GDPR - nya dataskyddsförordningen. Agnes Hammarstrand, IT-advokat och partner Advokatfirman

Transkript

1 GDPR - nya dataskyddsförordningen Agnes Hammarstrand, IT-advokat och partner Advokatfirman

2 Juseks karriärtjänster J U S E K. S E / K A R R I Ä R A K A D E M I K E R - F Ö R B U N D E T F Ö R J U R I S T E R, E K O N O M E R, S Y S T E M V E T A R E, P E R S O N A L V E T A R E, K O M M U N I K A T Ö R E R O C H S A M H Ä L L S - V E T A R E

3 Mentorsprogram Välj mentor själv, eller bli mentor Granskning av CV och personligt brev LinkedIn-hjälp Granskning av din profil eller Kom-igångprogram via mail Karriärrådgivning Bollplank om din karriär eller jobbsök Karriärlunch Nätverka och få koll på andra tjänster och branscher J U S E K. S E / K A R R I Ä R

4 För alla medlemmar - överallt Alla karriärtjänster är kostnadsfria Alla medlemmar kan ta del av alla tjänster Alla tjänster finns över hela landet Läs mer och boka på jusek.se/karriar

5 GDPR - nya dataskyddsförordningen Agnes Hammarstrand, IT-advokat och partner Advokatfirman

6 Intro

7 Ny EU-förordning för personuppgifter Nya dataskyddsförordningen ( GDPR ) Direkt gällande förordning som ersätter personuppgiftslagen ( PuL ) och motsvarande lagar i hela EES Syftar bl.a. till att stärka integritetsskyddet De nya reglerna gäller från och med den 25 maj GDPR 7

8 Förordningen i korthet Principerna bygger på nuvarande lag, men också ett stort antal nyheter Finns vissa möjligheter till avvikelser i nationell lag, men bara från vissa regler GDPR 8

9 EU:s jätteprojekt Digital Single Market GDPR 9

10 När gäller lagen? Brett tillämpningsområde: alla europeiska företag, myndigheter. Och alla företag som säljer till EU Lagen gäller alla myndigheter, företag, kommuner, föreningar och enskilda Undantag för behandling av privatpersoner av rent privat karaktär (ej publicering på internet) Gäller all behandling av personuppgifter GDPR 10

11 Vad är en personuppgift? Personuppgifter varje uppgift varigenom en fysisk person direkt eller indirekt kan identifieras Oavsett om B2B eller B2K Allt som går att kopplas till en individ, t.ex. Kontaktpersoner (e-post, namn, osv) Personuppgifter En adressuppgift Ett bilregistreringsnummer Data som kopplas samman med individ, t.ex. köphistorisk eller omdömen En bild: GDPR 11

12 Sanktioner Företag kan få böter upp till det högre beloppet av euro eller 4 % av koncernens globala omsättning Ersättning till den som lidit skada Även andra sanktioner, varning, krav på att åtgärda (t.ex. radera data), m.m GDPR 12

13 Tillsyn Nationell tillsynsmyndighet Datainspektionen som byter namn till Integritetsmyndigheten Europeisk dataskyddsstyrelse Består av chefen för en tillsynsmyndighet per medlemsstat och Europeiska datatillsynsmannen GDPR 13

14 Vem ansvarar och vad innebär ansvaret?

15 Personuppgiftsansvarig Den som själv eller tillsammans med andra bestämmer ändamål och medel med behandlingen Ansvarar alltid självständigt för att lagen uppfylls Ska kunna visa att lagen följs GDPR 15

16 Vad innebär GDPR i korthet? Ha koll - Identifiera alla behandlingar och lista dessa i en registerförteckning Inga onödiga uppgifter - Uppgifter får inte behandlas (t.ex. lagras) om ni inte har ett lagligt stöd för det. Rensa! Krav på rutiner, dokumentation och policys på plats för att följa reglerna Krav på dataskydd - informationssäkerhet GDPR 16

