Den här sidan är en del av Utbildningsstyrelsens dataskyddsguide för utbildningsanordnare och anordnare av småbarnspedagogik. Du hittar länkar till andra teman som behandlas i dataskyddsguiden längst ner på sidan.
Ett förstoringsglas ovanpå ett tangentbord.
Foto: RapidEye / Getty Images

En personuppgiftsansvarig får behandla personuppgifter endast när det finns en laglig grund för behandlingen. När man hänvisar till dessa grunder används också ofta begreppen behandlingsgrund eller rättslig grund. Behandlingsgrunderna begränsar de ändamål för vilka den personuppgiftsansvariga kan behandla uppgifter, och behandlingsgrunden kan inte ändras under behandlingens gång. Behandlingsgrunden inverkar också på vilka rättigheter den registrerade kan ha. I dataskyddsförordningen finns bindande stadganden om behandlingsgrunder, som det inte är möjligt att avvika från till exempel genom avtal.

Anordnaren av verksamheten ska identifiera och fastställa tydliga behandlingsgrunder innan behandlingen inleds. När behandlingsgrunderna fastställs är det bra att ta i beaktande att grunderna inte har någon inbördes prioritetsordning och att det för behandlingen samtidigt kan finnas flera olika behandlingsgrunder. Anordnaren ska också fästa uppmärksamhet vid att alla behandlingsgrunder inte är tillgängliga för alla anordnare, eftersom en del av grunderna är begränsade att användas endast av myndigheter och en del av andra än myndigheter. En behandlingsgrund ger inte heller obegränsad rätt att behandla uppgifterna, utan behandlingen ska därtill också vara förenlig med de allmänna dataskyddsprinciperna som behandlats i ett annat avsnitt av den här dataskyddsguiden. För behandlingen av särskilda kategorier av personuppgifter och personbeteckningar finns några tilläggsvillkor, som behandlas längre ner på denna sida.

Behandlingsgrunderna är

  • den registrerades samtycke,
  • avtal,
  • rättslig förpliktelse som åvilar den personuppgiftsansvariga,
  • skydd av intressen som är av grundläggande betydelse,
  • uppgift av allmänt intresse eller som ett led i myndighetsutövning, samt
  • ändamål som rör den personuppgiftsansvarigas eller en tredje parts berättigade intressen.

Behandling av personuppgifter som en anordnare av småbarnspedagogik eller utbildning utför grundar sig i regel på att uppfylla en rättslig förpliktelse som hör till den personuppgiftsansvariga. Behandlingen kan också grunda sig på att utföra en uppgift av allmänt intresse eller utgöra ett led i den personuppgiftsansvarigas myndighetsutövning. Inom myndighetsverksamhet är utgångspunkten att behandlingen av personuppgifter baserar sig på dessa behandlingsgrunder.

Tillbaka upp

Med den registrerades samtycke avses ett frivilligt, specifikt, informerat och otvetydigt medgivande från den registrerades sida om att denne godkänner behandling av personuppgifter rörande honom eller henne. Den registrerade kan ge sitt samtycke skriftligt eller muntligt eller uttrycka det med någon annan tydlig handling. Det ska vara lika lätt att återkalla som att ge sitt samtycke. Samtycke kan i allmänhet inte vara en behandlingsgrund i situationer där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvariga. En sådan situation är till exempel då den personuppgiftsansvariga är en myndighet.

Tillbaka upp

Behandlingen av personuppgifter är tillåten då den är nödvändig för att ett avtal som ingåtts med den registrerade ska kunna fullgöras. Avtalets syfte, mål och innehåll inverkar på vilken typ av behandling av personuppgifter den personuppgiftsansvariga kan utföra på basis av avtalet. Den personuppgiftsansvariga får också behandla den registrerades uppgifter för åtgärder som, på begäran av den registrerade, måste vidtas innan avtalet ingås. Behandlingsgrunden kan tillämpas av anordnare både inom den offentliga och privata sektorn. Behandling av personuppgifter som en anordnare av småbarnspedagogik eller utbildning utför grundar sig ändå i regel på att uppfylla en rättslig förpliktelse.

