Dataskyddsförordningen definierar inte vilka personuppgifter som får behandlas i släktforskning. Det centrala är att släktforskaren följer principen om bundenhet till användningsändamålet. Enligt den ska personuppgifter samlas in enbart för ett visst, uttryckligt och lagligt ändamål, och de får inte senare behandlas på ett sätt som inte är kompatibelt med det ursprungliga ändamålet.

Behovet av varje uppgift som samlas in ska bedömas skilt för sig. Behovet av de personuppgifter som samlats in ska också kunna motiveras med tanke på syftet för släktforskningen. Personuppgifter bör inte heller samlas in för säkerhets skull, utan enligt plan och för ett visst ändamål.

Allmänt kan det anses att uppgifter som behövs för släktforskning är uppgifter om namnet, födelsetiden och -platsen, vigseltiden, dödstiden och -platsen samt titel och yrke för en person som hör till släkten och dennes make eller maka. Det är inte möjligt att ge en uttömmande förteckning över vilka personuppgifter som behövs, utan de bestäms närmare utifrån syftet för den aktuella släktforskningen. Till exempel har släktforskaren i regel varken ett behov av eller grunder för att behandla en persons hälsouppgifter eller uppgifter om dödsorsak.

Uppgifter som gäller religiös övertygelse, hälsa och politiska åsikter hör enligt EU:s allmänna dataskyddsförordning till särskilda kategorier av personuppgifter. Behandling av uppgifter som hör till särskilda kategorier av personuppgifter är i princip förbjuden.

Trots det principiell förbudet får uppgifter som hör till särskilda kategorier av personuppgifter behandlas, då ett undantag till förbudet föreskrivits i den allmänna dataskyddsförordningen eller någon annanstans i lagstiftningen. I släktforskning kan särskilda kategorier av personuppgifter med stöd av dataskyddsförordningen behandlas främst med den registrerades uttryckliga samtycke. Artikel 9.2 j i dataskyddsförordningen möjliggör behandlingen av uppgifter som hör till särskilda kategorier av personuppgifter när den är nödvändig för historiska forskningsändamål, men i regel uppfylls inte denna förutsättning i släktforskning.

Släktforskaren ska komma ihåg principen om att släktforskningen inte får kränka personuppgiftsskyddet hos de personer som är föremål för släktforskningen. Detta betyder bland annat att omnämnanden om adoptioner eller andra ämnen som med stöd av allmän livserfarenhet upplevs som personliga ska lämnas kvar i arkivens gömmor, såvida ett uttryckligt samtycke inte kan inhämtas hos de berörda personerna. Personbeteckningen får i sin tur aldrig användas i själva släktforskningen eftersom ett exemplar av utredningen i allmänhet lämnas till exempel till alla som deltagit i forskningen. Behandlingen av personbeteckningar på detta sätt stämmer inte överens med dataskyddsregleringen.

I släktforskning ska inte genetiska uppgifter om levande eller döda personer behandlas. Sådana uppgifter kan inte anonymiseras, och uppgifterna gäller i allmänhet utöver en enskild person även dennes släktingar i upp- och nedstigande led. Eftersom en person inte kan ge samtycke för en annan persons räkning, bör genomuppgifter inte behandlas alls på basis av samtycke.

Dataskyddsförordningen tillämpas inte när det handlar om behandling av personuppgifter som fysisk person gör som ett led i verksamhet som är helt och hållet privat eller har samband med personens hushåll (s.k. hushållsundantag). Om släktforskningen görs så att säga för skrivbordslådan för eget nöje och materialet inte publiceras till exempel på nätet, faller behandlingen av personuppgifter i samband med släktforskning utanför dataskyddsförordningens tillämpningsområde. Det är dock bra att observera att till exempel strafflagen trots detta kan bli tillämplig, om släktforskarens verksamhet uppfyller rekvisitet för till exempel ärekränkning eller spridande av information som kränker privatlivet.

Dataskyddsförordningen tillämpas inte på uppgifter som gäller döda personer, och i Finland finns inte heller några kompletterande föreskrifter på nationell nivå om behandling av personuppgifter om avlidna. Om släktforskningen alltså riktas mot döda personer, och det inte rör sig om behandling av sådana personuppgifter som också gäller levande personer, tillämpas dataskyddsförordningen inte. Till exempel kan döda personers släktingar inte heller utöva rättigheter som hör till den registrerade för den döda personens räkning.
 
