Text data collections enable the deployment of artificial intelligence algorithms for novel tasks. Such collections often contain miscellaneous personal data and other sensitive information that complicates sharing and further processing due to the personal data protection requirements. Searching for personal data is often carried out by sequential passes through the complete text. The objective of this thesis is to create a tool that helps the annotators decrease the risk of data leaks from the text collections. The tool utilizes pseudonymization (replacing a word with a different word, based on a set of rules). During the annotation process, the tool tags the words as "public", "private" and "candidate". The task of the annotator is to determine the role of the candidate words and detect any other untagged private information. The private words then become the subject of the pseudonymization process. The auto-tagging tool utilizes a named entity recognizer and a database of rules. The database is automatically improved based on the decisions of the annotator. Different named entity recognizers were compared for the purpose of personal data search on the collection of the ELITR project. During the comparison, a method was found which increased the sensitivity of the named entities detection which also...

Purpose: This study aims to examine how digitalization affects risk management procedures within Swedish banks in relation to the implementation of GDPR, PSD2 and KYC. Method: The empirical result is due to semi-structured interviews with four bank representatives from the Swedish bank sector as well as three representatives from the Swedish RegTech industry. The interviews took place in person or via telephone. Empirics and Conclusion: The result shows that digitalization has affected the way Swedish banks handle their risks. New risks have emerged resulting in a more complex environment, where several factors need to be taken into consideration such as operational risks. Depending on the type of bank, different risk strategies have been identified. The bank- and RegTech representatives point out several aspects that need to be improved to make risk management more efficient. This includes increased digital automatization to handle big data more efficiently resulting in more adequate KYC analysis. Lastly the empirical result shows that digital banks together with RegTech companies set the normative standard on how to approach risk management in a digital era. From a new institutional perspective legitimacy is attained when banks conform to present norms within the industry caused by the three types of isomorphism. Where the institutional forces mould, construct and regulate the social structures. Furthermore, nudging can be applied as a tool that banks have been using to adapt to current requirements, by educating their workers and using digital tools to make better decisions. / Syfte: Studien ämnar undersöka hur digitalisering påverkat riskhanteringsprocessen i svenska banker i relation till implementeringen av GDPR, PSD2 och KYC. Metod: Empirin har uppkommit genom semistrukturerade intervjuer genom fyra bankrepresentanter från den svenska banksektorn tillsammans med tre representanter från svenska RegTechbolag. Intervjuerna skedde i person eller via telefon. Empiri och Slutsats: Resultatet visar att den digitalisering som skett inom bankväsendet påverkat bankernas riskhantering. Nya risker har följaktligen uppkommit, vilket resulterat i en mer komplex miljö. Där flera nya faktorer behöver ses över såsom operativa risker. Beroende på typ av bank, har olika riskstrategier identifierats. Bank- och RegTechrepresentanter poängterar att det finns ett flertal förbättringsområden för att effektivisera den nuvarande riskhantering. Detta inkluderar en utökad digital automatisering för att hantera den massiva data som banker dagligen behöver analysera. På så sätt kundkännedomsanalyser förbättrats. Slutligen visar det empiriska resultatet att digitala banker tillsammans med RegTechbolag sätter en normativ standard gällande hur risker skall bemötas i en digital era. Utifrån ett nyinstitutionellt perspektiv, uppnås legitimitet när banker formar sig efter rådande normer orsakat av institutionella krafter. Den likformiga riskhantering som uppstår i industrin kan kopplas till tvingande-, normativ och imiterande isomorfism. Även beteendeinsatser kan utläsas inom bankindustrin för att internt forma och strukturera organisationen efter rådande krav. Detta görs genom digitala riskhanteringsverktyg som förenklar beslutsprocessen samt genom utbildning och kunskap expertis.

Uppsatsen handlar om försäkringsbarheten för administrativa sanktionsavgifter (GDPR-sanktioner) som utfärdats till följd av en överträdelse av bestämmelserna i dataskyddsförordningen. Syftet med uppsatsen har varit att utreda om det enligt svensk rätt är möjligt att försäkra sådana avgifter. I uppsatsen redogörs för relevanta bestämmelser i det försäkringsavtalsrättsliga regelverket (FAL) och det försäkringsrörelserättsliga regelverket (FRL). Bland de bestämmelser som uppsatsen särskilt behandlar återfinns bestämmelserna om lagligt intresse i 6 kap. 1 § FAL och god försäkringsstandard i 4 kap. 3 § FRL.

