Integritetspolicy

Integritetspolicy för förbundet Industrifacket Metall och dess avdelningar och klubbar.

Industrifacket Metall (IF Metall) är ett feministiskt fackförbund med över 300.000 medlemmar som tillsammans arbetar för rätten till ett bra och tryggt arbete. Vi arbetar för medlemmarnas intressen och för ett demokratiskt och jämställt samhälle. Organisationen omfattar flera juridiska personer i form av förbundet, lokala avdelningar, fackklubbar och bolag (se under rubriken Personuppgiftsansvar nedan). Varje juridisk person inom IF Metall är personuppgiftsansvarig för sina respektive personuppgiftsbehandlingar. Till det kommer att det ibland finns ett gemensamt personuppgiftsansvar som vi beskriver i ett inbördes arrangemang (pdf). 

Medlemmar och allmänhet ska ha möjlighet att få insyn i verksamheten. De ska kunna känna sig trygga med att information som samlas in får ett tillräckligt skydd och att informationen hanteras på ett korrekt sätt. IF Metall månar om din personliga integritet och eftersträvar en hög nivå av dataskydd. I vår integritetspolicy informerar vi om hur vi som personuppgiftsansvariga behandlar personuppgifter om dem som på olika sätt kommer i kontakt med oss och som vi registrerar personuppgifter om. 

Genom integritetspolicyn lämnar vi information enligt reglerna i EUs dataskyddsförordning(1), som oftast förkortas GDPR(2). Informationen beskriver följande: 

• Dina rättigheter, som även innefattar rätt att lämna klagomål till Integritetsskyddsmyndigheten. 
• Ändamål: Varför vi behandlar personuppgifter. Det kan handla om övergripande syften med verksamheten som till exempel att teckna kollektivavtal, men också mer precisa ändamål som t.ex. bokföring eller administration. Vi beskriver olika ändamål i avsnittet Hur vi behandlar personuppgifter nedan. 
• Rättslig grund: Vi informerar också om vilken rättslig grund vi stödjer oss på. Dessa är avtal (till exempel anställningsavtal och våra stadgar), samtycke, berättigat intresse (vi beskriver också hur vi har gjort en intresseavvägning) eller rättslig förpliktelse. Vi beskriver rättsliga grunder vi tillämpar i avsnittet Hur vi behandlar personuppgifter nedan. 
• Mottagare (vilka kategorier vi lämnar uppgifter till). Vi beskriver kategorier mottagare i avsnittet Hur vi behandlar personuppgifter nedan. 
• Utlämnande av uppgifter till tredje land (länder som ligger utanför EU/EES) eller till internationella organisationer. Vi beskriver generella situationer där en sådan risk kan finnas i avsnittet  När det finns risk för tredjelandsöverföring nedan. I övrigt beskrivs det i avsnittet Hur vi behandlar personuppgifter. 
• Hur länge vi behåller uppgifter och varför. Vi beskriver generella principer i avsnittet  Lagring av personuppgifter nedan. I övrigt beskrivs lagringsfrister i avsnittet Hur vi behandlar personuppgifter. 
• Förekomst av automatiserade beslut och/eller profilering. Vi beskriver generella situationer där en sådan risk kan finnas i avsnittet  När det finns risk för tredjelandsöverföring nedan. I övrigt beskrivs det i avsnittet Hur vi behandlar personuppgifter. 

Många ord och begrepp i dataskyddsförordningen är svåra att förstå. Vill du få hjälp med att förstå begreppen finns bra information hos Integritetsskyddsmyndigheten, se Introduktion till dataskyddsförordningen |IMY. Vi rekommenderar även Ordlista | IMY där du kan söka på ord som ofta används inom området. 

Personuppgiftsansvariga 

Den här integritetspolicyn omfattar följande personuppgiftsansvariga: 

IF Metall 

Industrifacket Metall, organisationsnummer 802002-2896, Olof Palmes gata 11, 111 37 Stockholm. 

