No description available.

Syfte: Studien undersöker hur ett företag på Bank- och Finansbranschen arbetade för att implementera GDPR. För att besvara frågeställning undersökte studien med hjälp av intervjuer och teorier hur förändringen genomfördes Metod: För att besvara frågeställningen har en fallstudie genomförts där fem semistrukturerade intervjuer samt två kompletterande telefonintervjuer gjordes. Teori: Studien använder Proscis ADKAR-modell som teoretiskt ramverk. Empiri: Empirisk data samlades in genom semi-strukturerade intervjuer med anställda på det undersökta företaget. Intervjuobjekten valdes för att få svar från individer med olika roller och därigenom insamla empirisk data från olika delar av organisationen. Resultat: Studien visar indikationer på att förändringen för det undersökta Företaget kopplat till GDPR har implementerats i enlighet med ADKAR-modellen. Utifrån den insamlade empirin fanns det tendenser till att företaget uppfyllt alla stegen inom ADKAR-modellen i sitt förändringsarbete. Det behövs dock en större och mer omfattande undersökning för att säkerställa att förändringsarbetet och implementeringen skett i enlighet med ADKARmodellen

Accidental and targeted data breaches threaten sustainable business practices and personal privacy, exposing all types of businesses to increased data loss and financial impacts. This single case study was conducted in a medium-sized enterprise located in Brevard County, Florida, to explore the successful data protection strategies employed by the information system and information technology business leaders. Actor-network theory was the conceptual framework for the study with a graphical syntax to model data protection strategies. Data were collected from semistructured interviews of 3 business leaders, archival documents, and field notes. Data were analyzed using thematic, analytic, and software analysis, and methodological triangulation. Three themes materialized from the data analyses: people--inferring security personnel, network engineers, system engineers, and qualified personnel to know how to monitor data; processes--inferring the activities required to protect data from data loss; and technology--inferring scientific knowledge used by people to protect data from data loss. The findings are indicative of successful application of data protection strategies and may be modeled to assess vulnerabilities from technical and nontechnical threats impacting risk and loss of sensitive data. The implications of this study for positive social change include the potential to alter attitudes toward data protection, creating a better environment for people to live and work; reduce recovery costs resulting from Internet crimes, improving social well-being; and enhance methods for the protection of sensitive, proprietary, and personally identifiable information, which advances the privacy rights for society.

The technological development of digital devices and the rapid increase in global internet usage has forever changed our lives. Ever since Sweden joined the European Union in 1995 it has been under the person data protection directive (95/46/EG) from the same year. Today, more than two decades later a new international regulation will take its place. This will result in major changes in how companies and organizations must handle personal data. Every company and organization within every country within the European Union must adapt to these changes or risk paying rather fees. Not only does this affect the national laws across a continent and companies like Facebook and Sony on a grand scale - but it also affects the local organizations, small companies, and municipalities. It can be hard to understand what this regulation really means and what should be done to follow it. To do that, the entire work process must be redrawn to provide the best protection possible for the individual citizen. The study shows the work progress of a municipality that is in this position and is in need to adjust its work progress. The study shows how they are adapting to the new changes and are dealing with the problems to be ready when the regulation goes live on May 25th, 2018.

This study was conducted during a period of time from transition from old legislation to the new data protection regulation GDPR. With the introduction of GDPR, higher demands are placed on how companies inform their customers about their personal data management. GDPR demands, among other things, that information about personal data management should be clear and accessible, which requires companies to ensure that their text that inform about personal data management achieve good structural and intellectual accessibility. Previous studies show that users generally find it hard to understand such types of texts as they tend to have an advanced and bureaucratic language. This study was conducted in three steps that examined structural and intellectual accessibility and how companies in e-commerce context state that they handle personal data. The first step showed that only nine out of 85 companies had made adjustments and changes regarding information about personal data in accordance with the GDPR. The second and third step showed that the majority of the nine companies that had made the transition to GDPR achieve good structural accessibility, but that many of the companies need to improve the intellectual accessibility regarding the information about personal data management.

No description available.

Identitets- och åtkomsthantering innebär att hantera systemanvändares identiteter och deras åtkomst till olika system. För att kontrollera att en identitet är den som den utger sig för att vara och tilldela rätt åtkomst utefter detta används autentisering och auktorisering. Karlstads kommun genomförde nyligen ett projekt med syftet att modernisera den dåvarande plattformen som hanterade kommunens användarkonton och öka automationen på ett säkert och effektivt sätt. I denna uppsats har kommunens arbete med identitets- och åtkomsthantering undersökts för att ta reda på hur de arbetar med identiteter och åtkomst och om projektet har bidragit med nytta som de anställda kan gagnas av. För att ta reda på detta har fyra intervjuer genomförts med involverade i projektet på Karlstads kommuns IT-avdelning samt tre personer i olika verksamheter i kommunen för att få både projektdeltagarnas och verksamheternas uppfattning. Resultatet av intervjuerna visar att projektet har resulterat i en uppdaterad plattform som bidrar med ett antal nya funktioner. Bland annat användarkonton som skapas automatiskt, förenklad inloggning med tillgång till fler resurser och möjlighet till flera engagemang till samma konto om en användare till exempel både är anställd och elev i kommunen. Slutsatsen för denna undersökning är att plattformen har skapat många nya möjligheter och att mer funktionalitet kommer i framtiden. Arbetet har förändrats för enstaka anställda men de flesta märker ingen större skillnad ännu.

