25 maj - aj aj eller raj raj?
Missnöjda kunder som ställer krav och företag som kanske inte är klara i sin GDPR-struktur. Det är vad som antagligen kommer att hända den 25 maj då GDPR träder i kraft. Samtidigt är organisationen på Datainspektionen långt ifrån redo att möta anstormningen.
– Samma dag som GDPR börjar gälla så kommer de första personerna att använda sig av rätten att bli glömd. Många väntar på att få prova den möjligheten just nu. Jag tror också att stora företag med väldigt många missnöjda kunder kan bli hårt drabbade. De kommer få det kämpigt och måste kunna hantera den typen av förfrågningar direkt. Därför är det viktigt att alla företag har processerna på plats i tid, säger Daniel Akenine, teknik- och säkerhetschef på Microsoft.
Att ha processerna på plats är viktigt eftersom GDPR handlar mycket om att kunna visa upp hur man arbetar för att förhålla sig till lagen, menar han. Man kan ha gjort en bedömning som i sig kan vara mer eller mindre rätt eller fel, men man ska kunna visa hur man tänkt och resonerat kring varför man har personers data.
– Om man bara råkar göra rätt så har man gjort fel, säger Daniel Akenine.
Läs mer: Voister förklarar: GDPR
Nya jobb på Datainspektionen
Elisabeth Jilderyd arbetar som jurist på Datainspektionen, myndigheten som kommer att ha tillsyn över att GDPR:s regler följs. I och med ökningen av arbetsuppgifter som GDPR innebär så är Datainspektionen nu inne i en stor rekryteringsfas.
Vad är förhandssamråd?
Förhandssamråd innebär att man kan kontakta Datainspektionen om man känner att man inte kan begränsa risken. Datainspektionen skriver:
"I konsekvensbedömningen ska ni tydligt dokumentera vad ni ska göra för att garantera säkerheten i personuppgiftsbehandlingen. Om ni ändå anser att det finns hög risk med personuppgiftsbehandlingen ska ni samråda med Datainspektionen innan ni får påbörja behandlingen. Det kan till exempel vara att riskerna inte kan begränsas tillräckligt genom åtgärder som är rimliga med tanke på tillgänglig teknik och kostnader."
Förhandssamråd går inte att begära förrän 25 maj.
Källa: Datainspektionen
– Vi är cirka 50 anställda idag och siktar på att bli 30 personer ytterligare. Vi fördubblar alltså nästan vår personalstyrka för att göra oss redo inför 25 maj.
Läs mer: Tre skoltips inför GDPR
GDPR leder till att enskilda får möjligheten att utöva sina rättigheter både genom att vända sig till företagen direkt och genom att lämna in klagomål till Datainspektionen. Men GDPR innebär ju även skyldigheter - några nya sådana som kan komma att bli vanliga är anmälningar om personuppgiftsincidenter och begäran om förhandssamråd, menar Elisabeth Jilderyd.
– Skyldigheten att anmäla personuppgiftsindicenter går ut på att om personuppgifter kommer på villovägar, exempelvis genom att någon tappar bort sin dator eller mobil med personuppgifter på, så är man skyldig att anmäla det till Datainspektionen om det kan innebära en risk för de registrerade. I andra länder där de redan har kravet på att anmäla personuppgiftsincidenter så är siffrorna väldigt höga. Vi tror att det kan komma många anmälningar här i Sverige också.
Tre saker företag måste tänka på inför GDPR.
Elisabeth Jilderyd:
- Skaffa en bild av vilken personuppgiftsbehandling ni gör idag och se till att ha rättslig grund för den behandlingen.
- Inventera integritetsaspekter som kan finnas och ta fram de åtgärder som behövs för att motverka riskerna.
- Förbered er så att ni kan hantera de registrerades begäran om till exempel rättelse och radering, rätt att få åtkomst till uppgifter och andra rättigheter.
Daniel Akenine:
- Se till att ha all rätt dokumentation som behövs, var beredd på att kunna svara på de mest typiska frågorna.
- Ha processerna på plats, exempelvis genom att ha ett färdigt sätt som du hanterar personers rätt att bli glömda.
- Den tredje är säkerhetsaspekten. Ha system som är anpassade säkerhetsmässigt till GDPR, och se till att informationen är tillräckligt skyddad i förhållande till känsligheten på datan.
Läs mer om ämnet: