EU:s nya dataskyddsförordning General Data Protection Regulation, GDPR, som trädde i kraft den 25 maj 2018 innebär bland annat hårdare krav på hantering av personuppgifter. Det ställs idag högre krav på rutiner och processer för säker hantering av register samt krav på ansvarig ledningsnivå.
Nya dataskyddsförordningen gäller för alla organisationer och branscher som sparar eller på något sätt hanterar personlig och känslig information om sina anställda eller sina kunder.
Efter fyra långa år av politiska förhandlingar och lobbying kom EU-kommissionen, EU-parlamentet och ministerrådet överens om dataskyddsförordningen (GDPR). De företag som inte följer förordningen riskerar bland annat kraftiga sanktionsavgifter. De ökade kraven innebär i många fall omfattande anpassningsåtgärder. Krav på bl.a. incidentrapporteringsrutiner, genomförande av konsekvensbedömningar och att samma hanteringsregler gäller för personuppgifter i ostrukturerat material kräver ordning och reda och att det finns en god kontroll och ett ändamålsenligt dataskydd.
GDPR uppfattas ofta som krävande och något som innebär väldigt mycket arbete. Det finns däremot en hel del fördelar med att vidta åtgärder för att stärka dataskyddet.
Att ha ett ändamålsenligt dataskydd ökar förtroendet hos kunder och bidrar till ökad transparens gentemot kunder kring vilken information som hanteras om dem. Genom en kartläggning av vilka personuppgifter som hanteras inom organisationen får ni ökad ordning och reda och genom att identifiera ändamålen med personuppgiftshanteringen kan det resultera i att ni inser att mycket information är onödig. Detta kan i sin tur skapa synergieffekter i form av ökad effektivitet genom att vissa processer kan effektiviseras.
Känner du att din organisation behöver stöd i att slutföra ert anpassningsarbete till GDPR? Skulle det kännas tryggt med en extern genomgång av de åtgärder ni har vidtagit? Eller behöver ni stöd i angränsande delar som vanligen kräver extra kompetenser och som stärker upp ert totala dataskydd? Vi kan hjälpa er med alla dessa delar! Exempel på vad ni behöver genomföra för att stärka upp dataskyddet:
Kontakta oss så hjälper vi dig med anpassningen till dataskyddsförordningen.
Se vilka områden du behöver se över och anpassa.
Styrelse och ledningsgrupp har ett ansvar för att bedöma och hantera de risker som organisationen är utsatt för. Sanktionsrisken är en av de nya riskerna som ledningen måste ha kontroll över samt ha ett dataskyddsombud på plats i de fall det krävs. Utöver eventuellt dataskyddsombud bör det även finnas en funktion med dataskyddskompetens för att stötta verksamheten i frågor som rör dataskydd.
Hanteringen av samtliga personuppgifter behöver vara dokumenterad. Det innefattar bland annat vilken typ av information som organisationen har tillgång till, hur länge den sparas, laglig grund och var informationen lagras. Dokumentationen är även viktig om tillsynsmyndigheten skulle genomföra en granskning, för att kunna visa på vilka åtgärder ni vidtagit och hur pass väl ni uppfyller kraven. Utöver ett register över behandlingar bör det finnas en intern dataskyddspolicy som reglerar hur era medarbetare får hantera personuppgifter samt informativa texter riktade till registrerade i syfte att vara transparent mot dem och uppfylla deras rättighet till information.
Eventuellt behöver nya processer finnas på plats för att uppfylla kraven, och i vissa fall räcker det med justeringar av tidigare processer. Exempel på detta är incidenthanteringsprocess, process för genomförande av konsekvensbedömningar och processer för säker hantering av personuppgifter. Ni behöver även ha sett över avtalen med leverantörer som får tillgång till personuppgifter och upprätta personuppgiftsbiträdesavtal med berörda parter. Det behöver även finnas processer och rutiner för att snabbt och enkelt kunna besvara förfrågningar från registrerade, exempelvis förfrågningar om registerutdrag.
För att få god kontroll över vilka personuppgifter som hanteras behöver ni göra en kartläggning över IT-system och se över hur personuppgifter överförs till andra system, parter och till länder utanför EU/EES. Ni behöver även tillse att ni har inbyggt dataskydd och dataskydd som standard i system och processer.
Här hittar du svar på några av de vanligaste frågorna gällande förordningen.
Dataskyddsförordningen innebär bland annat:
För myndigheter och sådana företag som hanterar en stor mängd känsliga personuppgifter eller systematiskt övervakar privatpersoner krävs en ny roll: dataskyddsombud
Krav på omedelbar rapportering av integritetsbrott
Krav på dokumentation, uppföljning och riskanalyser
Krav på att ett högt integritetsskydd byggs in från början i processer och system
Ökade rättigheter för de personer som registreras, inklusive rätt att kräva skadestånd
Nya villkor för att överföra personuppgifter till länder utanför EU-området
Ökade sanktioner för den som inte efterlever förordningen
Samma hanteringsregler gäller för personuppgifter i ostrukturerat material
Det beror på i vilken grad förordningen inte efterlevs. Är det en mindre förseelse riskeras ett påpekande eller föreläggande om eventuella brister. Om brottet anses vara allvarligare, eller om företaget anses ovilligt att vidta nödvändiga åtgärder, riskeras böter upp till 4% av företagets eller moderbolagets globala omsättning.
Rimlighetsbedömningar kommer att göras från fall till fall och hänsyn kommer att tas till omsättning, i vilken utsträckning företaget har försökt åtgärda brister, transparens och graden av vilja att genomföra förändringar för att förebygga och åtgärda brister.
Ja, finns det inget syfte med att spara personuppgifterna längre eller om det saknad laglig grund ska de raderas.
GDPR gäller om ingen annan lagstiftning kräver något annat.