Artikel 14 GDPR styr informationen när personuppgifter kommer från någon annan än personen själv. Det kan vara en samarbetspartner, en offentlig webbplats, en leverantör av kontaktuppgifter eller en annan person som lämnar uppgifter om en anhörig. Den som tar emot uppgifterna behöver bedöma sin egen behandling och hur personen ska få information om den.
Arbetsgången här ger ett källregister, en tidsbedömning och ett konkret skrivunderlag. Den hjälper särskilt verksamheter som kombinerar egna formulär med externa uppgifter. Information enligt artikel 13 vid direkt insamling och artikel 14 vid indirekt insamling kan behöva samordnas i samma dokument, men tidpunkter och källor måste fortfarande gå att förstå.
1. Identifiera den indirekta insamlingen
Kartlägg vilka uppgifter organisationen får, från vem och till vilket ändamål. Ta med uppgifter som läggs till automatiskt av en integration. Om CRM-systemet berikar en yrkeskontakt med befattning och arbetsplats från en extern källa är det en behandling som ska beskrivas, även när ingen anställd har klistrat in uppgifterna manuellt.
Bedöm först om det handlar om personuppgifter. Att en e-postadress används i yrket eller att ett namn står offentligt gör inte uppgiften opersonlig. Kontrollera därefter vem som är personuppgiftsansvarig för den nya användningen. En leverantörs löfte om en laglig kontaktlista visar inte att er egen informationsskyldighet redan är uppfylld.
För in källan och flödet i registerförteckningen. Beskriv vad som samlas in direkt respektive indirekt om samma person. Det gör det lättare att upptäcka när en tidigare informationstext inte längre täcker alla uppgiftskategorier.
2. Räkna från mottagandet och kontrollera tidigare händelser
Informationen ska lämnas inom en rimlig period efter att uppgifterna erhållits, med hänsyn till omständigheterna, och senast inom en månad. Om uppgifterna ska användas för kommunikation med personen ska information lämnas senast vid den första kommunikationen. Om ett utlämnande till en annan mottagare förutses gäller senast det första utlämnandet. Pröva samtliga relevanta tidpunkter. GDPR: artikel 14.3.
Månadsgränsen är inte en standardmässig väntetid. Den börjar inte heller först när personen blir kund. Spara när er organisation faktiskt fick uppgifterna och vem som ansvarar för informationen. Automatisk import behöver ha en tidsstämpel som går att använda i uppföljningen.
Ett fiktivt företag får en kontaktlista den 3 september. Första kommunikationen med personerna planeras till den 9 september och första utlämnandet till en annan mottagare till den 7 september. Om artikel 14 gäller utan undantag behöver tidsbedömningen ta hänsyn till utlämnandet den 7 september. Företaget kan inte vänta till den 9 september eller till månadsgränsen bara för att det passar kampanjplanen.
Om utlämnandet skjuts upp behöver planen omprövas mot både kravet på rimlig tid och övriga relevanta händelser. Dokumentera även vilket system som hindrar en oplanerad vidareförmedling innan informationsfrågan är hanterad.
3. Samla innehållet i ett granskningsunderlag
Artikel 14.1–2 innehåller uppgifter om ansvarig, kontaktvägar, behandling och rättigheter. Två särskilt viktiga delar vid indirekt insamling är vilka kategorier av personuppgifter ni behandlar och varifrån de kommer. Gör en kontroll som skiljer obligatoriska grunduppgifter från information som ska lämnas när en viss situation förekommer.
| Avsnitt | Vad behöver stå? |
|---|---|
| Ansvarig och kontakt | Organisationens identitet och kontaktuppgifter, företrädare där det är tillämpligt samt kontakt till dataskyddsombud när det finns |
| Ändamål och grund | Den avsedda användningen, rättslig grund och berättigade intressen när artikel 6.1 f används |
| Uppgifter och källa | Kategorier som namn, yrkeskontakt eller bedömning samt konkret källinformation och om källan är allmänt tillgänglig |
| Mottagare och överföringar | Mottagare eller kategorier och relevant information om tredjelandsöverföring och skyddsåtgärder |
| Lagring | Period eller, när det inte går, kriterierna för att bestämma perioden |
| Rättigheter | Tillämpliga rättigheter, återkallelse när samtycke används och möjlighet att klaga till tillsynsmyndighet |
| Automatiserade beslut | Förekomst av sådana beslut enligt artikel 22.1 och 22.4 samt den information som då krävs om logik, betydelse och följder |
Beskriv den verkliga behandlingen. En tabell fylld med alla tänkbara rättsliga grunder ger inte personen besked om vilken grund som används för just den här användningen. Gör den bakomliggande bedömningen av rättslig grund innan informationsavsnittet fastställs.
4. Namnge källan så konkret som möjligt
”Partners och offentliga källor” kan vara för oprecist när ni faktiskt vet vilken partner eller webbplats som lämnade uppgifterna. Ange den konkreta källan där det är möjligt. Om flera källor har kombinerats och en enskild källa inte kan urskiljas behöver situationen förklaras med meningsfull tillgänglig information.
EDPB:s transparensriktlinjer, WP260 rev.01, behandlar bland annat källuppgifter och hur informationen ska göras begriplig. Använd den officiella publiceringen tillsammans med artikeltexten vid mer komplicerade insamlingar. EDPB: transparens.
Ett fiktivt källregister kan innehålla: ”Kontaktens namn och arbetsmejl från partnerns deltagarlista, mottagen den 3 september. Befattningen hämtad från arbetsgivarens offentliga kontaktsida den 4 september. Ingen ytterligare berikning beslutad. Verksamhetsansvarig ska verifiera att användningen har rättsligt stöd före kontakt.” Det visar både källa och begränsning utan att påstå att källans tillgänglighet gör återanvändningen tillåten.
