Konsekvensbedömning enligt dataskyddsförordningen forskningsdata

Övergripande information

Personuppgiftsansvarig för behandlingen
Organisation (inkl. organisationsnummer)	Mittuniversitetet
Adress	Holmgatan 10 851 70 Sundsvall
Telefon	+46 (0)10-142 80 00
E-post	Registrator@miun.se

Kontaktuppgifter till Dataskyddsombud
Organisationens Dataskyddsombud	Jon Öberg
E-post	dataskyddsombud@miun.se

Ansvariga för konsekvensbedömningen
Ansvarig för att genomföra konsekvensbedömningen	Klicka eller tryck här för att ange text.
Ansvarig för innehållet i konsekvensbedömningen och bedömningar som görs	Klicka eller tryck här för att ange text.
Roller som deltagit i arbetet med att genomföra konsekvensbedömningen	Klicka eller tryck här för att ange text.
Ansvarig för att hantera eventuella kvarvarande risker efter att konsekvensbedömningen avslutats	Klicka eller tryck här för att ange text.
Ansvarig för att följa upp konsekvensbedömningen	Klicka eller tryck här för att ange text.

Systematisk beskrivning av personuppgiftsbehandlingen

Behandlingens art

Allmän beskrivning och bakgrund

Avgränsa och beskriv objektet för konsekvensbedömningen. Ge en bakgrund och beskriv vad som föranlett den planerade behandlingen. När personuppgiftsbehandlingen ska beskrivas är det lämpligt att börja med att definiera och avgränsa konsekvensbedömningens objekt, dvs. den aktuella produkten, tjänsten, programvaran eller processen. Det bildar en ram för den mer detaljerade beskrivningen av behandlingen som ska göras senare och tydliggör behandlingens kontext. Den inledande beskrivningen kan även innehålla en bakgrund till att behandlingen planeras (exempelvis att det har skett en verksamhetsförändring eller lagändring). Om det är ett komplext system som tas i bruk blir det ibland fråga om flera olika typer av behandlingar i samma system. Då är det ofta lämpligt att dela upp beskrivningen i flera delar.

Har du skrivit en etikansökan – hämta information från avsnitt 3.1 Skriv en populärvetenskaplig sammanfattning av projektet

Klicka eller tryck här för att ange text.

Kategorier av personuppgifter

Lista de kategorier av personuppgifter som kommer att behandlas. Använd en rad för varje kategori och lägg till så många rader i tabellen som behövs. Exempel på typer av personuppgifter kan vara uppgifter om ålder, kön, utbildning, lön, bildmaterial på människor, ljudupptagning av röster. Det är inte alltid självklart vad som är en personuppgift. Kom ihåg att tekniska data (exempelvis IP-adresser), spårningsdata (exempelvis kakor) eller registreringsnummer på bilar också kan vara personuppgifter.

Om tabellen blir omfattande kan det vara lämpligt att i stället lägga den som en bilaga till konsekvensbedömningen.

Ange i höger kolumn om någon av följande kategorier gäller:

sådana kategorier av personuppgifter som anges i artikel 9 och artikel 10 i dataskyddsförordningen

personuppgifter som är integritetskänsliga av andra skäl (till exempel för att de rör enskildas ekonomiska eller personliga förhållanden)

personnummer eller samordningsnummer

personer som befinner sig i beroendeställning (exempelvis anställda, patienter eller elever)

barn eller andra sårbara personer (exempelvis äldre, eller personer med funktionsvariationer)

Ta bort de kategorier av personuppgifter som inte är aktuella och komplettera om ytterligare uppgifter behandlas.

Kategori av personuppgifter	Särskild kategori av personuppgifter
namn adress ålder kön utbildning lön id-kortnummer telefonnummer foton på personer ljudinspelningar elektroniska identiteter som IP-adresser och cookies, om de kan kopplas till en fysisk person e-postadresser	ras eller etniskt ursprung politiska åsikter religiös eller filosofisk övertygelse medlemskap i en fackförening hälsa en persons sexualliv eller sexuella läggning genetiska uppgifter biometriska uppgifter som används för att entydigt identifiera en person. personnummer samordningsnummer betyg värderande uppgifter, till exempel uppgifter f från utvecklingssamtal, uppgifter om resultat från personlighetstester eller personlighets- profiler uppgifter om sociala förhållanden anställda patienter elever barn äldre personer med funktionsvariationer

Kategorier av registrerade

Lista de kategorier av registrerade vars personuppgifter kommer att behandlas. Använd en rad för varje kategori och lägg till så många rader i tabellen som behövs. Om tabellen blir omfattande kan det vara lämpligt att istället lägga den som en bilaga till konsekvensbedömningen.

