Personuppgiftspolicy

ADVOKATFIRMAN IVES AB:s POLICY FÖR BEHANDLING AV PERSONUPPGIFTER

1 Bakgrund och syfte

1.1 Advokatfirman Ives AB (”Advokatfirman Ives”) värnar om sina klienters, partners och anställdas integritet och är alltid mån om att följa gällande dataskyddsregelverk. Var och en har rätt till skydd av de personuppgifter som rör honom eller henne.

1.2 Advokatfirman Ives har därför antagit denna Policy för behandling av person­uppgifter (Policy) för att säkerställa att alla inom organisationen följer dataskyddsreg­lerna. Det här dokumentet avser ge medarbetare närmare vägledning om behandlingen av personuppgifter.

1.3 Den 25 maj 2018 börjar dataskyddsförordningen tillämpas. Den medför ett för­stärkt skydd för de personer vars personuppgifter behandlas och den ställer fler och hårdare krav på organisationer som behandlar personuppgifter.

1.4 Om en behandling av personuppgifter skulle strida mot bestämmelserna i data­skyddsförordningen finns risken för intrång i den personliga integriteten för de registrerade, men även risken för skadat anseende för advokatfirman. Vidare kan byrån dessutom bli skyldig att utge skadestånd eller påföras en administrativ sanktionsavgift på upp till tjugo miljoner euro eller 4 % av den totala globala årsomsättningen, beroende på vilket värde som är högst. För att undvika sådana konsekvenser är alla medarbetare skyldiga att följa dessa riktlinjer.

2 Tillämpningsområde och omfattning

2.1 Policyn gäller för Advokatfirman Ives alla anställda och konsulter, på alla mark­nader och vid var tid.

2.2 Advokatfirman Ives styrelse ska se till att denna Policy efterlevs, vilket bland annat innefattar utbildning för alla anställda. Informationen till de anställda ska även innefatta information om att överträdelse av policyn kan komma att med­föra t ex arbetsrättsliga konsekvenser.

2.3 Hur Advokatfirman Ives hanterar personuppgifter i konkursärenden regleras särskilt i avsnitt 10 nedan.

3 Grundläggande principer

3.1 De grundläggande principer som beskrivs nedan ska alltid iakttas när personupp­gifter behandlas. Advokatfirman Ives ansvarar för och ska kunna visa att princi­perna efterlevs.

3.1.1 Laglighet, skälighet, transparens – Personuppgifter ska behandlas lagligt, korrekt och transparent i förhållande till den registrerade. Det innebär att varje typ av behandling ska baseras på en giltig s.k. laglig grund, såsom exempelvis fullgörande av avtal, fullgöra en rättslig förpliktelse, utföra en uppgift av allmänt intresse, berättigat intresse eller samtycke (se avsnitt 5 nedan). Kan man inte identifiera någon laglig grund som är tillämplig för behandlingen får behandlingen således inte utföras.  Utgångspunkten för denna princip är tydlig kommunikation med den registrerade om bl.a. för vilka ändamål personuppgifterna behandlas, vilken typ av behandling som utförs, om och hur personuppgifterna delas med andra, hur länge personuppgifterna lagras och hur man kommer i kontakt med Advokatfirman Ives. De registrerade ska alltså ges tydlig och transparent information om behandlingen av deras personuppgifter.

3.1.2 Ändamålsbegränsning – Personuppgifter får endast samlas in och på annat sätt behandlas för särskilda, uttryckligt angivna och berättigade ändamål och de får inte senare behandlas på ett sätt som är oförenligt med dessa ändamål.

3.1.3 Uppgiftsminimering – Personuppgifter som behandlas ska vara adekvata, rele­vanta och inte alltför omfattande i förhållande till ändamålen. Säkerställ att upp­gifterna som samlas in verkligen behövs och fråga inte efter information bara för att den kanske kan vara bra att ha.

