Verksamheter utan DSO om GDPR

Verksamheter utan DSO om GDPR En Novusundersökning på uppdrag av: Kontakt på Datainspektionen: Christina Torell, Analytiker Kontakt på Novus: Per Fernström & Annelie Önnerud Datum: 3 april 2019 1 1 Novus 2019. All rights reserved. www.novus.se

Bakgrund & Genomförande SYFTE Undersökningen avser att öka kunskap och förståelse för företagens förutsättningar att arbeta med dataskyddsfrågor. Undersökningen skall även öka kunskapen om verksamheternas mognad avseende integritetsfrågor- och dataskyddsfrågor. GENOMFÖRANDE Antal intervjuer: 1173 före screening 800 efter screening Fältperiod: 19 februari 19 mars 2019 Deltagarfrekvens: 42% RESULTAT Resultaten för undersökningen levereras i en diagramrapport. Markerade signifikanta skillnader i rapporten är jämfört mot totalen. Undersökningen har genomförts av Novus på uppdrag av Datainspektionen. MÅLGRUPP Verksamheter med olika branschinriktningar som inte har någon DSO I första hand har VD sökts för att genomföra intervjun. Om inte VD har kunnat har utfallet gjorts på följande: Ägare Ekonomichef IT-chef Annan person i verksamhetens ledning Annan person i verksamheten bäst lämpad att svara på frågor som rör dataskydd. Undersökningen riktar sig till de verksamheter som har någon form av kund- eller leverantörsregister eller ett medlemsregister. Se metodbeskrivning (bilaga) FELMARGINAL Vid 800 intervjuer: Vid utfall 20/80: +/- 2,8% Vid utfall 50/50: +/- 3,5% +/- 2 2 Novus 2019. All rights reserved. www.novus.se

Kort sammanfattning Kundregister är det vanligaste registret som företag har Tre av fyra har en ansvarig för integritets- och dataskyddsfrågor, men inte en DSO Drygt åtta av tio svarar att deras arbete med integritetsfrågor är prioriterat Sex av tio arbetar kontinuerligt med integritetsfrågor och dataskydd Hög kännedom om GDPR Tre av fyra har tagit fram riktlinjer för hur verksamheten ska hantera och använda personuppgifter Två av tre har tagit fram en förteckning över personuppgifter Tre av fyra anser att medarbetarna i organisationen har fått information om hur man ska arbeta enligt GDPR Flest har rutiner för lagring och rensning av personuppgifter Flest anser att den största utmaningen är hur regelverket ska tolkas 3 3 Novus 2019. All rights reserved. www.novus.se

Screeningfråga - register FRÅGA: Denna undersökning handlar om hantering av personuppgifter och jag undrar därför om ni har någon form av kund- eller leverantörsregister eller kanske ett medlemsregister? Ja, kundregister 73 % Ja, leverantörsregister 42 % Ja, medlemsregister 9 % Nej 19 % Ej aktuellt 1 % Screenas ut ur undersökningen BAS: Alla (n=1173) 5 5 Novus 2019. All rights reserved. www.novus.se

Tre av fyra har en ansvarig för integritets- och dataskyddsfrågor, men inte en registrerad DSO FRÅGA: Har er verksamhet en utsedd person som ansvarar för integritets- och dataskyddsfrågor? Ja, ett dataskyddsombud, så kallad DSO, som är registrerad 15 % Screenas ut ur undersökningen Ja, ett dataskyddsombud, som inte är registrerad hos 10 % Ja, vi har en ansvarig, men inte en DSO 63 % Nej 7 % Vet ej 5 % BAS: De som har kund- leverantör- och medlemsregister (n=941) 6 6 Novus 2019. All rights reserved. www.novus.se

Efter screening - Fördelningen över register 91 % FRÅGA: Denna undersökning handlar om hantering av personuppgifter och jag undrar därför om ni har någon form av kund- eller leverantörsregister eller kanske ett medlemsregister? 52 % Signifikanta skillnader Kundregister (91%) Bransch Tjänsteföretag (95%) Leverantörsregister (52%) Bransch Handel (63%) 50+ anställda (59%) Medlemsregister (10%) Bransch Hotell/restaurang (17%) Bransch Utbildning (20%) 50+ anställda (14%) 10 % Ja, kundregister Ja, leverantörsregister Ja, medlemsregister BAS: Samtliga (n=800) 8 8 Novus 2019. All rights reserved. www.novus.se

