Hållbarhetslagen är egentligen ingen egen lag utan ett tillägg i Årsredovisningslagen 6 kap. Lagen bygger på ett EU-direktiv och Sverige har valt att sätta tre gränsvärden för vilka företag som omfattas av den. För att omfattas behöver företaget uppfylla minst två av de tre gränsvärdena under två påföljande år. Gränsvärdena är: över 250 anställda, över 350 mkr i nettoomstättning och över 175 mkr i balansomslutning. Lagen innebär att dessa företag måste upprätta en hållbarhetsrapport där de ska lämna upplysningar om hur företaget arbetar med miljö, sociala förhållanden, personalrelaterade frågor, mänskliga rättigheter och antikorruption.

Har du frågor eller vill boka demo? Vi står redo att hjälpa dig vidare mot en enklare vardag.

## VARFÖR PRATAS DET OM VISSELBLÅSNING NU?

Under 2019 antogs ett [EU-direktiv om visselblåsning](https://eur-lex.europa.eu/legal-content/SV/TXT/PDF/?uri=CELEX:32019L1937&from=EN) som har till syfte att stärka kontrollen av att EU:s regler efterlevs och att en hög skyddsnivå finns för personer som rapporterar om överträdelser av dessa regler. Med anledning av visselblåsningsdirektivet föreslås en ny svensk lag som ska ge ett utökat skydd mot repressalier för personer som slår larm.

Genom den nya lagen utökas personkretsen som erhåller ett skydd mot repressalier. Tidigare omfattades arbetstagare och inhyrd personal. Enligt den nya lagen ska även, bland andra, volontärer, praktikanter, egenföretagare och aktieägare omfattas av skyddet. Skyddet utökas även genom att personkretsen skyddas även innan tillträde och efter att de har lämnat verksamheten.

Den 17 december 2023 utökades omfattningen av lagkravet till att även privata bolag med 50 anställda och uppåt. Tidigare gällde kravet bolag med minst 249 anställda.

## VILKA KRAV STÄLLS PÅ VERKSAMHETSUTÖVARE?

De nya kraven är flera men ett konkret är att företag och organisationer med fler än 50 anställda måste implementera säkra system för rapportering. Inlämnade rapporter ska bekräftas och den rapporterande personen ska få återkoppling och uppföljning av rapporten inom vissa satta tidsfrister.

## QNISTER WHISTLE

Användarvänlig molntjänst för att ta emot och hantera visselblåsningsärenden. Med Qnister Whistle sätter du upp hela organisationen; från att samla in rapporter och säkerställa visselblåsarens anonymitet, till mottagande i ärendehanteringssystemet, fortsatt anonym kommunikation och uppföljning inom organisationen.

Läs mer om [Qnister Whistle](/tjanster/visselblasning) här.

Varför är visselblåsning uppmärksammat just nu?

### Vem är personuppgiftsansvarig för testerna?

Testerna tillhandahålls ibland av arbetsgivaren själv och ibland av externa aktörer som är specialiserade på att genomföra tester. Om ni ska använda er av tester behöver ni komma fram till om ni är personuppgiftsansvarig för all behandling inom ramen för testet eller om det finns ett biträdesförhållande. Om ni anlitar en extern part för att genomföra tester med era kandidater eller era anställda kan det vara så att den externa parten är personuppgiftsansvarig för utförandet av testet. Här finns det många olika scenarier så det gäller för er att säkerställa att ni vet vad som gäller för just er situation.

Utgångspunkten när ni ska reda ut vem som är personuppgiftsansvarig är bland annat hur testerna genomförs och i vilken omfattning ni som arbetsgivare har att bestämma ändamålet och medlen med behandlingen.

### Kan alla genomgå test?

För att över huvud taget få genomföra tester med kandidater i en rekryteringsprocess ska testet vara proportionerligt och inte för ingående i förhållande till den tjänst som ska tillsättas. Tjänster med stort ansvar kan motivera mer ingående tester men de måste alltid vara relevanta för aktuell tjänst.

### Rättslig grund för att genomföra tester

En arbetsgivare bör i standardfallet inte använda sig av den rättsliga grunden samtycke eftersom det finns ett beroendeförhållande mellan den anställde och arbetsgivaren. Reglerna för att använda samtycke innebär också att möjligheten att inte samtycka till behandlingen inte ska få negativa konsekvenser för den registrerade, och bland annat därför är samtycke inte en lämplig rättslig grund vid tester.

Däremot kan det utgöra ett berättigat intresse för arbetsgivaren att genomföra tester på kandidater i rekryteringsprocess eller för redan anställda för att skaffa sig en uppfattning om vilka som kan vara lämpliga till andra tjänster hos arbetsgivaren. För offentliga organisationer kan istället allmänt intresse utgöra den rättsliga grunden för genomförandet av tester.

Har ni funderingar om just er situation? Hör av er till oss för vidare guidning. [Kontakta oss](/kontakt)

Tester i samband med rekrytering? Här är några GDPR-aspekter

Vad vore marknadsföring utan personuppgifter som ålder, kön, köpmönster och spår på internetsidor?

Generellt gäller förstås GDPR på samma sätt som för vilket annat företag som helst. Vi har sammanfattat ett urval punkter som kan bli lite extra aktuella för just dig:

### Hantering av kunders adressregister

När du hanterar dina kunders kundregister vid exempel reklamutskick blir du juridiskt sett din kunds personuppgiftsbiträde vilket medför ett visst ansvar. Se till att det finns ett skriftligt biträdesavtal mellan dig och kunden.

### Insamling av samtycke

Kravet på samtycke enligt GDPR är strängt! Utöver att informationen innan samtycket ska vara extremt tydlig krävs även att du som inhämtar samtycket kan visa att den registrerade verkligen har lämnat sitt samtycke, och inte tvärt om.

Se också till att inte använda förifyllda rutor utan låta personen ifråga själv göra ett aktivt val att samtycka genom att själv, exempelvis, bocka för en kryssruta. Och glöm inte att samtycket ska vara lika lätt att ge som att ta tillbaka.

### Direktmarknadsföring utan samtycke?

Behandling av personuppgifter för direktmarknadsföring kan betraktas som ett berättigat intresse, eller en intresseavvägning, vilket är en av de sex lagliga grunderna för att få behandla personuppgifter. Men hur vet du att ditt berättigade intresse väger tyngre än den registrerades intressen, rättigheter och friheter? För att få reda på det måste du göra en helhetsbedömning i varje enskilt fall.

Eftersom det inte alltid är självklart att du faktiskt har ett berättigat intresse är det viktigt att dokumentera hur bedömningen har gått tillväga, för att du ska kunna visa att du följer ansvarsskyldigheten i GDPR.

Obs!  Du måste alltid upphöra med direktmarknadsföring om den registrerade ber om det.

## I behov av fler tips och trix?

Våra jurister och dataskyddsspecialister hjälper dig att bedöma enskilda fall och guidar dig genom dataskyddsförordningen. [Kontakta oss](/kontakt)

Dataskyddstips för dig som hjälper andra med marknadsföring

När en nyanställd person på företaget skulle få tillgång till sitt e-postkonto upptäckte personen att e-postkontot hon försetts med tillhörde en annan anställd. Den nyanställde kunde därmed ta del av all e-post som skickats och tagits emot av den andra anställde. Personen som felaktigt fick behörighet till e-postkontot anmälde sedermera detta till AEPD. Efter utredningen kunde AEPD konstatera att orsaken till händelsen berodde på att företaget hade konfigurerat e-postkontot felaktigt. AEPD fastställde att företaget inte hade genomfört lämpliga tekniska och organisatoriska säkerhetsåtgärder vilket innebär ett brott mot principen om integritet och konfidentialitet i dataskyddsförordningen.

**Källor:** [https://www.aepd.es/es/documento/ps-00581-2021.pdf](https://www.aepd.es/es/documento/ps-00581-2021.pdf)

Imposición de sanción administrativa debido a configuración inadecuada de una cuenta de correo electrónico

Fine issued following faulty configuration of email account

Sanktion på grund av bristande konfigurering av e-postkonto

Undersökningen är en del av ett EU-projekt samordnat av den Europeiska dataskyddsstyrelsen (EDPB) som syftar till att upprätta ett ramverk för samordnade åtgärder. Frågeformuläret skickades till 80 offentliga organ i EU, inklusive 11 svenska myndigheter, varav enbart 7 valde att besvara frågorna.

Svaren från myndigheterna har sammanställts av IMY i en rapport där det bland annat framgår att flertalet myndigheter har svårt att redogöra för ansvarsfördelningen mellan en personuppgiftsansvarig och ett personuppgiftsbiträde. Rapporten tydliggör även att det föreligger viss tveksamhet vid hanteringen av tredjelandsöverföringar då myndigheterna inte genomgående kan uppge vilka förutsättningar som krävs för att en sådan överföring ska vara tillåten.

Fortsättningsvis belyser rapporten att molntjänstleverantörer generellt sett har otillräcklig kunskap om personuppgifter i allmänhet och personuppgiftsbehandling i synnerhet. Flertalet aktörer uppvisar även brister i att skilja på dataskydd och informationssäkerhet. Mot denna bakgrund ställer IMY höga krav på myndigheter att säkerställa att organisationen besitter goda kunskaper inom juridik såväl som teknik för att kunna göra en adekvat bedömning av leverantörens behandling av personuppgifter.

Är du också osäker på ansvarsfördelningen mellan personuppgiftsansvarig och personuppgiftsbiträde eller överföringar till tredje land? Kontakta oss så hjälper vi dig på vägen.

**Källor:** https://www.imy.se/globalassets/dokument/rapporter/rapport---anvandning-av-molntjanster-inom-offentlig-sektor-.pdf

Rapport belyser att svenska myndigheter har mycket kvar att göra inom dataskydd

Hållbarhet

Granskningen inleddes efter en vårdnadshavares klagomål om den utbredda synligheten av elevernas personuppgifter. Exempelvis kunde alla elever och personal i stadens skolor se samtliga elevers namn, roller, e-postadresser, skolor och årskurser oavsett vilken skola de tillhörde. Den klagande menade på att denna information var synlig för en onödigt stor grupp.

Den personuppgiftsansvarige (staden som tillhandahåller utbildningen) hänvisade till sin skyldighet att enligt lag förse eleverna med utbildning och att kunskaper om digitala hjälpmedel ingår i kunskapsplanen. Vidare hävdade den personuppgiftsansvarige att det är nödvändigt att uppgifterna är synliga för att undvika att meddelanden skickas till fel person. Det framfördes också att elevernas uppgifter måste vara tillgängliga på samtliga skolor för att anordna _elevens val_ och liknande aktiviteter.

Tillsynsmyndigheten slår i sitt beslut fast att behandlingen strider mot GDPR eftersom synligheten och tillgängligheten av uppgifterna är oproportionerligt stor. Myndigheten godtar inte heller argumentet att alla måste ha tillgång till alla uppgifter. Därmed utfärdar tillsynsmyndigheten en reprimand och kräver att den personuppgiftsansvarige ändrar behandlingen så att den blir förenlig med dataskyddsförordningen.

**Källor:** https://finlex.fi/fi/viranomaiset/tsv/2023/20231803

Finland tillsynsmyndighet slår ner på skolors användning av Office 365

Tillsynen, som är den första i sitt slag i Sverige, grundas på ett klagomål från en registrerad från maj 2021 där personuppgiftsbehandlingen på Googles plattform ifrågasätts. Tillsynen ska ta reda på huruvida behandlingen av personuppgifter varit förenlig med GDPR.

