GDPR för Myndigheter och Kommuner: Så Hanterar Ni Personuppgifter Korrekt 2025

Två Lagar, En Balansgång - Varje Dag

Få uppgifter är så laddade för svenska myndigheter som frågan om GDPR myndighet ska tillämpa när en medborgare begär ut en handling. Å ena sidan finns offentlighetsprincipen, som ger varje person rätt att ta del av allmänna handlingar. Å andra sidan finns dataskyddsförordningen, som ska skydda enskildas personuppgifter. För en kommun eller statlig myndighet är det inte ett teoretiskt dilemma - det är en fråga som dyker upp flera gånger varje vecka i registratorns inkorg.

I den här guiden reder vi ut hur dataskydd kommun och myndighet ska hanteras i praktiken: vilken lag som faktiskt styr vid utlämning, hur ni hanterar personuppgifter offentlig sektor vid digitalisering, och vad som gäller för allmänna handlingar GDPR-mässigt när de innehåller känsliga uppgifter. Texten är allmän information och inte juridisk rådgivning - stäm alltid av specifika ärenden med er dataskyddsombud eller jurist.

Offentlighetsprincipen Möter Dataskyddsförordningen

Varför Denna Spänning Bara Finns i Offentlig Sektor

Ett privat företag behöver sällan väga insynsrätt mot dataskydd - de har ingen skyldighet att lämna ut interna dokument till allmänheten. En myndighet har motsatt utgångspunkt: enligt offentlighetsprincipen ska allmänna handlingar som huvudregel vara tillgängliga för alla, om inte sekretess gäller. Detta gör personuppgifter offentlig sektor-frågan strukturellt annorlunda än i näringslivet.

Vem avgör om en handling får lämnas ut?

Vid en begäran om utlämnande av en allmän handling är det Offentlighets- och sekretesslagen (OSL) som styr prövningen - inte dataskyddsförordningen. Handläggaren gör en sekretessprövning där man tittar på om något i handlingen omfattas av en sekretessbestämmelse (till exempel uppgifter om hälsa, ekonomiska förhållanden eller brottsmisstankar). Innehåller handlingen personuppgifter utan att sekretess gäller ska den som regel lämnas ut, även om det innebär att personuppgifter röjs. GDPR ändrar inte den grundlagsskyddade rätten till insyn - det är en av de viktigaste sakerna att förstå om allmänna handlingar GDPR-samspelet.

Var GDPR faktiskt gäller för en myndighet

Det är värt att upprepa, eftersom missförståndet är så vanligt: att neka utlämning av en allmän handling med hänvisning till "GDPR" är i normalfallet felaktigt. Rätt hantering är att pröva handlingen mot sekretessbestämmelserna i OSL. Om ingen sekretess gäller ska handlingen lämnas ut, oavsett om den innehåller personuppgifter eller inte.

Dataskyddsförordningen styr istället hur myndigheten behandlar personuppgifter internt: vilken laglig grund som finns för behandlingen, hur länge uppgifter sparas i system, vilken säkerhet som krävs, och vilka rättigheter den enskilde har (till exempel rätten till information om behandlingen). GDPR och OSL verkar alltså parallellt, med olika syften - och det är den distinktionen som ofta missas i den dagliga hanteringen.

Laglig Grund: Varför Samtycke Sällan Fungerar

Myndighetsutövning och Rättslig Förpliktelse som Grund

En vanlig felaktighet är att myndigheter försöker basera sin personuppgiftsbehandling på samtycke, precis som ett företag kan göra vid marknadsföring. Problemet är att samtycke enligt GDPR ska vara frivilligt och kunna återkallas utan konsekvenser - något som sällan är realistiskt i ett förhållande mellan medborgare och myndighet, där den enskilde ofta är beroende av myndighetens beslut. Datainspektionen (nuvarande Integritetsskyddsmyndigheten, IMY) har länge varit tydlig med att samtycke normalt inte är en lämplig grund i en sådan maktobalans.

För GDPR myndighet-behandling används därför normalt andra lagliga grunder:

• Myndighetsutövning - behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning, till exempel handläggning av bygglov, försörjningsstöd eller tillståndsärenden
• Rättslig förpliktelse - behandling som krävs för att myndigheten ska kunna följa annan lagstiftning, till exempel arkivlagstiftning eller folkbokföring
• Allmänt intresse - behandling som är nödvändig för uppgifter av allmänt intresse, exempelvis inom skola eller hälso- och sjukvård

Att identifiera rätt laglig grund per verksamhetsprocess är ett av de vanligaste momenten vi hjälper kommuner och myndigheter med vid digitalisering av nya system.

