The General Data Protection Regulation grants data subjects the legal rights of transparency and intervenability. Ex post transparency provides users of data services with insight into how their personal data have been processed, and potentially clarifies what consequences will or may arise due to the processing of their data. Technological artefacts, ex post transparency-enhancing tools (TETs) convey such information to data subjects, provided the TETs are designed to suit the predisposition of their audience. Despite being a prerequisite for transparency, however, many of the TETs available to date lack usability in that their capabilities do not reflect the needs of their final users. The objective of this thesis is therefore to systematically apply the concept of human-centred design to ascertain design principles that demonstrably lead to the implementation of a TET that facilitates ex post transparency and supports intervenability. To this end, we classify the state of the art of usable ex post TETs published in the literature and discuss the gaps therein. Contextualising our findings in the domain of fitness tracking, we investigate to what extent individualisation can help accommodate the needs of users of online mobile health services. We introduce the notion of privacy notifications as a means to inform data subjects about incidences worthy of their attention and examine how far privacy personas reflect the preferences of distinctive groups of recipients. We suggest a catalogue of design guidelines that can serve as a basis for specifying context-sensitive requirements for the implementation of a TET that leverages privacy notifications to facilitate ex post transparency, and which also serve as criteria for the evaluation of a future prototype. / <p>Paper 2 ingick som manuskript i avhandlingen, nu publicerad.</p>

Den 25e maj 2018 träder den nya dataskyddsförordningen, GDPR, i kraft. I och med detta kommer alla medlemsstater i den europeiska unionen få en gemensam lag som skärper tidigare regler och ställer högre krav på organisationers personuppgiftsbehandling. Syftet med detta arbete har varit att undersöka och kartlägga hur verksamheter som behandlar känsliga personuppgifter anser sig bli påverkade av GDPR, samt hur de arbetar för att uppfylla kraven från denna nya förordning. Känsliga personuppgifter är sådana som exempelvis avslöjar en persons sexuella läggning, politiska åsikt, religiösa övertygelse eller fackliga tillhörighet och för att uppfylla syftet utfördes därför en fallstudie på sex stycken fackförbund av olika storlek. Datainsamlingen gjordes med hjälp av intervjuer med en person från varje förbund som har god insikt och överblick över organisationens GDPR-arbete. Resultaten från studien visar att fackförbunden anser att den nya dataskyddsförordningen är komplex och svårtolkad men att den ändå medför positiva konsekvenser för både organisationen och medlemmarna. Alla personuppgifter som fackförbunden hanterar faller direkt under känsliga personuppgifter eftersom de kan härledas till facklig tillhörighet, och detta gör att förbunden anser sig ställas inför högre krav på informationssäkerhet i jämförelse med många andra verksamheter. Bland annat möter de stora utmaningar i hur de skall kunna kommunicera med sina medlemmar i framtiden eftersom missbruksregeln försvinner och även ostrukturerat material inkluderas i den nya dataskyddsförordningen. Det går inte att säga generellt vilka åtgärder förbunden vidtagit för att förbereda sig inför de nya kraven från GDPR men det är tydligt att både tekniska och administrativa säkerhetsåtgärder behövs. Exempelvis uppgraderar många av förbunden sina IT-system och upphandlar helt nya ärendehanteringssystem, samtidigt som de dessutom inför rutiner för gallring och för hantering av personuppgiftsincidenter. / On 25 May 2018, the new data protection regulation, GDPR, will come into effect. With this, all members of the European Union will have a common law that sharpens previous rules and puts higher demands on organisations' personal data processing. The purpose of this study has been to investigate and map how businesses dealing with sensitive personal data consider themselves being affected by GDPR, and how they work to meet the requirements of this new regulations. Sensitive personal data are what for example reveals a person's sexual orientation, political opinion, religious conviction or union affiliation and therefore, to fulfil the purpose, a case study with six trade unions of different sizes was performed. The data collection was made with help of interviews with one person from each trade union, who has good insight and overview over the organisation's work with the GDPR. The results from the study show that the trade unions find the new data protection regulation to be complex and hard to interpret but that it nevertheless causes positive consequences for both the organisation and the members. All personal data that the trade unions handle fall directly under sensitive personal data since they may be derived to union affiliation and this leads to where the trade unions considering themselves facing higher demands on information security in comparison to many other businesses. Among other things, they face major challenges in how they are going to communicate with their members in the future, as even unstructured material is included in the new data protection regulation.  It's not possible to say in general what actions the unions have taken to prepare for the new requirements of the GDPR, but it's clear that both technical and administrative safety actions are needed. For example, many of the unions are upgrading their IT systems or purchasing brand new case management systems while also introducing new routines for clearing of data and for management of personal data incidents.