Förbundskontoret har följande enheter som ingår i den juridiska personen IF Metall: Arbetslivsenheten, Ekonomiavdelningens kansli, Ekonomienheten, Förbundsledningen, Förhandlingsenheten, IT-enheten, Kommunikationsenheten, Ledningskansliet, Medlems- och avgiftsenheten, Organisationsenheten, Personalenheten, Utredningsenheten. 

Avdelningar 

IF Metall omfattar 32 avdelningar, som är egna juridiska personer och som därför har ett eget personuppgiftsansvar. Se förteckning över avdelningarna (pdf).

Klubbar 

IF Metall omfattar 1201 klubbar (vid den senaste revideringen av detta dokument), varav ungefär hälften är egna juridiska personer. Se förteckning över klubbarna (pdf). 

Gemensamt personuppgiftsansvar 

Inom IF Metall hanteras många personuppgifter gemensamt mellan de personuppgiftsansvariga som beskrivs i tidigare avsnitt. Hur den gemensamma behandlingen ser ut beskrivs i ett Inbördes arrangemang för IF Metall (pdf). 

Om förändringar i vår integritetspolicy 

Vi kan komma att löpande göra ändringar i integritetspolicyn. Senaste versionen kommer alltid att ligga på vår webbplats www.ifmetall.se. Om det innebär större förändringar försöker vi nå dig och berätta. Kontakta gärna oss om du har frågor eller saknar någon GDPR-information. 

Dina rättigheter 

• Du har rätt att få besked om vilka behandlingar vi gör om dig (kallas rätten till tillgång eller ibland registerutdrag). Ett registerutdrag ska bland annat innehålla beskrivning av ändamål och laglig grund med behandlingarna och vilka kategorier personuppgifter det rör. Sådan information har vi redan sammanställt på övergripande nivå, se nedan under Hur vi behandlar personuppgifter vilket är ett enkelt sätt för dig att få information om hur vi arbetar med personuppgifter. Ett registerutdrag innebär att du ska få en överblick över behandlingar så du förstår om, och i så fall med vilket syfte, dina personuppgifter behandlas. Se även information från Integritetsskyddsmyndigheten:  Rätt till tillgång | IMY 

• Om du tycker att vi har felaktiga personuppgifter om dig eller att de behöver kompletteras för att ge en fullständig bild har du rätt att begära att vi rättar eller kompletterar dem.  Se även information från Integritetsskyddsmyndigheten: Rätt att få dina felaktiga uppgifter rättade | IMY.  

• Du kan invända mot behandling vi gör beträffande marknadsföring eller profilering (vi beskriver i processerna i avsnittet Hur vi behandlar personuppgifter om profilering kan förekomma) samt om du har egna personliga skäl för att inte vilja få uppgifterna behandlade. Om du invänder kommer vi, om invändningen godtas, även att pröva om vi ska radera personuppgifterna. Självklart kommer vi alltid att radera personuppgifter om du inte längre önskar ta emot nyhetsbrev, marknadsföring och liknande information från oss.  

• Om du inte vill att vi ska fortsätta behandla personuppgifter har du rätt att begära att vi ska radera dem. Vi ska radera personuppgifterna om de inte är nödvändiga för de ändamål vi har, om du invänt mot behandlingen och invändningen godtas (se föregående punkt), om vi behandlat personuppgifterna på ett olagligt sätt och om vi har en rättslig förpliktelse att radera. Se även information från Integritetsskyddsmyndigheten: Rätt till radering av dina personuppgifter | IMY 

• Om du gett ett samtycke till behandling har du alltid rätt att återkalla samtycket och då kommer vi att radera personuppgifterna som omfattas av samtycket. Den behandling av uppgifterna som har skett innan samtycket återkallades kan dock fortfarande vara giltig och korrekt. Se även information från Integritetsskyddsmyndigheten: Rätt till radering av dina personuppgifter | IMY 

• Om du är i en rättslig tvist och behöver dina personuppgifter som bevis kan du också begära att vi inte raderar dina uppgifter (kallas begränsning eller frysning). Du har också rätt att begära begränsning när du ber oss rätta/radera uppgifter eller om du invänt mot en behandling, vilket innebär att vi inte får använda uppgifter under den tid vi undersöker om vi kan göra det du begärt. Se även information från Integritetsskyddsmyndigheten: Rätt till begränsning | IMY 

När vi prövar en rättighetsbegäran bedömer vi om det finns undantag som gör att vi inte kan göra det du ber oss om. Du kommer få ett besked från oss hur vi tänkt om vi inte helt kan göra det du vill.  

