En djärv lösning på detta skulle kunna vara att man som organisation slutar skapa e-postadresser per default vid anställningar. Behöver alla anställda en e-postadress, eller kan den interna kommunikationen ske genom ett internt verksamhetssystem? Kan e-postadresserna utformas på ett sätt som gör att de inte enkelt går att lista ut för externa? Går det att ersätta publicering av e-postadresser på externa webbsidor med formulär som styr direkt mot verksamhetssystem som utifrån exempelvis ämne slussas rätt i organisationen? Beroende på hur behoven och förutsättningarna ser ut är detta frågor som behöver ses över.

När e-posten väl tagits emot uppkommer ytterligare frågor. Hur länge måste jag spara e-posten, och vad gör jag med information som behöver bevaras eller information som kan vara ”bra att ha”? Rekommendationen är att man flyttar över nödvändig information till ett internt system, där man kan ange utifrån vilken grund informationen sparas. Det system man använder bör vara uppsatt på ett sätt som gör att datan lätt kan tas bort när den inte längre behövs, och naturligtvis behöver åtkomsten behörighetsstyras och loggas.

En stark rekommendation och ett minimum när det gäller att uppfylla kraven i GDPR är att en organisations e-post inte tillåts användas privat. Privat användning innebär nästan alltid att personuppgifter tas emot i onödan, vilket inte är önskvärt. Sätt istället upp rutiner för hur e-posten får användas, och styr så långt det är möjligt in kommunikationen i system som satts upp enligt ”Privacy-by-design”.

Intresseavvägning framställs lite som GDPR:s slasktratt, och exakt hur den kommer att få användas är fortfarande oklart. Jag tycker emellertid inte att den bör avskrivas, utan rekommenderar faktiskt att man överväger den innan man överväger någon annan rättslig grund. Detta eftersom den är pragmatisk utan att för den skull innebära att personuppgifter behöver hanteras på ett otillfredsställande sätt. Ifall man tillämpar uppgiftsminimering och lagringsminimering, inte hanterar känsliga personuppgifter och tydligt kommunicerar sin integritetspolicy är min tolkning att intresseavvägning bör räcka tämligen långt.

Artikel 6 (f) säger följande om när intresseavvägning får användas:

Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn

som ett tillägg anges sedan att intresseavvägning inte

…ska gälla för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter.

Relativt mycket bör kunna falla in under ovanstående skrivelse, exempelvis så finns det angivet i skäl 47 att ett berättigat intresse kan föreligga vid ett relevant och lämpligt förhållande mellan den registrerade och den personuppgiftsansvarige där registrerade är kund hos eller arbetar för den personuppgiftsansvarige. Som ett exempel anger man att direktmarknadsföring kan betraktas som ett berättigat intresse, och om direktmarknadsföring anses vara ok tolkar jag det som att även en rad andra behandlingar torde vara det.

Skrivelsen som säger att berättigat intresse inte får användas av myndigheter vid fullgörandet av myndighetens uppgifter är också väldigt intressant – då det bör kunna förekomma personuppgiftsbehandling som kanske inte är en del av myndighetens ordinarie uppgifter – men som man ändå anser sig ha ett behov av? Är ”myndighetens uppgifter” att betrakta som myndighetens kärnverksamhet, medan i så fall viss behandling rörande exempelvis anställda skulle kunna få hanteras som ett berättigat intresse? Borde man inte annars ha uttryckt sig kort och gott med: ”ska inte gälla för behandling hos offentliga myndigheter”?

Så innan din organisation påbörjar ett omfattande arbete med att samla in samtycken och kanske till och med köper in ett systemstöd för att administrera samtycken – överväg om inte intresseavvägning kan vara en gyllene medelväg!

Ett registerutdrag ska innehålla alla personuppgifter som rör den person som söker ett registerutdrag, varifrån dessa uppgifter kommer, vad som är ändamålet med behandlingen, till vilka mottagare eller kategorier av mottagare uppgifterna lämnas ut och om möjligt under vilken period uppgifterna kommer att lagras (artikel 15).

