On May 25 2018, the General Data Protection Regulation from EU was introduced, which aims to protect individual fundamental rights and freedoms, in particular their right to protection of personal data. The data protection regulation replaces the EU's previous data protection directive and will help prevent the flow of data within the Union being hindered, as the data protection ordinance will apply to all members of EU. This case study aims to gaining an understanding of how different organisations’ risk management against the data protection regulation looks, and whether it will lead to compliance or not. Four Swedish organisations have been studied, presented, and then analysed based on a theoretical framework, designed after the different parts of a general risk management process. The study is of qualitative form and data have been collected through both semi structured and structured interviews. The data protection regulation was not yet implemented during the course of this study, and it was during this time that all parts were designed and the information was collected. The study concludes that the organizations will not be completely compliant against the data protection regulation, which has a number of reasons: They do not take the regulation seriously, they are wrongly doing the change which lengthens the processes, and they delay their compliance due to greater economic profit. / Den 25 maj 2018 infördes EU:s dataskyddsförordning General Data Protection Regulation, som syftar till att skydda enskildas grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Dataskyddsförordningen ersatte EU:s tidigare dataskyddsdirektiv, och kommer bidra till att flödet av uppgifter inom unionen inte hindras på grund av att olika länder har olika lagar gällande dataskydd och personuppgifter, då dataskyddsförordningen kommer tillämpas alla medlemsstater inom EU. Syftet med denna studie är att ge en ökad förståelse kring hur olika organisationers riskbedömning gentemot dataskyddsförordningen ser ut, och om den kommer leda till att dataskyddsförordningen efterföljs eller ej. Fyra svenska organisationer har studerats, redovisats och sedan analyserats utifrån ett teoretiskt ramverk utformat efter en generell riskbedömnings olika delar. Studien är av kvalitativ form och data har samlats in genom både semistrukturerade och strukturerade intervjuer. Dataskyddsförordningen var inte implementerad under studiens gång, och det var under denna tid som samtliga delar utformades och informationen samlades in. Studien kommer fram till att organisationerna inte kommer vara helt lagenliga gentemot dataskyddsförordningens införande, vilket beror på flera olika anledningar: Förordningen tas inte på fullt allvar, förändringsarbetet görs på fel sätt vilket förlänger processen och efterlevnaden skjuts upp på grund av ekonomiska skäl.

Idag regleras personuppgiftsbehandlingar i Sverige främst genom Dataskyddsdirektivet och personuppgiftslagen. I takt med den omfattande användningen och utvecklingen av internet, av såväl privatpersoner som företag, krävs en uppdatering kring dataskydd för personuppgifter.Personuppgifter lagras hos företag i enorma mängder och skyddet för den personliga integriteten anses inte längre vara lika stort, varför en Dataskyddsförordning har utformats som en gemensam reglering i EU. Uppsatsen är en framläggning av hur privata bolag påverkas av de kommande förändringarna med huvudfokus på ansvar, roller, förberedelser, planering samt vilka sanktioner bolag står inför om reglerna inte efterlevs. I Dataskyddsförordningen utnämns ett flertal befattningar med skilda roller inomorganisationen. Dessa är personuppgiftsansvarig, personuppgiftsbiträde samtdataskyddsombud. I och med den nya regleringen har varje befattning ett utökat ansvareftersom att reglerna skärps. Med Dataskyddsförordningen kommer nya regler som kräver förberedelser samt planering för att artiklarna ska kunna efterlevas den dag ikraftträdandet sker. Exempel här är incidentrapportering som kräver tydliga rutiner för att verksamheten ska fungera. För att organisationer ska förstå allvaret, i och med de höga sanktionsavgifterna bolaget kan påföras, krävs att ledningen tar implementeringen på allvar och upprättar en analys samt en genomtänkt plan för arbetet. Det kan konstateras att Dataskyddsförordningen leder till ett omfattande arbete för varje organisation där rollerna behöver tydliggöras, i vissa fall behöver nya roller utses. Samtidigtbehöver kompetens finnas och det krävs stor planering i varje verksamhet för att reglerna ska efterlevas. Implementeringsarbetet behöver sättas igång direkt för att allt ska vara i sin ordning till den dag Dataskyddsförordningen träder i kraft. Dataskyddsförordningen är ett komplext regelverk. Osäkerheter kring Dataskyddsförordningens reglering kommer dock troligtvis att minska när Europeiska dataskyddsstyrelsen och Datainspektionen utfärdar fler tydliggöranden samt genom svensk utredning. Övergripande i hela bolaget gäller samma regler med vissa undantag, men viktigt är att anpassa och föra implementeringsarbetet utifrån den egna specifika verksamheten.

