Integritetspolicy

Dataskyddsförordningen, GDPR

Dataskyddsförordningen/GDPR (står för The General Data Protection Regulation) är en ny EU-förordning för hur behandling av personuppgifter ska hanteras. Förordningen är likadan över hela EU vilket gör att det blir lättare att arbeta med personuppgifter mellan europeiska länder. I Sverige ersätter förordningen personuppgiftslagen (PuL). Den ställer betydligt högre säkerhets- och informationskrav än PuL på företag och organisationer som behandlar personuppgifter. Dataskyddsförordningen fokuserar på de registrerades rättigheter till sina personuppgifter och skyddet för dessa. Stor vikt läggs även vid de skyldigheter detta medför för företag som behandlar personuppgifter. De som bryter mot förordningen riskerar böter på upp till 4 % av sin omsättning, eller upp till 20 miljoner euro.

Personuppgifter

En personuppgift är en uppgift som ensam eller tillsammans med andra uppgifter kan användas för att identifiera en nu levande fysisk person. Exempel på personuppgifter är: Namn, personnummer, adress, mejladress, telefonnummer, fastighetsbeteckning, medlemsnummer/kundnummer, registreringsnummer, IP-adress, individuella lösenord, kontonummer, kreditkortsnummer, anställningsnummer, film, röstinspelning eller fotografier på personer.
Företagsuppgifter omfattas alltså inte.
Företag som behandlar personuppgifter måste även säkra uppgifter som ensamma inte kan identifiera en person men som i kombination med en eller flera andra uppgifter skulle kunna göra det. Uppgifter om personer kan exempelvis inte delas upp i olika dokument som sen sparas i samma mapp.

Känsliga personuppgifter

Vissa kategorier av personuppgifter har bedömts vara så känsliga att de bara får behandlas om det finns direkt stöd i lag eller den registrerade har gett sin uttryckliga tillåtelse/samtycke. Om behandling är tillåten måste dessutom extra stor hänsyn tas till säkerheten och den registrerades integritet.

Dessa uppgifter är: etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, genetiska eller biometriska uppgifter, hälsa eller sexuell läggning. (Gällande hälsa avses både fysisk och psykisk hälsa, matvanor, allergier, noteringar om hemförhållanden mm).

Det är mycket viktigt vid registrering av uppgifter att kontrollera att de inte innehåller några känsliga personuppgifter som vi inte har laglig rätt att behandla. Endast om det verkligen är motiverat får en sådan uppgift sparas. Om en person skriver eller skickar in material som exempelvis innehåller hälsouppgifter och det inte är absolut nödvändigt för utförandet av vårt arbete ska inte sådana uppgifter sparas.

Personuppgiftsansvarig

Ansvaret för att behandlingen av uppgifterna sker korrekt ligger på Bollerups Lantbruksinstitut och Naturbruksgymnasium med VD och styrelse som ytterst ansvariga för verksamheten. Anställda på Bollerup följer gällande lagstiftning och arbetar i enlighet med denna Dataskyddspolicy. Bollerup har ingen anställd med befattningen Dataskyddsombud. Ansvarig för dataskyddsfrågor är VD.

Behandling och Registerförteckning

När vi på Bollerup gör något med en personuppgift kallas det för att behandla uppgiften. När en uppgift behandlas måste det ske säkert och med skydd för integriteten för personuppgiften. En behandling är exempelvis insamling, registrering, organisering, strukturering, lagring, bearbetning, ändring, framtagning, läsning, användning, utlämning, överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.

All behandling av personuppgifter som utförs helt eller delvis med hjälp av datorer kallas för helt eller delvis automatiserad. Delvis automatiserad behandling omfattar bland annat när någon samlar in personuppgifter manuellt, exempelvis genom en pappersenkät, med syfte att senare registrera uppgifterna digitalt. Det omfattar också utlämnande på papper av personuppgifter som lagras digitalt.

Manuell behandling av personuppgifter i register (till exempel ett klassiskt kartotek eller arkiv) omfattas av personuppgiftslagen om uppgifterna är sorterade enligt något slags system som gör det möjligt att söka bland uppgifterna. En hög med papper på ett skrivbord anses inte vara ett register även om de är sorterade i bokstavsordning efter namn. För att det ska vara ett manuellt register som omfattas av personuppgiftslagen krävs att samlingen av personuppgifter är strukturerad för att påtagligt underlätta sökning och sammanställning av uppgifterna.

En av de grundläggande principerna i dataskyddsförordningen är så kallad ändamålsbegränsning. Det innebär att man ska ha syftet klart för sig varför man behandlar personuppgifter i varje fall när man gör det. Ett antal uppgifter om varje behandling av personuppgifter ska noteras i en Registerförteckning över personuppgiftsbehandlingar. På Bollerup finns en samlad Registerförteckning på kansliet där företagets behandlingar av personuppgifter finns noterade med uppgifter kring varje behandling. Denna Registerförteckning är ett levand dokument som uppdateras löpande vid behov.