Molntjänster har funnits sedan en lång tid tillbaka. Med åren har allt fler börjat använda dessa tjänster, vilket har gjort att det är ett högaktuellt ämne. Cirka 75 procent av företag använder sig av molntjänster och det ses som nödvändigt för digitaliseringen i svensk offentlig sektor. Trots det råder en debatt om komplexiteten vid användandet av molntjänster för myndigheter. Denna forskningsstudie kommer studera organisationers tankar kring molntjänster och dess prioritering för molntjänsternas olika risker, för att kunna skapa en förståelse kring varför organisationer tar de beslut de tar. Hur kan det komma sig att företag och myndigheter ser olika på användningen av molntjänster? För att ta reda på detta har en litteraturstudie genomförts för att inhämta tidigare forskning kring området, samt semistrukturerade intervjuer med företag och myndigheter för att få en fördjupad förståelse kring dess användning av molntjänster. Undersökningen visar på att det skiljer sig mellan företag och myndigheter när det kommer till anskaffningen av molntjänster. För myndigheter finns det regler och riktlinjer för hur de ska gå till väga. För företag saknas det riktlinjer, de har dock egna individuella beslutsprocesser. Företagen har enbart dataskyddsförordningen att ta hänsyn till samtidigt som myndigheter även har flertalet andra lagstiftningar att följa. Det skilde sig även åt mellan företag och myndigheter gällande de problem och hot som de ser, samtliga myndigheter ser fler hot än vad företagen gör. En likhetsom resultatet visar är att organisationerna hade liknande policys, där man inte får använda otillåtna molntjänster. Myndigheter hade även åtgärder i avsikt att förhindra skugg-IT, detta genom att fånga upp de anställdas behov och på så sätt hindra dem från att nyttja otillåtna tjänster. / Cloud computing has been around for a long time. Over the years, more people have started using these services, which has made it highly topical. 75 percent of companies use cloud services and it is seen as necessary for digitalisation in the Swedish public sector. Nevertheless, there is a debate about the complexity of using cloud services for authorities. This scientific research report will analyze organizations thoughts on cloud computing and identify the different risks of cloud computing, in order to create an understanding of what organizations base their decisionson. How come that companies and authorities have different views on the use ofcloud computing? To find out this, a literature study has been conducted to gather previous research on the area, as well as semi-structured interviews with companies and authorities to gain an in-depth understanding of the organizations use of cloud computing. The results and the conclusions of this study show that there are differences between companies and authorities when it comes to the acquisition of cloud computing. For authorities, there are rules and guidelines for how to proceed. There is a lack of guidelines for companies, they have their own individual processes. Companies only have the GDPR to take into account, while authorities have the majority of other legislation to follow. There was a difference between companies and the authorities problems and threats that they see. All authorities see more threats than companies do. A similarity in the result is that organizations had similar policies, where they are not allowed to use unauthorized clouds. Authorities also had measures in place to counteract shadow IT, this by raising the needs of the employees and thus preventing them from using unauthorized clouds.

När nya funktioner utvecklas måste funktionerna testas utifrån den givna kravspecifikationen för att garantera en korrekt implementering. Testning är en del av utvecklingsprocessen och en viktig komponent som behövs för att förbättra tillförlitligheten av system. Testdata är den data som används för att utföra specifika testfall. Företagets testdata är riktiga produktionsdata, nämligen personuppgifter, som avidentifieras med pseudonymisering för att minska länkbarheten till den fysiska individen. Pseudonymisering tillämpas dock inte på personnummer, då företaget behöver riktiga personnummer för att utföra sina tester. Det skapas en osäkerhet när riktiga personuppgifter används vid testsammanhang, eftersom GDPR skyddar enskilda individers grundläggande rättigheter och beskriver individers rätt till skydd av personuppgifter (Integritetsskyddsmyndigheten 2021b). Företaget har idag riktlinjer och organisatoriska skyddsåtgärder som följs av anställda för att i den utsträckning det går arbeta i enlighet med GDPR. Testdata som inkluderar personnummer är problematiskt att arbeta med och som nyanställd kan det bli utmanande att lära sig hur en korrekt hantering genomförs om det inte finns ett processdokument som beskriver hur testdata hanteras hos företaget.  En fallstudie har genomförts för att konstruera ett processdokument med hjälp av kunniga anställda på företaget. Syftet med fallstudien var att grundligt dokumenteratestdatahanteringen, i syfte att hitta förbättringsförslag för att i framtiden öka efterlevnaden av GDPR. För att ta reda på hur processdokument ökar efterlevnaden av GDPR har en kvalitativ ansats tillämpats för att utvärdera innehållet i det konstruerade processdokumentet. Åtta semistrukturerade intervjuer har genomförts med testare för att fånga deras tankar och åsikter kring processdokumentet. Resultatet indikerar att det konstruerade processdokumentet beskriver en hantering som företaget strävar efter att uppnå i framtiden. Det framgår även att de som har mest nytta av processdokumentet är nyanställda. / <p>Stavningsvarierad titel:</p><p>Process document on test data handling that enhances GDPR compliance</p>

