5.1 Allmänna behandlingsgrunder

5.2 Behandling av särskilda kategorier av personuppgifter och personbeteckning

5.3 Behandlingens nödvändighet

5.4 Övriga krav och den personuppgiftsansvariges ansvarsskyldighet

5.1 Allmänna behandlingsgrunder

Enligt dataskyddsförordningen får personuppgifter behandlas endast om det finns en lagenlig behandlingsgrund. Denna behandlingsgrund ska fastställas innan behandlingen av personuppgifter inleds och den kan inte ändras under behandlingen. Behandlingsgrunden är kopplad till det ändamål för vilket uppgifterna används. I artikel 6 i dataskyddsförordningen definieras följande grunder som möjliggör behandling av personuppgifter:

• samtycke av den registrerade
• avtal
• rättslig förpliktelse för den personuppgiftsansvarige
• skydd av vitala intressen
• allmänt intresse och myndighetsutövning
• berättigat intresse hos den personuppgiftsansvarige eller tredje part.

Kommunerna måste känna till villkoren för tillämpning av behandlingsgrunderna för att kunna säkerställa en lagenlig behandling av personuppgifter. Tillämpningsområdet för behandlingsgrunderna behandlas närmare i avsnitt 7–9. Behandling av personuppgifter kan samtidigt grunda sig på flera behandlingsgrunder.

Enligt 7 § i kommunallagen sköter kommunen de uppgifter som den har åtagit sig med stöd av självstyrelsen (allmän kompetens) och organiserar de uppgifter som särskilt föreskrivs för den i lag (specialreglerad kompetens). Till den allmänna kompetensen hör de uppgifter som kommunen med stöd av egna beslut kan åta sig att sköta och till den specialreglerade kompetensen hör de uppgifter som föreskrivs för den i olika lagar. De flesta av kommunens uppgifter förutsätter behandling av personuppgifter. I regel är behandling av personuppgifter tillåten om uppgifterna behövs för att kommunen ska kunna sköta sina uppgifter, oavsett om uppgiften hör till kommunens allmänna eller specialreglerade kompetens. Däremot kan behandlingsgrunden fastställas på olika sätt för dessa uppgifter.

Behandlingen av personuppgifter inom kommunerna grundar sig i regel på fullgörandet av den personuppgiftsansvariges rättsliga förpliktelse samt utförandet av en uppgift av allmänt intresse eller myndighetsutövning. Personuppgifter kan dock inte på dessa behandlingsgrunder behandlas direkt med stöd av dataskyddsförordningen, utan kommunen ska identifiera de lagar och bestämmelser som föreskriver om uppgifter som förutsätter behandling av personuppgifter. Enligt artikel 6.3 i dataskyddsförordningen ska lagstiftningen uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Enligt skäl 41 i dataskyddsförordningen ska bestämmelsen utgöra en tydlig, exakt och förutsägbar grund för behandlingen av personuppgifter.

I bilaga 1 finns en förteckning över kommunens uppgifter, både lagstadgade och frivilliga, som i regel berättigar till behandling av personuppgifter som är nödvändig för att utföra uppgifterna. Förteckningen är inte uttömmande. 

5.2 Behandling av särskilda kategorier av personuppgifter och personbeteckning

Behandling av uppgifter som hör till särskilda kategorier av personuppgifter är i regel förbjuden enligt dataskyddsförordningen. De får endast behandlas om det, utöver den behandlingsgrund som anges i artikel 6 i dataskyddsförordningen, identifieras en separat behandlingsgrund enligt artikel 9 i samma förordning. Särskilda kategorier av personuppgifter omfattar uppgifter av vilka framgår:

• etniskt ursprung
• politiska åsikter
• religiös eller filosofisk övertygelse
• medlemskap i fackförbund
• hälsorelaterade uppgifter
• sexuell läggning eller sexuellt beteende
• genetiska och biometriska uppgifter för identifiering av en person.