I europeiska sammanhang är det inte första gången användningen av Google Workspace är under tillsynsmyndigheternas lupp. [Som vi tidigare rapporterat](https://www.qnister.com/kunskap/danska-tillsynsmyndigheten-granskar-anvandning-av-google-workspace) har den danska tillsynsmyndigheten granskat landets skolors användning av tjänsten.

Östersunds kommun meddelar att man oavsett utfall i IMYs tillsyn kommer att ta fram ett åtgärdspaket för att öka säkerheten gällande personuppgifter i Google Workspace.

**Källor:** https://www.ostersund.se/om-webbplatsen/nyhetsarkiv/nyhetsarkiv/2023-05-10-barn--och-utbildningsnamnden-granskas-av-integritetsskyddsmyndigheten.html

IMY granskar Östersunds användning av Google Workspace

Efter att tillsynsmyndigheten tillfälligt förbjöd användningen av ChatGPT kontaktade OpenAI myndigheten för att visa sin vilja att samarbeta och åtgärda bristerna. Myndigheten upphäver därför det tillfälliga förbudet och ska göra en ny bedömning av plattformen efter att ett antal korrigerande åtgärder implementerats.

Bland annat ska OpenAI tillhandahålla information om den data som hämtas från användarna för att träna algoritmerna, erbjuda möjligheter att avstå från att tredje part använder data i syfte att träna algoritmer samt länka till integritetspolicyn på ett tydligare sätt.

**Källor:** https://gdprhub.eu/index.php?title=Garante_per_la_protezione_dei_dati_personali_(Italy)_-_9874702&mtc=today

Italiens tillsynsmyndighet släpper på förbudet av ChatGPT

Efter att IMY mottagit klagomål från allmänheten rörande kamerabevakning som kommunen inte har tillstånd för, inledde myndigheten en tillsyn av Kungälvs kamerabevakning. Nu står det klart att sex av nio platser som klagomålet avser är tillståndspliktiga samtidigt som tillstånd saknas. På resterande tre platser finns det antingen tillstånd eller utgör platserna sådana ställen där inget tillstånd krävs.

IMY riktar kritik mot kommunstyrelsen för att inget tillstånd sökts trots att allmänheten vistas på de platser som bevakas. Kommunen har framfört att anonymiseringsteknik använts och att inga personer därmed kunnat identifieras. Detta innebär enligt kommunen att kamerabevakningslagen inte är tillämplig. IMY finner dock att upptagningen av originalvideon och att denna skickas till en server för anonymisering omfattas av kamerabevakningslagen.

IMY fastslår att anonymiseringen är en förmildrande omständighet, men att kommunen brutit mot tillståndskravet i kamerabevakningslagen. Kommunen förbjuds därför att kamerabevaka dessa platser utan tillstånd.

**Källor:** https://www.imy.se/globalassets/dokument/beslut/2023/beslut-tillsyn-kungalv.pdf

Kungälvs kommun förbjuds övervaka vissa allmänna platser

[**Trygga din medarbetare med ett system som hanterar visselblåsare på rätt sätt. Upptäck Qnister Whistle här!**](https://www.qnister.com/tjanster/visselblasning)

## VAD ÄR EN VISSELBLÅSARE?

En visselblåsare är en person, oftast en anställd inom en organisation, som rapporterar om oetiska, olagliga eller skadliga aktiviteter som pågår inom organisationen. De kan rapportera missförhållandena antingen internt till överordnade eller externt till medier, myndigheter eller andra organisationer. 

## VARFÖR BLIR NÅGON EN VISSELBLÅSARE?

Motivationen kan variera:

*   Moraliska skäl: Många visselblåsare känner en stark moralisk skyldighet att avslöja felaktigheter.
*   Skydda allmänheten: Vissa avslöjanden kan förhindra skada mot allmänheten eller miljön.
*   Personlig erfarenhet: En visselblåsare kan ha blivit personligen påverkad av missförhållandet.

## RISKER OCH UTMANINGAR FÖR EN VISSELBLÅSARE

Att vara en visselblåsare är sällan enkelt. De ställs ofta inför:

*   Repressalier: Risk för avsked, trakasserier eller annan form av diskriminering.
*   Isolering: Kollegor kan undvika eller marginalisera dem.
*   Juridiska hot: I vissa fall kan visselblåsare riskera rättsliga påföljder.

## STÖD OCH SKYDD FÖR EN VISSELBLÅSARE

Lyckligtvis finns det lagar och regleringar på många håll i världen som syftar till att skydda visselblåsare. Dessa lagar garanterar ofta:

*   Skydd mot repressalier.
*   Anonymitet för de som önskar det.
*   Juridiskt stöd och rättssäkerhet.

[**Trygga miljön för visselblåsaren med Qnister Whistle, vårt visselblåsarsystem som skyddar visselblåsare och förenklar hanteringen för din organisation.**](https://www.qnister.com/tjanster/visselblasning)

Visselblåsare: roll och betydelse

[**Känns visselblåsning komplicerat? Använd ett färdigt system som Qnister Whistle för att göra det enkelt! Klick här för att läsa mer.**](https://www.qnister.com/tjanster/visselblasning)

## **Vad är visselblåsning?**

Visselblåsning innebär att en individ inom en organisation, rapporterar om olagliga eller skadliga aktiviteter. Denna individ, brukar benämnas som visselblåsare.

## **Skydd för visselblåsare**

En visselblåsare har enligt lagstiftningen ett antal skyddande regleringar 

*   Konfidentialitet: Enligt visselblåsarlagen har personer som hanterar visselblåsarärenden tystnadsplikt
*   Skydd mot repressalier: En organisation får inte vidta repressiva åtgärder mot en visselblåsare på grund av deras rapportering.

## **Visselblåsningsförfarandet**

Processen för visselblåsning kan variera i olika organisationer men den innefattar ofta:

*   Rapportering: En individ rapporterar missförhållandet, antingen internt inom organisationen eller till en extern myndighet.
*   Utredning: En granskning av rapporten genomförs för att fastställa dess riktighet.
*   Åtgärd: Baserat på granskningen vidtas nödvändiga åtgärder för att åtgärda missförhållandet.

[**Läs mer om vårt system som hanterar visselblåsningar på ett enklare sätt i din organisation.**](https://www.qnister.com/tjanster/visselblasning)

Visselblåsning: följ med i vår djupdykning

[**Få struktur och följ visselblåsarlagen. Qnister Whistle, ett system för hantering av visseblåsning.**](https://www.qnister.com/tjanster/visselblasning)

## VAD ÄR VISSEBLÅSARLAGEN?

Visselblåsarlagen har sin grund i ett EU-direktiv som har implementerats i svensk lagstiftning. Visselblåsarlagen skyddar personer inom organisationen, exempelvis anställda, som rapporterar om olaglig eller skadlig verksamhet inom deras organisation. Skyddet består av att personen som visselblåser bland annat är skyddad mot repressalier från organisationen. 

## VARFÖR ÄR VISSEBLÅSARLAGEN NÖDVÄNDIG?

Utan visseblåsarlagen skulle många individer tveka att avslöja missförhållanden av rädsla för repressalier, dvs bestraffning från enskild person eller arbetsgivaren.

Visselblåsarlagen reglerar bland annat ett skydd mot repressalier och en tystnadsplikt för den som hanterar ett uppföljningsärende. Genom lagens omfattande skydd, uppmuntras individer att rapportera missförhållanden och därmed bidra till en friskare organisation. Det låter kanske negativt i bolagets intresse men faktum är att friskare organisationer med högt i tak gör bättre resultat på lång sikt.

## VIKTIGA PUNKTER I VISSELBLÅSARLAGEN

*   Konfidentialitet: Enligt visselblåsarlagen har personer som hanterar visselblåsarärenden tystnadsplikt. 
*   Skydd mot repressalier: Enligt visselblåsarlagen får inte arbetsgivare vidta repressalier mot en visselblåsare på grund av deras rapportering.
*   Säkra rapporteringskanaler: Många organisationer ska enligt visselblåsarlagen ha interna rapporteringskanaler på plats för att säkert ta emot och hantera rapporter.

Vill du fördjupa dig i lagen kan du få den i sin helhet här: [Visselblåsarlagen](https://www.riksdagen.se/sv/dokument-lagar/dokument/svensk-forfattningssamling/lag-2021890-om-skydd-for-personer-som_sfs-2021-890)

[**Bli complient idag med Qnister whistle. Läs mer här!**](https://www.qnister.com/tjanster/visselblasning)

Visselblåsarlagen: En Lagom Fullständig Guide

[**Bli en mer ansvarstaganade organisation med ett system, läs mer om Qnister Whistle här**](https://www.qnister.com/tjanster/visselblasning)

## Omfattande Funktioner och Fördelar med en Visselblåsarfunktion

**Säkerhet och Anonymitet:** En visselblåsarfunktion ska säkerställa anonymitet och säkerhet för visselblåsare, vilket är avgörande för att skydda deras identitet och uppmuntra rapportering av oegentligheter. Detta system är kritiskt i en tid då medarbetare ofta tvekar att rapportera missförhållanden på grund av rädsla för repressalier.

**Effektiv Hantering:** Med en funktion/system som tex vårt egna [Qnister Whistle](https://www.qnister.com/tjanster/visselblasning) får organisationer en centraliserad plattform för att effektivt hantera alla aspekter av visselblåsarärendet. Detta inkluderar bedömning av inkommande ärenden, möjlighet till anonym kommunikation med visselblåsare, samt behörighetsfördelning och filutbyte.

**Fördelar med en funktion:** En funktion brukar innehålla väsentliga delar i sitt paket som tex: visselblåsarpolicy, rutindokument, mallar och statistik över inkomna rapporter. Dessa verktyg hjälper organisationer att snabbt komma igång med sitt arbete och gör att företaget kan jobba aktivt med att förbättra klimatet inom bolaget.

**En bra funktion med backup:** System kan vara bra att ha inom företaget och när det väl börjar trilla in ärenden kan tillgång till juridisk expertis vara nödvändigt. Då är mottagarfunktion ett bra tillval som många erbjuder till sitt system. En mottagarfunktion tillhandahåller jurister som gör en första bedömning av ärenden och återkopplar till både organisationen och visselblåsaren.

### Vikten av Visselblåsarfunktionen i Moderna Organisationer

Sedan EU:s visselblåsardirektiv och visselblåsarlagen i Sverige trädde i kraft, har det blivit ett lagkrav för alla typer av verksamheter, inklusive myndigheter, att ha effektiva system för visselblåsning. Dessa lagar syftar till att stärka kontrollen av EU:s regler och säkerställa skydd för personer som rapporterar om överträdelser. Den 17 december, ökade omfattningen av lagen vilket kan betyda att ditt företag måste ha ett system på plats. Har ditt företag 50 eller fler anställda faller du under lagkravet vilket betyder att du behöver ha ett system på plats.

[**Saknar du ett system till ditt företag, kolla in vårt erbjudande här.**](https://www.qnister.com/tjanster/visselblasning)

Visselblåsarfunktion: Ett System för Ansvar och Transparens i Organisationer

Kammarrätten i Stockholm har meddelat dom i fråga om sanktionsavgiftsstorlek i ett fall gällande flertalet överträdelser av dataskyddsförordningen avseende Stockholms stads användning av Skolplattformen, ett IT-system för elevadministration. IMY hade överklagat förvaltningsrättens beslut om sanktionsavgiftens storlek (3 miljoner kr), och yrkade i första hand att IMY:s tidigare beslut om en sanktionsavgift om 4 miljoner kr skulle fastställas.

Överträdelserna utgjordes bland annat av bristande behörighetsstyrning vilket innebar att lärare och föräldrar kunde ta del av information utan att de hade behov av informationen. Uppgifterna inkluderade känsliga personuppgifter och andra särskilt skyddsvärda uppgifter, såsom skyddade personuppgifter och elevomdömen. Överträdelserna bedömdes vara av hög svårighetsgrad och hade vidare varit relativt långvariga.

