INTEGRITETSLAGSTIFTNING

INTEGRITETSLAGSTIFTNING Vilka åtgärder ska vidtas inför GDPR? Malmö 21 april 2017 1

PERSONUPPGIFTSLAGEN ( PUL ) De grundläggande principerna i PUL återfinns i GDPR ( General Data Protection Regulation ). Om man behandlar personuppgifter (helt eller delvis automatiserat eller manuellt om uppgifterna finns i eller är avsedda att finnas i register) är man skyldig att följa PUL/GDPR. 2

PERSONUPPGIFTER OCH BEHANDLING ENLIGT PUL Definitionen av nyckelbegreppen personuppgift och behandling ändras, men överensstämmer i princip med praxis: En personuppgift är en eller flera uppgifter i kombination som indirekt eller direkt kan identifiera en fysisk person Namn Telefonnummer E-postadress Adress Personnummer IP-adress. 3

PERSONUPPGIFTER OCH BEHANDLING, FORTS. Behandling är allt man gör med personuppgifterna Insamling Registrering Lagring Strukturering Organisering Läsning Utlämning Osv 4

NÄR FÅR PERSONUPPGIFTER BEHANDLAS? PUL 10, Behandling om samtycke eller om lagstöd finns, dvs. bl. a om: Behandlingen är nödvändig för att fullgöra avtal med den registrerade Personuppgiftsansvarige ska fullgöra en rättslig skyldighet Vitala intressen för den registrerade ska kunna skyddas En arbetsuppgift av allmänt intresse skall kunna utföras Myndighetsutövning Intresseavvägning (om intresset av behandling väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten) 5

KRAV PÅ BEHANDLINGEN PUL 9, bl. a: PU får bara behandlas om det är lagligt, korrekt och i enlighet med god sed Bara för det ändamål det är insamlat för Om de är adekvata och relevanta, och inte fler än nödvändigt Om man vidtar alla rimliga åtgärder för att rätta, blockera eller utplåna felaktiga eller ofullständiga Inte längre än nödvändigt 6

ROLLER ENLIGT PUL Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Personuppgiftsbiträde är den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Underbiträde är den som anlitas av Personuppgiftsbiträdet (t ex en molntjänst) 7

PERSONUPPGIFTSBITRÄDESAVTAL ( PUBA ) Det ska finnas ett skriftligt avtal mellan PA och PUB i vilket ska föreskrivas att: - Personuppgiftsbiträdet endast får behandla personuppgifter i enlighet med instruktioner från den personuppgiftsansvarige; och att - Personuppgiftsbiträdet är skyldigt att vidta lämpliga säkerhetsåtgärder m h t tillgänglig teknik, kostnader, riskerna med behandlingen och hur känsliga personuppgifterna är. Motsvarande gäller för underbiträden 8

AVTALSSTRUKTUR - PUBA PUBA Personuppgiftsansvarig PUBA BITRÄDE UNDERBITRÄDE 9

VEMS ANSVAR? Det är den personuppgiftsansvariges ansvar - att behandlingen är laglig - att ett PUBA finns Straffansvar och skadeståndsansvar vid brott mot PUL Datainspektionen utövar tillsyn 10

PUL ÄR SUBSIDIÄR TILL ANNAN LAG PUL är subsidiär i förhållande till annan lag eller förordning med avvikande bestämmelser Exempel: Man är skyldig att bevara räkenskapsinformation i 7 år från slutet av räkenskapsåret, men man får inte behandla personuppgifter längre än nödvändigt. För ett e-handelsföretag är det nödvändigt att behandla personuppgifter så länge någon är kund, men förbjudet att göra därefter. På grund av bokföringslagstiftningen måste man dock behandla uppgifterna genom lagring i sju år. Alltså ska de bevaras i sju år men i så hög grad som möjligt enligt PUL (med hänsyn till säkerhet, hur det används etc). 11

