Allmänt om dataskyddsförordningen och utbildningsmaterial

Dataskyddsförordningen (GDPR, The General Data Protection Regulation) gäller i hela EU och har till syfte att skapa en enhetlig och likvärdig nivå för skyddet av personuppgifter så att det fria flödet av uppgifter inom Europa inte hindras.

Vad är en personuppgift?

Personuppgifter är all slags information som kan knytas till en levande person. Det kan röra sig om namn, adress och personnummer. Även foton på personer klassas som personuppgifter. Ja, till och med ljudinspelningar som lagras digitalt kan vara personuppgifter även om det inte nämns några namn i inspelningen. Ett bolagsnummer är ofta inte en personuppgift men kan vara det om det handlar om ett enmansföretag. Registreringsnumret på en bil kan vara en personuppgift om det går att knyta till en fysisk person medan registreringsnumret på en firmabil som används av flera, kanske inte är en personuppgift.

Vad menas med känsliga personuppgifter?

I dataskyddsförordningen skiljer man mellan ”vanliga” personuppgifter och känsliga personuppgifter. Känsliga uppgifter är till exempel sådana som gäller din hälsa, etniskt ursprung, politiska åsikter och sexuell läggning. Uppgifter om hälsa kan till exempel vara sjukfrånvaro, graviditet och läkarbesök. Normalt är det förbjudet att hantera sådana personuppgifter men det finns undantag från förbudet. Känsliga uppgifter måste också skyddas mer än andra uppgifter.

Vilka personuppgifter samlar vi in?

Universitetet behandlar personuppgifter för olika syften inom vår verksamhet. Inom utbildning behandlas studenters personuppgifter. Inom forskning behandlas deltagare i forskningsstudiers personuppgifter.

Personuppgifter behandlas också när det gäller anställda samt deltagare i konferenser eller andra evenemang. Det finns även andra situationer där universitetet behandlar personuppgifter, såsom vid kontakter och samarbeten mellan enskilda och andra organisationer.

I de flesta fall samlas personuppgifter in direkt från den enskilde. Detta sker vanligtvis genom kontakter mellan den enskilde och universitetet. I vissa fall kan även personuppgifterna samlas in från någon annan än från den enskilde själv.

I vissa fall har universitetet som myndighet krav på sig att lämna ut personuppgifter till andra. Det handlar till exempel om att lämna studenters studieresultat till Centrala studiestödsnämnden (CSN) eller anställdas och uppdragstagares löneuppgifter till Skatteverket.

Vilka personuppgifter som behandlas beror helt på syftet med behandlingen i det enskilda fallet. Det kan bland annat handla om:

Kontaktinformation som namn, adress, telefonnummer och e-postadress samt i förekommande fall personnummer
Uppgifter som behövs till exempel vid hjälpåtgärder för studenter och anställda
Bankuppgifter och andra ekonomiska uppgifter för ekonomiska transaktioner
Uppgifter inhämtade inom ramen för deltagande i en forskningsstudie
Information om studieresultat och annan information relaterat till studier
Information som samlas in vid besök på universitetets webbplatser i syfte att förbättra användarvänligheten på dem, exempelvis via kakor
Information vid deltagande i konferenser eller kurser
Uppgifter som behövs vid anställning eller vid ansökan om anställning

Hur skyddas personuppgifterna?

Mittuniversitetet är ansvarigt för att se till att personuppgifterna skyddas av lämpliga tekniska och organisatoriska åtgärder. Universitetet säkerställer därmed en säkerhetsnivå som är lämplig i förhållandet till eventuella risker i samband med behandling av personuppgifter i det enskilda fallet.

Säkerhetsaspekterna innefattar bedömning med hänsyn till konfidentialitet, riktighet och tillgänglighet. Det tekniska skyddet kan till exempel innebära att endast behörig person har tillgång till uppgifterna, att personuppgifterna krypteras eller att de lagras i särskilt skyddade utrymmen.

Dokumentation av behandlingar och konsekvensbedömningar

Enligt dataskyddsförordningen ska alla personuppgiftsbehandlingar dokumenteras. Mittuniversitetet för därför en förteckning över sina personuppgiftsbehandlingar i enlighet med artikel 30 i GDPR. Förteckningen innehåller bland annat uppgifter om ändamålet med behandlingen, vilka kategorier av personuppgifter och registrerade som berörs samt hur länge uppgifterna sparas och vilka säkerhetsåtgärder som tillämpas.

Om en planerad personuppgiftsbehandling sannolikt innebär en hög risk för fysiska personers rättigheter och friheter ska en konsekvensbedömning avseende dataskydd genomföras i enlighet med artikel 35 i GDPR. En sådan konsekvensbedömning (DPIA) innebär att risker identifieras och analyseras samt att lämpliga åtgärder fastställs för att minska eller eliminera riskerna innan behandlingen påbörjas.

Grundutbildning

Dataskyddsförordningen (GDPR) grundutbildning

Sök