Typ av kunder - personuppgifter FRÅGA: Vilken typ av kunder har ni personuppgifter om? Är det...? Signifikanta skillnader Privatkunder (16%) Bransch Utbildning (51%) Bransch vård/omsorg (58%) Företagskunder (40%) Bransch Handel (59%) Bransch Transport (66%) Bransch Tjänsteföretag (56%) 50+ anställda (59%) Både företagskunder och privatkunder (44%) Bransch Drift (el, vatten, avlopp) (77%) Bransch Hotell/restaurang (82%) 16 % 40 % 44 % Privatkunder Företagskunder Båda företagskunder och privatkunder BAS: Har kundregister (n=727) 9 9 Novus 2019. All rights reserved. www.novus.se

Efter screening - Tre av fyra har en ansvarig för integritets- och dataskyddsfrågor, men inte en DSO FRÅGA: Har er verksamhet en utsedd person som ansvarar för integritets- och dataskyddsfrågor? Ja, ett dataskyddsombud, som inte är registrerad Ja, vi har en ansvarig, men inte en DSO 12 % 75 % Signifikanta skillnader Följande undergrupper svarar i högre grad: Ja, ett dataskyddsombud, som inte är registrerat hos Datainspektionen 12% 50+ anställda (15%) Har medlemsregister (20%) Nej 8 % Vet ej 6 % Ej aktuellt 0 % BAS: Samtliga (n=800) 10 10 Novus 2019. All rights reserved. www.novus.se

Okunskap är vanligaste kommentaren FRÅGA: Vad skulle du säga är huvudskälet till att ni inte valt att registrera er DSO (dataskyddsombud) hos Datainspektionen? Flest kommentarer om att man inte visste om att man kunde/skulle göra det. En del kommentarer om att man är för litet företag och att det inte behövs eller att det inte finns något behov av det. Få kommentarer om att det är en stor koncern och/eller att huvudkontoret är utanför Sverige och att det då redan finns en registrerad DSO i ett annat land. Att vi inte visste om att vi skulle göra det. Inte blivit av. Inget behov heller. Vi har inte sett det som något som var jätteviktigt att göra. 11 11 Novus 2019. All rights reserved. www.novus.se DSO finns på koncernnivå. Inte vetat om att man ska göra och vi har inga kunder vi säljer till regelbundet, så vi tycker det inte rör vår verksamhet. BAS: Inte registrerat en DSO (n=94) För att vi inte behövde. Vi har bara följt reglerna. Känner att vi inte har den typen av register Osäkerhet på hur mycket resurser man skulle komma att behöva lägga på GDPR-frågor. Samtliga öppna svar i bifogad excel

Drygt åtta av tio svarar att deras arbete med integritetsfrågor är prioriterat FRÅGA: Hur prioriterat skulle du säga att ert arbete med integritetsfrågor och dataskydd avseende personuppgiftshantering är? Är det...? Signifikanta skillnader Följande undergrupper svarar i högre grad: Mycket/ganska högt prioriterat (82%) Bransch Utbildning (94%) Bransch Vård/omsorg (90%) Mycket/ ganska högt prioriterat 82% Mindre högt/inte alls prioriterat 17% 41 % 41 % 13 % 4 % 1 % 0 % Mindre högt/inte alls prioriterat (17%) Bransch Hotell/restaurang (27%) Mycket högt prioriterat Ganska högt prioriterat Mindre högt prioriterat Inte alls prioriterat Vet ej Ej aktuellt BAS: Samtliga (n=800) 12 12 Novus 2019. All rights reserved. www.novus.se

Sex av tio arbetar kontinuerligt med integritetsfrågor och dataskydd FRÅGA: I vilken utsträckning arbetar er organisation kontinuerligt och systematiskt med integritetsfrågor och dataskydd avseende personuppgiftshantering? Signifikanta skillnader Följande undergrupper svarar i högre grad: I hög utsträckning (59%) Hög kännedom om GDPR (66%) Bransch Utbildning (77%) Bransch Vård/Omsorg (77%) 50+ anställda (69%) Mindre utsträckning/inte alls (16%) Bransch Transport (27%) Bransch Hotell/restaurang (24%) 1-9 anställda (26%) I hög utsträckning 59% 27 % 32 % 24 % 5. I mycket hög utsträckning Mindre/Inte alls 16% 10 % 6 % 1 % 4. 3. 2. 1. Inte alls Vet ej BAS: Samtliga (n=800) 13 13 Novus 2019. All rights reserved. www.novus.se

