Medlemskap i fackförening – en känslig personuppgift

Fackföreningar hanterar, vad den nya dataskyddsförordningen definerar som känsliga personuppgifter. Att som fackförening leva upp till GDPR är inte lätt, men ingen omöjlighet.

Få lär väl ha missat att den 25 maj 2018 träder GDPR i kraft. GDPR har skapats för att säkerställa allas våra rättigheter kring våra personuppgifter och där den nya förordningen täcker de grundläggande rättigheterna som till exempel rätten att bli glömd, eller att få sina medlemsuppgifter digitalt flyttade till ett annat fackförbund eller förening.

Men GDPR lägger också stor vikt vid att känsliga personuppgifter skall hanteras med stor aktsamhet och ställer stora krav på hur detta skall ske, inklusive hur man hanterar eventuella avvikelser.

Medlemskap i fackförening är en sådan känslig personuppgift på samma sätt som etnicitet, sexuell läggning, hälsa eller politisk åskådning. Medlemskapet i fackförbundet är alltså förknippat med de absolut känsligaste personuppgifter som finns.

Tillsyn börjar hos de som hanterar känsliga personuppgifter

Nu jobbar jag inte på datainspektionen, men min gissning är att när morgonen gryr den 26 maj 2018 så kommer inte datainspektionen att börja sitt nya tillsynsuppdrag med att titta på om tex. Ångbåtsföreningen i Leksand har en fullgod GDPR-uppfyllnad. Man kommer säkerligen dock att börja med de företag, organisationer och föreningar som hanterar känsliga personuppgifter.

Detta ställer extra stora krav på dessa.

Krav på digitala strukturer

Att leva upp till GDPR i detta avseende är krävande men inte omöjligt. Vad som krävs är ordning och reda på sina digitala strukturer. Det gäller att veta när, vem, varför och med vilken laglig grund som en uppgift har behandlats eller ens tittats på.

Vi har under senaste året genomfört ett stort antal GAP-analyser för våra kunder, just för att identifiera var man står i förhållande till de krav som kommer att ställas. Utifrån denna analys kan man sedan arbeta strukturerat för att leva upp till den nya lagstiftningen.

Tillsättande av ett dataskyddsombud

GDPR kräver också att organisationer som hanterar känsliga uppgifter i stor skala (och som del av sin kärnverksamhet) tillsätter ett dataskyddsombud. Eftersom fackföreningar i stor skala hanterar känslig information om sina medlemmar, så är fackföreningar skyldiga enligt GDPR att tillsätta dataskyddsombud.

Så vad är ett dataskyddsombud? Ett dataskyddsombud en person som har mycket goda kunskaper om dataskyddslagstiftning och dataskydd. Dataskyddsombudet ska övervaka dataskyddsarbetet inom organisationen, och vid ange riktlinjer för hur dataskyddsarbetet ska bedrivas, särskilt (men inte bara) vid förändringsarbete. Dataskyddsombudet har också en rådgivande funktion inom organisationen.

Personuppgiftsincidenter

När någonting oplanerat inträffar vid personuppgiftshantering, så kallas detta för att en personuppgiftsincident har inträffat. Om incidenten medför risk för fysiska personers ”rättigheter och friheter” så ska Datainspektionen informeras. Detta ställer höga krav på organisatorisk beredskap.

Riskanalyser för hantering av personuppgifter

Den som hanterar uppgifter som i GDPR:s mening är ”känsliga” (som exempelvis uppgifter om medlemskap i en fackförening) måste utföra riskanalyser och själva ta initiativ till skyddande åtgärder, samt hålla samråd om hanteringen med Datainspektionen. Dessa riskanalyser kallas i GDPR för konsekvensbedömningar.