Rätt att behandla uppgifterna; rättslig grund

För att få behandla uppgifterna måste Bollerup ha en rättslig grund som tillåter behandling. De rättsliga grunderna är uppräknade i dataskyddsförordningen och inga andra än de som uttryckligen skrivits där är tillåtna.

De grunder som kan bli aktuella för Bollerup är:

• – Samtycke från den registrerade. Exempel: Information från elev om allergier eller annan hälsorelaterad information. Förfrågan om att vara med i ett register för mailutskick eller för anmälan till aktivitet/kurs. Intresseanmälningar eller kontakt via hemsidan.
• – Behandlingen är nödvändig för att fullgöra ett avtal. Exempel: Administration kring kundförhållande eller anställningsförhållande. Uppfylla regler i kollektivavtal. Avtal om hyra av tex rum, ridhus eller boxplats.
• – Det finns ett allmänt intresse att uppgifterna behandlas. Exempel: Arkivering, forskning och framställning av statistik.
• – Det finns lagkrav eller myndighetsbeslut som kräver att uppgifterna behandlas. Exempel: Uppgifter om anställda till bland annat statliga myndigheter för att redovisa skatter och sociala avgifter. Lagstiftning kring personal. Skollagens regler gällande elever.
• – Bollerup har ett berättigat intresse att behandla uppgifterna. Exempel: Uppgifter som behövs för att bedriva verksamheten som stiftelse och skola.

Viktigt att tänka på är att vara restriktiv gällande användande av samtycke. Kan man stödja sin personuppgiftsbehandling på någon av de andra rättsliga grunderna så varken får eller bör man inhämta samtycke.
Om en registrerad kontaktar oss med frågor angående rättigheter och skyldigheter enligt dataskyddsförordningen hänvisas personen till den ansvarige för dataskyddsfrågor på Bollerup d.v.s. VD.

Vilka uppgifter behandlar vi på Bollerup

På Bollerup behandlar vi personuppgifter som krävs för att kunna bedriva vår verksamhet som Lantbruksinstitut och Naturbruksgymnasium.

Vi behöver hantera elevers och vårdnadshavares personuppgifter för att:

• – eleven ska kunna vara inskriven på Bollerup
• – skolans personal ska kunna tillgodose elevens utbildning i linje med Skollagen
• – skolans personal ska kunna dokumentera elevens utveckling
• – administrera närvaro, betyg, digitala verktyg (inkl. program och appar)
• – hantera kontakter med myndigheter
• – administrera skolskjuts, veckoslutsbussar, utflykter och APL
• – hantera försäkringar för elever
• – administrera och trygga elevens boende på Bollerups Internat inkl
• – aktiviteter på Internatet
• – upprätta hyresavtal gällande boende och boxplatser
• – hantera hälsorelaterade frågor inom vår Elevhälsa

Vi behöver hantera medarbetares personuppgifter för att:

• – medarbetaren ska kunna ha en anställning på Bollerup; upprätta anställningsavtal, hantera anställningen i personalsystem och personalmappar
• – följa regelverk enligt lagstiftning och kollektivavtal
• – hantera löner, pensionsinbetalningar och försäkringar
• – hantera kontakter med myndigheter tex Försäkringskassa, Arbetsförmedling, Kronofogdemyndighet etc

Vi behandlar även personuppgifter från konsulter, kunder, leverantörer och andra samarbetspartners för att kunna fullgöra avtal.

Detaljer kring behandlingen av personuppgifter finns i Bollerups Registerförteckning.

Lagring och Gallring

Bollerup får inte ha uppgifter i sina datasystem som vi inte har behov av. ”Bra att ha” uppgifter får inte sparas bara för att de är bra att ha. Det är därför viktigt att inte spara personuppgifter i mejl eller på andra platser än där de uttalat ska sparas. Gallring av en personuppgift kan ske när informationen är inaktuell, när vår rätt att behandla uppgifterna upphör eller på uppdrag av myndighet. Olika regler för gallring gäller för olika uppgifter. Viktigt att hålla koll på dessa och att ange i företagets Registerförteckning hur länge en uppgifter sparas och varför. Efter att informationen gallrats ska ingenting finnas kvar eller gå att återskapa i efterhand. Förutom att gallra löpande bör alla anställda göra en årlig genomgång av allt som finns sparat i mejl, på servern, lokalt på datorn och utskrivet i pappersform för att radera det som inte längre behövs eller får sparas.

Rättelse

En person som är registrerad i något av Bollerups datasystem har rätt att få sina uppgifter rättade om de är felaktiga. När en registrerad kontaktar oss och anger att uppgifterna inte är korrekta måste vi utreda om information faktiskt är felaktig. Det kan vi exempelvis göra genom att jämföra informationen med folkbokföringen eller andra källor och se om det överensstämmer. Om det visar sig att informationen vi har registrerat är felaktig måste vi rätta den så snart som möjligt.

Vi måste alltid utreda om uppgifterna stämmer men behöver inte ändra om det visar sig att uppgifterna som den registrerade meddelar inte stämmer överens med vad vi kan se i offentliga register.

Radering

En person som är registrerad i något av Bollerups datasystem har rätt att få sina uppgifter raderade. Den registrerade måste då kontakta oss och meddela att man vill att vi tar bort all information om personen i våra datasystem.