Skatteverkets registrering och handläggning av folkbokföringsadresser fungerar inte på ett tillfredsställande sätt. Det är enkelt att göra misstag vid flyttanmälningar och riskfritt att medvetet anmäla fel adress. En inlämnad flyttanmälan hanteras normalt på automatiserad väg och Skatteverket fattar beslut om folkbokföring i enlighet med anmälan utan någon kontroll eller krav på verifikation. Det har medfört att det finns fel i registret och Skatteverket har inte någon metod för att hitta felen eller få reda på hur många fel som finns. Andra myndigheter och privatpersoner litar på de felaktiga uppgifterna vilket leder till inkräktande problem för de boende på adressen. Skatteverket tar lång tid på sig att rätta felen vilket leder till ännu fler anmälningar och frågor kring hanteringen. Samtidigt har Skatteverket, liksom lagstiftaren, inte identifierat att fel i folkbokföringen leder till allvarliga problem i vardagen för många personer. Det finns därför inte heller någon analys av vilket ansvar myndigheterna har för dessa problem. Utifrån EU:s dataskyddsförordning, GDPR, kan det konstateras att enskilda har en rätt till sin adress vilket leder till rättigheter för de registrerade och skyldigheter för myndigheten som är personuppgiftsansvarig. Europakonventionen uppställer också ett krav på att Sverige ska tillförsäkra enskilda ett skydd för sitt hem och sitt privatliv. Med anledning av de fri- och rättigheter som aktualiseras och de europarättsliga regelverken till skydd för dessa riskerar Sverige och Skatteverket att flertalet skadeståndsanspråk och sanktionsavgifter görs gällande framöver. Handläggningen av folkbokföringsadresser måste ändras så att det grundläggande registret över befolkningen återigen kan hävdas vara rättssäkert. / The Swedish Tax Agency is responsible for the civil registry (records of the population) which includes where, i.e. on which address, a person is to be registered. However, the Agency has not carried out its assignment satisfactory. A person can easily make a mistake when notifying the Agency of a change of residence and there are no risks associated with deliberately reporting an incorrect address. The authority makes an automatic decision in accordance with the report, without any verification, which is why errors occur in the registry. When other authorities and individuals trust the incorrect information in the civil registry it leads to problems for the proper residents at the address. It is problematic that the Swedish Tax Agency has no method of finding the errors in the registry itself and instead mostly relies on notifications of errors from individuals. Furthermore, when an error has been pointed out to the Swedish Tax Agency it takes too long to correct it, which leads to even more notifications and issues regarding the administration of the registry. In addition, the Swedish Tax Agency, as well as the legislator, has failed to identify that errors in civil registry lead to serious problems in people’s everyday life. Therefore, there is no analysis of the authorities’ responsibilities for these problems. Based on the EU General Data Protection Regulation, GDPR, an individual’s right to its address can be construed, which entails rights of the data subjects and obligations on the authority responsible for personal data. The European Convention on Human Rights is also relevant as the state is required to ensure individuals protection for their home and their privacy. Sweden and the Swedish Tax Agency risk being subject to claims and sanctions in the future, especially concerning the rights and freedoms brought into effect and the European legislation that protects them. The handling of the civil registry must change so that the records of the population once again can be relied upon with legal certainty.

