Läsare till denna studie får ta del av en undersökning där sociala medieföretagen Facebook och Snapchat står i fokus. Syftet för denna studie var att undersöka användare av Facebook och Snapchats attityder gällande hanteringen av personlig integritet/säkerhet, transparens och tillit. För att möjliggöra denna studie valdes en avgränsning där svensktalande användare av Facebook och Snapchat mellan 18-30 år medverkade. Dessa respondenter besvarade ett frågeformulär, som publicerades online i olika sociala forum och grupper. Detta skedde på grund av att urvalet av respondenter skulle bli så stort och spritt som möjligt, oavsett geografiskt läge och tid på dygnet. Frågeformuläret baserades på vetenskapliga teorier för att stärka frågornas relevansen för studiens syfte och frågeställning. Frågorna utformades för att täcka faktorerna personlig integritet/säkerhet, transparens och tillit gällande Facebook och Snapchat. Efter att 210 respondenter besvarat frågeformuläret sammanställdes den insamlade datan och en analys genomfördes, med en jämförelse av det valda teoretiska ramverket. Analys och resultat lade sedan grund för att föra en diskussion där respondenternas attityderna gällande personlig integritet/säkerhet, transparens och tillit. Efter diskussionen kunde slutsatser dras som presenterar studiens följd av insamlad data. Denna studie är skriven på svenska och har utgått från en kvantitativ metod med ett deduktivt tillvägagångssätt. Studien gynnar läsare som vill ta del av användares attityder om Facebook och Snapchat behandling av personuppgifter. / In this study, readers can take part in an examination of the social media companies Facebook and Snapchat. The purpose of this study was to explore user attitudes regarding privacy, transparency and trust in how Facebook and Snapchat process and treat personal data. In order to perform this study, a delimitation of survey participants in the data collection was made to Swedish speaking users of Facebook and Snapchat, between the ages of 18-30.These respondents answered a survey that was published in various social forums and groups, a decision that was made to enable a broad and varied group of respondents that could answer the survey regardless of geographical location and time. The survey was based on scientific theories in order to supply relevant questions that would fulfill the purpose of the study and lead to an answer of the phrased research question. Questions were designed to cover the factors of privacy, transparency and trust concerning Facebook and Snapchat, as well as the general knowledge of GDPR. After receiving survey-answers from 210 respondents, all collected data was compiled and an analysis of the results was made through a comparison of all empirically gathered data and previous scientific research. Onwards, the analysis and result laid a foundation for a discussion of respondents GDPR knowledge and attitudes towards privacy, transparency and trust. When the discussion was completed, conclusions were made based on the collected data. This study is written in the Swedish language and is based on quantitative methods with a deductive approach. The study is favorable for readers that wish to take part in the knowledge and attitudes of social media users regarding how Facebook and Snapchat process and treat personal data.

Problemet man stöter på när man utvecklar plattformar för tredjepartsapplikationer är att det finns en ny lag som ställer hårda krav för hur man ska göra. GDPR är fortfarande så pass nytt att många företag inte har kunskap om hur man ska förhålla sig till lagen eller hur den påverkar projektet. Vi har intervjuat tre olika informanter och analyserat en dom som föll mot ett tidigare projekt för att upplysa de olika problem som kan uppstå samt för att skapa en förståelse för hur man bör förändra utförandet av utvecklingsprojekt i företag. Informanterna som användes har samtliga haft olika professioner för att skapa en så bred problembild som möjligt. Detta bidrog också till att informanterna fick bemöta andras informanters problem. I studien nämns Sigma Technology som fallföretag eftersom ett av deras projekt, Front-VL, användes som referenspunkt. I slutet av studien ges förslag på vad Sigma behöver göra för att kunna uppnå de lagar och krav som ställs i och med GDPR. Studien visar att man i ett tidigt stadie behöver analysera och kartlägga för hur GDPR ska hanteras i projektet och se lagen som ett ramverk att förhålla sig mot samt att öka kunskapen om lagen hos utvecklare.

