GDPR förordningen, myten, legenden av: Ida Ståhl
agenda Gdpr vad är det? Hur kommer man igång sju myter
agenda Gdpr vad är det? Hur kommer man igång sju myter
GDPR, artikel 1: I denna förordning fastställs bestämmelser om skydd för fysiska personer med avseende på behandlingen av personuppgifter och om det fria flödet av personuppgifter. Denna förordning skyddar fysiska personer grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter
En kort sammanfattning av gdpr Personuppgifter är allting som kan identifiera en fysisk person, både direkt och indirekt Behandling är allting som görs, exempelvis: användning, insamling, lagring och analys GDPR handlar om principer för dataskydd såsom: laglighet, riktighet, transparens, ändamålsbegränsning, uppgiftsminimering, lagringsbegränsning Mer rättigheter till den registrerade, jämfört med nuvarande lagstiftning Skillnaden mellan GDPR och nuvarande EU-direktiv är att GDPR är en förordning och har direkt effekt i alla medlemsländer GDPR träder i kraft 25:e maj 2018 5
Varför bry sig nu? Allvarliga sanktioner: 4 % av global årlig omsättning eller EUR 20 miljoner det som är högst 71 % anser att delande av personuppgifter är en ökande del av det moderna livet 57 % tycker att det är problematiskt att dela med sig av personuppgifter 6
agenda Gdpr vad är det? Hur kommer man igång sju myter
Hur kommer man igång: Utvärderingsfasen Utpekat ägandeskap och utse en kontaktperson som driver arbetet framåt Kontaktpersonen engagerar övriga intressenter, fördelat ansvar är en framgångsfaktor Kartläggning över vilka processer och system som hanterar personuppgifter Genomgång av varje process samt upprättande av registerförteckning över vilka behandlingar av personuppgifter som finns Gapanalys med förståelse för nödvändiga förändringar 8
Hur kommer man igång: utvärderingsfasen Utpeka ägandeskap och utse en kontaktperson som driver arbetet framåt Kontaktpersonen engagerar övriga intressenter, fördelat ansvar är en framgångsfaktor Kartläggning över vilka processer och system som hanterar personuppgifter Genomgång av varje process samt upprättande av registerförteckning över vilka behandlingar av personuppgifter som finns Gapanalys med förståelse för nödvändiga förändringar Först här som man bör göra process- och systemförändringar! 9
Definition av personuppgift Personuppgift är varje upplysning som avser en identifierad eller identifierbar fysisk person, artikel 4 GDPR. Exempel på personuppgifter: Namn, ex. Ida Ståhl Personlig mailadress, ex. Ida.stahl@volvocars.com Företagsmailadress, ex. ceo@volvocars.com Hemadress Telefonnummer Födelsedatum Foto Användarnamn/alias Cookies VIN-nummer IP-adress Hobby (om det knyts till en annan identifierare såsom exempelvis namn) 10
Definition av känsliga personuppgifter Känsliga personuppgifter är speciella kategorier av personuppgifter som är föremål för extra skydd. Generellt måste organisationer ha starkare grunder för att behandla känsliga personuppgifter jämfört med personuppgifter som inte är känsliga. Exempel på känsliga personuppgifter Ras eller etniskt ursprung Politiska åsikter Religiös eller filosofisk tro Medlemskap i fackförbund Data som rör hälsa Genetisk eller biologisk data Sexuell läggning Kreditkortsnummer Uppgifter om bankkonto Finansiell status Fingeravtryck eller ansiktsigenkänning Kroppscanningsbilder Kroppsmått Lösenord eller elektroniska nycklar Personnummer eller nationellt ID-nummer Passnummer Körkortsnummer GPS data Telefonlistor Register gällande brottslig aktivitet eller böter 11
Individers rättigheter 12
Hur gör man en kartläggning då?
Processorienterad kartläggning där behandling identifieras Logiken i GDPR bygger till stor del på syftet bakom en viss behandling vilket i sin tur är kopplat till en affärsprocess. Det blir problematiskt att enbart ta utgångspunkt ett systemperspektiv vid kartläggningen eftersom detta inte säger någonting om varför personuppgifterna finns eller om insamlingen varit laglig eller transparent. kundresan Utgå i från customer journey eller employee journey subjektet Utgå i från subjektet, exempelvis kund, intressent, anställd, kontaktperson 14
Kundresan som utgångspunkt AWARENESS CONSIDERATION PURCHASE loyalty Re-purchase 15
Frågor att ställa vid Genomgång av varje behandling Vem är personuppgiftsansvarig? Vad är syftet med behandlingen? Under vilken legal grund görs behandlingen? Vilken typ av information om individen behandlas? Behandlas någon känslig information? Från vilken källa kommer information? Är individen informerad om behandlingen av personuppgifterna? Delas data med andra parter? Behandlar någon personuppgifterna på våra vägnar? Överförs data till tredje land? Hur längre lagras personuppgifterna? Vilka typer av säkerhetsåtgärder finns det? 16
agenda Gdpr vad är det? Hur kommer man igång sju myter
Myt #1: vi får inte samla in några personuppgifter Alls
Myt #2: Ip-nummer är inte en personuppgift
Myt #3: Vi behandlar inte personuppgifter, vi har dem bara
Myt #4: Ostrukturerat material såsom mail omfattas inte
Myt #5: Back-up omfattas inte
Myt #6: Om en kund begär att vi ska radera all data så måste vi radera allt direkt
Myt #7: Ingen märker något om vi inte är compliant
Fem råd på vägen Alla måste förstå vad personuppgifter är Delat ansvar är en framgångsfaktor, ej enbart IT eller legal en strategisk affärsfråga Strategiska frågor måste lyftas tydligt och tidigt till ledning Allt arbete utanför egen organisation tar tid, starta tidigt med kravställande mot leverantörer Koppla dataskyddsarbetet till kommersiella drivkrafter och var tydlig med operativa uppsidor 25
Tack!