Kammarrätten prövade förekomsten av förmildrande och försvårande omständigheter och fann, i likhet med IMY, att avsaknaden av tidigare överträdelser inte anses vara en förmildrande omständighet som ska påverka storleken av sanktionsavgiften i detta fall. Inte heller nämndens samarbete med IMY ansågs vara en förmildrande omständighet i detta fall, med anledning av att samarbetet inte inneburit en minskning av den uppkomna skadan. Vidare fann kammarrätten att behandlingens karaktär och uppgifternas skyddsvärde innebär höga krav på systemets säkerhet. Att det krävdes tekniskt kunnande för att utnyttja bristerna i systemet bedömdes därför inte påverka graden av ansvar som nämnden hade i egenskap av personuppgiftsansvarig. Mot denna bakgrund beslutade kammarrätten att de aktuella överträdelserna motiverade en sanktionsavgift om i vart fall 4 miljoner kr, varför IMY:s beslut fastställdes.

**Källor:** [Kammarrätten i Stockholms dom den 2022-09-16 i mål nr 7837-21](https://techlaw.se/wp-content/uploads/2022/09/KR7837-21.pdf)

El Tribunal de Casación confirma la decisión de la Autoridad de Supervisión de Suecia

Court of Appeals upholds the decision of the Swedish Supervisory Authority

Kammarrätten fastställer IMY:s beslut mot Stockholms stad

Granskningen påbörjas  efter att ett klagomål rörande Nobinas personuppgiftsbehandling mottagits. IMY:s granskning avser personuppgiftsbehandlingens förenlighet med de grundläggande principerna i dataskyddsförordningen, personuppgiftsbehandlingens rättsliga grund samt Nobinas uppfyllande av informationsskyldigheten gentemot de registrerade. IMY har utifrån dessa punkter formulerat ett antal frågor som Nobina ska besvara i egenskap av personuppgiftsansvarig för behandlingen. Den personuppgiftsansvarige ska enligt frågorna exempelvis resonera kring huruvida ändamålen med behandlingen hade kunnat nås med mindre ingripande åtgärder.

**Källor:** [https://www.imy.se/tillsyner/nobina-europe-ab/](https://www.imy.se/tillsyner/nobina-europe-ab/)

La Autoridad Sueca de Supervisión (IMY) ha iniciado una inspección sobre el tratamiento de los datos personales usado por Nobina en el monitoreo de los conductores de autobús 

Swedish Supervisory Authority initiates review of Nobina’s monitoring of bus drivers 

IMY inleder granskning av Nobinas övervakning av busschaufförer 

Den 13 september publicerades beslut efter Integritetsskyddsmyndighetens (IMY) granskning av företaget Verifiera. Verifieras verksamhet går ut på att tillhandahålla abonnemangstjänster för en digital rättsdatabas som bland annat innehåller avgöranden i mål om tvångsvård på grund av psykisk ohälsa eller missbruk. Verifiera har ett s.k. frivilligt utgivningsbevis, och en av frågorna vid granskningen har varit huruvida personuppgiftsbehandlingen av denna anledning omfattas av grundlagsskydd.

Publicering av material på internet faller som huvudregel utanför Yttrandefrihetsgrundlagens (YGL) ändamål, vilket innebär att dataskyddsförordningen vanligtvis är tillämplig. Ett undantag från detta gäller genom möjligheten att ansöka om ett utgivningsbevis för databaser, vilket innebär ett s.k. frivilligt grundlagsskydd (1 kap. 4 § YGL). Genom ett sådant utgivningsbevis ges ett skydd för yttranden som sker genom att information tillhandahålls ur en databas. I ett sådant fall är dataskyddsförordningen inte tillämplig vid personuppgiftshanteringen i den utsträckning som det skulle strida emot YGL (se 1 kap. 7 § dataskyddslagen).

IMY prövade om Verifieras uppgiftssamling träffas av undantaget i YGL (1 kap. 20 § YGL) som innebär att bestämmelserna i YGL inte hindrar att det i lag meddelas föreskrifter om förbud mot offentliggörande av personuppgifter om bland annat hälsa. Enligt IMY ska en helhetsbedömning av frågan göras utifrån bland annat syftet med uppgiftssamlingen, typen av uppgifter som tillhandahålls och vilka sök- och sammanställningsfunktioner som finns.

IMY bedömde att Verifieras uppgiftssamling rörde en omfattande insamling av rättsliga avgöranden som innehåller mycket integritetskänslig information. Vidare beskrevs uppgiftsbehandlingen kunna leda till kännbara konsekvenser för de registrerade eftersom ett av syftena med uppgiftssamlingen var användning vid bakgrundskontroller, såsom rekryteringar. Inga åtgärder hade vidtagits av Verifiera för att exkludera, maska eller begränsa möjligheten att söka efter uppgifter som kan hänföras till fysiska personer. IMY framhöll även att Verifieras söktjänst ligger långt ifrån de värden som grundlagarna syftar till att skydda.

IMY kom i bedömningen fram till att undantaget i YGL (1 kap. 20 § YGL) är tillämpligt på Verifieras offentliggörande av domar och beslut i psykiatri- och LVM-mål och behandlingen omfattas därmed inte av grundlagsskydd.

Med anledning av att uppgiftssamlingen inte bedömdes omfattas av grundlagsskydd förklarades dataskyddsförordningen vara tillämplig på Verifieras behandling av personuppgifter i den del som avser offentliggörande av domar och beslut i psykiatri- och LVM-mål. IMY konstaterade vidare att behandlingen av känsliga personuppgifter har stått i strid med artikel 9 dataskyddsförordningen. IMY utfärdade därför en reprimand och förläggande om att Verifiera ska vidta åtgärder så att det inte längre är möjligt genom sökning på en person att ta del av uppgift om den eftersökta personen förekommer i dom eller beslut i psykiatri- och LVM-mål.

**Källor:** [Beslut efter tillsyn enligt dataskyddsförordningen – Verifiera AB (imy.se)](https://www.imy.se/globalassets/dokument/beslut/2022/beslut-tillsyn-verifiera.pdf)

La Autoridad Sueca de Supervisión amonesta a y emite una orden contra Verifiera

Swedish Supervisory Authority issues reprimand and order to Verifiera

IMY utfärdar reprimand och föreläggande mot Verifiera

Tidigare har, bland andra, den österrikiska tillsynsmyndigheten underkänt användningen av Google Analytics. Nu riskerar även det italienska företaget Caffeina Media att Google Analytics förbjuds att användas på deras hemsida. Efter ett klagomål från intresseorganisationen NOYB (None of Your Business) har den italienska tillsynsmyndigheten prövat och funnit att hemsidebesökarnas personuppgifter överförs till USA utan tillräckliga kompletterande skyddsåtgärder vid sidan av överföringsmekanismen EU-kommissionens standardavtalsklausuler (SCC). Myndigheten fann att amerikanska rättsvårdande myndigheter kan bereda sig åtkomst till personuppgifterna utan sådana skyddsåtgärder. Den italienska tillsynsmyndigheten har givit företaget Caffeina Media S.r.l. 90 dagar på sig att göra behandlingen laglig enligt GDPR, annars kommer användningen av Google Analytics att förbjudas.

**Källor:** [Italian SA bans use of Google Analytics: no adequate safeguards for data transfers from Caffeina Media S.r.l. to the U.S. | European Data Protection Board (europa.eu)](https://edpb.europa.eu/news/national-news/2022/italian-sa-bans-use-google-analytics-no-adequate-safeguards-data-transfers_en)

La autoridad de la supervisión competente de Italia prohíbe el uso de Google Analytics

Italian supervisory authority prohibits use of Google Analytics

Italienska tillsynsmyndigheten förbjuder användandet av Google Analytics

Genom att samla in bilder från webbplatser, sociala medier och videos har företaget Clearview AI skapat en bildbank som de marknadsför som en sökmotor för bilder. Med hjälp av ansiktsigenkänning kan sökmotorn hitta en person baserat på deras fotografi och en ”biometrisk mall”, det vill säga en digital representation av en persons fysiska egenskaper (ansiktet i detta fall). Majoriteten av registrerade som finns i bildbanken är omedvetna om detta och om möjligheten att identifiera dem med hjälp av den biometriska mallen. Enligt CNIL saknar behandlingen laglig grund då företaget inte inhämtat samtycke från de registrerade och inte heller kan anses ha ett berättigat intresse för behandlingen. CNIL lägger särskild vikt vid att behandlingen utgör mycket allvarliga risker för de registrerades grundläggande rättigheter.

Efter att Clearview AI inte upphört med behandlingen sedan CNIL uppmanat dem att göra det har CNIL nu beslutat att bötfälla företaget med 20 miljoner euro. CNIL meddelade också att Clearview AI måste upphöra med all olaglig insamling och behandling av franska medborgares personuppgifter. Företaget får två månader på sig att radera alla personuppgifter som redan samlats in och för varje dag som passerar dessa två månader utökas sanktionsavgiften med 100 000 euro.

**Källor:** [Facial recognition: 20 million euros penalty against CLEARVIEW AI | CNIL](https://www.cnil.fr/en/facial-recognition-20-million-euros-penalty-against-clearview-ai)

La autoridad francesa «Commission Nationale de l'Informatique et des Libertés» (CNIL) ha impuesto una sanción administrativa de 20 millones de euros contra la empresa Clearview AI

CNIL has issued a penalty fine of 20 million euros against Clearview AI

CNIL har utfärdat en sanktionsavgift på 20 miljoner euro mot Clearview AI 

Det nya ramverket ska bland annat innehålla krav på att signalspaningsverksamhet endast ska bedrivas i syfte att uppnå fastställda nationella säkerhetsmål och att den endast ska bedrivas när det är nödvändigt för att främja ett bekräftat och prioriterat underrättelsearbete. Dessa åtaganden har ännu inte godtagits som tillräckliga av EU-kommissionen som måste beakta huruvida åtgärderna löser den problematik som ledde till ogiltigförklarandet av Privacy Shield i samband med Schrems II. EU-kommissionen ska upprätta ett utkast till beslut om tillräcklighet och sedan inleda ett antagandeförfarande.

Biden signs an Executive Order to enable data sharing between the EU and the US

Biden undertecknar en presidentorder som ska möjliggöra datadelning mellan EU och USA

Under år 2018 och 2019 drabbades psykoterapikliniken Vastaamo av dataintrång som resulterade i att cirka 30 000 patienters patientjournaler läcktes. Dataintrånget rapporterades till den finska tillsynsmyndigheten först år 2020, vilket sedan mynnade ut i en sanktionsavgift på 608 000 euro. Företaget hade vidtagit knapphändiga säkerhetsåtgärder, inte rapporterat dataintrånget till tillsynsmyndigheten och i övrigt saknat nödvändig dokumentation. Tillsynsmyndigheten ansåg därför att företaget försummat sina skyldigheter enligt GDPR.

Under perioden efter att dataintrånget inträffade (men innan intrånget hade rapporterats till tillsynsmyndigheten) hade en investerare förvärvat en majoritetsandel i Vastaamo. Då dataintrånget slutligen rapporterades och intrångets allvar avslöjades för allmänheten krävde investeraren att förvärvet skulle hävas. Investeraren menade att underlåtenheten att informera om dataintrånget innebar bristande avslöjanden under due diligence-processen. Förvärvet hävdes sedermera.

