GDPR

GDPR sätter individen i förarsätet och ger individen större kontroll över sina personuppgifter och säkrar skydd av dem. Personuppgifter är all information som kan kopplas till en fysisk person såsom namn, foto, e-postadress, inlägg på sociala medier, platsinformation, medicinsk information, IP-adress m m. Det görs ingen skillnad mellan personuppgifter i individens privata eller professionella roll. 

GDPR är ingen IT-fråga, förordningen gäller alla personuppgifter oavsett hur dom lagras och  medför genomgripande konsekvenser för hela företaget, inklusive sättet man hanterar marknadsförings- och försäljningsaktiviteter. 

Rättigheter för individen med GDPR:

1. Laglig behandling. Varje behandling av personuppgifter måste ha en laglig grund för att det ska vara tillåtet att behandla personuppgifter, t ex bevisat aktivt samtycke från den registrerade.
2. Rätt till tillgång. Detta ger individen rätt att få tillgång till sina personuppgifter och få veta hur dessa kommer att användas av företaget efter att de har blivit insamlade. På begäran av en individ är företaget tvunget att gratis och i elektroniskt format tillhandahålla en kopia av personuppgifterna.
3. Rätten att bli bortglömd. Om individen inte längre är kund eller vill återkalla det samtycke som har gett företaget rätt att använda personuppgifterna, har individen under vissa förutsättningar rätt att få sin information raderad.
4. Rätten till dataportabilitet. Individen har rätt att överföra sina data från en tjänsteleverantör till en annan. Och detta måste ske i ett vanligt och maskinläsbart format.
5. Rätten att bli informerad. Rätt för individen att bli informerad om behandlingen och sina rättigheter som omfattar i princip alla typer av insamling av personuppgifter som företagen gör.
6. Rätten att få information korrigerad. Detta garanterar att individen kan få sina uppgifter uppdaterade om dessa är inaktuella eller felaktiga.
7. Rätten att begränsa behandling. Individen kan under vissa förutsättningar begära att dess uppgifter inte behandlas. Uppgifterna finns kvar, men dess användning begränsas.
8. Rätten att invända. Detta inkluderar (ibland) rätten att avbryta behandling av personuppgifter, t ex för direktmarknadsföring. 
9. Rätten att meddelas om incident. Om det har förekommit ett dataintrång som omfattar en individs personuppgifter, har individen i vissa fall rätt att få vetskap om detta inom skälig tid efter det att personuppgiftsbrottet blev känt.

Skyldigheter för verksamheten med GDPR:

1. Tillmötesgående av individens rättigheter. Företaget måste se över sina interna processer så att individens rättigheter efterlevs, det är ganska skarpa tidskrav på att t ex informations skall bli uppdaterad.
2. Säker behandling. Den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig, lämplig säkerhetsnivå hittas genom en riskanalys.
3. Konsekvensanalys. Om ett företag ska hantera personuppgifter som kan innebära stora integritetsrisker så måste företaget göra en konsekvensanalys, en DPIA. Om denna visar att risken är stor så måste Datainspektionen kontaktas för en förhandskontroll göras för att undersöka om behandlingen är lagenlig.
4. Anmälan av personuppgiftsincidenter. När en säkerhetsincident som rör personuppgifter inträffar, till exempel ett dataintrång, så måste man dokumentera incidenten och anmäla den till Datainspektionen inom 72 timmar
5. Dataskyddsombud. Många organisationer som arbetar med personuppgifter bör, för att säkerställa att förordningen efterlevs, utse ett dataskyddsombud som arbetar med GDPR internt.
6. Ansvarsskyldighet. Det är den personuppgiftsansvarige som skall bevisa att GDPR efterlevs, t ex att personuppgifterna behandlas säkert och enligt laglig grund. 
7. Sanktioner och sanktionsavgifter. Det kommer finnas möjligheter för tillsynsmyndigheten att ålägga sanktioner och döma ut sanktionsavgifter på upp till 20 miljoner euro eller upp till fyra procent av organisationens globala omsättning.