Ange i höger kolumn om någon av följande kategorier gäller:

personer som befinner sig i beroendeställning (exempelvis anställda, patienter eller elever)

barn eller andra sårbara personer (exempelvis äldre, eller personer med funktionsvariationer)

Komplettera med kategorier av registrerade och ta bort de som inte är aktuella.

…..

Kategori av registrerade	Särskild kategori av registrerade
Forskningspersoner inom målgruppen xxxx Forskningspersoner inom målgruppen xxxx	Forskningspersoner inom målgruppen anställda Forskningspersoner inom målgruppen patienter Forskningspersoner inom målgruppen elever Forskningspersoner inom målgruppen barn Forskningspersoner inom målgruppen äldre Forskningspersoner inom målgruppen personer med funktionsvariationer

Behandlingens omfattning

Behandlingens volym

Gör en uppskattning av antalet individer som berörs av behandlingen och den totala mängd personuppgifter som kommer att behandlas. Beskriv även antalet kategorier av personuppgifter (variationen).

Beakta hur ofta personuppgifter kommer att samlas in

Klicka eller tryck här för att ange text.

Behandlingens geografiska omfattning

Beskriv i vilka länder uppgifterna kommer att behandlas. Ange om det kommer bli fråga om länder utanför EU/EES, s.k. tredjelandsöverföringar.

Om uppgifterna bara behandlas inom Sverige/EU, ta bort den andra meningen.

Om ni använder en IT-tjänst där det sker tredjelandsöverföring, komplettera med namnet på tjänsten.

Uppgifterna behandlas inom Sverige/EU. Följande IT tjänster används xxxxx och då sker en tredjelandsöverföring

Behandlingens sammanhang

Beskriv behandlingen i ett större perspektiv, dvs. de interna och externa faktorer som har relevans för det sammanhang där behandlingen ska ske. Det kan exempelvis handla om

tidigare erfarenheter av liknande behandlingar eller att detta saknas

att verksamheten tidigare upplevt problem vid liknande behandlingar

att behandlingen är innovativ på något sätt

att behandlingen kan tänkas bli ifrågasatt eller upplevas som oförutsägbar

den utsträckning i vilken enskilda kommer att ha kontroll över sina personuppgifter

relevanta uppförandekoder eller andra certifieringssystem.

Har du skrivit en etikansökan – hämta information från avsnitt avsnitt 4.3 Redogör för tidigare erfarenheter (egna och/eller andras) av den valda metoden.

Klicka eller tryck här för att ange text.

Behandlingens ändamål

Beskriv anledningen till att den personuppgiftsansvarige vill genomföra behandlingen och fördelarna med den (t.ex. för verksamheten, allmänheten och tredje parter). Beskriv även det avsedda utfallet för enskilda. Ändamålet ska anges så noggrant, utförligt och tydligt som möjligt.

Komplettera vad forskningen handlar om så tydligt som möjligt. Har du skrivit en etikansökan – hämta information från avsnitt 3.2 Vad är det vetenskapliga syftet

Forskning kring xxxx

Nödvändiga resurser

Beskriv de resurser och informationstillgångar som behövs för att genomföra personuppgiftsbehandlingen (t.ex. programvara, servrar, hårdvara, nätverk, molntjänster, m.m.).

Ta bort de resurser som inte används och komplettera om ytterligare resurser nyttjas.

För att genomföra personuppgiftsbehandlingen används följande resurser: Personlig mapp på intern server Gemensam mapp på intern server Delad mapp på intern server Microsoft 365 (Teams, OneDrive, Sharepoint) Valvet för att lagra och dela dina filer med andra. Lokal hårddisk på egen dator Extern hårddisk Zoom Teams möte Qualtrics för enkäter MIUN Survey för enkäter Whisper för transkribering

Funktionell beskrivning av behandlingen

Beskriv hur behandlingen ska gå till mer i detalj och varifrån personuppgifterna kommer. Av den funktionella beskrivningen bör det framgå hur personuppgifterna ska samlas in och varifrån de kommer (exempelvis om de kommer direkt från den registrerade via enkäter, webbformulär eller intervjuer, eller om de ska hämtas in utan den registrerades vetskap via offentliga uppgiftssamlingar eller databaser). Det bör framgå hur registreringen och informationsöverföringen av uppgifterna ska gå till (exempelvis om pappersenkäter ska skickas till en inläsningscentral eller om några uppgifter ska lämnas via telefon eller något digitalt verktyg). Det bör även tydliggöras vilka system som ska användas i de olika delarna av behandlingen, hur länge personuppgifterna ska lagras och rutinerna för radering eller anonymisering Om det är fråga om en komplex behandling kan det vara lämpligt att hänvisa till en bilaga som innehåller ett flödesschema, en tabell eller liknande.