3.1.4 Riktighet – Personuppgifter som behandlas ska vara korrekta och om nödvändigt uppdaterade. Vidta lämpliga åtgärder för att se till att felaktiga eller ofullständiga uppgifter rättas, exempelvis rutiner för ändring av adress vid flytt med en sam­manställning av system och register där adressen lagras. Undvik dock att lagra kopior av uppgifterna i många system i syfte att undvika felkällor och att oupp­daterad information sparas.

3.1.5 Lagringsbegränsning – Personuppgifter får inte lagras under längre tid än nöd­vändigt med hänsyn till ändamålen med behandlingen. När uppgifterna inte längre behövs måste dessa gallras, vilket innebär att de antingen måste raderas eller avidentifieras.

3.1.6 Principen om ansvarsskyldighet innebär att Advokatfirman Ives måste kunna visa att dataskyddsförordningen efterlevs. Byrån måste därför exempelvis dokumen­tera implementerade och planerade processer och åtgärder som avser dataskydds­frågor. Vidare ska det finnas ett register över alla typer av behandlingar av per­sonuppgifter som utförs och advokatfirman ska kunna redovisa ett sådant register för tillsynsmyndigheten när så krävs.

4 Personuppgifter

4.1 Personuppgifter är alla uppgifter som avser en identifierad eller identifierbar fy­siskperson och som direkt eller indirekt kan identifiera en person. Exempel på personuppgifter är namn, kontaktuppgifter, lokaliseringsuppgifter eller faktorer som är specifika för en persons fysiska, ekonomiska, kulturella eller sociala iden­titet. Uppgifter som enskilt inte når upp till kraven kan tillsammans ändå utgöra personuppgifter.

4.2 All behandling av personuppgifter omfattas av dataskyddsförordningen och dess regler. Med behandling menas en åtgärd eller kombination av åtgärder avseende personuppgifter, som utförs helt eller delvis automatiserat. Även personuppgifter i e-post och i dokument på servrar, i en enkel lista, på webbplatser och i annat ostrukturerat material omfattas.

4.3 Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter, uppgifter om hälsa eller uppgifter om en persons sexualliv eller sexuella läggning (s.k. särskilda kategorier av personuppgifter) är som huvudregel förbjuden. För att sådan behandling ska vara tillåten krävs ett giltigt undantag från förbudet. De vanligaste undantagen är att den registrerade lämnat samtycke eller själv offentliggjort uppgifterna, för att utöva rättigheter eller fullgöra skyldigheter inom arbetsrätten, för att kunna fast­ställa, göra gällande eller försvara rättsliga anspråk eller för hälso- och sjukvårds­ändamål.

4.4 Behandling av personnummer får bara utföras om det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl.

4.5 Behandling av uppgifter om lagöverträdelser (fällande domar i brottmål och över­trädelser eller därmed sammanhängande säkerhetsåtgärder men sannolikt inte uppgift om misstanke om brott) får endast behandlas i vissa särskilda fall. Som advokatbyrå får vi behandla personuppgifter om (i) behandlingen är nödvändig för kontroll av att jävssituation inte föreligger, (ii) enstaka uppgift som är nöd­vändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras i ett enskiltfall eller (iii) för penningtvättskontroll.

5 Laglig grund för behandlingen av personuppgifter

5.1 En behandling av personuppgifter är endast laglig om och i den mån någon av följande grunder är tillämplig.

5.1.1 Den registrerade har lämnat sitt samtycke till att personuppgifterna behandlas för ett eller flera specifika ändamål. Särskilda krav finns som måste vara uppfyllda för att samtycket ska vara giltigt.

5.1.2 Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås.

5.1.3 Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar Advokatfirman Ives. Som exempel kan här nämnas kontrolluppgifter som lämnas till Skatteverket.

5.1.4 Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person (t ex när det är fara för livet).

5.1.5 Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse (t ex som offentlig försvarare) eller som ett led i myndighetsutövning (t ex som Notarius Publicus).

5.1.6 Behandlingen är nödvändig för ändamål som rör Advokatfirman Ives eller tredje parts intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, (intresse­avvägning). Vid intresseavvägning tillkommer särskilda krav på dokumentation avseende den bedömning som gjorts.