GDPR (General data protection regulation, generella dataskyddsförordningen) är en ny europeisk förordning som reglerar behandlingen av känsliga uppgifter samt det fria flödet av dessa inom EU. Förordningen utgör ett skydd för fysiska personer vid behandling av deras personuppgifter inom unionen vilket är en grundläggande rättighet.  GDPR har sedan den trädde i kraft i Maj 2018 varit en förordning att räkna med då dess bötesbelopp är höga. Alla företag inom Europa behöver följa reglerna samt företag utanför EU som hanterar europeiska personuppgifter. Målet med detta arbete är se vilken effekt GDPR har haft hos svenska mjukvaruutvecklare och hur de ser på sin arbetsbörda. Detta har gjorts genom en enkätundersökning hos svenska mjukvaruföretag som blivit slumpmässigt utvalda. Av uppsatsens resultat framgår det att många mjukvaruföretag som skapar egen programvara eller distribuerar programvara för en tredje part har den nya förordningen inneburit ett tyngre arbetslass samt omförhandling av existerande programvarulösningar. Något som inneburit nya arbetsplatser eller arbetsgrupper hos många företag. När GDPR först trädde ikraft lades det ner många arbetstimmar på att omvandla redan existerande lösningar för att uppfylla kraven. Trots detta har det lagts många fler timmar vid utveckling även efter GDPR för att se till att den nya programvaran även den lever upp till de krav som är ställda.  Av resultatet kan vi även finna att många företag ser väldigt strikt på hantering av känsliga uppgifter de samlat in från deras kunder men ser mindre strikt på lagring och hantering av personuppgifter av sina egna anställda. / GDPR(General data protection regulation) is a new European regulation that regulates data, protection, and privacy. It also addresses the transfer of personal data to countries outside of the European Union. Ever since the GDPR was enforceable May 2018, it has been a regulation for businesses to strictly follow and be wary of due to the hefty fines. All European businesses need to follow the new regulation and likewise, so to the businesses outside of the E.U. in which handles any type of personal data of Europeans. The goal with this thesis is to see the effect the GDPR has had for Swedish software developers and how they portray their workload. This data has been shown in the form of a questionnaire which was randomly distributed to a number of Swedish software companies.  In conclusion, this thesis shows that the new regulation has had a big impact on the developers that create new software/distributes software, primarily in form of a heavier workload and the need to re-negotiate already existing software. This has provided new jobs and/or new teams for many of the companies that were a part of this study. When GDPR was first introduced, the software companies spent countless hours on converting already existing software. Even tho they spend a lot of time in the beginning, the dedication of time is spent on every solution to make sure it meets the requirements of GDPR: We can also see that many businesses spend a lot more time and money on data protection for their clients personal data, but they do not treat their employees personal data in the same way.

