Personnummer och GDPR vid digital signering

Ha en laglig grund för uppgifterna

Ni behöver ett tillåtet skäl, en rättslig grund, för att använda personuppgifter. Det ska vara klart innan ni samlar in dem.

Att uppgifterna behövs för ett avtal kan vara en sådan grund när personen själv är part i avtalet. Det gäller inte automatiskt en anställd som skriver under för sitt företag. Andra grunder har andra villkor.

En underskrift är inte ett allmänt samtycke

Att någon skriver under ett avtal betyder inte att ni får använda personuppgifterna till vad som helst. Samtycke enligt GDPR måste bland annat vara frivilligt, tydligt och möjligt att ta tillbaka.

Var försiktig med personnummer

Personnummer och samordningsnummer har ett särskilt skydd i Sverige. Utan samtycke får ni bara använda dem när det är tydligt motiverat av ändamålet, behovet av säker identifiering eller något annat beaktansvärt skäl. Ni behöver dessutom en rättslig grund enligt GDPR. Visa inte numren för fler än nödvändigt.

Personnummer räknas inte i sig som känsliga personuppgifter enligt GDPR. Uppgifter om till exempel hälsa har ytterligare regler.

Förklara, skydda och fördela ansvaret

Informera personerna om hur ni använder deras uppgifter. Begränsa åtkomsten och välj ett skydd som passar riskerna.

Den som bestämmer varför och hur uppgifterna används har ansvar för behandlingen. Om en leverantör hanterar uppgifter på era instruktioner kan ni behöva ett personuppgiftsbiträdesavtal. Det avtalet ersätter inte kravet på rättslig grund. Överföring utanför EU och EES kan kräva särskilda kontroller.

Bestäm när uppgifterna ska tas bort

GDPR har ingen gemensam lagringstid för alla signerade dokument. Spara personuppgifter så länge de behövs för ändamålet och det finns stöd för behandlingen.

Rätten att få uppgifter raderade har undantag. Uppgifter kan till exempel behövas för ett lagkrav eller ett rättsligt anspråk. Dokumentera varför ni sparar dem och se över behovet.

Börja med uppgifterna och deras ändamål

Namn, kontaktuppgifter och uppgifter om vem som undertecknat ett dokument kan vara personuppgifter. Även dokumentets innehåll och loggar som går att koppla till en person behöver tas med i bedömningen. Insamling, lagring, läsning och utlämning är alla behandling enligt GDPR.

Gör därför en förteckning över vilka uppgifter flödet använder och vad varje användning ska uppnå. Att identifiera undertecknaren, skicka en påminnelse och spara underlag för en avtalstvist är olika ändamål som behöver bedömas. Kraven på begränsning, säkerhet och ansvar följer bland annat av artiklarna 4 och 5.

Underskrift och GDPR-samtycke har olika funktioner

Bestäm rättslig grund för behandlingen innan ni börjar samla in uppgifter. Artikel 6 innehåller flera möjliga grunder. Avtal kan användas för behandling som är nödvändig för ett avtal där personen själv är part, eller för vissa åtgärder som personen begär inför ett avtal. En rättslig skyldighet eller ett berättigat intresse kan vara aktuellt i andra fall, om villkoren för den grunden är uppfyllda. Myndigheter får inte använda intresseavvägning när de fullgör sina uppgifter.

IMY förklarar att det inte räcker att någon accepterar avtalsvillkor för att ett GDPR-samtycke ska finnas. Ett sådant samtycke ska bland annat vara frivilligt, specifikt och informerat. Om en skriftlig förklaring omfattar både samtycke och andra frågor måste samtyckesbegäran kunna urskiljas tydligt. Den som samtycker ska också kunna återkalla det enligt artikel 7.

Exempel: om en anställd undertecknar för sitt aktiebolag är bolaget avtalspart. Utgå därför inte från att avtalsgrunden automatiskt täcker behandlingen av den anställdes uppgifter. Pröva vilken grund som stöder just den behandlingen. Det följer av att artikel 6.1 b avser ett avtal där den registrerade är part.

Personnummer kräver en särskild bedömning

Personnummer och samordningsnummer har ett särskilt skydd i Sverige. De räknas däremot inte i sig till GDPR:s särskilda kategorier av känsliga personuppgifter.