Det bör dock observeras att en död persons uppgifter kan avslöja vissa omständigheter även om en levande person. I släktforskning kan det till exempel framkomma sådana uppgifter som beskriver relationer mellan personer, vilka i första hand gäller den avlidna personen men samtidigt berättar något om personens levande släktingar. Om en levande släkting utövar sina rättigheter enligt dataskyddsförordningen gällande dessa personuppgifter, har han eller hon rätt till det, även om det inte handlar om uppgifter som direkt gäller personen.

Om behandlingen av personuppgifter inte omfattas av undantagsregleringen, dvs. släktforskningen inte till exempel görs som ett led i verksamhet som är helt och hållet privat eller har samband med personens hushåll (s.k. hushållsundantag), ska dataskyddsförordningen tillämpas. I detta fall blir den person som behandlar personuppgifter för släktforskning personuppgiftsansvarig. Personer som är föremål för släktforskningen och vars personuppgifter släktforskaren behandlar är registrerade. På grund av detta ska släktforskaren bland annat kunna tillgodose den registrerades rättigheter. Det ska också stå klart för släktforskaren på förhand enligt vilken behandlingsgrund i artikel 6 i dataskyddsförordningen som han eller hon behandlar personuppgifterna.

Som lagliga behandlingsgrunder i släktforskning kommer främst samtycke och berättigat intresse enligt artikel 6 i dataskyddsförordningen på fråga. Om grunden för behandlingen är berättigat intresse, ska det utförda jämviktstestet och slutsatserna som dragits från det dokumenteras innan behandlingen börjar för att uppfylla den personuppgiftsansvariges ansvarsskyldighet. Personuppgifter får inte behandlas med stöd av berättigat intresse, om människors intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn,

När det gäller samtycke ska uppmärksamhet i sin tur ägnas åt artikel 7 i dataskyddsförordningen som innehåller krav som ställs på giltigt samtycke. Samtycket ska till exempel ha givits frivilligt och vara entydigt. När samtycke begärs ska olika omständigheter som är föremål för det inte som en helhet, utan en valmöjlighet ska erbjuds för varje enskilt ändamål. Samtyckena ska täcka alla behandlingsåtgärder som genomförs, och det ska vara lika lätt att återkalla samtycket som att ge det.

Om det till exempel av tekniska skäl inte är möjligt att återkalla samtycket eller det är svårare att återkalla än att ge samtycket, är samtycke inte en giltig behandlingsgrund. I detta fall ska släktforskaren hitta någon annan behandlingsgrund enligt artikel 6 i dataskyddsförordningen. En faktisk möjlighet till återkallande förutsätter också att den registrerade vars personuppgifter behandlas enkelt förmår att kontakta den personuppgiftsansvarige, dvs. släktforskaren. Därför ska till exempel släktforskarens kontaktuppgifter alltid vid behov uppdateras för den registrerade. Om det inte går enkelt att ta kontakt, är avtalet inte giltigt och behandlingen av personuppgifter strider mot lagen. Återkallande av samtycke innebär i princip också att de personuppgifter som behandlats med stöd av samtycket ska tas bort. Tigande kan däremot inte anses utgöra ett giltigt samtycke.
 
Även om det skulle vara tillåtet att göra släktforskning på någon annan behandlingsgrund än samtycke, dvs. i praktiken med stöd av berättigat intresse, sträcker sig den andra behandlingsgrunden inte till att publicera personuppgifter på internet. Att föra uppgifter i det öppna datanätet kräver ett samtycke som uppfyller förutsättningarna i artikel 7 i dataskyddsförordningen.

Enligt inledningsfras 160 i dataskyddsförordningen omfattas forskning för genealogiska ändamål av behandling av personuppgifter för historiska forskningsändamål. Släktforskning kan omfattas av bestämmelserna om historiska forskningsändamål i dataskyddsregleringen även om den inte skulle falla under det så kallade hushållsundantaget, där forskning görs som ett led i verksamhet som är helt och hållet privat eller har samband med personens hushåll. Släktforskning kan dock inte alltid anses uppfylla kännetecknen för historisk forskning.

När släktforskningen till sin art är sådan att den kan inkluderas under begreppet historisk forskning, anses den inte vara oförenlig med det ursprungliga användningsändamålet för personuppgifterna  (artikel 5.1 b i dataskyddsförordningen). Till kännetecknen för historisk forskning hör dock att uppgifter som gäller en viss person inte ska röjas för utomstående.

Läs mer om bundenhet till användningsändamålet

Den registrerades rättigheter finns i kapitel III i dataskyddsförordningen. Utgångspunkten är att den personuppgiftsansvarige, dvs. släktforskaren, också i praktiken ska kunna tillgodose alla dessa rättigheter. Registrerade är de personer vars personuppgifter släktforskaren behandlar för sin forskning.

