Företagare förbereder sig för dataskyddsförordningen

Den 25 maj 2018 träder den nya dataskyddsförordningen i kraft. Den ställer stora krav på företag och därför åker Svenskt Näringslivs expert i frågan Carolina Brånby just nu runt i landet och informerar. På onsdagen samlades företag i Uppsala för att få veta mer.

- Maj nästa år kan verka avlägset, men kraven på företag är stora. Det kan krävas förändringar av IT-system och som vi vet kan det vara en omfattande process, sa Brånby.

Dataskyddsförordningen kommer att ersätta personuppgiftslagen (PUL), men är mer omfattande och har större konsekvenser om den inte följs. En av de stora förändringarna är att sanktionsavgifterna kan bli enorma. Datainspektionen kan påföra sanktioner på upp till 20 miljoner euro eller fyra procent av ett företags globala årsomsättning på koncernnivå.

Kundregister stor fråga

En personuppgift är, enkelt uttryckt, allt som kan identifiera en enskild person. Det är allt från namn och adress till fingeravtryck och IP-adress. Företag har stora behov att lagra olika typer av information både om kunder och medarbetare. Det finns självklart möjligheter till det, även med den nya förordningen. Exempelvis får företag behandla personuppgifter nödvändiga för att följa lagar eller fullfölja avtal med den vars personuppgifter företaget behandlar. Det går också att lagra uppgifter efter en så kallad intresseavvägning där företaget menar att man har ett berättigat intresse av att lagra en uppgift som väger tyngre än den enskildes behov av integritet.

- Intresseavvägningen kan ibland tolkas som en slasktratt, men man kan inte göra det generellt och säga ”allt vi lagrar är av intresse för oss”. Man måste konkret ta ställning till varje typ av personuppgiftsbehandling, berättade Brånby.

Många frågor under seminariet rörde just hur man får hantera lönesystem, kundregister och listor med potentiella kunder. Carolina gav övergripande råd.

- Det är viktigt att dokumentera hur företaget kommit fram till varför viss typ av personupphandling får ske. Skapa rutiner och tänk alltid utifrån lagens principer om bland annat uppgiftsminimering. Ibland är förordningen svårtolkad eller svårtillämpad på en specifik situation. Kontakta Datainspektionen eller ta juridisk experthjälp, sa hon.

Carolina Brånby hade många tips att komma med. Ett är att alltid tänka över varför man sparar uppgifter. Allt som inte är nödvändigt ska man göra sig av med direkt.

Att skaffa utgivningsbevis för företagets hemsida var ett annat praktiskt tips.

- Då kliver man ur dataskyddsförordningens regler, så det kan vara en bra investering, sa Brånby.

Mycket att göra

Deltagarna lämnade seminariet med mycket att processa. Denna fråga berör både stora och små bolag, på olika sätt.

Björn Green, VD för Läraskolan i Håbo kommun förklarade hur de kommande förändringarna kan påverka hans verksamhet.

- För oss som driver en skola så finns det mängder med personuppgifter om elever som kan vara känsliga och vi vill ju veta hur vi ska hantera dem i samband med dessa förändringar. Den här typen av information är nyttig för oss för att få en klarare bild av hur vi ska arbeta fram över, berättar han.

För Caroline Ekström, områdeschef för vårdbolaget CVO i Uppsala kände att seminariet gav bra information om en fråga som många företag nu har funderingar kring:

- Det var mycket givande information, men det finns fortfarande oklarheter om hur det mer i detalj kommer påverka företag, som i vårt fall vår verksamhet inom vården.

I dagsläget är fortfarande vissa tolkningar av förordningen oklara. I maj kommer den svenska dataskyddsutredningen med sitt betänkande och förslag till ett svenskt kompletterande regelverk. Svenskt Näringsliv fortsätter att följa frågan, och för många företagare i Uppsala län är nu ett första steg taget mot att vara redo när den nya lagstiftningen träder i kraft.