DATASKYDDSFÖRORDNINGEN (GDPR) NY LAGSTIFTNING 2018 Dataskyddsdirektivet från 1995 införlivades i Sverige genom införande av PUL 1998 15 december trilog-beslut i EU (kommissionen, parlamentet och ministerrådet) om ny förordning i EU, som kommer att vara direktverkande när den träder i kraft Antagen och gäller från 25 maj 2018 1)Allmänna uppgiftsskyddsförordningen ( GDPR eller Dataskyddsförordningen ) 2)Direktivet om uppgiftsskydd för polis och straffrättsliga sektorn 12

VARFÖR DÅ- OCH VARFÖR JUST NU? (Foto ovan; "Edward Snowden-2" by Laura Poitras / Praxis Films. Licensed under CC BY 3.0 via Wikimedia Commons) 13

GDPR - UTTALADE HUVUDSYFTEN Modernisering av det befintliga regelverket för att möta upp globaliseringen och den tekniska utvecklingen ( Big Data, The Internet of Things ) En gemensam lagstiftning för hela EU - behandling på EU:s mark ska följa EU:s lagstiftning Tydligare regler om ansvar för den som behandlar personuppgifter Tydligare skydd för enskilda Kodifiering av praxis 14

ALLMÄNT Många likheter med befintlig lagstiftning Mer formaliakrav på personuppgiftsansvariga, löpande hantera dokument rörande behandling t ex Tydligare ansvar compliance, information och ansvar att rapportera om intrång mm Höga straffavgifter! 15

NYA DATASKYDDSFÖRORDNINGEN Delvis ny terminologi, men samma grundstruktur - Personuppgift som direkt eller indirekt identifierar en levande fysisk person - Behandling bara om lagligt och efter samtycke eller lagstöd - Om behandlingen inte är nödvändig så är den olaglig Avtal om biträde används (jfr PUBA, oklart om skriftligt) Krav på att ha ombud minskar, men kravet på ombudet ökar Ungefär samma regler kring överföring till tredje land som idag Nationell anpassning krävs, dvs. Sverige ska ta fram kompletterande bestämmelser 16

VEM ÄR ANSVARIG? Personuppgiftsansvarig är den som ensam eller med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Dvs alla som i sin (icke rent privata) verksamhet har Kunder som är privatpersoner, eller Kontakter som är privatpersoner, eller Anställda måste följa GDPR, liksom man idag ska följa PuL 17

SKYDDSLAGSTIFTNING FÖR EUROPEISKA MEDBORGARE! Enligt huvudregeln om Personuppgiftsansvarig har verksamhet inom EU eller Personuppgiftsansvarig har verksamhet utom EU, men behandling sker av registrerade som befinner sig inom EU, om behandlingen har anknytning till a) Utbjudande av varor eller tjänster till registrerade i EU, oavsett om de erbjuds kostnadsfritt eller inte b) Övervakning av deras beteende så länge beteendet sker inom EU 18

DEFINITIONER Personuppgift Behandling Personuppgiftsansvarig Personuppgiftsbiträde Samtycke Samma grundprinciper som tidigare, med smärre förändringar 19

EXEMPEL PÅ NYA TERMER Pseudonymisering av-identifikation av uppgifter så identifiering inte längre kan ske, förutsätts att kompletterande uppgifter förvaras separat och säkert Profilering behandling i syfte att använda personuppgifter för bedömning om vissa personliga egenskaper hos en person Personuppgiftsincident säkerhetsincident som leder till avsiktlig eller oavsiktlig förstöring, förlust, ändring av eller obehörigt röjande av personuppgift 20

EXEMPEL PÅ SKILLNADER Missbruksregeln försvinner (ej strukturerat material) Samtycke från barn (16 år, kan enligt nationell rätt vara lägst 13 år) Känsliga uppgifter omfattar numera även genetisk och biometrisk information Nationell anpassning? Eventuellt besked 17 maj! 21

