Dataskyddsförordningen GDPR (General Data Protection Regulation)
Agenda 1. Vad innebär förordningen? 2. Vilka är de största skillnaderna mot PuL? 3. Vad behöver vara på plats? 4. Vad händer om man inte följer kraven? Dataskyddsförordningen maj 2017 3
1. Vad innebär förordningen? Dataskyddsförordningen maj 2017 4
Varför ny förordning? Enhetliga regler inom EU Tydliggöra skyldigheter och ansvar Privatpersoners integritet och rättigheter Teknisk utveckling Cyber Security
Exempel på personuppgifter Namn och kontaktuppgifter Personnummer Löneinformation Kreditkortsnummer Bilder & video CV och omdömen Röstinspelningar Onlineidentifikator Cyber Security
Exempel på känsliga personuppgifter Religiös eller filosofisk övertygelse Politiska åsikter Etniskt ursprung Fackligt medlemskap Genetisk & biometrisk data Information kring hälsa & sexualliv Cyber Security
Dataskyddsprinciper Laglighet, korrekthet och öppenhet Integritet och konfidentialitet (Informationssäkerhet) Ändamålsbegränsning Lagringsminimering (Tid) Uppgiftsminimering (Volym) Ansvarsskyldighet Cyber Security
2. Vilka är de största skillnaderna mot PuL? Dataskyddsförordningen maj 2017 9
Exempel på skillnader mot PuL Behandlingsförteckningar gällande organisationens personuppgiftsbehandlingar. Rapportering av personuppgiftsincidenter inom 72h till datainspektionen. Beroende på incidentens art även information till drabbade individer. Missbruksregeln försvinner Omfattande rättigheter för individen kring information, rättelse, radering, portabilitet, invändningar och begränsning. Dataskyddsombud Rutinmässiga konsekvensbedömningar kring personuppgiftsbehandlingar. Inbyggt dataskydd i befintliga eller nya produkter, system eller rutiner. Information till den registrerade Dataskyddsförordningen 10
3. Vad behöver vara på plats? Dataskyddsförordningen maj 2017 11
Vad behöver vara på plats? Vilken typ av uppgifter hanteras? Vem har tillgång till uppgifterna? Varför hanteras dessa uppgifter? Var lagras uppgifterna? När ska uppgifterna tas bort? Proaktiva beslut Implementera åtgärder Kunna påvisa efterlevnad Organisation Dokumentation Processer IT Cyber Security
Vad behöver vara på plats? - Exempel Dataskyddsombud Personer Rätt till information Rätt att bli bortglömd Rätt till dataportabilitet Rätt till rättelse Rätt till begränsning Rätt till invändningar Personuppgiftsansvarig Information och samtycke Behandlingsförteckning Risk- och konsekvensbedömningar Kravställning av säkerhetsnivå Gallrings- och raderingsrutiner Avtalshantering Anmäla personuppgiftsincidenter Personuppgiftsbiträde Register över kategorier av behandling Underrätta ansvarig vid incident Avtalshantering Cyber Security
4. Vad händer om man inte följer kraven? Dataskyddsförordningen maj 2017 14
Potentiella risker om kraven inte följs Varumärke Verksamhet Ekonomi Regelverk Dataskyddsförordningen 15
Sanktioner Cyber Security 16
Sanktioner varför detta hamnat i fokus Kan även vara aktuellt med skadeståndskrav från de registrerade Cyber Security
Vinster med att se information som en tillgång Förbättrad datakvalitet och kontroll Ökat samarbete kring information En gemensam syn kring information Ökad medvetenhet kring integritetsfrågor och informationssäkerhet Dataskyddsförordningen 18
Framgångsfaktorer GDPR implementation 01 Tidsförhållandena Börja nu! 02 Utbildning och medvetenhet GDPR 03 Riskhantering 04 Helhetstänkande Dataskyddsförordningen 19
De enkla grunderna Informera mera Spara mindre Skydda uppgifterna Ha ordning och reda Dokumentation Ansvarsskyldighet Transparens Cyber Security 20
Tack för mig! Ida Westin Ida.westin@pwc.com www.pwc.se/sv/cyber-security/dataskyddsforordningen.html This publication has been prepared for general guidance on matters of interest only, and does not constitute professional advice. You should not act upon the information contained in this publication without obtaining specific professional advice. No representation or warranty (express or implied) is given as to the accuracy or completeness of the information contained in this publication, and, to the extent permitted by law, PricewaterhouseCoopers LLP, its members, employees and agents do not accept or assume any liability, responsibility or duty of care for any consequences of you or anyone else acting, or refraining to act, in reliance on the information contained in this publication or for any decision based on it. 2015 PricewaterhouseCoopers LLP. All rights reserved. In this document, refers to PricewaterhouseCoopers LLP which is a member firm of PricewaterhouseCoopers International Limited, each member firm of which is a separate legal entity.