**Källor:** [Administrative fine imposed on psychotherapy centre Vastaamo for data protection violations | Data Protection Ombudsman’s Office (tietosuoja.fi)](https://tietosuoja.fi/en/-/administrative-fine-imposed-on-psychotherapy-centre-vastaamo-for-data-protection-violations)

La protección y la seguridad de los datos personales deben tenerse en cuenta durante el proceso de diligencia debida

Data protection and data security should be considered during due diligence

Dataskydd och datasäkerhet bör iakttas i samband med due diligence

Integritetsskyddsmyndigheten (IMY) ska nu granska Vklass hantering av personuppgiftsincidenten i läroplattformen, utifrån Vklass roll som personuppgiftsbiträde. Frågor som riktas till Vklass är centrerade kring GDPR-rollerna (personuppgiftsansvarig respektive personuppgiftsbiträde), personuppgiftsincidenten och säkerhetsåtgärder.

**Källor:** [tillsynsskrivelse-vklass.pdf (imy.se)](https://www.imy.se/globalassets/dokument/ovrigt/tillsynsskrivelse-vklass.pdf)

La agencia sueca IMY inicia la supervisión de Vklass tras recibir unos 60 informes

IMY begins supervision of Vklass after about 60 reports

IMY inleder tillsyn av Vklass efter ett 60-tal anmälningar

Kakor används på webbplatser bland annat för att samla statistik och få åtkomst till information som finns lagrad på exempelvis en användares mobil eller dator. Uppgifter får lagras eller hämtas förutsatt att användaren ger sitt samtycke och får tillgång till tydlig och fullständig information om behandlingens ändamål. PTS har valt att inledningsvis granska Swedbanks, Folkhälsomyndighetens, Konsumentverkets och Tele2:s användning av kakor, men påpekar att granskning av ytterligare organisationer kommer att initieras framöver. Inledningsvis har PTS begärt in information från tillsynsobjekten som därefter ska granskas.

**Källa:** [PTS granskar om webbplatsinnehavare följer kakreglerna | PTS](https://www.pts.se/sv/nyheter/internet/2022/pts-granskar-om-webbplatsinnehavare-foljer-kakreglerna/)

El organismo Correos y Telecomunicaciones de Suecia (PTS) está iniciando una investigación del cumplimiento de la normativa del uso de las cookies

PTS is starting a review of compliance with cookie-rules

PTS inleder granskning av efterlevnaden av kakregler

I maj 2022 konstaterade Integritetsskyddsmyndigheten (IMY) att Klarna behandlat personuppgifter i strid med GDPR efter att bolaget misslyckats att bemöta en registrerads begäran om att utöva sina rättigheter. Den registrerade i fråga begärde att ta del av vilka mottagare vederbörandes uppgifter lämnas ut till, varpå Klarna inte kunde tillmötesgå denna begäran.

Klarna menade på att de har lämnat ut uppgifter till den registrerade gällande vilka kategorier av mottagare som personuppgifter delats till och att det banken inte redogjort för är vilka individuella mottagare det rör sig om. Förvaltningsrätten framför däremot att ”personuppgiftsbehandlaren har en skyldighet att till bästa förmåga tillgodose behovet hos den enskilde”. Således avslår förvaltningsrätten Klarnas överklagande eftersom det inte saknats förmåga att lämna ut den begärda informationen till den registrerade.

**Källa:** https://gdprhub.eu/index.php?title=F%C3%B6rvaltningsr%C3%A4tten_-_M%C3%A5l_nr_11453-22

Förvaltningsrätten avslår Klarnas överklagande

En registrerad uppmärksammade detta varefter en anmälan till den kroatiska dataskyddsmyndigheten lämnades in. Personuppgiftsansvarig (ägaren av lägenhetshuset) hävdade att övervakningssystemet enbart kontrolleras av dem själva och att ingen lagring av övervakningsfilmer ägt rum. Emellertid konstaterade landets tillsynsmyndighet det inte funnits någon laglig grund för att övervaka de offentliga områdena. Därmed beordrade myndigheten att kamerornas placering ska ändras inom 15 dagar så att inga allmänna ytor filmas framgent.

**Källa:** https://gdprhub.eu/index.php?title=AZOP_(Croatia)_-_Decision_of_4_July_2022&mtc=today

Kroatiens tillsynsmyndighet kräver att placeringen av övervakningskameror ändras

Efter flera turer har Irlands dataskyddsmyndighet (DPC) offentliggjort sitt beslut gällande två fall där Meta Irelands personuppgiftsbehandling varit under granskning. Bristerna i behandlingen av personuppgifter har gällt såväl Facebook som Instagram.

Tillsynsmyndighetens första utkast till beslut skickades till flertalet liknande europeiska myndigheter på remiss och skickades så småningom även till den europeiska dataskyddsstyrelsen (EDPB). Dessa kunde konstatera att det ursprungliga förslaget var för milt och att sanktionsavgiften måste höjas.

Sanktionsavgiften slutade på €210 miljoner för Facebook respektive €180 miljoner för Instagram. Sanktionen grundar sig på att Meta använt sig av avtal som laglig grund (deras allmänna villkor) för riktad marknadsföring, medan EDPB menar att samtycke bör vara laglig grund för sådan marknadsföring. DPC meddelar också att Meta Ireland måste åtgärda dessa brister och efterleva GDPR inom tre månader.

**Källa:** https://www.dataprotection.ie/en/news-media/data-protection-commission-announces-conclusion-two-inquiries-meta-ireland

Irlands tillsynsmyndighet höjer sanktioner mot Meta

Fingeravtrycken har samlats in och använts för ett passerings- och stämplingssystem för bolagets medarbetare. Detta uppmärksammades av ett fackförbund som gjorde en anmälan till landets tillsynsmyndighet, varpå en granskning av gymkedjan inleddes.

Sportitalia framförde att medarbetarna haft möjlighet att avstå från det biometriska passeringssystemet och istället använda sig av den traditionella metoden med bricka. Däremot menade den italienska dataskyddsmyndigheten att möjligheten att återkalla sitt samtycke och byta till tagg-systemet inte varit fullständig i praktiken. Fortsättningsvis fastslog myndigheten att informationen kring bolagets behandling av biometriska uppgifter varit bristfällig då denna endast behandlats i ett kort stycke i integritetspolicyn.

Mot bakgrund av den olovliga hanteringen av känsliga personuppgifter, otillräcklig information kring behandlingen samt bristernas långa varaktighet (nästan fyra år) beslutade den italienska dataskyddsmyndigheten att utfärda en sanktion om €20 000.

**Källa:** https://gdprhub.eu/index.php?title=Garante_per_la_protezione_dei_dati_personali_(Italy)_-_9832838&mtc=today

Italiens dataskyddsmyndighet utfärdar sanktion efter otillåten användning av fingeravtryckssystem

[**Införskaffa ett visselblåsarsystem idag och börja stärka ditt varumärke**](https://www.qnister.com/tjanster/visselblasning)

## FÖREBYGGA MISSFÖRHÅLLANDEN

Genom er visselblåsarfunktion kan ni få in information om oegentligheter i ett tidigt stadium. På så sätt kan åtgärder snabbt sättas in för att förhindra att dessa missförhållanden sprider sig vidare i organisationen. En visselblåsarfunktion kan därmed leda till färre och mindre omfattande missförhållanden genom ökad transparens och lättillgängliga rapporteringskanaler.

## STÄRK ERT VARUMÄRKE

Ett aktivt arbete med visselblåsning kan stärka ert varumärke där ni visar för såväl befintliga som potentiella medarbetare och kunder att ni är en ansvarsfull arbetsgivare. Idag ställer många bolag höga krav på sina underleverantörer och då kan en visselblåsarfunktion vara ett måste för att behålla och vinna affärer.

[Har du läst om Qnister Whistle? Läs här.](https://www.qnister.com/tjanster/visselblasning)

## MINSKA AFFÄRSRISKEN

En visselblåsarfunktion kan även minska er affärsrisk. Om organisationen saknar en kanal för visselblåsarärenden ökar sannolikheten drastiskt att anställda istället vänder sig till media för att dela med sig av information om missförhållanden. Använder man en naturlig kanal för rapportering där man kan känna sig trygg går detta förekomma.

## STÄRK ER HÅLLBARHETSPROFIL

Sociala frågor är en viktig del i hållbarhetsarbetet och där kan visselblåsning spela en central roll för att förbättra arbetsmiljön på företaget. En säker kanal för visselblåsningsärenden kan även ses i ljuset av FN:s globala mål där en visselblåsarfunktion exempelvis kan bidra till att mål 8 gällande anständiga arbetsvillkor kan uppfyllas.

Varför ska man jobba aktivt med visselblåsning?

I februari 2021 fastslog Integritetsmyndigheten (IMY) att Polismyndigheten behandlat personuppgifter i strid med brottsdatalagen varpå en sanktionsavgift om 2 500 000 kronor utfärdades. Bakgrunden till IMY:s beslut var Polisens otillåtna användning av applikationen Clearview AI. Emellertid har IMY:s beslut om sanktionsavgift nu upphävts efter att Polisens överklagan bifallits av Kammarrätten i Stockholms län.

Kammarrättens beslut bottnar i att bristerna i dataskyddssäkerhet förknippade med användandet av Clearview AI härstammar från enskilda anställdas egna handlingar snarare än brister i Polismyndighetens rutiner. Med andra ord anser rätten att Polisens framtagna riktlinjer inom IT-säkerhet, fastställda processer vid nya personuppgiftsbehandlingar och genomförda utbildningar inom dataskydd visar att myndighetens organisatoriska åtgärder har varit tillräckliga. Således anser Kammarrätten att det IMY fört fram inte räcker för att utfärda en sanktionsavgift mot Polisen, vilken därmed upphävs.

**Källor:** https://www.imy.se/tillsyner/polismyndigheten/

Kammarrätten upphäver IMY:s beslut om sanktionsavgift

Under september tidigare i år beslutade Datatilsynet att Google Workspaces GDPR-förenlighet måste säkerställas. Sedan dess har totalt 50 kommuner samlat in underlag som ska bevisa att användandet av Google Workspace i dansk undervisning kan ske lagligt, vilket nu har överlämnats för granskning. Myndighetens undersökning ämnar slå fast huruvida ytterligare åtgärder krävs innan användandet av Chromebooks kan ske i enlighet med GDPR. Under tiden utredningen pågår förlängs upphävandet av förbudet att använda Google Workspace, vilket innebär att verktyget kan fortsätta användas i dansk undervisning till dess att myndighetens granskning är avslutad. Danmarks datatillsynsmyndighet beräknar vara klara med kontrollen av underlaget under 2022.

**Källor:** https://www.datatilsynet.dk/presse-og-nyheder/nyhedsarkiv/2022/nov/datatilsynet-undersoeger-kommuners-materiale-om-google-workspace

Den danska tillsynsmyndigheten granskar kommuners användning av Google Workspace

Enligt HBDI innebär molnbaserade funktioner för att öka användarens bekvämlighet, såsom intelligenta skrivstöd och automatisk ifyllnad av uppgifter, en potentiell risk eftersom denna data ofta överförs till externa servrar utan rättslig grund. Myndigheten varnar därmed för funktionaliteternas baksida där till och med lösenord kan överföras till tredje part om inte webbplatsägaren aktivt förhindrat detta. Från myndighetshåll bekräftas det även att det finns flertalet kända fall där uppdateringar har föranlett aktiveringar av funktioner som i sin tur lett till överföringar av personuppgifter. Mot denna bakgrund råder HBDI tyska företag och organisationer att se över inställningarna på de hemsidor som används regelbundet av medarbetare för att kunna göra justeringar i dessa vid behov. HBDI avslutar sin varning med en uppmaning att ta hjälp av en kontaktperson inom antingen informationssäkerhet eller IT-säkerhet på sitt företag vid osäkerhet kring vad specifika inställningar och funktioner innebär för behandlingen av personuppgifter.

