Har du koll på personuppgifterna?

Den 25 maj 2018 träder Dataskyddsförordningen, som ersätter Personuppgiftslagen, i kraft. Den ställer stora krav på företag men Svenskt Näringsliv har både informationsmöten och material som ska underlätta för företagen att göra rätt.

– Maj nästa år kan verka avlägset, men kraven på företag är stora. Det kan krävas ombyggnad av IT-system och som vi vet kan det vara en omfattande process, säger Carolina Brånby, jurist på Svenskt Näringsliv.

Dataskyddsförordningen kommer att ersätta Personuppgiftslagen, men är mer omfattande och har större konsekvenser om den inte följs. En av de stora förändringarna är att sanktionsavgifterna kan bli enorma. Datainspektionen kan påföra sanktioner på upp till 20 miljoner euro eller fyra procent av ett företags globala årsomsättning på koncernnivå.

Kundregister stor fråga

En personuppgift är, enkelt uttryckt, allt som kan identifiera en enskild person. Det är allt från namn och adress till fingeravtryck och IP-adresser. Företag har stora behov att lagra olika typer av information om både kunder och medarbetare. Det finns självklart möjligheter till det, även med den nya förordningen. Exempelvis får företag behandla personuppgifter nödvändiga för att följa lagar eller fullfölja avtal. Det går också att lagra uppgifter efter en så kallad intresseavvägning där företaget menar att man har ett berättigat intresse av att lagra en uppgift som väger tyngre än den enskildes behov av integritet.

– Intresseavvägningen kan ibland tolkas som en slasktratt, men man kan inte göra det generellt och säga ”allt vi lagrar är av intresse för oss”. Man måste konkret ta ställning till varje typ av personuppgiftsbehandling, säger Carolina Brånby.

Under ett seminarium i Örebro om de nya reglerna rörde många av frågorna hur man får hantera lönesystem, kundregister och listor med potentiella kunder. Carolina Brånby gav ett övergripande råd.

– Det är viktigt att dokumentera hur man har resonerat inför beslut om behandling. Ibland är förordningen svårtolkad eller svårtillämpad på en specifik situation. Kontakta Datainspektionen eller ta juridisk experthjälp.

– Det var en tydlig och konkret genomgång. Nu har vi bättre koll på vad vi behöver göra och vad vi kan behålla. När vi pratat med konsulter kring detta har känslan varit att vi måste ta bort all information, sa Mats Sandvall, på Bitnet som säljer affärssystem till begravningsbyråer, efter mötet.

Det finns dock en hel del frågor att ta tag i för Bitnet och alla andra företag som hanterar personuppgifter.

– Det stora problemet är att få ut information till våra kunder och få förståelse för hur viktigt detta är. Att få alla att förstå vikten av att göra rätt och att vi måste radera uppgifter som vi inte får ha kvar, säger Mats Sandvall.

Det är viktigt att tänka på att vissa uppgifter företag har måste sparas för att uppfylla andra lagar som står över Dataskyddsförordningen.

– Vi har egentligen två typer av behandling av personuppgifter som berörs. Hur länge de ska sparas styrs av bokföringslagen eller krav från Finansinspektionen, säger Mats Sandvall.

Nu väntar en hel del jobb för att få allt på plats till maj 2018 för Mats Sandvall och hans kollegor.

– Vårt största jobba är att inventera hur det ser ut idag, göra en gallringslista och sen implantera den på befintlig uppgifter. Vi måste också klargöra med våra kunder vem som ansvarar för vad och teckna nya avtal med alla kunder.

Carolina Brånby, skickar med en uppmaning till företagare:

– Se över era system, utbilda personalen och skapa rutiner.