Kontakta oss eller vårt dataskyddsombud 

Det är viktigt för oss att du känner förtroende för hur vi behandlar personuppgifter om dig. Vill du utöva dina rättigheter eller har du andra frågor eller synpunkter kan du kontakta dataskyddsansvariga genom gdpr@ifmetall.se. Detsamma gäller om du vill utöva dina rättigheter (se ovan). 

Du kan också kontakta vårt dataskyddsombud Görel Wentz. Dataskyddsombudet har tystnadsplikt och kan självständigt vidta åtgärder i syfte att verka för ett gott inbyggt dataskydd i förbundet. Om du lämnar uppgifter till henne kommer hon att använda dem i syfte att förbättra dataskyddet och lagra dem enbart om det är nödvändigt för att kunna visa vilken grund det finns för hennes rekommendationer och åtgärder, eftersom detta är en viktig del i förbundets inbyggda dataskydd. Uppgifter som inte behövs för detta ändamål kommer att gallras. 

Kontakta Integritetsskyddsmyndigheten 

Du har alltid rätt att kontakta Integritetsskyddsmyndigheten (IMY) om du har synpunkter på vår behandling, se vidare här (det kallas att lämna klagomål). Detta får du givetvis göra utan att kontakta oss först, men vi värdesätter om du också berättar för oss vad du tycker, så att vi kan rätta till felaktigheter och ta med synpunkterna i vårt kontinuerliga förbättringsarbete. 

Hur vi behandlar personuppgifter i vår verksamhet 

Nedan beskriver vi hur vi behandlar personuppgifter i olika verksamheter där IF Metall har ett personuppgiftsansvar. För att göra det enklare för dig att förstå informationen har vi ritat upp kartor över våra vanligaste processer (beskrivning av våra arbetsuppgifter utifrån den registrerades perspektiv). Vi berättar sedan utifrån kartorna hur vi behandlar personuppgifter i följande verksamheter och vem som är personuppgiftsansvarig för behandlingarna: 

Medlemskap 

Medlemskap för studenter 

Medlemskap för pensionärer 

IF Metall kommer fortsätta att utveckla sin integritetspolicy och beskriva fler processer på det här sättet. Tills vidare hänvisar vi till en äldre version av integritetspolicyn för processer vi inte har hunnit med. 

Våra anställdas personuppgifter 

I alla processer inom verksamheten behandlas våra anställdas personuppgifter (till exempel namn, adressuppgifter, e-postadresser, telefonnummer, titel, befattning) när de utför sina arbetsuppgifter, till exempel när de svarar på en fråga eller kontaktar någon. Olika ändamål med behandlingar beskrivs i varje process och gäller också för anställdas personuppgifter. Den rättsliga grunden för behandling är:  

• avtal (anställningsavtalet eller annat avtal som den anställde ingått med arbetsgivaren),  
• berättigat intresse (arbetsgivarens intresse av att leda och fördela arbetet utgör ett berättigat intresse) och
• ibland kan en rättslig förpliktelse tillkomma (den beskrivs då i respektive process). 