**Källor:** https://datenschutz.hessen.de/

 Tysk tillsynsmyndighet varnar för olagliga dataöverföringar

Därmed anses det även vara en känslig personuppgift som ska omfattas av skyddet i dataskyddsförordningens artikel 9.1. I det rättsliga ställningstagandet hänvisar även IMY sitt beslut till praxis från EU-domstolen.

**Källa:** https://www.imy.se/globalassets/dokument/rattsligt-stallningstagande/imyrs-2022-3-en-uppgift-om-forvaltarskap-enligt-11-kap.-foraldrabalken-ar-en-kanslig-personuppgift.pdf

IMY fastslår att förvaltarskap är en känslig personuppgift

EDPB slår fast att personuppgiftsansvariga inte sällan erbjuder sina användare olika alternativ i sina ”cookiebanderoller” där samtyckesrutorna är förikryssade. EDPB:s arbetsgrupp konstaterar att sådana förikryssade rutor för inhämtande av samtycke inte är godtagbara enligt skäl 32 i GDPR.

Dessutom belyser rapporten att personuppgiftsansvariga benämner cookies som ”nödvändiga” trots att dessa de facto inte är avgörande för webbplatsens funktionalitet. Arbetsgruppen understryker dock de praktiska svårigheterna i att göra en omfattande klassificering av cookies som ”nödvändiga” med tanke på att cookies är ständigt föränderliga. Således förhindrar detta ett framtagande av en generell och pålitlig lista över nödvändiga cookies. Rapporten diskuterar även potentiella lösningar för enskilda bolag där digitala verktyg kan användas för att skanna av hemsidan och upprätta en lista över de cookies som används på webbplatsen. Arbetsgruppen menar att en sådan lista kan ligga till grund för bolaget att bevisa vilka cookies som kan motiveras vara nödvändiga.

**Källor:** https://edpb.europa.eu/system/files/2023-01/edpb_20230118_report_cookie_banner_taskforce_en.pdf

Un nuevo informe arroja luz sobre las deficiencias de los banners de las cookies

New report shines light on deficient cookie banners

EDPB belyser brister i hanteringen av cookies i ny rapport

Domstolen poängterar vikten av att en DSO ska kunna utföra sina arbetsuppgifter självständigt och att vederbörande därmed inte ska delta i några beslut om organisationens medel och ändamål för dess personuppgiftsbehandlingar.

**Källor:** https://edpb.europa.eu/system/files/2023-01/edpb_20230118_report_cookie_banner_taskforce_en.pdf

El TJUE se pronuncia sobre el conflicto de intereses de los DPD

CJEU declares ruling on conflict of interests for DPOs

EU-domstolen tydliggör vad som bedöms vara intressekonflikt för dataskyddsombud

Under 2022 har IMY ställt om till att vara mer klagomålsbaserade i sin verksamhet och sina tillsyner. Därmed har IMY utrett fler klagomål av de cirka 2400 klagomål som inkommit under fjolåret än tidigare. I samma anda har myndigheten avslutat tre gånger så många tillsynsärenden under 2022 jämfört med 2021. Totalt utfärdade IMY sanktioner om 9 720 000 kronor under 2022.

I årsredovisningen betonar generaldirektör Lena Lindgren Schelin även att dataskydd och cybersäkerhet går hand i hand och att behovet av denna symbios förstärkts med tanke på det förändrade säkerhetsläget i vår omvärld. Således menar myndigheten att fler behöver dra sitt strå till dataskyddsstacken för att i längden säkerställa samhällets robusthet.

I generaldirektörens förord beskrivs en ambition att accelerera IMY:s arbete ytterligare med tanke på det permanent ökade ramanslaget myndigheten getts med start 2023. Därmed hoppas Lindgren Schelin bland annat att IMY ska fortsätta korta ner handläggningstiderna och effektivisera sitt arbetssätt vidare.

**Källor:** https://www.imy.se/globalassets/dokument/arsredovisningar/imy-arsredovisning-2022.pdf

Se triplica el número de supervisiones finalizadas en 2022

Threefold increase in the number of concluded supervisions in 2022

 IMY avslutade tre gånger fler tillsynsärenden 2022 som året innan

IMY:s rapport bygger på en enkätundersökning där dataskyddsombud i nästan 800 verksamheter deltagit. Rapporten pekar på att hälften av de svarande dataskyddsombuden menar att de inte blir involverade i god tid. Vidare visar undersökningen att vart fjärde dataskyddsombud inte har avsatt särskild tid för dataskyddsfrågor och att hälften av de som har avsatt tid upplever att tiden inte räcker till. I rapporten framhåller IMY betydelsen av att ge dataskyddsombud rätt resurser, såsom tillräcklig tid och information.

**Källor:** https://www.imy.se/nyheter/dataskyddsombud-varnar-for-brister-i-arbetet-med-gdpr/

El informe de la IMY muestra un tratamiento inadecuado por parte de los DPD

IMY report shows inadequate treatment of DPOs

 Ny rapport visar på brister i organisationers hantering av dataskyddsombud

Bakgrunden till den utfärdade reprimanden är att If skickat känsliga personuppgifter över mail utan att tillhandahålla en tillräcklig säkerhetsnivå för detta. If hade använt sig av kryptering, men endast från If:s e-postserver till den klagandes operatörs dito. Med andra ord var inte meddelandet krypterat hela vägen från avsändare till mottagare (så kallad end-to-end-kryptering).

Efter incidenten har If förbättrat säkerheten där de har utvecklat och lanserat en ny kommunikationslösning till bolagets kunder. Således kan försäkringsbolagets kunder ta del av meddelanden under ”Mina sidor” som kräver inloggning med BankID.

Mot bakgrund av att If vidtagit åtgärder för att förbättra säkerheten utfärdar IMY ”bara” en reprimand mot bolaget.

**Källor:** https://www.imy.se/tillsyner/if-skadeforsakring-ab/

Una compañía de seguros envió datos confidenciales por correo electrónico que no estaba protegido

Insurance company sent sensitive data via unprotected e-mail

Känsliga personuppgifter skickades i oskyddad e-post

Klagomålen uppmärksammar bland annat att Moderaterna inte tillhandahöll tillräcklig information om hur personuppgifter användes under valkampanjen och att uppgifterna lagrades i USA. IMY ska nu utreda om partiet haft laglig grund för insamlingen av personuppgifter och om klagandena har informerats tillräckligt om insamlingen, lagringen och visningen av deras personuppgifter.

Myndigheten ska även undersöka huruvida partiet i egen regi eller i egenskap av personuppgiftsbiträde har överfört personuppgifter till USA. Om så har varit fallet ska IMY även utreda om detta skett enligt bestämmelserna för tredjelandsöverföringar.

Fortsättningsvis finns det ett undantag i den svenska lagen som kompletterar dataskyddsförordningen som gör att vissa bestämmelser i GDPR kan frångås med hänsyn till yttrande- och informationsfriheten. Detta undantag inkluderar behandlingar som sker för journalistiska ändamål. IMY ska därför även bringa klarhet i om Moderaterna haft ett journalistiskt ändamål med hela eller delar av sin personuppgiftsbehandling för att tillhandahålla videohälsningarna.

**Källor:** https://www.imy.se/nyheter/imy-inleder-tillsyn-av-moderaterna/

Comentarios del CPED sobre el proyecto de decisión sobre el carácter adecuado de la Comisión Europea

EDPB comments on the European Commission’s draft adequacy decision

IMY inleder tillsyn av Moderaterna

Mot bakgrund av att hälsouppgifter går under kategorin känsliga personuppgifter kräver dataskyddsförordningen att dessa hanteras med säkerhetsåtgärder och försiktighet, vilket IMY nu ska undersöka om så varit fallet i Region Uppsala.

Fotnot: Integritetsskyddsmyndigheten utfärdade en administrativ sanktionsavgift om 1,9 miljoner kronor i januari 2022 efter att Region Uppsala inte vidtagit tillräckliga säkerhetsåtgärder vid hanteringen av känsliga personuppgifter i e-post.

**Källor:** https://www.imy.se/nyheter/imy-granskar-hantering-av-e-post-inom-region-uppsala/

La IMY inicia una inspección de la Región de Uppsala

IMY initiates a supervision of Region Uppsala

IMY inleder en granskning av Region Uppsala

I samband med att Region Dalarna har skickat ut kallelser till patientbesök har det också avslöjats vilken vårdinrättning patienten ska besöka. Försändelserna hade skickats genom kuvert med dubbla fönster där det ena avslöjat vårdinrättningen. Därmed fastslår IMY att känsliga personuppgifter obehörigen röjts för exempelvis den som hanterar post, den som bor med mottagaren samt den som fått brevet levererat till sig på fel adress. Patienternas känsliga personuppgifter har således inte skyddats i tillräckligt stor utsträckning. Mot denna bakgrund utfärdar IMY en sanktionsavgift om 200 000 kronor mot regionen.

**Källor:** https://www.imy.se/nyheter/sanktionsavgift-mot-region-dalarna/

La IMY sanciona a la Región de Dalarna con una multa administrativa

IMY issues an administrative fine against Region Dalarna

IMY utfärdar sanktion mot Region Dalarna

I augusti 2020 fick en obehörig person tillgång till den klagandes konto på streamingtjänsten SF Anytime. Den obehöriga personen hyrde en film och således debiterades den klagande. När den klagande uppmärksammade detta vände sig vederbörande till SF Anytime för att ta del av den obehöriga personens IP-adress för att bifoga denna i sin polisanmälan. SF Anytime nekade den klagandes förfrågan, varpå den klagande begärde ut samtliga personuppgifter som den personuppgiftsansvariga (SF Anytime) har om honom. SF Anytime hänvisade till ”mina sidor” på hemsidan där en fil med samtliga personuppgifter, inklusive den efterfrågade IP-adressen, kan laddas ner. Däremot hävdade den klagande att den nedladdade filen inte innehåller all information som företaget har om honom.

Beträffande den obehöriges intrång framhäver SF Anytime att inga intrång ägt rum i bolagets IT-miljöer vid tidpunkten i fråga. Samtidigt understryker bolaget att kunden är ansvarig för att skydda sina lösenordsuppgifter enligt de allmänna villkoren och att det mesta pekar på att den obehörige tagit sig in på kontot genom tillgång till den klagandes inloggningsuppgifter.

IMY bedömer att det inte finns någon anledning att ifrågasätta SF Anytimes redogörelse för avsaknaden av intrång på hemsidan och godtar bolagets hänvisning till ”mina sidor” för den registrerade att utöva sina rättigheter om rätt till tillgång eftersom den klagande kunde ta del av samtliga personuppgifter i den nedladdade filen. Således sätter IMY punkt för tillsynen och avslutar fallet.

**Källor:** https://edpb.europa.eu/system/files/2023-02/se_2022-11_decision_public_redacted.pdf

IMY states that the data subjects’ right of access can be practiced under “my profile”

IMY fastslår att de registrerades rätt till tillgång kan ske på ”mina sidor”

Bland annat förtydligar EDPB den personuppgiftsansvariges ansvar när en data exportör också agerar personuppgiftsbiträde. Fortsättningsvis beskriver EDPB betydelsen av en ”data importör i tredje land”. Dessutom lämnar styrelsen nya riktlinjer gällande certifiering som verktyg för överföringar samt om vilseledande gränssnitt på sociala medier.

