DSO om GDPR. 1 1 Novus All rights reserved. En Novusundersökning på uppdrag av:

Transkript

2 Bakgrund & Genomförande SYFTE Undersökningens syfte är att öka förståelsen för dataskyddsombudens förutsättningar att arbeta med dataskyddsfrågor. Undersökningen ska även ge ökad kunskap om verksamheternas mognad avseende integritets- och dataskyddsfrågor, samt ge Datainspektionen bättre underlag för att stötta och vägleda ombuden i deras arbete. Undersökningen har genomförts av Novus på uppdrag av Datainspektionen. MÅLGRUPP Samtliga hos Datainspektionen registrerade dataskyddsombud GENOMFÖRANDE Antal intervjuer: 1687 Fältperiod: 19 februari 18 mars 2019 Deltagarfrekvensen är 44%. Urvalsgrupper och antal svar: DSO med 1 verksamhet utskick till 2392 varav 1039 svar DSO med 2 verksamheter utskick till 556 varav 210 svar DSO med 3 eller fler verksamheter utskick till 908 varav 440 svar En Novus undersökning är en garant för att undersökningen är relevant och rättvisande för hela gruppen som skall undersökas. Undersökningen är genomförd via webbintervjuer med urval från Datainspektionen. Deltagarfrekvens: 44% RESULTAT Resultaten för undersökningen levereras i en diagramrapport. Markerade signifikanta skillnader i rapporten är jämfört mot totalen. FELMARGINAL Vid intervjuer: Vid utfall 20/80: +/- 2,5% Vid utfall 50/50: +/- 3,2% Vid 1600 intervjuer: Vid utfall 20/80: +/- 2,0% Vid utfall 50/50: +/- 2,5% +/- 2 2 Novus All rights reserved.

3 Kort sammanfattning Flest arbetar som dataskyddsombud på deltid. DSO som är ansvarig för 3 verksamheter eller fler arbetar i högre grad heltid. De som arbetar deltid med dataskyddsfrågor avsätter sin arbetstid efter behov. Nästan hälften av alla DSO:er har tillräckligt med tid avsatt för att hinna med att arbeta med dataskyddsfrågor. De som arbetar heltid som DSO har i högre grad tillräckligt med tid avsatt Tre av fyra upplever att implementeringen av GDPR har fungerat bra. Fler privata företag upplever att det har fungerat bra. Implementeringen har fungerat mindre bra för kommunal/landstingsverksamhet samt för de som INTE har tillräckligt med tid avsatt att arbeta med dataskyddsfrågor. Nästan hälften upplever att uppdraget som DSO är tydligt. Där det INTE finns tillräckligt med avsatt tid för dataskyddsfrågor upplever fler att det är otydligt. Fyra av tio blir ofta involverade i projekt som får följder för dataskyddet. Bland kommun/landsting svarar fler ibland/sällan/aldrig (71% jmf total 43%) att de blir involverade. Flest svarar att det varierar när man blir involverad i projekt som handlar om dataskydd om man blir involverad i god tid eller att det mer blir att släcka bränder. Det gäller särskilt DSO med 1 verksamhet och där det finns tillräckligt med avsatt tid för dataskyddsfrågor. Drygt hälften anser att de får den utbildning/kompetens som krävs. Drygt hälften kan få stöd och hjälp av andra anställda vid behov när det gäller dataskyddsfrågor. Fler på privata företag uppger detta. 3 3 Novus All rights reserved.

4 Kort sammanfattning Flest rapporterar till GD/VD/högsta chef i frågor som rör dataskydd. Drygt hälften upplever att det är lätt att få gehör för dataskyddsfrågor i ledningen. På privata företag upplever man i större utsträckning att man får gehör. Hälften arbetar i hög utsträckning kontinuerligt med integritets- och dataskyddsfrågor. Detta gäller särskilt privata företag, de som arbetar på kommun/landsting uppger att detta sker i mindre utsträckning. Sju av tio har riktlinjer och rutiner för hur verksamheten ska hantera personuppgifter. Privata företag anger detta i större utsträckning, medan fler statliga myndigheter och kommun/landsting uppger att de delvis har detta. DSO uppfattar att medarbetarna har relativt låg kunskap om GDPR. På privata företag upplever DSO i större utsträckning att medarbetarna har kunskap om GDPR. Tre av fyra anger att man har tagit fram en förteckning över personuppgifts-behandlingar. Detta gäller särskilt statliga myndigheter och privata företag. Vanligast är att man har rutiner för att rapportera personuppgiftsincidenter till Datainspektionen. Detta uppges i större utsträckning bland de som arbetar på privata företag och de som upplever att det finns tillräckligt med avsatt tid till dataskyddsfrågor. Flest anser att den största utmaningen är att få till fungerande rutiner och processer. DSO på kommun/landsting anger i större utsträckning att detta är den största utmaningen. Nära åtta av tio svarar att de är skyldiga att ha en DSO. En av tjugo svarar att de bedriver en verksamhet som omfattas av BDL. 4 4 Novus All rights reserved.