Denna studie har undersökt hur den nya dataskyddsförordningen GDPR påverkar befintliga informationssystem. Genom arbetet har ett fokus även legat på metoden Privacy by Design och hur väl den uppfylls.GDPR ersätter Personuppgiftslagen i Sverige och innebär även att Missbruksregeln försvinner. Denna förändring kan tänkas resultera i större utmaningar för många företag, eftersom de krav som ställs är högre än tidigare. GDPR innebär ett utökat skydd för den personliga integriteten och ger EU:s medborgare fler rättigheter gällande hur personuppgifter bör behandlas. I och med att många befintliga informationssystem ej skapats med hänsyn till mycket av det GDPR ställer krav på, finns en trolig riskatt flera befintliga informationssystem blir svåra att uppdatera för att vara i linje med förordningen. Då GDPR även inkluderar krav med relevans till metoden Privacy by Design, är det troligt att företag som bättre uppfyller Privacy by Design även kan vara bättre i linje med GDPR. Från de deltagande respondenterna framgick det att en majoritet av de sju grundläggande principerna inom Privacy by Design uppfylls. Viss avsaknad kunde dock ses beroende på vilken organisation eller informationssystem det gällde. Vad som ansågs mest utmanande med dataskyddsförordningen uttryckte samtliga respondenter var förståelse av innebörd och intention med förordningstexten. Gällande vad som upplevdes som det tekniskt mest utmanande kunde mönster identifieras för ett antal krav. De krav som identifierades som väsentliga för befintliga informationssystem att anpassas efter, samt vilka principer inom Privacy by Designsom bättre uppfylldes, låg sedan i grund till en checklista. Checklistan blirett redskapsom ger en riktning för hur dessa punkter kan bemötas. / This study has examined how the new data protection regulation GDPR affect existing information systems. The study has had a focus on the method Privacy by Design and how well its principles are fulfilled by different companies. In Sweden, the GDPR will replace the personal data act, ‘Personuppgiftslagen’. This change may result in greater challenges for companies since the requirements of GDPR are higher than they were before. The GDPR means a greater protection of privacy and it gives EU citizens more rights regarding how their personal data should be processed. Many of the older, existing information systems weren’t created with regards to what GDPR demands. It is possible that this creates a risk for several existing information systems not being compliant with the regulation, because of difficulties in updating the systems. The GDPR also includes requirements related to Privacy by Design, and it is likely that companies that better meet the Privacy by Design principles are better compliant with the GDPR. From the participating respondents, it was shown that a majority of the seven fundamental principles of Privacy by Design are met. However, an absence of some principles could be seen depending on the organisation or information system. The most challenging aspect of the GDPR according to all respondents was to understand the meaning and intent of the regulation. Regarding what was perceived as the most challenging technical aspect of the GDPR, there were patterns for several requirements from the regulation. The requirements that were considered the essential ones for existing information systems to adapt to, as well as the principles that were better fulfilled were the factors the checklist was based on. The checklist can serve as a tool that provides a direction for how the identified issues can be addressed.

I dagsläget har en individ väldigt lite kontroll över den persondata som samlas in och hur den används och vem som hanterar den. Detta vill EU ändra på med den nya dataskyddsförordningen General Data Protection Regulation (GDPR) som träder i kraft nästa år. De nya reglerna innefattar en större kontroll för individen över den data som har samlats av företag. Förordningen tvingar företag att strukturera om sina system så de är förenliga med GDPR. Då höga bötesbelopp kan drabba de företag som inte följer reglerna blir alla de som hanterar personuppgifter tvungna att se över sina processer över hanteringen. Uppsatsen har som syfte att undersöka hur väl förberedda svenska medelstora till stora företag är ett år innan införandet av GDPR och hur de arbetar med förändringarna ur ett tekniskt perspektiv, ett organisatoriskt perspektiv samt ur ett juridiskt perspektiv. Med ett teoretiskt fundament som grund genomfördes intervjuer på tre olika företag som hanterar personuppgifter i sina system, både som personuppgiftsansvariga och som personuppgiftsbiträden. Resultatet av studien användes för att designa en utvärderingsmodell som företag kan använda ett år efter införandet av GDPR. Utvärderingen kommer att skapa en överblick på hur väl övergången har gått och om det finns några områden som behöver ytterligare arbete. De slutsatser som drogs var att det fanns en del frågetecken gällande hur de tekniska lösningarna skulle se ut för att vara i linje med GDPR, de juridiska frågorna hanterades till stor del med hjälp av biträdesavtal mellan personuppgiftsansvariga, personuppgiftsbiträden och tredje part. Ur ett organisatoriskt perspektiv var det utbildning av personal och kunskap om GDPR och de ändringar i arbetssätt som detta medför. / At present an individual has very little control over the personal data collected, how it is used and who manages it. This is something the EU wants to change with the new General Data Protection Regulation (GDPR), which will come into force next year. The new regulation includes greater control for the individual regarding the data collected by companies. The Regulation forces companies to restructure their systems so that they are compliant with GDPR. Since high sanctions may affect those companies that do not comply with the rules, all those who handle personal data will have to review the processes that relate to the handling of personal data. The aim of this thesis is to investigate how well prepared Swedish medium to large sized companies are one year before the introduction of GDPR. The thesis focuses on how companies work with the changes from a technical perspective, an organizational perspective and from a legal perspective. With a theoretical foundation as a basis, interviews were conducted on three different companies that handle personal data, both as data controller and as data processor. The result of the study was used to design an evaluation model that companies can use one year after the introduction of GDPR. The evaluation will provide an overview of how well the transition has been and if there are any areas that need further work. There were some uncertainties regarding how the technical solutions would need to be designed and implemented to help the company being compliant with GDPR. The legal issues were largely handled through processing agreements between data controllers, data processors and third parties. The organizational perspective meant training of staff and questions regarding how to raise awareness about GDPR and the changes in working practices.