Har du skrivit en etikansökan – hämta information från Avsnitt 4.1 Redogör för metod inkl proceduren, tekniken eller behandlingen, samt från avsnitt 6.1 Redogör för datainsamling och datas karaktär.

Klicka eller tryck här för att ange text.

Roller och ansvarsfördelning

Personuppgiftsansvar

Specificera den eller de personuppgiftsansvariga, dvs. de aktörer som ensamt eller tillsammans bestämmer ändamålen och tillvägagångssätten för behandlingen av personuppgifterna. Ange om behandlingen innebär ett separat eller gemensamt personuppgiftsansvar för de personuppgiftsansvariga.

Lista vilka avtalsdokument som anger ansvarsfördelningen mellan de personuppgiftsansvariga

Ta bort den text som inte är aktuell.

Mittuniversitetet Det här är ett samarbete mellan Mittuniversitetet och xxxx Det innebär att det finns flera forskningshuvudmän som delar på personuppgiftsansvaret

Mottagare inklusive personuppgiftsbiträden

Ange om personuppgifter kommer att överföras till externa mottagare och i så fall vilka. Ange även om personuppgiftsbiträden kommer att vara involverade i behandlingen och vilka tjänster dessa ska tillhandahålla.

Lista eventuella personuppgiftsbiträdesavtal.

Om inget personuppgiftsbiträde används ta bort alla uppgifter. Ta bort eller komplettera tabellen så den stämmer med aktuella personuppgiftsbiträden

Personuppgiftsbiträde	Kategorier av person­ uppgifter som behandlas av biträdet	Ändamål med biträdets behandling
Leverantör av forskningstjänst i projektet	Se tidigare beskrivning av personuppgifter	Klicka eller tryck här för att ange text.
Sunet (Vetenskapsrådet)	Se tidigare beskrivning av personuppgifter	Klicka eller tryck här för att ange text.
Qualtrics	Se tidigare beskrivning av personuppgifter	Klicka eller tryck här för att ange text.
Klicka eller tryck här för att ange text.	Klicka eller tryck här för att ange text.	Klicka eller tryck här för att ange text.
Klicka eller tryck här för att ange text.	Klicka eller tryck här för att ange text.	Klicka eller tryck här för att ange text.

Rättslig analys

Gällande regelverk

Gör en sammanställning över de regelverk som gäller för den aktuella behandlingen. Utöver dataskyddsförordningen och dataskyddslagen kan exempelvis marknadsföringslagar och myndighetsspecifik registerlagstiftning aktualiseras. Beakta även antagna uppförandekoder, genomförda certifieringar och branschpraxis

Ta bort regelverk som inte är aktuella, komplettera om något saknas.

GDPR - Dataskyddsförordningen Offentlighets- och sekretesslagen, Arkivlagen, MSB:s föreskrifter 2020:6-8, Etikprövningslagen, Policy och riktlinjer för hantering av forskningsdata på Mittuniversitetet. Patientdatalagen

Dataskyddsprinciperna och den rättsliga grunden för behandlingen

Principen om laglighet, korrekthet och öppenhet

Beskriv hur ni garanterar att principen följs.

Laglighet

För att uppfylla principen om laglighet måste bestämmelserna i dataskyddsförordningen och annan kompletterande lagstiftning följas

Korrekthet

Att personuppgifter ska behandlas korrekt innebär på ett generellt plan att behandlingen ska vara rättvis, skälig, rimlig och proportionerlig i förhållande till de registrerade. Att behandlingen ska vara rättvis innebär att personuppgifter ska behandlas på ett sätt som den registrerade kan förvänta sig, och att den inte får vara diskriminerande. Personuppgiftsbehandlingen ska stå i rimlig proportion till nyttan den innebär.

Öppenhet

Kravet på öppenhet innebär att det ska vara klart och tydligt för de registrerade att och hur deras personuppgifter behandlas. De registrerade ska ha möjlighet att få veta varför deras personuppgifter behandlas, hur de samlas in och hur uppgifterna används. De registrerade ska också bli informerade om sina rättigheter (exempelvis hur de kan få felaktiga uppgifter rättade och hur de kan få personuppgifter raderade).

Exempel på frågor för att kontrollera att principen följs:

Laglighet

• Följer verksamheten bestämmelserna i gällande lagstiftning?

• Den rättsliga grunden vid forskning är allmänt intresse

Korrekthet

• Sker behandlingen på ett sätt som den registrerade rimligen kan förvänta sig?

Öppenhet

• På vilket sätt informeras de registrerade om behandlingen av personuppgifter?

• Är informationen lättillgänglig för de registrerade?