Om det i släktforskningen är fråga om behandling av personuppgifter för historiska forskningsändamål, är det möjligt att vid behov avvika från de i dataskyddsförordningen föreskrivna rättigheterna till tillgång (artikel 15), rättelse (artikel 16), att begränsa behandlingen (artikel 18) och att göra invändningar (artikel 21), dvs. man kan låta bli att tillgodose rättigheterna. Rätten att låta bli att tillgodose den registrerades rättigheter är emellertid inte automatisk, utan det ska finnas ett behov av att avvika. Det är möjligt att låta bli att tillgodose rättigheterna endast till den del som de gör det omöjligt eller mycket svårare att uppfylla de forskningens ändamål. Således är ett direkt åsidosättande av den registrerades rättigheter inte ett lagenligt handlingssätt.
 
Till exempel förutsätter nekande till tillgång till uppgifterna att det de facto är svårt att tillgodose det. Lagstiftaren har som ett exempel gett en situation där hela forskningsmaterialet är pseudonymiserat, och den personuppgiftsansvarige inte innehar kodnyckeln som löser upp krypteringen. I släktforskning torde det högst sannolikt inte finnas motsvarande utmaningar med att tillgodose den registrerades rätt till tillgång till de personuppgifter som behandlas.

Dessutom bör det observeras att underlåtenhet att tillgodose den registrerades rättigheter som följer av artikel 15, 16, 18 och 21 i behandling av personuppgifter gällande historiska forskningsändamål enligt 31 § i dataskyddslagen också förutsätter en ändamålsenlig forskningsplan, utnämnande av en ansvarig person eller en grupp som ansvarar för forskningen samt att personuppgifterna inte röjs för utomstående. Om man alltså har för avsikt att lägga ut uppgifter till exempel på internet, är det inte möjligt att avslå den registrerades rättigheter genom att åberopa historisk forskning.
 
När personuppgifter behandlas för historiska forskningsändamål, är det också möjligt att avvika från den registrerades rätt att bli bortglömd. Släktforskaren som är personuppgiftsansvarig ska dock kunna motivera varför radering av den registrerades uppgifter sannolikt skulle göra det omöjligt eller mycket svårare att göra släktforskning. Motiveringarna ska kunna läggas ges till både den registrerade som begärt raderingen och tillsynsmyndigheten.

Ansvarsskyldigheten som kommer från dataskyddsförordningen förutsätter i praktiken att den personuppgiftsansvarige dokumenterar den avvägning som gjorts och grunderna för varför han eller hon har ansett att behandlingen kan fortsätta trots den registrerades invändningar. Även uppfyllandet av till exempel den registrerades informationsskyldigheter ska dokumenteras tillräckligt. Om ingen dokumentering har gjorts, har den personuppgiftsansvarige inte uppfyllt sina skyldigheter enligt dataskyddsförordningen och behandlingen är inte lagenlig.

Om släktforskning görs som ett led i verksamhet som är helt och hållet privat eller har samband med personens hushåll, dvs. för eget nöje eller för skrivbordslådan (s.k. hushållsundantag) eller om undantag gällande yttrandefrihet kan tillämpas på den, tillämpas dock den registrerades rättigheter inte. Undantag som gäller yttrandefrihet behandlas nedan i frågan ”Vilka saker ska den som skriver en släktbok beakta vid behandlingen av personuppgifter?”

Det gäller att förhålla sig med reservation till att publicera personuppgifter på internet. Att lägga ut personuppgifter på internet innebär att lämna ut dem.

Om en släktforskare publicerar en släktförteckning på nätet, kan han eller hon inte vara säker på vad de kommer att användas för. I det öppna datanätet är uppgifterna lättillgängliga för alla. De kan vara till nytta för en själv och för andra, men uppgifterna finns lika enkelt till hands för dem som använder uppgifter för fel ändamål. Det öppna datanätet är världsomspännande och det är inte möjligt att kontrollera hur uppgifter som läggs ut behandlas. Därför ska släktforskare som är personuppgiftsansvariga använda omdöme och beakta lagstiftningen innan uppgifterna publiceras på nätet.
 
I regel ska inga personuppgifter lämnas ut i det öppna datanätet utan den registrerades samtycke i någon som helst verksamhet. I vissa lagar finns uttryckliga bestämmelser om utlämnande av personuppgifter på nätet. Deras tillämpningsområde har dock avsetts vara begränsat.
 
Förutsättningarna för ett giltigt samtycke kommer från artikel 7 i dataskyddsförordningen. Samtycket är inte formbundet, men i praktiken är det bäst att inhämta samtycket i skriftlig form för att dess existens ska kunna visas och den personuppgiftsansvarige på detta sätt kan uppfylla sin ansvarsskyldighet.
 