On May 25th in 2018, the old EU directive that has been used as a guideline for data protection since 1995 was replaced. The new regulation, General Data Protection Regulation (GDPR) was implemented with a primary purpose to strengthen the rights of individuals and to give them greater control over their personal data. In general, the law involves changes for those who process personal data and strengthened rights of every individual's privacy. Change is a recurring element in every organization and how it's handled is crucial to the future of the company. This paper intends to investigate how change management can be applied in connection with the introduction of the new data protection regulation and how oganizations ensure compliance with changes. The interviews conducted in this paper has generated qualitative data and the result shows that there is a comprehensive conversion for companies of any size. Companies have an iterative approach regarding change managment and several changes have been required to reach full compliance with the law. To ensure compliance, companies have created an awareness of the law, educated all employees within their organization, and helped their employees apply the gained knowledge to their everyday work. However there are flaws companies may need to work on, which includes motivating employees to follow the newly implemented changes and use reinforcement to avoid returning to old habits. / Den 25 maj år 2018 ersattes det gamla EU-direktivet som behandlat dataskydd sedan år 1995. Den nya dataskyddsförordningen, General Data Protection Regulation (GDPR) har som huvudsakligt syfte att stärka privatpersoners rättigheter och ge dem en större kontroll över sina personuppgifter. I det stora hela innebär lagändringen förändringar för de som behandlar personuppgifter och stärkta rättigheter för den enskilde individens personliga integritet. Förändring är ett återkommande element i organisationslivet och hur dessa hanteras är avgörande för företagets framtid. Studien ämnar att undersöka hur ett förändringsarbete hos företag kan genomföras i samband med införandet av den nya dataskyddsförordningen och hur de säkerställer att förändringarna efterlevs. Datainsamlingen har genererat kvalitativ data och resultatet visar att det är en omfattande omställning för företag oavsett storlek. Företag har ett iterativt tillvägagångssätt i förändringsarbetet och flera förändringar har behövts genomföras för att uppfylla lagen. För att säkerställa en efterlevnad har företag varit noggranna med att skapa en medvetenhet om lagen, utbilda samtliga anställda inom företag och hjälpt till att applicera kunskapen på det vardagliga arbetet. Dock finns det brister företag kan behöva arbeta på vilket innefattar att motivera anställda till att följa förändringar och använda förstärkning för att undvika att de återgår till gamla arbetssätt.