Enligt 3 kap. 10 § dataskyddslagen kräver behandling utan samtycke att den är klart motiverad utifrån behandlingens syfte, behovet av tillförlitlig identifiering eller andra relevanta skäl. IMY framhåller att rättslig grund och övriga GDPR-krav också måste vara uppfyllda.

För ett signeringsflöde behöver ni därför kunna förklara varför ett personnummer behövs och överväga om syftet går att uppnå med färre uppgifter. Ett behov av identitetskontroll betyder inte att personnumret behöver visas för alla mottagare eller i varje export. Begränsa exponeringen och bedöm varje användning.

Granska innehållet i dokumentet också

Ett dokument kan innehålla exempelvis hälsouppgifter eller information om fackligt medlemskap. Då behöver ni, utöver rättslig grund, kunna tillämpa ett undantag från förbudet mot behandling i artikel 9. Underskriftstekniken löser inte den frågan.

Kontrollera vilka bilagor som faktiskt behövs och vilka mottagare som ska kunna läsa dem. Om behandlingen sannolikt medför hög risk för personers rättigheter och friheter kräver artikel 35 en konsekvensbedömning före behandlingen. Behovet avgörs av behandlingen och dess risker; kravet följer inte enbart av att dokument undertecknas digitalt.

Klargör ansvar och leverantörens uppdrag

Den som bestämmer behandlingens ändamål och medel är personuppgiftsansvarig. Ett personuppgiftsbiträde behandlar uppgifterna för den ansvarigas räkning. Kartlägg därför rollerna för de olika behandlingarna i flödet. En avtalsrubrik avgör inte ensam vem som har vilken roll.

När en leverantör agerar biträde ska behandlingen regleras enligt artikel 28. Regleringen ska bland annat täcka dokumenterade instruktioner, skyddsåtgärder, underbiträden, hjälp med registrerades rättigheter och vad som händer med uppgifterna när tjänsten avslutas. Avtalet eller den andra rättsakten ska vara skriftlig och får ha elektroniskt format. Ett biträdesavtal ersätter inte bedömningen av den ansvarigas rättsliga grund.

Informera och begränsa åtkomsten

När uppgifter samlas in från personen ska information enligt artikel 13 lämnas vid insamlingen, om personen inte redan har den. Det omfattar bland annat vem som ansvarar, ändamål och rättslig grund, mottagare, lagringstid eller kriterier för den samt rättigheter. Om uppgifterna kommer från någon annan gäller artikel 14 med egna tidsregler och undantag.

Artiklarna 25 och 32 kräver att ni utformar flödet med dataskydd och lämplig säkerhet. Praktiska frågor är vilka medarbetare som får läsa handlingarna, hur mottagare identifieras och hur ni skyddar export och återställer förlorade uppgifter. Åtgärderna ska anpassas efter riskerna. Kontrollera även eventuella överföringar till tredjeland; de måste uppfylla kapitel V utöver övriga GDPR-krav.

Bestäm lagringstid och hantera raderingsbegäran

GDPR anger inte ett gemensamt antal år för alla signerade dokument. Artikel 5 kräver att identifierbara uppgifter inte sparas längre än vad ändamålet behöver. En verksamhet måste därför bedöma dokument, signeringsunderlag och tillfälliga loggar utifrån deras respektive syfte och tillämpliga regler.

Rätten till radering är inte ovillkorlig. Artikel 17 innehåller bland annat undantag när behandling behövs för en rättslig skyldighet eller för att fastställa, göra gällande eller försvara rättsliga anspråk. Undantagen ger inte stöd för att spara allt utan tidsgräns. Dokumentera behovet, begränsa åtkomsten och följ upp när uppgifter kan tas bort. Om lagring krävs enligt en annan lag behöver den regeln kontrolleras för den aktuella handlingen.

Kontrollera flödet innan det används

Använd frågorna som arbetsstöd utifrån reglerna ovan. Svaren behöver avse er behandling och det dokument ni ska skicka.

• Vilka personuppgifter behövs, för vilket ändamål och med vilken rättslig grund?
• Är personnummer nödvändigt och är den svenska särregeln uppfylld?
• Innehåller dokument eller bilagor känsliga uppgifter som kräver ytterligare stöd?
• Vilka aktörer bestämmer över behandlingen och vilka arbetar som biträden?
• Har personerna fått rätt information och har åtkomsten begränsats?
• Hur bedöms eventuella tredjelandsöverföringar och behovet av konsekvensbedömning?
• Vilka lagringstider gäller och vem hanterar begäran om rättigheter?