När släktforskaren lägger ut personuppgifter på nätet gäller också att beakta principen för personuppgifternas bundenhet till användningsändamålet. Enligt den ska personuppgifter samlas in för ett bestämt, uttryckligt och lagenligt ändamål, och de får inte behandla senare på ett sätt som inte är förenligt med dessa ändamål. Med andra ord ska släktforskaren på förhand fundera över vilka personuppgifter som ska samlas in för släktforskningsregistret och hur dessa uppgifter kommer att användas för släktforskningsändamål. Eftersom uppgifterna endast får användas för släktforskning, får dessa personuppgifter inte åtminstone utan den berörda personens samtycke läggas ut på öppna webbplatser. Det är alltså frågan om att bundenheten till användningsändamålet uppfylls: på öppna webbplatser finns uppgifterna tillgängliga för vem som helst, även för andra ändamål än släktforskning, och denna behandling av personuppgifter begränsas inte längre till det ändamål för vilket de samlats in (släktforskning). Släktforskaren ska inte heller lägga ut till exempel en annan persons fotografi eller personuppgifter för att fråga om någon råkar ha tilläggsuppgifter om denna person.
 
Enligt inledningsfras 160 i dataskyddsförordningen omfattas forskning för genealogiska ändamål av behandling av personuppgifter för historiska forskningsändamål. I släktforskning är det dock problematiskt att rätten att behandla personuppgifter för forskningsändamål är en annan sak än att lägga ut personuppgifter som behandlats för forskningen på nätet eller i övrigt göra dem tillgängliga för en obestämd grupp. Till exempel i beredningshandlingarna för personuppgiftslagen finns lagstiftarens antagande om att personuppgifter behandlas också i historisk forskning så att uppgifter om en bestämd person inte röjs för utomstående utskriven. Samma sak upprepas nu i 31 § i dataskyddslagen. Behandlingen av personuppgifter som samlats in för släktforskningsändamål bör inte anses falla under undantagen som gäller historisk forskning när uppgifterna förs till det öppna datanätet.
 
Det är också bra att beakta plattformar som utomstående aktörer tillhandahåller, till exempel olika släktforskningssidor på nätet samt sociala medier. I praktiken hamnar personuppgifter som behandlas till exempel i slutna grupper på sociala medier hos gemenskapstjänsterna, och den registrerade vill inte nödvändigtvis att detta ska ske. Släktforskningswebbplatser behandlas närmare i följande punkt.

När släktforskaren administrerar sitt släktforskningsregister i en databastjänst på nätet, lämnar han eller hon samtidigt ut personuppgifter till en aktör, vars behandling av uppgifter släktforskaren inte på något sätt kan kontrollera. Således bör släktforskaren i informationsskedet meddela sin avsikt att lämna ut personuppgifter om levande personer till en sådan tjänst samt be om de berörda personernas samtycke.

Om släktforskaren vill använda dessa tjänster som hjälp vid släktforskning, ska han eller hon sätta sig omsorgsfullt in i integritets- och användningsvillkoren innan tjänsten tas i bruk. Till exempel förutsätter integritetspolicyn i MyHeritage att användaren i fråga om de uppgifter som ges till tjänsten har inhämtat samtycke hos sina levande släktingar för att lämna uppgifter till tjänsten..

Det är också bra att lägga märke till att tjänsten i användningsvillkoren kan ställa ansvar och skyldigheter för användaren. Släktforskarens ställning som personuppgiftsansvarig elimineras inte när uppgifterna införs till exempel i en släktträdstjänst som någon annan aktör administrerar. Den personuppgiftsansvarige för personuppgifter som samlas in för släktforskning är fortfarande den som sammanställer registret. Om släktforskaren laddar upp personuppgifter på en plattform som någon annan aktör administrerar, kan administratören anses vara gemensamt personuppgiftsansvarig med personen som laddat upp uppgifterna. Det är också väsentligt att observera att det inte går att avtala om dessa roller, utan de fastställs utifrån den faktiska verksamheten.

Om man råkar hitta personuppgifter om sig själv i dessa tjänster på internet, är det bäst att först kontakta den person som laddat upp uppgifterna för att få dem borttagna. Därefter kan man vid behov kontakta också dataombudsmannens byrå, men behandlingen av ärendet förutsätter i allmänhet – och alltid när det gäller utövande av den registrerades rättigheter – att man först själv kontaktat den personuppgiftsansvarige.

