Hur inventerar man “lagliga grund(er) för hantering av personuppgifter”?

När du har överblick över vilka personuppgifter som hanteras inom din organisation (och i vilka syften informationen hanteras!) så behöver du dokumentera varför lagring och behandling av personuppgifter är laglig.

När du listar vilka lagliga grunder som din organisation har för lagring/behandling, så är det lämpligt att utgå från listan över personuppgifter och vilka syften de används i. De vanligast förekommande lagliga grunderna är:

1. Samtycke. (Du har den registrerade personens samtycke till lagring/behandling.)
2. Avtal. (Du har ett avtal med den registrerade personen, eller avsikt att ingå ett avtal.)
3. Rättslig förpliktelse. (När annan lag säger att du måste registrera/behandla personuppgifter).
4. “Berättigat intresse”. (När du har en bra anledning som väger tyngre än den registrerades rätt att slippa behandlingen.)

Listan över vilka lagliga grunder din organisation har för behandling av personuppgifter bör tas fram i samarbete mellan verksamhetsexperter och personer som är kunniga specifikt på Dataskyddsförordningen. Listan över vilka lagliga grunder som din organisation stödjer sig på är ett levande dokument som kan behöva underhåll.

Det finns ytterligare två lagliga grunder, men de är främst avsedda för myndigheter, forskningsinstitutioner mm:

5. “Skydd av grundläggande intresse”. (När människoliv är hotade.)
6. “Allmänt intresse” eller “som led i myndighetsutövning. (Relevant för myndigheter och forskningsinstitutioner.)