Ni behöver informera om de behandlingar som ni normalt inte gör för medlemmar. I det här exemplet behövs samtycke för att lämna ut personuppgifter till kursgården eftersom uppgifterna avslöjar den enskildes fackliga medlemskap. 

Här är ett förslag på sådan text:
Kursgården behöver ditt namn för att kunna ge dig ett rum. Om du inte samtycker till att vi lämnar ut ditt namn kan vi inte erbjuda dig övernattning.
”Jag samtycker till att mitt namn skickas till kursgården för rumsbokning.”

Föreläsningar AB har i uppdrag att genomföra seminarier för förbundets räkning. Medlem får en inbjudan av förbundet att utan kostnad gå på seminarier hos Föreläsningar AB. Medlemmen anmäler sig på hemsidan hos Föreläsningar AB. Medlem anger även i vilket fackförbund personen är medlem i. På detta vis lämnar inte förbundet ut några personuppgifter till Föreläsningar AB. Listan på deltagare får förbundet av Föreläsningar AB. Förbundet kan även ta del av (en avidentifierad) utvärdering.

Föreläsningar AB är med denna hantering personuppgiftsansvarig och bör begära in samtycke vid anmälan som informerar den som anmäler sig att uppgifterna kommer att delas med förbundet för att kontrollera att personen verkligen är medlem. Ni ska inte teckna biträdesavtal.

1. Får vi skicka ut en enkät till tidigare medlemmar för att ta reda på varför de sagt upp sitt medlemskap?
2. Vad gör vi om de före detta medlemmarna ifrågasätter att vi skickar enkäter till dem fast de inte längre är medlemmar?
3. Vad svarar vi om de vill att vi ska ta bort dem från registret?
4. Behöver vi skriva något i mejlet som går ut med enkäten – länka till information?

1. Utgångspunkten i svaret är att det handlar om en enda enkät (plus ev. en påminnelse), för detta syfte, och som skickas i nära anslutning till att medlemskapet har avslutats. Andra förutsättningar skulle eventuellt ge ett annat svar.

Ni har ett berättigat intresse av att försöka ta reda på varför medlemmar utträder ur förbundet. Vår bedömning är att detta intresse väger tyngre än den före detta medlemmens intresse i det här fallet, under förutsättning att utskicket sker i nära anslutning till att medlemskapet upphörde. (Möjligen kan det anses ingå i det större ändamålet ”återvärvning” – där gjorde Datainspektionen, numera IMY, en bedömning enligt PuL att uppgifterna får användas för detta ändamål i ett år efter utträdet).

2. Det är nog få som tycker att det är konstigt att få en sådan enkät kort efter att man har utträtt en förening eller ett fackförbund. Om någon ändå hör av sig förklarar ni att utskicket gjordes efter en intresseavvägning (dvs. rättslig grund i art. 6.1. f + 9.2.d GDPR), och varför ni anser att ert intresse av att lära er mer om orsaker till att medlemmar väljer att avsluta sitt medlemskap väger tyngre än deras intresse. Ni berättar också att medlemmen kan invända mot att ni behandlar personuppgifterna på det här sättet.

3. Om de invänder mot behandlingen i det här fallet är vår bedömning att ni ska upphöra att behandla uppgifterna för detta ändamål. (Observera det kan finnas rättslig grund för att behandla medlemmens uppgifter för andra ändamål).

4. Ja, ni bör informera i utskicket eller länka till information på er webbplats om hur ni hanterar personuppgifter. Där ska finnas tydlig information om att ni sparar uppgifter om före detta medlemmar för ändamålet, den rättsliga grunden för detta inklusive hur ni har bedömt intresseavvägningen, hur länge uppgifterna sparas för detta ändamål m.m (se art.13).

Vi har i ett personuppgiftsbiträdesavtal godkänt att biträdena får anlita underbiträden som har server utanför EU/EES om de uppfyller de krav som ställs i GDPR. Innebär det att vi måste informera medlemmarna att vi avser lämna ut deras uppgifter till tredje land?

Den registrerades personuppgifter kan komma att föras över till ett land utanför EU/EES, så ja, ni måste informera medlemmarna om det. Ni behöver till och med ange till vilket land.

