Sökresultat

Personuppgifter får överföras till ett land utanför EU/EES om den personuppgiftsansvariga vidtar lämpliga skyddsåtgärder i form av exempelvis bindande företagsbestämmelser eller standardavtalsklausuler.

EDPB, European Data Protection Board, eller Europeiska dataskyddsstyrelsen, har tagit fram riktlinjer i flera viktiga frågor. Dessa är av stor nytta för framför allt personuppgiftsansvariga, personuppgiftsbiträden och dataskyddsombud.

Idag, 21 januari, lanserar Myndigheten för digital förvaltning (Digg) och Integritetsskyddsmyndigheten (IMY) vägledande riktlinjer för att främja användningen av generativ AI inom offentlig förvaltning. Syftet är att öka tryggheten och förmågan att använda generativ AI, på ett säkert, etiskt och effektivt sätt. Riktlinjerna presenterades och överlämnades till Erik Slottner vid ett lanseringsevenemang i Stockholm.

U 2021:04 Generella synpunkter Utredningen har i promemorian redogjort för ett av två alternativ för att långsiktigt säkerställa myndigheters, kommuners och andra aktörers tillgång till skolinformation. Alternativet innebär att Skolverket inrättar en ny insamling av uppgifter om verksamhet i skolväsendet. IMY kan konstatera att den insamling som utredningen har föreslagit är mycket omfattande både till antal registrerade och till antal personuppgifter om dessa registrerade. De personuppgifter som ska samlas in är i många fall synnerligen integritetskänsliga. Personuppgifterna kommer dessutom röra barn, en grupp som enligt dataskyddsförordningen ska ges ett särskilt skydd. Sammantaget medför detta att lagstödet för behandlingen av dessa personuppgifter måste analyseras både noggrant och ingående. En grundläggande princip vid all behandling av personuppgifter är att behandlingen är tillåten endast om den kan anses nödvändig för syftet med behandlingen. Behandlingen måste även anses proportionerlig mot det integritetsintrång den innebär för de registrerade. För att säkerställa att dessa krav uppfylls måste det därför utredas om det finns något alternativ som innebär ett mindre intrång i de registrerades personliga integritet. Av promemorian framkommer att det enda alternativ som i nuläget utreds är att Skolverket åläggs att inrätta en ny mycket omfattande insamling av personuppgifter. Personuppgifter som i många fall är synnerligen integritetskänsliga. Av promemorian framkommer dessutom att bakgrunden till utredningens förslag är att vissa uppgifter som redan finns hos och tidigare kunnat lämnas ut från Statistiska centralbyrån (SCB), på grund av ändrad sekretessbedömning inte längre kan göras tillgängliga i ett längre perspektiv. Det verkar enligt promemorian även i vissa fall vara fråga om uppgifter som samlas in av SCB just på uppdrag av Skolverket. Att mot denna bakgrund endast presentera ett förslag som innebär en ny omfattande insamling och vidarebehandling av personuppgifter utan att analysera andra alternativ kan enligt IMY:s mening inte anses uppfylla dataskyddsförordningens krav på nödvändighet och proportionalitet i lagstiftningsarbetet. Utredningen bör utreda om tillgången till skolinformation kan lösas utan att det byggs upp en ytterligare, omfattande och parallell personuppgiftssamling hos Skolverket. IMY ifrågasätter om en sådan behandling av personuppgifter utan vidare analys kan anses förenlig med dataskyddsförordningen. Övrigt Utredningen har i promemorian angett att Skolverket ska kunna behandla känsliga personuppgifter enligt artikel 9 i dataskyddsförordningen med stöd av 3 kap. 3 § första stycket 3 dataskyddslagen. Utformningen av denna bestämmelse innebär dock att den inte kan utgöra grund för slentrianmässig behandling av personuppgifter i löpande verksamhet. (1) Mot denna bakgrund samt att den aktuella behandlingen är omfattande och synnerligen integritetskänslig anser IMY att det starkt kan ifrågasättas om behandlingen av känsliga personuppgifter kan stödja sig på bestämmelsen i 3 kap. 3 § första stycket 3 i dataskyddslagen. Den behandling av känsliga personuppgifter som Skolverket kan behöva behandla bör regleras särskilt.

IMY kontrollerar att bestämmelserna i dataskydds­förordningen och andra bestämmelser som kompletterar dataskyddsförordningen följs. Vi har ett antal så kallade korrigerande befogenheter. Det är åtgärder som vi kan rikta mot den som bryter, eller riskerar att bryta mot reglerna.

SOU 2023:21