När en registrerad begär att bli raderad måste vi så snart som möjligt utreda om uppgifterna verkligen ska raderas. Kommer vi fram till att vi inte har rättslig grund att spara uppgifterna längre ska de raderas utan dröjsmål. Om utredningen visar att vi fortfarande har behov av uppgifterna, exempelvis om det krävs för att följa övrig lagstiftning, ska uppgifterna inte raderas.

Registerutdrag

En person som är registrerad i något av Bollerups datasystem har rätt att få ett utdrag ur det datasystemet med det som finns registrerat om personen. Registerutdraget är kostnadsfritt för den registrerade och antingen lämnas ut elektroniskt eller fysiskt. Om personen begär flera registerutdrag i snabb följd har vi rätt att ta ut en ersättning för att lämna ut materialet eller i vissa fall neka att lämna ut uppgifterna. Att neka en sådan begäran kräver dock att vi verkligen kan motivera att det inte är skäligt att lämna ut uppgifterna.

Säkerhet som standard

Dataskyddsförordningen kräver att datasystem där personuppgifter behandlas sätter säkerhet främst. Detta gäller inte bara rent tekniskt utan även fysisk säkerhet i lokalerna samt rutiner för hur vi arbetar med personuppgifter i systemen.

Det innebär bland annat att vi har begränsningar i hur användare har rätt att använda systemen och vad man har tillgång till på vår server. Alla inloggningar är personliga och som anställd ansvarar man för att skydda sina lösenord och se till att GDPR följs det dagliga arbetet.

Missbruksregeln (Mejl och löpande text)

Tidigare har löpande text i exempelvis Word-dokument eller mejl varit undantaget från personuppgiftsreglerna, så länge behandlingen inte kränkt någon eller missbrukats (därför namnet missbruksregeln). Detta undantag försvinner när dataskyddsförordningen införs vilket gör att personuppgifter som finns i sådana program nu måste behandlas med samma säkerhet och integritetstänk som andra datasystem. Vi får fortfarande ta emot eller skicka mejl och skriva personuppgifter i olika dokument men de måste behandlas på samma säkra och lagliga sätt som all annan personuppgiftsbehandling. Vi måste ha rättslig grund för det, ta upp behandlingen i Registerförteckningen och tänka på att begränsa informationen så mycket som möjligt. Det vi skriver och skickar ska verkligen vara nödvändigt och bara skickas till de som behöver infon. Bilagor via mejl bör undvikas om de innehåller personuppgifter, speciellt känsliga personuppgifter. Vill vi mejla personuppgifter ska det säkrast ske genom meddelandefunktionen i det slutna systemet Schoolsoft. Bilagor kan sparas ner i lämplig delad mapp på servern och sökvägen kan skrivas i mejlet, istället för att bifoga själva dokument. Alla meddelanden och dokument ska bara sparas så länge vi har rättslig grund för det.

Personuppgiftsbiträden

Bollerup använder sig av underleverantörer till olika saker i sin verksamhet. Dessa underleverantörer behandlar ibland personuppgifter som Bollerup samlat in och därmed också ansvarar för. Bollerup har tecknat personuppgiftbiträdesavtal med personuppgiftsbiträden. En förteckning finns på kansliet. Alla anställda som tecknar avtal där personuppgifter kommer att behandlas måste även säkerställa att personuppgiftsbiträdesavtal tecknas.

Personuppgiftsincident

En personuppgiftsincident är när personuppgifter oavsiktligt eller olagligt förstörs, förloras, ändras, sprids eller på annat sätt behandlas på ett sätt som kan skada eller kränka den registrerade.

Exempel på personuppgiftsincidenter är:

• – Någon stjäl en dator där personuppgifter är sparade.
• – Någon tappar bort sin mobiltelefon som är kopplad till jobbmejlen och innehåller sparade filer med personuppgifter.
• – En hacker tar sig in i databasen.
• – En CD-skiva eller ett USB-minne med personuppgifter förloras eller förstörs oavsiktligt.
• – Flera brev med olika mottagare hamnar i ett kuvert som skickas ut till en mottagare.
• – En anställd raderar felaktigt information som skulle sparats.
• – En eller flera datorer får sina hårddiskar krypterade av ett virus.

Observera att listan inte är uttömmande och att fler situationer kan kvalificera som personuppgiftsincidenter.

Kontakta alltid den ansvarige för dataskyddsfrågor d v s VD om det uppstår en situation där personuppgifter utsatts för risk.

Incidenter som måste rapporteras till Datainspektionen

Alla personuppgiftsincidenter måste registreras i Bollerups Incidentregister, som finns på kansliet, men allvarligare incidenter måste också rapporteras vidare. Vid särskilt allvarliga incidenter måste dessutom de registrerade som drabbats informeras.

En allvarlig personuppgiftsincident måste inom 72 timmar från det att Bollerup blir medvetna om incidenten rapporteras till Datainspektionen. Detta avgörs och hanteras av ansvarig för dataskyddsfrågor d.v.s. VD på Bollerup.

2019-02-04/ Simon Blixt, VD