Tänk på att ni också måste informera om vilken grund ni har för överförandet (t.ex. ett kommissionsbeslut om adekvat skyddsnivå, bindande företagsbestämmelser, godkända standardavtalsklausuler etc). Det räcker inte att räkna upp olika grunder som finns i förordningen. Ni ska också tillhandahålla eller hänvisa till relevanta dokument, till exempel genom en länk (dvs. till det dokument ni anger som grund för överföringen).

Kort och gott är det kanske inte så bra att ge biträdet fria tyglar att överföra uppgifter till tredje land (eller att låta dem låta underbiträden göra det), eftersom det medför att ni får svårt att leva upp till kraven på er som personuppgiftsansvarig.

Varje behandling måste bedömas för sig, men här utgår vi från att arbetsgivaren inte har något intresse eller behov av de personuppgifter som den fackliga organisationen behandlar. Den fackliga organisationen är personuppgiftsansvarig eftersom uppgifterna behandlas för dennas ändamål (artikel 4 p. 7).

Arbetsgivaren behandlar personuppgifter för den fackliga organisationens räkning, till exempel genom att lagra uppgifterna, men har inget eget ändamål med behandlingarna. Detta innebär att arbetsgivaren är ett personuppgiftsbiträde (artikel 4 p. 8). Det är inte möjligt att avtala om en annan fördelning av personuppgiftsansvar än den som följer av GDPR.

Vad arbetsgivaren har för skäl att upplåta sina datorer, servrar etc. åt den fackliga organisationen har ingen betydelse för fördelningen av personuppgiftsansvar (t.ex. om det är för att de är tvungna att tillhandahålla ”skrivmedel” enligt lag, eller om de gör det frivilligt).

För det fall arbetsgivaren också har ett behov, ett ändamål, med behandlingen av de personuppgifter som den fackliga organisationen utför hos arbetsgivaren så är de båda organisationerna (gemensamt) personuppgiftsansvariga. Detta skulle exempelvis kunna vara fallet vid vissa förhandlingar.

Av de gratisverktyg som finns på webben så finns det inte något verktyg som vi känner till som också uppfyller villkoren enligt GDPR. Om det är gratis att använda verktyget tar de i stället in pengar på annat sätt, vilket oftast är att använda personuppgifterna för att sälja annonser.

Om ni anser att ni ändå måste använda gratisverktyg så gäller det att hitta det minst dåliga alternativet. För att minimera riskerna för den enskilde så bör ni åtminstone:

• inhämta ett samtycke till behandlingarna
• se till att inte ladda upp mejladresser till verktyget (går att klistra in länk i annat mejl)
• informera de som får erbjudande om enkäten hur uppgifterna behandlas samt om de hanteras utanför EU.

En anställd kan inte samtycka till att arbetsgivaren använder personuppgifter i ett visst syfte. Den anställde anses vara i en beroendesituation och ett sådant samtycke är inte giltigt.

Mer lämpligt är att hänvisa till en personuppgiftspolicy som arbetsgivaren tar fram och att det där står hur uppgifter används. Det bör också definieras om det kan vara en intresseavvägning om bilder syns på hemsidan (kan vara relevant för vissa titlar) medan andra behandlingar såsom att skicka uppgifter till pensionsbolag bygger på kollektivavtalet (avsättning till pension).

Den som anställs behöver inte kryssa i någon ruta om att personen godkänner en policy. Det är arbetsgivaren som beslutar om personuppgiftspolicyn och att skriva under anställningsavtalet är att godkänna anställningsvillkoren som helhet.

Lämpligast är att låta försäkringserbjudandet ingå som del av medlemserbjudandet. En överföring av personuppgifter till ett försäkringsbolag bygger då inte på samtycke utan grundar sig på medlemsavtalet som helhet.

Därmed är det artikel 6.1.b som avses som rättslig grund. Undantaget finns i artikel 9.2.b då det lämnas till tredje part (nödvändig överföring pga avtal inom området sociala förmåner o socialt skydd).

