Uni Direct Limited Sekretessstandard

1. Tolkning

- Definitioner:

Automatiserat beslutsfattande (ADM): när ett beslut fattas som enbart grundas på automatiserad behandling (inklusive profilering) som har rättsliga följder eller i betydande grad påverkar en enskild person. GDPR förbjuder automatiserat beslutsfattande (såvida inte vissa villkor är uppfyllda) men inte automatiserad behandling.
Automatiserad behandling: varje form av automatiserad behandling av personuppgifter som består av användning av personuppgifter för att utvärdera vissa personliga aspekter som rör en person, särskilt för att analysera eller förutse aspekter som rör personens arbetsprestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, tillförlitlighet, beteende, plats eller rörelser. Profilering är ett exempel på automatiserad behandling.
Företagets namn: Uni Direct Limited
Företagets personal: alla anställda, arbetare [entreprenörer, inhyrd personal, konsulter,] styrelseledamöter, medlemmar och andra.
Samtycke: samtycke som ska vara frivilligt, specifikt, informerat och utgöra en otvetydig viljeyttring från den registrerade, genom vilken den registrerade genom ett uttalande eller en tydlig positiv handling godtar behandlingen av personuppgifter som rör honom eller henne.
Personuppgiftsansvarig: den person eller organisation som bestämmer när, varför och hur personuppgifter ska behandlas. Den är ansvarig för att etablera praxis och policyer i linje med GDPR. Vi är personuppgiftsansvariga för alla personuppgifter som rör vår företagspersonal och personuppgifter som används i vår verksamhet för våra egna kommersiella syften.
Registrerad person: en levande, identifierad eller identifierbar individ som vi har personuppgifter om. Registrerade personer kan vara medborgare eller bosatta i vilket land som helst och kan ha lagliga rättigheter avseende sina personuppgifter.
Konsekvensbedömning avseende dataskydd (DPIA): verktyg och bedömningar som används för att identifiera och minska riskerna med en databehandlingsaktivitet. DPIA kan utföras som en del av Privacy by Design och bör utföras för alla större system- eller affärsförändringsprogram som omfattar behandling av personuppgifter.
Dataskyddsombud (DPO): den person som måste utses under särskilda omständigheter enligt GDPR. Om ett obligatoriskt dataskyddsombud inte har utsetts innebär denna term en dataskyddschef eller annan frivillig utnämning av ett dataskyddsombud eller hänvisar till företagets dataskyddsteam med ansvar för efterlevnad av dataskydd.
EES: de 28 länderna i EU samt Island, Liechtenstein och Norge.
Uttryckligt samtycke: samtycke som kräver ett mycket tydligt och specifikt uttalande (det vill säga inte bara en handling).
Allmänna dataskyddsförordningen (GDPR): den allmänna dataskyddsförordningen ((EU) 2016/679). Personuppgifter är föremål för de rättsliga skyddsåtgärder som anges i GDPR.
Personuppgifter: all information som identifierar en registrerad person eller information som rör en registrerad person som vi kan identifiera (direkt eller indirekt) från dessa uppgifter ensamma eller i kombination med andra identifierare som vi har eller rimligen kan få tillgång till. Personuppgifter inkluderar känsliga personuppgifter och pseudonymiserade personuppgifter men utesluter anonyma uppgifter eller uppgifter där en persons identitet har tagits bort permanent. Personuppgifter kan vara faktauppgifter (t.ex. namn, e-postadress, plats eller födelsedatum) eller en åsikt om den personens handlingar eller beteende.
Personuppgiftsincident: varje handling eller underlåtenhet som äventyrar säkerheten, sekretessen, integriteten eller tillgängligheten för personuppgifter eller de fysiska, tekniska, administrativa eller organisatoriska skyddsåtgärder som vi eller våra tredjepartsleverantörer har vidtagit för att skydda dem. Förlust eller obehörig åtkomst, utlämnande eller förvärv av Personuppgifter är ett Personuppgiftsincident.
Privacy by Design: genomföra lämpliga tekniska och organisatoriska åtgärder på ett effektivt sätt för att säkerställa efterlevnad av GDPR.
Sekretessmeddelanden (även kallade meddelanden om rättvis behandling) eller sekretesspolicyer: separata meddelanden som innehåller information som kan tillhandahållas registrerade när företaget samlar in information om dem. Dessa meddelanden kan ha formen av allmänna integritetsmeddelanden som gäller för en viss grupp individer (t.ex. integritetsmeddelanden för anställda eller integritetspolicyn för webbplatsen) eller de kan vara fristående, engångsintegritetsmeddelanden som täcker behandling relaterad till ett specifikt syfte.
Behandling eller process: all aktivitet som innebär användning av personuppgifter. Det innefattar att inhämta, registrera eller lagra uppgifterna, eller att utföra en åtgärd eller en uppsättning åtgärder med uppgifterna, inklusive att organisera, ändra, hämta, använda, lämna ut, radera eller förstöra dem. Behandlingen omfattar även överföring eller överlåtelse av personuppgifter till tredje part.
Pseudonymisering eller pseudonymiserad: att ersätta information som direkt eller indirekt identifierar en person med en eller flera artificiella identifierare eller pseudonymer så att den person som uppgifterna avser inte kan identifieras utan användning av ytterligare information som är avsedd att hållas åtskild och säker.
Relaterade policyer: företagets policyer, operativa förfaranden eller processer som är relaterade till denna sekretessstandard och utformade för att skydda personuppgifter, som kan finnas på plats från tid till annan och är tillgängliga på begäran.
Känsliga personuppgifter: information som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller liknande övertygelse, medlemskap i fackförening, fysiska eller psykiska hälsotillstånd, sexualliv, sexuell läggning, biometriska eller genetiska uppgifter samt personuppgifter som rör brott och fällande domar i brottmål.

