Hoppa till innehåll
0250 - 911 00 info@branschutbildarna.se

GDPR för offentlig sektor - Få rätt förutsättningar att hantera personuppgifter säkert och lagligt inom offentlig sektor

Med E-learning studerar du i egen takt och gör sedan ett slutprov.

2 695,00 kr
Exkl. moms

Om kursen

I den här kursen gås igenom vilka GDPR-krav som ställs på offentlig sektor (stat, kommun och regioner, för bolag inom denna sektor rekommenderas istället motsvarande kurs för privat sektor). Monika Wendleby, som har skrivit flera böcker om GDPR, går igenom regelverket utifrån de visuella verktyg som finns i hennes böcker, vilket gör regelverket lättare att förstå. Centrala begrepp och principer presenteras liksom rollerna personuppgiftsansvarig, personuppgiftsbiträde och dataskyddsombud. Skyldigheter som konsekvensbedömning, incidenthantering, rättighetshantering och behandlingsregister, liksom det komplexa regelverket om tredjelandsöverföring, beskrivs övergripande och tips lämnas till den som vill fördjupa sig.

Innehåll

  • Förstå varför GDPR finns och dess koppling till mänskliga rättigheter
  • Känna till sanktionsnivåerna för offentlig sektor (5 och 10 miljoner kronor)
  • Tillämpa grundbegreppen: personuppgift, registrerad och behandling
  • Använda den logiska trappan som praktiskt arbetsverktyg
  • Välja rätt lagliga grunder: allmänt intresse, rättslig förpliktelse och myndighetsutövning
  • Förstå varför samtycke och berättigat intresse sällan är tillämpliga i offentlig sektor
  • Hantera vidarebehandling och lagringsminimering med stöd av arkivlagstiftningen
  • Identifiera och hantera integritetskänsliga personuppgifter
  • Fastställa personuppgiftsansvar och ansvarsfördelning vid samarbeten
  • Förstå dataskyddsombudets roll och uppgifter
  • Tillämpa inbyggt dataskydd och dataskydd som standard
  • Vidta säkerhetsåtgärder och hantera personuppgiftsincidenter
  • Genomföra konsekvensbedömningar och avgöra när samråd med IMY krävs
  • Bedöma risker vid tredjelandsöverföringar
  • Upprätta och underhålla ett behandlingsregister
  • Tillgodose registrerades rättigheter: information, tillgång, invändning och radering

Om området och gällande regelverk

Personuppgiftshantering i offentlig verksamhet omfattar i praktiken allt från ärendehandläggning, registerföring och e-tjänster till personaladministration, upphandling, samverkan mellan myndigheter och användning av externa IT- och molntjänster. Uppgifterna kan vara vardagliga (kontaktuppgifter) men ofta även integritetskänsliga, exempelvis personnummer, uppgifter om hälsa, sociala förhållanden eller skyddade personuppgifter. Arbetet behöver därför balansera effektiv informationshantering med krav på integritet, informationssäkerhet, spårbarhet och korrekt utlämnande av handlingar.

Rättslig ram: EU-reglering och svenska kompletteringar

Den centrala rättsakten är dataskyddsförordningen (EU) 2016/679 (GDPR), som är en EU-förordning och därmed direkt tillämplig i Sverige. Regelverket bygger på principer som ansvarsskyldighet, ändamålsbegränsning och uppgiftsminimering, och ställer krav på att behandlingar ska kunna motiveras med en laglig grund. I offentlig sektor knyts den lagliga grunden ofta till uppgifter av allmänt intresse, rättslig förpliktelse eller utövning av offentlig makt, vilket i sin tur förutsätter stöd i annan författning, myndighetsinstruktion, beslut eller uppdrag. Svenska särregler finns bland annat i lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, som kompletterar GDPR på nationell nivå. Den innehåller också bestämmelser om administrativa sanktionsavgifter för offentliga organ, med svenska maxnivåer (5 respektive 10 miljoner kronor beroende på överträdelsens kategori). Det är också viktigt att avgränsa GDPR:s tillämpningsområde. För personuppgiftsbehandling hos behöriga myndigheter som sker för brottsbekämpande ändamål gäller i stället brottsdatalag (2018:1177), som bygger på ett EU-direktiv och har delvis andra krav och begrepp.

Offentlighet, sekretess och arkivering i praktiken

Offentliga aktörer verkar inom ramen för offentlighetsprincipen, vilket påverkar hur information lämnas ut, delas och bevaras. Sekretessfrågor och tystnadsplikt regleras i offentlighets- och sekretesslag (2009:400). I praktiken innebär detta att en begäran om att ta del av en handling behöver hanteras som en fråga om allmän handling och eventuell sekretess, parallellt med dataskyddsbedömningar (till exempel kring vilka uppgifter som kan maskeras och hur utlämnandet dokumenteras). Bevarande och gallring styrs samtidigt av arkivlag (1990:782). Det får praktiska följder för exempelvis lagringsminimering och radering: även när dataskyddsregelverket pekar mot kortare lagring kan andra bevarandekrav och arkivbeslut begränsa vad som faktiskt kan raderas. För statliga myndigheter är Riksarkivet en central aktör i normering och tillsyn, och i arkivpraktiken används ofta stöd som Riksarkivets vägledning om informationsvärdering och gallring tillsammans med lokala dokumenthanteringsplaner och gallringsbeslut.

Ansvar, styrning och tillsyn

GDPR förutsätter tydlig ansvarsfördelning mellan personuppgiftsansvarig och personuppgiftsbiträde, något som i offentlig sektor ofta behöver hanteras i samverkan, gemensamma nämnder, delade IT-plattformar och upphandlade tjänster. Kraven tar sig vanligtvis uttryck i styrning och dokumentation som behöver fungera i vardagen, till exempel:
  • beskrivningar av behandlingar och ändamål, inklusive rättslig grund och informationsgivning
  • personuppgiftsbiträdesavtal och kontroller av leverantörers underbiträden
  • riskanalyser och säkerhetsåtgärder kopplade till system och processer
  • rutiner för att hantera registrerades rättigheter och interna åtkomster
Integritetsskyddsmyndigheten (IMY) är svensk tillsynsmyndighet för GDPR och prövar bland annat klagomål, gör tillsyn och kan besluta om sanktionsavgifter. IMY publicerar även praktiskt inriktad vägledning, exempelvis om hantering av personuppgiftsincidenter och om hur en konsekvensbedömning kan genomföras. I praktiken blir detta särskilt relevant vid incidenter (där tidsfrister och dokumentation ofta är styrande), vid nya eller förändrade behandlingar med hög risk samt vid internationella tredjelandsöverföringar i samband med exempelvis molntjänster eller koncerngemensamma driftupplägg.
Trustpilot

Alla utbildningar kan företagsanpassas