Tillbaka upp

Behandlingen av personuppgifter tillåts för att uppfylla en rättslig förpliktelse som åvilar den personuppgiftsansvariga. Förpliktelsen ska vara fastställd i Europeiska unionens lagstiftning eller i en medlemsstats nationella lagstiftning. Förpliktelsen kan grunda sig på en lag, förordning eller föreskrifter eller bestämmelser på lägre nivå. Behandlingsgrunden kan tillämpas av anordnare både inom den offentliga och privata sektorn.

Inom småbarnspedagogik, undervisning och utbildning grundar sig behandlingen av personuppgifter i regel på att uppfylla anordnarens förpliktelser som föreskrivs i lag. Rättsliga förpliktelser som hör till en anordnares verksamhet föreskrivs i huvudsak i lagstiftningen som berör småbarnspedagogik och utbildning samt i förpliktande föreskrifter som kompletterar lagstiftningen, såsom grunderna för planen för småbarnspedagogik, läroplansgrunderna och examensgrunderna. Förpliktelserna som anordnaren av verksamheten ska uppfylla berör till exempel beslutsfattande och bedömning, men uppgifterna behövs också för att sköta dagliga ärenden, såsom transport och måltider samt arrangemang vid olycksfall.

Tillbaka upp

Skydd av intressen som är av grundläggande betydelse kan utgöra en behandlingsgrund till exempel i situationer där det är fråga om hot mot den registrerades eller en annan fysisk persons liv eller hälsa och behandlingen av uppgifter är nödvändig för att förhindra detta. Behandlingen av personuppgifter kan utföras utgående från denna behandlingsgrund till exempel i en humanitär nödsituation, såsom en naturkatastrof eller epidemi.

Tillbaka upp

Behandlingen av personuppgifter kan vara nödvändig för att fullgöra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som den personuppgiftsansvariga har fått i uppgift att utföra, om uppgiften eller myndighetsutövningen har fastställts i EU:s lagstiftning eller i nationell lagstiftning. Tillämpningen av denna behandlingsgrund har preciserats i dataskyddslagen (1050/2018) både för den offentliga och den privata sektorns del. Enligt dataskyddslagen kan myndigheter behandla uppgifter på dessa grunder bland annat då behandlingen behövs och är proportionell i en myndighets verksamhet för att utföra en uppgift av allmänt intresse. Bestämmelsen möjliggör behandling som utförs av en myndighet även i situationer då rätten till behandlingen inte direkt kan härledas från bestämmelser om myndighetens uppgifter och befogenheter eller från möjlig, mer detaljerad speciallagstiftning. Bestämmelsen kan på motsvarande sätt tillämpas då lagstiftningen drar upp de allmänna riktlinjerna, inom vilka den personuppgiftsansvariga kan överväga hur myndighetsverksamheten utförs. Det kan till exempel vara frågan om planering och utredning som hör till myndighetens uppgifter.

Behandling som är av allmänt intresse kan också komma på fråga då uppgifterna behandlas för vetenskaplig eller historisk forskning eller för statistiska ändamål. I fråga om dessa ändamål kan denna behandlingsgrund tillämpas både inom den offentliga och privata sektorn.

Tillbaka upp

Behandlingen av personuppgifter tillåts då behandlingen är nödvändig för ändamål som rör den personuppgiftsansvarigas eller en tredje parts berättigade intressen. Behandlingsgrunden kan ändå endast tillämpas om den registrerades intressen eller grundläggande fri- och rättigheter inte väger ännu tyngre. En myndighet kan inte hänvisa till denna behandlingsgrund vid utförandet av uppgifter som hör till myndigheten. Denna behandlingsgrund kan tillämpas för behandling av personuppgifter som utförs av en privat anordnare till exempel i situationer då behandlingen inte grundar sig på att uppfylla en rättslig förpliktelse. För att tillämpa berättigade intressen som behandlingsgrund förutsätts ändå att anordnaren utför ett så kallat balanstest gällande intressena i fråga. Anordnaren ska påvisa att anordnarens berättigade intressen är i balans med den registrerades intressen eller fri- och rättigheter.