The protection of personal data is a question of high priority within the EU. The General Data Protection Regulation (GDPR), which replaces the Directive 94/46/EC on data protection and shall be uniformly applied in the whole union from the 25th of May 2018, is a sign of this. Since the direct roots of the data protection rules and principles that are expressed in the GDPR are to be found in the article 8.1 of the Charter of Fundamental Rights of the European Union and in the article 16.1 of the Treaty on the Functioning of the European Union, the legal position of the protection of personal data as a fundamental human right is clear. Although this position is somewhat modified in recital 4 of the preamble, where it is stated that the protection of personal data is not an absolute right and that it must be considered in relation to its function in society and balanced against other fundamental rights, there should be no doubt that the protection of personal data has a high legal status in the EU. In broad terms, the GDPR could be regarded as an updating of the concept of protection of human rights and freedoms to the realities of the online era. The extent of processing of personal data in the world of today is huge and it continues to grow rapidly. In the GDPR, that processing is regarded as a risk to natural persons’ rights and freedoms.  However, all processing of personal data does not pose the same level of risk to natural persons’ rights and freedoms. The logic of this point has paved the way for the risk-based approach, which plays an important role in determining the responsibilities of the controller and the processor in each individual data processing. The risk-based approach can be expressed as the higher the risk, the higher the security must be. Or, in other words, security measures must follow risk level. The subject matter of this essay is the concept of data protection impact assessment (DPIA), which is regulated by Article 35 of the GDPR. At a certain level of risk, the controller is obliged to carry out a DPIA. There are legal demands to be met, but no explicit method is laid down in the Regulation. The Data Protection Authorities (DPA) of England and France have each developed a method to comply with the demands of Article 35. These methods are examined and their effectiveness in reaching that objective are assessed. The DPA:s of Germany have developed a method to technically operationalize data protection legislation. This method is presented and examined and its capacity as a tool to carry out a DPIA is also assessed. The essay contains two proposals. One in section 2.4 which attempts to clarify the meaning of four commonly used words in data protection terminology. The second proposal is in section 4.1. It compares the legal obligations to be met by data processing that activates the need for a DPIA to the legal obligations of those that do not. The proposal tries to define a work flow which minimizes the extra work if a DPIA has to be carried out. / Konsekvensbedömningar avseende dataskydd är en nyhet inom dataskyddslagstiftning. I dem möts riskanalys och rättighetskrav. Konsekvensbedömningar används sedan tidigare på olika sätt inom andra områden, men för dataskyddslagstiftning är det en konceptuell nyhet. De introduceras i artikel 35 i EU:s nya dataskyddsförordning, även känd som GDPR. Artikel 35 är mycket omfattande och inte helt lättöverskådlig. Samtidigt är den från och med 25 maj 2018 gällande rätt. Det innebär att berörda parter, främst personuppgiftsansvariga och personuppgiftsbiträden, är skyldiga att veta vad artikel 35 innebär för deras del. Underlåtelse att utföra en konsekvensbedömning, eller ett felaktigt utförande, kan medföra administrativa sanktionsavgifter på upp till 10 000 000 euro.  Uppsatsen undersöker och redovisar förutsättningarna för att bygga en rättsligt kvalitetssäkrad modell avseende när och hur en konsekvensbedömning avseende dataskydd ska genomföras, vad den ska innehålla samt hur en sådan modell kan göras skalbar. Uppsatsen söker visa hur och till vilken grad berörda parter med säkerhet kan veta att de uppfyllt sina skyldigheter enligt artikel 35.

I detta arbetet har det genomförts två undersökningar. Den ena undersökningen handlar om GDPR och den andra om NIS. Dessa två regelverk är skapade av EU för att säkra upp när det gäller cyberattacker och att styrka individers möjlighet att hantera sina personuppgifter. Det har även skapats en enkel hemsida i arbetet. Denna hemsidan är ett experiment för att ta reda på vad någon som äger eller tillhandahåller en enkel hemsida bör tänka på när det kommer till GDPR och NIS. Hemsidan i sig är tänkt att ge möjlighet för människor att träffa andra med samma intresse eller träffa de som befinner sig i liknande livssituationer. GDPR är en förnyelse av Sveriges tidigare lag PUL. GDPR är en förordning från EU vilket innebär att den måste följas mer noggrant än PUL. PUL var ett direktiv från EU. Ett direktiv väger inte lika tungt som en förordning. GDPR ger EU:s medlemsländers medborgare starkare rättigheter till deras personuppgifter. Det innebär att de har rätt att veta vad och varför personuppgifter hanteras. De har även rätt till radering vilket innebär att en organisation måste radera personuppgifter om de inte längre har någon anledning att fortsätta behandla dem. Det kan handla om rättslig påverkan eller en intresseavvägning om en personuppgift får behandlas vidare eller inte. NIS är som sagt skapat av EU, detta är ett direktiv som beskrivit lite tidigare i detta stycke vad det innebär. Här har EU:S medlemsländer lite friare händer. Det finns mål som skall uppfyllas men medlemsländerna får själva bestämma hur målen skall uppnås. NIS handlar om cybersäkerheten inom EU. Det gäller att stärka den lägstanivå som finns. Jobba med att vara bättre förberedd om en incident skulle inträffa och på så sätt ge ett bättre grundskydd mot cyberattacker. Vad gäller en enkel hemsida så har GDPR en del att säga till om. Om man sparar data i en databas så skall de som personuppgifterna tillhör veta om det och samtycka till det. Det skall även kunna gå att få fram informationen som är sparad om personerna och även radering av personuppgifter om så önskas. En registrerad skall kunna få information om personuppgifter som sparas hos en personuppgiftsbehandlare utan att betala för det. När det gäller NIS och enkla hemsidor så är det i regel inget som rör den som tillhandahåller hemsidan eller hemsidans ägare. Det krävs i så fall att det är större företag med stor omsättning och som har huvudkontor i Sverige.