This thesis investigates how Swedish teachers manage confidential information about their pupils in reference to the General data protection regulation (GDPR). The purpose of the study has been to understand the general and individual actions that are carried through to ensure that the key principles of GDPR are actualized in a school context. Previous research in the field of education and information science has indicated that policies and shared regulations are a key element of obtaining information security in the management of personal data. It has also presented that teachers often have an inadequate knowledge about information security in the matter of their pu- pils’ personal data.  In order to examine the purpose of this study, seven interviews with Swedish elementary school teachers were conducted. Information culture theory was used to analyse the data collected from the interviews. The result of the study indicates that the interviewed teachers lack knowledge about the key principles of GDPR due to an absence of information provided to them by their employers. The key principle regarding integrity and confidentiality were the most common one to address in order to ensure that the legislation has been fulfilled. The other key principles of GDPR were often neglected as a result of inadequate knowledge and/or a lack of common policies.  This is a two years master's thesis in Library and information science.

The possible effects of the General Data Protections Regulations (GDPR) have been widely discussed among policymakers, stakeholders and ordinary people who are the objective for data collection. The purpose of GDPR is to protect people’s integrity and increase transparency for how personal data is used. Up until May 25th, 2018 personal data could be sampled and used without consent from users. Many argue that the introduction of GDPR is good, others are reluctant and argue that GDPR may harm data-driven companies. The report aims to answer how GDPR affects sales at the flight search engine Flygresor.se. By examining how and to what extent these regulations impact revenue, it is hoped for that these findings will lead to a deeper understanding of how these regulations affect businesses. Multiple linear regression analysis was used as the framework to answer the research question. Numerous models were constructed based on data provided by Flygresor.se. The models mostly included categorical variables representing time indicators such as month, weekday, etc. After carefully performing data modifications, variable selections and model evaluation tests three final models were obtained. After performing statistical inference tests and multicollinearity diagnostics on the models it could be concluded that an effect from GDPR could not be statistically proven. However, this does not mean that an actual effect of GDPR did not occur, only that it could not be isolated and proven. Thus, the extent of the effect of GDPR is statistically inconclusive. / De möjliga följderna av införandet av General Data Protections Regulations (GDPR) har varit väl omdiskuterat bland beslutsfattare, intressenter och människor som är målet för datainsamlingen. Syftet med GDPR är att skydda människors integritet samt öka insynen för hur personlig data används. Fram tills den 25 maj 2018 har det varit möjligt att samla in och använda personuppgifter utan samtyckte från användare. Många menar att införandet av GDPR är nödvändigt medans andra är mer kritiska och menar att GDPR kan skada lönsamheten för data beroende verksamheter. Denna rapport syftar till att svara på huruvida GDPR har påverkat försäljningen på flygsökmotorn Flygresor.se. Genom att undersöka om och i vilken utsträckning dessa regler påverkat intäkterna, är förhoppningen att dessa resultat kan leda till en djupare förståelse för hur GDPR påverkar företag. Multipel linjär regressionsanalys användes som ramverk för att svara på frågeställningen. Flera modeller utformades baserat på data som tillhandahölls av Flygresor.se. Modellerna var främst baserade på kategoriska variabler som representerade tidsaspekter så som månad, veckodag etc. Efter ett grundligt genomförande av data modifieringar, variabelselektion och modellutvärdering kunde tre modeller konstateras. Efter att ha genomfört signifikanstester och korrelationstester på modellerna kunde det fastställas att en effekt från GDPR inte kunde statistiskt säkerställas. Dock betyder detta inte att GDPR inte har haft en faktisk effekt, utan att en effekt inte kunde isoleras och bevisas.

