GDPR

Den nya Dataskyddsförordningen (GDPR) trädde i kraft 25 maj 2018 och ersatte då den svenska Personuppgiftslagen (PUL).

GDPR (General Data Protection Resolution) är ett EU-direktiv, som i Sverige konkretiseras i den så kallade dataskyddsförordningen. Vi har med detta en gemensam EU-lagstiftning som reglerar hur personuppgifter får behandlas. Den innebär bland annat att företag inte kan äga personuppgifter, utan endast låna dem för ett specifikt ändamål.

I Sverige ansvarar Datainspektionen för att lagen efterlevs. Vid överträdelse kan företaget dömas till böter på upp till 4 % av omsättningen. Det här tvingar företag att fundera över hur de hanterar och skyddar personuppgifter. Här har vi samlat information kring det mest grundläggande.

Tre grundregler i företagets vardag

Tidigare har det varit praxis att personuppgifter om en före detta kund kunnat användas för marknadsföring under ett års tid efter att kundrelationen har upphört. Så är det alltså inte längre.

Vissa personuppgifter kan dock behöva sparas för att t ex säljaren ska kunna fullgöra garantiåtaganden. Uppgifterna sparas då med ett nytt syfte.

SAMLA BARA TILL BESTÄMT ÄNDAMÅL

Samla inte in fler personuppgifter än nödvändigt – och bara för ett specifikt och i förväg bestämt ändamål.

INFORMERA MER

När ni samlar in personuppgifter så måste ni informera personen om vilka uppgifter det handlar om och varför ni gör det. Kommer ni att lämna uppgifterna vidare till andra, så måste ni tala om det.

SPARA MINDRE

När personuppgiften inte längre behövs för det syfte som de en gång samlades in för, så ska de tas bort. Det betyder till exempel att uppgifter om personer som inte längre är kunder eller leverantörer måste tas bort från IT-systemen.

Obs!

Tänk på! Det kan finnas annan lagstiftning som säger att uppgifter måste sparas en viss tid. Det kan till exempel röra sig om din bokföring, pensionsuppgifter och kontrolluppgifter.

Det här är personuppgifter

ALL INFORMATION SOM KAN KNYTAS TILL EN FYSISK PERSON:

Personnummer, namn och adress
Foton på personer
Ljudinspelningar som lagras elektroniskt kan vara personuppgifter även om det inte nämns några namn i inspelningen.
Ett organisationsnummer när det handlar om en enskild näringsverksamhet.
Registreringsnumret på en bil kan vara en personuppgift om det går att knyta till en fysisk person, medan registreringsnumret på en firmabil som används av flera, kanske inte är en personuppgift.

FÅR MAN SPARA UPPGIFTER OM KUNDERS INTRESSEN?

Spelar kunden golf? Har kunden allergier som kan vara bra att känna till inför affärslunchen? För att få registrera detta måste kunden få information om och varför ni kommer att spara uppgiften, och ge sitt godkännande. Uppgiften måste vara relevant för kundrelationen – annars får den inte registreras.

Tänk på! Personuppgifter kan finnas i e-post, sociala medier etc. Även historisk information omfattas av GDPR.

Vem ansvarar för vad i samband med molntjänster?

ALLA FÖRETAG SKA HA ETT REGISTER SOM BESKRIVER HUR MAN HANTERAR PERSONUPPGIFTER.

Här talar ni om vem som är ansvarig för ett visst register eller IT-system, vad det används till, vilka typer av personuppgifter som förekommer samt vilka typer av uppgifter och på vilken rättslig grund som uppgifterna hanteras.

Nya roller och begrepp:

PERSONUPPGIFTSANSVARIG

Den organisation som samlat in personuppgifter och anlitar en molntjänstleverantör är personuppgiftsansvarig, och har ansvar för att lagar följs.

PERSONUPPGIFTSBITRÄDESAVTAL

Den personuppgiftsansvariga måste i regel se till att det finns ett personuppgiftsbiträdesavtal.

PERSONUPPGIFTSBITRÄDE

Molntjänstleverantören (t.ex. SoftOne) är personuppgiftsbiträde till den personuppgiftsansvariga.

DATASKYDDSOMBUD

Dataskyddsombudet är en fysisk person i eller utanför organisationen som kan påpeka brister

(som en internrevisor). Ombudet ska anmälas till Datainspektionen.

Både personuppgiftsansvariga och personuppgiftsbiträden ska utse ett dataskyddsombud om:

personuppgiftsbehandlingen utförs av en myndighet eller ett offentligt organ (dock ej domstolar i deras dömande verksamhet)
kärnverksamheten består av personuppgiftsbehandling som kräver regelbunden och systematisk övervakning av de registrerade i stor omfattning
kärnverksamhet består av behandling i stor omfattning av så kallade känsliga personuppgifter eller brottsuppgifter.

Obs! Den som vill får utse ett dataskyddsombud även i andra fall.

Om något ändå inträffar…

Om ni råkar ut för en ”personuppgiftsincident” ska det rapporteras till Datainspektionen och den person det berör inom 72 timmar.

Din molntjänst SoftOne GO ger ett starkt skydd

SKYDDAR MOT DATAINTRÅNG PÅ SERVRAR

SoftOne GO körs på egna servrar i Sverige som är övervakade dygnet runt. De förvaras i säkerhetsklassade datorhallar, med brandväggar, virusskydd m.m. Endast ett fåtal behöriga personer har tillgång till personuppgiftsdata. Behörigheter styrs av roller med krav på säkra lösenord m.m.

ENKELT ATT FLYTTA PERSONLIG INFORMATION

Individens personliga information ska vara flyttbar mellan olika system. Med SoftOne GO kan informationen exporteras till JSON-format, vilket möjliggör import i andra system.

GER TILLGÅNG TILL SAMLAD INFORMATION OM PERSONER

En individ har rätt att se vilken personlig information som finns. SoftOne GO ger enkelt en samlad överblick om vilken information om individen som finns i systemet. Det är också enkelt att uppdatera personinformation i systemet.

RADERA OCH ANONYMISERA

Möjlighet att radera eller anonymisera personuppgifter, om inte legala krav säger annorlunda.

UNDERLÄTTAR RAPPORTERING VID INCIDENT

All bearbetning av personliga data i SoftOne GO loggas, så att man kan följa om otillbörlig access har skett samt informera individen. Detta kräver att det finns giltiga kontaktuppgifter för varje individ.

SÄKER INLOGGNING

Med inloggning till SoftOne GO via softone.online stödjer SoftOne ditt företags behov av säker lösenordshantering.

Så klarar du GDPR

Alla SoftOnes produkter är byggda för att du ska klara av kraven i GDPR.

Vill du veta mer om vad GDPR handlar om kan du ladda ned vår handledning som PDF här.