Jag har ägnat en del tid åt att kontakta organisationer i syfte att ta reda på hur registerutdragen kommer att hanteras efter den 25 maj – och resultatet är, tycker jag, väldigt intressant. Till att börja med kan sägas att de flesta jag varit i kontakt med tycker att deras egen tolkning är ganska självklar och man har generellt ägnat ganska lite tid till omvärldsbevakning och att fundera över vad artikel 15 egentligen säger. Man kan i huvudsak säga att det finns två tolkningar:

1. VI LÄMNAR UT ALLT
   Kategori 1 har tolkat artikel 15 som att allt rörande en person ska lämnas ut. Här ingår alltså inte bara  personuppgifterna i de register som organisationen hanterar, utan även de handlingar i vilka personuppgifter förekommer. För exempelvis en myndighet, eller annan offentligt organisation, kan detta innebära väldigt mycket uppgifter. En person kan förekomma i ärenden med en stor mängd olika handlingar, handlingar som förutom de egna personuppgifterna kanske också innehåller uppgifter om andra personer som ingår i ärendet. Vad gör man då med de personuppgifterna? Här finns flera olika tillvägagångssätt – somliga tänker sig att uppgifter rörande andra personer ska raderas, medan andra har en annan tolkning och har för avsikt att lämna ut handlingarna i sin helhet (om de inte omfattas av annan sekretess). I det senare fallet rör det sig uteslutande om offentliga organ som är vana vid att hantera utlämnande av allmän handling. Organisationer inom kategori 1 väntar på en anstormning av utlämnanden, och diskuterar i termerna att de kommer behöva lämna ut hundratals papper vid varje begäran.
2. VI LÄMNAR BARA UT REGISTERUPPGIFTER
   Kategori 2 har tolkat samma artikel som att det enda som behöver lämnas ut är de register, i vilka personuppgifter förekommer. Detta skulle exempelvis kunna innebära att man tillhandahåller diarieuppgifter, men att man inte tillhandahåller tillhörande handlingar. Om en person sedan önskar ta del även av handlingarna får denna återkomma med ytterligare en begäran (som hos offentliga organisationer då oftast tolkas som en begäran om allmän handling, vilket även genererar möjligheten att ta betalt för de kopior som lämnas ut).

Sen finns ytterligare frågetecken som är oberoende av ovanstående tolkningar. Några organisationer har fäst stor vikt vid hanteringen av ostrukturerad data och har satt begränsningar kring hur e-post och gemensamma filytor får användas i syfte att få kontroll över hur personuppgifter hanteras. Andra har valt att till en början fokusera på den strukturerade datan. Någon organisation har funderat över om uppgifter som loggas vid olika typer av åtkomst utgör registeruppgift och därför ska lämnas ut? Och hur ska man se på backuper? Kan en uppgift anses som raderad när den tagits bort i ett verksamhetssystem, även om den fortfarande finns kvar i en backup – kanske i flera år? Och hur söker vi i så fall reda på uppgiften när någon begär ut ett registerutdrag?

Hur ser din organisation på registerutdrag? Vilka utmaningar har ni råkat på?

Men oj vad arbetet visar sig vara omfattande! Vi fastnar i detaljer och någon föreslår att vi kanske skulle kunna göra på något annat sätt. Kanske skulle vi ändra ordning och bryta ner arbetet i mindre delar? Kanske är något vi tidigare inte tänkt på viktigare? Nej, vi kör på som vi bestämt – allt måste kartläggas!

Och självklart vore det bra om allt var kartlagt så att vi enkelt kunde redogöra för våra processer och vilken data vi har i våra system den dag Datainspektionen knackar på dörren. Men till vilket pris? Vad är det vi tvingas prioritera bort? Att ta fram strategier för ”privacy by design”, nya rutiner för ostrukturerad data såsom e-post och att göra medarbetarna medvetna om det ansvar som följer med GDPR? Delar som kan vara minst lika viktiga.

Så gör det agilt! Ställ er frågan vad som är viktigast just nu. Var lyhörda för vad som händer under arbetets gång. Hur gör andra organisationer? Är den valda inriktningen fortfarande relevant? Eller borde riktningen justeras till förmån för något som visat sig vara viktigast i organisationen just nu? Och glöm inte att utbilda medarbetarna – de är nyckeln till framgång!

Om ni är nyfikna på att höra mig prata om GDPR och vad som är viktigast för organisationer som är sent ute, är ni välkomna till MyOffice i Örebro den 16 maj kl 9.00. Anmälan till den kostnadsfria frukostföreläsningen görs här!