6 Flest arbetar som dataskyddsombud på deltid FRÅGA: Arbetar du som dataskyddsombud (DSO) på heltid eller deltid? 63 % DSO som är ansvarig för 3 eller fler verksamheter arbetar i högre grad heltid (33%) och de som har verksamheten i kommunal regi (26%) DSO som är ansvarig för 1 verksamhet arbetar i högre grad deltid (66%) 22 % 8 % 7 % 0 % Heltid Deltid Konsult deltid Konsult heltid Annat sätt 6 6 Novus All rights reserved.

7 Nästan hälften av de som arbetar deltid avsätter tid efter behov till dataskyddsfrågor FRÅGA: Ungefär hur stor del av din totala arbetstid är avsatt för att arbeta med dataskyddsfrågor? -40% 41-60% 61% + 5 % 9 % 36 % Följande undergrupper svarar i högre grad: -40% (36%) Har tillräckligt med tid avsatt för att arbeta med dataskyddsfrågor (39%) Privat företag (41%) Frivilligt att ha DSO (42%) Ingen särskild tid avsatt utan det blir efter behov (47%) DSO med 1 verksamhet (50%) Har INTE tillräckligt med tid avsatt för att arbeta med dataskyddsfrågor (53%) Ingen särskild tid avsatt utan det blir efter behov 47 % Annat 2 % Vet ej 1 % BAS: Arbetar deltid (n=1193) 7 7 Novus All rights reserved.

8 Nästan hälften av alla DSO har tillräckligt med tid avsatt FRÅGA: Finns tillräckligt med tid avsatt för att du på ett tillfredsställande sätt ska hinna med att arbeta med dataskyddsfrågor? Delvis/ Nej 55% Följande undergrupper svarar i högre grad: 45 % 36 % JA (45%) Arbetar heltid som DSO (63%) Privat företag (55%) Bank/Finans (61%) Data/IT/Telekom (54%) DELVIS/NEJ (55%) Arbetar deltid som DSO (63%) Offentlig verksamhet (Statlig myndighet 63%, Kommuner 68%) Arkivarie (75%), Samhällsvetare (70%) 19 % Ja Delvis Nej 8 8 Novus All rights reserved.

9 Tre av fyra upplever att implementeringen av GDPR har fungerat bra Bra 73% FRÅGA: Hur upplever du att implementeringen av GDPR och kompletterande lagstiftning har fungerat fram till idag i er organisation? 57 % Följande undergrupper svarar i högre grad: Inte bra 10% BRA (73%) Privat företag (83%) Bransch - Bank/Finans (87%) Bransch Data/IT/Telekom (88%) Frivilligt att ha DSO (84%) 16 % 16 % 7 % 2 % 1 % INTE BRA (10%) Arbetar som DSO heltid (13%) Finns INTE tillräckligt med tid avsatt (23%) Kommun/landsting (21%) Mycket bra Ganska bra Varken eller Mindre bra Inte alls bra Vet ej 9 9 Novus All rights reserved.

10 Nästan hälften upplever att uppdraget som DSO är tydligt FRÅGA: Upplever du att ditt uppdrag som dataskyddsombud (DSO) är tydligt när det gäller vad du skall åstadkomma och leverera? Följande undergrupper svarar i högre grad: 43 % 43 % JA (43%) Arbetar som DSO på heltid (52%) Finns tillräckligt med avsatt tid för dataskyddsfrågor (65%) Privat företag (54%) Bransch Bank/Finans (69%) Bransch Data/IT/Telekom (57%) Frivilligt att ha DSO (56%) 12 % 1 % NEJ (12%) Finns INTE tillräckligt med avsatt tid för dataskyddsfrågor (31%) Kommun/Landsting (19%) Ja Delvis Nej Vet ej/ingen uppfattning Novus All rights reserved.