• Är informationen anpassad till målgruppen (t.ex. barn)?

• Finns det rutiner för att uppdatera informationen?

Har du skrivit en etikansökan – hämta information från avsnitt 6.4 Hur kommer insamlade data att hanteras och förvaras?

Klicka eller tryck här för att ange text.

Rättslig grund för behandlingen

Ange den rättsliga grunden för behandling av personuppgifter. Var noga med att ange om det finns flera rättsliga grunder, dvs. om olika kategorier av personuppgifter eller olika led i behandlingen har stöd i olika rättsliga grunder.

Se tidigare beskrivning av nödvändiga resurser och använd det i beskrivning av behandlingen. Det är bara den delen som behöver fyllas i.

Beskrivning av behandlingen (ev. delmoment)	Personuppgifter som behandlas	Rättslig grund	Kommentar
Personuppgifter samlas in och lagras i xxxx för forskningsbearbetning. De delmoment som ingår är insamling, transkribering, bearbetning, analys, sammanställning, publicering och arkivering.	Se beskrivning ovan kategorier av personuppgifter	Art 6.1e – Allmänt intresse.

Rättsligt stöd för behandling av vissa kategorier av personuppgifter

Om särskilda kategorier eller särskilt skyddsvärda personuppgifter ska behandlas ange vilket undantag som är tillämpligt på behandlingen (förutom den rättsliga grunden ovan)

Personuppgifter	Tillämpligt undantag	Kommentar
Se beskrivning ovan, särskild kategori av personuppgifter	Art 9.2 j Behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.	För Mittuniversitet gäller i samtliga fall följande vid behandling av särskilda eller särskilt skyddsvärda personuppgifter.

Principen om ändamålsbegränsning

Beskriv hur ni garanterar att principen följs. Principen om ändamålsbegränsning innebär att personuppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att de inte får behandlas på ett sätt som är oförenligt med dessa ändamål. Ändamålet ska definieras innan behandlingen påbörjas och ska vara noggrant specificerat. Ändamålet med behandlingen är avgörande för att bedöma vilka uppgifter som är nödvändiga att behandla, vilken rättslig grund som behandlingen kan stödjas på och för att uppfylla övriga grundläggande dataskyddsprinciper.

Exempel på frågor för att kontrollera att principen om ändamålsbegränsning följs:

• Har ändamålet/ändamålen dokumenterats och hur?

• Är ändamålet så konkret och specifikt beskrivet att det är enkelt att fastställa att behandlingen är förenlig med detta?

• Har behandling av uppgifterna för andra ändamål än de fastställda begränsats genom exempelvis avtalsklausuler, riktlinjer eller andra säkerhetsåtgärder?

Personuppgifter som samlas in inom ramen för detta forskningsprojekt behandlas enbart för specifika, uttryckligt angivna och berättigade ändamål, nämligen för att uppfylla syftet med projektet enligt den godkända forskningsplanen. Uppgifterna kommer inte att behandlas på ett sätt som är oförenligt med dessa ändamål. Eventuell vidare användning av uppgifterna för nya forskningsändamål kräver i så fall ny etikprövning och/eller nytt informerat samtycke från deltagarna.

Principen om uppgiftsminimering

Beskriv hur ni garanterar att principen följs. Principen om uppgiftsminimering innebär att de personuppgifter som behandlas ska vara adekvata, relevanta och inte för omfattande i förhållande till ändamålen som de behandlas för. Beskriv hur (genom vilka åtgärder) det ska säkerställas att enbart personuppgifter som behövs för ändamålet kommer att behandlas. Det bör även framgå att den personuppgiftsansvarige har övervägt om det finns alternativa sätt att utföra behandlingen som är lika effektiva för att uppnå syftet, men som i mindre utsträckning gör intrång i enskildas grundläggande fri- och rättigheter (exempelvis genom att de medför en begränsad uppgiftsinsamling eller kräver mindre detaljerade uppgifter). Om ändamålet kan uppnås utan att vissa uppgifter behandlas, är behandlingen av just dessa personuppgifter inte nödvändig och ska inte utföras.

Exempel på frågor för att kontrollera att principen om uppgiftsminimering följs:

• Framgår det tydligt varför de personuppgifter som ska behandlas behövs för att uppfylla ändamålet med den aktuella behandlingen?

• Har ni kontrollerat att inga uppgifter samlas in enbart ”för att de kan vara bra att ha”?

• Fritextfält i formulär: Är det nödvändigt att använda sådana? Ges det tydliga instruktioner om vad som ska anges i fritextfälten (för att motverka insamling av onödiga uppgifter)? Framgår det tydligt vilka fält som är frivilliga respektive obligatoriska? Är de frivilliga fälten verkligen nödvändiga för att uppnå ändamålet med behandlingen?