The EU has recently proposed a new directive called PSD2, which requires banks to define APIs to the systems, allowing third party providers to write financial applications and access customers’ data inside the banks, with the permission of the customer. PSD2 becomes effective on 18th of January 2018 and is expected to open up the market and remove the monopoly and ownership of customers from banks. As it is a directive, all countries inside the EU and countries covered by the European economic area such as Norway,Switzerland, Liechtenstein and Iceland are affected. The business opportunity, which arises due to the directive, is an opportunity to find a way to be able to take the initiative and possibly monetize from the caused situation.The report presents a qualitative approach to develop a proof of concept with the purpose to display how an actor can create a solution that acts as a source of information and performs analysis to come up with valuable insights of consumers’ behaviour. The insights gained from this master thesis, open up new paths for innovation and competition on the market between actors providing similar services. / EU har nyligen publicerat ett nytt direktiv vid namn PSD2, som kräver att banker definierar ett API for deras system, ett API som ger tredjepartsutvecklar möjligheter att skapa finansiella applikationer och får tillgång till kunders information innuti bankens system, med kundes tillstånd. PSD2 träder i kraft från och med 18:e Januari 2018 och förväntas att öppna upp marknaden och upplösa det monopol och ägarskap banker har på sina kunder idag. I och med att det är ett direktiv, påverkar det alla länder inom EU och länder inom EUs ekonomiska gränser, så som Norge, Schweiz, Liechtenstein och Island. Affärsmöjligheten somöppnas på grund av direktivet, är en möjlighet att ta innitiativ och förhoppningsvis monetärisera från situationen.Rapporten presenterar en kvalitativ tillvägagång för att utveckla ett ”proof of concept”, med målet att visa hur en aktör kan skapa en lösning som agerar som källa för information och gör analyser på denna källa för att komma fram till värdefulla insikter om kunders beteende. Rapporten öppnar upp för nya vägar för innovation och konkurrans på marknaden mellan aktörer som tillhandahåller liknande tjänster.

Information security incident management is important for organizations and its importance is increasing. Information security incidents are increasing both in number and in scope and in 2018 GDPR and the NIS-directive require organizations to report incidents to a supervision authority. This study highlights IT-consulting companies and their vulnerable position as subcontractors. The study aims to address the lack of empirical research in incident management and to inform future theory development. The goal of the study is to answer the research questions (1) what challenges do IT-consultancy companies experience with their incident management? (2) What challenges are specifically related to the GDPR and the NIS-directive? And (3) what challenges are specific for consulting companies? Challenges with the incident management are identified and clarified by qualitative interviews with experts and a survey. The analysis of the results shows that some of the challenges are consistent with previous studies, while some are new and that the survey partly support the experts' opinions. The conclusion of the study is that the majority of the companies’ improvement opportunities are linked to internal and external communication, cost focus, absence of a major incident, awareness, GDPR, the role of consulting company and internationally recognized difficult activities. The research contribution of the study consists of identified challenges in the field of incident management derived from IT-consultancy companies. The result of the study are recommended to IT-consultancy companies that would like to improve their incident management process by gaining an understanding of incident management issues. / En väl fungerande process för incidenthantering är och blir allt viktigare för organisationer. Informationssäkerhetsincidenter ökar både i antal och i omfattning och 2018 träder GDPR och NIS-direktivet i kraft med krav på rapportering av utpekade incidenter till en tillsynsmyndighet. Denna studie belyser IT-konsultbolag och deras utsatta position som underleverantör och syftar till att adressera bristen av empirisk forskning inom incidenthantering och att bidra till en framtida teoriutveckling. Målet med studien är att besvara forskningsfrågorna (1) vilka utmaningar upplever IT-konsultbolag med deras incidenthantering? (2) vilka utmaningar är specifikt relaterade till GDPR och NIS-direktivet? och (3) vilka utmaningar och är specifika för just konsultbolag? Resultatet bygger på kvalitativa intervjuer med experter och en enkätundersökning och resultatet identifierar och tydliggör upplevda utmaningar med bolagens incidenthantering. Analysen av resultatet visar att vissa av bolagens utmaningar överensstämmer med tidigare studier medan vissa är nya och att enkätundersökningen till viss del stödjer experternas utlåtanden. Slutsatsen av studien är att bolagen har flertalet utvecklings- och förbättringsmöjligheter som är kopplade till intern och extern kommunikation, kostnadsfokus, avsaknad av en större incident, medvetenhet, GDPR, rollen som konsultbolag och internationellt erkända svåra aktiviteter. Studiens forskningsbidrag består av identifierade utmaningar inom området incidenthantering hos IT-konsultbolag och resultatet av studien rekommenderas till IT-konsultbolag som, genom att få en förståelse av incidenthanteringens problematik, vill förbättra och utveckla sin process för hantering av incidenter.

