Om ossDataskyddsförordningen (GDPR)fastställer riktlinjer som omfattar olika aspekter av dataskydd och integritet för enskilda personer inom Europeiska unionen (EU) och Europeiska ekonomiska samarbetsområdet (EES), inklusive hur organisationer ska hantera, behandla och skydda personuppgifter. Nedan följer en översikt över de viktigaste elementen som omfattas av GDPR riktlinjer:

1.Omfattning och tillämplighet

GDPR gäller för:

• Alla organisationer(inklusive företag, ideella organisationer och regeringar) som behandlar personuppgifter om enskilda personer i EU eller EES, oavsett var organisationen befinner sig.
• Personuppgiftsansvariga(som bestämmer syftet och medlen för behandlingen) ochPersonuppgiftsbiträden(som behandlar uppgifter för personuppgiftsansvarigas räkning).

Det gäller alla typer av personuppgiftsbehandling, inklusive insamling, registrering, lagring, ändring, hämtning, konsultation, användning, utlämnande, radering och förstörelse.

2.Nyckeldefinitioner

• Personuppgifter: All information som direkt eller indirekt kan identifiera en individ (t.ex. namn, e-postadress, IP-adress, platsdata etc.).
• Känsliga personuppgifter: Särskilda kategorier av uppgifter som kräver extra skydd, såsom ras eller etniskt ursprung, politiska åsikter, religiös övertygelse, hälsodata, biometriska data och sexuell läggning.
• Den registrerade: Den person som personuppgifterna tillhör.
• Personuppgiftsansvarig: Den enhet som bestämmer syftet och medlen för behandling av personuppgifter.
• Databehandlare: Den enhet som behandlar uppgifter för den personuppgiftsansvariges räkning.

3.Principer för databehandling

GDPR baseras på följande:sju nyckelprinciperDatabehandling:

1. Laglighet, rättvisa och öppenhet: Uppgifterna måste behandlas lagligt, rättvist och på ett öppet sätt. Individer måste informeras om behandlingen av sina uppgifter.
2. SyftebegränsningPersonuppgifter måste samlas in för specifika, uttryckliga och legitima ändamål och inte användas på sätt som är oförenliga med dessa ändamål.
3. Dataminimering: Uppgifter som samlas in måste vara adekvata, relevanta och begränsade till vad som är nödvändigt för det avsedda syftet.
4. Noggrannhet: Personuppgifter måste vara korrekta och hållas uppdaterade.
5. LagringsbegränsningUppgifterna får inte lagras längre än vad som är nödvändigt för de ändamål för vilka de samlades in.
6. Integritet och sekretess: Uppgifterna måste behandlas säkert, vilket säkerställer skydd mot obehörig eller olaglig åtkomst, förlust eller skada.
7. Ansvar: Personuppgiftsansvariga ansvarar för att säkerställa efterlevnad av ovanstående principer och måste kunna visa efterlevnad.

4.Rättsliga grunder för behandling

Personuppgifter kan endast behandlas om det finns en giltig rättslig grund, till exempel:

• Samtycke: Individen har gett uttryckligt samtycke för ett visst ändamål.
• Avtal: Behandlingen är nödvändig för att fullgöra ett avtal med individen.
• Rättslig skyldighet: Behandling är nödvändig för att följa lagen.
• Vitalintressen: Behandling är nödvändig för att skydda någons liv.
• Offentlig uppgift: Behandling är nödvändig för att utföra en uppgift av allmänt intresse.
• Legitima intressenBehandlingen är nödvändig för den personuppgiftsansvariges legitima intressen såvida inte åsidosätts av den enskilde rättigheter.