LAGLIG BEHANDLING, JFR PUL 10 Giltigt samtycke, eller om behandlingen är nödvändig för att fullgöra ett avtal den behandlade är part i fullgöra en rättslig förpliktelse skydda intressen av grundläggande betydelse för den registrerade utföra en uppgift av allmänt intresse, eller om behandlingen är nödvändig för ändamål som rör personuppgiftsansvariges eller en tredje parts berättigade intressen om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn (Nationell lagstiftning kan delvis ändra denna skrivning) 22

PRINCIPER FÖR BEHANDLING, JFR PUL 9 Lagligt, korrekt och öppet i förhållande till den registrerade För särskilda, uttryckligt angivna och berättigade ändamål Adekvata, relevanta och inte för omfattande Korrekta och om nödvändigt uppdaterade Ej längre än nödvändigt På ett sätt som säkerställer lämplig säkerhet Obs att personuppgiftsansvarige ska kunna visa att detta efterlevs 23

SAMTYCKE Frivillig, specifik, informerad och otvetydig viljeyttring Aktiv handling Den registrerade ska ha rätt att när som helst återkalla Personuppgiftsansvarige ska kunna visa samtycke 24

DEN REGISTRERADES RÄTTIGHETER Information ska vara tydlig - koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk Rätt att få information om ens uppgifter behandlas, och i så fall vissa detaljer kring detta (gratis och inom 1 månad) Rätt till rättelse utan dröjsmål Right to be forgotten rätt till radering under vissa förutsättningar Rätt till begränsning av behandling (t ex om behandlingen är olaglig) Portabilitet uppgifter ska vara maskinläsbara och den registrerade ska kunna överföra dessa till annan registeransvarig Vägra behandling för direkt marknadsföring, inklusive profilering 25

DEN REGISTERANSVARIGES SKYLDIGHETER Man ska vidta lämpliga och organisatoriska åtgärder för att säkra skyddet för personuppgifterna Privacy by Design ; inbyggt dataskydd Registeransvarig ska föra register om behandlingar Meddela Datainspektionen utan dröjsmål och inom 72 timmar om personuppgiftsincident, samt i vissa fall även de registrerade Vid behandling som medför hög risk för fysiska personers rättigheter och friheter ska en konsekvensbedömning göras ( Data protection impact assessment ) - Samråd med Datainspektionen ska ske innan behandling i sådana fall 26

DEN ANSVARIGES SKYLDIGHETER, FORTS. Formalia ska upprättas, bl a: Kontrollera att personuppgiftsbiträdesavtal finns och är kompletta Kontrollera samtyckesformuleringar Utrymme för Kompletterande utlåtande ska finnas Register över behandlingar (både biträde och personuppgiftsansvarige) Elektroniska registerutdrag ska kunna lämnas ut Kontrollera informationen som lämnas och när den ska lämnas Konsekvensbedömning Rutiner ska upprättas (avseende incidenter tex) Anpassa system (dataportabilitet, utdrag, förenlighet med förordning) Uppförandekod kan i vissa fall tas fram för godkännande av Datainspektionen 27

PERSONUPPGIFTSBITRÄDEN Endast sådana som kan tillhandahålla tillräckliga garantier för datasäkerhet Underbiträde endast med skriftligt tillstånd dessförinnan från personuppgiftsansvarig Måste finnas instruktioner och (skriftligt?) avtal Förteckning över behandlingar som gjorts på uppdrag av PA (ungefär motsvarande det som PA ska ha), skriftligt och i elektronisk form 28

DATASKYDDSOMBUD Ska utses om den Registeransvarige är en myndighet eller en privataktör som huvudsakligen behandlar uppgifter Om det är fråga om regelbunden och systematisk övervakning Om kärnverksamheten består av behandling i stor omfattning av känsliga uppgifter Ombud får i annat fall också utses, eller ska (om nationell rätt så kräver) Ska vara en person som utses på grundval av dennes yrkesmässiga kvalifikationer, sakkunskap om lagstiftning och praxis, samt förmåga utföra uppgifterna Ska rapportera till högsta ledningen Ska vara självständig och i viss mån ha en skyddad position 29