**Källor:** https://edpb.europa.eu/news/news/2023/edpb-publishes-three-guidelines-following-public-consultation_en

El CEPD publica tres directrices tras realizar una consulta pública

EDPB publishes three guidelines after public consultation

EDPB publicerar tre nya riktlinjer efter konsultation med allmänheten

[**Få hjälp att välja rätt verktyg till ditt företag med vår Checklista, klicka här för att gå dit!**](https://www.qnister.com/qnister-whistle-checklist)

## VAD ÄR SYFTET MED DEN NYA VISSELBLÅSARLAGEN

Den nya visselblåsarlagen har sin grund i ett EU-direktiv som har implementerats i svensk lagstiftning. Syftet med visselblåsarlagen är bland annat att uppmuntra fler att rapportera om missförhållanden genom att erbjuda ett starkt skydd mot repressalier för arbetstagare och andra personer som slår larm.  

## VAD ÄR EN VISSELBLÅSNING ENLIGT VISSELBLÅSARLAGEN?

Visselblåsning innebär att en person, ofta anställd inom ett företag, organisation eller myndighet slår larm om missförhållanden av allmänintresse. Informationen om missförhållandet ska ha förvärvats i ett arbetsrelaterat sammanhang. Det kan handla om upptäckter om ekonomisk brottslighet, utnyttjande av ställning, korruption, muta, miljöbrott eller liknande. Överträdelser av lagstiftning som har sin grund i EU-rätt, exempelvis offentlig upphandling, omfattas regelmässigt av lagen.

## VAD INNEBÄR LAGENS SKYDD OCH VILKA OMFATTAS AV DET?

Visselblåsarlagen skyddar rapporterande personer (visselblåsare) mot repressalier till följd av rapportering. Det är förbjudet för en verksamhetsutövare att vidta någon form av åtgärd som kan upplevas som en bestraffning eller nackdel till följd av en rapportering av ett missförhållande. Det är inte heller tillåtet att hindra eller försöka hindra rapportering. 

Skyddet enligt visselblåsarlagen omfattar förutom arbetstagare en vidare krets av personer, bl.a. andra personer som utför arbete under verksamhetsutövarens kontroll och ledning, arbetssökande m.fl. 

## NÄR BÖRJADE VISSELBLÅSARLAGEN GÄLLA?

Den svenska visselblåsarlagen trädde i kraft den 17 december 2021 och omfattar alla typer av verksamheter, såväl privata som offentliga. Detta innebär b.la. att det är förbjudet att rikta repressalier mot medarbetare eller andra som omfattas av lagens skydd med anledning av rapportering i ett arbetsrelaterat sammanhang av missförhållanden. Den 17 december 2023 uppdaterades dock lagen som nu omfattar alla företag med 50 eller fler anställda.

[Skaffa ett visselblåsarsystem som är anpassat efter ditt företag, se vad som passar bäst i vår testportal, klicka här!](https://www.qnister.com/qnister-whistle-checklist)

## VILKA KRAV STÄLLER VISSELBLÅSARLAGEN PÅ VERKSAMHETSUTÖVARE?

Visselblåsarlagen innebär en skyldighet för verksamhetsutövare med 50 eller fler arbetstagare att inrätta interna rapporteringskanaler och förfaranden för rapportering och uppföljning. Konkret innebär detta att verksamhetsutövaren måste utse oberoende och självständiga personer eller enheter som tar emot rapporter och har kontakt med rapporterande personer, följer upp det som rapporteras och lämnar återkoppling till rapporterande personer. Detta ska ske inom särskilda tidsfrister som anges i lagen. Lagen ställer också krav på att rapportering ska kunna ske såväl skriftligen som muntligen och även vid ett fysiskt möte om så önskas. Rapporteringskanalerna och förfarandena ska dokumenteras skriftligen. Det finns vidare ett omfattande informationskrav kring bl.a. hur rapportering kan göras. Det finns även regler om omfattande tystnadsplikt/sekretess kring identitetsuppgifter som måste hanteras.   

Kravet på att inrätta rapporteringskanaler och förfaranden börjar tillämpas vid två olika tidpunkter, beroende på antalet anställda i företaget. Privata bolag med fler än 249 arbetstagare och offentliga verksamheter med 50 eller fler arbetstagare har sedan den 17 juli 2022 en skyldighet att ha interna rapporteringskanaler. Privata verksamheter med mer än 50 anställda omfattas sen den senaste uppdateringen som inträdde den 17 december 2023. 

## VEM KAN TA EMOT DE VISSELBLÅSARÄRENDEN SOM KOMMER IN?

Som tidigare nämnts ställer lagen krav på att oberoende och självständiga personer eller enheter hanterar de ärenden som kommer in genom de interna rapporteringskanalerna. Dessa personer eller enheter varierar från organisation till organisation, men generellt sett brukar HR, personalansvarig eller internjurist vara lämpliga mottagare. Utöver det kan en extern mottagarfunktion anlitas för att säkerställa att ärenden hanteras oberoende och självständigt från organisationen. [Kontakta oss](https://www.qnister.com/kontakt) för att veta mer om Qnisters lösning där våra jurister är mottagningsfunktion åt ditt företag. 

## VAR HITTAR JAG DEN SVENSKA VISSELBLÅSARLAGEN I SIN HELHET?

Här hittar du den [svenska visselblåsarlagen](https://www.riksdagen.se/sv/dokument-lagar/dokument/svensk-forfattningssamling/lag-2021890-om-skydd-for-personer-som_sfs-2021-890).

(Nästan) Allt du behöver veta om visselblåsarlagen!

Uppgifter i media har pekat på att Apotea använder kamerorna för att övervaka och kontrollera personalen, vilket bolaget förnekar med hänvisning till att syftet med övervakningen är att hantera incidenter samt att förebygga och upptäcka brott. IMY fastslår att Apotea har rätt att övervaka logistikcentret, men att bolaget brutit mot dataskyddsförordningen i och med att informationen på kamerabevakningsskyltarna varit bristfällig. Exempelvis har hänvisningar till vart de anställda kan vända sig till för mer information om kamerabevakningen saknats och den ytterligare information som getts har varit ofullständig och felaktig. Därmed konstaterar IMY att det finns ”en risk för att de som filmas av bevakningskamerorna inte får kännedom om sina rättigheter eller utövar sina rättigheter i mindre utsträckning än vad de har rätt till enligt dataskyddsförordningen”. Således utfärdar IMY en reprimand mot Apotea som får fyra veckor på sig att åtgärda bristerna.

**Källor:** https://www.imy.se/nyheter/apotea-behover-ge-battre-information-om-sin-kamerabevakning/

Apotea behöver informera bättre om sin kameraövervakning

Luxemburgs tillsynsmyndighet (CNPD) har genomfört en granskning som visade att integritetspolicyn tog upp personuppgiftsbehandlingar som faktiskt inte utfördes, att den inte var tillgänglig på alla sidor där företaget behandlade personuppgifter, att den inte fanns tillgänglig på alla språk och att den inte informerade om tidsperioderna under vilka personuppgifterna lagrades. Myndigheten slog också ner på att informationen i integritetspolicyn inte presenterats på ett klart och tydligt sätt. Därmed utfärdar myndigheten en bot om 3 700 euro mot bolaget.

**Källor:** https://cnpd.public.lu/content/dam/cnpd/fr/decisions-fr/2022/dcision-24fr-2022-sous-forme-anonymise.pdf

Företag bötfälls efter felaktig integritetspolicy

I augusti 2021 gick den klagande in på en österrikisk nyhetssida där vederbörande möttes av en banderoll som gav alternativen att betala för en prenumeration på tidningen eller att godkänna riktad marknadsföring. Den klagande menade på att sådana premisser för samtycke inte är godtagbara enligt GDPR. Den personuppgiftsansvariga (tidningen) däremot menade att journalistik inte är gratis och att den alternativa kostnaden för att slippa den riktade marknadsföringen var rimlig.

Data visade att 99% av användarna hade gett sitt samtycke till den riktade marknadsföringen, vilket bekräftade den klagandes syn att samtycket inte var frivilligt. Den österrikiska tillsynsmyndigheten understryker vikten av frivillighet och entydighet för att ett samtycke ska vara giltigt och att granuläriteten i samtycket spelar en viktig roll. Ett granulärt samtycke innebär att samtycket ska vara specifikt till varje personuppgiftsbehandling och att det inte omfattar flera olika ändamål. Detta var inte fallet med den österrikiska tidningen som hade inhämtat _ett_ samtycke för såväl riktad marknadsföring som analys av sökbeteende.

Österrikes dataskyddsmyndighet fastslår att tidningen inte tagit hänsyn till granuläritetsprincipen och att samtycket inte var giltigt enligt artikel 4(11) i dataskyddsförordningen. Dessutom ger myndigheten den personuppgiftsansvariga en månad på sig att ta reda på om företaget fortfarande behandlar den klagandes personuppgifter.

**Källor:** https://gdprhub.eu/index.php?title=DSB_(Austria)_-_2023-0.174.027&mtc=today

Österrikes tillsynsmyndighet slår ner på ”pay or okay”- lösning

Myndigheten understryker att användarna inte har fått ta del av någon information om personuppgiftsbehandlingen och att OpenAI saknar laglig grund för att samla in de enorma mängder data som krävs för att träna sina algoritmer. Vidare menar tillsynsmyndigheten att ChatGPT ibland ger felaktig information, vilket innebär att felaktiga personuppgifter behandlas. Avslutningsvis saknas även en funktion för att verifiera användarens ålder betydande att barn kan ta del av svar som inte är barnvänliga. Mot denna bakgrund får ChatGPT 20 dagar på sig att åtgärda bristerna, annars riskerar plattformen böter om upp till 20 miljoner euro eller 4% av den årliga globala omsättningen.

**Källor:** https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9870847

Italiens dataskyddsmyndighet stoppar ChatGPT

Artículos

Articles

Artiklar

Vill du se systemet innan du bestämmer dig? Boka en kostnadsfri demo så visar vi hur det fungerar.

### Personuppgiftshanteringen blev inte längre en djungel

Som rekryteringspartner hanterar OnePartnerGroup tusentals jobbansökningar varje år, vilket innebär att personuppgifter strömmar in i företaget. Då behöver de vara säkra på att de hanteras på rätt sätt.

– När den nya GDPR-förordningen kom 2018 förstod vi att vi behövde en partner som kunde vara ett bollplank i att hantera frågor om personuppgifter. Det var skönt att hålla Qnister i handen i den djungeln.

OnePartnerGroup har använt Qnisters GDPR-verktyg sedan 2018 och framhåller både systemet och den personliga servicen med Qnisters supportfunktion.

– GDPR är ett komplicerat område som det händer mycket på och eftersom vi vill göra allt korrekt är det skönt att ha en expert vid sin sida att kunna bolla frågor med.

##### Saknar ditt företag ett system för hantering av GDPR? [Kontakta oss direkt](https://www.qnister.com/kontakt) eller [boka en kostnadsfri demo](https://www.qnister.com/boka-demo-verktyg-gdpr) så visar vi dig hur enkelt GDPR kan vara.

Jane Bergman ser det som en fördel att samarbeta med en extern part som har ett utifrånperspektiv och har precis rätt kompetens.

– Vi vill ta ansvar, och då är det tryggt med extern part som ser till att vi sköter oss, att vi gör det inom konstens alla regler. För oss är det proaktivt att arbeta med Qnister som är expert på både GDPR och visselblåsning, det är viktiga frågor.

Vi på Qnister är glada över att kunna hjälpa OnePartnerGroup med juridiken, så att de kan fokusera på vad de är bäst på – att hjälpa människor och företag att växa genom rekrytering och bemanning.