11 Fyra av tio blir ofta involverad i projekt som får följder för dataskyddet FRÅGA: I vilken utsträckning blir du involverad i projekt eller andra sammanhang där beslut fattas som får följder för dataskyddet? Följande undergrupper svarar i högre grad: Alltid (18%) DSO med 1 verksamhet (22%) Finns tillräckligt med avsatt tid för dataskyddsfrågor (29%) Privat företag (27%) Bransch - Bank/Finans (31%) Bransch Data/IT/Telekom (28%) Bransch Vård/omsorg (31%) Frivilligt att ha DSO (26%) Oftast (39%) Finns tillräckligt med avsatt tid för dataskyddsfrågor (44%) Statlig myndighet (46%) Privat företag (46%) Bransch - Bank/Finans (49%) Bransch Data/IT/Telekom (47%) Kommun/landsting svarar i högre grad ibland/sällan/aldrig (71% jmf total 43%) 18 % Alltid/ oftast 57% 39 % 27 % Ibland /sällan /aldrig 43% 13 % 3 % Alltid Oftast Ibland Sällan Aldrig Novus All rights reserved.

12 Flest svarar att det är en variation när man blir involverad i projekt som handlar om dataskydd FRÅGA: När du deltar i projekt eller andra sammanhang som handlar om dataskydd, blir du normalt sett involverad i god tid, eller handlar ditt arbete mer om att släcka bränder? Följande undergrupper svarar i högre grad: Blir som regel involverad i god tid (30%) DSO med 1 verksamhet (33%) Finns tillräckligt med avsatt tid för dataskyddsfrågor (45%) Privat företag (43%) Bransch Bank/Finans (50%) Bransch Data/IT/Telekom (41%) Bransch Vård/omsorg (51%) Frivilligt att ha DSO (39%) Blir som regel involverad i god tid 30 % Det varierar (49%) Arbetar som DSO på deltid (52%) Kommunal/landsting (59%) invånare i kommunen (64%) Det varierar Ej så ofta, det blir mer av karaktären släcka bränder 14 % 49 % Ej så ofta, det blir mer av karaktären släcka bränder (14%) DSO med fler än 3 verksamheter (21%) Arbetar som DSO på heltid (21%) Finns INTE tillräckligt med avsatt tid för dataskyddsfrågor (25%) Kommunal/landsting (27%) Vet ej/ingen uppfattning 7 % BAS: Blir involverad i projekt (n=1634) Novus All rights reserved.

13 Drygt hälften anser att de får den kompetensutveckling som krävs FRÅGA: Anser du att du får den utbildning och kompetensutveckling som krävs för att kunna arbeta med dataskyddsfrågor i organisationen? Följande undergrupper svarar i högre grad: 53 % Delvis/ nej 44% Ja (53%) DSO med 3 eller fler verksamheter (63%) Arbetar som DSO på heltid (65%) Finns tillräckligt med avsatt tid för dataskyddsfrågor (71%) Privat företag (58%) Bransch Bank/Finans (75%) Bransch Data/IT/Telecom (62%) Frivilligt att ha DSO (62%) Delvis (34%) Arbetar som DSO på deltid (38%) Finns INTE tillräckligt med avsatt tid för dataskyddsfrågor (39%) Nej (10%) DSO med 1 verksamhet (13%) 34 % 10 % 3 % Ja Delvis Nej Ingen uppfattning Novus All rights reserved.

14 Drygt hälften kan få stöd och hjälp av andra anställda vid behov FRÅGA: Arbetar du i huvudsak ensam eller kan du få stöd och hjälp av andra anställda eller andra DSO:er med dataskyddsfrågor? Arbetar i huvudsak ensam Kan få stöd och hjälp av andra anställda vid behov Kan få stöd och hjälp av andra DSO:er i egen eller andra organisationer vid behov 38 % 37 % 52 % Netto: Kan få stöd och hjälp 76% Följande undergrupper svarar i högre grad: Arbetar i huvudsak ensam (38%) Finns inte tillräckligt med avsatt tid för dataskyddsfrågor (49%) Bransch Vård/omsorg (47%) Kan få stöd och hjälp av andra anställda vid behov (52%) Privat företag (59%) Bransch Bank/Finans (61%) Bransch Vård/omsorg (63%) Kan få stöd och hjälp av andra DSO:er i egen eller andra organisationer vid behov (37%) DSO med 3 eller fler verksamheter (43%) Kommun/Landsting (56%) Skyldiga att ha DSO (41%) Arbetar i fast grupp med flera medarbetare 14 % Ingen uppfattning 1 % Novus All rights reserved.

