GDPR, General Data Protection Regulation, börjar gälla den 25 maj 2018 och ersätter de tidigare PUL-reglerna. Hårdare krav gällande hantering av personuppgifter är en av de största förändringarna och de nya reglerna påverkar alla branscher, företag och organisationer som hanterar personuppgifter inom EU. Det handlar även om att identifiera kritiska dataflöden, förebygga cyberhot och ta reda på hur dessa ska åtgärdas.

– Den stora utmaningen för många organisationer oavsett bransch är att skydda verksamheten och samtidigt dra nytta av digitaliseringens alla fördelar. Här kommer de nya reglerna kring dataskydd att vara till stor nytta då de faktiskt tvingar verksamheterna att se över säkerhetsrisker och effektivisera sina data- och kommunikationsflöden, säger Pernilla Rönn, affärsområdeschef inom informationssäkerhet på Combitech.

En annan viktig förändring är kravet på företag och organisationer att rapportera ett intrång till Datainspektionen inom 72 timmar efter att intrånget upptäckts. Om enskilda individer drabbas, och intrånget är av allvarlig art, ska dessutom de drabbade underrättas. Verksamheter som brister i hanteringen av personuppgifter riskerar omfattande böter, upp till fyra procent av sin omsättning.

– I praktiken innebär det att alla skolor måste inventera personuppgifter som processas och lagras samt skapa rutiner som säkerställer att uppgifterna hanteras på ett korrekt sätt. Men man måste också kunna visa att dessa rutiner efterföljs, så för många skolor återstår en hel del arbete, säger Torbjörn Karlsson.

Combitech och IST kommer bland annat att erbjuda gemensamma utbildningar och workshops som identifierar kritiska flöden i skolornas verksamhet samt bistå i arbetet med att åtgärda riskerna.

Pernilla Rönns råd för att säkerställa att en verksamhet följer lagen när den träder i kraft:

• Kunskap och utbildning är en nyckelfaktor
• Gör en kartläggning för att se hur personuppgifter används
  
• Mappa kritiska dataflöden och identifiera var personuppgifter lagras
  
• Ta reda på vilka säkerhetsåtgärder som krävs och planera för dessa
  

Syftet med General Data Protection Regulation, GDPR, är att stärka EU-medborgarnas rättigheter och möjligheter att kontrollera sina egna personuppgifter. Med persondata menas all data som kan identifiera en fysisk person, det vill säga inte bara namn och personnummer utan det kan även vara bilder, adress eller tekniska identifierare som IP-adress som kan identifiera personen i fråga.