No description available.

EU:s nya dataskyddsförordning, General Data Protection Regulation (GDPR) träder i kraft den 25 maj 2018 och ersätter den nuvarande personuppgiftslagen. Syftet med förordningen är att reglera och stärka skyddet vid all behandling av persondata. Bakgrunden till förordningen grundar sig i att EU behöver anpassa sig till den digitala och teknologiska utvecklingen som skett på marknaden, vilket medfört att mängden persondata som myndigheter och tjänsteleverantörer hanterar har ökat explosionsartat. Tjänsteleverantörer får flertalet fördelar genom att besitta en stor mängd persondata. De kan genom detta bevaka individens beteendemönster för att kunna anpassa sina internetsidor, rikta reklam som överensstämmer med individens intressen och förbättra den allmänna upplevelsen av den givna tjänsten. Med hjälp av persondata har aktörer på marknaden kunnat "låsa in" sina kunder, genom att tillämpa höga flyttaavgifter för persondata. Detta har varit en faktor som ansetts utgöra en hämmande effekt för den innovativa och konkurrensmässiga utvecklingen, vilket har resulterat i att konkurrensrätten kommer att behöva samspela med den nya dataskyddsförordningen gällande hanteringen av personuppgifter. Europeiska unionens nya dataskyddsförordning kommer att gälla för EU:s samtliga medlemsstater och ersätter helt personuppgiftslagen i Sverige. En förhoppning med den nya förordningen är att den ska gynna en ökad konkurrens på den europeiska marknaden, skapa goda förutsättningar för den innovativa utvecklingen och ge en större kontroll till personuppgiftsgivaren . Till följd av den nya dataskyddsförordningen tillkommer nya rättigheter och skyldigheter för både juridiska och fysiska personer. För att få en klarare bild av rättsläget, kommer denna uppsats att beskriva och problematisera den nya rätten till dataportabilitet och dess samspel med de andra artiklarna i dataskyddsförordningen.

Syftet med denna uppsats är att undersöka vilka nya krav som kan tänkas uppstå i och med det nya dataskyddsdirektivet, och hur uppfyllandet av dessa krav kan underlättas, i form av riktlinjer utformade för att säkerställa en systemutveckling i enlighet med de säkerhets- och integritetskrav som ställs i och med GDPR. De behov och kravområden som identifierats, har sedan kategoriserats och konkretiserats i form av riktlinjer som skall kunna användas då personuppgifter hanteras. För att belysa hur GDPR kan förändra kravbilden har främst “Privacy by Design”, kravspecificering, samt de allmänna juridiska förändringar GDPR kommer att innebära studerats. För att besvara uppsatsens syfte och frågeställningar har en studie baserad på främst semistrukturerade intervjuer utförts. Detta för att identifiera potentiella nya krav som kan tänkas uppstå i och med det nya dataskyddsdirektivet. Med avstamp i teorin, samt intervjuunderlaget har sex stycken kategorier tagits fram. Dessa är samtycke, Privacy by Design, rätten att bli meddelad om intrång, rätten att bli glömd, dataportabilitet samt rätten till åtkomst. Dessa kategorier har sedan legat till grund för de riktlinjer som utgör resultatet av detta arbete.