Hög kännedom om GDPR FRÅGA: Hur väl känner du till den nya dataskyddsförordningen GDPR och vad den innebär för er verksamhet? Känner till bra 86% 40 % 46 % Känner till lite/hört talas om 14% Signifikanta skillnader Följande undergrupper svarar i högre grad: Känner till bra (86%) Bransch Utbildning (93%) 50+ anställda (96%) Känner till lite/hört talas om (14%) Bransch Transport (28%) Bransch Hotell/restaurang (22%) 1-9 anställda (23%) Känner till mycket bra Känner till ganska bra 13 % Känner till lite Hört talas om, men känner knappast till någonting om 2 % 0 % 1 % Aldrig hört talas om Vet ej BAS: Samtliga (n=800) 14 14 Novus 2019. All rights reserved. www.novus.se

Tre av fyra har tagit fram riktlinjer för hur verksamheten ska hantera och använda personuppgifter 75 % FRÅGA: Har ni som en följd av GDPR tagit fram riktlinjer och rutiner för hur er verksamhet ska hantera och använda personuppgifter? Signifikanta skillnader Följande undergrupper svarar i högre grad: Ja (75%) Hög kännedom om GDPR (82%) Bransch Vård/omsorg (84%) 50+ anställda (90%) Delvis (17%) Bransch Transport (27%) 1-9 anställda (26%) Nej (7%) 1-9 anställda (16%) 15 15 Novus 2019. All rights reserved. www.novus.se 17 % 7 % 1 % Ja Delvis Nej Vet ej BAS: Samtliga (n=800)

Två av tre har tagit fram en förteckning över personuppgifter FRÅGA: Har ni som en följd av GDPR sett över och tagit fram en förteckning över vilka personuppgifter ni använder i olika syften och sammanhang? 67 % Signifikanta skillnader Följande undergrupper svarar i högre grad: Ja (67%) Hög kännedom om GDPR (74%) Bransch Utbildning (79%) Delvis (17%) 1-9 anställda (24%) Nej (14%) Bransch Transport (24%) 1-9 anställda (29%) 17 % 14 % 2 % Ja Delvis Nej Vet ej BAS: Samtliga (n=800) 16 16 Novus 2019. All rights reserved. www.novus.se

Tre av fyra anser att medarbetarna i organisationen har fått information om hur man ska arbeta enligt GDPR FRÅGA: I vilken utsträckning instämmer du i följande påståenden? Medarbetarna i organisationen har fått information om hur de ska hantera\använda personuppgifter i sitt arbete enligt GDPR 42 % 32 % 17 % 3 5 % 2 %% Topbox Bottombox 74 % 7 % Xxxxx Signifikanta skillnader Xxxxx Följande undergrupper svarar i högre grad I mycket/ganska hög utsträckning Medarbetarna i organisationen har fått information om hur de ska använda 74% Hög kännedom GDPR (80%) Bransch Utbildning (88%) 50+ anställda (85%) efterlever GDPR 74% Hög kännedom om GDPR (79%) Bransch Tjänsteföretag (80%) Medarbetarna i organisationen efterlever GDPR 34 % 40 % 17 % 32 4 % 74 % 6 % har förståelse för varför GDPR har införts 64% Hög kännedom om GDPR (68%) Medarbetarna i organisationen har förståelse för varför GDPR har införts 33 % 31 % 20 % 9 % 4 % 4 % 64 % 13 % har kunskap om GDPR 51% Hög kännedom om GDPR (57%) Bransch Tjänsteföretag (58%) Bransch Utbildning (62%) Medarbetarna i organisationen har kunskap om GDPR Medarbetarna i organisationen tycker att GDPR är viktigt 17 % 20 % 34 % 27 % 33 % 10 % 33 % 27 % 10 % 9 % 8 % 51 % 13 % 47 % 19 % tycker att GDPR är viktigt 47% Hög kännedom om GDPR (51%) Bransch Utbildning (69%) Bransch Vård/omsorg (62%) 5. I mycket hög utsträckning 4. 3. 2. 1. Inte alls Vet ej 17 17 Novus 2019. All rights reserved. www.novus.se BAS: Samtliga (n=800)