Det är tyvärr ganska vanligt att det i PuB-avtal står att biträdets ekonomiska ansvar begränsas till specifikt belopp eller den summa ni betalar per år till biträdet.

Det är en fördel för er att det i texten i stället står att om tillsynsmyndigheten delar ut sanktionsavgifter ska parterna verka för att agera i enlighet med artikel 82.3 och påtala att den part som brutit mot GDPR är den part som blir ansvarig. Det kan ge biträdet en trygghet i att ni inte kan kräva ersättning för fel som uppstått pga er. Det ger framför allt er en trygghet i att om biträdet gjort något fel och får en sanktionsavgift så begränsas inte deras ansvar.

Artikel 82.3 lyder: ”Den personuppgiftsansvarige eller personuppgiftsbiträdet ska undgå ansvar enligt punkt 2 om den visar att den inte på något sätt är ansvarig för den händelse som orsakade skadan.”

Den formella termen enligt GDPR för att godkänna något är att samtycka. Om en person samtycker till att röja medlemskapet inom en viss grupp så finns det inga problem med att bjuda in på det viset. Ett förslag på text är:

Jag samtycker till att inbjudningar från Saco-Arbetsgivare skickas öppet (exempelvis genom kalender i Outlook) vilket då visar mitt namn för andra som får inbjudan.

Viktigast här är att det blir tydligt vad personen samtycker till. Om en person tar tillbaka ett samtycke får inte längre namnet skickas öppet på det viset.

Ett alternativ är att mejla ut inbjudan som hemlig kopia till medlemmarna. De som anmäler sig får sedan en kalenderinbjudan. Lämpligen sker detta till alla när anmälningstid gått ut så dessa inte behöver skicka kalenderinbjudningar löpande. Deltagarna kommer då se andra som kommer på mötet precis som de skulle gjort om de hade närvarat fysiskt.

GDPR sätter inget hinder för att få ut uppgifter från arbetsgivare så länge det går att finna stöd i lag eller kollektivavtal (ex inför förhandling). Det går däremot inte att med stöd av GDPR tvinga arbetsgivaren att lämna ut uppgifter med stöd av GDPR.

Arbetsgivaren kan lämna ut uppgifter om anställda till fackförbund utan att bryta mot GDPR så länge det finns ett specifikt syfte (inom ramen för lag eller avtal). Det finns en AD-dom (nr 23/21) som säger att arbetsgivare som omfattas av kollektivavtal kan lämna ut uppgifter om alla anställda utan att bryta mot GDPR.

Det behöver dock finnas ett specifikt ändamål. Det räcker inte att en förening vill veta vilka som är medlemmar för det är den fackliga organisationens uppgift att ha koll på. Ändamål som ger stöd för denna utlämning av uppgifter är t.ex. en löneöversyn eller MBL-förhandling.

Länkar till information om AD-domen:

AD 2021 nr 23 (rättsfall från Arbetsdomstolen) | Sören Öman (sorenoman.se)

Dataskyddsförordningen hindrar inte arbetsgivare att följa Tobaksavtalet och lämna kopior på anställningsbevis till den lokala fackliga organisationen - LO-TCO Rättsskydd AB (fackjuridik.se)

Grundregeln är att det inte räcker med att informera om att ni har cookies på er hemsida. Så kallade nödvändiga cookies som gör att hemsidan fungerar som tänkt räcker det att lämna information om. Men de flesta cookies behöver en besökare på hemsidan samtycka till. Detta görs lämpligen genom en cookiebanner. Det finns flera olika företag på marknaden som erbjuder en cookiebanner som håller koll på vilka cookies någon godkänner och först då sätts.

Tänk också på att informera om något skickas till tredje land eller att det finns ett delat personuppgiftsansvar (exempelvis Google Analytics) innan personen har samtyckt till någon behandling.

Det räcker inte heller om ni har utgivningsbevis för er hemsida. Utgivningsbeviset ger ett grundlagsskydd för själva databasen och därmed det ni publicerar på webbplatsen. När det gäller spårning av besökare med cookies och pixlar så omfattas de personuppgiftsbehandlingarna inte av utgivningsbeviset. Ni måste alltså följa GDPR för de behandlingarna.