• Kamerabevakning: Är det nödvändigt att samla in uppgifter från hela kamerans upptagningsområde eller bör vissa delar maskeras digitalt?

Hämta personuppgifterna från avsnittet Kategorier av personuppgifter och beskriv vad behandlingen är nödvändig för, se exempel.

Personuppgift	Behandlingen är nödvändig för att
Ex: E-postadress Ex: Personnummer	Ex: Kommunicera med den registrerade Ex: Säkerställa identiteten på den registrerade Ex. Identifiera den registrerade Ex. Kvalitativt underlag till forskningen Ex. Kvantitativt underlag till forskningen
Klicka eller tryck här för att ange text.	Klicka eller tryck här för att ange text.
Klicka eller tryck här för att ange text.	Klicka eller tryck här för att ange text.

Principen om riktighet

Beskriv hur ni garanterar att principen följs. Personuppgifter som behandlas ska vara riktiga och (om nödvändigt) uppdaterade. Om personuppgifterna inte stämmer ska uppgifterna rättas eller raderas. Det är därför viktigt att det finns rutiner för att upptäcka fel och för att korrigera och ta bort oriktiga personuppgifter när registrerade begär det.

Exempel på frågor för att kontrollera att principen om riktighet följs:

• Är uppgifterna statiska eller kräver de uppdateringar?

• Hur säkerställs att felaktiga uppgifter rättas?

• Hur ofta ska uppgifternas riktighet kontrolleras?

• Kan den registrerade själv påverka uppgifternas korrekthet och vid behov uppdatera dem?

• Hur säkerställs att uppgifter som har mottagits från en annan verksamhet är korrekta?

• Hur säkerställs att de insamlade uppgifterna gäller rätt person?

Vid insamling, bearbetning och analys av data vidtas lämpliga tekniska och organisatoriska åtgärder för att upprätthålla datakvalitet och korrekthet genom hela forskningsprocessen.

Principen om lagringsminimering

Beskriv hur ni garanterar att principen följs. Principen om lagringsminimering innebär att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Den planerade lagringstiden bör därför motiveras utifrån vad som är nödvändigt för syftet med behandlingen. Eftersom det som är nödvändigt inte alltid är proportionerligt, behöver även proportionaliteten motiveras. Det är viktigt att det finns rutiner för gallring av personuppgifter.

Exempel på frågor för att kontrollera att principen om lagringsminimering följs:

• För vilka ändamål ska uppgifterna behandlas och hur länge ska de behandlas?

• Kommer uppgifterna att raderas när de inte längre behövs och hur ska det gå till i praktiken?

• Finns det lagkrav som bestämmer lagringstiden för de personuppgifter som behandlas?

• Kommer det att vara möjligt att använda automatisk radering av uppgifter när lagringstiden har löpt ut, eller ska uppgifterna raderas manuellt?

• Om radering inte är lämpligt, kommer personuppgifterna att anonymiseras

Personuppgifter som initialt behandlas för forskningsändamål behöver efter forskningens avslutande sparas för arkivändamål. Det följer av arkivlagstiftningen. Forskningsdata med personuppgifter ska arkiveras i enlighet med Mittuniversitetets rutiner för arkivering av forskningshandlingar. Mittuniversitetet får med stöd av Riksarkivets föreskrifter (RA-FS 1999:1) och allmänna råd om gallring av handlingar i statliga myndigheters forskningsverksamhet, gallra handlingar som upprättas eller inkommer i forskningsverksamhet. Gallring får endast ske under förutsättning att allmänhetens rätt till insyn inte åsidosätts och att handlingarna bedöms sakna värde för rättskipning, förvaltning och forskning. Gallringsfristen är satt så att handlingar inte gallras innan: Forskningsresultat av respektive projekt har redovisats och publicerats eller på annat sätt offentliggjorts, rimlig tid förflutit för att det ska ha funnits möjlighet att granska handlingar för att verifiera forskningsresultatet, och ekonomisk redovisning har skett. Ingen gallring får verkställas förrän det prövats om handlingar ska undantas från gallring för att de bedöms ha: Ett fortsatt inomvetenskapligt värde eller värde för annat forskningsområde, vara av stort vetenskaps-, kultur- eller personhistoriskt värde, eller vara av stort allmänt intresse.

Principen om integritet och konfidentialitet

Beskriv hur ni garanterar att principen följs. Den personuppgiftsansvarige ska genomföra lämpliga tekniska och organisatoriska åtgärder för att trygga personuppgifternas integritet och konfidentialitet.