Tre av fyra anser att medarbetarna i organisationen har fått information om hur man ska arbeta enligt GDPR FRÅGA: I vilken utsträckning instämmer du i följande påståenden? Signifikanta skillnader Följande undergrupper svarar i högre grad Inte alls/i låg utsträckning: har fått information om hur de ska använda 7% Bransch Hotell/Restaurang (18%) efterlever GDPR 6% Bransch Transport (11%) Xxxxx Xxxxx Total Medarbetarna i organisationen har fått information om hur de ska hantera\använda Medarbetarna i organisationen efterlever GDPR Medarbetarna i organisationen har förståelse för varför GDPR har införts Medarbetarna i organisationen har kunskap om GDPR 42 % 34 % 33 % 17 % 34 % 32 % 40 % 31 % 17 % 35 2 % 17 % 32 4 % 20 % 9 4 % 4 % 33 % 10 3 % har förståelse för varför GDPR har införts 13% Bransch Transport (26%) Medarbetarna i organisationen tycker att GDPR är viktigt 20 % 27 % 27 % 10 % 9 % 8 % har kunskap om GDPR 13% Bransch Transport (21%) 1-9 anställda (17%) tycker att GDPR är viktigt 19% Bransch Transport (32%) 18 18 Novus 2019. All rights reserved. www.novus.se BAS: Samtliga (n=800) 5. I mycket hög utsträckning 4. 3. 2. 1. Inte alls Vet ej

Flest har rutiner för lagring och rensning av personuppgifter FRÅGA: Har ni rutiner för...?... lagring och rensning av personuppgifter, dvs när personuppgifter ska tas bort ur ett register, t.ex. efter en viss tidsperiod... att lämna ut registerutdrag, dvs när t ex en kund efterfrågar vilka personuppgifter ni har om dem i era register... hantering av personuppgifter i e-post... att rapportera personuppgiftsincidenter till Datainspektionen 42% 61% 58% 74% 16 % 18 % 24 % 14 % 10 1 %% 37 % 19 % 2 % 17 % 2 % 6 % 0% 20% 40% 60% 80% 100% Ja Delvis Nej Vet ej Signifikanta skillnader Följande undergrupper svarar i högre grad Xxxxx JA Xxxxx Har ni rutiner för. lagring och rensning av personuppgifter 74% Hög kännedom om GDPR (80%) Bransch Vård/omsorg (90%) 50+ anställda (84%) att lämna ut registerutdrag 61% Hög kännedom om GDPR (66%) 50+ anställda (72%) hantering av personuppgifter i e-post 58% Hög kännedom om GDPR (62%) Bransch Utbildning (68%) Bransch Vård/omsorg (72%) 50+ anställda (65%) att rapportera personuppgiftsincidenter 42% Hög kännedom om GDPR (47%) 50+ anställda (62%) NEJ lagring och rensning av personuppgifter 10% 1-9 anställda (20%) att lämna ut registerutdrag 19% Bransch Transport (31%) 1-9 anställda (32%) hantering av personuppgifter i e-post 17% 1-9 anställda (26%) att rapportera personuppgiftsincidenter 37% 1-9 anställda (63%) BAS: Samtliga (n=800) 19 19 Novus 2019. All rights reserved. www.novus.se

Flest anser att den största utmaningen är hur regelverket ska tolkas FRÅGA: Vad upplever du som den största utmaningen när det gäller att anpassa hanteringen av personuppgifter enligt GDPR? Oklart hur regelverket ska tolkas 23 % Att få till fungerande rutiner och processer 22 % Tidskrävande/ökad administration Svårt med alla regler Svårt att få medarbetarna i organisationen att arbeta efter GDPR 22 % 14 % 11 % Dataskyddsreglerna upplevs hindra/försvåra verksamheten Rädsla/osäkerhet i att göra fel Hantering av email Gamla IT-system Brist på personella resurser Bristande engagemang hos ledningen Att förstå vilket skadeståndsansvar GDPR medför Brist på ekonomiska resurser för t.ex. investeringar Låg kunskap hos ledningen Svårt att få gehör hos ledningen 5 % 5 % 5 % 3 % 1 % 1 % 1 % 0 % 0 % 0 % Annat 17 % Vet ej Ej upplevt någon utmaning 4 % 15 % Se nästa sida för annat svar BAS: Samtliga (n=800) Signifikanta skillnader Följande undergrupper svarar i högre grad: Svårt att få medarbetarna i organisationen att arbeta efter GDPR (11%) 50+ anställda (19%) Ej upplevt någon utmaning (15%) 1-9 anställda (26%) 20 20 Novus 2019. All rights reserved. www.novus.se