REGISTER ÖVER BEHANDLING Ska föras av PA (och i viss mån även av biträde) Namn och kontaktuppgifter på PA (och biträde) Ändamål med behandlingen Beskrivning av registrerade och av kategorier av personuppgifter Kategorier av mottagare av uppgifterna Överföring till tredje land Gallringsregler Säkerhetsåtgärder (om möjligt) 30

UNDANTAG FÖR REGISTERFÖRING Skyldighet att föra register gäller ej för företag/organisationer med färre än 250 anställda, om inte Behandlingen sannolikt medför en risk för registrerades fri och rättigheter, Behandlingen inte är tillfällig, eller Behandlingen avser särskilda kategorier av uppgifter (jfr känsliga personuppgifter ) eller information om domar i brottmål 31

SÄKERHET FÖR PERSONUPPGIFTER Med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska PA och PUB vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en i förhållande till risk lämplig säkerhetsnivå 32

SÄKERHET FÖR PERSONUPPGIFTER, FORTS. inbegripet, om det är lämpligt: Pseudonymisering och kryptering Förmåga att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft i systemen och tjänsterna Förmåga att återställa tillgänglighet Ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten i säkerhetsåtgärderna Särskilt hänsyn ska tas till de risker behandlingen medför, i synnerhet oavsiktlig eller avsiktlig förstöring, förlust, obehörigt röjande eller obehörig åtkomst 33

PERSONUPPGIFTSINCIDENT Utan onödigt dröjsmål och, om möjligt inte senare än 72 timmar från vetskap om incidenten ska PA rapportera denna till Datainspektionen, såvida det inte är osannolikt att incidenten medför en risk för rättigheter och friheter. Om anmälan sker senare ska motivering lämnas till förseningen PUB ska utan onödigt dröjsmål meddela PA om incident Vid hög sannolikhet för hög risk för rättigheter och friheter hos den registrerade ska dessa informeras av PA, utan onödigt dröjsmål, om inte vissa undantag gäller 34

KONSEKVENSBEDÖMNING Om det finnas en sannolikhet att behandlingen leder till hög risk för fysiska personers rättigheter och friheter (med beaktande av ny teknik, behandlingens art, omfattning och sammanhang) ska en konsekvensbedömning göras före behandling, t ex ska detta göras: Vid en systematisk och omfattande bedömning av personliga aspekter som grundar sig på automatisk behandling, inbegripet profilering, och på vilken beslut grundar sig som har rättsliga följder för fysiska personer Behandling i stor omfattning av särskilda kategorier av uppgifter, eller om fällande domar i brottmål Systematisk övervakning av allmän plats i stor omfattning Samråd med Datainspektionen kan krävas En konsekvensbedömning ska ha visst innehåll, specificerat i GDPR 35

ÖVERFÖRING TILL TREDJE LAND (JFR PUL) Får ske om tredje landet har en adekvat skyddsnivå Om lämpliga skyddsåtgärder vidtagits Bindande och verkställbart instrument (EU-US Privacy Shield eller motsvarande) BCR Standardiserade dataskyddsbestämmelser (antagna av kommissionen) Standardiserade dataskyddsbestämmelser (antagna av Datainspektionen) Godkänd uppförandekod Godkänd certifieringsmekanism 36

ÖVERFÖRING TILL TREDJE LAND, FORTS. Vid samtycke Nödvändig på grund av avtal mellan PA och den registrerade Nödvändig på grund av avtal mellan PA och annan, om i den registrerades intresse Allmänintresse Rättsliga anspråk Skydda grundläggande intressen hos den registrerade, om samtycke ej kan ges Med många avvikelser från huvudreglerna. 37