The European Union has introduced a new General Data Protection Regulation that regulates all aspects of privacy and data protection for the data of European citizens. To transition to the new rules, companies and public institutions were given two years to adapt their systems and controls. Due to the large area of changes the GDPR requires, many companies are facing severe problems to adapt the rules to be ready for enforcement. This marks the purpose of this study which is to look into compliance practices in the implementation of GDPR requirements. This includes a prospect of compliance mechanisms that may remain insufficiently addressed when the regulation comes into force on May 25, 2018. The study is conducted in Sweden and aims to investigate the situation in corporations and not in public institutions. Mixed methods have been applied by surveying and interviewing Swedish GDPR experts and consultants to gain an understanding of their view by using capability maturity scales to assess a variety of security processes and controls. The analysis shows a low implementation in GDPR requirements while having seen improvements over the past two years of transition. It points out that a holistic strategy towards compliance is mostly missing and many companies face obstacles that are difficult to overcome in a short period. This may result in non-compliance in many Swedish corporations after the regulation comes into force on May 25.

I dagsläget har en individ väldigt lite kontroll över den persondata som samlas in och hur den används och vem som hanterar den. Detta vill EU ändra på med den nya dataskyddsförordningen General Data Protection Regulation (GDPR) som träder i kraft nästa år. De nya reglerna innefattar en större kontroll för individen över den data som har samlats av företag. Förordningen tvingar företag att strukturera om sina system så de är förenliga med GDPR. Då höga bötesbelopp kan drabba de företag som inte följer reglerna blir alla de som hanterar personuppgifter tvungna att se över sina processer över hanteringen. Uppsatsen har som syfte att undersöka hur väl förberedda svenska medelstora till stora företag är ett år innan införandet av GDPR och hur de arbetar med förändringarna ur ett tekniskt perspektiv, ett organisatoriskt perspektiv samt ur ett juridiskt perspektiv. Med ett teoretiskt fundament som grund genomfördes intervjuer på tre olika företag som hanterar personuppgifter i sina system, både som personuppgiftsansvariga och som personuppgiftsbiträden. Resultatet av studien användes för att designa en utvärderingsmodell som företag kan använda ett år efter införandet av GDPR. Utvärderingen kommer att skapa en överblick på hur väl övergången har gått och om det finns några områden som behöver ytterligare arbete. De slutsatser som drogs var att det fanns en del frågetecken gällande hur de tekniska lösningarna skulle se ut för att vara i linje med GDPR, de juridiska frågorna hanterades till stor del med hjälp av biträdesavtal mellan personuppgiftsansvariga, personuppgiftsbiträden och tredje part. Ur ett organisatoriskt perspektiv var det utbildning av personal och kunskap om GDPR och de ändringar i arbetssätt som detta medför. / At present an individual has very little control over the personal data collected, how it is used and who manages it. This is something the EU wants to change with the new General Data Protection Regulation (GDPR), which will come into force next year. The new regulation includes greater control for the individual regarding the data collected by companies. The Regulation forces companies to restructure their systems so that they are compliant with GDPR. Since high sanctions may affect those companies that do not comply with the rules, all those who handle personal data will have to review the processes that relate to the handling of personal data. The aim of this thesis is to investigate how well prepared Swedish medium to large sized companies are one year before the introduction of GDPR. The thesis focuses on how companies work with the changes from a technical perspective, an organizational perspective and from a legal perspective. With a theoretical foundation as a basis, interviews were conducted on three different companies that handle personal data, both as data controller and as data processor. The result of the study was used to design an evaluation model that companies can use one year after the introduction of GDPR. The evaluation will provide an overview of how well the transition has been and if there are any areas that need further work. There were some uncertainties regarding how the technical solutions would need to be designed and implemented to help the company being compliant with GDPR. The legal issues were largely handled through processing agreements between data controllers, data processors and third parties. The organizational perspective meant training of staff and questions regarding how to raise awareness about GDPR and the changes in working practices.