## Funderar du på vad Qnister kan hjälpa dig med? [Kontakta oss](/kontakt) för ett förutsättningslöst samtal.

thumbnail_03_OPG_Logo_Svart_RGB.png

03_OPG_Logo_Svart_RGB.png

Personuppgiftshanteringen blev inte längre en djungel

El RGPD contempla dos situaciones en las que es necesario celebrar un acuerdo de tratamiento de datos. La primera situación se refiere a cuando un encargado del tratamiento efectúa un tratamiento de datos para el responsable del tratamiento. La segunda situación se refiere a cuando un encargado del tratamiento contrata a un sub-encargado para que realice un tratamiento determinado, por cuenta del responsable del tratamiento. En ambas situaciones, es necesario celebrar acuerdos vinculantes para el tratamiento de datos.

GDPR states two situations where a data processing agreement needs to be entered into. The first situation concerns when a processor processes personal data for the controller. The second situation concerns when a processor hires a sub-processor to perform a specific processing, on behalf of the controller. In both situations, binding data processing agreements need to be entered into.

GDPR anger två situationer då ett personuppgiftsbiträdesavtal behöver ingås. Första situationen rör när ett personuppgiftsbiträde behandlar personuppgifter åt den personuppgiftsansvariga. Den andra situationen rör när ett personuppgiftsbiträde anlitar ett underbiträde som ska utföra en specifik behandling, på den personuppgiftsansvarigas vägnar. I bägge situationerna behöver bindande biträdesavtal ingås.

El tratamiento es básicamente todo lo que se puede hacer con los datos personales. Puede ser, por ejemplo, recopilar, almacenar, trasladar, eliminar o imprimir los datos.

Processing is basically everything you can do with the personal data. This could be, for example, collecting, storing, moving, deleting, or printing the data.

Med behandling av en personuppgift avses i princip allt man kan göra med personuppgifterna. Det kan till exempel vara att samla in, lagra, flytta, radera eller skriva ut uppgifterna.

Los datos personales son todos los datos que permiten identificar a una persona física con vida. Por ejemplo, el número de la seguridad social, el domicilio, el nombre y apellidos, el número de cuenta bancaria, etc. También se consideran datos personales varios datos combinados, que individualmente no bastan para identificar a una persona.

Personal data is all data that can be used to identify a living person. For example, social security number, address, name, account number, etc. Also several data in combination, which individually is not enough to identify an individual, are considered personal data.

En personuppgift är en uppgift som kan användas för att identifiera en fysisk person. Till exempel personnummer, adress, namn, kontonummer osv. Men även flera uppgifter i kombination, som var för sig inte räcker för att identifiera en individ, anses vara personuppgifter.

Por violación de la seguridad de los datos personales se entiende una violación de la seguridad que ocasiona la destrucción accidental o ilícita, la pérdida, alteración, difusión no autorizada o el acceso a datos personales transmitidos, almacenados o tratados de otro modo.

A personal data breach means a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorized disclosure of, or access to, personal data transmitted, stored or otherwise processed.

En personuppgiftsincident är en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Oavsett om det har skett oavsiktligt eller med avsikt är det personuppgiftsincidenter.

You must support any processing of personal data in your business on one of the legal basis. Without a legal basis, the processing of personal data is not legal. The six legal basis are:

*   A contract with the data subject
*   Legal obligation
*   Legitimate interest
*   Protect vital interests
*   Task of the public interest or in the exercise of official authority
*   Consent

Varje behandling av personuppgifter i er verksamhet måste ni stödja på någon av de rättsliga grunderna. Utan en rättslig grund är behandlingen av personuppgifter inte laglig. De sex rättsliga grunderna är:

*   Avtal med den registrerade
*   Rättslig förpliktelse
*   Intresseavvägning
*   Skydda grundläggande intresse
*   Uppgift av allmänt intresse eller myndighetsutövning
*   Samtycke

Un Delegado de Protección de Datos (DPD) es una persona autorizada, de forma interna o externa, que tiene amplios conocimientos sobre el RGPD y actúa como persona de contacto tanto para la agencia sueca «Integritetsskyddsmyndigheten - IMY» como para las personas interesadas. Ponte en contacto con Qnister si quieres contratar a un delegado de protección de datos externo.

A Data Protection Officer (DPO) is a designated person, either internally or externally, who has extensive knowledge of the GDPR and acts as a contact person both for Integritetsskyddsmyndigheten (IMY) and for the subjects whose data is processed. Contact Qnister if you want to hire an external Data Protection Officer.

Ett dataskyddsombud (DSO) är en utsedd person, antingen internt eller externt, som har stor kunskap om dataskyddsförordningen och agerar kontaktperson både för Integritetsskyddsmyndigheten (IMY) och för de registrerade vars uppgifter behandlas. Kontakta oss på Qnister om du vill anlita ett externt dataskyddsombud.

El consentimiento es un fundamento jurídico habitual en el que se apoyan las empresas para el tratamiento de los datos personales. Sin embargo, es fundamental que el consentimiento sea válido. La validez implica que la cuestión del consentimiento debe estar separada de otra información (es decir, no oculta en otro texto), estar redactada en un lenguaje claro y comprensible adaptado a la persona que va a dar su consentimiento y también debe ser igual de fácil revocar el consentimiento posteriormente.

Consent is a common legal basis on which companies base their processing of personal data. However, it is important that the consent is valid. Being valid contains that the question of consent must be separate from other information (i.e. not hidden in other text), be set in a clear and comprehensible language adapted to the person who is to give their consent and it must also be just as easy to revoke the consent at a later date.

Samtycke är en vanlig rättslig grund på vilken företag baserar sin behandling av personuppgifter. Det är dock viktigt att samtycket är giltigt. För det krävs att frågan om samtycke ska vara skild från övrig information (alltså inte gömd i något finstilt), den ska ställas på ett klart och begripligt språk anpassat efter den som ska ge sitt samtycke och det ska dessutom vara lika enkelt att återkalla samtycket vid ett senare tillfälle.

Un encargado del tratamiento de datos es la persona que realiza el tratamiento de datos personales en nombre del responsable del tratamiento de datos personales. Por ejemplo, puede ser un proveedor de un servicio en la nube o una función externa de soporte informático.

A data processor is the person who processes personal data on behalf of the personal data controller. It can for example be a provider of a cloud service or an external IT support function.

Ett personuppgiftsbiträde är den som för personuppgiftsansvariges räkning och enligt den personuppgiftsansvariges instruktioner behandlar personuppgifter. Det kan till exempel vara en leverantör av en molntjänst eller en extern IT-supportfunktion.

El RGPD es el acrónimo del Reglamento General de Protección de Datos. La UE estableció este reglamento el cual entró en vigor en 2018. La finalidad del RGPD es fortalecer la protección de los datos personales de los ciudadanos de la UE. Entre otras cuestiones, esto supone que la anterior directiva de la UE, que se había incorporado a la legislación sueca a través de la ley «Personsuppgiftlagen - PUL», dejó de aplicarse y, por consiguiente, también lo hizo la «PUL». Puesto que un reglamento de la UE se aplica directamente en todos los países de la Unión, no es necesario que se aplique a través de la legislación de cada país miembro.

The GDPR stands for the General Data Protection Regulation. It was issued by the EU and entered into force in 2018. The purpose of the GDPR is to strengthen the protection of EU citizens' personal data. This means, among other things, that the previous EU directive, which was implemented in Swedish law through PUL, ceased to apply and thus also PUL. Since an EU regulation is directly applicable in all EU countries it does not need to be implemented through national legislation.

GDPR står för General Data Protection Regulation och är en dataskyddsförordning utfärdad av EU. GDPR trädde i kraft 2018 och syftet är att stärka skyddet av EU-medborgares personuppgifter. Förordningens ikraftträdande innebär bland annat att det föregående EU-direktivet, som genom PUL implementerades i svensk lag, upphörde att gälla och därmed även PUL. En EU-förordning blir direkt tillämplig i alla EU-länder och behöver således inte implementeras genom ny nationell lagstiftning.

Por datos personales sensibles o categorías especiales de datos personales se entienden los datos de naturaleza especialmente sensible. Se puede tratar de datos que revelen el origen étnico o racial, las ideas políticas, las convicciones religiosas o filosóficas o la afiliación sindical, así como el tratamiento de datos genéticos, datos biométricos destinados a identificar de manera unívoca a una persona física. También de datos relativos a la salud o datos relativos a la vida sexual o a la orientación sexual de una persona física. Los datos relativos a la salud pueden ser, por ejemplo, las bajas médicas, las consultas médicas y el embarazo. Está prohibido el tratamiento de datos personales de naturaleza sensible a menos que se aplique una excepción, por ejemplo, que otra ley lo haga obligatorio, como por ejemplo ocurre en la legislación laboral.

Sensitive personal data or special categories of personal data means data that is of a particularly sensitive nature. It can be data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, and the processing of genetic data, biometric data for the purpose of uniquely identifying a natural person, data concerning health or data concerning a natural person's sex life or sexual orientation Information about health can be, for example, sick leave, doctor appointments and pregnancy. It is prohibited to process sensitive personal data unless an exception applies, e.g. that another law makes it mandatory, for example in labor law.

Känsliga personuppgifter omfattar uppgifter som är av särskilt känslig art. Det kan vara uppgifter om ras eller etniskt ursprung, sexuell läggning, religiös eller filosofisk övertygelse, politiska åsikter, medlemskap i fackförening, genetiska uppgifter eller uppgifter om hälsa som entydigt kan identifiera en person. Uppgifter om hälsa kan till exempel vara sjukfrånvaro, läkarbesök eller graviditet. Det är förbjudet att behandla känsliga personuppgifter om inte något undantag gäller, exempelvis att någon annan lag, till exempel inom arbetsrätten, ger stöd för behandlingen.

El responsable de los datos personales, es decir el responsable del tratamiento, está obligado a informar de cualquier violación de la seguridad de los datos personales a la autoridad de supervisión correspondiente. En Suecia se trata de la «Integritetsskyddsmyndigheten» (IMY), y debe hacerse en el plazo de 72 horas. La excepción a esta obligación es si es improbable que la violación de la seguridad de los datos suponga un riesgo para los derechos y libertades de los interesados. La decisión de no presentar una denuncia debe documentarse, en caso de una inspección.

The person responsible for personal data, the data controller, is obliged to report any personal data breach to the supervisory authority, in Sweden Integritetsskyddsmyndigheten (IMY), within 72 hours. The exception to this obligation is if it is unlikely that the data breach entails a risk to the rights and freedoms of the data subjects. The decision not to report must be documented, in case of an inspection.

Den personuppgiftsansvarige är skyldig att vid personuppgiftsincident inom 72 timmar anmäla incidenten till Integritetsskyddsmyndigheten (IMY). Undantag från denna skyldighet gäller om det är osannolikt att incidenten medför en risk för fysiska personers rättigheter och friheter. Beslutet att inte anmäla måste då dokumenteras inför en eventuell kontroll.

Uno de los derechos esenciales de los interesados es el derecho a la supresión de estos, es decir, a que los datos sean «olvidados». Si un interesado solicita que se supriman sus datos personales, la regla principal es que se está obligado a suprimirlos. Ahora bien, en algunos casos excepcionales los datos no deberán suprimirse. Con frecuencia, las excepciones se aplican si el responsable de los datos personales es alguna administración pública o si está a cargo de una tarea de interés general. Entre otras opciones, puedes negarte a suprimir los datos si son necesarios para garantizar otros derechos importantes, como por ejemplo el derecho a la libertad de expresión o de información, para cumplir obligaciones legales o para poder establecer, hacer valer o defender reclamaciones ante los tribunales. Independientemente de si suprimes los datos o si tienes motivos para conservarlos, tienes que responder al interesado sin dilación indebida, es decir, a más tardar en el plazo de un mes después de que hayas tenido constancia de ella.