6 Säkerhetsåtgärder, behörighetsstyrning och åtkomst, radering

6.1 Personuppgifterna ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna med användning av tekniska och organisatoriska åtgärder. Organisatoriska säkerhetsåtgärder kan innebära att behörighetskontroll används för de system som innehåller personuppgifter, loggning av åtkomst till person­uppgifter eller att datorer och dylikt som innehåller personuppgifter ska förvaras så att obehörig åtkomst försvåras och inte lämnas framme. Exempel på tekniska åtgärder som måste kontrolleras är om advokatbyrån har tillräckliga back-up rutiner, tillräckliga brandväggar, lösenordskyddade trådlösa nätverk, uppdaterat virusskydd, lösenordsskydd för mobila enheter såsom mobiltelefoner och surf­plattor, skydd mot obehörig intern åtkomst, lösenordskrav, kryptering vid behov, loggning av, åtkomst till och användning av IT-system m m.

6.2 Personuppgifter får inte bevaras längre än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Genom att upprätta och följa en gallringsrutin för respektive databas/behandling säkerställer man det strukturerade gallringsar­betet. Även personuppgifter i så kallat ostrukturerat material såsom i dokument på servrar, i en enkel lista, på webbplatser etc behöver raderas när ändamålet med behandlingen är uppfyllt.

7 Överföring till tredje land

7.1 För överföring av personuppgifter till länder utanför EU och EES (så kallad tredjelandsöverföring) gäller särskilda regler. Dataskyddsförordningen innebär att alla EU:s medlemsstater samt EES-länderna har ett likvärdigt skydd för per­sonuppgifter och personlig integritet och därför kan personuppgifter föras över fritt inom det området utan begränsningar. För länder utanför det området finns däremot inte några generella regler som ger motsvarande garantier och därför får tredjelandsöverföring endast ske under särskilda förutsättningar. Det här berör varje form av överföring av information över gränserna, t ex många online IT-tjänster, molnbaserade tjänster, tjänster för extern åtkomst eller globala databaser m m och behöver analyseras särskilt.

8 Konsekvensbedömning

8.1 Advokatfirman Ives har en särskild rutin på plats för att kunna identifiera och hantera särskilda integritetsrisker inom verksamheten och för strukturerad upp­följning. Särskilda risker för fysiska personers rättigheter och friheter kan exem­pelvis förekomma i samband med en viss typ av behandling av uppgifter, särskilt känsliga uppgifter, behandling i särskilt stor omfattning, användning av ny teknik eller dylikt.

8.2 Om en ny eller ändrad personuppgiftsbehandling i visst avseende sannolikt kan komma att medföra hög risk för fysiska personers rättigheter och friheter ska rutinen följas och en bedömning göras av effekterna av de påtänkta behandling­arna förskyddet av personuppgifter innan behandlingen påbörjas.

8.3 Innan sådan personuppgiftsbehandling påbörjas ska Andreas kontaktas för utredning om en konsekvensbedömning krävs, kontaktuppgifter se punkt 11.3.

9 Registerutdrag och utlämnande

9.1 Dataskyddsförordningen ger de registrerade ett flertal rättigheter vad gäller behandling av personuppgifter. Det är advokatfirmans uppgift att uppfylla dessa rättigheter och tillse att tillräckliga processer härför finns för att tillmötesgå de registrerade.

9.1.1 Den registrerade har rätt till information när personuppgifterna samlas in. Denna information ska tillhandahållas i en lättillgänglig skriftlig form med ett klart och tydligt språk. I dataskyddsförordningen föreskrivs ett antal tydliga krav som måste vara uppfyllda och kraven varierar beroende på om informationen har samlats in från den registrerade själv eller från tredje man.

9.1.2 Den registrerade har rätt att få bekräftelse på huruvida personuppgifter som till­hör denne behandlas, och i sådana fall få en kopia av personuppgifterna (regis­terutdrag). Denna rättighet gäller oberoende av den plats där personuppgifterna behandlas.