I samband med den nya dataskyddsförordningen för EU tillkommer ny lagstiftning kring hur verksamheter får behandla EU-medborgares personuppgifter. En av de stora nyheterna är dataportabilitetskravet som ställer krav på att verksamheter ska kunna överföra individers personuppgifter till individerna själva eller till andra personuppgiftsansvariga. Detta innebär omfattande utmaningar med verksamheters förmåga till interoperabilitet i förhållande till andra aktörer utifrån juridisk, organisatorisk, teknisk och semantisk interoperabilitet. Med dataportabilitetskravet hamnar interoperabilitet i fokus som en förutsättning förverksamheter att uppfylla dataskyddslagstiftningen. Mot bakgrund av detta studeras en offentlig organisation som berörs av dataskyddsreformen och kravet på dataportabilitet. I studien inryms en fördjupning av hur organisationen hanterar sina system och strukturer samt jobbar med standarder och samarbeten för att uppnå interoperabilitet i enlighet med dataportabilitet. Det studerade fallet bidrar med insikter för hur andra organisationer kan arbeta med liknande frågor som berör dataportabilitet och interoperabilitet. I studien framkommer det att fallorganisationen sedan tidigare arbetar med interoperabilitetsfrågor. Detta är på grund av egenuppmärksammade behov inom verksamheten och inte enbart av lagkravet från dataskyddsförordningen på dataportabilitet. Med hänsyn till dataskyddsförordningen pågår för närvarande interna analyser kring vilka åtgärder som behöver vidtas där dataportabilitet är ett av dessa områden. Organisationen ser utmaningar främst rörande tolkningen av de nya lagkraven, organisatorisk interoperabilitet och semantisk. Arbetet för att kunna uppfylla kravet pågår, och man följer de rekommendationer som ges från rådgivande organisationer, både från EU och nationellt. Studiens kunskapsbidrag bidrar till ökad förståelse för vilken relevans som interoperabilitet har för dataportabilitet kontextualiserat till den nya dataskyddsförordningen. Studien visar relevansen av hur gemensamma spelregler mellan olika parter i form av gemensam juridik bidrar till förbättrade förutsättningar att nå interoperabilitet på även de andra nivåerna: organisatoriskt, tekniskt och semantiskt, vilket utifrån vad studien visar är avgörande för möjligheten till dataportabilitet. Studien bidrar därtill med en användbar konceptuell modell för att utvärdera interoperabilitet som en förutsättning för dataportabilitet för organisationer. / In the context of the new General Data Protection Regulation (GDPR) within EU, new legislation is added upon how organizations are permitted to process EU citizens’ personal data. One of the changes is the right to data portability which sets the requirements that organizations must be able to transfer subjects’ personal data to the subject itself or to other data controllers. This implicates comprehensive challenges for organizations’ capacity to reach interoperability in relation to other actors’ based on juridical, organizational, technical and semantic interoperability. In light of the requirement of data portability, interoperability comes into focus as a condition for organizations to comply with the GDPR regulation. In consideration of this background, a public organization that is affected by the data protection reform and the data portability requirement is being studied. In the study, a deepening is made on how the organization manage their systems and structures as well as working with standards and co-operations to reach interoperability in accordance with data portability. The studied case contributes with insights on how organizations can work with similar issues that consider data portability and interoperability. In the study it is clear that the case organization is already working with interoperability issues. This as a result of the organizations own attention of related issues and not only as an effect due to the new data protection regulation and its requirement of data portability. In effect of the data protection regulation, an ongoing analysis is made within the case organization to investigate which actions are needed, where the right to data portability is one of the areas to deal with. The organization identify challenges mainly within the interpretation of the GDPR, organizational and semantic interoperability. The work on how to comply with the requirements is in progress, and the organization follow the recommendations which are given by advising organizations both within EU and on national level. The contribution of the study is deepening knowledge on the relevance of interoperability as a condition to achieve data portability contextualized by the GDPR. Our study shows the relevance of how common rules between different actors in the form of common legislation contributes to improved prerequisites to reach interoperability on all four levels, namely, organizational, juridical, technical and semantic interoperability, which from what our study show is crucial for data portability. The study also contributes with a useful conceptual model to evaluate interoperability as a prerequisite to achieve data portability for organizations.

Molntjänster erbjuder skalbara IT-resurser på begäran över internet, där molntjänstanvändaren endast betalar efter förbrukning. Dessa resurser kan variera mellan allt från processorkraft till lagring (Amazon, 2019). Digitaliseringen av samhället har bidragit till en ökad efterfrågan på innovativa lösningar. Detta har resulterat i att molntjänster har ökat i popularitet inom offentlig sektor, exempelvis inom kommunal verksamhet där trenden pekar på att efterfrågan på molntjänster samt användning av molnlösningar fortsätter att öka. När offentliga aktörer väljer att implementera molntjänster så är det viktigt att den information som hanteras av en molntjänst bibehåller en hög nivå av informationssäkerhet (Hellberg, Islam, & Karlsson, 2018). Viktiga aspekter som kommunal verksamhet bör beakta är funktionalitet och juridiska krav. Förutom dessa aspekter så bör molntjänstkunder även ställa tydliga krav på de tekniska utmaningar som existerar för att kunna säkerställa att lösningen som tillhandahålls uppfyller verksamhetens kriterier rörande interoperabilitet och dataportabilitet.  Denna studie har till syfte att utveckla en checklista som kan användas vid upphandling av molntjänster inom kommunal verksamhet. Studien ämnar även till att analysera det eventuella gap som existerar mellan leverantör och köpare. Studien utförs genom att använda en kvalitativ metod. Genom kvalitativa intervjuer med representanter från ett urval av IT-avdelningar från kommuner inom Västra Götalands län och representanter från molntjänstleverantörer, samlas information in som sedan analyseras och används för att utveckla en checklista som kan användas vid upphandling av molntjänster inom kommunal verksamhet. Befintlig bakgrundslitteratur har även beaktats och analyserats under studien. Resultatet visar att samtliga kommuner involverade i studien använder sig av upphandlade molntjänster i någon utsträckning och är dagsläget i behov av de positiva egenskaper som molntjänster bidrar med till verksamheten. Resultatet visar även att det finns ett visst gap mellan leverantör och kommunal verksamhet när det kommer till vad som anses vara tydlig kravställning på interoperabilitet. / Cloud services offer scalable IT resources on demand over the Internet, where the cloud service user only pays for consumption. These resources can vary between everything from processing power to storage (Amazon, 2019). The digitization of society has contributed to an increased demand for innovative solutions. This has resulted in cloud services increasing in popularity in the public sector for example in municipal activities where the trend indicates that demand for cloud services and the use of cloud solutions continue to increase. When public actors choose to implement cloud services, it is important that the information handled by a cloud service maintains a high level of information security (Hellberg, Islam, & Karlsson, 2018). Important aspects that municipal activities should consider are functionality and legal requirements. In addition to these aspects, cloud service customers should also set clear requirements for the technical challenges that exist in order to ensure that the solution provided meets the operational criteria for interoperability and data portability. The purpose of this study is to develop a checklist that can be used in the procurement of cloud services within municipal activities. The study also aims to analyze the possible gap that exists between the supplier and the buyer. The study is performed using a qualitative method. Through qualitative interviews with representatives from a selection of IT departments from municipalities within the county of Västra Götaland, information is collected then analyzed and used to develop a checklist that can be used in procurement of cloud services within municipal activities. Existing background literature has also been considered and analyzed during the study. The result shows that all municipalities involved in the study make use of procured cloud services to some extent and are currently in need of the positive properties that cloud services contribute to the business. The result also shows that there is a certain gap between supplier and municipal activity when it comes to what is considered to be clear requirements regarding interoperability.