Hantering av dokument och e-post 

Hanteringen av dokument och e-post ingår i beskrivningen av verksamhetens processer. För att göra bilden helt komplett redovisar vi också de principer vi har för hantering av personuppgifter i dokument och e-postmeddelanden: 

1. Riktlinjer för dokumenthantering och gallring är styrande för hanteringen. 
2. För dokument som inte är färdigställda eller annars inte omfattas av punkt 1 gäller att förbundet ska ha en tydlig dokumenthanteringsstruktur som innebär att flera versioner av dokument undviks. 
3. Om e-postmeddelanden behöver sparas ska de flyttas till det system eller den mapp där ärendet handläggs, inte sparas i e-postsystemet. 
4. När det behövs kan vi vidarebefordra ett inkommande e-postmeddelande till rätt mottagare inom förbundet. 
5. Känsliga(3) personuppgifter får endast skickas per e-post om de är krypterade. 
6. När ett dokument/sparat meddelande inte längre behövs för det ändamål det sparats för ska det raderas. 
7. Om det finns behov av att spara ett dokument som mall ska dokumentet rensas på alla personuppgifter innan mallen sparas. 
8. Det ska finnas en tydlig behörighetsstyrning i de system där personuppgifter behandlas, så enbart de personer som behöver få tillgång till personuppgifter har behörighet. 

Centrala IT-system 

Förbundet har tagit fram flera centrala IT-system och stöd som används i verksamheten. I många av processerna ovan kan därför ett gemensamt personuppgiftsansvar föreligga mellan de olika juridiska personerna inom förbundet när sådana system används. Närmare beskrivning finns i de processbeskrivningar där det är relevant samt i det inbördes arrangemang (pdf)  som beskriver hur ansvaret fördelas mellan de olika delarna av förbundet. 

IF Metall granskar i alla biträdesrelationer noggrant att biträden inte kan använda personuppgifter för egna ändamål (utöver att kunna fakturera och liknande godtagbara behov).

När det finns risk för tredjelandsöverföring 

IF Metall undviker så långt det är möjligt att behandla personuppgifter utanför EU/EES om inte EU-kommissionen beslutat att ett land utanför EU/EES (kallas för tredje land) har en adekvat skyddsnivå. 

De personuppgiftsansvariga använder sig av Microsofts program i sitt arbete, vilket kan innebära en viss risk för att personuppgifter överförs till USA av Microsoft.

Microsoft är ansluten till dataskyddsramen (ett adekvansbeslut i vilket EU-kommissionen förklarat att USA kan anses vara ett säkert tredje land). IF Metall kan efter att adekvansbeslutet har ingåtts även godta andra amerikanska leverantörer om de anslutit sig till dataskyddsramen.

IF Metall bedömer utöver granskningen av dataskyddsramen i varje enskilt fall om det finns behov av extra skyddsåtgärder när amerikanska system används. Detta kan innebära olika saker. När det gäller Microsofts system omfattas de även av standardavtalsklausuler som möjliggör tredjelandsöverföring.

IF Metall har utöver det vidtagit tekniska åtgärder i form av kryptering och egen kontroll över krypteringsnycklar samt organisatoriska åtgärder i form av styrning hur systemet får användas. 

Lagring av personuppgifter 

Uppgifterna lagras i enlighet med förbundets regler om dokumenthantering och arkivering. Vi beskriver våra principer för lagring även i varje process ovan. (Se Hur vi behandlar personuppgifter i vår verksamhet.) 

Samma personuppgift (till exempel ditt namn) kan lagras på flera olika ställen för olika ändamål. Det kan innebära att en uppgift som har raderats ur ett system för att den inte längre är nödvändig kan finnas kvar i ett annat system eller register där den lagras för ett annat ändamål där personuppgiften fortfarande behövs. Vill du veta hur dina personuppgifter används kan du begära ett registerutdrag. 

Automatiserade beslut och profilering 

Automatiserade beslut innebär att personuppgifter ligger till grund för vissa automatiska beslut där ingen människa är involverad i beslutet. Den typen av beslutsfattande används inte inom förbundets verksamhet.  

Profilering är en automatisk behandling av personuppgifter som består i att personuppgifterna används för att bedöma vissa egenskaper hos en fysisk person, till exempel för att förutsäga personens arbetsprestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet etc. Profilering kan komma att användas inom IF Metalls verksamhet, till exempel vid rekrytering (se avsnittet Hur vi behandlar personuppgifter i vår verksamhet).