Skydd av personuppgifter och integritet på nätet
EU skyddar dina personuppgifter när de samlas in eller används, t.ex. när du köper något på nätet, söker ett jobb eller ansöker om ett banklån. Reglerna gäller alla offentliga och privata organisationer, t.ex. företag, organ och myndigheter, som erbjuder varor eller tjänster i EU, oavsett om organisationen är baserad i eller utanför EU (t.ex. Facebook eller Amazon).
Det spelar ingen roll i vilken form uppgifterna samlas in – på nätet eller på papper. Varje gång en organisation lagrar eller behandlar uppgifter som direkt eller indirekt kan identifiera dig som person måste din rätt till skydd av uppgifterna respekteras.
Vem får behandla mina personuppgifter?
I EU:s allmänna dataskyddsförordning beskrivs olika situationer där organisationer får samla in eller använda dina personuppgifter:
- När de har slutit ett avtal med dig – t.ex. för att tillhandahålla varor eller tjänster (dvs. när du köper något på nätet) eller för att anställa dig.
- När de uppfyller en rättslig förpliktelse – t.ex. sin lagstadgade skyldighet att rapportera din lön till försäkringskassan.
- När det är livsviktigt – t.ex. vid en olycka.
- När de uppfyller en uppgift av allmänt intresse – t.ex. i skolor, sjukhus, kommuner och andra organ i den offentliga sektorn.
- När de har ett berättigat intresse – t.ex. en bank som kollar dina personuppgifter för att se om du har rätt till ett sparkonto med högre ränta.
I alla andra situationer måste organisationen först fråga dig och be om ditt samtycke.
Hur ger jag mitt samtycke?
Du måste få möjlighet att ge ditt samtycke genom en tydlig handling som visar att du verkligen är införstådd, t.ex. genom att underteckna ett samtyckesformulär eller kryssa i ja eller nej på en webbplats.
Det räcker inte längre med att låta dig avanmäla ditt intresse, t.ex. genom att markera en ruta som säger att du inte vill ha reklam med mejl. Du måste aktivt anmäla ditt samtycke till att dina personuppgifter får behandlas.
Innan du ger ditt samtycke ska du få information om
- organisationen i fråga, bland annat kontaktuppgifter och uppgifter om ett eventuellt dataskyddsombud
- skälet till att de behöver dina personuppgifter
- hur länge de tänker behålla dem
- vilka andra organisationer som kommer att få tillgång till dina uppgifter
- dina rättigheter (tillgång, rättelse, radering, klagomål och återkallande av samtycke).
Informationen måste vara tydlig och lättbegriplig.
Kan jag ångra mig?
Även om du har gett ditt samtycke kan du när som helst kontakta organisationens personuppgiftsansvariga och dra tillbaka samtycket. Organisationen får därefter inte längre använda dina personuppgifter.
När en organisation behandlar dina uppgifter för att den har ett eget berättigat intresse eller utför en uppgift av allmänt intresse eller som ett led i sin myndighetsutövning, kan du ha rätt att invända. I vissa fall väger dock allmänintresset tyngre, t.ex. när det gäller forskning, statistik eller ett offentligt organs myndighetsutövning.
Mejl för direkt marknadsföring som gör reklam för vissa märken eller produkter får bara skickas om du har gett ditt samtycke. Men om du redan är kund hos ett företag får de skicka reklammejl om sina egna produkter och tjänster. Du har däremot rätt att när som helst invända mot sådan reklam och företaget måste i så fall genast sluta att använda dina uppgifter.
Du ska under alla omständigheter alltid informeras om din rätt att invända mot användningen av dina personuppgifter första gången organisationen kontaktar dig.
Exempel från verkligheten
Du kan invända mot att dina personuppgifter används för direkt marknadsföring
Anatolios från Grekland köpte konsertbiljetter på nätet. Därefter började han få mejl med reklam om konserter och evenemang som han inte var intresserad av. Han kontaktade biljettföretaget och meddelade att han inte ville ha reklam via mejl. Företaget tog omgående bort Anatolios från sina sändlistor och slutade att skicka reklam till honom.
Vad gäller för barn?
Om barn vill använda exempelvis sociala medier eller ladda ner musik eller spel från nätet måste du som förälder eller vårdnadshavare ofta först godkänna detta, eftersom tjänsterna använder barnens personuppgifter. Åldersgränsen för att själv kunna samtycka till behandling av personuppgifter är 16 år (i vissa länder bara 13 år). Tjänsteleverantören måste förvissa sig om att du som vårdnadshavare verkligen samtycker, t.ex. genom att skicka ett bekräftelsmejl till din mejladress.
Hur får jag tillgång till mina personuppgifter?
Du har rätt att få tillgång till en organisations uppgifter om dig och kan begära en gratis kopia av uppgifterna i lättillgänglig form. Organisationen är skyldig att svara inom en månad och ge dig en kopia av dina personuppgifter och relevant information om hur uppgifterna har använts eller används.
Exempel från verkligheten
Du har rätt att få veta vilka personuppgifter som sparas och hur de används
Maciej från Polen gick nyligen med i sitt snabbköps kundprogram. En kort tid senare började han få rabattkuponger för specifika varor. Han undrade om detta hängde ihop med kundprogrammet och frågade snabbköpets dataskyddsombud vilka uppgifter om honom som hade sparats och hur de användes. Maciej fick veta att snabbköpet registrerade vad han köpte varje vecka för att ge honom rabatt på hans favoritvaror.