15 Flest rapporterar till GD/VD/högsta chef FRÅGA: Vilka rapporterar du till i frågor som rör dataskydd? Följande undergrupper svarar i högre grad: GD/VD/högsta chef (ledningen) Närmaste chef Styrelsen Nämnden (högsta förvaltningsnivå) Är själv en del av högsta ledningen 10 % 9 % 21 % 34 % Endast de som svarat att de har en kommunalverksamhet får detta alternativ 62 % Netto: Närmaste chef 10,6% GD/VD/högsta chef (ledningen) (62%) Finns tillräckligt med avsatt tid för dataskyddsfrågor (67%) Privat företag (68%) Bransch Bank/Finans (79%) Närmaste chef (34%) Arbetar som DSO på heltid (43%) Kommun/landsting (45%) Styrelsen (21%) Arbetar som DSO på heltid (27%) Intresseorganisation (31%) Bransch - Bank/Finans (57%) Annat 7 % Ingen 2 % Ej aktuellt 1 % Novus All rights reserved.

16 Flest rapporterar till GD/VD/högsta chef FRÅGA: Vilka rapporterar du till i frågor som rör dataskydd? GD/VD/högsta chef (ledningen) Närmaste chef Styrelsen Nämnden (högsta förvaltningsnivå) Är själv en del av högsta ledningen Annat Ingen Ej aktuellt 33 % 34% 39% 18 % 27% 23% 4 % 9% 23% 12 % 7% 3% 7 % 8% 6% 2 % 3% 1% 2 % 1% 0% 59 % 60% 68% DSO med 1 verksamhet DSO med 2 verksamheter DSO med 3 eller fler verksamheter Endast de som svarat att de har en kommunalverksamhet får alternativet - Nämnden (högsta förvaltningsnivå) Novus All rights reserved.

17 Drygt hälften upplever att det är lätt att få gehör för dataskyddsfrågor i ledningen FRÅGA: Upplever du att Följande undergrupper svarar i högre grad Xxxxx JA det Xxxxx är lätt för dig att få gehör.55% DSO med 1 verksamhet (58%) Finns tillräckligt med avsatt tid för dataskyddsfrågor (74%) Privat företag (69%) Bransch Bank/Finans (76%) Bransch Data/IT/Telekom (70%) Bransch Vård/Omsorg (70%) Frivilligt att ha DSO (70%)... det är lätt för dig att få gehör för dataskyddsfrågor i ledningen?... dataskydd och integritetsskydd är en prioriterad fråga för ledningen/pua? 55% 49% 32 % 36 % 8 % 5 % 12 % 2 % dataskydd och integritetsskydd är.49% DSO med 1 verksamhet (52%) DSO med 2 verksamheter (58%) Finns tillräckligt med avsatt tid för dataskyddsfrågor (66%) Privat företag (65%) Bransch Bank/Finans (73%) Bransch Data/IT/Telekom (71%) Bransch Vård/Omsorg (65%) Frivilligt att ha DSO (62%)... ledningen är insatta och kunniga i GDPR-frågor? 30% 52 % 15 % 3 % 0% 20% 40% 60% 80% 100% Ja Delvis Nej Vet ej/ingen uppfattning ledningen är insatta och kunniga.30% Finns tillräckligt med avsatt tid för dataskyddsfrågor (44%) Privat företag (44%) Bransch Bank/Finans (47%) Bransch Data/IT/Telekom (46%) Bransch Vård/Omsorg (43%) Frivilligt att ha DSO (44%) Novus All rights reserved.