17 Personuppgiftsansvarig i praktiken Ni är ansvariga för all personuppgiftsbehandling inom ert företag Register Era kund- och prospektsregister Register med leverantörer och samarbetspartners Anställningsregister Kandidater (för anställningar) Eventuella andra registrerade, t.ex. nyhetsbrev Annan behandling t.ex. GPS-övervakning, digitala tjänster, molntjänster, appar, dokument, whistleblowingsystem, passersystem, sociala medier och hemsidan Även ostrukturerad data, t.ex. mejl och dokument GDPR 17

18 Ha koll på era personuppgifter! Identifiera varje behandling och lista dessa i en registerförteckning Varje behandling ska ha lagligt stöd Uppgifter får inte behandlas (t.ex. lagras) om ni inte har ett lagligt stöd för det inga onödiga uppgifter Undvik att ha personuppgifter var som helst ordning och reda GDPR 18

19 Integritetstrappan vilka regler gäller enligt lagen (exempel)? Speciella krav för känsliga uppgifter Information till registrerade (personuppgiftspolicy) Andra krav, t.ex. säkerhet, rutiner för dataportabilitet, etc. Avtal, dokumentation, rutiner, m.m. Förbud att flytta uppgifter utanför EU Är behandlingen laglig? Grundläggande principer att följa, t.ex. gallring, tid GDPR 19

20 När är behandling tillåten? Nödvändigt för att ett avtal med den registrerade ska kunna fullgöras Nödvändigt fullgöra rättslig förpliktelse (Skydda intressen av grundläggande betydelse för registrerade eller annan fysisk person) (En arbetsuppgift av allmänt intresse ska kunna utföras eller som ett led i myndighetsutövning) Intresseavvägning Samtycke GDPR 20

21 Intresseavvägning Den registrerades intressen eller grundläggande rättigheter och friheter Personuppgiftsansvariges berättigade intresse Marknadsföring är berättigat intresse men vad får man egentligen göra? GDPR 21

22 Förslag till nya eprivacy-regler Kompletterar dataskyddsförordningen Risk för böter upp till 4 % av omsättningen Nya regler för direktmarknadsföring, cookies, metadata, m.m. Förslag: Antas senast den 25 maj 2018 (?) GDPR 22

23 Direktmarknadsföring via e-post B2K enligt nuvarande praxis (generellt) Ej kund Inte gjort någonting EJ OK SKICKA Samtycke OK SKICKA Kund Inte gjort någonting EJ OK SKICKA Följt Swedmas regler, bl.a. avreg. vid köp Intresseavvägningen OK SKICKA CA 1 ÅR efter köp Samtycke OK SKICKA Kundklubb/lojalitetsprogram Inte gjort någonting EJ OK SKICKA Gett information (kundklubbsvillkor), följt Swedmas regler o.s.v. OK SKICKA TILLS TVÅ ÅRS PASSIVITET* Kund ska alltid getts en möjlighet att tacka nej till marknadsföring GDPR 23

24 Laglighetsbedömning Vilka är ändamålen med en viss behandling? Finns laglig grund enligt förordningen? Nödvändigt p.g.a. avtal med den registrerade Laglig skyldighet att utföra behandling Intresseavvägning (praxis eller bedömning) Annars behövs samtycke! Är samtycke en rimlig och proportionell åtgärd eller ska vi låta bli att utföra behandlingen? Hur samlar vi in samtycket? GDPR 24

25 Skriftligt samtycke Muntligt eller skriftligt? Informerat Frivilligt - En möjlighet att inte vara med Klart och tydligt språk Kunna särskiljas från andra frågor i en begriplig och lättillgänglig form Separata samtycken för olika ändamål krävs som huvudregel Jag har läst och godkänner användarvillkoren. Jag har läst och godkänner användarvillkoren. Jag samtycker till behandling av mina personuppgifter i enlighet med Bolagets integritetspolicy GDPR 25