5.Den registrerade rättigheter

GDPR ger flera rättigheter till individer när det gäller deras personuppgifter:

1. Rätt att bli informerad: Individer har rätt att veta hur deras uppgifter samlas in, används och delas (via en sekretesspolicy).
2. Rätt till tillgång: Individer kan begära tillgång till sina personuppgifter och hur de behandlas.
3. Rätt till rättelse: Individer kan begära att felaktiga eller ofullständiga uppgifter korrigeras.
4. Rätt till radering ("Rätt att bli glömd"): Individer kan begära radering av sina personuppgifter under vissa omständigheter (t.ex. när uppgifterna inte längre behövs).
5. Rätt att begränsa behandlingen: Individer kan begära att deras uppgifter begränsas från behandling under vissa förhållanden.
6. Rätt till dataportabilitet: Individer kan begära att deras uppgifter överförs till en annan organisation eller direkt till sig själva i ett strukturerat, allmänt använt och maskinläsbart format.
7. Rätt till invändning: Individer kan invända mot behandlingen av sina personuppgifter för vissa ändamål, inklusive direktmarknadsföring.
8. Rättigheter relaterade till automatiserat beslutsfattande och profileringEnskilda personer har rätt att inte bli föremål för ett beslut som uteslutande grundar sig på automatiserad behandling, inklusive profilering, såvida inte vissa villkor är uppfyllda.

6.Dataskyddskonsekvensbedömningar (DPIA)

Databehandlingsaktiviteter måste utföras när databehandlingsverksamheten sannolikt kommer att leda till en hög risk för enskilda personers rättigheter och friheter. Detta gäller vanligtvis storskalig behandling, profilering eller behandling av känsliga data.

7.Meddelanden om dataintrång

Organisationer måste anmäla den berörda dataskyddsmyndigheten (i Storbritannien är detta informationskommissionärens kontor eller ICO) inom72 timmaratt bli medveten om ett personuppgiftsincident som utgör en risk för enskilda rättigheter och friheter. Om överträdelsen sannolikt kommer att resultera i höga risker måste de drabbade individerna också informeras.

8.Dataöverföringar utanför EU/EES

Överföring av personuppgifter till länder utanför EU/EES är endast tillåtna om:

• Mottagningslandet erbjuder enadekvat skyddsnivåenligt Europeiska kommissionens beslut.
• Lämpliga skyddsåtgärder, till exempelStandardavtalsklausuler (SCC)ellerBindande företagsregler (BCR), är på plats.
• Den registrerade har gett uttryckligt samtycke.

9.Dataskydd genom design och standard

Organisationer måste införliva dataskyddsåtgärder från början av alla projekt eller processer som innebär behandling av personuppgifter. Denna princip kallas somSekretess som design och som standard, vilket innebär att integritet måste beaktas i designskedet och under hela databehandlingens livscykel.

10.Dataskyddsombud (DPO)

En datavetenskap ska utses om

• Organisationen är en offentlig myndighet.
• Kärnverksamheten innebär regelbunden och systematisk övervakning av individer i stor skala.
• Organisationen behandlar stora mängder känsliga personuppgifter.

DPO:s ansvar omfattar:

• Övervaka efterlevnaden av GDPR.
• Rådgivning om dataskyddsförpliktelser.
• Agerar som kontaktpunkt med dataskyddsmyndigheterna.

11.Böter och straff

Organisationer som inte följer GDPR kan utsättas för betydande böter:

• Upp till20 miljoner euroeller4% av företagets globala årsomsättning, beroende på vilket som är högre, för de allvarligaste överträdelserna.
• Mindre överträdelser kan resultera i böter på upp till10 miljoner euroeller2% av årsomsättningenHemsida

12. Första gångenAnsvar och registrering

Organisationer måste upprätthålla dokumentation för att visa GDPR-efterlevnad, inklusive:

• Registreringar över bearbetningsaktiviteter.
• Dataskyddspolicyer och rutiner.
• DPIA vid behov.
• Registreringar av registrerade förfrågningar och svar.

13.Samtyckeskrav

När du förlitar sig på samtycke som rättslig grund för behandling av personuppgifter måste följande riktlinjer följas:

• Samtycke måste ges fritt, specifikt, informerat och entydigt.
• Samtycke måste ges genom en tydlig bekräftande åtgärd (t.ex. att anmäla sig) och inte genom förmarkerade rutor.
• Organisationer måste kunna bevisa att samtycke erhållits.
• Individer måste ha rätt att återkalla samtycke när som helst.

GDPR sätter höga standarder för dataskydd och syftar till att ge individer mer kontroll över sina personuppgifter. Genom att följa dessa riktlinjer kan organisationer säkerställa efterlevnad och undvika risken för sanktioner.