Vad är GDPR (dataskyddsförordningen)?

GDPR, dataskyddsförordningen, styr hur all behandling av personuppgifter får gå till inom EU och har gällt sedan 2018. Den vilar på ett antal grundläggande principer, kräver en rättslig grund för varje behandling och ger den enskilde flera rättigheter.

För en verksamhet betyder det konkreta krav på hur uppgifter samlas in, sparas och skyddas, och kännbara sanktionsavgifter när det missköts. Reglerna gäller alla som behandlar personuppgifter om personer inom EU, från enmansfirman till den globala plattformen.

Varför GDPR ersatte personuppgiftslagen

GDPR står för General Data Protection Regulation. Det är en EU-förordning, formellt förordning (EU) 2016/679, och den började gälla den 25 maj 2018.

Då försvann den gamla personuppgiftslagen, PUL.

En förordning gäller likadant i hela unionen, och det var själva poängen. Ett bolag som verkar i flera länder ska slippa ett eget regelverk i varje land.

I Sverige fyller dataskyddslagen ut förordningen där medlemsländerna får bestämma själva, och Integritetsskyddsmyndigheten, IMY, sköter tillsynen.

Vad räknas som personuppgifter

En personuppgift är all information som går att knyta till en levande person, direkt eller indirekt. Namn och personnummer är de självklara exemplen.

Men även en mejladress, ett foto, en plats eller en IP-adress räknas.

Vissa uppgifter väger tyngre än andra. Förordningen kallar dem känsliga personuppgifter: hälsa, etniskt ursprung, religion, politisk åskådning, fackligt medlemskap, sexualliv samt genetiska och biometriska uppgifter.

Att behandla dem är förbjudet som huvudregel, och varje undantag måste gå att motivera.

De sex rättsliga grunderna

Ingen får behandla personuppgifter på måfå. Behandlingen måste vila på en av sex rättsliga grunder:

• Samtycke från personen själv.
• Att behandlingen behövs för att fullgöra ett avtal.
• En rättslig förpliktelse, till exempel krav i bokföringslagen.
• Skydd för någons grundläggande intressen, som liv och hälsa.
• En uppgift av allmänt intresse eller myndighetsutövning.
• En intresseavvägning, där verksamhetens berättigade intresse väger tyngre än den enskildes.

Grunden bestäms innan behandlingen börjar och går inte att byta i efterhand. Samtycke är dessutom svagare än många tror, för den som har sagt ja kan ändra sig när som helst.

Sju principer som alltid gäller

Artikel 5 slår fast sju principer för all behandling. Uppgifter ska hanteras lagligt, korrekt och öppet.

De får bara samlas in för bestämda ändamål, hållas till ett minimum och inte sparas längre än de behövs. De ska vara riktiga och skyddade mot obehörig åtkomst.

Sist kommer den princip som oftast glöms: ansvarsskyldigheten. Det räcker inte att göra rätt.

Verksamheten måste också kunna bevisa det.

Dina rättigheter som registrerad

GDPR ger dig flera verktyg mot den som behandlar dina uppgifter. Du kan begära ut ett registerutdrag och se vad som finns lagrat om dig.

Felaktiga uppgifter har du rätt att få rättade, och uppgifter som inte längre behövs kan du få raderade. Det är den så kallade rätten att bli bortglömd.

I vissa fall kan du också flytta uppgifterna till en annan leverantör eller invända mot en behandling. Ett svar ska normalt komma inom en månad.

När det läcker: säkerhet och incidenter

Förordningen kräver att personuppgifter skyddas med tekniska och organisatoriska åtgärder. I praktiken handlar det om behörighetsstyrning, kryptering och tydliga rutiner för vem som får se vad.

Här går GDPR hand i hand med det löpande arbetet kring informationssäkerhet och cybersäkerhet.

Ett dataläckage är ofta två saker på en gång, en säkerhetsincident och en personuppgiftsincident. Läcker uppgifter ut, till exempel efter ett angrepp med skadlig kod, har verksamheten 72 timmar på sig att anmäla det till IMY.

Är risken för de drabbade hög ska de få besked direkt.

Sanktioner som biter

IMY kan dela ut sanktionsavgifter när reglerna bryts, och taket är högt. Avgiften kan nå 20 miljoner euro, eller 4 procent av koncernens globala omsättning om den summan är större.

De tyngsta besluten har träffat internationella plattformsbolag, men även svenska myndigheter och företag har fått betala, bland annat för slarv med säkerheten och för olaglig kamerabevakning. En utredning börjar oftast i ett klagomål eller en anmäld incident.

Så kommer du i gång

Börja med att kartlägga vilka personuppgifter som finns i verksamheten och var de ligger. Den listan brukar kallas register över behandlingar.

Knyt sedan varje behandling till en rättslig grund och bestäm hur länge uppgifterna ska sparas. Hanterar ni känsliga uppgifter i stor skala ska ni dessutom utse ett dataskyddsombud som granskar arbetet inifrån.

IMY har vägledningar och kunskapsfilmer för den som vill gräva djupare.