I n\u00e4ra nog 20 \u00e5r har personuppgiftslagen, PuL, styrt hur och vem som f\u00e5r hantera personuppgifter. Nu \u00e4r de dagarna \u00f6ver. Fr\u00e5n och med 25 maj 2018 \u00e4r det GDPR \u2013 General data protection regulation \u2013 som sl\u00e5r fast reglerna f\u00f6r all form av behandling av information som direkt eller indirekt kan knytas till en person. F\u00f6r myndigheter, f\u00f6retag och organisationer kan detta komma att betyda en hel del f\u00f6r\u00e4ndringar.<\/p>\n
Mest p\u00e5tagliga blir f\u00f6r\u00e4ndringarna f\u00f6r de som inte sk\u00f6ter sig. Personuppgiftslagen har tidigare anklagats f\u00f6r att vara tandl\u00f6s. S\u00e5 v\u00e4ntas det inte bli med GDPR, eller dataskyddslagen som den kallas i Sverige. Om ett f\u00f6retag brister i sin behandling av personuppgifter kan de tvingas betala en s\u00e5 kallad administrativ sanktionsavgift p\u00e5 upp till 20 miljoner euro eller fyra procent av deras globala oms\u00e4ttning. Den bed\u00f6mningen g\u00f6r i f\u00f6rsta hand tillsynsmyndigheten i varje land, f\u00f6r Sveriges del blir det Datainspektionen. Men det kommer ocks\u00e5 finnas en central dataskyddstyrelse i EU som tar fram riktlinjer och fattar beslut om tolkningar.<\/p>\n
Hur sanktionsavgifterna ser ut f\u00f6r myndigheter och den offentliga sektorn \u00e4r upp till varje medlemsland att avg\u00f6ra. I Sverige finns ett f\u00f6rslag p\u00e5 att de ska ligga p\u00e5 mellan 10 och 20 miljoner kronor. Belopp som \u00e4r j\u00e4mf\u00f6ra bara f\u00f6r brott mot milj\u00f6- och arbetsmarknadslagar.<\/p>\n
Syftet med den nya lagstiftningen \u00e4r dels att f\u00e5 till en harmonisering mellan EU:s medlemsstater. Dataskyddsdirektivet fr\u00e5n 1995 utgjorde visserligen en gemensam grund inom unionen, men som direktiv var det upp till varje land att implementera regelverket och tolka det. Nu \u00e4r det samma lagtext oavsett vilket EU-land man befinner sig i.<\/p>\n
Samtidigt har det legat mycket fokus p\u00e5 ett \u00f6kat integritetsskydd. Medborgarnas r\u00e4ttigheter kommer att st\u00e4rkas. Kraven p\u00e5 att f\u00f6retag och andra organisationer ska informera hur de hanterar uppgifter, vilka uppgifter och varf\u00f6r, de st\u00e4rks. Det ska ocks\u00e5 g\u00e5 att under vissa omst\u00e4ndigheter g\u00e5 att s\u00e4ga nej till att personuppgifterna anv\u00e4nds. Till exempel blir det l\u00e4ttare att slippa direktreklam.<\/p>\n
I det \u00f6kade medborgarskyddet ing\u00e5r ocks\u00e5 r\u00e4tten att bli gl\u00f6md. Allts\u00e5 den chans en person har att beg\u00e4ra att f\u00e5 uppgifter p\u00e5 s\u00f6kmotorer bortplockad. F\u00f6r det kr\u00e4vs att s\u00f6kresultatet \u00e4r oriktigt, irrelevant, eller \u00f6verfl\u00f6digt.<\/p>\n
St\u00f6rst f\u00f6r\u00e4ndring blir det dock f\u00f6r de som hanterar uppgifterna. Det \u00e4r d\u00e4remot bra att ha bakhuvudet att m\u00e5nga av de krav som dataskyddsf\u00f6rordningen medf\u00f6r redan finns i personuppgiftslagen. Till viss del \u00e4r GDPR bara en uppdatering och sk\u00e4rpning av PuL. Men n\u00e5gra saker \u00e4r viktiga att ha med sig.<\/p>\n
Framf\u00f6r allt g\u00e4ller det att ha koll p\u00e5 informationen. I f\u00f6rordningen finns n\u00e5got som kallas privacy by default vilket i korthet betyder att ni m\u00e5ste k\u00e4nna er data, och de system som hanterar informationen. Det \u00e4r inte heller n\u00e5got som f\u00f6retaget kan l\u00e4gga \u00f6ver p\u00e5 en it-leverant\u00f6r. Varje organisation m\u00e5ste sj\u00e4lva st\u00e4lla sig en rad fr\u00e5gor, och hitta svaren i god tid innan 25 maj n\u00e4sta \u00e5r. Varf\u00f6r har ni beh\u00f6ver ni precis de h\u00e4r uppgifterna, hur samlas de in och vem har tillg\u00e5ng till dem. Ni b\u00f6r g\u00f6ra en riskbed\u00f6mning.<\/p>\n