2. Inledning

Denna sekretessstandard anger hur Uni Direct Limited (”vi”, ”vår”, ”oss”, ”företaget”) hanterar personuppgifter från våra kunder, leverantörer, anställda, medarbetare och andra tredje parter.

Denna sekretessstandard gäller för alla personuppgifter som vi behandlar, oavsett på vilket medium dessa uppgifter lagras eller om de avser tidigare eller nuvarande anställda, arbetstagare, kunder, klienter eller leverantörskontakter, aktieägare, webbplatsanvändare eller någon annan registrerad.

Denna sekretessstandard gäller för all personal på företaget (”du”, ”din”). Du måste läsa, förstå och följa denna sekretessstandard när du behandlar personuppgifter för vår räkning och delta i utbildning om dess krav. I denna sekretessstandard anges vad vi förväntar oss av dig för att företaget ska kunna följa tillämplig lag. Din efterlevnad av denna sekretessstandard är obligatorisk. Relaterade policyer finns tillgängliga för att hjälpa dig att tolka och agera i enlighet med denna sekretessstandard. Du måste också följa alla sådana relaterade policyer. Alla överträdelser av denna sekretessstandard kan leda till disciplinära åtgärder.

Denna sekretessstandard (tillsammans med tillhörande policyer) är ett internt dokument och får inte delas med tredje part, kunder eller tillsynsmyndigheter utan föregående godkännande från dataskyddsombudet.

3. Omfattning

Vi är medvetna om att en korrekt och laglig behandling av personuppgifter upprätthåller förtroendet för organisationen och möjliggör en framgångsrik affärsverksamhet. Att skydda personuppgifternas konfidentialitet och integritet är ett kritiskt ansvar som vi alltid tar på allvar. Företaget riskerar böter på upp till 20 miljoner EUR (cirka 18 miljoner GBP) eller 4% av den totala globala årsomsättningen, beroende på vilket som är högst och beroende på överträdelsen, för underlåtenhet att följa bestämmelserna i GDPR.

Alla styrelseledamöter och chefer är ansvariga för att säkerställa att all personal på företaget följer denna sekretessstandard och måste införa lämpliga rutiner, processer, kontroller och utbildning för att säkerställa sådan efterlevnad.

Dataskyddsombudet ansvarar för att övervaka denna sekretessstandard och, i tillämpliga fall, för att utveckla relaterade policyer.