De som svarat annat kommenterar att största utmaningen är att tolka och förstå reglerna för sin verksamhet. Olika för olika verksamheter FRÅGA: Vad upplever du som den största utmaningen när det gäller att anpassa hanteringen av personuppgifter enligt GDPR? Exempel på annat: Att den ej är branschspecifik. Ohanterbart till slut. För vid syn på problemet. Att få förståelse för vikten av GDPR. Att kunna följa GDPR i den utsträckning som lagen kräver. Att säkerställa säkerhetsnivån. Den största utmaningen har varit när man samlar in material från offentliga platser att ta den hänsyn till integritetsfrågan som GDPR kräver. 21 21 Novus 2019. All rights reserved. www.novus.se Det är ogenomtänkt, vad är en rimlig nivå? Vilka effekter är man ute efter. Gränsdragningen mellan bokföringslagen kontra GDPR som är utmanande för mig som är bolagsekonom. Om man tillfälligt behöver några uppgifter kan det vara lite svårt så att man håller sig inom lagen. Svårigheten ligger i att få kunderna att inte skicka information som jag inte vill ha. Svårt att hantera medlemmar, de lämnar uppgifter till närmaste person i familjen. Svårt att hitta ett regelverk som är applicerbart på alla länder i Europa. BAS: De som svarat annat, samtliga öppna svar i bifogad excel

Antal privatkunder i kundregistret FRÅGA: Ungefär hur många privatkunder har ni i ert kundregister? Signifikanta skillnader Följande undergrupper svarar i högre grad: 21-100 (15%) Bransch - Vård/Omsorg (23%) 10-49 anställda (21%) 101-200 (8%) Bransch - Vård/Omsorg (21%) Under 20 21-100 101-200 201-500 510-1000 1001-5000 5001-10 000 10 001-100 000 Fler än 100 000 Vet ej 7 % 15 % 8 % 14 % 7 % 16 % 6 % 11 % 2 % 14 % BAS: Har personuppgifter om privatkunder (n=436) 201-500 (14%) 1-9 anställda (20%) 501-1000 (7%) Bransch Utbildning (15%) 1001-5000 (16%) Bransch Drift (el, vatten, avlopp) (27%) 5001-10000 (6%) Bransch Drift (el, vatten, avlopp) (12%) 10001-100000 (11%) Bransch Drift (el, vatten, avlopp) (22%) 50+ anställda (18%) Fler än 100 000 (2%) Vet ej (14%) 23 23 Novus 2019. All rights reserved. www.novus.se

Antal företagskunder i kundregistret FRÅGA: Ungefär hur många företagskunder har ni i ert kundregister? Signifikanta skillnader Följande undergrupper svarar i högre grad: Under 20 (10%) Bransch - Vård/Omsorg (40%) 1-9 anställda (20%) Under 20 21-100 101-200 201-500 510-1000 10 % 22 % 11 % 14 % 9 % 21-100 (22%) 1-9 anställda (32%) 101-200 (11%) Bransch Tjänsteföretag (16%) 1-9 anställda (15%) 1001-5000 (17%) Bransch Drift (el, vatten, avlopp) (26%) Bransch Handel (29%) 1001-5000 5001-10 000 1 % 17 % Vet ej (10%) Bransch Hotell/restaurang (20%) 10 001-100 000 4 % Fler än 100 000 1 % Vet ej 10 % BAS: Har personuppgifter om företagskunder (n=611) 24 24 Novus 2019. All rights reserved. www.novus.se