Uppgifter som hör till särskilda kategorier av personuppgifter är ofta också sekretessbelagda enligt lagen om offentlighet i myndigheters verksamhet (nedan offentlighetslagen). ​Sekretessgrunden kan dock inte direkt jämställas med personuppgiftens karaktär. Till exempel kan en politisk åsikt i vissa situationer vara en offentlig uppgift enligt offentlighetslagen, men enligt dataskyddsförordningen är det alltid en uppgift som hör till särskilda kategorier av personuppgifter. Uppgifter som hör till särskilda kategorier av personuppgifter och/eller är sekretessbelagda ska skyddas noggrant, och särskilda skyddsåtgärder ska användas vid behandlingen av dem, eftersom behandlingen kan medföra betydande risker för personens grundläggande fri- och rättigheter.

För tydlighetens skull används i den nationella lagstiftningen inte längre begreppet känsliga uppgifter enligt personuppgiftslagen, som upphävdes i samband med att dataskyddsförordningen trädde i kraft. Trots detta har grundlagsutskottet fortfarande ansett det motiverat att i konstitutionellt hänseende beskriva vissa kategorier av personuppgifter som just känsliga. Med dessa avses en bredare kategori av uppgifter än de särskilda kategorier av personuppgifter som avses i dataskyddsförordningen. Även vid behandlingen av sådana uppgifter ska särskild omsorg iakttas och skyddsåtgärder vidtas. Grundlagsutskottet har betonat de hot som behandlingen av känsliga uppgifter medför. Enligt utskottet är omfattande databaser som innehåller känsliga uppgifter förenade med allvarliga risker för informationssäkerheten och missbruk av uppgifterna, vilka i sista hand kan utgöra ett hot mot en persons identitet. Med personuppgifter som är känsliga i konstitutionellt hänseende avses, utöver uppgifter som hör till särskilda kategorier av personuppgifter, exempelvis uppgifter om kunder hos arbetsförvaltningen (se t.ex. RP 207/2022 rd), uppgifter om klienter inom socialvården (se t.ex. GrUU 15/2018 rd) och detaljerade kontouppgifter (se t.ex. GrUU 48/2018 rd). 

Personbeteckningen är inte en uppgift som hör till särskilda kategorier av personuppgifter enligt dataskyddsförordningen och är inte heller en sekretessbelagd uppgift enligt offentlighetslagen. Den är dock en särskild typ av uppgift, och förutsättningarna för behandlingen av denna regleras separat. Bestämmelser om grunderna för behandlingen av personuppgifter finns i 29 § i dataskyddslagen samt i speciallagstiftning. Personbeteckningen används för att identifiera personer, till exempel för att skilja personer med samma namn från varandra. En personbeteckning får inte i onödan anges på utskrivna eller upprättade handlingar. Vid behandlingen av personbeteckningar ska särskild omsorg iakttas, eftersom en personbeteckning som tillsammans med andra uppgifter, såsom namnuppgifter, hamnar i utomståendes händer kan medföra en risk för identitetsstöld. 

5.3 Behandlingens nödvändighet

Utöver att fastställa behandlingsgrunden ska behandlingen av personuppgifter också vara förenlig med exempelvis de dataskyddsprinciper som anges i artikel 5 i dataskyddsförordningen. Kravet på att behandlingen av personuppgifter ska vara ”nödvändig” ingår redan i samtliga grunder för behandling enligt artikel 6 i dataskyddsförordningen, med undantag för samtycke. Inte heller med samtycke får man samla in eller behandla uppgifter som inte är nödvändiga med hänsyn till ändamålet med behandlingen av personuppgifterna. 

Bedömning av nödvändighet ska göras från fall till fall. Enligt skäl 39 i dataskyddsförordningen bör personuppgifter endast behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel. Enligt Europeiska dataskyddsstyrelsens riktlinjer 4/2019 (riktlinjer om inbyggt dataskydd och dataskydd som standard enligt artikel 25) bör den personuppgiftsansvarige alltid bedöma om de relevanta ändamålen med behandlingen av personuppgifter kan uppnås genom att behandla färre personuppgifter, att ha mindre detaljerade eller sammanställda personuppgifter eller genom att inte behandla personuppgifter över huvud taget. Om behandlingen av personuppgifter inte är nödvändig är den inte heller lagenlig. Därför ska den personuppgiftsansvarige till exempel på förhand fastställa vilka funktioner och egenskaper hos de tjänster som används för behandling av personuppgifter som är tillåtna. Även vid senare behandling ska den personuppgiftsansvarige regelbundet bedöma om de behandlade personuppgifterna fortfarande är ändamålsenliga, relevanta och nödvändiga eller om uppgifterna ska raderas eller anonymiseras.