18 Drygt hälften upplever att det är lätt att få gehör för dataskyddsfrågor i ledningen Xxxxx Xxxxx FRÅGA: Upplever du att Delvis det är lätt för dig att få gehör.32% DSO med 3 eller flera verksamheter (37%) Kommun/landsting (45%) Skyldiga att ha DSO (34%) dataskydd och integritetsskydd är.36% DSO med 3 eller fler verksamheter (40%) Kommun/landsting (48%) Skyldiga att ha DSO (38%) Följande undergrupper svarar i högre grad Nej det är lätt för dig att få gehör.8% DSO med 3 eller flera verksamheter (11%) Finns inte tillräckligt med tid avsatt för dataskyddsfrågor (21%) Kommun/landsting (17%) dataskydd och integritetsskydd är.12% DSO med 3 eller fler verksamheter (18%) Finns inte tillräckligt med tid avsatt för dataskyddsfrågor (28%) Skyldiga att ha DSO (13%)... det är lätt för dig att få gehör för dataskyddsfrågor i ledningen?... dataskydd och integritetsskydd är en prioriterad fråga för ledningen/pua?... ledningen är insatta och kunniga i GDPR-frågor? 30% 55% 49% 32 % 8 % 5 % 36 % 12 % 2 % 52 % 15 % 3 % ledningen är insatta och kunniga.52% Kommun/landsting (57%) ledningen är insatta och kunniga.15% DSO med 3 eller fler verksamheter (18%) Arbetar som DSO på heltid (18%) Finns inte tillräckligt med tid avsatt för dataskyddsfrågor (34%) Kommun/landsting (30%) Skyldiga att ha DSO (17%) 0% 20% 40% 60% 80% 100% Ja Delvis Nej Vet ej/ingen uppfattning Novus All rights reserved.

19 Hälften arbetar i hög utsträckning kontinuerligt med integritets- och dataskyddsfrågor FRÅGA: I vilken utsträckning arbetar er organisation kontinuerligt och systematiskt med integritets- och dataskyddsfrågor? Följande undergrupper svarar i högre grad: Mycket/ganska hög utsträckning (49%) DSO med 2 verksamheter (55%) Finns tillräckligt med avsatt tid för dataskyddsfrågor (64%) Privat företag (65%) Bransch Bank/Finans (74%) Bransch Data/IT/Telecom (68%) Bransch Vård/omsorg (64%) Frivilligt att ha DSO (62%) Låg utsträckning/inte alls (15%) DSO med 3 eller fler verksamheter (18%) Finns INTE tillräckligt med avsatt tid för dataskyddsfrågor (32%) Kommun/landsting (29%) Novus All rights reserved. I hög utsträckning 49% I låg utsträckning 15% 17 % 5. I mycket hög utsträckning 32 % 33 % 12 % 3 % 3 % Inte alls Vet ej/ingen uppfattning

20 Sju av tio har riktlinjer och rutiner för hur verksamheten ska hantera personuppgifter FRÅGA: Har ni som en följd av GDPR tagit fram riktlinjer och rutiner för hur er verksamhet ska hantera och använda personuppgifter? 72 % Följande undergrupper svarar i högre grad: Ja (72%) DSO med 1 verksamhet (75%) Finns tillräckligt med avsatt tid för dataskyddsfrågor (81%) Privat företag (86%) Bransch Bank/Finans (93%) Bransch Vård/omsorg (85%) Frivilligt att ha DSO (86%) Delvis (25%) DSO med 3 eller fler verksamheter (30%) Arbetar som DSO på heltid (30%) Statlig myndighet (31%) Kommun/landsting (41%) Skyldiga att ha DSO (28%) Novus All rights reserved % 2 % 1 % Ja Delvis Nej Vet ej

21 DSO uppfattar att medarbetarna har relativt låg kunskap om GDPR FRÅGA: I vilken utsträckning instämmer du i följande påståenden? Medarbetarna i organisationen har förståelse för varför GDPR har införts 19 % 37 % 27 % 11 % 25 %% Topbox Bottombox 56 % 12 % Följande undergrupper svarar i högre grad Xxxxx Medarbetarna i organisationen Xxxxx har förståelse för varför GDPR har införts 56% DSO med 2 verksamheter (65%) Finns tillräckligt med avsatt tid för dataskyddsfrågor (68%) Privat företag (70%) Frivilligt att ha DSO (73%) tycker att GDPR är viktigt 54% DSO med 2 verksamheter (63%) Finns tillräckligt med avsatt tid för dataskyddsfrågor (65%) Privat företag (68%) Frivilligt att ha DSO (62%) Medarbetarna i organisationen tycker att GDPR är viktigt Medarbetarna i organisationen efterlever GDPR 17 % 16 % 36 % 36 % 30 % 31 % 10 % 2 5 %% 10 % 1 6 %% 54 % 12 % 52 % 11 % efterlever GDPR 52% DSO med 1 verksamhet (55%) DSO med 2 verksamheter (62%) Finns tillräckligt med avsatt tid för dataskyddsfrågor (67%) Privat företag (69%) Frivilligt att ha DSO (65%) Medarbetarna i organisationen har kunskap om GDPR 9 % 33 % 37 % 15 % 23 % 42 % 17 % har kunskap om GDPR 42% DSO med 2 verksamheter (50%) Finns tillräckligt med avsatt tid för dataskyddsfrågor (58%) Privat företag (57%) Frivilligt att ha DSO (56%) 5. I mycket hög utsträckning Inte alls Vet ej/ingen uppfattning Novus All rights reserved.