Detta arbete har till syfte att studera den nya dataskyddsförordningen General Data Protection Regulation´s (GDPR) utmaningar och påverkan på både organisation samt system. Fokus i arbetet har varit på det specifika kravet privacy by design som är en del av GDPR. GDPR-förordningen kommer träda i kraft den 25 maj 2018. Eftersom GDPR är en ny förordning så har det inte skett forskning i större utsträckning i ämnet ännu. Den forskning som har skett inom området har mestadels varit inom juridiken. Detta resulterar i att ämnet är högaktuellt att undersökas eftersom ny kunskap kommer tillkomma genom detta arbete. Arbetet syftar till att undersöka hur GDPR genom sina krav påverkar en organisation och hur hänsyn tas till det specifika kravet privacy by design. Det kommer också undersökas vilka krav som ställs på teknik och funktioner. Genom att göra detta kommer kunskap tas fram om och hur en organisation förbereder sig och vad som krävs för att uppfylla kraven med GDPR. Privacy by design är en filosofi på hur inbyggd integritet kan användas för att skydda och bygga in den personliga integriteten i system. Den baseras på sju principer som skall användas för att förstå hur integritet kan skyddas. Men likt alla lösningar finns det utmaningar. Det är dessa utmaningar som arbetet skall undersöka och för att utifrån resultatet ge rekommendationer som förhoppningsvis kan användas för att få en överblick hur en organisation ligger i fas med privacy by design, som är en del av GDPR. Baserat på organisationens svar kommer rekommendationer ges för hur organisationen skulle kunna förbättra sitt arbete ytterligare. Metoden som använts till stöd för detta arbete är en fallstudie av kvalitativ art, och innefattar intervjuer med personer från en organisation inom säkerhetsbranschen som utvecklar metoder samt mjukvara för informationssäkerhetsarbete. Organisationen som har undersökts befinner sig i startgroparna för säkerställandet av GDPR och har gjort en inledande analys av läget. Fyra intervjuer har legat till grund för studien och på dessa har en innehållsanalys genomförts. Med hjälp av analysen så framträder en tydlig bild av hur arbetet kan se ut, i samband med lagförändringen ur privacy by design-perspektivet. För att ta reda på detta har en organisation som arbetar med informationssäkerhet och mjukvaruutveckling undersökts. Till arbetet utvecklades en frågeguide och en sammanfattning av principer, som är relaterade till privacy by design. Det har visat sig att organisationen som undersöktes till stora delar arbetar med privacy by design, men har ytterligare utmaningar att bemöta. Analys och diskussion av intervjuerna har resulterat i rekommendationer till organisationen angående hur de kan stärka upp sitt informationssäkerhetsarbete ytterligare. Dessutom har en frågeguide, som återfinns i bilagorna, tagits fram och denna kan användas av andra organisationer som önskar undersöka hur de ligger till i sitt arbete med GDPR:s krav på privacy by design. / The purpose of this work is to study the General Data Protection Regulation (GDPR) and what challenges and impact this regulation can have on both organization and systems. The focus of the work will be on the specific requirement “privacy by design” that is one part of GDPR. The GDPR will come into force on May 25, 2018. Since the GDPR is a new regulation, there has been little research on the subject yet. The research that has taken place in the field has mostly been in the field of law. This results in the subject being highly relevant for further studies, since this work will unravel new information. The purpose of the work is to investigate how GDPR, through its requirements, affects an organization and how to take into account the specific requirement of privacy by design. It will also be investigated which demands are made of technology and functions. By doing this, knowledge will come about if and how an organization prepares and what it takes to meet the requirements of the GDPR. Privacy by design is a philosophy of how built-in integrity can be used to protect and integrate the personal integrity of systems. It is based on seven principles that will be used to understand how integrity can be protected. But like all solutions there are challenges. These are the challenges that the work will investigate, and as a result give recommendations that hopefully can be used to get an overview of how an organization, is in phase with privacy by design, which is part of GDPR. Based on the organization's response, recommendations will be given for how the organization could further improve its work. The method used to support this work is of a qualitative nature and includes interviews with persons from an organization in the security industry that develop methods and software for information security work. The organization that has been investigated is in the pitfalls for ensuring GDPR and has conducted an initial analysis of the situation. The foundation of this study relies on four interviews, on which a content analysis was made. Through this analysis, a clear picture emerges of how the work with upcoming challenges can present itself, with the changes regarding the new law concerning privacy by design. In order to investigate this, an organisation that works with information security and software development has been scrutinized. As a part of the study, a questionnaire and a summary of the principles relevant to privacy by design, was developed. The conclusion was that the scrutinized organisation generally does work with privacy by design, but still has some challenges to face. The analysis and discussion of the interviews resulted in recommendations for the organization on how to further strengthen their work with information security. Furthermore, a questionnaire, which can be found in the appendix, has been developed, and can be used by other organizations wishing to examine their progress on the work with implementing the GDPR requirements regarding privacy by design.

