Strängare krav med nya förordningen

Den 25 maj 2018 träder den nya dataskyddsförordningen i kraft och ersätter nuvarande PUL, personuppgiftslagen. Den nya förordningen ställer mycket högre krav på företagen att systematiskt arbeta med dataskyddsfrågor och Dataskyddsinspektionen får som tillsynsmyndighet utdöma sanktionsavgifter direkt om kraven inte efterlevs.

– Sanktionsavgifterna och nivåerna ska vara avskräckande men också proportionerliga. Den här nya förordningen kommer att bli väldigt dyr att inte följa. Försök att göra rätt, ta några steg på vägen. Det viktiga är att ni som företag uppvisar en medvetenhet, ett tänk, och att ni informerar personalen om innehållet i den nya dataskyddsförordningen. Målet är att ha koll på hur vi hanterar personuppgifter, sa Carolina Brånby, digitaliseringsexpert vid Svenskt Näringsliv, när hon mötte företagen i Blekinge och informerade om de nya lagförändringarna.

Med dataskyddsförordningen kommer den enskildes rättigheter att stärkas, bland annat ställs strängare krav på att företag och andra organisationer ska informera om hur de hanterar enskildas uppgifter. Den nya EU-förordningen innehåller mer utförliga regler för när man har rätt att få uppgifter raderade och särskild hänsyn ska tas om det gäller uppgifter om barn.

– I dataskyddsförordningen ställs krav på samtycke för varje syfte med behandlingen, och det ska vara lika lätt att samtycka som att återkalla sitt samtycke. Samtycke får inte göras tvingande. Det här tar egentligen sikte på nätet där man betalar med sina personuppgifter. Man måste kunna ta del av tjänster på webben utan att vara tvingad att lämna sina personuppgifter, sa Carolina Brånby.

Daniel Jörgensson, delägare i företaget Humankapitalet Blekinge, välkomnar den nya förordningen. Han ser den nya förordningen som en ytterligare kvalitetssäkran kring integritetsskyddet. Företaget erbjuder hushållsnära tjänster, ett område där det redan idag ställs höga krav när det gäller hantering av personuppgifter.

– Vi har redan påbörjat arbetet och diskussionerna kring hur vi på bästa sätt ska kunna säkerställa vår hantering av personuppgifter enligt de nya kraven. Det handlar mycket om sunt förnuft helt enkelt, säger Daniel Jörgensson.

Rätten att maila personuppgifter hur som helst försvinner. Tänk efter innan du vidarebefordrar eller sparar ett mail, du ska ha rättsligt stöd för varje behandling du gör, menade Carolina Brånby. Skulle ett företag eller organisation bli utsatt för dataintrång eller på något sätt tappa kontroll över personuppgifter, som att man tappar bort sin jobbmobil, så måste bolaget rapportera inom 72 timmar till Datainspektionen. Om ett bolag har för avsikt att hantera personuppgifter på ett sätt som kan medföra stora integritetsrisker så måste bolaget först göra en noggrann analys av vilka konsekvenserna kan bli.

Riskfylld behandling kan till exempel vara storskaliga register som innehåller genetiska eller biometriska uppgifter, uppgifter om barn eller storskalig kameraövervakning på allmän plats. Skulle analysen visa att risken är hög, måste bolaget kontakta Datainspektionen som då ska göra en förhandskontroll för att säkerställa att behandlingen är möjlig.

Mathias Andersson, kundansvarig på IT-företaget Langate anser att den nya dataskyddsförordningen innehåller strama ramar som skapar osäkerhet hos företagen men han välkomnar samtidigt det stärkta skyddet för den enskilde individen.

– Jag har oerhörd respekt för integritetsskyddet och förstår att reglerna måste skärpas men förordningen innehåller så strama ramar att företagen inte vågar göra någonting. Det ska bli spännande i början av nästa år när förordningen har satt sig för som det är nu så är det enormt mycket oklarheter. Det viktiga är att ställa innehållet i den nya dataskyddsförordningen i relation till vad man gör i företaget eller verksamheten. Vi jobbar extremt aktivt med detta just nu och måste hela tiden ligga i framkant som IT-företag, inte bara för oss själva utan framför allt för våra kunder. Det finns en enorm efterfrågan på hjälp och stöd kring hur man ska efterleva de nya kraven.

Att som företag rusta sitt IT-system och bygga in säkerhetsåtgärder är ett första steg i att möta förändringarna nästa år.

– Ni som företag måste bena ut vad företaget har för personuppgifter, vilken behandling ni gör och hur era IT-system lever upp till regelverket. Att börja med kartläggning är ett viktigt steg i det fortsatta arbetet. Kolla med era leverantörer om de har ett pågående arbete. Och förutom kartläggning, utbilda personalen i vad det är som gäller för hantering av personuppgifter, sa Carolina Brånby.

Krisztina Andersson