22 Åtgärder har vidtagits i varierad omfattning FRÅGA: Har ni vidtagit någon av följande åtgärder: En förteckning över våra personuppgifts-behandlingar har tagits fram Relevanta personuppgifts-biträdesavtal (PUB-avtal) har tagits fram Dataskydd och informationssäkerhet ingår i introduktionsutbildningen för nya medarbetare Medarbetarna får löpande utbildning i dataskydd och informationssäkerhet 36% 47% 76% 68% 27 % 41 % 21 % 21 % 27 % 23 % 15 % 11 % 17 % 6 % 0% 20% 40% 60% 80% 100% Ja Delvis Nej Vet ej/ingen uppfattning Följande undergrupper svarar i högre grad JA En förteckning Xxxxx över våra 76% Xxxxx DSO med 2 verksamheter (82%) Arbetar som DSO på deltid (79%) Finns tillräckligt med avsatt tid för dataskyddsfrågor (83%) Statlig myndighet (83%) Privat företag (84%) Frivilligt att ha DSO (83%) Relevanta PUB-avtal har tagits fram 68% Finns tillräckligt med avsatt tid för dataskyddsfrågor (75%) Privat företag (81%) Bransch Data/IT/Telekom (86%) Frivilligt att ha DSO (81%) Dataskydd och informationssäkerhet ingår 47% DSO med 1 verksamhet (50%) Finns tillräckligt med avsatt tid för dataskyddsfrågor (58%) Privat företag (65%) Bransch Data/IT/Telekom (72%) Frivilligt att ha DSO (60%) Medarbetarna för löpande utbildning 36% DSO med 2 verksamheter (42%) Finns tillräckligt med avsatt tid för dataskyddsfrågor (48%) Privat företag (48%) Bransch Data/IT/Telekom (46%) Frivilligt att ha DSO (46%) Bransch Bank/Finans har högre värden på samtliga Novus All rights reserved.

23 Vanligast är att man har rutiner för att rapportera incidenter och att lämna ut registerutdrag FRÅGA: Finns rutiner för... att rapportera personuppgifts-incidenter till Datainspektionen 79% 15 % 42 % Följande undergrupper svarar i högre grad Xxxxx Ja Bransch Xxxxx Bank/Finans har högre värden på samtliga.att rapportera personuppgifts-incidenter till Datainspektionen 79% DSO med 2 verksamheter (84%) DSO med 3 eller fler verksamheter (82%) Finns tillräckligt med avsatt tid till dataskyddsfrågor (86%) Privat företag (83%) Bransch Data/IT/Telekom (86%) Frivilligt att ha DSO (83%)... att lämna ut registerutdrag, dvs när t ex en kund eller medborgare efterfrågar vilka personuppgifter ni har om dem i era register 74% 19 % 5 3 %% att lämna ut registerutdrag 74% DSO med 3 eller fler verksamheter (78%) Arbetar som DSO på heltid (79%) Finns tillräckligt med avsatt tid till dataskyddsfrågor (79%) Privat företag (79%)... lagring och rensning av personuppgifter, dvs när personuppgifter ska tas bort ur ett register, t ex efter en viss tidsperiod... hantering av personuppgifter i e-post 55% 53% Novus All rights reserved % 36 % 42 % 9 % 2 % 0% 20% 40% 60% 80% 100% Ja Delvis Nej Vet ej/ingen uppfattning.lagring och rensning av personuppgifter 55% Finns tillräckligt med avsatt tid till dataskyddsfrågor (66%) Privat företag (67%) Bransch Data/IT/Telekom (68%) Frivilligt att ha DSO (66%) hantering av personuppgifter i e-post 53% Finns tillräckligt med avsatt tid till dataskyddsfrågor (60%) Privat företag (61%) Bransch Vård/omsorg (77%)

