Ansök om att få behandla personuppgifter om lagöverträdelser

Beskriv personuppgiftsansvaret, det vill säga på vilket sätt ni bestämmer ändamål och medel för behandlingen. Om behandlingen ska utföras för en uppdragsgivares räkning behöver det även framgå vilket inflytande uppdragsgivaren har på behandlingens innehåll och utförande.

Beskriv tydligt i vilka situationer ni vill behandla personuppgifter om lagöverträdelser. Ett tillstånd kan bara gälla den behandling som uttryckligen har angetts i er ansökan.

Exempel

Exempel på situationer är bakgrundskontroller i samband med kontroll av personer inför avtal vid anställning eller med uppdragstagare samt inför affärsavtal. Andra exempel är behandling av brottsuppgifter vid incidentutredningar och i kundsituationer. En annan situation är om ni avser att övervaka anställda eller kunder och det kan komma att innebära att ni  behandlar personuppgifter om lagöverträdelser, exempelvis övervakning av förares hastighet i yrkestrafik.

Beskriv vilka kategorier av registrerade vars personuppgifter om lagöverträdelser ni kan komma att behandla.

Exempel

Exempel på kategorier av registrerade är anställda, konsulter samt företrädare för kunder och leverantörer.

Beskriv om behandlingen kommer att utföras för er egen del eller för en uppdragsgivares räkning.

Exempel

Ett exempel på när behandlingen ska utföras för en uppdragsgivares räkning är när ett bakgrundskontrollföretag ansöker om tillstånd att behandla personuppgifter om lagöverträdelser inom ramen för tillhandahållande av tjänsten bakgrundskontroller.

Beskriv tydligt hur processen för er behandling av personuppgifter om lagöverträdelser ser ut steg för steg. Förklara vilka typer av personuppgifter om lagöverträdelser som förekommer i de olika stegen, vilka som tar del av uppgifterna i respektive steg och hur uppgifterna behandlas i respektive steg.

För att kunna använda intresseavvägning som rättslig grund måste ni visa

• att det finns ett berättigat intresse.
• att behandlingen av personuppgifter är nödvändig för ett ändamål som rör det berättigade intresset
• att de registrerades grundläggande fri- och rättigheter inte väger tyngre än det berättigade intresset.

Det berättigade intresset behöver vara klart och precist uttryckt. Intresset behöver också vara faktiskt och inte spekulativt eller hypotetiskt. Om ni ansöker om tillstånd för att behandla personuppgifter om lagöverträdelser på uppdrag av någon annan behöver ni också förklara vilket berättigat intresse som er uppdragsgivare har.

Beskriv på vilket sätt behandlingen är nödvändig för att uppnå ändamålet med det berättigade intresset.  Beskriv också hur ni bedömer vilka uppgifter som är nödvändiga att behandla.

Beskriv slutligen er intresseavvägning och hur ni gör intresseavvägningen i det enskilda fallet.

Intresseavvägning

Den rättsliga grunden samtycke innebär att den registrerade har sagt ja till personuppgiftsbehandlingen. I många fall är det inte en lämplig grund att stödja sig på. För att det ska vara lämpligt måste det vara frivilligt att samtycka. Det innebär att den registrerade ska kunna avgöra om personuppgifterna ska få behandlas, och hen ska alltid kunna säga nej. Den registrerade ska också kunna återkalla sitt samtycke utan att drabbas av negativa konsekvenser.

För att ni ska kunna använda samtycke som rättslig grund krävs det också att maktförhållandet mellan er och den registrerade är jämlikt. Maktförhållandet är ofta ojämlikt exempelvis mellan arbetsgivare och arbetstagare. Om det råder ett ojämlikt maktförhållande kan ni inte stödja er på samtycke.

Hittills har IMY inte beslutat om tillstånd att behandla personuppgifter om lagöverträdelser där den personuppgiftsansvarige har använt samtycke som rättslig grund för sin behandling.

Samtycke

Utöver den beskrivning ni lämnat av processen för hur er behandling går till och er redogörelse för den rättsliga grund ni stödjer er behandling på, beskriv vilken information som ges till de registrerade i samband med behandlingen. Beskriv också när och hur informationen lämnas.

Om information om behandlingen inte lämnas till de registrerade, förklara varför information inte lämnas och hur ni i sådant fall lever upp till principen om öppenhet.

Beskriv ändamålen för er behandling. Ni får bara samla in personuppgifter för särskilda, uttryckligt angivna och berättigade ändamål. Ändamålen måste vara specifika och konkreta. 

Beskriv vilka rutiner ni har för att avgöra vad som är adekvata och relevanta uppgifter för de planerade behandlingarna. Redogör också för vilka rutiner ni har för att se till att insamlingen av personuppgifter om lagöverträdelser inte blir för omfattande i förhållande till ändamålet med behandlingen. 

Förklara vilka rutiner ni har för att se till att de uppgifter som ni behandlar är riktiga och hur ni hanterar nödvändiga  uppdateringar.

Förklara vilka rutiner ni har för lagring, gallring, avidentifiering och radering av de personuppgifter om lagöverträdelser som ni behandlar. Beskriv om lagringstid eller gallring påverkas av annan lagstiftning och hur det påverkar er behandling.

Om det inte framgår av den beskrivning ni lämnat av processen för hur er behandling går till, förklara hur ni säkerställer lämplig säkerhet för personuppgifterna. Beskriv både tekniska och organisatoriska åtgärder.