<p>I Datainspektionens rapporter 2003:3 och 2005:3 har myndigheten granskat hur personuppgifter behandlas i samband med arbetsgivares övervakning av anställda. Resultaten av dessa rapporter har visat på förekommande brister i förhållande till personuppgiftslagen i många av de granskade verksamheterna.</p><p>Mot denna bakgrund har en fallstudie av ett medelstort callcenterföretag genomförts för att ur ett tekniskt perspektiv undersöka hur väl personuppgiftslagen följs i samband med företagets övervakning av sin personal. Utifrån brister identifierade i fallstudien har en mindre kartläggning av liknande företag genomförts i ett försök att mäta graden av generaliserbarhet i de identifierade bristerna.</p><p>De brister som har identifierats i fallstudien rör i första hand otillfredsställande rutiner för gallring av personuppgifter vid e-postövervakning samt avsaknad av information till de anställda om vilka kontroller som sker i samband med detta. Behov av en uppdatering av företagets IT-policy samt ett behov av en övervakningslösning för personalens internetanvändande kunde också noteras.</p><p>Kartläggningen har givit antydningar om att liknande brister vad gäller rutiner för gallring samt bristande information kan tänkas förekomma även hos andra medelstora callcenterföretag.</p><p>Slutsatsen av arbetet är att flera av de brister som uppdagades av Datainspektionen för fem år sedan tycks göra sig gällande bland vissa medelstora callcenterföretag även idag.</p> / <p>In the 2003:3 and 2005:3 reports issued by the Swedish Data Inspection Board, the authority examined the treatment of personal data related to employer surveillance of employees. The reports indicated flaws occurring in regard to the Personal Data Act in several of the examined businesses.</p><p>In reference to this, a case study of a mid-sized call center was conducted to examine, from a technical point of view, the degree of compliance with the Personal Data Act regarding the company's surveillance of its employees. Based upon flaws found in the case study, a minor survey of similar companies was conducted in an attempt to measure the degree of generalizability of the identified flaws.</p><p>The flaws identified in the case study are mainly related to unsatisfactory routines for sorting out personal data during e-mail surveillance and lack of information given to employees about the conducting of checks related to this. A need to update the company's corporate IT policy and a need for a web surveillance solution were also noted.</p><p>The survey has indicated that similar flaws regarding screening routines and lack of information also might occur at other mid-sized call center companies.</p><p>The conclusion of the study is that several of the flaws the Swedish Data Inspection Board discovered five years ago still seem to be applicable among some mid-sized call center companies.</p>

Abstrakt Syftet med denna uppsats var att ta reda på hur GDPR kan påverka Sverige ochorganisationer som är verksamma här. GDPR är den nya stora förordningen som kommerträda i kraft den 25:e maj och alla organisationer är mitt uppe i, eller i slutskedet av arbetetmed anpassningarna. Då det inte tidigare finns mycket forskning eller uppsatser kringämnet kommer denna uppsats fokusera på utmaningarna inom implementeringen medGDPR samt att den kommer försöka besvara hur GDPR kan påverka Sverige. Det utkom 16propositioner på lagändringar som alla på sitt sätt kommer påverka privatpersoner ochorganisationer som befinner sig i Sverige.För att göra det möjligt att besvara dessa frågor kommer denna uppsats delvis utförasgenom en analys av lagtext och propositionerna. Den stora delen i denna rapport handlarom utmaningarna och för att få en bredare bild har fyra olika företag från olika delar avnäringslivet intervjuats. McDonalds, Högskolan i Halmstad, Halmstad Studentkår och DHSolutions har alla bidragit och utgör en stor del av resultatet.För att då gå vidare till resultatet och även slutsatsen har denna uppsats kommit fram tillatt GDPR’s påverkan på Sverige kommer att till en början inte vara positiv, mycketoklarheter finns och många utmaningar. De största utmaningarna som identifierats ärinventering, kommunikation till anställda och partners och till sist fullständig anpassninginom tidsramen. GDPR är en stor omställning och en omfattande lag men uppfattningen äratt i det långa loppet kommer den få en positiv påverkan på Sverige och speciellt föruppgiftslämnare. Det är tydligt att regeringen är redo och tar de steg som krävs för att, medkompletterande lagar, göra övergången. / Abstract The purpose of this paper was to find out how GDPR can affect Sweden and organizations that operate here. GDPR is the new major regulation that will come into force on 25th of May and all organizations are in the process of, or at the final stage of the adjustments. As there is no such research or essay on the subject before, this paper will focus on the challenges of implementation with GDPR and will try to answer how GDPR can affect Sweden. There were 16 government bills of legislative changes that all will affect private individuals and organizations located in Sweden. In order to make it possible to answer these questions, this essay will be partly done through an analysis of the legal texts and the government bills. The major part of this report is about the challenges and in order to get as wide a aspect as possible, four different companies from different parts of the business community have been interviewed. McDonalds, Halmstad University, Halmstad Student Union and DH Solutions have all contributed and form a major part of the result. In order to move on to the result and also to the conclusion, this paper has revealed that the effect GDPR will have on Sweden will initially not be so positive, there are many ambiguities and many challenges. The biggest challenges identified are inventory, communication to employees and partners and finally complete adjustment within the timeframe. GDPR is a major adaptation and extensive law but the perception is that in the long run it will have a positive impact on Sweden and especially for personal record providers. It is clear that the government is ready and takes the necessary steps required to, with complementary laws, make the transition as smooth as possible.