Integritet handlar om att uppgifterna förblir oförändrade när de behandlas, överförs och lagras. Personuppgifterna ska alltså skyddas mot att obehörigen gå förlorade, förstöras eller redigeras avsiktligt eller av misstag. Med konfidentialitet avses att personuppgifterna endast ska vara tillgängliga för dem som på grund av sina arbetsuppgifter har behov av och rätt att få tillgång till dem. Personuppgifterna ska skyddas så att de inte kan läsas eller på annat sätt behandlas av obehöriga.

Exempel på frågor för att kontrollera att principen följs:

Integritet

Finns det riktlinjer eller rutiner för hur uppgifter får ändras och av vem?

Görs säkerhetskopior och hur ser rutinerna för det ut?

Sker loggning när uppgifterna ändras?

Konfidentialitet

Finns det rutiner och åtgärder för behörighetsstyrning?

Finns det tillämpliga sekretessbestämmelser för uppgifterna?

Har de personer som ska hantera uppgifterna en tillräckligt god kännedom om konfidentialitet och gällande sekretess?

Ta bort de delar som inte är aktuella och komplettera om något saknas. Informationsklassningen kan användas som ett underlag för att se vad som ska finnas med.

Forskarna känner till vad som gäller kring informationssäkerhet på Mittuniversitetet och tagit del av de utbildningar som finns tillgängliga. För forskningsprojektet finns en datahanteringsplan. Projektet är godkänt av etikprövningsmyndigheten. Ansvarig forskare tilldelar, godkänner, kontrollerar behörighet till projektets forskningsdata. Kontot skyddas så det inte kommer i orätta händer med hjälp av stark autentisering, multifaktorautentisering (MFA), när det är möjligt. Automatiska säkerhetsuppdateringar för operativsystem, program och verktyg är påslaget för att minska risken att sårbarheter nyttjas för att komma åt skyddsvärd information eller kontouppgifter. Antivirusprogram som meddelar avvikelser används. Datorns brandvägg är aktiverad. VPN används vid arbete utanför universitetet för att få en skyddad kommunikation mellan dator och Mittuniversitetet. När filer med högt skyddsvärde skickas med mail används kryptering. För att skydda information vid stöld är datorns hårddisk krypterad. Kodnyckel för pseudonymisering förvaras separat från källdata. Personuppgifterna sparas på personlig mapp på intern server där det tas säkerhetskopior. Endast behörig forskare har tillgång till informationen. Personuppgifterna sparas på gemensam mapp på intern server där det tas säkerhetskopior. Endast institutionens personal har behörighet till informationen. Personuppgifterna sparas på delad mapp på intern server där det tas säkerhetskopior. Endast utsedda personer har behörighet till informationen. Personuppgifterna sparas i valvet (intern tjänst) där det tas säkerhetskopior. Inloggning via MFA för den som är ansvarig för kontot och genom delningslänkar för de som ska ha behörighet. Lösenordet för delningslänken skickas i ett separat e-postmeddelande. Personuppgifterna sparas på xxxx Personuppgifterna sparas i Qualtrics (enkätsystem). Personuppgiftsbiträdesavtal finns tecknat med leverantören Personuppgifterna sparas i MIUN Survey (enkätsystem). Personuppgiftsbiträdesavtal finns tecknat med leverantören. Lokaler där datamedia förvaras är skyddade med ett skalskydd (lås, larm, passagesystem etc.). När utrustning flyttas mellan användare inom institutionen, eller ska kasseras, bytas bort eller säljas, ska Mittuniversitetets rutiner för hantering av utrangerad IT-utrustning följas. Om en IT-säkerhetsincident eller personuppgiftsincident sker rapporteras det skyndsamt till ITsupport@miun.se. Det finns en medvetenhet om riktlinjer för mobila utrustningar och vad som gäller vid hantering av utrustning i samband med resa. Det finns en plan för lagring, gallring, arkivering och eventuell avveckling.

Registrerades rättigheter

Beskriv vilka rutiner organisationen har för att kunna tillgodose de registrerades rättigheter enligt dataskyddsförordningen, dvs.

Rätten till information

Rätten till tillgång

Rätten till rättelse

Rätten till radering

Rätten till begränsning av behandling

Rätten till dataportabilitet

Rätten att göra invändningar

Rätten att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering

I de fall det finns rutindokument som bedöms ge en tillräckligt utförlig beskrivning kan hänvisning göras till dessa.

Exempel på frågor för att kontrollera att de registrerades rättigheter kan tillgodoses:

• Hur får de registrerade hjälp att utöva sina rättigheter enligt dataskyddförordningen?

• Finns det ett formulär eller någon annan kontaktkanal för registrerade som vill utöva sina rättigheter?

• Är informationen lätt att hitta för de registrerade?