On May 25 2018, the General Data Protection Regulation from EU was introduced, which aims to protect individual fundamental rights and freedoms, in particular their right to protection of personal data. The data protection regulation replaces the EU's previous data protection directive and will help prevent the flow of data within the Union being hindered, as the data protection ordinance will apply to all members of EU. This case study aims to gaining an understanding of how different organisations’ risk management against the data protection regulation looks, and whether it will lead to compliance or not. Four Swedish organisations have been studied, presented, and then analysed based on a theoretical framework, designed after the different parts of a general risk management process. The study is of qualitative form and data have been collected through both semi structured and structured interviews. The data protection regulation was not yet implemented during the course of this study, and it was during this time that all parts were designed and the information was collected. The study concludes that the organizations will not be completely compliant against the data protection regulation, which has a number of reasons: They do not take the regulation seriously, they are wrongly doing the change which lengthens the processes, and they delay their compliance due to greater economic profit. / Den 25 maj 2018 infördes EU:s dataskyddsförordning General Data Protection Regulation, som syftar till att skydda enskildas grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Dataskyddsförordningen ersatte EU:s tidigare dataskyddsdirektiv, och kommer bidra till att flödet av uppgifter inom unionen inte hindras på grund av att olika länder har olika lagar gällande dataskydd och personuppgifter, då dataskyddsförordningen kommer tillämpas alla medlemsstater inom EU. Syftet med denna studie är att ge en ökad förståelse kring hur olika organisationers riskbedömning gentemot dataskyddsförordningen ser ut, och om den kommer leda till att dataskyddsförordningen efterföljs eller ej. Fyra svenska organisationer har studerats, redovisats och sedan analyserats utifrån ett teoretiskt ramverk utformat efter en generell riskbedömnings olika delar. Studien är av kvalitativ form och data har samlats in genom både semistrukturerade och strukturerade intervjuer. Dataskyddsförordningen var inte implementerad under studiens gång, och det var under denna tid som samtliga delar utformades och informationen samlades in. Studien kommer fram till att organisationerna inte kommer vara helt lagenliga gentemot dataskyddsförordningens införande, vilket beror på flera olika anledningar: Förordningen tas inte på fullt allvar, förändringsarbetet görs på fel sätt vilket förlänger processen och efterlevnaden skjuts upp på grund av ekonomiska skäl.

The term cookie regarding IT is still a relatively new term. It is rarely discussed among internet users. The name cookie is fairly known but the concept not as much. Cookies are well established by different companies and organizations that in some way offer online services. Today visitors of the internet meet cookies almost every time they go online. For the users who choose not to accept cookies the online experience becomes highly limited. Cookies store information of the visitors in order to improve their experience but also to help the organization. The majority of webpages online that uses electronic commerce or in any way can benefit from storing the customers information uses cookies. Cookies can be sold or exchanged between organizations to increase their profit and range. In 2011 a provision regarding all organizations using cookies were implemented. Every internet user visiting these pages had to be notified about their use of cookies immediately. New laws are established in order to control or regulate the exertion of other people’s personal information at the same pace as cookies are further developed. The next law to be established is GDPR, General Data Protection Regulation, which will be focused on in this thesis. The purpose of this study is to explore the phenomenon of cookie-use and how it affects internet users and organizations in synergy with the GDPR-law. To achieve the desired result a mixed method has been applied involving both interviews and a survey. The interviews consisted of pre-determined questions and dynamic follow-up questions. Three different organizations participated in the interviews, an university, an organization using e-business and a media agency. The survey consisted of a few mandatory closed questions. The distribution of the survey led to right above 130 respondents. The gained results from the use of a quantitative methods hinted that barely half of the respondents knew what a cookie actually was. Several of the participants were curious about learning more about the phenomenon while a lower percentage did not consider it important. Knowledge or ignorance regarding cookies turned out to have a great impact on the respondent’s comfortableness and behavior online. The results from the qualitative method showed that the organizations working with cookies will be affected by GDPR. Following thesis will contribute to the field of informatics by consequently process the empiric data collected with support from theoretic competences. It will contribute as a source of information regarding