Alla har väl hört om GDPR? Även om du kanske aldrig har arbetat direkt med förordningen så har du säkert hört talas om den, och dagligen kommit i kontakt med den eller dess effekter oavsett om du är medveten om det eller inte. För det räcker faktiskt med att surfa in på valfri webbsida för att komma i kontakt med GDPR, eller rättar sagt dess integritetsstärkande effekt. För det nämligen det som lagen gör. Att stärka integriteten för helt vanliga människor – som du och jag – inom EU’s gränser.
Det var en gång..
Låt mig ta dig tillbaks några år, närmare bestämt till mitten av 90-talet. Under den perioden var internet ett digitalt vilda västern, där allt var helt öppet och ingenting var omöjligt. Vi delade personuppgifter fritt, surfade på blinkande hemsidor och chattade med främlingar – utan att tänka på riskerna. Virus och bedragare lurade bakom varje klick, och våra data samlades in och såldes helt utan vårt samtycke.
Det var en tid av frihet. Men också en tid av osäkerhet för den stora breda massan. Samhället behövde säkerhet och krävde ordning. 1995 kom dataskyddsdirektivet, därefter PUL (Personuppgiftslagen). Väldigt lite hände efter det. Det tog närmare bestämt hela 20 år innan GDPR kom. Men med det har vi nu större kontroll över våra uppgifter och bestämmer hur, när och vem som får använda dem.
Målet med GDPR
Kortsiktiga mål
Som jag skrev tidigare handlar GDPR om att öka kontrollen, eller flytta ägandeskapet över sina egna uppgifter till personen. Det kortsiktiga målet med GDPR är att stimulera företag och organisationer att förbättra sin hantering och skydd av de personuppgifter som de behandlar. Också att strama åt hur uppgifterna flödar organisation till organisation.
Strategiska mål
Det långsiktiga målet med GDPR är att skapa en tryggare och mer hållbar digital värld där människor kan känna förtroende för att deras personuppgifter hanteras ”på rätt sätt”. Om man ser GDPR ur ett globalt perspektiv så skapar GDPR en digital förutsättning för en yta där individens rättigheter alltid står i fokus, vilket på sikt kommer att främja innovation och utveckling utan att kompromissa med integriteten. Det leder helt enkelt till ett bättre och säkrare liv.
Varför personuppgifter
Personuppgifter är en värdefull resurs som kan användas för att påverka, manipulera eller till och med skada individer, vi har sett gång på gång hur läckta personuppgifter kan användas för att utpressa och skada. I förordningen har varje individ har rätt till skydd av sina personuppgifter, vilket inkluderar rätten att kontrollera hur och varför deras data används.
Det här GDPRs grundläggande principer:
-
Rätten till information:
Du har rätt att få tydlig och transparent information om hur deras uppgifter behandlas. Du kan med andra ord höra av dig till den som behandlar dina personuppgifter och begära ut informationen. -
Rätten till tillgång:
Du kan begära att få veta vilka uppgifter som samlas in om dem och hur dessa används. -
Rätten till rättelse:
Du kan begära att felaktiga eller ofullständiga uppgifter rättas. -
Rätten till radering (”rätten att bli bortglömd”):
Du kan begära att dina uppgifter raderas under vissa omständigheter, till exempel om uppgifterna inte längre behövs för det syfte de samlades in för. -
Rätten till dataportabilitet:
Den här kan vara lite knepigare att förstå. Men du ska i praktiken kunna få dina personuppgifter överförda till en annan tjänsteleverantör. Det innebär du enklare kan byta tjänsteleverantör.
De grundläggande principerna dig större makt att bestämma över dina personuppgifter, vilket är särskilt viktigt i en tid då data ofta samlas in i stora mängder och används på sätt som kan påverka människors privatliv.
Så vad leder GDPR till i detalj?
Gemensamt regelverk kring personuppgifter
Vi skrev tidigare om PUL och dataskyddsdirektivet. Innan GDPR infördes fanns det olika dataskyddsregler i varje EU-medlemsstat. Detta skapade naturligtvis stor förvirring och hinder för företag som ville verka över gränserna. Att ha en gemensam lagstiftning som är gränsöverskridande och samma för alla länder förenklar reglerna för företag som verkar inom EU.
Säkerhet
GDPR ställer höga krav på hur personuppgifter ska skyddas mot obehörig åtkomst, förlust eller skada. I GDPR står det att ”organisationer måste vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att uppgifterna behandlas på ett säkert sätt”. Förordningen talar inte om hur men att de ska skyddas. Det innebär att företag själva får applicera den säkerhetsnivå som de själva anser personuppgifterna ska ha. Det kan inkludera användning av kryptering, pseudonymisering och kontinuerliga säkerhetsgranskningar.
Dessutom inför GDPR krav på att organisationer ska rapportera dataintrång till den relevanta tillsynsmyndigheten inom 72 timmar efter upptäckt. Detta syftar till att minimera skadan av dataintrång och säkerställa att individer informeras i tid om deras uppgifter har exponerats.
Sanktioner
För att trycka på att GDPR måste införlivas kan de nationella dataskyddsmyndigheterna (IMY i vårt fall) utdela sanktioner. De organisationer som bryter mot förordningen kan få böter på upp till 20 miljoner euro eller 4 % av deras globala omsättning, beroende på vilket belopp som är högre. Detta är en stark drivkraft för företag att följa förordningen.
Förtroende (kopplat till de grundläggande priciper)
Jag skrev tidigare om de grundläggande principerna. Organisationer måste vara tydliga med hur de samlar in, använder och delar personuppgifter. Detta inkluderar att informera individer om vilka uppgifter som samlas in, för vilket syfte och med vilka parter uppgifterna delas. Denna transparens är bygger förtroende mellan organisationer och individer.
Vad innebär GDPR för företag?
GDPR har haft en betydande inverkan på hur företag hanterar personuppgifter. Många företag har behövt genomföra omfattande förändringar i sina databehandlingsrutiner, inklusive att uppdatera sina integritetspolicyer, införa nya säkerhetsåtgärder och utbilda personal i dataskydd. För mindre företag har detta såklart varit en utmaning, men det har också skapat möjligheter för att förbättra sina datasäkerhetsrutiner och stärka kundrelationer.
Trots sina många fördelar har GDPR också mött kritik och utmaningar. Många företag har klagat på höga kostnaderna för att följa reglerna samt den administrativa bördan i den extra hanteringen av personuppgifter som kommer efter implementationen. För GDPR är inte lätt. Förordningen är svår att tolka och tillämpa, vilket såklart skapar osäkerhet kring vad som faktiskt krävs för att följa reglerna. Vi vet. Vi har också haft en del diskussioner internt om hur vissa delar av lagen ska tolkas.
