Vad är GDPR?
General Data Protection Regulation (GDPR – pdf) är en förordning som kräver att företag skyddar personuppgifter och integriteten för EU-medborgare vid transaktioner inom EU:s medlemsländer. Att inte följa GDPR kan kosta företag mycket. Här är vad varje företag som bedriver verksamhet i Europa behöver veta om GDPR.
Varför finns GDPR?
GDPR skapades på grund av allmänhetens oro över integritet. Europa har länge haft stränga regler kring hur företag använder medborgarnas personuppgifter. GDPR ersätter EU:s dataskyddsdirektiv från 1995, vilket är föråldrat och inte tar hänsyn till dagens metoder för lagring, insamling och överföring av data.
Vilken typ av data skyddar GDPR?
GDPR skyddar följande typer av personuppgifter:
- Grundläggande identitetsinformation som namn, adress och ID-nummer
- Webdata som plats, IP-adress, cookie-data och RFID-taggar
- Hälso- och genetisk data
- Biometrisk data
- Ras- eller etnisk data
- Politiska åsikter
- Sexuell läggning
Vilka företag påverkas av GDPR?
Alla företag som lagrar eller bearbetar personuppgifter om EU-medborgare inom EU-länder måste följa GDPR, även om företaget inte har någon affärsnärvaro inom EU. Specifika kriterier för företag som måste följa är:
- Närvaro i ett EU-land.
- Ingen närvaro i EU, men bearbetar personuppgifter om europeiska invånare.
- Mer än 250 anställda.
- Färre än 250 anställda men dess databehandling påverkar dataämnens rättigheter och friheter, är inte tillfällig eller inkluderar vissa typer av känsliga personuppgifter.
Vem inom mitt företag är ansvarig för compliance?
GDPR definierar flera roller som är ansvariga för att säkerställa compliance: datakontrollant, databehandlare och dataskyddsombud (DPO).
- Datakontrollant: Definierar hur personuppgifter behandlas och för vilka ändamål.
- Databehandlare: Interna grupper som underhåller och bearbetar personuppgifter eller outsourcingföretag som utför dessa aktiviteter.
- Dataskyddsombud (DPO): Ansvarig för datasäkerhetsstrategi och GDPR-compliance.
Hur påverkar GDPR tredjeparts- och kundkontrakt?
GDPR ställer lika stort ansvar på datakontrollanter (organisationen som äger data) och databehandlare (utanför organisationer som hjälper till att hantera data). Alla befintliga kontrakt med behandlare (t.ex. molnleverantörer, SaaS-leverantörer eller lönetjänstleverantörer) och kunder måste tydligt definiera ansvarsområden och säkerställa att alla följer GDPR.
Vad händer om mitt företag inte följer GDPR?
GDPR tillåter höga böter på upp till 20 miljoner Euro eller 4 % av den globala årliga omsättningen, vilket som är högre, för bristande efterlevnad. För nuvarande kan företag skydda sig från hårda påföljder genom att visa en god tro för att följa reglerna.
Vilka GDPR-krav påverkar mitt företag?
Företag får bara lagra och bearbeta personuppgifter när individen ger sitt samtycke och för ”inte längre än vad som är nödvändigt för de syften för vilka personuppgifterna behandlas.” Personuppgifter måste också vara portabla från ett företag till ett annat, och företag måste radera personuppgifter på begäran.
Hur ser ett framgångsrikt GDPR-projekt ut?
Ett framgångsrikt GDPR-projekt, som det hos ADP, innebär att engagera alla delar av företaget, genomföra dataflödeskartor och sekretessbedömningar samt dokumentera alla steg mot compliance. Det handlar om att förstå dataflöden, implementera säkerhetsmekanismer och kommunicera med kunder om hur data skyddas.
Vad bör mitt företag göra för att vara GDPR compliant?
- Skapa en känsla av brådska hos företagsledningen: Prioritera GDPR-compliance som en del av den övergripande riskhanteringen.
- Involvera alla intressenter: Bilda en arbetsgrupp som inkluderar marknadsföring, finans, försäljning, drift och alla grupper som hanterar kunddata.
- Genomför periodiska riskbedömningar: Förstå vilken data du lagrar och bearbetar och identifiera riskerna kring den.
- Anställ eller utse en DPO: Säkerställ att någon övervakar GDPR-compliance utan intressekonflikter.
- Skapa och underhåll en dataskyddsplan: Uppdatera och granska den regelbundet.
- Glöm inte mobila enheter: Se till att alla appar som används på mobila enheter är GDPR-compliant.
- Dokumentera ditt GDPR-compliance-förlopp: Skapa en dokumentation som visar att du gör framsteg mot compliance.
- Implementera åtgärder för att minska risker: Revidera befintliga åtgärder för att säkerställa att de uppfyller GDPR-krav.
- Testa incidentresponsplaner: Se till att du kan rapportera och hantera dataintrång inom 72 timmar.
- Upprätta en process för kontinuerlig bedömning: Fortsätt att övervaka och förbättra din GDPR-compliance.
Genom att följa dessa steg kan företag säkerställa att de följer GDPR och skyddar sina kunders personuppgifter.
Advantum och GDPR
Advantum är ett dokumenthanteringssystem som hjälper företag att följa GDPR genom att erbjuda en säker och GDPR-korrekt plattform för att hantera och lagra personuppgifter. Med Advantum kan företag säkerställa att de uppfyller GDPR-krav genom att hantera dataflöden, skydda känslig information och snabbt rapportera dataintrång.