9.1.3 Om personuppgifter som behandlas är felaktiga eller ofullständiga kan den regi­strerade kräva korrigering. Om den registrerade visar att ändamålet för vilket personuppgifterna behandlas inte längre är tillåtet, nödvändigt eller rimligt under omständigheterna, ska de aktuella personuppgifterna raderas, om det inte finns några lagbestämmelser som anger annat.

9.1.4 Den registrerade har rätt att överföra personuppgifter som denne lämnat till Advokatfirman Ives till annan personuppgiftsansvarig (rätt till dataportabilitet) om behandlingen stöds på de lagliga grunderna avtal eller samtycke. Personupp­gifterna ska tillhandahållas den registrerade i ett strukturerat, allmänt använt och maskinläsbart format. Om det är tekniskt möjligt kan den registrerade begära att uppgifterna överförs direkt till annan personuppgiftsansvarig. Rätten gäller end­ast för de personuppgifter som den registrerade själv har lämnat till Advokatfirman Ives.

9.1.5 Den registrerade har i vissa fall rätt att kräva att Advokatfirman Ives begränsar behandlingen av dennes personuppgifter, d v s begränsar behandlingen till vissa avgränsade syften. Rätten till begränsning gäller bland annat när den registrerade anser att uppgifterna är felaktiga och har begärt att personuppgifterna rättas. Den registrerade kan då begära att behandlingen av personuppgifterna begränsas un­der tiden uppgifternas korrekthet utreds. När begränsningen upphör ska den en­skilde informeras om detta.

9.1.6 Den registrerade har rätt att invända mot behandling av personuppgifter som stöds på legitimt intresse som rättslig grund. Vid en invändning ska byrån upp­höra med behandlingen om man inte kan visa tvingande legitima grunder för behandlingen som överväger den registrerades intressen, rättigheter och friheter eller om behandlingen av personuppgifter utförs för etablering, utövande eller försvar av rättsliga anspråk.

9.1.7 I vissa fall har den registrerade rätt att begära radering av sina personuppgifter (”rätten att bli bortglömd”). Ett exempel är när samtycke är den lagliga grunden för behandlingen och den registrerade återkallar sitt samtycke.

9.1.8 När personuppgifter behandlas för direktmarknadsföring har den registrerade rätt att när som helst invända mot behandling av personuppgifter om denne. Om en registrerad motsätter sig behandling av personuppgifter för direktmarknads­ändamål ska behandling för sådana ändamål upphöra.

10 Konkursförvaltning

 

10.1 Inledning

10.1.1 Advokatfirman Ives har advokater som åtar sig arbete som externa konkursför­valtare och som i den verksamheten beaktar reglerna rörande behandling av per­sonuppgifter. Denna del av personuppgiftspolicyn beskriver hur konkursboet och Advokatfirman Ives behandlar dina personuppgifter. Konkursboet och Advokatfirman Ives behandlar personuppgifterna på ett lagenligt och korrekt sätt.

10.1.2 Konkursförvaltaren särskiljer mellan den behandling av personuppgifter som sker inom ramen för konkursboets verksamhet och den behandling som sker inom advokatfirmans normala verksamhet. Konsekvensen av en sådan uppdelning är att det kan bli fråga om två olika personuppgiftsansvariga i konkursärenden.

10.2 Advokatfirmans normala verksamhet i konkursärenden

10.2.1 Advokatfirman Ives är personuppgiftsansvarig för personuppgifter som konkurs­förvaltaren behandlar i sin roll som förvaltare, dvs. inom ramen för Advokatfirman Ives normala advokatverksamhet. Advokatfirman Ives ansvarar för att sådan behandling sker i enlighet med gällande dataskyddsbestämmelser.

10.2.2 I konkursärende inhämtar och behandlar Advokatfirman Ives personuppgifter i syfte att utföra det uppdrag som givits konkursförvaltaren. Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den myndighetsutövning som hanteringen av konkursärenden kan innefatta (exem­pelvis beslut om lönegaranti avseende anställda i ett konkursbolag).