5. Skriv ett begripligt första informationslager
Följande text visar hur ett kort inledande avsnitt kan utformas för en fiktiv organisation som samordnar ett gemensamt projekt. Det är ett skrivexempel; lagringsregel, mottagare och rättslig grund måste motsvara det verkliga projektet före användning.
Projekt Exempel AB har fått ditt namn, din yrkesroll och din arbetsmejladress från vår samarbetspartner, som angett dig som kontaktperson för det gemensamma installationsprojektet. Vi använder uppgifterna för att samordna leveranser och praktiska frågor med din arbetsgivare. Vår bedömda rättsliga grund är berättigat intresse av att genomföra projektsamordningen. I den fullständiga informationen nedan beskriver vi mottagare, lagring och dina rättigheter. Du kan kontakta oss för att få veta vilka uppgifter vi har, rätta fel och invända mot behandlingen.
Den slutliga informationen behöver också de konkreta kontaktuppgifterna och övriga tillämpliga delar i tabellen. Låt den korta texten leda direkt till den fullständiga informationen, inte till en startsida där personen måste leta. Kontrollera att rättighetsvägen fungerar för någon som inte har ett kundkonto.
Om kontaktuppgifterna är felaktiga behövs en rättelseväg. Koppla den till rutinen för riktiga personuppgifter, så att fel inte återförs från samma externa källa efter en manuell rättning.
6. Pröva de fyra undantagen utan standardfraser
Artikel 14.5 innehåller fyra grupper av undantag. De gäller i den utsträckning deras förutsättningar är uppfyllda, inte som ett allmänt undantag för en bransch eller en stor databas.
För det första kan personen redan ha informationen. Spara vilken version som lämnats, vad den täckte och hur ni vet att personen har den. Att partnern har en generell policy på sin webbplats visar inte ensamt att personen känner till er identitet, ert ändamål och era mottagare.
För det andra finns omöjlighet, oproportionerlig ansträngning och de situationer där informationsskyldigheten sannolikt gör behandlingens mål omöjliga eller avsevärt försvårar dem. Bestämmelsens faktiska villkor måste prövas, med särskild hänsyn till de ändamål och skydd som anges där. Lämpliga skyddsåtgärder ska vidtas, däribland att göra informationen offentligt tillgänglig. Kostnad eller obekvämlighet ska inte rutinmässigt bli ett undantag för hela verksamheten.
För det tredje kan erhållandet eller utlämnandet uttryckligen föreskrivas i tillämplig unionsrätt eller nationell rätt som också föreskriver lämpligt skydd. För det fjärde kan uppgifterna behöva förbli konfidentiella på grund av lagreglerad tystnadsplikt. Identifiera den konkreta bestämmelsen och dess räckvidd. Ett vanligt sekretessavtal mellan företag är inte i sig den lagreglerade tystnadsplikt som avses.
Ett granskningsbart undantagsbeslut ska ange berörda uppgifter, rättsligt stöd, faktiska hinder, alternativ som prövats, skyddsåtgärder och utlösande händelse för omprövning. Förvara beslutet med övriga bevis för ansvarsskyldighet.
7. Låt inte informationstexten bli ett utskickstillstånd
Att lämna artikel 14-information gör inte en marknadsföringskontakt tillåten. Pröva separat rättslig grund, rimliga förväntningar, uppgiftsomfång och reglerna för den aktuella kommunikationskanalen. En uppgift som hittats på en offentlig yrkessida är inte ett generellt samtycke till elektronisk reklam.
Om behandlingen gäller direktmarknadsföring behöver invändningsrutinen fungera i samma system som informationsutskicket. Rätten att invända ska framgå på det sätt artikel 21 kräver. Tänk också på att ett meddelande som rubriceras ”information om personuppgifter” kan innehålla marknadsföring om innehållet faktiskt driver ett erbjudande.
8. Kontrollera leverans och förändringar
Spara informationsversion, avsedd mottagarkrets och den valda distributionsvägen. Följ upp studsade meddelanden och felaktiga adresser med en proportionerlig åtgärd. Samla inte automatiskt in fler identifierare för att lösa ett problem som kan hanteras genom en annan lämplig informationsväg.
När en ny källa, kategori eller användning tillkommer ska tidigare information jämföras med förändringen. Om uppgifterna ska behandlas för ett annat ändamål ska personen före den ytterligare behandlingen få information om det nya ändamålet och annan relevant information enligt artikel 14.4. Uppdatera den faktiska integritetspolicyn och de kontaktpunkter som används.
Vanliga frågor
Räcker det att publicera informationen på webbplatsen?
Det avgörs av situationen och hur informationsskyldigheten ska uppfyllas. En allmän webbpolicy utan en fungerande väg till personen räcker inte automatiskt. Vid ett tillämpligt undantag enligt artikel 14.5 b ingår offentlig information bland skyddsåtgärderna, men undantaget måste först kunna motiveras.
Gäller artikel 14 när en anställd lämnar en anhörigkontakt?
Uppgifterna om den anhöriga kommer då från någon annan än den anhöriga. Bedöm informationen för den behandlingen och välj en praktisk väg. Den anställdas egen integritetsinformation är inte automatiskt information som den anhöriga har fått.
Måste varje ny import ge ett nytt identiskt meddelande?
Inte om och i den mån personen redan har den relevanta informationen och detta kan motiveras enligt artikel 14.5 a. Kontrollera däremot om källa, ändamål, uppgiftskategorier eller andra relevanta förhållanden har förändrats. Dokumentera den jämförelsen i stället för att alltid skicka om allt eller alltid avstå.