Kontakta dataskyddsombudet om du har frågor om tillämpningen av denna integritetsstandard eller GDPR eller om du är orolig för att denna integritetsstandard inte följs eller inte har följts. Du måste i synnerhet alltid kontakta dataskyddsombudet under följande omständigheter:

om du är osäker på den lagliga grund som du förlitar dig på för att behandla personuppgifter (inklusive de legitima intressen som används av företaget) (se avsnitt 5.1 nedan);
om du behöver förlita dig på samtycke och/eller behöver inhämta uttryckligt samtycke (se avsnitt 5.2 nedan);
om du behöver utarbeta integritetsmeddelanden eller meddelanden om rättvis behandling (se avsnitt 5.3 nedan);
om du är osäker på lagringstiden för de Personuppgifter som behandlas (se avsnitt 9 nedan);
om du är osäker på vilka säkerhetsåtgärder eller andra åtgärder du behöver vidta för att skydda Personuppgifterna (se avsnitt 10.1 nedan);
om det har skett ett Personuppgiftsbrott(avsnitt 10.2 nedan);
om du är osäker på vilken grund du ska överföra personuppgifter utanför EES (se avsnitt 11 nedan);
om du behöver hjälp med att hantera rättigheter som åberopas av en registrerad (se avsnitt 12);
när du deltar i en betydande ny eller förändrad behandlingsaktivitet som sannolikt kommer att kräva en DPIA (se avsnitt 13.4 nedan) eller planerar att använda personuppgifter för andra ändamål än vad de samlades in för;
Om du planerar att utföra någon verksamhet som innefattar automatiserad behandling, inklusive profilering eller automatiserat beslutsfattande (se avsnitt 13.5 nedan);
Om du behöver hjälp med att följa tillämplig lag när du utför direktmarknadsföringsaktiviteter (se avsnitt 13.6 nedan); eller
om du behöver hjälp med avtal eller andra områden i samband med delning av Personuppgifter med tredje part (inklusive våra leverantörer) (se avsnitt 13.7 nedan).

4. Principer för skydd av personuppgifter

Vi följer de principer för behandling av personuppgifter som anges i GDPR och som kräver att personuppgifter ska vara:

Behandlas lagligt, rättvist och på ett öppet sätt (laglighet, rättvisa och öppenhet).
Samlas endast in för specificerade, uttryckliga och legitima ändamål (ändamålsbegränsning).
Adekvat, relevant och begränsad till vad som är nödvändigt i förhållande till de ändamål för vilka uppgifterna behandlas (uppgiftsminimering).
Korrekt och vid behov uppdaterad (Korrekthet).
Inte lagras i en form som gör det möjligt att identifiera de registrerade under längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas (lagringsbegränsning).
Behandlas på ett sätt som säkerställer dess säkerhet med hjälp av lämpliga tekniska och organisatoriska åtgärder för att skydda mot obehörig eller olaglig behandling och mot förlust, förstörelse eller skada genom olyckshändelse (säkerhet, integritet och konfidentialitet).
Överförs inte till ett annat land utan att lämpliga skyddsåtgärder har vidtagits (begränsning av överföring).
Görs tillgänglig för registrerade och registrerade tillåts utöva vissa rättigheter i förhållande till sina personuppgifter (registrerades rättigheter och begäranden).

Vi är ansvariga för och måste kunna visa att vi följer de principer för dataskydd som anges ovan (ansvarsskyldighet).

5. Laglighet, rättvisa, öppenhet

- Laglighet och rättvisa

Personuppgifter måste behandlas lagligt, rättvist och på ett öppet sätt i förhållande till den registrerade.

Du får endast samla in, behandla och dela personuppgifter på ett rättvist och lagligt sätt och för angivna ändamål. GDPR begränsar våra åtgärder avseende personuppgifter till angivna lagliga syften. Dessa begränsningar är inte avsedda att förhindra behandling, utan säkerställer att vi behandlar personuppgifter på ett rättvist sätt och utan att det påverkar den registrerade negativt.

GDPR tillåter behandling för specifika ändamål, av vilka några anges nedan:

den registrerade har gett sitt samtycke;
Behandlingen är nödvändig för att fullgöra ett avtal med den registrerade;
för att uppfylla våra rättsliga skyldigheter..;
för att skydda den registrerades vitala intressen; eller
för att tillgodose våra berättigade intressen för ändamål där de inte åsidosätts på grund av att behandlingen skadar de registrerades intressen eller grundläggande rättigheter och friheter. De syften för vilka vi behandlar Personuppgifter för berättigade intressen måste anges i tillämpliga Sekretessmeddelanden eller Meddelanden om rättvis behandling.

Du måste identifiera och dokumentera den rättsliga grund som åberopas för varje behandlingsaktivitet.

