1. Identifiera vilka personuppgifter ni samlar in

Vid era utbildningar och utfärdande av utbildningsbevis kan ni samla in:

• Namn
• Personnummer eller annan identifieringsinformation
• Kontaktuppgifter (t.ex. adress, e-post, telefonnummer)
• Arbetsplatsinformation
• Eventuellt andra uppgifter kopplade till certifieringen eller utbildningen

2. Informera deltagarna om hur deras uppgifter behandlas

Deltagarna måste informeras om:

• Vilka uppgifter ni samlar in
• Syftet med insamlingen (t.ex. för att utfärda och spara utbildningsbevis)
• Hur länge uppgifterna kommer att sparas
• Vem som har tillgång till uppgifterna
• Vilka rättigheter de har enligt GDPR, t.ex. rätt till tillgång, rättelse och radering av sina uppgifter

Detta kan göras genom en integritetspolicy som delas ut i samband med anmälan eller på utbildningstillfället.

3. Samla in och lagra uppgifter med samtycke eller avtal

Ni behöver en laglig grund för att behandla personuppgifter. Vanligtvis kan ni basera insamlingen på:

• Samtycke: Om ni behöver särskilt samtycke från deltagarna för att behandla deras uppgifter, till exempel för att kunna kontakta dem efter utbildningen.
• Avtal: Om hanteringen av uppgifterna är nödvändig för att uppfylla ett avtal, exempelvis att utfärda ett utbildningsbevis.

4. Säker lagring och åtkomstkontroll

• Personuppgifter ska lagras säkert, vilket kan inkludera kryptering av digitala register och låsta skåp för pappersdokument.
• Begränsa åtkomsten till endast de som behöver uppgifterna för att utföra sina arbetsuppgifter.
• Inför rutiner för att säkerställa att ingen obehörig kan komma åt uppgifterna.

5. Spara uppgifterna endast så länge de är nödvändiga

Bestäm en rimlig tidsperiod för hur länge ni behöver spara deltagarnas personuppgifter, t.ex. under certifikatets giltighetstid. Efter denna period bör uppgifterna raderas eller anonymiseras, om det inte finns lagliga krav som kräver längre lagringstid.

6. Utfärda utbildningsbevis

För att kunna utfärda utbildningsbevis är det nödvändigt att behandla viss personlig information. Ni bör informera deltagarna om hur deras information används för att skapa och lagra dessa bevis, samt hur de kan få tillgång till dem i framtiden.

7. Rättigheter för de registrerade

Enligt GDPR har deltagarna rätt att:

• Begära tillgång till sina uppgifter
• Få felaktiga uppgifter rättade
• Begära radering av sina uppgifter (med vissa undantag, t.ex. om ni måste spara dem för att uppfylla rättsliga skyldigheter)
• Invända mot eller begränsa hur uppgifterna behandlas

8. Dataskyddsombud och incidenthantering

Om ert företag behandlar stora mängder personuppgifter kan det vara aktuellt att utse ett dataskyddsombud. Ni bör också ha rutiner för att hantera och rapportera dataintrång eller andra säkerhetsincidenter till Datainspektionen inom 72 timmar om det skulle ske.

Genom att följa dessa steg kan ni säkerställa att ni hanterar personuppgifter på ett lagenligt och säkert sätt, samtidigt som ni upprätthåller deltagarnas rättigheter och förtroende.