\tPersonuppgiftslagen, PUL, bygger på ett EU-direktiv från 1995. Ett direktiv kan implementeras på olika sätt i olika länder och det kan vara tungt för företagen att hålla reda på alla länders olika tillämpningar. Därför kommer man nu att införa en förordning, som innebär en mer sammanhållen lagstiftning.<\/p>\n
\t– Men slutprodukten öppnar ändå upp för att länderna inom vissa områden antar nationell lagstiftning. Arbetsrätten är ett sådant område. Och i Sverige tittar en utredning just nu på hur den nya dataskyddsförordningen förhåller sig till våra nationella lagar som patientdatalagen och kameraövervakningslagen, säger Johan Sundberg.<\/p>\n
\tMen det finns också ett annat skäl<\/strong> till att dataskyddsförordningen (general data protection regulation, GDPR) kommit till och det är att vi sedan 1995 har haft en enorm teknisk utveckling, bland annat vad gäller sociala medier och internetanvändning.<\/p>\n \t– Personuppgifter har nu ett större värde för företagen och kan till och med vara en handelsvara. Man ska komma ihåg att de här reglerna inte är till för att hjälpa företag och organisationer utan för att skydda individer, säger Johan Sundberg.<\/p>\n \tHan tror att det är många som inte har brytt sig så mycket om PUL, eftersom det knappast har funnits några sanktioner. Det har i några få fall handlat om skadestånd till individer i storleksordningen 5 000–10 000 kronor. Åtal för brott mot PUL har bara väckts i något enstaka fall.<\/p>\n \t– Med den nya förordningen kommer Datainspektionen att kunna utfärda administrativa sanktionsavgifter på upp till fyra procent av en global koncerns omsättning, vilket kan innebära sanktionsbelopp på flera miljarder kronor för större svenska företag.<\/p>\n \tJohan Sundberg hänvisar också till en undersökning från Handelshögskolan i Stockholm som visar att konsumenter reagerar nästan lika starkt på att företag säljer kundinformation utan att informera sina kunder som de de gör om företag inte kontrollerar om underleverantörer i utvecklingsländer använder sig av barnarbete.<\/p>\n \t– Och det är svårare att återställa ett förlorat renommé när det gäller bristande dataskydd.<\/p>\n \tVad gör då svenska företag för fel?<\/p>\n \t– Det vanligaste är att inte informera om den behandling av personuppgifter som sker. Många gånger saknar man också laglig grund för behandlingen. Och sedan sparar man uppgifterna för länge, eftersom man har dåliga gallringsrutiner.<\/p>\n \tDet är en rad saker som skiljer<\/strong> den nya förordningen från PUL och som ställer högre krav på företagen. Ett exempel är att Sverige har haft en egen regel, den så kallade missbruksregeln, som tillåtit ostrukturerad behandling av personuppgifter, i till exempel e-post och worddokument, så länge man inte kränker någon. Denna regel försvinner.<\/p>\n \t– Nu måste man alltså se över sina rutiner, hitta en laglig grund för behandlingen och kanske lägga in information om behandlingen av personuppgifter i sina mejl. Vi har redan börjat med det på DLA Piper, säger Johan Sundberg.<\/p>\n \tOch han uppmanar hr-avdelningarna att tänka sig för hur man kommunicerar i personalärenden. Som exempel tar han en chef som via mejl klagat på Kalle som är mycket borta för vård av sjukt barn. Ett sådant mejl kommer Kalle att kunna begära ut och det kan då även användas som bevismaterial i tvist med arbetsgivaren. •<\/p>\n \t <\/p>\n \tDe som inte följer de nya reglerna riskerar sanktionsavgifter på upp till 4 procent av omsättningen. Det är därför viktigt att förordningen prioriteras ända upp på ledningsnivå i företaget.<\/p>\n \t2 Kartlägg personuppgiftsbehandlingen.<\/strong> \t3 Gör en laglighetsanalys. <\/strong> \t4 Utse ett personuppgiftsombud. <\/strong> \t5 Registerutdrag gäller även e-post. <\/strong> \t6 Rätt att bli bortglömd.<\/strong> \t7 Gör konsekvensbedömningar redan nu.<\/strong> \t8 Anmälningsskyldighet.<\/strong> \t9 Upprätta förteckning av personuppgiftsbehandlingar. <\/strong> \t10 Rätt till information.<\/strong> \t11 Hårdare krav på samtycke till behandling.<\/strong> \t12 Upprätta dataskyddspolicyer. <\/strong> \t13 Se över i vilka fall er behandling i dag stödjer sig på missbruksregeln.<\/strong> \t14 Se över rutiner för kommunikation mellan hr och berörda chefer om medarbetare. <\/strong>Den utökade rätten till registerutdrag innebär att exempelvis personuppgifter i e-post omfattas av rätten till registerutdrag.<\/p>\n \t \tJohans 14 tips för förberedelse<\/h4>\n
\t1 Prioritera förordningen på ledningsnivå.<\/strong><\/h4>\n
\tFör att följa förordningen är det nödvändigt att ha kontroll över den personuppgiftsbehandling som sker i verksamheten – vilka uppgifter har ni och varför, hur länge sparas de,
\tetcetera?<\/p>\n
\tSedan är det dags att göra en laglighetsanalys. Har ni rätt att behandla den här informationen, sparar ni den för länge, ger ni tillräcklig information till de personer som berörs, behövs samtycke?<\/p>\n
\tAdressera dataskyddsfrågor internt – utse ett personuppgiftsombud eller en annan person som arbetar med dessa frågor. Har ni inte interna resurser överväg att anlita extern hjälp.<\/p>\n
\tMissbruksregeln i PUL försvinner, vilket innebär att personuppgifter i till exempel e-post och worddokument kommer att omfattas av förordningens krav, som rätten till registerutdrag.<\/p>\n
\tPrivatpersoner kan kräva att bli borttagna från register och kunddatabaser, till exempel om ett samtycke tas tillbaka och om det inte finns någon annan legal grund för uppgifterna.<\/p>\n
\tDet blir nu krav på att införa konsekvensbedömningar för vissa typer av personuppgiftsbehandlingar som sannolikt innebär en hög integritetsrisk.
\tHa en rutin för att göra sådan även i fall där det strikt sett inte behövs.<\/p>\n
\tVissa så kallade personuppgiftsincidenter måste anmälas till Datainspektionen inom 72 timmar efter att de inträffat. Rutiner måste upprättas för att internt hantera sådana situationer. <\/p>\n
\tPersonuppgiftsbehandlingar måste inte längre anmälas till Datainspektionen, men den personuppgiftsansvarige måste föra en intern förteckning med mer långtgående krav.<\/p>\n
\tRegistrerades rätt att erhålla information utvidgas väsentligt samtidigt som informationen ska vara koncis, klar, tydlig, begriplig och lätt tillgänglig. Det blir en utmaning för många företag.<\/p>\n
\tEtt samtycke är till exempel ogiltigt om en tjänsteleverantör ställer krav på samtycke till behandlingar som inte är nödvändiga för att genomföra tjänsten.<\/p>\n
\tDen personuppgiftsansvarige ska dokumentera och kunna visa att förordningen följs. En del i detta är upprättande av och antagande av dataskyddspolicyer.<\/p>\n
\tKartlägg och bedöm om det finns rättslig grund enligt förordningen att behandla personuppgifter som till exempel samlats in via webbsidor för ansökningar.<\/p>\n