I Datainspektionens rapporter 2003:3 och 2005:3 har myndigheten granskat hur personuppgifter behandlas i samband med arbetsgivares övervakning av anställda. Resultaten av dessa rapporter har visat på förekommande brister i förhållande till personuppgiftslagen i många av de granskade verksamheterna. Mot denna bakgrund har en fallstudie av ett medelstort callcenterföretag genomförts för att ur ett tekniskt perspektiv undersöka hur väl personuppgiftslagen följs i samband med företagets övervakning av sin personal. Utifrån brister identifierade i fallstudien har en mindre kartläggning av liknande företag genomförts i ett försök att mäta graden av generaliserbarhet i de identifierade bristerna. De brister som har identifierats i fallstudien rör i första hand otillfredsställande rutiner för gallring av personuppgifter vid e-postövervakning samt avsaknad av information till de anställda om vilka kontroller som sker i samband med detta. Behov av en uppdatering av företagets IT-policy samt ett behov av en övervakningslösning för personalens internetanvändande kunde också noteras. Kartläggningen har givit antydningar om att liknande brister vad gäller rutiner för gallring samt bristande information kan tänkas förekomma även hos andra medelstora callcenterföretag. Slutsatsen av arbetet är att flera av de brister som uppdagades av Datainspektionen för fem år sedan tycks göra sig gällande bland vissa medelstora callcenterföretag även idag. / In the 2003:3 and 2005:3 reports issued by the Swedish Data Inspection Board, the authority examined the treatment of personal data related to employer surveillance of employees. The reports indicated flaws occurring in regard to the Personal Data Act in several of the examined businesses. In reference to this, a case study of a mid-sized call center was conducted to examine, from a technical point of view, the degree of compliance with the Personal Data Act regarding the company's surveillance of its employees. Based upon flaws found in the case study, a minor survey of similar companies was conducted in an attempt to measure the degree of generalizability of the identified flaws. The flaws identified in the case study are mainly related to unsatisfactory routines for sorting out personal data during e-mail surveillance and lack of information given to employees about the conducting of checks related to this. A need to update the company's corporate IT policy and a need for a web surveillance solution were also noted. The survey has indicated that similar flaws regarding screening routines and lack of information also might occur at other mid-sized call center companies. The conclusion of the study is that several of the flaws the Swedish Data Inspection Board discovered five years ago still seem to be applicable among some mid-sized call center companies.

Uppsatsen handlar om försäkringsbarheten för administrativa sanktionsavgifter (GDPR-sanktioner) som utfärdats till följd av en överträdelse av bestämmelserna i dataskyddsförordningen. Syftet med uppsatsen har varit att utreda om det enligt svensk rätt är möjligt att försäkra sådana avgifter. I uppsatsen redogörs för relevanta bestämmelser i det försäkringsavtalsrättsliga regelverket (FAL) och det försäkringsrörelserättsliga regelverket (FRL). Bland de bestämmelser som uppsatsen särskilt behandlar återfinns bestämmelserna om lagligt intresse i 6 kap. 1 § FAL och god försäkringsstandard i 4 kap. 3 § FRL.

In Sweden, camera surveillance in places where the public own access is regulated by a permit. This entails a lack of permit requirement for camera surveillance in places where the public does not own access. Such places can consist of a privacy-sensitive character. Surveillance constitutes processing of personal data whereupon the General Data Protection Regulation (GDPR) must be complied with.  Article 6 of the GDPR stipulates various legal bases that must be met in the processing of personal data. The ones who conduct surveillance in places where the public does not own access often fails to make correct legal assessments of Article 6(1)(e) and 6(1)(f) of the GDPR, as displayed by various supervisory decisions issued by the Swedish Authority for Privacy Protection. In this light, the purpose of the thesis is to examine and analyze how the ones who conduct surveillance and the Swedish Authority for Privacy Protection consider the personal integrity of the camera monitored individual in the assessments of Article 6(1)(e) and 6(1)(f) of the GDPR during camera surveillance without permit requirement in places where the public does not own access. Because of the differences between the legal assessments made by the ones who conduct camera surveillance and the Swedish Authority for Privacy Protection, the thesis also intends to shed light on the consequences that arise for the camera monitored individual by the fact that their personal integrity is assessed in different ways. The thesis also aims to evaluate the Swedish Authority for Privacy Protections’ supervisory work in relation to both personal integrity and the compliance with Article 6(1)(e) and 6(1)(f) of the GDPR during camera surveillance without permit requirement in places where the public does not own access. The Swedish Authority for Privacy Protections’ supervisory work is important as most of the camera surveillance takes place without a permit requirement and the fact that there is a lack of knowledge prevailing to the number of cameras in use. It is important that the Swedish Authority for Privacy Protections’ supervisory work is well-functioning since the ones who conduct surveillance carry out the legal assessments incorrectly. The risk with insufficient supervisory work is that personal integrity is violated and that the GDPR is ineffectual in the long run. In general, it can be said that the legal assessments of Article 6(1)(e) and 6(1)(f) of the GDPR are poorly carried out by both the ones who conduct surveillance and the Swedish Authority for Privacy Protection. This primarily affects the camera monitored individuals’ personal integrity. Because of the indications of shortcomings in the supervisory work, there are several improvement measures that can be taken to maintain personal integrity and ensure that the Swedish Authority for Privacy Protection continue to constitute an important function.