Samtycke

En personuppgiftsansvarig får endast behandla personuppgifter på grundval av en eller flera av de lagliga grunder som anges i GDPR, vilket inkluderar samtycke.

En registrerad samtycker till behandling av sina personuppgifter om de tydligt anger samtycke antingen genom ett uttalande eller en positiv handling till behandlingen. Samtycke kräver en bekräftande handling, så tystnad, förkryssade rutor eller inaktivitet är sannolikt inte tillräckligt. Om samtycke ges i ett dokument som behandlar andra frågor, måste samtycket hållas åtskilt från dessa andra frågor.

Den registrerade måste enkelt kunna återkalla sitt samtycke till behandling när som helst och återkallandet måste omedelbart respekteras. Samtycket kan behöva uppdateras om du avser att behandla personuppgifter för ett annat och oförenligt syfte som inte avslöjades när den registrerade först gav sitt samtycke.

Om vi inte kan förlita oss på en annan rättslig grund för behandlingen krävs vanligtvis uttryckligt samtycke för behandling av känsliga personuppgifter, för automatiserat beslutsfattande och för gränsöverskridande dataöverföringar. Vanligtvis kommer vi att förlita oss på en annan rättslig grund (och inte kräva uttryckligt samtycke) för att behandla de flesta typer av känsliga uppgifter. Om uttryckligt samtycke krävs måste du utfärda ett meddelande om rättvis behandling till den registrerade för att inhämta uttryckligt samtycke.

Du måste bevisa att samtycke har inhämtats och föra register över alla samtycken så att företaget kan visa att det uppfyller kraven på samtycke.

Öppenhet (underrättelse till registrerade)

GDPR kräver att personuppgiftsansvariga tillhandahåller detaljerad och specifik information till registrerade beroende på om informationen samlades in direkt från de registrerade eller från annat håll. Sådan information måste tillhandahållas genom lämpliga integritetsmeddelanden eller meddelanden om rättvis behandling som måste vara kortfattade, transparenta, begripliga, lättillgängliga och skrivna på ett klart och tydligt språk så att den registrerade lätt kan förstå dem.

När vi samlar in personuppgifter direkt från registrerade, inklusive för personal- eller anställningsändamål, måste vi förse den registrerade med all information som krävs enligt GDPR, inklusive identiteten på den personuppgiftsansvarige och dataskyddsombudet, hur och varför vi kommer att använda, behandla, avslöja, skydda och behålla dessa personuppgifter genom ett meddelande om rättvis behandling som måste presenteras när den registrerade först tillhandahåller personuppgifterna.

När personuppgifter samlas in indirekt (t.ex. från en tredje part eller en allmänt tillgänglig källa) måste du förse den registrerade med all information som krävs enligt GDPR så snart som möjligt efter att du har samlat in/tagit emot uppgifterna. Du måste också kontrollera att personuppgifterna samlades in av den tredje parten i enlighet med GDPR och på en grund som överväger vår föreslagna behandling av dessa personuppgifter.

6. Begränsning av syftet

Personuppgifter får endast samlas in för särskilda, uttryckligt angivna och berättigade ändamål. De får inte behandlas vidare på något sätt som är oförenligt med dessa syften.

Du får inte använda personuppgifter för nya, andra eller oförenliga syften än de som angavs när de först erhölls, såvida du inte har informerat den registrerade om de nya syftena och denne har samtyckt där så krävs.

7. Minimering av uppgifter

Personuppgifter måste vara adekvata, relevanta och begränsade till vad som är nödvändigt i förhållande till de syften för vilka de behandlas.

Du får endast Behandla Personuppgifter när det krävs för att utföra dina arbetsuppgifter. Du får inte behandla personuppgifter av skäl som inte är relaterade till dina arbetsuppgifter.

Du får endast samla in personuppgifter som du behöver för att utföra dina arbetsuppgifter: samla inte in för många uppgifter. Se till att alla personuppgifter som samlas in är adekvata och relevanta för de avsedda ändamålen.

Du måste se till att personuppgifter som inte längre behövs för angivna ändamål raderas eller anonymiseras i enlighet med bolagets riktlinjer för datalagring.

8. Noggrannhet

Personuppgifterna måste vara korrekta och, om nödvändigt, hållas uppdaterade. De måste korrigeras eller raderas utan dröjsmål om de är felaktiga.