Ett vanligt fel är att en och samma laglig grund appliceras slentrianmässigt på hela verksamheten, till exempel att allt motiveras med "myndighetsutövning" utan närmare analys. I praktiken kan olika delar av samma ärende vila på olika grunder - en ansökan kan hanteras utifrån allmänt intresse medan ett senare beslut om avgift vilar på rättslig förpliktelse. Att dokumentera detta tydligt per process, gärna i samband med att ett nytt digitalt system upphandlas, gör det betydligt enklare att svara på frågor från både IMY och enskilda registrerade.

Konsekvensbedömning och Dataskyddsombud

Två Skyldigheter som Ofta Missas vid Nya Digitala System

DPIA - konsekvensbedömning avseende dataskydd

Innan ni inför ett nytt digitalt system som innebär behandling av personuppgifter i stor skala, känsliga personuppgifter, eller systematisk övervakning, kan en konsekvensbedömning (DPIA) krävas enligt GDPR artikel 35. Detta är särskilt relevant vid digitalisering av exempelvis socialtjänstens ärendehantering, vårdrelaterade system eller nya e-tjänster där medborgare loggar in med e-legitimation. En DPIA görs innan systemet tas i drift, inte efter.

Dataskyddsombud (DPO) - ett krav, inte ett val

Enligt GDPR artikel 37 är myndigheter och offentliga organ skyldiga att utse ett dataskyddsombud, oavsett storlek på verksamheten. Det gäller kommuner, statliga myndigheter, regioner och kommunala bolag som utför myndighetsuppgifter. Dataskyddsombudet ska bland annat övervaka efterlevnaden, ge råd vid DPIA:er och vara kontaktpunkt gentemot IMY och registrerade. Detta skiljer sig från privat sektor, där kravet på DPO oftare beror på verksamhetens art och omfattning.

I mindre kommuner delas ofta ett dataskyddsombud mellan flera nämnder eller till och med mellan flera kommuner via samverkansavtal, vilket är fullt tillåtet så länge ombudet kan agera oberoende och har tillräckligt med tid för varje verksamhet. Det viktiga är att rollen inte kombineras med ett uppdrag där personen själv beslutar om hur personuppgifter ska behandlas, eftersom det skulle undergräva ombudets oberoende ställning.

Känsliga Personuppgifter i Gamla Pappersarkiv

Socialtjänst, Vård och Personalakter Kräver Extra Hänsyn

Många kommunala arkiv innehåller decennier av handlingar från socialtjänst, elevhälsa och vårdverksamhet - områden där handlingarna ofta innehåller känsliga personuppgifter (till exempel om hälsa, missbruk eller familjeförhållanden). Vid digitalisering av sådant material krävs extra försiktighetsåtgärder utöver den vanliga skanningsprocessen:

• Begränsad åtkomst redan under skanningsprocessen, med sekretessavtal för inblandad personal
• Kryptering av filer både under överföring och i det digitala arkivet
• Behörighetsstyrning i det färdiga systemet, så att endast behöriga handläggare kan öppna känsliga akter
• Tydlig koppling till gällande sekretessbestämmelser i OSL, så att systemet flaggar handlingar som kräver sekretessprövning innan utlämning

Praktisk Checklista för Dataskydd Kommun och Myndighet

Vanliga Frågor om GDPR för Myndigheter och Kommuner

Gör Dataskydd till en Del av Digitaliseringen - Inte ett Hinder

GDPR myndighet-arbete behöver aldrig innebära att offentlighetsprincipen sätts på undantag. Med tydliga rutiner för sekretessprövning, rätt laglig grund per process och ett aktivt dataskyddsombud kan er organisation hantera personuppgifter offentlig sektor korrekt utan att tappa i öppenhet gentemot medborgarna.

Kom ihåg: denna guide ger en översikt av allmänna handlingar GDPR-frågor i stora drag. Varje myndighet har sin egen verksamhet, sina egna sekretessbestämmelser och sina egna system - och specifika fall bör alltid stämmas av med ert dataskyddsombud eller en jurist innan beslut fattas.

Med rätt struktur blir dataskydd kommun och myndighet ansvarar för en styrka snarare än en risk - både för medborgarnas förtroende och för organisationens egen trygghet.