# Personlig integritet vid behandling av personuppgifter

---

Denna sida handlar om konsekvenser för den personliga integriteten vid behandling av personuppgifter. Rätten till skydd för privatlivet och den personliga integriteten vid behandling av personuppgifter grundar sig i de grundläggande fri- och rättigheterna. En integritetsanalys görs för att säkerställa att förslagen respekterar de grundläggande rättigheterna och för att det ska vara möjligt att utföra den behandling av personuppgifter som förslagen förutsätter.

Med integritetsanalys avses här en analys av om ett förslag är förenligt med bestämmelserna om skyddet för den personliga integriteten vid behandling av personuppgifter. En viktig del i denna analys är bedömningen av om konsekvenserna för den personliga integriteten som personuppgiftsbehandlingen medför är nödvändiga och proportionerliga i förhållande till det man avser att uppnå med behandlingen.

Det är viktigt att i ett tidigt skede av utredningsarbetet skapa sig en helhetsbild av den personuppgiftsbehandling som kommer att aktualiseras genom förslaget. I vissa fall anges det i kommittédirektivet eller uppdragsbeskrivningen att en integritetsanalys ska göras, men en integritetsanalys kan behöva göras även i andra fall.

Med *personuppgift* avses varje upplysning som avser en identifierad eller identifierbar fysisk person som är i livet (se artikel 4.1 i dataskyddsförordningen).

Med *behandling* avses en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej (se artikel 4.2 i dataskyddsförordningen).

Frågor att ställa sig

För att ta reda på om en integritetsanalys behöver göras eller inte behöver det först undersökas om förslaget medför eller förutsätter någon behandling av personuppgifter antingen som en direkt följd eller som en indirekt konsekvens av förslaget. Om så är fallet behöver en integritetsanalys göras. Integritetsskyddsmyndigheten har tagit fram en [vägledning för integritetsanalys i lagstiftningsarbete](https://www.imy.se/publikationer/vagledning-for-integritetsanalys-i-lagstiftningsarbete/ "vägledning för integritetsskyddsanalys") som tillhandahåller en metod för att göra en integritetsanalys i sju steg.

**1. Vilken personuppgiftsbehandling kommer att ske och vilket grundläggande regelverk är tillämpligt på behandlingen?**

Det första steget i en integritetsanalys är att kartlägga och beskriva den behandling av personuppgifter som förslaget medför eller förutsätter, antingen som en direkt eller indirekt följd av förslaget. Även en utökning av en befintlig behandling av personuppgifter kräver en analys.

**2. Vilka integritetsrisker finns med personuppgiftsbehandlingen?**

Nästa steg är att göra en kartläggning och bedömning av integritetsriskerna med personuppgiftsbehandlingen. Det bör omfatta alla aktörer och personuppgiftsbehandlingar som omfattas av förslaget. Några exempel på aspekter att beakta vid en sådan kartläggning och bedömning är vilka typer av personuppgifter som ska behandlas, behandlingens omfattning och de övergripande ändamålen med behandlingen.

**3. Vilken befintlig reglering kan ge stöd för personuppgiftsbehandlingen?**

I detta steg kartläggs den befintliga reglering som kan ge stöd för personuppgiftsbehandlingen. Det är viktigt att kartlägga både reglering som styr själva verksamheten, till exempel hälso- och sjukvårdslagen, och eventuell dataskyddsreglering, exempelvis patientdatalagen.

**4. Finns det behov av ny reglering?**

När personuppgiftsbehandlingen, riskerna med denna och befintlig reglering har kartlagts är nästa steg att bedöma om det finns behov av ny kompletterande reglering. En mer integritetskänslig personuppgiftsbehandling ställer högre krav på hur preciserad den rättsliga regleringen behöver vara.

Om det finns stöd för behandlingen i befintlig reglering behöver det göras en samlad nödvändighets- och proportionalitetsanalys av förslagen. Då kan man gå vidare till fråga 7. I annat fall går man vidare till steg 5.

**5. Är grundlagsskyddet för den personliga integriteten tillämpligt?**

Enligt 2 kap. 6 § andra stycket regeringsformen har den enskilde en rätt till skydd mot betydande intrång den personliga integriteten. Om förslaget innebär sådana intrång krävs att det finns lagstöd för det. Vid bedömningen av vilka åtgärder som kan anses utgöra ett ”betydande intrång” ska både åtgärdens omfattning och arten av det intrång som åtgärden innebär beaktas.

**6. Hur ska den kompletterande regleringen utformas?**

Om man i steg 4 konstaterat att det krävs kompletterande reglering, behöver det bedömas hur regleringen ska utformas för att vara förenlig med dataskyddsförordningen och övrig dataskyddsreglering.

**7. Är personuppgiftsbehandlingen nödvändig och proportionerlig?**

Det sista steget i integritetsanalysen är att göra en samlad nödvändighets- och proportionalitetsbedömning av förslagen.

Potentiella fallgropar

Det är viktigt att tänka på att definitionen av personuppgifter är mycket vid. Var uppmärksam på att det kan vara mycket svårt att helt och hållet anonymisera uppgifter. Genom att behandla flera uppgifter om en fysisk person, som var för sig inte kan knytas till den personen, är det ibland möjligt att identifiera denne genom så kallad bakvägsidentifiering. Om så är fallet är det fråga om en personuppgift. Det kan t.ex. vara aktuellt när det är fråga om stora uppgiftssamlingar, även om uppgifterna inte innehåller direkta personuppgifter som namn eller personuppgifter.

Även behandling är ett vidsträckt begrepp och omfattar exempelvis insamling, registrering, lagring, bearbetning, utlämnande genom överföring, spridning eller radering (se artikel 4.2 i dataskyddsförordningen).

Senast uppdaterad:
2025-03-03