Du ska se till att de personuppgifter som vi använder och lagrar är korrekta, fullständiga, uppdaterade och relevanta för det syfte för vilket vi samlade in dem. Du måste kontrollera att personuppgifterna är korrekta vid insamlingstillfället och därefter med regelbundna intervall. Du måste vidta alla rimliga åtgärder för att förstöra eller ändra felaktiga eller inaktuella personuppgifter.

9. Begränsning av lagring

Personuppgifter får inte lagras i en identifierbar form under längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas.

Du får inte behålla personuppgifter i en form som gör det möjligt att identifiera den registrerade under längre tid än vad som krävs för det legitima affärsändamål eller de ändamål för vilka vi ursprungligen samlade in dem, inklusive i syfte att uppfylla rättsliga krav, redovisningskrav eller rapporteringskrav.

Företaget kommer att upprätthålla lagringspolicyer och förfaranden för att säkerställa att personuppgifter raderas efter en rimlig tid för de ändamål för vilka de hölls, såvida inte en lag kräver att sådana uppgifter ska sparas under en minimitid.

Du kommer att vidta alla rimliga åtgärder för att förstöra eller radera från våra system alla personuppgifter som vi inte längre behöver i enlighet med alla företagets tillämpliga scheman och policyer för lagring av register. Detta inkluderar att kräva att tredje part raderar sådana uppgifter där så är tillämpligt.

Du ska se till att de registrerade informeras om den period under vilken uppgifterna lagras och hur denna period fastställs i alla tillämpliga integritetsmeddelanden eller meddelanden om rättvis behandling.

10. Säkerhetsintegritet och konfidentialitet

- Skydd av personuppgifter

Personuppgifter måste skyddas genom lämpliga tekniska och organisatoriska åtgärder mot obehörig eller olaglig behandling och mot oavsiktlig förlust, förstörelse eller skada.

Vi kommer att utveckla, implementera och upprätthålla skyddsåtgärder som är lämpliga för vår storlek, omfattning och verksamhet, våra tillgängliga resurser, mängden Personuppgifter som vi äger eller upprätthåller för andras räkning och identifierade risker (inklusive användning av kryptering och pseudonymisering i tillämpliga fall). Vi kommer regelbundet att utvärdera och testa hur effektiva dessa skyddsåtgärder är för att säkerställa säkerheten i vår behandling av personuppgifter. Du är ansvarig för att skydda de Personuppgifter som vi innehar. Du måste genomföra rimliga och lämpliga säkerhetsåtgärder mot olaglig eller obehörig Behandling av Personuppgifter och mot oavsiktlig förlust av eller skada på Personuppgifter. Du måste vara särskilt noggrann med att skydda känsliga personuppgifter från förlust och obehörig åtkomst, användning eller utlämnande.

Du måste följa alla förfaranden och tekniker som vi inför för att upprätthålla säkerheten för alla personuppgifter från insamlingstillfället till förstöringstillfället. Du får endast överföra personuppgifter till tredjepartsleverantörer som samtycker till att följa de policyer och förfaranden som krävs och som samtycker till att vidta lämpliga åtgärder, enligt begäran.

Du måste upprätthålla datasäkerheten genom att skydda sekretessen, integriteten och tillgängligheten för personuppgifterna, som definieras enligt följande:

Konfidentialitet innebär att endast personer som har behov av att känna till och är behöriga att använda personuppgifterna har tillgång till dem.
Integritet innebär att personuppgifterna är korrekta och lämpliga för det ändamål för vilket de behandlas.
Tillgänglighet innebär att behöriga användare kan få tillgång till personuppgifterna när de behöver dem för behöriga ändamål.

Du måste följa alla tillämpliga aspekter av vår Informationssäkerhetspolicy och GDPR Compliance Policy som gäller från tid till annan och följa och inte försöka kringgå de administrativa, fysiska och tekniska skyddsåtgärder som vi implementerar och upprätthåller i enlighet med GDPR och relevanta standarder för att skydda Personuppgifter.

Rapportering av personuppgiftsincident

GDPR kräver att personuppgiftsansvariga anmäler alla personuppgiftsincidenter till den tillämpliga tillsynsmyndigheten och, i vissa fall, till den registrerade.