• Finns det en process för att hantera de registrerades begäranden?

• Finns det en ansvarig person som säkerställer att de registrerades rättigheter kan tillgodoses?

• Får de registrerade tydlig och tillräcklig information om behandlingen av sina personuppgifter?

• Kan alla uppgifter som gäller de registrerade sammanställas?

• Kan en kopia av de registrerades uppgifter tas fram på ett enkelt sätt?

• Går det att lämna uppgifterna i elektronisk form om de registrerade begär det?

• Hur fungerar rutinen för att radera personuppgifter om registrerade återkallar sitt samtycke till behandlingen?

• Hur raderas uppgifterna i praktiken (manuell eller automatiserad radering)?

• Finns det hinder för raderingen (som lagstadgade lagringstider eller liknande)?

• Hur utövas rätten till dataportabilitet i praktiken? Är det tekniskt möjligt?

• Omfattar behandlingen av personuppgifter automatiserat beslutsfattande som i betydande grad påverkar den registrerade? Om ja, vad baseras detta på?

Har du skrivit en etikansökan – hämta information från Avsnitt 9.1.1 Hur, när (i vilket skede) och av vem informeras och tillfrågas forskningspersonerna?

Klicka eller tryck här för att ange text.

Skyddsåtgärder för internationella överföringar

Om personuppgifter kommer att överföras till ett land utanför EU/EES i samband med behandlingen, ange de skyddsåtgärder som vidtagits nedan.

Ta bort de skyddsåtgärder som inte är aktuella och komplettera om något saknas.

Beslut från EU-kommissionen om adekvat skyddsnivå. Bindande företagsbestämmelser, Standardavtalsklausuler

Sammantagen bedömning

Ange den samlade bedömningen av om de rättsliga förutsättningarna för att genomföra behandlingen

Välj en av nedanstående meningar

Utifrån den sammantagna bedömningen av behovet och proportionaliteten hos behandling i förhållande till dess syfte, så uppfyller behandlingen i den form som planeras de rättsliga förutsättningarna i dataskyddsförordningen och kompletterande lagstiftning. Utifrån den sammantagna bedömningen av behovet och proportionaliteten hos behandling i förhållande till dess syfte, så uppfyller behandlingen i den form som planeras inte de rättsliga förutsättningarna i dataskyddsförordningen och kompletterande lagstiftning, och ska inte genomföras på det sätt som planeras.

Riskhantering

Använd Excelmallen Riskhantering vid konsekvensbedömning för att

identifiera de risker för fysiska personers fri-och rättigheter som behandlingen innebär

I första hand deras rätt till skydd för sina personuppgifter, sitt privatliv och sin integritet, men även andra grundläggande rättigheter (exempelvis yttrandefrihet, tankefrihet, fri rörlighet, förbud mot diskriminering, samvetsfrihet och religionsfrihet).

analysera riskernas sannolikhet och allvarlighet

Sannolikheten för att risken ska realiseras anges som osannolik, liten sannolikhet, påtaglig sannolikhet eller mycket stor sannolikhet.

Allvarlighetsgraden av konsekvenserna bedöms som försumbar, lindrig, kännbar, allvarlig

beskriva de riskreducerande åtgärderna

Exempel på riskreducerande åtgärder för att hantera viss risk

Risken att fler personuppgifter samlas in än vad som är nödvändigt för ändamålen med behandlingen på grund av att fritextfält används för att samla in uppgifter.

• Ge information i anslutning till fritextfält om vilka uppgifter som är nödvändiga.

• Inför och genomför regelbundna kontroller, exempelvis stickprov av att de uppgifter som samlas in är nödvändiga.

Risken att system som automatiskt ska radera uppgifter utifrån de lagringsperioder som fastställts inte fungerar som det är tänkt, och att uppgifter därmed lagras under längre tid än vad som är nödvändigt.

• Genomför robusta tester av systemet.

• Inför och genomför regelbundna kontroller, exempelvis stickprov av resultatet av systemet.

Risken att rutiner för manuell radering av uppgifter utifrån de lagringsperioder som fastställts inte följs av personalen, och att uppgifter lagras under längre tid än vad som är nödvändigt.

• Genomför regelbundna utbildningsinsatser och andra aktiviteter för att påminna om vikten av att följa rutiner för manuell radering.

• Säkerställ att rutiner för manuell gallring är enkla att följa.

• Införliva hänvisningar till rutiner för manuell gallring i relevanta processer.

• Inför och genomför regelbundna kontroller, exempelvis stickprov av att personalen följer rutinerna. Om avvikelser upptäcks, utred orsakerna och vidta lämpliga åtgärder.

Riskreducerande åtgärder kan också vara tekniska och organisatoriska.

följa upp riskerna genom en ny riskbedömning.