Dataskyddsf\u00f6rordningen g\u00f6r g\u00e4llande att den personuppgiftsansvarige m\u00e5ste visa att f\u00f6rordningen f\u00f6ljs. Det kommer troligen betyda krav p\u00e5 \u00f6kad dokumentation. En personuppgiftsansvarig \u00e4r en juridisk person, allts\u00e5 inte en enskild person. Samma sak g\u00e4ller som man har ett personuppgiftsbitr\u00e4de. En nyhet \u00e4r d\u00e4remot inf\u00f6randet av ett dataskyddsombud. En person som har s\u00e4rskilt ansvar f\u00f6r att se till att reglerna efterf\u00f6ljs och som bevakar dataskyddsfr\u00e5gor. Det g\u00e4ller f\u00f6r de som hanterar s\u00e4rskilt k\u00e4nsliga uppgifter. Eller om det inneb\u00e4r en kartl\u00e4ggning av enskilda m\u00e4nniskors beteende.<\/p>\n
I Sverige har vi tidigare haft en f\u00f6renkling av personuppgiftslagen. Har man behandlat personuppgifter i l\u00f6pande text och enklare listor har den hanteringen kunnat g\u00f6ras med st\u00f6d i missbruksregeln. Det har gjort det m\u00f6jligt att hantera personuppgifter s\u00e5 l\u00e4nge det inte \u00e4r kr\u00e4nkande f\u00f6r n\u00e5gon. Den regeln f\u00f6rsvinner helt och h\u00e5llet i och med den nya lagen.<\/p>\n
Dataintr\u00e5ng har dessv\u00e4rre blivit n\u00e5got som f\u00f6retag och myndigheter m\u00e5ste v\u00e4nja sig vid. Det g\u00e4ller att g\u00f6ra vad man kan f\u00f6r att skydda sin it-milj\u00f6. Men precis som i den fysiska v\u00e4rlden ligger inte s\u00e4llan tjuven ett steg f\u00f6re. Om det intr\u00e4ffar n\u00e5got som riskerar att personuppgifter hamnar i or\u00e4tta h\u00e4nder m\u00e5ste detta nu rapporteras till Datainspektionen. Det kan g\u00e4lla b\u00e5de dataintr\u00e5ng eller att man sj\u00e4lva beg\u00e5tt ett misstag. \u00c4ven de vars uppgifter l\u00e4ckt ut m\u00e5ste informeras inom 72 timmar.<\/p>\n
Arbetet med nya regler f\u00f6r dataskydd har p\u00e5g\u00e5tt under ett flertal \u00e5r. 2012 kom det f\u00f6rsta utkastet till f\u00f6rslag. D\u00e4refter har det vandrat genom unionens byr\u00e5kratiska system, mellan utskott och beslutsfattare, mellan EU-kommissionen, de folkvalda och medlemsstaterna. 4 maj f\u00f6rra \u00e5ret publicerades det slutgiltiga f\u00f6rslaget.<\/p>\n
Det har inte varit en l\u00e4tt resa, 28 medlemsl\u00e4nder med delvis olika syn p\u00e5 var ansvaret ska ligga och hur den administrativa b\u00f6rdan b\u00f6r f\u00f6rdelas. Ja, till och med exakt vad som utg\u00f6r en personuppgift har diskuterats.<\/p>\n
Det kommer att ta tid till det finns en praxis att f\u00f6lja. Den centrala dataskyddsstyrelsen i EU kommer ta fram tolkningar, s\u00e4ger Martin Brinnen, jurist p\u00e5 Datainspektionen. Men det kommer troligen bli ett och annat r\u00e4ttsfall att v\u00e4nta i EU-domstolen. Tre till fyra \u00e5r kan det ta innan en mer exakt bild \u00e4r p\u00e5 plats av hur GDPR ska tolkas. Till dess \u00e4r det viktigt att f\u00f6lja utvecklingen, ta reda p\u00e5 vad som g\u00e4ller och s\u00e4kra upp i de egna systemen. Och det \u00e4r ett arbete som m\u00e5ste g\u00f6ras nu. Datainspektionens och juristernas r\u00e5d \u00e4r att kontakta experterna, utbildning och ett aktivt s\u00e4kerhetst\u00e4nk. 25 maj 2018 \u00e4r blott ett \u00e5r borta.<\/p>\n