätt till klagomål - Om du anser att vi behandlar dina personuppgifter på ett felaktigt sätt så kan du kontakta Datainspektionen. Läs mer här läs mer
Rätten att dra tillbaka ett samtycke.
Rätten att göra en anmälan till Datainspektionen
Om informationen används till automatisk beslutsfattande och profilering (sällan en förening använder sig av detta men er underleverantör kanske använder uppgifterna för sådan behandling) så måste ni beskriva hur den registrerande individen kan begära att detta upphör..
Konsento hjälper föreningar och företag att skapa och hantera medlemsavtal, hantera samtycken och föra ditt register över personuppgiftsbehandlingar.
Du kan kontakta mig om du vill veta mer om hur Konsento kan hjälpa din förening eller företag: fredrik@konsento.io