10.2.3 För övrig personuppgiftsbehandling i konkursärenden hänvisas till denna policys övriga delar.

10.3 Konkursboets verksamhet

10.3.1 Ansvar för personuppgifter

Konkursboet är personuppgiftsansvarig för personuppgifter som konkursförval­taren behandlar inom ramen för konkursboets verksamhet och i egenskap av dess företrädare. Konkursboet ansvarar för att sådan behandling sker i enlighet med gällande dataskyddsbestämmelser.

10.3.2 Kategorier av personer som konkursboet behandlar personuppgifter om

• Ställföreträdare (fysiska personer som är företrädare för konkursbolaget)
• Konkursgäldenär (fysiska personer som försatts i konkurs)
• Borgenärer (privatpersoner som är företrädare för bolag som har fordran mot konkursbolag eller privatpersoner som har fordran mot konkursbolaget)
• Gäldenärer (privatpersoner som är företrädare för bolag som har skulder till konkursbolaget eller privatpersoner som har skulder till konkursbolaget)
• Aktieägare (privatpersoner som äger aktier i konkursbolaget)
• Anställda (privatpersoner som är anställda av konkursbolaget)
• Borgensmän (privatpersoner som har ett borgensåtagande)
• Leverantörer (privatpersoner som är företrädare för konkursboets leverantö­rer av diverse tjänster, exempelvis auktionstjänster)
• Revisorer eller redovisningskonsulter (privatpersoner som är revisorer eller redovisningskonsulter)
• Staten (privatpersoner som är företrädare för staten, exempelvis kontaktper­soner på Kronofogdemyndigheten, Skatteverket eller Tillsynsmyndigheten)
• Bank (privatpersoner som är företrädare för banker)
• Tredje part (privatpersoner som har egendom i konkursbolagets besittning)
• Familjemedlemmar (föräldrar, syskon m.m. till någon part)

10.3.3 Personuppgifter som konkursboet kan komma att behandla

• Namn
• Personnummer
• Kontaktuppgifter, såsom adress, e-postadress och telefonnummer
• Fastighetsbeteckning
• Registreringsnummer för fordon
• IP-nummer
• Bankuppgifter
• Löneuppgifter
• Facklig tillhörighet
• Hälsouppgifter

10.3.4 Varför och enligt vilken rättslig grund konkursboet behandlar personuppgifter

Konkursboet inhämtar och behandlar personuppgifter för att kunna ingå, hantera och fullfölja avtal med dig som borgenär, gäldenär, leverantör, revisor eller redo­visningskonsult, anställd eller bank. Den lagliga grunden för behandlingen av personuppgifter är att den är nödvändig för att fullgöra vårt avtal
med dig eller för att vidta åtgärder innan ett sådant avtal ingås. Om du inte läm­nar ovan nämnda personuppgifter har vi inte möjlighet att fullgöra våra åtagan­den gentemot dig.

Personuppgifter kan behandlas på grund av att konkursboet har en rättslig för­pliktelse att fullfölja, exempelvis personuppgifter till följd av konkursboets bok­föringsskyldighet eller andra skyldigheter som åvilar oss enligt lag.

I syfte att utföra uppdraget som konkursförvaltare att tillse att konkursboet sköts på ett korrekt sätt och enligt det uppdrag som getts konkursförvaltaren kan per­sonuppgifter komma att behandlas på grund av att behandling är nödvändig för att utföra en uppgift av allmänt intresse. Exempelvis åvilar det konkursförvalta­ren, som företrädare för konkursboet, att tillse att borgenärer till konkursbolaget inte blir missgynnade och fördelning av eventuella tillgångar sker på ett föredöm­ligt sätt.

10.3.5 Hur länge konkursboet sparar personuppgifter

Konkursboet lagrar aldrig uppgifter längre än nödvändigt med hänsyn till ända­målen med behandlingen. Regelbundet genomförs därför gallring bland lagrade personuppgifter.