Vi har infört rutiner för att hantera alla misstänkta personuppgiftsincidenter och kommer att meddela registrerade personer eller någon tillämplig tillsynsmyndighet om vi är skyldiga att göra det enligt lag.

Om du vet eller misstänker att en personuppgiftsincident har inträffat ska du inte försöka utreda ärendet själv. Kontakta omedelbart den person eller det team som har utsetts till huvudkontaktpunkt för personuppgiftsincidenter och följ åtgärdsplanen för säkerhetsincidenter. Du bör bevara alla bevis som rör det potentiella personuppgiftsincidenten.

11.Överföringsbegränsning

GDPR begränsar dataöverföringar till länder utanför EES för att säkerställa att den nivå av dataskydd som GDPR ger enskilda personer inte undergrävs. Du överför Personuppgifter som härrör från ett land över gränserna när du överför, skickar, visar eller får tillgång till dessa uppgifter i eller till ett annat land.

Du får endast överföra Personuppgifter utanför EES om något av följande villkor är tillämpligt:

Europeiska kommissionen har utfärdat ett beslut som bekräftar att det land till vilket vi överför personuppgifterna säkerställer en adekvat skyddsnivå för de registrerades rättigheter och friheter;
lämpliga skyddsåtgärder finns på plats, t.ex. bindande företagsregler (BCR), standardavtalsklausuler som godkänts av Europeiska kommissionen, en godkänd uppförandekod eller en certifieringsmekanism, av vilka en kopia kan erhållas från dataskyddsombudet;
den registrerade har lämnat uttryckligt samtycke till den föreslagna överföringen efter att ha informerats om eventuella potentiella risker, eller
överföringen är nödvändig av något av de andra skäl som anges i GDPR, inklusive fullgörandet av ett avtal mellan oss och den registrerade, skäl av allmänt intresse, för att fastställa, utöva eller försvara rättsliga anspråk eller för att skydda den registrerades vitala intressen om den registrerade är fysiskt eller juridiskt oförmögen att ge sitt samtycke och, i vissa begränsade fall, för vårt berättigade intresse.

Du måste följa företagets riktlinjer för gränsöverskridande dataöverföringar.

12. Den registrerades rättigheter och förfrågningar

Registrerade personer har rättigheter när det gäller hur vi hanterar deras personuppgifter. Dessa inkluderar rättigheter till:

när som helst återkalla samtycket till behandling;
få viss information om den personuppgiftsansvariges behandlingsaktiviteter;
begära tillgång till sina Personuppgifter som vi innehar;
förhindra att vi använder deras Personuppgifter för direktmarknadsföring;
be oss att radera Personuppgifter om de inte längre är nödvändiga i förhållande till de syften för vilka de samlades in eller Behandlades eller att rätta felaktiga uppgifter eller komplettera ofullständiga uppgifter;
Begränsa behandlingen under särskilda omständigheter;
utmana Behandling som har motiverats på grundval av våra legitima intressen eller i allmänhetens intresse;
begära en kopia av ett avtal enligt vilket Personuppgifter överförs utanför EES;
invända mot beslut som enbart grundas på automatiserad behandling, inbegripet profilering (ADM);
förhindra behandling som sannolikt kommer att orsaka skada eller lidande för den registrerade eller någon annan;
underrättas om en personuppgiftsincident som sannolikt medför en hög risk för deras rättigheter och friheter;
lämna in ett klagomål till tillsynsmyndigheten, och
under begränsade omständigheter få eller begära att deras personuppgifter överförs till en tredje part i ett strukturerat, allmänt använt och maskinläsbart format.

Du måste kontrollera identiteten på en person som begär ut uppgifter med stöd av någon av de rättigheter som anges ovan (låt inte tredje part övertala dig att lämna ut personuppgifter utan vederbörligt tillstånd).

Du måste omedelbart vidarebefordra alla förfrågningar från registrerade personer som du får till din chef och följa företagets svarsprocess för registrerade personer.

13. Ansvarsskyldighet

- Den personuppgiftsansvarige måste genomföra lämpliga tekniska och organisatoriska åtgärder på ett effektivt sätt för att säkerställa att principerna för dataskydd efterlevs. Den personuppgiftsansvarige ansvarar för och måste kunna visa att principerna för dataskydd efterlevs.