26 Grundläggande principer Laglighet, korrekthet och öppenhet Ändamålsbegränsning Uppgifterna får bara behandlas med hänsyn till vissa särskilda, uttryckligt angivna och berättigade ändamål Inte senare behandlas på sätt som oförenligt med detta ändamål Uppgiftsminimering Uppgifter ska vara adekvata, relevanta och inte för omfattande i relation till ändamålet Lagringsminimering Uppgifter får inte sparas länge tid än nödvändigt Integritet och konfidentialitet Krav på säkerhet, inkl. skydd mot obehörig förlust, åtkomstkontroll GDPR 26

27 Säkerställ att ni inte behandlar de uppgifter ni inte ska ha kvar Radera uppgifter som ni inte ska ha kvar Rätta felaktiga uppgifter Säkerställ åtkomstkontroll Skapa utbildning och rutiner för att undvika att fel uppgifter hanteras Undvik känsliga uppgifter Undvik värderande omdömen eller annan kränkande info GDPR 27

28 Registrerades rätt till information och rättelse m.m.

29 Information som ska lämnas självmant Information ska lämnas självmant till alla registrerade Mer omfattande informationskrav som ska anpassas till just er går ej att använda en mall Åtgärd: Uppdatera information till t.ex.: Anställda Kandidater Kunder Nyhetsbrev Andra registrerade GDPR 29

30 Information på begäran (registerutdrag) och rätt att bli rättad Registrerade har rätt att begära ut information om t.ex. kategorier av uppgifter som behandlas, mottagare, period, m.m. Som huvudregel inom en månad Den registrerade har rätt att kräva att uppgifterna begränsas eller rättas Åtgärd: Se över rutinerna och säkerställ era system uppfyller kraven! GDPR 30

31 Rätten att bli bortglömd Minimera volymen av sparade personuppgifter Krav på att radera bara under vissa förutsättningar och endast om ingen legitim grund för fortsatt behandling finns Radera mina uppgifter NEJ Legitima grunder för att behålla uppgifterna och ej behandlats olagligt? JA RADERA BEHÅLL Åtgärd: Säkerställ att det är möjligt att bli glömd? GDPR 31

32 Utlämnande av uppgifter och IT-säkerhet

33 Personuppgiftsbiträde Den som behandlar personuppgifter för den personuppgiftsansvariges räkning Typiskt biträde är en molntjänstleverantörer Utökade skyldigheter enligt nya förordningen - kan bli utsatta för sanktioner GDPR 33

34 Krav på personuppgiftsbiträdesavtal Vilka biträden har ni? Lista! Inte längre ett standardavtal Viktigt anpassa till situationen förhandla Dokumenterade instruktioner Hur ska just ert biträde behandla uppgifterna? Svårt ha en mall Men försök skapa malldokument för olika typsituationer! Hur säkerställs bra rutiner för hur ni kan arbeta med avtal? När anlita jurist? När klara själv? Personuppgiftsbiträde Personuppgiftsansvarig Individ Personuppgiftsbiträdesavtal GDPR 34

35 Förbud mot överföring utanför EU Lagstiftningen ska inte kunna kringgås Om ni inte har en garanti att data endast behandlas inom EES behöver ni säkerställa att undantag gäller Tillåten överföring, t.ex. Användning av modellklausuler Binding Corporate Rules Privacy shield Åtgärder: Säkerställ att ingen överföring sker utanför EES. Alternativt: Säkerställ att överföringen sker med stöd av laglig grund GDPR 35

36 Säkerhetskrav Tekniska åtgärder Förfarande för att kontinuerligt testa Antivirus, auktorisationskrav, behörighetsstyrning Brandväggar och krypteringsfunktioner, osv. Känsliga uppgifter Sekretess Specialkrav Uppgifter om brott osv. Organisatoriska åtgärder Organisation och rutiner Instruktioner och Polices Säkerhetsnivå i förhållande till risk GDPR 36

37 Privacy by design Inbyggd integritet Uppgiftsminimering Säkerhets- och integritetsaspekter ska tas hänsyn till redan vid planering och utveckling av IT-system Den som är personuppgiftsansvarig ska ställa kraven Åtgärder: Inför rutiner för att ställa krav vid ITupphandlingar samt utbilda eventuella arkitekter GDPR 37