cookies within information technology. / Termen cookie är fortfarande en relativt ny term och är inte särskilt debatterad bland internetanvändare. Begreppet cookie är någorlunda känt men innebörden inte lika så. Cookies är väl etablerat av olika företag och organisationer som på något sätt använder sig av internet. Idag stöter användare på cookies nästan överallt när de rör sig på internet. För den som bestämmer sig för att avstå från allt som har med cookies att göra blir internet vistelsen mycket begränsad. Cookies arbetar för att lagra information om besökarna dels för att gynna besökarnas vistelse men även för att hjälpa företagen. Majoriteten av alla hemsidor som idag använder sig av e-handel samt kan gynnas av att kundens data sparas använder sig av cookies. Cookies kan även säljas eller utbytas mellan företag och organisationer för att öka deras försäljning och vidd. År 2011 implementerades en bestämmelse gällande alla företag och organisationer som då använde sig av cookies. Alla besökare skulle upplysas om att just de använde cookies när de besöker deras hemsida. Nya lagar etableras för att kunna kontrollera och reglera användandet av besökares personliga information online i takt med att användandet av cookie utvecklas. Den nästkommande lagen att implementeras är GDRP, General Data Protection Regulation, som kommer att ha stort fokus i denna uppsats. Syftet med denna uppsats är att granska fenomenet cookie, dess användningsområden samt hur det påverkar internetanvändare och de olika företagen och organisationerna i synergi med GDPR-lagen. För att uppnå önskat resultat har en mixad metod använts i form av intervjuer och en enkät. Intervjuerna bestod av förutbestämda frågor och dynamiska följdfrågor under samtalets gång. Tre företag ställde upp som intervjuobjekt. En högskola, ett företag med försäljning online samt en mediebyrå. Enkäten bestod av obligatoriska frågor med förutbestämda svarsalternativ. Distributionen av enkäten ledde till strax över 130 respondenter. Resultatet efter användningen av den kvantitativa metoden antydde att knappt hälften av respondenterna inte visste vad en cookie var. Många var nyfikna och ville lära sig mer medan en lägre procent av respondenterna inte ansåg att de inte ville veta mer. Vetskapen samt ovetskapen gällande cookies påvisade sig ha stor inverkan på respondenternas bekvämlighet samt beteende online. Resultatet av den kvalitativa metoden visade att organisationer som arbetar med cookies kommer bli påverkade av GDPR. Följande uppsats kommer bidra till området informatik genom att följaktligen bearbeta empiriinsamling med stöd av teoretiska kompetenser. Den kommer att bidra som en informationskälla gällande cookies inom informationsteknologi.

Changes is always a relevant factor in organisations. The 25th of May 2018 the General Data Protection Regulation (GDPR) becomes enforceable as EU law, which will be a cause for change for a lot of organisation’s way of handling data, possibly endangering the information’s security. This essay aims to study three organizations and how they have prepared for GDPR. They will be analyzed from a change-management- and information security perspective, to conclude how the organisations conceive the magnitude of the change, and to see how they have implemented solutions for keeping the data safe after the 25th of May. The study’s result show that three participating organizations in the study all have implemented solutions that fulfill the, for the study, selected intersections of the McCumber Cube-model for Information Security, albeit in different ways. The three organization's attitude towards the changemanagement in preparation of GDPR doesn’t reflect the view of the researchers, who after analyzing GDPR sees it as a bigger project. The conclusion is that even though all participants have made their own interpretation of GDPR, an answer to the question of which kind of interpretation is closest to the actual truth, won’t be answered until a precedent is set. / Förändring är alltid en relevant aspekt för organisationer. Den 25 maj 2018 träder den nya dataskyddsförordningen, GDPR, i kraft och kommer innebära att alla organisationer behöver genomgå viss förändring för att motsvara de krav GDPR ställer. Förändringens magnitud och påverkan på organisationerna kan mätas med hjälp av en modell som skapats av Anderson & Anderson. Lagen genomförs för att EU ska få en gemensam lagstiftning och för att stärka den personliga integriteten. För att nå dessa mål kommer det ställas krav på organisationernas informationssäkerhet. Ett mätinstrument för att se hur väl företag sköter sin informationssäkerhet är McCumber-kuben. Genom intervjuer med representanter från tre organisationer framkommer information om hur dessa har hanterat förändringsarbetet inför GDPR och hur de hanterar informationssäkerheten utifrån McCumberkuben. Med analys om hur GDPR tolkas så anses lagen kräva en stor förändring hos organisationerna. Någonting som inte framkommer vid intervjuerna. Organisationerna anser sig uppfylla kraven angående informationssäkerhet och det kan mycket väl vara så att de gör detta. Dock är utfallet av GDPR fortfarande ovisst. Då alla organisationer gjort tolkningar av den lag som kommit och dessa tolkningar behöver inte vara likadana. Prejudicerande domar kommer krävas innan det går att säkerställa huruvida organisationerna uppfyller kraven som GDPR ställer.