Bolaget måste ha tillräckliga resurser och kontroller på plats för att säkerställa och dokumentera efterlevnad av GDPR, inklusive:

utse ett lämpligt kvalificerat dataskyddsombud (där så är nödvändigt) och en chef med ansvar för dataskydd;
implementera inbyggt integritetsskydd vid behandling av personuppgifter och genomföra konsekvensbedömningar när behandlingen innebär en hög risk för de registrerades rättigheter och friheter;
integrera dataskydd i interna dokument, inklusive denna sekretessstandard, relaterade policyer, sekretessmeddelanden eller meddelanden om rättvis behandling;
regelbundet utbilda företagets personal om GDPR, denna integritetsstandard och relaterade policyer och dataskyddsfrågor, inklusive till exempel den registrerades rättigheter, samtycke, rättslig grund, DPIA och personuppgiftsincidenter. Företaget måste föra ett register över företagspersonalens deltagande i utbildning; och
regelbundet testa de sekretessåtgärder som vidtagits och genomföra periodiska granskningar och revisioner för att bedöma efterlevnaden, inklusive att använda resultaten av testerna för att visa att efterlevnaden förbättrats.

Journalföring

GDPR kräver att vi för fullständiga och korrekta register över alla våra databehandlingsaktiviteter.

Du måste föra och upprätthålla korrekta företagsregister som återspeglar vår Behandling, inklusive register över de Registrerades Samtycken och förfaranden för att erhålla Samtycken.

Dessa register bör åtminstone innehålla namn och kontaktuppgifter för den personuppgiftsansvarige och dataskyddsombudet, tydliga beskrivningar av typerna av personuppgifter, typerna av registrerade, behandlingsaktiviteter, behandlingssyften, tredjepartsmottagare av personuppgifterna, lagringsplatser för personuppgifter, överföringar av personuppgifter, personuppgifternas lagringsperiod och en beskrivning av de säkerhetsåtgärder som vidtagits. För att skapa sådana register bör datakartor skapas som bör innehålla de detaljer som anges ovan tillsammans med lämpliga dataflöden.

Utbildning och revision

Vi är skyldiga att se till att all personal på företaget har genomgått lämplig utbildning för att de ska kunna följa lagar om dataskydd. Vi måste också regelbundet testa våra system och processer för att bedöma efterlevnaden.

Du måste genomgå all obligatorisk utbildning om datasekretess och se till att ditt team genomgår liknande obligatorisk utbildning.

Du måste regelbundet granska alla system och processer under din kontroll för att säkerställa att de överensstämmer med denna sekretessstandard och kontrollera att lämpliga styrningskontroller och resurser finns på plats för att säkerställa korrekt användning och skydd av personuppgifter.

Inbyggd integritet och konsekvensbedömning avseende dataskydd (DPIA)

Vi är skyldiga att genomföra Privacy by Design-åtgärder när vi behandlar personuppgifter genom att genomföra lämpliga tekniska och organisatoriska åtgärder (som pseudonymisering) på ett effektivt sätt för att säkerställa efterlevnad av principerna för dataskydd.

Du måste bedöma vilka Privacy by Design-åtgärder som kan implementeras i alla program/system/processer som behandlar personuppgifter genom att ta hänsyn till följande:

den senaste tekniken;
kostnaden för genomförandet;
behandlingens art, omfattning, sammanhang och ändamål, och
de risker av varierande sannolikhet och allvar för de registrerades rättigheter och friheter som behandlingen medför.

Personuppgiftsansvariga måste också genomföra konsekvensbedömningar avseende behandlingar med hög risk.

Du bör genomföra en DPIA (och diskutera dina resultat med dataskyddsombudet) när du genomför större system- eller affärsförändringsprogram som omfattar behandling av personuppgifter, inklusive:

användning av ny teknik (program, system eller processer) eller förändrad teknik (program, system eller processer);
Automatiserad behandling inklusive profilering och ADM;
storskalig behandling av känsliga uppgifter; och
storskalig, systematisk övervakning av ett område som är tillgängligt för allmänheten.

En DPIA måste innehålla:

En beskrivning av behandlingen, dess syften och den personuppgiftsansvariges berättigade intressen, om så är lämpligt;
en bedömning av nödvändigheten och proportionaliteten av Behandlingen i förhållande till dess syfte;
en bedömning av risken för enskilda personer, och
de riskreducerande åtgärder som vidtagits och påvisande av efterlevnad.

