Axel Tandberg, jurist på Swedma, gav på Management-scenen under Sign&Print Scandinavia tips om den nya dataskyddsförordningen, som trädde i kraft den 25 maj 2016 och kommer att ersätta personuppgiftslagen den 25 maj 2018. Förordningen är gemensam för alla medlemsstater i EU.
– Nytt i förordningen är att individen äger rätten till sina egna uppgifter. Företaget som behandlar uppgifterna har ett redovisningsansvar på varför de gör det. Gör företaget fel kan det kosta upp till fyra procent av den globala årsomsättningen, förklarade Axel Tandberg, och fortsatte:
– Nya principer gäller för databehandling – som att den ska vara laglig, ändamålsenlig och innehålla korrekta personuppgifter samt vara skyddade. Andra principer är att uppgifter, ändamål och lagringstid ska minimeras.
– Lagen gäller även för sökmotorer på internet som samlar ihop uppgifter om oss, som exempelvis hitta.se eller merinfo.se. I framtiden så måste vi samtycka till att vara med på webbplatsen, alternativ kunna tas bort på ett enkelt och kostnadsfritt sätt.
Nya ansvarsroller
Som företag eller organisation måste man innan 25 maj 2018, se över rutinerna för vilka uppgifter som man samlar in och att det görs på legal grund. Det krävs att det finns någon som är ansvarig för hanteringen, samt dokumentation på vem och hur de har tillgång till materialet. Det finns tre olika ansvarsroller:
- Personuppgiftsansvarig är den som bestämmer ändamålet med behandlingen, exempelvis beställaren av trycksaker.
- Personuppgiftsbiträde är den som behandlar uppgifter för någon annan, som exempelvis tryckeriet som har fått tillgång till adressregistret.
- För verksamheter som handskas med känsliga personuppgifter i stor omfattning måste det finnas ett dataskyddsombud.
– Det måste också finnas en handlingsplan på vad man ska göra om något händer med uppgifterna, sade Axel.
Insamling och lagring av information
Var tydlig när det gäller vilka uppgifter ni samlar in och vad ni tänker använda dem till. Informationen om vad som ska godkännas kan vara en separat text eller en del av de allmänna villkor som personen ska godkänna. Man ska även informera om man har fått datauppgifterna från en annan källa. Är det känsliga uppgifter, som exempelvis om personens hälsoläge, så krävs det ett särskilt samtycke.
Axel visade med en video från engelska Channel 4, ett bra exempel på hur man kan informera om vilken information man vill ha samt varför man samlar in den. Mindre bra varianter är de allmänna texter som man ska godkänna vid uppdateringar av programvaran till exempelvis mobiltelefoner, tyckte han.
Företaget måste ange hur länge man tänker spara databasen. Lagringstiden måste anpassas efter eventuella lagkrav och kundernas köpcykel, som kan vara över flera år. Man måste fråga om och begära nytt tillstånd för äldre databaser. Databasen får inte heller lämna EU:s inre marknad.
Om något händer
Mindre incidenter ska registreras av dataskyddsombudet. Större incidenter, som exempelvis dataintrång, ska meddelas till Datainspektionen inom 72 timmar. I meddelandet ska finnas information om intrångets art, vilka uppgifter och hur många som det berör samt kontaktuppgifter till dataskyddsombud. Man ska också till Datainspektionen visa på vilka åtgärder som man har eller tänker göra för att minska effekten av ett intrång. De drabbade individerna måste också informeras.
Att göra innan 25 maj 2018
Här är Axel Tandbergs förslag på upplägg av arbetet till den 25 maj nästa år: Ta reda på om du är personuppgiftsansvarig eller personuppgiftsbiträde, hur du handskas med uppgifterna i dag, vilka rutiner som finns för datasäkerhet samt för dokumentation.
Ta beslut i styrelsen och fördela resurser för att gå igenom och dokumentera databehandlingen, trygga säkerheten kring databasen samt skapa eller köp ett digitalt system för databashantering passande för den nya dataskyddsförordningen.
Gå igenom och anpassa alla avtal. Ta fram en checklista för vem som gör vad vid incidenter med personuppgifter, att policy och handhavande av personuppgifter är uppdaterat, dokumenterat och kommunicerat till anställda.
– Utveckla rutiner för hur ni ska jobba med andra, då alla kommer att bli ansvariga för allt som görs, i alla led, avslutade Axel Tandberg.