38 Upphandling av IT-tjänster och molntjänster Så snart personuppgifter ska behandlas: Viktigt hur upphandlingen görs Privacy-krav på systemet eller tjänsten - Privacy by design Risk- och sårbarhetsanalys (teknik) Krav på personuppgiftsbiträdesavtal (och avtalet i övrigt) Krav på dokumenterade instruktioner Laglig grund om överföring till tredje land (t.ex. modellklausulerna) alt. löfte i avtal att ej överföra till tredje land Vid molntjänster och outsourcing: Extra krav för att bl.a. säkerställa att lagarna inte kringgås Svårigheter kring kontroll av underbiträden Åtgärd: Säkerställ att rutiner följs vid upphandlingar GDPR 38

39 Och ett antal andra nyheter GDPR 39

40 Konsekvenser och åtgärder

41 Konsekvenser av lagen Viktigare att följa lagen - Dataskydd blir en ledningsfråga Fler personer får kunskap ökar risken Integritetsfrågorna får mer uppmärksamhet och kräver resurser, organisation och budget System och databaser kan bli olagliga GDPR 41

42 Juridisk genomgång Är behandlingen laglig, hur görs idag? Laglig grund/ändamål för den behandling som görs (register som finns)? Dokumentation över behandling, osv. Juridiska dokument/ policyer Personuppgiftsbiträdesavtal, information till registrerade (personuppgiftspolicy), eventuella samtyckestexter, interna policyer för behandling, dokumentation över konsekvensbedömning, dokumentation/avtal för överföring till tredje land, osv. Tekniska åtgärder Säkerhetskrav, inbyggd integritet (privacy by design), gallring, behörighetsstyrning, autentisering, osv. Organisation Dataskyddsombud, ansvar över system och rutiner, rapportordning, osv. Organisatoriska åtgärder - rutiner Utelämnande av information, dokumentera samtycken, checklistor, register över behandling, rutiner för anmälan av personuppgiftsincident, konsekvensbedömning vid ny behandling, rutiner vid upphandlingar, osv GDPR 42

43 Vem ansvarar internt? Dataskyddsombud: Speciell anställd eller konsult med ansvar för personuppgiftshantering Skapa medvetenhet, övervaka efterlevnad, m.m. Måste utses av alla offentliga organ samt för företag som har kärnverksamhet som kräver regelbunden och systematisk övervakning av de registrerade i stor omfattning; eller behandling i stor omfattning består av känsliga uppgifter Vissa krav på rollen Behövs ett dataskyddsombud? Om inte: Vem ansvarar internt? GDPR 43

44 Hur kan vi förbereda oss? Skapa medvetande internt om de nya reglerna och den nya rollen informera och utbilda Ett projekt för att följa lagen behövs Var noga med att utse en bra projektgrupp Börja alltid i de juridiska kraven Inte i ITsystemen! En workshop om GDPR är ofta en bra start! GDPR 44

45 GDPR att tänka på Ledningen behöver bestämma ambitionsnivå Ni ska följa lagen inte främst 26 maj, utan på sikt Tänk till om ni köper konsulter. Betala inte för att de ska lära sig, kräv referenser Inse att: GDPR kräver olika typer av kompetens Arbetet är inte slut med projektet Det kommer kräva tid och resurser GDPR 45

46 Vad innebär ett GDPR-projekt? 1. Uppstart. Medvetandehet. Projektgrupp. 2. Inventering över behandlingar registerförteckningen 3. Juridisk bedömning över behandlingarna 4. Rensning av personuppgifter 5. Säkerhetsåtgärder, IT-förändringar 6. Framtagande av dokument juridik och informationssäkerhet 7. Sätt rutiner, ansvar och organisation för efterlevnad på sikt GDPR 46

47 Agnes Hammarstrand / Partner, Advokat Mobil: Advokatfirman Delphi / Östra Hamngatan 29 / Göteborg / Sweden Telefon: + 46 (0) / Fax: +46 (0) / delphi.se GDPR 47

48