Konkursboet kommer behöva lagra personuppgifterna under en längre period, bland annat för att administrera eventuella garantier, reklamationsfrister, för att följa lagkrav, myndighetsbeslut samt hantera rättsliga krav som kan tänkas riktas mot konkursbolaget och konkursboet. Konkursboet kan komma att spara per­sonuppgifter i upp till 10 år i enlighet med advokatsamfundets riktlinjer.

10.3.6 Vem som har tillgång till uppgifterna

Personuppgifterna kan komma att lämnas ut till och behandlas av tredje part. Det kan röra sig om koncernbolag, tjänsteleverantörer, andra juridiska rådgivare, revisorer, konsulter, myndigheter etc. Exempel på situationer när dina person­uppgifter kan komma att överföras till tredje part är när sådan åtgärd krävs med anledning av lag, tvist, myndighetsförfrågan eller beslut, efter egen begäran alter­nativt när det krävs för uppfyllelse av ett för konkursboet berättigat intressen. Konkursboet förblir alltjämt personuppgiftsansvarig för de personuppgifter som överlämnas, medan tredje part beroende på omständigheterna antingen blir självständigt personuppgiftsansva­rigt, med konkursboet gemensamt person-uppgiftsansvarigt eller konkursboets personuppgiftsbiträde.

10.3.7 Var konkursboet lagrar personuppgifterna

Personuppgifterna kan komma att behandlas både inom och utanför EU/EES. Nödvändiga åtgärder kommer att vidtas för att säkerställa att överföringen sker på lagligt sätt och att uppgifter fortsätter vara skyddade av de mottagande part­nerna utanför EU/EES.

10.3.8 Personuppgiftsincidenter

Vad som anges i avsnitt 11 nedan gäller även för den situationen när konkursboet är personuppgiftsansvarig.

10.3.9 Kontakta konkursboet

Vid frågor eller vid andra önskemål avseende personuppgifter i konkurser vänli­gen kontakta Andreas på 070-832 42 16 eller andreas@ives.se.

11 Personuppgiftsincidenter

11.1 En personuppgiftsincident är en säkerhetsincident som leder till oavsiktlig eller olaglig förstörelse, förlust, ändring eller obehörig åtkomst till personuppgifter. Exempel på personuppgiftsincidenter kan vara stöld av kundregister, oavsiktligt avslöjande av löneinformation via e-post till fel mottagare, en anställd tar hem en okrypterad arbetsdator som senare stjäls i ett inbrott och som leder till att in­formation om anställda eller kunder avslöjas, personuppgifter publiceras på web­ben av misstag, en bärbar dator innehållande personuppgifter tappas bort eller stjäls, m m.

11.2 Personuppgiftsincidenter kan behöva anmälas till tillsynsmyndigheten inom 72 timmar från upptäckten av incidenten om det är sannolikt att det föreligger en risk för fysiska personers rättigheter och friheter. Inträffade incidenter ska doku­menteras och man kan behöva underrätta berörda registrerade.

11.3 Vid en misstänkt personuppgiftsincident kontakta omedelbart Andreas på 070-832 42 16 eller andreas@ives.se. Det är sedan styrelsen som avgör om tillsynsmyndigheten eller de registrerade behöver underrättas.

 

12 Övrigt

12.1 För definitioner avseende termer som används i den här policyn hänvisas till data­skyddsförordningen.

12.2 Advokatsamfundet har utarbetat en vägledning för tillämpningen av EU:s data­skyddsförordning i advokatverksamhet, vilken finns tillgänglig på Advokatsam­fundets hemsida och vilken hänvisas till för närmare information.

12.3 Denna policy ska uppdateras årligen eller vid behov baserat på instruktioner från Advokatfirman Ives styrelse.

13 Frågor

Vid frågor som anknyter till behandling av personuppgifter, vänligen kontakta Andreas på 070-832 42 16 eller andreas@ives.se.

__________

Policy antagen av Advokatfirman Ives styrelse den 2 maj 2021.