Innehållsförteckning
EU:s dataskyddsreform
Dataskyddsreformen består av två centrala rättsakter:
- Dataskyddsförordningen (GDPR), som gäller för behandling av personuppgifter generellt.
- Dataskyddsdirektivet för brottsbekämpande myndigheter, direktiv (EU) 2016/680, som gäller när till exempel polis och åklagare behandlar personuppgifter för att bekämpa brott. Det har genomförts i Sverige genom brottsdatalagen (2018:1177).
EU-institutionernas egen behandling av personuppgifter regleras i en separat förordning, (EU) 2018/1725. Läs mer i allmänna frågor om EU:s dataskyddsreform.
Vad hände med e-privacyförordningen?
EU-kommissionen lade 2017 fram ett förslag till en ny förordning om integritet och elektronisk kommunikation (e-privacyförordningen), som skulle ersätta direktiv 2002/58/EG. Förslaget fastnade i förhandlingarna och kommissionen drog tillbaka det 2025. Direktivet 2002/58/EG gäller därför fortfarande och är genomfört i Sverige genom lagen om elektronisk kommunikation, som bland annat innehåller reglerna om cookies.
Dataskyddslagen kompletterar GDPR
Eftersom GDPR är en förordning gäller den direkt i Sverige, men den lämnar visst utrymme för nationella regler. Dessa finns i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, som brukar kallas dataskyddslagen. Där framgår bland annat att:
- barn som är minst 13 år själva kan lämna samtycke när de använder informationssamhällets tjänster, som sociala medier,
- GDPR och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen,
- det finns särskilda regler om när myndigheter och andra får behandla känsliga personuppgifter.
Därutöver finns registerförfattningar och andra lagar med särskilda dataskyddsregler för vissa verksamheter.
Grundläggande begrepp
Personuppgifter är all slags information som direkt eller indirekt kan kopplas till en levande fysisk person. Behandling är allt som görs med personuppgifter, till exempel insamling, lagring, bearbetning och radering. Den personuppgiftsansvariga är den som bestämmer för vilka ändamål och med vilka medel personuppgifterna behandlas, till exempel ett företag, en förening eller en myndighet. Ett personuppgiftsbiträde behandlar uppgifter för den ansvarigas räkning.
Förordningens huvuddelar
Förordningen innehåller 99 artiklar och ett stort antal skäl (beaktandesatser) som förklarar hur artiklarna ska tolkas. De viktigaste delarna är:
- Principerna i artikel 5, bland annat laglighet, ändamålsbegränsning, uppgiftsminimering, riktighet, lagringsminimering, säkerhet och ansvarsskyldighet.
- Kravet på en rättslig grund i artikel 6, till exempel samtycke, avtal, rättslig förpliktelse eller intresseavvägning.
- De registrerades rättigheter, som rätt till information, tillgång (registerutdrag), rättelse, radering och dataportabilitet samt rätt att invända.
- Skyldigheter för de som behandlar personuppgifter, som inbyggt dataskydd, säkerhetsåtgärder och i vissa fall ett dataskyddsombud.
- Regler om överföring av personuppgifter utanför EU och EES.
Personuppgiftsincidenter och sanktioner
En personuppgiftsincident, till exempel att uppgifter har kommit i orätta händer eller förstörts, ska som huvudregel anmälas till tillsynsmyndigheten inom 72 timmar efter att den upptäckts. I Sverige är Integritetsskyddsmyndigheten (IMY), tidigare Datainspektionen, tillsynsmyndighet. IMY kan bland annat ge förelägganden och besluta om sanktionsavgifter. Enligt artikel 83 kan avgifterna för de allvarligaste överträdelserna uppgå till 20 miljoner euro eller fyra procent av företagets globala årsomsättning, beroende på vilket belopp som är högst.
Läs också om grunderna i dataskyddsförordningen, dataskyddsförordningens syfte och dataskyddsförordningens tillämpningsområde.
Uppdaterad: texten har skrivits om och uppdaterats. Bland annat har uppgifterna om e-privacyförordningen aktualiserats och Datainspektionen ersatts av Integritetsskyddsmyndigheten (IMY).