7. Undantag för behandling av särskilda kategorier av personuppgifter
7.1 Undantag för behandling av särskilda kategorier av personuppgifter
7.1 Undantag för behandling av särskilda kategorier av personuppgifter
Behandling av uppgifter som hör till särskilda kategorier av personuppgifter är i regel förbjuden. Sådana uppgifter får behandlas endast om det finns både en behandlingsgrund enligt artikel 6 i dataskyddsförordningen och ett särskilt undantag från förbudet mot behandling enligt artikel 9.2.
I praktiken är det vanligaste undantaget i fråga om kommunernas uppgifter artikel 9.2 g i dataskyddsförordningen, enligt vilken behandling är tillåten om den är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt. Regleringen ska då stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.
Behandling av uppgifter som hör till särskilda kategorier av personuppgifter kan för det första vara möjlig genom speciallagstiftning. I 6 § i dataskyddslagen finns närmare bestämmelser om behandling av uppgifter som hör till särskilda kategorier av personuppgifter. I de situationer som föreskrivs i paragrafen är det möjligt att behandla uppgifter som hör till särskilda kategorier av personuppgifter. Enligt 6 § 1 mom. 2 punkten i dataskyddslagen får särskilda personuppgifter behandlas om behandlingen regleras i lag eller om behandlingen föranleds av en uppgift som direkt har ålagts den personuppgiftsansvarige i lag.
Bestämmelsen i fråga ändrades våren 2026 (RP 9/2026 rd) för att formuleringen ska motsvara ordalydelsen i dataskyddsförordningen. Enligt bestämmelsen får särskilda kategorier av personuppgifter behandlas om behandlingen av uppgifterna regleras i lag eller är nödvändig för utförande av en uppgift av allmänt intresse som har ålagts den personuppgiftsansvarige i lag. Genom lagändringen preciserades bestämmelsen så att den behandling som avses i punkten begränsas till vad som är nödvändigt. Syftet med ändringen var i princip dock inte att ändra tolkningen av bestämmelsen jämfört med tidigare. Lagbestämmelsen ger den personuppgiftsansvarige ett stort handlingsutrymme att bedöma hur omfattande behandlingen får vara och vilka uppgifter som hör till särskilda kategorier av personuppgifter som får behandlas.
I praktiken innebär bestämmelsen att kommunerna kan behandla uppgifter som hör till särskilda kategorier av personuppgifter i första hand då behandlingen av dessa uppgifter uttryckligen föreskrivs i lag. Behandling av uppgifter som hör till särskilda kategorier av personuppgifter kan dessutom vara möjlig för sådana uppgifter som hör till kommunens allmänna ansvarsområde och som är lagstadgade, men frivilliga för kommunen, i den mån det är fråga om att utföra en i lag föreskriven uppgift av allmänt intresse för den personuppgiftsansvarige i den mening som avses i bestämmelsen i fråga. Bestämmelsen förutsätter inte nödvändigtvis att dessa uppgifter av allmänt intresse uttryckligen har formulerats i lagstiftningen som skyldigheter för kommunerna. Bestämmelsen möjliggör behandling av särskilda kategorier av personuppgifter om behandlingen är nödvändig för utförandet av en uppgift av allmänt intresse som har ålagts den personuppgiftsansvarige i lag.
Uppgifter som hör till särskilda kategorier av personuppgifter kan i regel behandlas inom kommunens frivilliga uppgifter som det finns närmare bestämmelser om (till exempel gymnasieutbildning eller morgon- och eftermiddagsverksamhet i skolor) samt inom uppgifter som det inte finns närmare bestämmelser om, men som hör till myndighetens behörighet (till exempel tillhandahållande av mellanmål i skolor). Ju längre bort från kommunens kärnverksamhet ändamålet med behandlingen är, desto svårare är det att motivera behandlingen av uppgifter som hör till särskilda kategorier av personuppgifter med stöd av 6 § 1 mom. 2 punkten i dataskyddslagen. I sådana situationer kan uppgifter som hör till särskilda kategorier av personuppgifter eventuellt behandlas med stöd av den registrerades uttryckliga samtycke enligt artikel 9.2 a i dataskyddsförordningen, förutsatt att de krav på ett giltigt samtycke som anges i dataskyddsförordningen uppfylls.
I stället för ”vanligt samtycke” kräver dataskyddsförordningen uttryckligt samtycke i situationer som medför särskilda dataskyddsrisker för den registrerade. Det föreskrivs om uttryckligt samtycke i samband med bestämmelserna om särskilda kategorier av personuppgifter, överföring av uppgifter till tredjeländer eller internationella organisationer samt automatiserat individuellt beslutsfattande. Med ”uttryckligt” avses det sätt på vilket den registrerade uttrycker sitt samtycke. Ett tydligt sätt att säkerställa uttryckligt samtycke är till exempel att uttryckligen bekräfta samtycket i ett skriftligt uttalande.
Mer information:
- Europeiska dataskyddsstyrelsen: Riktlinjer 05/2020 om samtycke enligt förordning (EU) 2016/679
7.2 Skyddsåtgärder
Behandling av uppgifter som hör till särskilda kategorier av personuppgifter kräver särskild omsorg. Enligt 6 § 2 mom. i dataskyddslagen ska en personuppgiftsansvarig och ett personuppgiftsbiträde vidta lämpliga och särskilda skyddsåtgärder för att skydda den registrerades rättigheter, och i lagen anges exempel på viktiga tekniska, organisatoriska och processuella åtgärder för att säkerställa att behandlingen av uppgifterna är säker och lagenlig. Enligt bestämmelsen är det i första hand den personuppgiftsansvarige och personuppgiftsbiträdet som bedömer hurdana skyddsåtgärder som är lämpliga med tanke på behandlingen. Ansvarsskyldigheten i artikel 5.2 i dataskyddsförordningen innebär att den personuppgiftsansvarige och personuppgiftsbiträdet ska kunna visa att de valda skyddsåtgärderna är adekvata och proportionerliga.
Enligt 6 § 2 mom. i dataskyddslagen är sådana åtgärder:
- åtgärder för att det i efterhand ska kunna säkerställas och bevisas vem som har registrerat, ändrat eller överfört personuppgifter,
- åtgärder för att höja kompetensen hos den personal som behandlar personuppgifter,
- utnämning av dataskyddsombud,
- den personuppgiftsansvariges och personuppgiftsbiträdets interna åtgärder för att förhindra tillträde till personuppgifter,
- pseudonymisering av personuppgifter,
- kryptering av personuppgifter,
- åtgärder för att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och tjänsterna i anknytning till behandlingen av personuppgifterna, inbegripet förmåga att återställa tillgängligheten och tillgången till uppgifterna i rimlig tid vid en fysisk eller teknisk incident,
- ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet,
- särskilda förfaranderegler för att säkerställa att dataskyddsförordningen och denna lag iakttas när personuppgifter överförs eller behandlas för något annat ändamål,
- utförande av en konsekvensbedömning avseende dataskydd enligt artikel 35 i dataskyddsförordningen,
- andra tekniska, förfarandemässiga och organisatoriska åtgärder.