Läs vår Policy om Personuppgiftshantering i originalform här

Inledning och syfte

Syftet med denna policy är att säkerställa att VTG Entreprenad AB hanterar personuppgifter i enlighet med EU´s dataskyddsförordning (General Data Protection Regulation -GDPR). Policyn omfattar alla behandlingar där personuppgifter hanteras och omfattar såväl strukturerad som ostrukturerad data.

Tillämpning och revidering

VTG Entreprenads VD ansvarar för att behandlingen av personuppgifter följer denna policy.

Policyn ska fastställas av ledningsgruppen minst en gång per år och uppdateras vid behov.

Kvalitet & hållbarhetschef tillsammans med dataskyddsombudet ansvarar för processen kring årlig uppdatering av policyn till följd av nya och förändrade regelverk.

Denna policy är tillämplig för företagets VD, medarbetare samt uppdragstagare som berörs av vår verksamhet.

Organisation och ansvar

VD har det övergripande ansvaret för innehållet i denna policy samt att den implementeras och efterlevs av verksamheten. VD får delegera ansvaret och implementeringen av denna policy till lämplig person på företaget. VD har delegerat implementeringen av denna policy till kvalitet och hållbarhetschef.

Alla medarbetare ansvarar för att de agerar i enlighet med denna policy.

Begreppep och förklaringar

Skrolla i sidled för att läsa hela tabellen.

Begrepp	Förklaring
Personuppgift	Varje upplysning som avser en levande identifierbar person
Registrerad	Den som en personuppgift avser, dvs den fysiska person som direkt eller indirekt kan identifieras genom personuppgifterna i ett register
Personuppgiftsbehandling	En åtgärd eller kombination av åtgärder beträffande personuppgifter, t.ex insamling, registrering, bearbetning, ändring, läsning och radering.
Personuppgiftsansvarig (PUA)	Alla som behandlar personuppgifter
Personuppgiftsbiträde (PUB)	Alla som behandlar personuppgifter för den personuppgiftsansvariges räkning.
Personuppgiftsbiträdesavtal	Avtal som måste skapas vid överföring av personuppgifter till någon utanför organisationen, som behandlar personuppgifter för den organisationens räkning.
Personuppgiftsincident	En incident där personuppgifter t.ex. förlorats eller där obehöriga fått tillgång till informationen.

Personuppgiftsbehandling

• Varje personuppgiftsbehandling ska ske enligt följande principer
  • Laglighet, rimlighet, öppenhet
  • Ändamålmålsbegränsning
  • Lagringsminimering
  • Uppgiftsminimering
  • Integritet och konfidentialitet
  • Ansvarsskyldighet
• Våra uppgiftsbehandlingar dokumenteras löpande i en excelfil som sparas på SharePoint.
• Uppföljning och utvärdering av vår hantering av personuppgifter ska ske en gång per år.
• Eventuella incidenter rörande personuppgifter som vi behandlar ska utan dröjsmål rapporteras till VTG´s dataskyddsombud. Dataskyddsombudet ska inom 72 timmar anmäla incidenten till dataskyddsinspektionen samt i övrigt vidta nödvändiga åtgärder med anledning av incidenten.
• Våra krav på att personuppgifter hanteras i enlighet med GDPR ska alltid säkerställas vid upphandling och utveckling av IT-lösningar och tjänster, och ska vara en del i kravspecifikationen och eventuella avtal.

Personuppgiftsbiträdesavtal

I de fall där VTG Entreprenad hanterar personuppgifter åt en annan organisations räkning, eller vice versa, så upprättas ett personuppgiftsbiträdesavtal mellan parterna.