Lagring och minimering

Två grundläggande principer i dataskyddslagstiftningen är principen om uppgiftsminimering, att bara samla in de personuppgifter som verkligen behövs och lagringsminimering, att inte spara personuppgifterna längre än nödvändigt. Du får bara samla in de uppgifter som behövs för att kunna utföra arbetet.

När grunden för behandlingen upphör ska uppgiften arkiveras eller gallras. Detta ska framgå i kommunens dokumenthanteringsplan som ska hållas uppdaterad. Den talar om hur allmänna handlingar hos verksamheten ska hanteras och förvaras. Detta säkerställer en enhetlig hantering i kommunen och underlättar vid sökning av information. Den kan även vara ett hjälpmedel för att snabbt få en uppfattning om vad man arbetar med för typ av information i verksamheten och hur den hanteras.

Arkivlagen reglerar skyldigheten för bland annat kommuner att bevara sina allmänna handlingar. Dataskyddsförordningen ställer krav på att personuppgifter ska arkiveras alternativt gallras när verksamhetens syfte/grund för behandlingen upphört. Det är därför viktigt att se över och ha väl övervägda tidsfrister i dokumenthanteringsplanen.

Offentlighetsprincipen och GDPR

Offentlighetsprincipen syftar till att säkerställa allmänhetens tillgång till allmänna handlingar. Dataskyddsförordningen hindrar inte kommunen från att lämna ut allmänna handlingar enligt offentlighetsprincipen.

Däremot kan sekretess föreligga (enligt OSL (2009:400) 21 kap. 7 §)  om det kan antas att den som efterfrågar allmän handling kan komma att använda personuppgifter som finns i allmän handling i strid mot GDPR eller den svenska kompletterande dataskyddslagen.  

Efterlevnad

Vi ska kunna visa att vi följer Dataskyddsförordningen. Det innebär att Integritetsskyddsmyndigheten inte behöver visa att vi gjort fel, utan vi måste istället visa att vi gjort rätt. Detta gör vi bland annat genom att skapa ordning och ha ett strukturerat och medvetet arbetssätt.

• register över personuppgiftsbehandlingar
• konsekvensbedömningar och övriga säkerhet- och riskanalyser
• dokumenthanteringsplaner
• klassningar av system
• beslutsunderlag till varför vi valt att hantera personuppgifter på ett visst sätt
• personuppgiftsincidenter ochutförda åtgärder
• kravställning på systemleverantörer
• PUB-avtal i enlighet med SKR:s mall