Hur kan jag rätta mina personuppgifter?
Om en organisations uppgifter om dig är felaktiga eller ofullständiga kan du be dem att rätta eller uppdatera uppgifterna.
Exempel från verkligheten
Du har rätt att korrigera oriktiga personuppgifter
Alison från Irland ville köpa ett nytt hus och ansökte om lån hos en bank. När hon fyllde i sin låneansökan råkade hon skriva fel födelsedatum, så att det blev fel ålder i bankens datasystem.
När Alison fick bankens lånebesked med erbjudande om en livförsäkring insåg hon att det hade blivit fel, eftersom försäkringspremien var mycket högre än den som hon redan hade. Hon kontaktade banken och bad dem rätta födelsedatumet. Hon fick sedan ett nytt försäkringserbjudande med korrekt åldersuppgift och lägre premie.
Hur kan jag föra över mina personuppgifter till en annan organisation (dataportabilitet)?
I vissa lägen kan du be en organisation som har dina personuppgifter att lämna ut dem till dig eller föra över dem direkt till ett annat företag om det är tekniskt möjligt. Detta kallas dataportabilitet. Om du t.ex. vill byta mellan två liknande sociala medienätverk kan du snabbt och enkelt få dina uppgifter överförda till den nya tjänsten.
Hur kan jag radera mina personuppgifter (rätt att bli bortglömd)?
Om dina personuppgifter inte längre behövs eller används olagligt kan du kräva att de raderas. Detta kallas rätten att bli bortglömd.
Det gäller även sökmotorer som Google, eftersom de också betraktas som personuppgiftsansvariga. Du kan begära att länkar till webbsidor med ditt namn tas bort från sökmotorns träfflistor om uppgifterna är oriktiga, olämpliga, irrelevanta eller orimliga.
Om ett företag har lagt ut dina personuppgifter på nätet och du vill att de ska tas bort, måste företaget även informera alla andra webbplatser som de har delat uppgifterna med att du vill att dina personuppgifter och länkar till dem ska raderas.
För att skydda andra rättigheter, t.ex. yttrandefriheten, kanske inte alla uppgifter raderas automatiskt. Kontroversiella uttalanden från offentliga personer kan komma att finnas kvar om allmänintresset bäst tillgodoses genom att behålla dem på nätet.
Exempel från verkligheten
Du kan kräva att dina personuppgifter raderas och tas bort från andra webbplatser
Alfredo från Italien bestämde sig för att sluta använda sociala medier och tog bort sin profil från alla nätverk. Några veckor senare upptäckte han att profilfotona från hans gamla konton fortfarande dök upp när han sökte på sitt namn i en sökmotor. Alfredo kontaktade de sociala medieföretagen och bad dem ta bort fotona. När han sökte en månad senare var fotona borta och syntes inte längre bland sökmotorns träffar.
Vad gör jag om mina personuppgifter lämnas ut till obehöriga (personuppgiftsincident)?
Om dina personuppgifter kommer på avvägar eller lämnas ut olagligen – en så kallad personuppgiftsincident – måste organisationens personuppgiftsansvariga rapportera detta till den nationella dataskyddsmyndigheten. Om incidenten innebär en allvarlig risk för dina personuppgifter eller din integritet måste den personuppgiftsansvariga dessutom informera dig direkt.
Hur klagar jag?
Om du anser att din rätt till skydd av personuppgifter har kränkts kan du klaga hos din nationella dataskyddsmyndighet som ska undersöka saken och svara inom tre månader.
Du kan också gå direkt till domstol och stämma organisationen i fråga utan att första kontakta dataskyddsmyndigheten.
Du kan ha rätt till ersättning om du har lidit materiell eller immateriell skada till följd av att organisationen har brutit mot EU:s regler för skydd av personuppgifter (t.ex. förlust av pengar eller psykiskt lidande).
Vad gäller för kakor (cookies)?
Kakor är små textfiler som webbplatsen lagrar på din dator eller mobila enhet via din webbläsare. De används normalt för att spara dina inställningar och få webbplatsen att fungera bättre. De används också för att visa riktad reklam genom att spåra din internetanvändning, skapa en användarprofil och följa ditt surfande.
Alla webbplatser som använder kakor måste först få ditt samtycke innan kakorna får installeras på din dator eller mobila enhet. Det räcker inte att bara informera dig om att kakor används eller hur de avaktiveras.
Du ska också få information om hur informationen i kakorna används, och du ska kunna dra tillbaka ditt samtycke. I så fall måste webbplatsen ändå ge dig något slags minimiservice, så att du exempelvis åtminstone kommer åt delar av webbplatsen.
Det finns emellertid kakor som inte kräver samtycke. För kakor som bara används för att överföra kommunikation krävs inget samtycke. Det gäller bland annat kakor som används för att fördela behandlingen av inkommande trafik till en webbserver mellan flera datorer i en datorpool i stället för att låta behandlingen utföras av en enda dator (lastbalansering). Det krävs heller inget samtycke till kakor som är absolut nödvändiga för att tillhandahålla en webbtjänst som du själv uttryckligen har begärt. Det gäller bland annat kakor som används när du fyller i ett webbformulär eller använder en varukorg för inköp på nätet.