The General Data Protection Regulation (GDPR) (2016/679) can be described as a comprehensive regulation that was adopted by the European Union (EU) with the purpose of regulating the protection of personal data in all EU member states. The regulation will take effect on May 25th 2018 and will apply to all organisations that process the personal data of  EU- citizens. This study will explore the implementation process of the General Data Protection Regulation (2016/679) through the lens of the phenomenon of Europeanization.  The context of the phenomenon for this study is that EU seeks to adapt the member states’ political and administrative institutions into a common judicial framework through the implementation of EU-law. However, this requires member states having the ability to adapt to the common framework. This study’s purpose is therefore to study a local municipality’s implementation process of the regulation to evaluate its ability adapting to EU- law. The study has been conducted through a case-study design where interviews have taken place with employed public officials who are in the process of planning the implementation process. Through the interviews that have been conducted and the documentation that has been available, material, informative, personal resources and preferences in the shape of objectives in the implementation process have been deducted through Lennart Lundquist’s model for analysis of an organisation’s capabilitites and priorities in the implementation process. In conclusion, resocurces have been extracted mainly to prepare for the implementation in the shape of educational measures and recruiting new employees with the intent of coordinating the process. Through local cooperation common resources have been extracted for judicial support and for the use of a common Data Protection Officer (DPO). It is difficult to estimate the municipality’s ability to adapt to EU- law due to the fact that the process is still in its initial stages, but since the municipality is still preparing to implement measures to increase and ensure safeguards of information, the municipality will not be able to reach the requirements as of May 25th 2018.

This report will be covering further development of the Realtime-Updated Dashboard made by two students for Flex Applications in VT2017. The task now is to integrate the Dashboard with Outlook calendar. A theoretical deepening into the General Data Protection Regulation was made due to recent development in the European Union. This was used to set strict guidelines for design, consent and security of the application.   The application is a back-end service written mostly in C#, however some TypeScript language was used with Angular 2 framework along with LESS and HTML5. The application is developed as a stand-alone project as the Realtime-Updated Dashboard is now live in the system and it would pose a security risk for Flex which was a great opportunity to study and learn more about ASP.NET MVC model along with TypeScript, Angular2, LESS and HTML5. Integrating with Outlook calendar was just the first step, more calendars will be added in time. The main point of the application is to give the Realtime-Updated Dashboard added value and prove/show integration with Outlook calendar was possible.

The General Data Protection Regulation (GDPR) is a key regulation that deals with the protection of personal data in the European Union. It will be enforced on May 25, 2018. The GDPR brings in significant changes compared to the previous Data Protection Directive 95/46/EC (DIR95). Therefore, the organizations that fall within the scope of the GDPR are required to make their information systems compliant. Due to the complexity of modern software and the magnitude of changes required for the successful adoption of the GDPR, adopting such requirements could be a challenging task. Various works have already been conducted in the past addressing different articles and principles of the GDPR. However, relatively new Legal Technology sector has not been the focus of the GDPR related research. The purpose of the thesis is to investigate how a Legal Technology organization is affected by the challenges of implementing GDPR related requirements into its information system. In order to address the aim of the study, a literature review was conducted, followed by a case study in Assently AB, a small-sized organization belonging to the Legal Technology industry. In order to gather detailed information about the challenges of implementing the GDPR in their information system, semi-structured interviews were conducted with the practitioners at Assently. The result of this study is a collection of challenges. This collection of challenges relates to understanding the regulation in order to implement it into information system, creating new tools and processes, reviewing existing tools and processes, human resource availability for the support, management and development of information system and facing possible customer-related issues. The study contributes to the GDPR and Legal Technology related research. Moreover, it can be used by the industry practitioners to prepare for the similar implementations in the future. Furthermore, it will be useful for the emerging Legal Technology organizations who may need to design their information systems in compliance with the GDPR.