GDPR – ingen papperstiger

Den 25 maj 2018 trädde den nya dataskyddsförordningen GDPR  i kraft. Inför den rådde en febril aktivitet inom många organisationer för att ha en policy på plats. Känslan påminde om den som fanns inför millenniumskiftet. Så kom D-dagen och sedan hände till synes ”ingenting”. Men advokat Katarina Ladenfors, GDPR-specialist, håller inte med.

– Allt fler verksamheter granskas av Datainspektionen. Det visar att man måste ha kontroll över hur personuppgifter används. Företagen behöver leva upp till sina policies och visa vilka interna rutiner som implementerats. GDPR är ingen papperstiger.  

Här kan du som är medlem i Civilekonomerna anmäla dig till ett kostnadsfritt seminarium/webinarium om GDPR den 22 maj.

I början av året, till exempel, sände SVT ett inslag om en gymnasieskola i Skellefteå som använder ansiktsavläsning för att registrera elevnärvaro. Nu granskar Datainspektionen om tilltaget är förenligt med GDPR. Om skolan fälls kan följden bli sanktionsavgifter på upp till 10 miljoner svenska kronor.  

– Verksamheter måste tänka efter före och gör en konsekvensanalys. I skolans fall handlar det bland annat om hur personuppgifterna skyddas och lagras.

På Civilekonomernas kansli tillsattes en särskild grupp som förberedde policy och nya rutiner i god tid inför 25 maj härom året. Gruppen fortsätter att arbeta aktivt med GDPR-rutiner och processer så att de uppfyller dagens krav.

Hur ser nuläget ut?

– Vi är noga med att värna om medlemmarnas personliga integritet. Bland annat har rutinen hur vi säkerställer att det är en medlem vi har kontakt med i medlemsjouren förändrats. Idag efterfrågar vi i första hand medlems- istället för personnumret. Detta är inte helt okomplicerat då många inte kan sina medlemsnummer utantill. Vi undersöker därför andra  lösningar som till exempel verifiering via Bank-ID för en så smidig kontakt med oss som möjligt. Gruppen har även tagit fram förbättrade informationstexter om hur vi behandlar medlemmars och icke medlemmars personuppgifter samt gjort dem mer lättillgängliga på vår hemsida. GDPR-arbetet fortsätter för vi måste förhålla oss till hur verksamheten, omvärlden och den tekniska utvecklingen förändras, berättar Karin Malmström, ombudsman på förbundet.

Men Katarina Ladenfors tycker att kunskapsnivån om GDPR kan bli betydligt bättre. I en tid med snabba förändringar är det lätt att nedprioritera dataskyddsförordningen. 

– Det många missar är att all hantering som rör personuppgifter ska vara dokumenterade och klara av dagens krav. Och att plocka hem mallar från internet räcker inte, man måste visa hur just den egna organisationen hanterar personuppgifter – i detalj. För medarbetarnas del ska verksamhetens GDPR-policy vara inskrivet i HR-dokument på ett tydligt och lättillgänglig vis. 

Läs mer: Dataskyddsombud, ett framtidsjobb

Den här hanteringen tar ju både tid och kraft från organisationen?

– Ja, det stämmer. Men när du väl inrättat din verksamhet efter GDPR så har du en bra ordning. Man kan se det som en rejäl vårstädning eller en slags hygienfaktor. Man tjänar på att göra ett rejält grundjobb kring rutiner och lagring av personuppgifter. 

Katarina Ladenfors håller internkurser för företag som vill vässa sin kunskap och intresset är stort, ”man vill undvika en granskning”. Många av kursdeltagarna är kommunikatörer, gott så, men GDPR-experten anser att kunskapen behöver lyftas till ledningsnivå.

”Ytterst är det en fråga för ledningen, på strategisk nivå. Verksamhetens GDPR-arbete ska ses som ett levande dokument. Man behöver ständigt arbeta och revidera med de här frågorna.”

Den digitala verkligheten ändras blixtsnabbt. Hänger dataskyddsförordningen med i svängningarna? 

– Ja, det tycker jag. Nu tillkommer även en försenad e-integritets-förordning med regler om hur man får använda sökdata från nätet. Så även dataskyddsförordningen är ett levande dokument som utvecklas och måste följa med sin tid.

GDPR I KORTHET
Dataskyddsförordningen (The General Data Protection Regulation) är till för att skydda enskildas grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. (Källa Datainspektionen)