Drönarkort och GDPR - så tänker du kring personuppgifter på fysiska kort

Börja med syftet

Innan uppgifter samlas in bör organisationen kunna svara på varför kortet behövs. Om syftet är visuell identifiering på en arbetsplats kan namn, foto, företag och roll vara tillräckligt.

Om syftet är medlemsadministration kan medlemsnummer också vara relevant.

Uppgifter som inte bidrar till syftet bör normalt inte tryckas bara för att de finns tillgängliga.

Dataminimering på själva kortet

Ett fysiskt kort kan tappas bort eller fotograferas. Därför bör innehållet vara mer restriktivt än i ett internt system med inloggning.

Undvik normalt:

• fullständigt personnummer
• privat bostadsadress
• inloggningsuppgifter
• säkerhetskoder
• känsliga personuppgifter
• detaljer som inte behövs för kortets funktion

För företagskort är det ofta bättre att använda företagets växel och gemensamma e-postadress än privata kontaktuppgifter.

Foto kräver en genomtänkt process

Om organisationen samlar in porträttfoton behöver den bestämma hur bilderna tas emot, var de lagras, vem som får tillgång till dem och när de ska raderas eller arkiveras.

För större beställningar kan det vara bra att ha en särskild rutin där fotografier får standardiserade filnamn och kopplas till rätt person utan att mer information än nödvändigt inkluderas i filnamnet.

QR-koder kan exponera mer data än man tror

En QR-kod kan leda till en publik profilsida. Det innebär att vem som helst som får tillgång till kortet kan skanna koden.

Organisationen bör därför fråga:

• behöver profilsidan vara offentlig?
• vilka uppgifter ska visas utan inloggning?
• kan sidan avpubliceras när kortet inte längre gäller?
• finns det känslig projektinformation som bör ligga bakom inloggning?

QR-koden är inte ett säkerhetssystem i sig.

Rättslig grund och information till personen

Organisationen behöver ha en rättslig grund för sin behandling och informera personen om hur uppgifterna används. Vilken rättslig grund som passar beror på sammanhanget.

För en arbetsgivare, förening eller utbildningsaktör kan bedömningen skilja sig åt. Samtycke är inte automatiskt den bästa eller enda lösningen i alla situationer.

Det viktiga är att verksamheten gör en medveten bedömning och dokumenterar den där det krävs.

Personuppgiftsbiträde och leverantörsrelation

När en extern leverantör behandlar personuppgifter för organisationens räkning kan frågor om personuppgiftsbiträdesavtal och ansvarsfördelning bli aktuella. Exakt rollfördelning beror på hur beställning och behandling är upplagd.

Organisationen bör därför kontrollera leverantörens aktuella villkor, integritetsinformation och processer innan persondata skickas.

Skydda beställningsfiler

För större seriebeställningar kan en fil innehålla många personers uppgifter. Sådana filer bör hanteras säkert och inte skickas genom oskyddade kanaler om det kan undvikas.

Intern åtkomst bör begränsas till personer som behöver informationen för sitt arbete.

Officiella behörighetsuppgifter

Om organisationen vill visa uppgifter om pilotens drönarbehörighet på ett privat kort bör den först avgöra om informationen behövs och hur den ska hållas aktuell.

Ett privat kort ska inte ge intryck av att vara utfärdat av Transportstyrelsen. Om behörigheten ändras behöver organisationen också ha en process för att uppdatera eller ersätta kortet.

Sammanfattning

GDPR och fysiska drönarkort går att kombinera, men personuppgiftsbehandlingen behöver vara genomtänkt. Samla bara in relevanta uppgifter, undvik känslig information på själva kortet, skydda porträttfoton och beställningsfiler och planera hur data ska gallras.

QR-koder och digitala profilsidor kräver samma typ av omsorg. En länk som är enkel att skanna kan också göra informationen enkel att sprida.

Plastkort.nu kan producera personliga plastkort med foto och anpassad information. Som beställande organisation bör du redan före produktion bestämma vilka uppgifter som verkligen behöver finnas på kortet och hur persondata ska hanteras under hela livscykeln.