One of the fundamental rights of data subjects is the right to have their data deleted, or in other words, to be "forgotten". If a data subject makes a request of its’ personal data to be deleted, the main rule is that you must delete them. However, there are some exceptions when the data is not to be deleted. The exceptions often apply if the person responsible for personal data is an authority or performs a task of general interest. You can, among other things, refuse the data subject deletion if it is necessary to maintain other important rights, such as the rights to freedom of speech or information, to fulfill a legal obligation, or to be able to establish, assert or defend legal claims. Regardless of whether you delete the information or have a reason to keep it, you must reply to the data subject without undue delay, i.e. no later than one month after you have received the request.

En av de registrerades grundläggande rättigheter är rätten att få sina uppgifter raderade, eller med andra ord, ”bli bortglömd”. Om en registrerad begär att få sina personuppgifter raderade är utgångspunkten att ni ska radera dessa. Det finns dock några undantag när uppgifterna inte ska raderas. Undantagen blir ofta tillämpliga om den personuppgiftsansvariga är en myndighet eller utför en uppgift av allmänt intresse. Ni kan bland annat neka den registrerade radering om det är nödvändigt för att tillgodose andra viktiga rättigheter som till exempel rätten till yttrande- och informationsfrihet,  
för att uppfylla en rättslig förpliktelse eller för att kunna fastställa, göra gällande eller försvara rättsliga anspråk. Oavsett om ni ska radera uppgifterna eller har ett skäl att behålla dem, ska ni återkomma till den registrerade utan onödigt dröjsmål, det vill säga senast inom en månad efter att ni har fått begäran.

I den tidigare personuppgiftslagen (PUL) fanns den så kallade missbruksregeln. Den innebar att behandling av personuppgifter som förekom i ostrukturerat format, till exempel i e-post, på internet eller i enklare listor, föll under enklare regler. Detta undantag för ostrukturerat material försvann när GDPR ersatte PUL.

Si violas el RGPD, puedes ser sancionado con una cuantiosa multa. La cuantía se estima caso por caso, pero el importe máximo es de 20 millones de euros o el cuatro por ciento de los ingresos anuales totales, la que sea la cantidad más elevada. De este modo, los grandes consorcios internacionales también tendrán que cumplir la reglamentación vigente.

If you violate the GDPR, you can receive a large fine. How big is estimated case by case, but the maximum is 20 million Euros or four percent of the global annual revenues, whichever is the highest amount. This is to also be able to make the large global groups live up to the regulations.

Om man bryter mot GDPR riskerar man omfattande sanktionsavgifter. Hur stora avgifter bedöms från fall till fall, men maxtaket är 20 miljoner euro eller fyra procent av verksamhetens globala årsomsättning, beroende på vilket belopp som är högst. Detta för att även kunna få de stora globala koncernerna att leva upp till bestämmelserna.

Se till att vara complient redan idag. Se hur [Qnister GDPR](https://www.qnister.com/tjanster/gdpr-verktyg) kan hjälpa ditt företag.

En calidad de empresa, es necesario cumplir los requisitos establecidos en el RGPD. Esto supone, entre otras cuestiones, seguir los principios generales, garantizar que todos los tratamientos de datos personales tengan un fundamento jurídico e informar a los interesados sobre la forma en que se tratan sus datos personales.

As a company, you need to meet the requirements set out in the GDPR. This means, among other things, to follow the general principles, ensuring that all processing of personal data has a legal basis and informing the data subjects about how you process their personal data.

Som företag behöver ni uppfylla kraven som ställs i dataskyddsförordningen (GDPR). Det innebär bland annat att följa de grundläggande principerna, att se till att all behandling av personuppgifter har en rättslig grund och att informera de registrerade om hur ni behandlar deras personuppgifter.

Tips!  
Det finns förmodligen fler frågor att besvara, få mer svar i vår Q&A nedanför.

El responsable de los datos personales es la persona que ha decidido que se recopilen los datos personales y con qué finalidad se van a utilizar. Por lo general, se trata de una empresa u organización, pero en algunos casos puede ser una persona física. A la persona responsable de los datos personales se le denomina responsable del tratamiento de datos.

The person responsible for personal data is the person who decides that data is to be collected and for what purpose it is to be used. It is usually a company or organization, but can in some cases be an individual. The person responsible for personal data is called a data controller.

Personuppgiftsansvarig är den som beslutar om att uppgifter ska samlas in samt till vilket ändamål de ska användas. I ett aktiebolag är det den juridiska personen, själva bolaget, som är personuppgiftsansvarig. Om det däremot handlar om en enskild firma eller en privatperson som hanterar uppgifter på ett sätt som faller inom ramarna för förordningen så är det den fysiska personen som är personuppgiftsansvarig.

Si una empresa ya está cumpliendo la ley PUL, el umbral para cumplir los requisitos del RGPD no es tan exigente. Sin embargo, hay muchas otras cuestiones que deben revisarse y aplicarse de forma adecuada en las métodos de la empresa.

If a company already lives up to PUL, the threshold for achieving the requirements of the GDPR is not as high. However, there is a lot of things that needs to be reviewed and implemented in an appropriate way in the company's routines, documents, systems, and methods.

Om ett företag sedan tidigare lever upp till PUL är tröskeln inte lika hög för att uppnå kraven i GDPR. Dock är det en hel del nyheter som måste ses över och på ett lämpligt sätt implementeras i företagets rutiner, dokument, system och arbetssätt.

Todas las empresas que procesan datos personales deben cumplir el RGPD. Esta normativa se aplica a empresas, asociaciones, organizaciones, autoridades y (en algunos casos) a personas físicas.

All businesses that process personal data must comply with the GDPR. It applies to companies, associations, organizations, authorities, and (in some cases) natural persons.

Alla verksamheter som behandlar personuppgifter måste följa dataskyddsförordningen (GDPR). Den gäller för företag, föreningar, organisationer, myndigheter och (i vissa fall) privatpersoner.

Känner du dig osäker om vad som gäller för ditt företag? [Kontakta oss](https://www.qnister.com/kontakt).

No. This is because payslips can contain sensitive data. Appropriate ways to deliver payslips can be through personal login where the employee can see the payslip themselves, to send it to digital mailboxes like Kivra or Min myndighetspost, or regular mail.

Nej. Detta eftersom lönebesked kan innehålla känsliga uppgifter. Lämpliga sätt att lämna lönebesked kan vara genom en egen inloggning där den anställde själv kan se lönebeskedet, att skicka det till digitala brevlådor som Kivra eller Min myndighetspost, vanlig post eller intern papperspost.

It is the employer's responsibility to ensure no unauthorized processing of personal data occurs. It thus falls under their purview to determine how the organization's IT equipment is used by employees. While an employer might have legitimate reasons to monitor that rules and procedures are being followed, the monitoring should never be more invasive than necessary. Such control must not be designed or used in a way that unduly infringes on the employees' privacy. The employer must decide if the monitoring needs to be done at the individual level and ensure the monitoring isn't too intrusive or extensive for its purpose. Employees always have a right to privacy in their communication and private life, so any control should not aim to examine an employee's private files or emails.

Det är arbetsgivarens ansvar att säkerställa att inga otillåtna behandlingar av personuppgifter utförs. Det faller därmed under dennes ansvar att bestämma över hur organisationens IT-utrustning ska användas av anställda. Berättigat behov av att följa upp att regler och rutiner följs kan en arbetsgivare ha, men kontrollen får aldrig vara mer ingripande än nödvändigt. En sådan kontroll får inte utformas eller användas på ett sätt som innebär ett otillbörligt intrång i de anställdas integritet. Arbetsgivaren måste avgöra om kontrollen behövs utföras på individnivå och ska utifrån det med stöd av lämplig rättslig grund se till att behandlingen inte är för närgången och omfattande i förhållande till ändamålet. Anställda har alltid rätt till skydd för sin kommunikation och sitt privatliv, därmed får en kontroll inte ha som avsikt att granska arbetstagarens privata filer eller e-postmeddelanden.

An employer's right to monitor its employees is primarily governed by labor law, but if the monitoring involves the employer processing data about the employees, the employer must adhere to the data protection regulation. For this processing to be legal, the employer must follow fundamental principles, have a legal basis, and have provided sufficient information to the employees by the time the data was collected. Employees have the right to be informed in advance about what kind of monitoring can be done using the information the employer collects about them, e.g., when they use the workplace's IT equipment. This information should generally be given when the data is collected but doesn't need to be repeated for each monitoring event.

Arbetsgivares rätt att kontrollera sina anställda regleras i första hand genom arbetsrätten men om kontrollen innebär att arbetsgivaren behandlar uppgifter om anställda måste arbetsgivaren följa dataskyddsförordningen. För att behandlingen ska vara laglig krävs det att arbetsgivaren följer grundläggande principer, har stöd i en rättslig grund och har lämnat tillräcklig information till de anställda senast i samband med att uppgifterna i fråga samlades in. Anställda har rätt att i förväg få tydlig information om vilka kontroller som kan göras av dem med hjälp av de uppgifter som arbetsgivaren samlar in om dem, till exempel i samband med att de använder arbetsplatsens IT-utrustning. Informationen ska som regel lämnas senast när uppgifterna samlas in, men behöver därefter inte lämnas vid varje kontrolltillfälle.

Vehicles and other work equipment are often equipped with some form of positioning technology. Such technology enables close monitoring of employees and poses risks of undue privacy invasions. Private employers wishing to use positioning systems linked to individual employees typically need to rely on a balance of interests. Public employers, or those performing a task in the public interest, should be able to show that the processing is necessary for that task, e.g., running public transport. Positioning technology shouldn't be used to monitor an employee's working hours or their location outside of working hours.

Fordon och annan arbetsutrustning är ofta utrustade med någon form av positioneringsteknik. Sådan teknik möjliggör en närgången övervakning av anställda och medför risker för otillbörliga integritetsintrång. Privata arbetsgivare som vill använda positioneringssystem som kan knytas till enskilda anställda måste normalt kunna stödja sig på en intresseavvägning. Offentliga arbetsgivare, och andra arbetsgivare som utför en uppgift av allmänt intresse, som vill använda sig av positioneringsteknik ska i stället kunna visa att behandlingen behövs för den uppgiften, till exempel om behandlingen behövs för uppgiften att bedriva kollektivtrafik. Positioneringsteknik får inte användas för att kontrollera hur länge den anställda arbetar eller dennes positionering utöver arbetstid.

Camera surveillance involves an invasion of privacy, and strong reasons are required for it to be allowed in the workplace. Regularly using camera surveillance to monitor how employees work is not permitted. However, monitoring parts of a workplace with high-risk processes to prevent accidents might be allowed. If surveillance is used, employees must be informed, and the provisions of both GDPR and surveillance laws followed. Footage from camera surveillance is confidential and should not be shared with other employers or published online.

Kamerabevakning innebär ett integritetsintrång och för att kamerabevakning av anställda på deras arbetsplats ska vara tillåtet krävs det starka skäl. Det är inte tillåtet för arbetsgivare att använda kamerabevakning för att regelmässigt kontrollera hur de anställda arbetar. Det kan däremot vara tillåtet att bevaka delar av en arbetsplats där det finns särskilt riskfylld tillverkningsprocess och där övervakningen har som syfte att förhindra olyckor. Vid eventuell övervakning ska anställda informeras och GDPR:s samt kamerabevakningslagens bestämmelser ska följas. Material från kamerabevakning omfattas av tystnadsplikt och innebär att eventuella bilder på anställda inte får lämnas ut till andra arbetsgivare eller publiceras på internet.

Referenser

”Det är skönt att hålla Qnister i handen i dataskyddsdjungeln.”

Används av över 500 bolag

Våra tjänster

GDPR-verktyg

System för visselblåsning

Sök i sanktionslistor