Detta arbete har till syfte att studera den nya dataskyddsförordningen General Data Protection Regulation´s (GDPR) utmaningar och påverkan på både organisation samt system. Fokus i arbetet har varit på det specifika kravet privacy by design som är en del av GDPR. GDPR-förordningen kommer träda i kraft den 25 maj 2018. Eftersom GDPR är en ny förordning så har det inte skett forskning i större utsträckning i ämnet ännu. Den forskning som har skett inom området har mestadels varit inom juridiken. Detta resulterar i att ämnet är högaktuellt att undersökas eftersom ny kunskap kommer tillkomma genom detta arbete. Arbetet syftar till att undersöka hur GDPR genom sina krav påverkar en organisation och hur hänsyn tas till det specifika kravet privacy by design. Det kommer också undersökas vilka krav som ställs på teknik och funktioner. Genom att göra detta kommer kunskap tas fram om och hur en organisation förbereder sig och vad som krävs för att uppfylla kraven med GDPR. Privacy by design är en filosofi på hur inbyggd integritet kan användas för att skydda och bygga in den personliga integriteten i system. Den baseras på sju principer som skall användas för att förstå hur integritet kan skyddas. Men likt alla lösningar finns det utmaningar. Det är dessa utmaningar som arbetet skall undersöka och för att utifrån resultatet ge rekommendationer som förhoppningsvis kan användas för att få en överblick hur en organisation ligger i fas med privacy by design, som är en del av GDPR. Baserat på organisationens svar kommer rekommendationer ges för hur organisationen skulle kunna förbättra sitt arbete ytterligare. Metoden som använts till stöd för detta arbete är en fallstudie av kvalitativ art, och innefattar intervjuer med personer från en organisation inom säkerhetsbranschen som utvecklar metoder samt mjukvara för informationssäkerhetsarbete. Organisationen som har undersökts befinner sig i startgroparna för säkerställandet av GDPR och har gjort en inledande analys av läget. Fyra intervjuer har legat till grund för studien och på dessa har en innehållsanalys genomförts. Med hjälp av analysen så framträder en tydlig bild av hur arbetet kan se ut, i samband med lagförändringen ur privacy by design-perspektivet. För att ta reda på detta har en organisation som arbetar med informationssäkerhet och mjukvaruutveckling undersökts. Till arbetet utvecklades en frågeguide och en sammanfattning av principer, som är relaterade till privacy by design. Det har visat sig att organisationen som undersöktes till stora delar arbetar med privacy by design, men har ytterligare utmaningar att bemöta. Analys och diskussion av intervjuerna har resulterat i rekommendationer till organisationen angående hur de kan stärka upp sitt informationssäkerhetsarbete ytterligare. Dessutom har en frågeguide, som återfinns i bilagorna, tagits fram och denna kan användas av andra organisationer som önskar undersöka hur de ligger till i sitt arbete med GDPR:s krav på privacy by design. / The purpose of this work is to study the General Data Protection Regulation (GDPR) and what challenges and impact this regulation can have on both organization and systems. The focus of the work will be on the specific requirement “privacy by design” that is one part of GDPR. The GDPR will come into force on May 25, 2018. Since the GDPR is a new regulation, there has been little research on the subject yet. The research that has taken place in the field has mostly been in the field of law. This results in the subject being highly relevant for further studies, since this work will unravel new information. The purpose of the work is to investigate how GDPR, through its requirements, affects an organization and how to take into account the specific requirement of privacy by design. It will also be investigated which demands are made of technology and functions. By doing this, knowledge will come about if and how an organization prepares and what it takes to meet the requirements of the GDPR. Privacy by design is a philosophy of how built-in integrity can be used to protect and integrate the personal integrity of systems. It is based on seven principles that will be used to understand how integrity can be protected. But like all solutions there are challenges. These are the challenges that the work will investigate, and as a result give recommendations that hopefully can be used to get an overview of how an organization, is in phase with privacy by design, which is part of GDPR. Based on the organization's response, recommendations will be given for how the organization could further improve its work. The method used to support this work is of a qualitative nature and includes interviews with persons from an organization in the security industry that develop methods and software for information security work. The organization that has been investigated is in the pitfalls for ensuring GDPR and has conducted an initial analysis of the situation. The foundation of this study relies on four interviews, on which a content analysis was made. Through this analysis, a clear picture emerges of how the work with upcoming challenges can present itself, with the changes regarding the new law concerning privacy by design. In order to investigate this, an organisation that works with information security and software development has been scrutinized. As a part of the study, a questionnaire and a summary of the principles relevant to privacy by design, was developed. The conclusion was that the scrutinized organisation generally does work with privacy by design, but still has some challenges to face. The analysis and discussion of the interviews resulted in recommendations for the organization on how to further strengthen their work with information security. Furthermore, a questionnaire, which can be found in the appendix, has been developed, and can be used by other organizations wishing to examine their progress on the work with implementing the GDPR requirements regarding privacy by design.