Dataskyddsförordningen (GDPR-konsult)
Introduktion
Vi hjälper dig bli compliant genom GDPR rådgivning
Genom GDPR-rådgivning kan vi hjälpa din organisation i arbetet mot compliance med dataskyddsförordningen, en europeisk förordning som reglerar hur organisationer får och ska behandla personuppgifter. GDPR utgör grunden för skyddet för fysiska personers integritet vid behandling av personuppgifter inom EU, vilket är en grundläggande mänsklig rättighet och måste därav värnas om.
En grundläggande princip är att personuppgifter endast får behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Behandlingen är laglig endast om den grundar sig på någon av de tillåtna rättsliga grunder som anges i förordningen, till exempel genom samtycke av den registrerade.
Secify som dataskyddsombud
Få stöd från en dataskyddsombud-konsult från Secify
Dataskyddsarbete är ett ständigt pågående arbete, och innebär inte sällan hantering av knepiga frågor och svåra utmaningar, speciellt när det gäller att förändra organisationen och anpassa den efter lagen.
I rollen som extern rådgivare, erbjuder vi på Secify ett flertal olika lösningar som till exempel projektutlåtanden, granskning av interna och externa parter, samt djupgående rådgivning.
Våra rådgivare består av specialiserade jurister, erfarna informationssäkerhetsrådgivare samt IT-säkerhetsspecialister, som genom ett tätt kompetens- och erfarenhetsutbyte värnar om att erbjuda rådgivning rörande allt ifrån juridik till lämpliga IT-säkerhetslösningar.
Några av våra kunder
Tjänster
En av våra mest populära och omtyckta tjänster är DPO-tjänsten (data protection officer) också kallat externt dataskyddsombud. Då anlitar ni en konsult hos oss som arbetar med dataskydd ett förbestämt antal timmar hos er varje månad.
Frågor och svar
Här finns svar på de vanligaste frågorna om GDPR. Har du en fråga som inte finns med? Använd kontaktformuläret lite längre ner på sidan.
Ja, hantering av barns personuppgifter kräver specialbehandling. Barn kan enligt Dataskyddsförordningen inte själva samtycka till lagring och användning av sina personuppgifter, istället krävs vårdnadshavarnas samtycke. När du informerar barn om saker som har med Dataskyddsförordningen att göra så måste du göra det på ett så enkelt sätt att barnen förstår.
När personuppgifter ska behandlas måste reglerna för personuppgiftsbehandling i GDPR följas. Utgångspunkten är att all personuppgiftsbehandling är otillåten om den inte har rättslig grund. När den rättsliga grunden för personuppgiftsbehandlingen är fastställd och dokumenterad måste övriga krav i GDPR uppfyllas, exempelvis de grundläggande principerna för dataskydd och att informera de personer som kommer att få sina personuppgifter behandlade (om behandlingen).
Det är den personuppgiftsansvarige som ska säkerställa att GDPR efterföljs inom organisationen.
Den personuppgiftsansvarige är den fysiska eller juridiska person, offentliga myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter.
All slags information som direkt eller indirekt kan kopplas till en fysisk person som är i livet räknas som personuppgifter. Även bilder (foton) och ljudupptagningar på individer kan vara personuppgifter, även om inga namn nämns. Krypterade uppgifter och olika slags elektroniska identiteter, som exempelvis IP-nummer och användarkonto, räknas som personuppgifter om de kan kopplas till fysiska personer.
Både ja och nej: dataskyddsförordningen gäller inte alltid privatpersoner.
Dataskyddsförordningen gäller inte för privatpersoner när det handlar om sånt som är av rent privat natur (eller som har samband med personens hushåll).
Men om personen exempelvis har en blogg som innehåller personuppgifter, ja då gäller (naturligtvis) GDPR!
De högsta beslutsfattarna inom din organisation bör känna till Dataskyddsförordningen.
Framförallt bör de informera sig om vilka krav som Dataskyddsförordningen ställer på organisationen, och vilka konsekvenser det kan bli av att inte följa lagen.
Innan du påbörjar en ny behandling som innebär stora integritetsrisker, så måste du göra en konsekvensbedömning. Konsekvensbedömningar beskrivs i Dataskyddsförordningens Artikel 35.
Om incidenten kan leda till att de registrerade utsätts för allvarliga risker, så måste din organisation underrätta tillsynsmyndigheten om så är möjligt inom 72 timmar från upptäckten. I vissa fall måste även de registrerade underrättas om riskerna. Detta regleras i Dataskyddsförordningens artiklar 33 och 34.
I samband med att en personuppgiftsincident inträffar i din organisation, så kan tillsynsmyndigheten göra en tillsyn av din verksamhet. I det läget är din dokumentation en viktig försäkring för att minska risken för tunga lagliga sanktioner.
De viktigaste rättigheterna för registrerade personer:
- rätt till information om behandlingen
- rätt att få tillgång till sina personuppgifter
- rätt att få felaktiga uppgifter rättade
- rätt att få sina personuppgifter raderade
- rätt att invända mot att personuppgifterna används
- rätt till begränsning av behandling
- rättigheter kopplade till automatiserat beslutsfattande och profilering
- rätt att få ut personuppgifter i maskinläsbart format (dataportabilitet)
Din organisation och dina system måste tillsammans kunna uppfylla kraven ovan.
Den som lagrar eller behandlar information om identifierbara fysiska personer inom EU ska följa Dataskyddsförordningen.
Det finns några undantag, bland annat:
- vissa myndigheter
- privatpersoner som behandlar personuppgifter för privat bruk
Dataskyddsförordningen handlar framförallt om:
- Hur och när personuppgifter får hanteras
- Vilka krav som ställs på den som ansvarar för personuppgifter (“Personuppgiftsansvarig”)
- Vilka krav som ställs på den som hanterar personuppgifter för annans räkning (“Personuppgiftsbiträde”)
GDPR är en förkortning av “General Data Protection Regulation”, på svenska även kallad dataskyddsförordningen.