Den svenska dataskyddsmyndigheten IMY har på sin webbplats angett att kravet på nödvändighet i fråga om grunderna för behandling inte betyder exakt samma sak som i allmänt språkbruk. Även om en kommunal uppgift skulle kunna utföras utan en viss typ av behandling av personuppgifter, kan behandlingen i regel anses vara nödvändig och därmed tillåten, om den medför effektivitetsfördelar. Om uppgiften däremot kan utföras nästan lika enkelt och kostnadseffektivt utan behandling av personuppgifter, kan behandlingen inte anses vara nödvändig i detta avseende. Då kan användning av anonymiserade uppgifter vara tillräcklig. Kommunerna skulle i teorin kunna sköta sin verksamhet och sina uppgifter utan automatiserad behandling av personuppgifter, men detta är inte ett realistiskt alternativ i praktiken. Användningen av tekniska hjälpmedel och automatiserad behandling av personuppgifter anses numera i regel vara nödvändig. Vid myndighetsverksamhet sker databehandlingen numera huvudsakligen digitalt. Detta behandlas närmare i avsnitt 9.3 i denna anvisning.

Mer information: 

• Den svenska integritetsskyddsmyndigheten IMY: Rättslig grund

5.4 Övriga krav och den personuppgiftsansvariges ansvarsskyldighet

Enligt dataskyddsförordningen ansvarar den personuppgiftsansvarige för att behandlingen av personuppgifter genomförs i enlighet med dataskyddslagstiftningen. En av den personuppgiftsansvariges skyldigheter är att säkerställa att behandlingen av personuppgifter har en lagenlig behandlingsgrund och att uppgifterna inte heller senare behandlas på ett sätt som strider mot de ändamål för vilka uppgifterna ursprungligen samlades in. Den personuppgiftsansvarige ska utarbeta förfaranden och anvisningar som gör det möjligt att säkerställa att behandlingen av personuppgifter är lagenlig under hela dess livscykel.

Utöver identifieringen av en lagenlig behandlingsgrund ska behandlingen av personuppgifter också uppfylla de krav som följer av dataskyddslagstiftningen och annan tillämplig lagstiftning. Den personuppgiftsansvarige är dessutom skyldig att kunna visa att kraven i dataskyddslagstiftningen har iakttagits. Även bedömningarna av behandlingsgrunden bör därför dokumenteras. Information om behandlingsgrunden och ändamålet med behandlingen ska tydligt anges för de registrerade som en del av informationen om behandlingen av personuppgifter, såsom dataskyddsbeskrivningar.

Biträdande dataombudsmannen bedömde i sitt avgörande, dnr 3116/163/20, den personuppgiftsansvariges förfarande att i början av coronapandemin skicka ett frågeformulär och ett informationsbrev till kunderna om ordnandet av vården av barnet i hemmet. Biträdande dataombudsmannen ansåg att det utifrån det material som lämnats in till dataombudsmannens byrå i ärendet kan ha blivit oklart vilket syftet med behandlingen av personuppgifter var, samt under vilka förutsättningar barnet kunde fortsätta att delta i småbarnspedagogiken. Biträdande dataombudsmannen ansåg dessutom att det i den rådande situationen kan ha varit svårt för kunden att bedöma om han eller hon kan låta bli att besvara enkäten trots att mottagaren har informerats om att svaret är frivilligt. Det kan ha varit oklart för kunderna inom småbarnspedagogiken huruvida behandlingen av personuppgifterna baserades på samtycke eller på en lagstadgad skyldighet. Biträdande dataombudsmannen ansåg att informationen om syftet med och grunden för behandlingen av personuppgifterna inte hade getts på ett tillräckligt transparent sätt.