När en anordnare utvärdera ändamålsenligheten med behandlingen av personuppgifter utgående från berättigade intressen bör anordnaren i synnerhet beakta de rimliga förväntningar som den registrerade kan ha till följd av förhållandet till den personuppgiftsansvariga. Utgående från förhållandet mellan den registrerade och anordnaren av småbarnspedagogik och utbildning kan behandlingen av personuppgifter ofta vara ändamålsenlig och förutsägbar ur den registrerades perspektiv. Andra faktorer som ska tas i beaktande är till exempel hur nödvändiga uppgifterna är med tanke på den personuppgiftsansvarigas verksamhet, uppgifternas natur och omfattning, om behandlingen är av allmänt intresse eller på andra sätt allmänt berättigad samt på vilka sätt uppgifterna behandlas.

Tillbaka upp

Särskilda kategorier av personuppgifter är uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening, uppgifter om hälsa, uppgifter om en fysisk persons sexualliv eller sexuella läggning samt genetiska eller biometriska uppgifter för att entydigt identifiera en fysisk person. Behandlingen av sådana känsliga personuppgifter kan innebära betydande risker för den registrerade och därmed tillåts behandling av dylika uppgifter endast i undantagsfall på det sätt som fastställts i dataskyddslagstiftningen.

Den personuppgiftsansvariga får behandla dessa särskilda kategorier av personuppgifter till exempel då behandlingen föreskrivs i lag eller hänför sig till en uppgift som i lagstiftning föreskrivs den personuppgiftsansvariga. Inom småbarnspedagogik och utbildning grundar sig behandlingen av särskilda personuppgifter i allmänhet på att anordnaren behöver personuppgifterna för att sköta sina lagstadgade uppgifter. Behandling av uppgifter som berör ett barns, en elevs eller en studerandes hälsa kan vara nödvändig till exempel för att ordna individuell elev- och studerandevård, särskilt stöd eller måltidsarrangemang. Uppgifter som berör religiös övertygelse kan i sin tur behövas för att ordna undervisning i religion.

Behandling av särskilda kategorier av personuppgifter som grundar sig på en lagstadgad uppgift förutsätter att den personuppgiftsansvariga uppfyller ändamålsenliga och särskilda åtgärder för att skydda den registrerades rättigheter. Sådana skyddsåtgärder är till exempel åtgärder med vilka man i efterhand kan säkerställa och påvisa vilken aktör som har sparat, ändra eller flyttat personuppgifter samt åtgärder med vilka man ökar kompetensen hos personalen som behandlar personuppgifter. Skyddsåtgärderna kan också inbegripa att utse ett dataskyddsombud samt kryptering eller pseudonymisering av personuppgifterna. 

Den personuppgiftsansvariga får behandla personbeteckningar med den registrerades samtycke eller om behandlingen föreskrivs i lag. Personbeteckningar får också behandlas i situationer då det är viktigt att entydigt identifiera den registrerade för att utföra en i lag föreskriven uppgift eller för att tillgodose rättigheter och fullgöra skyldigheter som den registrerade eller den personuppgiftsansvariga har. Personbeteckningar får också behandlas för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Personbeteckningen bör inte i onödan antecknas i handlingar som upprättas utgående ifrån eller skrivs ut från personregistret. Inom småbarnspedagogik och utbildning grundar sig behandlingen av personbeteckningar ofta på ett behov av att entydigt identifiera den registrerade för att uppfylla lagstadgade uppgifter, till exempel vid ansökan eller anmälan till småbarnspedagogik och utbildning. Personbeteckningen antecknas också på de betyg som ges en elev eller studerande i enlighet med Utbildningsstyrelsens föreskrifter.

Tillbaka upp