24 Vanligast är att man har rutiner för att rapportera incidenter och att lämna ut registerutdrag Xxxxx Xxxxx FRÅGA: Finns rutiner för Delvis.att rapportera personuppgifts-incidenter till Datainspektionen 15% DSO med 1 verksamhet (17%) att lämna ut registerutdrag 19% Arbetar som DSO på deltid (21%).lagring och rensning av personuppgifter 39% Arbetar som DSO på heltid (44%) Kommun/landsting (49%) Skyldiga att ha DSO (41%) hantering av personuppgifter i e-post 36% DSO med 3 eller fler verksamheter (41%) Kommun/landsting (42%) Skyldiga att ha DSO (37%) Följande undergrupper svarar i högre grad Novus All rights reserved. Nej.att rapportera personuppgifts-incidenter till Datainspektionen 4% att lämna ut registerutdrag 5% Finns inte tillräckligt med tid avsatt för dataskyddsfrågor (10%).lagring och rensning av personuppgifter 4% Finns inte tillräckligt med tid avsatt för dataskyddsfrågor (8%) Statlig myndighet (7%) Kommun/landsting (8%) hantering av personuppgifter i e-post 9% Arbetar som DSO på heltid (13%) Finns inte tillräckligt med tid avsatt för dataskyddsfrågor (19%) Kommun/landsting (13%)... att rapportera personuppgifts-incidenter till Datainspektionen... att lämna ut registerutdrag, dvs när t ex en kund eller medborgare efterfrågar vilka personuppgifter ni... lagring och rensning av personuppgifter, dvs när personuppgifter ska tas bort ur ett register, t ex efter en viss tidsperiod... hantering av personuppgifter i e-post 55% 53% 79% 74% 15 % 42 % 19 % 53 % 39 % 36 % 42 % 9 2 %% 0% 20% 40% 60% 80% 100% Ja Delvis Nej Vet ej/ingen uppfattning

25 Flest anser att den största utmaningen är att få till fungerande rutiner och processer FRÅGA: Vilka anser du är de största utmaningarna med GDPR? Att få till fungerande rutiner och processer Oklart hur regelverket ska tolkas Dataskyddsreglerna upplevs hindra/försvåra verksamheten Gränsdragningen mellan att balansera rådgivning och kontroll i rollen som DSO Gamla IT-system Brist på personella resurser Svårt att få medarbetarna i organisationen att arbeta efter GDPR Brist på ekonomiska resurser för tex investeringar Bristande engagemang hos ledningen Låg kunskap hos ledningen Svårt att få gehör hos ledningen Att förstå vilket skadeståndsansvar GDPR medför Annat Upplevar inga utmaningar 50 % 45 % 36 % 33 % 32 % 31 % 24 % 18 % 15 % 14 % 11 % 6 % 6 % 3 % Följande undergrupper svarar i högre grad: Att få till fungerande rutiner och processer (50%) Kommun/landsting (58%) Oklart hur regelverket ska tolkas (45%) Privat företag (50%) Dataskyddsreglerna upplevs hindra/försvåra verksamheten (36%) DSO med 3 eller fler verksamheter (41%) Kommun/landsting (40%) Gränsdragningen mellan att balansera rådgivning och kontroll i rollen som DSO (33%) DSO med 3 eller fler verksamheter (41%) Statlig myndighet (40%) Kommun/landsting (43%) Gamla IT-system (32%) DSO med 3 eller fler verksamheter (39%) Arbetar som DSO på heltid (39%) Kommun/landsting (40%) Bransch Bank/Finans (43%) Novus All rights reserved.

26 Nära åtta av tio svarar att de är skyldiga att ha en DSO FRÅGA: Är er verksamhet skyldiga att ha en DSO eller är det frivilligt? Skyldiga att ha DSO 77 % 73% 80% 84% Följande undergrupper svarar i högre grad: Skyldiga att ha DSO (77%) Arbetar som DSO på heltid (81%) Finns INTE tillräckligt med avsatt tid till dataskyddsfrågor (84%) Statlig myndighet (98%) Kommun/landsting (96%) Frivilligt att vi har DSO 18 % 20% 15% 15% Totalt DSO med 1 verksamhet DSO med 2 verksamheter Frivilligt att vi har DSO (18%) Finns tillräckligt med avsatt tid till dataskyddsfrågor (22%) Privat företag (29%) Bransch Data/IT/Telekom (38%) Vet ej 5 % 7% 4% 1% DSO med 3 eller fler verksamheter Novus All rights reserved.