Släktforskaren ska i egenskap av personuppgiftsansvarig se till att de registrerade, dvs. de som är föremål för släktforskningen, enkelt kan kontakta honom eller henne. I tjänsternas integritetsvillkor kan det också finnas möjlighet att kontakta administratören för att ta bort uppgifterna. Även i detta fall är det bra att läsa webbplatsens integritetspolicy noggrant.

Släktforskaren ska på förhand försäkra sig om att webbplatsen är sådan att det går enkelt att radera uppgifterna, om den registrerade till exempel återkallar sitt samtycke. Om personuppgifter har lagts ut på nätet utan giltigt samtycke, kan påföljder enligt såväl strafflagen som dataskyddsförordningen riktas mot släktforskaren.

När uppgifterna har raderats från webbplatsen där de publicerades, avlägsnas de också efter hand från sökmotorer när de uppdaterar sina informationsresurser. Detta kan påskyndas genom att använda det formulär som sökmotorn erbjuder. Många sökmotorer tillhandahåller också anvisningar för snabb radering av uppgifter från deras informationsresurser. Läs mer om radering av sökresultat i Vanliga frågor om sökmotorer. 

Med tanke på frågan är det väsentligt vart släktuppgifterna ska föras in. Om släktträdet endast sammanställs för eget nöje utan att uppgifterna till exempel läggs ut på nätet, tillämpas inte dataskyddsförordningen. Om avsikten däremot är att föra in uppgifterna i en släktbok, kan undantag som gäller yttrandefriheten tillämpas på behandlingen av personuppgifter. Dessa behandlas närmare i frågan ”Vilka saker ska den som skriver en släktbok beakta vid behandlingen av personuppgifter?”,  

I andra än ovan nämnda undantagsfall ska släktforskaren beakta att personen i ett släktträdssammanhang kan identifieras till exempel av anteckningen ”kvinna, född 1.1.2000”. I detta fall behövs den registrerades samtycke för behandlingen, eller alternativt ska förutsättningarna för en behandlingsgrund enligt berättigat intresse uppfyllas.

Att uppgifterna redan har publicerats en gång någonstans berättigar inte till att personuppgifter används för ett annat ändamål. Dataskyddslagstiftningen tillämpas också på behandling av personuppgifter som redan publicerats tidigare.

Den allmänna dataskyddsförordningen tillämpas i princip på all behandling av personuppgifter. Således ska även författaren av en släktbok i princip beakta lagstiftningen som gäller behandling av personuppgifter när boken skrivs.

Behandlingen av personuppgifter som utförs av den som skriver en släktbok förknippas dock i stor utsträckning också med yttrandefriheten, en grundläggande frihet som tryggas för alla i 12 § i Finlands grundlag. När en bok skrivs är det också ofta frågan om utövande av yttrandefriheten. Till yttrandefriheten hör rätten att framföra, sprida och ta emot information, åsikter och andra meddelanden utan att någon i förväg hindrar detta. Till traditionellt utövande av yttrandefriheten hör att myndigheterna inte begränsar den på förhand. Det är möjligt att inskränka yttrandefriheten endast när det grundar sig på en särskild bestämmelse i lag.

Yttrandefriheten beaktas också i den allmänna dataskyddsförordningen. Enligt artikel 85 i dataskyddsförordningen skulle medlemsstaterna förena rätten till integritet i enlighet med dataskyddsförordningen med yttrande- och informationsfriheten, inbegripet behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande.

I Finland har yttrandefriheten förenats med skyddet av personuppgifter enligt 27 § i den nationella dataskyddslagen. På behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande tillämpas enligt dataskyddslagen främst skyldigheten att skydda personuppgifter. Till exempel tillämpas inte kravet på de registrerades rättigheter och grunden för behandling inte till fullo när yttrandefriheten utövas.

Principen är att personuppgifter får förvaras i en form som möjliggör identifiering av den registrerade så länge som är nödvändigt för de ändamål för vilka uppgifterna behandlas. En längre förvaring är möjlig för historiska forskningsändamål under förutsättning att lämpliga tekniska och organisatoriska åtgärder genomförs för att säkerställa den registrerades rättigheter och friheter. Det är dock inte möjligt att förvara personuppgifter för evigt på någon som helst grund.

Ja, det gör den. Släktforskaren är personuppgiftsansvarig för de personuppgifter som behandlas för släktforskning. Den personuppgiftsansvarige ska anmäla personuppgiftsincidenter till dataombudsmannen. Dessutom ska också den registrerade informeras om incidenten i vissa situationer. Föreskrifter om anmälan finns i artikel 33 och 34 i den allmänna dataskyddsförordningen. 

På vår webbplats kan du läsa mer om när anmälan ska göras. Mer information om personuppgiftsincidenter