Roll på företaget FRÅGA: Vilken är din roll på företaget? VD Ägare/delägare Ekonomichef/ansvarig IT-chef/ansvarig Platschef/ansvarig Personalchef/ansvarig Marknadsansvarig Jurist Kvalitetsansvarig Verksamhetsansvarig Säkerhetsansvarig Sitter i styrelsen/styrelseledamot Administrativ chef/ansvarig Annat 13 % 10 % 6 % 5 % 4 % 2 % 1 % 1 % 1 % 1 % 1 % 0 % 11 % 44 % Exempel på annat: Administratör Affärsutvecklare Allt-i-allo, för vi är ett litet företag. Driftansvarig DSO Ekonom Fastighetsadministratör Hovmästare, administratör Importansvarig IT-samordnare Kock Kommunikationschef Kundtjänstansvarig samt GDPRansvarig Landschef Löneadmin Managing director, bolagschef Marketing och HR Rektor Teknisk chef Transportledare Utbildningsledare Vice VD BAS: Samtliga (n=800) Signifikanta skillnader Följande undergrupper svarar i högre grad: VD 44% Bransch Tjänsteföretag (51%) 1-9 anställda (56%) Ägare/Delägare 13% Bransch Vård/omsorg (21%) 1-9 anställda (23%) 25 25 Novus 2019. All rights reserved. www.novus.se

Antal anställda FRÅGA: Hur många anställda har ert företag? 1 2-4 5-9 10-19 20-49 9 % 15 % 10 % 16 % 15 % 50-199 30 % 200-499 500 eller fler Vet ej 4 % 2 % 0 % BAS: Samtliga (n=800) 26 26 Novus 2019. All rights reserved. www.novus.se

Metodbeskrivning Målgrupp, urval och genomförande Målgrupp för undersökningen är verksamheter som hanterar personuppgifter i form av kund-, leverantörsregister eller medlemsregister samt de verksamheter som har ett dataskyddsombud som inte är registrerat hos Datainspektionen. De tillfrågade att medverka i undersökningen är i första hand VD. Om inte VD är tillgänglig eller nåbar har sökningen skett i följande ordning: Ägare, Ekonomichef, IT-chef, Annan person i verksamhetens ledning, Annan person i verksamheten som är bäst lämpad att svara på frågor som rör dataskydd. Urvalet har levererats av SCB baserat på utvalda branscher framtagna i samverkan med Datainspektionen. För att få en spridning över branscher och storleksklasser sattes följande kvoter: Totalresultaten har sedan viktats mot verklig profil. 28 28 Novus 2019. All rights reserved. www.novus.se

Metodbeskrivning Målgrupp, urval och genomförande Genomförande 1. Undersökningen är genomförd via telefonintervjuer under perioden 19 februari 19 mars 2019. 2. Nettourvalet omfattade 2809 företag, varav 1637 utgör bortfall: Ej anträffbara/telefonsvarare/bortresta/sjuka: Vägrare: Notera att av de som nåtts svarade 74% på undersökningen 1235 företag 402 företag 3. Totalt genomfördes 1173 bruttointervjuer (exkl screening), vilket betyder att den totala deltagarfrekvensen uppgick till 42%. 4. Totalt screenades 372 personer bort, kvar återstår 800 intervjuer Total penetration 68% (800 av 1173), d v s 32% har screenats bort enligt följande: 19% har inga register 13% har redan registrerad DSO 29 29 Novus 2019. All rights reserved. www.novus.se

Publiceringsregler Novus varumärke är en garant för att en undersökning har gått rätt till och att slutsatserna kring densamma är korrekta utifrån målet med undersökningen. Enligt internationella branschregler (ESOMAR) är Novus som undersökningsföretag ansvariga för att våra undersökningar tolkas rätt vid första publicering. För att säkerställa att våra undersökningar presenteras på ett korrekt sätt ber vi alltid att få se den text som skrivs med syfte att publiceras där Novus undersökningar omnämns. 30 30 Novus 2019. All rights reserved. www.novus.se Novus förbehåller sig rätten att korrigera felaktiga siffror och tolkningar som har publicerats.

Vi på Novus gillar frågor! Kontakter på Novus Konsult Per Fernström Mobil: 0739 403919 E-post: per.fernstrom@novus.se Projektledare Annelie Önnerud Mobil: 0739 403761 E-post: annelie.onnerud@novus.se 31 31 Novus 2019. All rights reserved. www.novus.se