27 En av tjugo svarar att de bedriver en verksamhet som omfattas av BDL FRÅGA: Bedriver ni en verksamhet som omfattas av brottsdatalagen BDL? Ja Nej 6 % 8% 5% 4% 75 % 70% 75% 85% Följande undergrupper svarar i högre grad: Ja (6%) Statlig myndighet (25%) Nej (75%) Finns tillräckligt med avsatt tid till dataskyddsfrågor (79%) Totalt Vet ej 11% 19 % 22% 20% DSO med 1 verksamhet DSO med 2 verksamheter DSO med 3 eller fler verksamheter Novus All rights reserved.

29 Typ av verksamhet FRÅGA: Vilken typ av verksamhet är? Statlig myndighet Kommun Landsting Privat företag 11 % 15% 9% 3% 22 % 12% 20% 2 % 3% 1% 0% 37% 45% 46 % 49% 54% Totalt DSO med 1 verksamhet DSO med 2 verksamheter DSO med 3 eller fler verksamheter Följande undergrupper svarar i högre grad: Statlig myndighet (11%) DSO med 1 verksamhet (15%) Skyldiga att ha DSO (14%) Kommun (22%) DSO med 3 eller fler verksamheter (45%) Arbetar som DSO på heltid (26%) Skyldiga att ha DSO (27%) Privat företag (46%) DSO med 1 verksamhet (49%) DSO med 2 verksamheter (54%) Frivilligt att ha DSO (74%) Intresseorganisation 9 % 10% 10% 6% Annat 10 % 11% 5% 10% Novus All rights reserved.

30 Antal verksamheter som ansvarig DSO FRÅGA: Hur många verksamheter (PUA) omfattar ditt ansvar som DSO? Vet ej 9 % 3 % 1 % 1 % 2 % 1 % 0 % 0 % 7 % 19 % 17 % 41 % Följande undergrupper svarar i högre grad: 1 verksamhet (41%) Arbetar som DSO på deltid (44%) Statlig myndighet (59%) Novus All rights reserved.

31 Branscher för privata företag FRÅGA: I vilken av följande branscher verkar du? Vård/omsorg Bank/Finans Data/IT/Telekom Handel (t ex detaljhandel, grossist m m) Konsult/service Tillverkningsindustri Transporter/resor Utbildning Media/reklam Fastighetsverksamhet Byggindustri Energi Hotell/restaurang/turism Kultur/idrott Annan bransch 7 % 7 % 5 % 4 % 3 % 2 % 2 % 2 % 1 % 1 % 1 % 8 % 20 % 19 % 16 % Totalt BAS: Privata företag (n=781) Novus All rights reserved.

32 Bakgrund ANTAL ANSTÄLLDA - PRIVAT 1 4 % % % % % % % 500 eller fler 19 % Vet ej 1 % BAS: Privat företag (n=781) ANTAL ANSTÄLLDA - MYNDIGHET Vet ej 31 % 18 % 24 % 5 % 14 % 7 % 0 % BAS: Myndighet (n=188) ANTAL INVÅNARE I KOMMUNEN 9 % 29 % 19 % 10 % 9 % 5 % 7 % 11 % Under Vet ej 2 % BAS: Kommun (n=363) EFTERGYMNSIAL UTBILDNING Jurist IT Ekonom Samhällsvetare Ingenjör Arkivarie Har ej eftergymnasial Annan inriktning 32 % 12 % 12 % 8 % 5 % 3 % 12 % 15 % Novus All rights reserved.

33 Publiceringsregler Novus varumärke är en garant för att en undersökning har gått rätt till och att slutsatserna kring densamma är korrekta utifrån målet med undersökningen. Enligt internationella branschregler (ESOMAR) är Novus som undersökningsföretag ansvariga för att våra undersökningar tolkas rätt vid första publicering. För att säkerställa att våra undersökningar presenteras på ett korrekt sätt ber vi alltid att få se den text som skrivs med syfte att publiceras där Novus undersökningar omnämns Novus All rights reserved. Novus förbehåller sig rätten att korrigera felaktiga siffror och tolkningar som har publicerats.