Automatiserad behandling (inklusive profilering) och automatiserat beslutsfattande

I allmänhet är ADM förbjudet när ett beslut har en rättslig eller liknande betydande inverkan på en enskild person, såvida inte:

en registrerad uttryckligen har lämnat sitt samtycke;
Behandlingen är tillåten enligt lag; eller
Behandlingen är nödvändig för att fullgöra eller ingå ett avtal.

Om vissa typer av känsliga uppgifter behandlas kommer skälen (b) eller (c) inte att vara tillåtna, men sådana känsliga uppgifter kan behandlas om det är nödvändigt (såvida inte mindre ingripande medel kan användas) för ett väsentligt allmänintresse, t.ex. bedrägeribekämpning.

Om ett beslut enbart ska grundas på automatiserad behandling (inklusive profilering) måste de registrerade informeras om sin rätt att göra invändningar när du först kommunicerar med dem. De måste uttryckligen uppmärksammas på denna rätt och den måste presenteras tydligt och separat från annan information. Vidare måste lämpliga åtgärder vidtas för att skydda den Registrerades rättigheter och friheter samt berättigade intressen.

Vi måste också informera den registrerade om logiken bakom beslutsfattandet eller profileringen, betydelsen och de förväntade konsekvenserna och ge den registrerade rätt att begära mänsklig inblandning, uttrycka sin åsikt eller bestrida beslutet.

En DPIA måste genomföras innan någon automatiserad behandling (inklusive profilering) eller ADM-verksamhet påbörjas.

Direktmarknadsföring

Vi omfattas av vissa regler och sekretesslagar när vi marknadsför oss till våra kunder.

Exempelvis krävs den registrerades förhandsgodkännande för elektronisk direktmarknadsföring (t.ex. via e-post, sms eller automatiserade samtal). Det begränsade undantaget för befintliga kunder som kallas ”soft opt in” gör det möjligt för organisationer att skicka marknadsföringsmeddelanden via sms eller e-post om de har fått kontaktuppgifterna i samband med en försäljning till personen, om de marknadsför liknande produkter eller tjänster och om de gav personen möjlighet att välja bort marknadsföring när de först samlade in uppgifterna och i varje efterföljande meddelande.

Rätten att invända mot direktmarknadsföring måste uttryckligen erbjudas den registrerade på ett begripligt sätt så att den klart kan särskiljas från annan information.

En registrerads invändning mot direktmarknadsföring måste omedelbart respekteras. Om en kund när som helst väljer att avstå från direktmarknadsföring ska dennes uppgifter raderas så snart som möjligt. Undertryckande innebär att man behåller tillräckligt med information för att säkerställa att marknadsföringspreferenser respekteras i framtiden.

Delning av personuppgifter

I allmänhet får vi inte dela personuppgifter med tredje part om inte vissa skyddsåtgärder och avtalsarrangemang har införts.

Du får endast dela de personuppgifter vi har med en annan anställd, agent eller representant för vår koncern (vilket inkluderar våra dotterbolag och vårt yttersta holdingbolag tillsammans med dess dotterbolag) om mottagaren har ett arbetsrelaterat behov av att känna till informationen och överföringen överensstämmer med eventuella tillämpliga begränsningar för gränsöverskridande överföringar.

Du får endast dela de personuppgifter som vi har med tredje part, till exempel våra tjänsteleverantörer, om:

de har behov av att känna till informationen för att kunna tillhandahålla de avtalade tjänsterna;
dela personuppgifterna i enlighet med det integritetsmeddelande som lämnats till den registrerade och, om så krävs, den registrerades samtycke har inhämtats;
den tredje parten har samtyckt till att följa de standarder, riktlinjer och förfaranden som krävs för datasäkerhet och att vidta lämpliga säkerhetsåtgärder;
överföringen överensstämmer med alla tillämpliga restriktioner för gränsöverskridande överföringar, och
ett fullständigt skriftligt avtal som innehåller GDPR-godkända klausuler för tredje part har erhållits.

Ändringar av denna sekretessstandard

Vi förbehåller oss rätten att ändra denna sekretessstandard när som helst utan föregående meddelande till dig, så kom tillbaka regelbundet för att få den senaste kopian av denna sekretessstandard.

Denna sekretessstandard åsidosätter inte några tillämpliga nationella lagar och förordningar om datasekretess i länder där företaget bedriver verksamhet.