I dagsläget har en individ väldigt lite kontroll över den persondata som samlas in och hur den används och vem som hanterar den. Detta vill EU ändra på med den nya dataskyddsförordningen General Data Protection Regulation (GDPR) som träder i kraft nästa år. De nya reglerna innefattar en större kontroll för individen över den data som har samlats av företag. Förordningen tvingar företag att strukturera om sina system så de är förenliga med GDPR. Då höga bötesbelopp kan drabba de företag som inte följer reglerna blir alla de som hanterar personuppgifter tvungna att se över sina processer över hanteringen. Uppsatsen har som syfte att undersöka hur väl förberedda svenska medelstora till stora företag är ett år innan införandet av GDPR och hur de arbetar med förändringarna ur ett tekniskt perspektiv, ett organisatoriskt perspektiv samt ur ett juridiskt perspektiv. Med ett teoretiskt fundament som grund genomfördes intervjuer på tre olika företag som hanterar personuppgifter i sina system, både som personuppgiftsansvariga och som personuppgiftsbiträden. Resultatet av studien användes för att designa en utvärderingsmodell som företag kan använda ett år efter införandet av GDPR. Utvärderingen kommer att skapa en överblick på hur väl övergången har gått och om det finns några områden som behöver ytterligare arbete. De slutsatser som drogs var att det fanns en del frågetecken gällande hur de tekniska lösningarna skulle se ut för att vara i linje med GDPR, de juridiska frågorna hanterades till stor del med hjälp av biträdesavtal mellan personuppgiftsansvariga, personuppgiftsbiträden och tredje part. Ur ett organisatoriskt perspektiv var det utbildning av personal och kunskap om GDPR och de ändringar i arbetssätt som detta medför. / At present an individual has very little control over the personal data collected, how it is used and who manages it. This is something the EU wants to change with the new General Data Protection Regulation (GDPR), which will come into force next year. The new regulation includes greater control for the individual regarding the data collected by companies. The Regulation forces companies to restructure their systems so that they are compliant with GDPR. Since high sanctions may affect those companies that do not comply with the rules, all those who handle personal data will have to review the processes that relate to the handling of personal data. The aim of this thesis is to investigate how well prepared Swedish medium to large sized companies are one year before the introduction of GDPR. The thesis focuses on how companies work with the changes from a technical perspective, an organizational perspective and from a legal perspective. With a theoretical foundation as a basis, interviews were conducted on three different companies that handle personal data, both as data controller and as data processor. The result of the study was used to design an evaluation model that companies can use one year after the introduction of GDPR. The evaluation will provide an overview of how well the transition has been and if there are any areas that need further work. There were some uncertainties regarding how the technical solutions would need to be designed and implemented to help the company being compliant with GDPR. The legal issues were largely handled through processing agreements between data controllers, data processors and third parties. The organizational perspective meant training of staff and questions regarding how to raise awareness about GDPR and the changes in working practices.