“Vi använder cookies för att förbättra webbplatsen och din användarupplevelse”, är troligtvis en mening som många känner igen. Idag är det svårt att använda internet utan att stöta på små pop-up-meddelanden som vill ha ditt samtycke kring datainsamling, så kallade cookies. Medvetenhet och förståelse kring cookies är en grundläggande del i EU´s General Data Protection Regulation (GDPR). Den infördes för att ge användare makt över sin personliga data, delvis genom informerat samtycke. Trots lagen godkänner majoriteten av användarna cookies utan att reflektera. Att inte ge samtycke till datainsamling genom cookies tillhör ovanligheten, vilket gör det intresseväckande att undersöka vilka faktorer som samspelar med valet att faktiskt neka cookies. Studien syftar till att undersöka hur tre faktorer; ålder, kunskap och oro, påverkar internetanvändares inställning till att neka cookies. En kvantitativ metod, i form av en besöksenkät har använts för att samla in empiri. Insamlingen har skett utanför mataffärer i tre olika kommuner i Västra Götalandsregionen, och resulterade i sammanlagt giltiga 200 svar. Resultaten från studien visar att ålder och oro är faktorer som kan leda till att internetanvändare nekar cookies; en tredje faktor kunskap visar däremot inget samband med nekandet. Både internetanvändare som lämnar ifrån sig data, och aktörer som hanterar personlig data kan dra nytta av resultatet från studien. / "We use cookies to improve your experience on the website". This is most likely a phrase that you may recognize. Today, it is difficult to use the internet without encountering small pop-up messages asking for your consent regarding data collection through so-called cookies. Awareness and understanding regarding cookies are two fundamental parts of the EU's General Data Protection Regulation (GDPR). The law exists to provide internet users with control over their own personal data, through informed consent. Despite the law, the vast majority of users accept cookies without reflecting. Denying consent to data collection through cookies is an unusual choice among users, which makes it interesting to investigate which factors affect the choice to reject cookies. The study aims to investigate three factors; age, cookie knowledge and privacy concern, and how they affect internet users' attitudes towards rejecting cookies online. A quantitative method, in the form of a public survey, was conducted in three cities in the Swedish region Västra Götaland. Empirical evidence was collected outside grocery stores where a total of 200 responses were collected. The results from the study show a connection between rejecting cookies and the factors age as well as privacy concerns. No correlation between cookie knowledge and cookie rejection could be provided. Internet users who provide data, as well as actors who handle personal data could benefit from this study. The study is conducted in Swedish.

GDPR och dess intåg på den europeiska marknaden år 2018 var ett stort ämne för diskussion för företag som i någon mån hanterar personuppgifter. När privatpersoner nu har tillgång till mer makt i frågan så ställer det krav på företag att uppfylla dem. Ett tydligt exempel på detta är rätten att bli bortglömd. För att fullt ut möta detta krav så innebär det att företag fått ta ställning till vad man gör med sina säkerhetskopior. Dessa är utmanande eftersom syftet med dem är att vara intakta kopior av information, och inte avsedda för att redigeras. De tekniska metoder som finns föreslagna är oftast svåra att avgöra huruvida de tillåter full efterlevnad. I denna studie har fyra svenska företag intervjuats, där de fått berätta om hur de hanterat omställningen från Personuppgiftslagen till GDPR, hur deras rutiner ser ut och hur det i praktiken har fungerat att möta kraven i och med rätten att bli bortglömd när det kommer till deras säkerhetskopior. / GDPR and its entry to the European market in the year of 2018 was a major point of discussion for companies which to some extent handles personal data. Now that private persons have access to more power in the area, more demands are put on companies to comply. A clear example of this is the right to be forgotten. To fully comply with these demands, companies have had to consider what to do with their backups. These are challenging, as the purpose for them is to be intact copies of information, and not intended for editing. The technical measures that are proposed are most often difficult to determine whether they allow for full compliance. In this study, four Swedish companies are interviewed, where they have told about how they have handled the transition from Personuppgiftslagen to GDPR, what their routines look like, and how their compliance in practice has worked out with the right to be forgotten considering their backups.

The phenomenon called “The Internet of Things” makes it possible for organizations in the public and private-sector to handle resources better, enhance their performances, and to establish new ways of developing business models. Connected devices can contribute valuable knowledge through real-time updates and help with monitoring and/or to analyze how people and resources behave through the value-chain. This paper aims to investigate how current Smart Environments in public settings are functioning with the data collection in mind, and the integrity behind it. We also shed some light on how prepared they are for the new GDPR Law. Our goal is to come up with knowledge about how organizations and companies are working with integrity and data gathering, when they are transforming their public environment into a Smart Public Environment.