RÄTTSMEDEL, ANSVAR OCH SANKTIONER Rätt för registrerad att lämna in klagomål till tillsynsmyndigheten Rätt till effektivt rättsmedel mot dem som behandlar personuppgifter Rätt till ersättning för skada (skadestånd för uppkommen skada) Såväl PA som biträde är skadeståndsansvariga Kan undgå ansvar om man visar att man inte är ansvarig (bevisbörda!) 38

PÅFÖLJDER Administrativa sanktionsavgifter ska vara effektiva, proportionella och avskräckande Administrativa sanktionsavgifter (Datainspektionen): Det högsta av 2% av årsomsättningen ( worldwide turnover ) eller 10 000 000 eller Det högsta av 4% av årsomsättningen ( worldwide turnover ) eller 20 000 000 39

HUR BÖRJAR MAN SIN ANPASSNING? 1) Identifikation av hur organisationen behandlar personuppgifter -Vilka personuppgifter behandlas idag? -För vilka ändamål? -Hur behandlas dessa? (System, tillgång och andra säkerhetsaspekter) -Är det nödvändiga och adekvata uppgifter? -Använder ni er av missbruksregeln idag? 2) Gör en skriftlig kartläggning 3) Analysera inventeringen 4) Analysera vilka åtgärder behöver ni göra för att uppfylla GDPR? 5) Vidta åtgärder och utbilda internt 40

VILKA ÅTGÄRDER KRÄVS FÖRE 25 MAJ 2018? Behövs en konsekvensbedömning? Ta fram dokumentation som utvisar grunderna för behandling etc. Information om behandling ska tillhandahållas skriftlig (elektronisk form ok, muntligt i vissa fall) Obs kraven på informationen PA ska ha en rutin för att kunna meddela en registrerad på förfrågan vad som behandlas (inom en månad) Rutiner ska finnas för komplett utlåtande (komplettering av den behandlade) rättelse radering ( Right to be Forgotten ) begränsning av behandling information vid rättelse, radering eller begränsning av behandling Dataportabilitet 41

VILKA ÅTGÄRDER KRÄVS FÖRE 25 MAJ 2018, FORTS.? Genomföra tekniska och organisatoriska åtgärder för att säkerställa och visa att behandling sker i enlighet med Förordningen Integrera sådana säkerhetsåtgärder i behandlingen ( Privacy By Design ), t ex pseudonymisering och uppgiftsminimering Register ska föras över behandling Tillse att anställda/konsulter hos PA eller biträde endast får behandla uppgifter på instruktion från PA Rutin för anmälan om personuppgiftsincident, samt dokumentering Konsekvensbedömning Utse dataskyddsombud, om det behövs 42

VILKA ÅTGÄRDER KRÄVS FÖRE 25 MAJ 2018, FORTS.? Observera att föregående bilder på åtgärder inte är uttömmande! Vilka åtgärder som behövs beror på vilken typ av uppgifter som behandlas, varför dessa behandlas, hur omfattande behandlingen är, om behandling sker i tredje land, vilka säkerhetsnivåer som bedöms vara lämpliga, vilken typ av organisation som behandlar etc 43

SÅ KONKRET SOM MÖJLIGT PUL/GDPR gäller Moln = OK Är det en personuppgift? JA Finns laglig grund för behandling? (PUL 10 ) JA Behandlas uppgifterna lagligt? (PUL 9 ) JA Används molntjänster? JA Inom EU/EES? JA NEJ NEJ NEJ NEJ NEJ PUL/GDPR gäller ej Behandling får ej göras Behandling får ej göras Egen server = OK Laglig grund för överföring till tredje land måste finnas 44

KONTAKTUPPGIFTER Advokat Sara Malmgren Advokat Andreas Lindström Tel: 08-506 184 28 Tel: 040-661 56 44 sara.malmgren@foyen.se andreas.lindstrom@foyen.se www.foyen.se Tel 08-5Tel 08-506 184 28 45