Summera bedömningen nedan

Klicka eller tryck här för att ange text.

Bedömning av skyldigheten att begära förhandssamråd

Dokumentera bedömningen av om riskerna är fortsatt höga efter att de riskreducerande åtgärderna har beaktats.

Om riskerna förblir höga − trots att riskreducerande åtgärder har beaktats − har den personuppgiftsansvarige en skyldighet att begära förhandssamråd med IMY innan behandlingen påbörjas.36 Detta gäller även om enbart en av de identifierade riskerna bedöms vara fortsatt hög.

Av artikel 36.3 i dataskyddsförordningen framgår vilket underlag den personuppgiftsansvarige ska lämna till tillsynsmyndigheten i samband med begäran om förhandssamråd. Vid en begäran om förhandssamråd ska konsekvensbedömningen ingå som en del av underlaget. Om en konsekvensbedömning saknas eller bedöms vara bristfällig kan IMY komma att begära komplettering eller avvisa begäran om förhandssamråd.

Klicka eller tryck här för att ange text.

Resultatet av eventuellt förhandssamråd

Dokumentera resultatet av ett eventuellt förhandssamråd eller bifoga IMY:s yttrande.

Klicka eller tryck här för att ange text.

Synpunkter som hämtats in från berörda

Dataskyddsombudets rekommendationer

Dokumentera synpunkter och/eller rekommendationer som dataskyddsombudet har lämnat under arbetets gång. Dokumentera även eventuella slutliga utlåtanden från dataskyddsombudet.

Dokumentera och motivera eventuella beslut att inte följa formella rekommendationer från dataskyddsombudet

Nr	Dataskyddsombudets rekommendation	Datum	Den personuppgiftsansvariges svar på rekommendationen
001	☐Acceptera ☐ Accepterar och vidtar åtgärd ☐ Avfärdar Om dataskyddsombudets rekommendationer avfärdats ange en noggrann motivering nedan Klicka eller tryck här för att ange text.
002	☐Acceptera ☐ Accepterar och vidtar åtgärd ☐ Avfärdar Om dataskyddsombudets rekommendationer avfärdats ange en noggrann motivering nedan Klicka eller tryck här för att ange text.

Synpunkter från de registrerade

Ange nedan om ni har hämtat in synpunkter från de registrerade. Ange även om synpunkter inte har hämtats in och i så fall varför.

Dokumentera eventuella synpunkter från de registrerade. Motivera och dokumentera även eventuella beslut som går emot de registrerades synpunkter.

Notera att de registrerade kan behöva tillfrågas redan innan, eller i samband med, riskbedömningen. De personuppgiftsansvariga kan behöva omvärdera riskerna enligt synpunkterna.

Klicka eller tryck här för att ange text.

Synpunkter från övriga intressenter

Ange om ni har hämtat in synpunkter från någon övrig intressent, exempelvis en informationssäkerhets­ ansvarig eller någon med särskild teknisk kompetens. Dokumentera eventuella synpunkter från dessa, om lämpligt.

Komplettera om synpunkter har inhämtats från andra intressenter..

Synpunkter har inhämtats från informationssäkerhetssamordnare

Sammantagen bedömning

Ange den sammantagna bedömningen av om den planerade behandlingen kan genomföras eller inte.

Välj en av beslutsmeningarna

Utifrån den genomförda konsekvensbedömningen och riskbedömningen kan behandlingen genomföras med fastställda riskhanteringsåtgärder. Beslutet fastställs genom digital signering. Utifrån den genomförda konsekvensbedömningen och riskbedömningen kan behandlingen inte genomföras. Beslutet fastställs genom digital signering.

Förankring av bedömningen i organisationen

Dokumentera hur och när de beskrivningar och bedömningar som ni gjort har förankrats i organisationens ledningsgrupp, exempelvis genom en internremiss eller föredragning på ledningsgruppsmöte eller dylikt.

Tydliggör vem som bär ansvaret för att vidta de riskreducerande åtgärderna och vem som ansvarar för eventuell kvarstående risk med behandlingen.

Klicka eller tryck här för att ange text.

Kontinuerlig översyn

Plan för att genomföra översyn

Ange när och hur ofta konsekvensbedömningen ska följas upp samt vilka roller eller funktioner i organisationen som ansvarar för uppföljningen. Beskriv även hur det ska säkerställas att eventuella förändringar av risken fångas upp inom organisationen

Klicka eller tryck här för att ange text.

Versionshistorik

Fyll i tabellen för att tydliggöra när förändringar i konsekvensbedömningen har gjorts.

Version	Datum	Deltagare	Fastställd av	Ändringar
1.0	202x-xx-xx