Det måste finnas ett tydligt ändamål och en rättslig grund för att vi ska få behandla personuppgifter.

De rättsliga grunderna är:

• Utföra uppgift av allmänt intresse eller myndighetsutövning
• Rättslig förpliktelse 
• Avtal
• Skydda grundläggande intressen
• Intresseavvägning
• Samtycke

Nedan finns texten ur GDPR för varje rättslig grund. Notera att i alla rättsliga grunder förutom för samtycke är det krav på att behandlingen ska vara nödvändig.

Utföra uppgift av allmänt intresse eller myndighetsutövning: "Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning." (artikel 6.1e) 

Rättslig förpliktelse: "Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige." (artikel 6.1c). 

Avtal: "Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås." (artikel 6.1b).

Skydda grundläggande intressen: "Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person." (artikel 6.1d). 

Intresseavvägning: "Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn." (artikel 6.1f). 

Samtycke: "Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål." (artikel 6.1a). 

Den vanligaste rättsliga grunden inom offentlig verksamhet är allmänt intresse eller myndighetsutövning, tillexempel vid handläggning av bygglov, försörjningsstöd eller annat ärende som påverkar en individ. När kommunen ska uppfylla sitt arbetsgivaransvar kan personuppgifter få behandlas med stöd av rättslig förpliktelse eller avtal. Kommunen kan i regel inte använda sig av intresseavvägning. Skydda grundläggande intressen kan tillexempel användas när det föreligger en nödsituation inom vården. 

För att det ska finnas rättsligt stöd för behandling av känsliga personuppgifter krävs det ytterligare stöd (se avsnitt Vad är personuppgifter?).

Samtycke

Samtycke kan bara användas när det verkligen föreligger ett fritt val för den registrerade. Till exempel kan vi i regel inte använda samtycke som rättslig grund mellan skola och elev eftersom de inte är jämbördiga parter.

Kommunen ansvarar för att visa att den registrerade har fått tydlig information och gjort ett fritt och aktivt val att samtycka. Det ska vara lätt för en medborgare att kunna ta tillbaka ett samtycke. Tydlig kontaktväg måste finnas.

Tänk på att skilja mellan samtyckesblankett för överföring av sekretessuppgifter mellan myndigheter och samtyckesblankett för GDPR. Det är två olika saker.

Mall för samtyckesblankett för foto/film