The paper examines the compatibility between the Swedish principle of transparency and EU’s general data protection regulation (EU) 2016/679 (GDPR). The question of compatibility between the right of access to public documents in Sweden and the EU regulation regardng protection of personal data have been relevant since EU started to legislate the area. However, for the first time a general regulation regarding processing of personal data is enforced which brings the problem to a head. Focusing on the right to public documents (a part of the Swedish principle of transparency) the relevant regulations in GDPR is examined to find possible conflicts with the principle of transparency. It is found that the vast opportunities to exception from the principal rules and the possibility of national special regulation solves many of the conflicts, even though some remain. The perception of the Swedish government in regard to article 86 in GDPR, which allows the member states to reconcile the GDPR with the right to public documents, is that the Swedish principle of transparency is granted precedence over the GDPR. The opinion of the Swedish government does not stand valid regarding the textual content in the regulation nor its purpose and goals. It would have been desirable if the government had made a closer investigation regarding what exception from the principal rules to use, and what national special regulation that is necessary, for the practice of the Swedish right of access to public documents. The analysis in the paper concludes that the principle of transparency and the GDPR can possibly be compatible. Article 86 will be of importance after the of- fered exceptions in the specific rights in the GDPR have been used. The article needs to be put in relation to the protection for personal data offered in the Swedish national legislative that limits the right of access to public documents. Furthermore, the question of respect from EU concerning the national constitutional identity is examined regarding its role reconciling the union law and the Swedish principle of trans- parency. It is stated that it may be of importance for a, from a Swedish transparency perspective, beneficial interpretation of article 86 in the CJEU. The paper also investigates the question of Sweden’s transferring of competence concerning the principle of transparency. It is stated that to the extent EU does not provide a protection of the right of access to public documents equal to the law in Sweden a Swedish court could disallow the competence transfer which passed EU that legislative power. / I framställningen utreds den svenska offentlighetsprincipens förenlighet med EU:s dataskyddsförordning (EU) 2016/679. Frågan om förenlighet mellan offentlighetsprincipen och EU:s reglering rörande personuppgiftsskydd har varit relevant sedan EU började lagstifta på området. Däremot har för första gången en allmän förordning rörande behandling av personuppgifter stiftats vilket ställer problemet på sin spets. Med fokus på handlingsoffentligheten utreds det relevanta regelverket i dataskyddsförordningen för att undersöka eventuella konflikter gentemot offentlighetsprincipen. Det konstateras att de många undantag och möjliga nationella särregleringar som förordningen erbjuder löser många av de konflikter som uppstår, men vissa kvarstår. Den svenska regeringen är av uppfattningen att artikel 86 i dataskyddsförordningen, som möjliggör sammanjämkning mellan förordningen och allmänhetens rätt att få tillgång till allmänna handlingar, innebär att offentlighetsprincipen fullt ut kan ges företräde framför förordningen. Den svenska uppfattning framstår inte som hållbar utifrån förordningens ordalydelse och bakomliggande syften och mål. Det hade varit önskvärt om regeringen närmare låtit utreda vilka undantag och nationella särregleringar som varit nödvändiga för att fortsatt kunna tillämpa handlingsoffentligheten. Analysen i framställningen visar att troligen går det att förena offentlighetsprincipen med dataskyddsförordningen. Artikel 86 blir av betydelse efter de i förordningen erbjudna undantagen i de specifika rättigheterna uttömts. Artikeln måste sättas i relation till det skydd för personuppgifter som i svensk nationell rätt begränsar handlingsoffentligheten. Vidare blir frågan om EU:s respekt för den nationella konstitutionella identiteten behandlad rörande dess betydelse för en sammanjämkning av EU-rätten och den svenska offentlighetsprincipen. Det konstateras att den kan ha betydelse för en, till svensk fördel, offentlighetsvänlig tolkning av artikel 86 i EU-domstolen. Framställningen utreder även frågan om svensk kompetensöverlåtelse till EU rörande offentlighetsprincipen. Slutsatsen är att i den mån EU inte erbjuder ett jämbördigt skydd för rätten till allmänna handlingar likt den svenska rätten kan svensk domstol underkänna överlåtelsen av kompetens som tillät EU att inskränka offentlighetsprincipen.

Målet med denna studie är att undersöka om informationskultur är ett teoretiskt verktyg som kan bidra till en proaktiv informationsförvaltning, samt om informationskulturperspektivet kan vara till stöd för en organisation som genomgår ett förändringsarbete som påverkar informationsförvaltningen. I studien används Gillian Oliver and Fiorella Foscarinis definition av informationskultur, vilket de definierar som ”values accorded to information, and attitudes towards it, specifically within organisational contexts.” Förberedelsearbetet på två svenska universitet inför dataskyddsförordningen GDPR (EU) 2016/67, vilken trädde i kraft 25 maj 2018, är det fall som författaren prövar informationskultursteorin mot. Genom en kvalitativ metod, där fem respondenter har intervjuats, har författaren undersökt respondenternas värderingar gentemot information samt hur de hade organiserat sitt arbete inför GDPR. Studien visar på ett stort behov av samarbete mellan arkivarier och andra yrkesgrupper såsom it-ansvariga och jurister när komplexa informationsförvaltningsfrågor som GDPR ska hanteras. Men att detta samarbete involverar arkivet är inte självklart, vilket visas i skillnaden mellan hur de båda universiteten har arbetat. Studien visar även att det finns en skillnad mellan att anlägga ett informationskulturperspektiv under ett förändringsarbete och att använda informationskultur i Oliver och Foscarinis mening, vilket innebär att analysera redan etablerade strukturer och organisationer; de problemområden som Oliver och Foscarini anser att arkivarien bör undvika att lägga mycket arbete på, då de är svårföränderliga, visar sig enligt studieresultatet tvärt om vara viktiga att jobba med under ett förändringsarbete. Att en viss nivå av det informationskulturramverk som Oliver och Foscarini har tagit fram är svår att påverka i en organisation betyder inte att den är svår att inkorporera i ett förändringsarbete. Till skillnad från andra, allmänna förändringteorier så lyfter informationskulturperspektivet fram aspekter som är direkt kopplade till arkivariens roll. I stället för generella råd som ”samarbete” föreslås mer specifikt ”samarbete med it”. Informationskultur är dessutom en väldigt innehållsrik teori då den inbegriper många etablerade teoribildningar. I en informationsförvaltningskontext blir därför informationskulturansatsen paradoxalt nog både bredare och mer specifik på samma gång. / The aim of this thesis is to examine if information culture is a theoretical construct that can assist in creating a proactive recordkeeping environment. It also aims to investigate if information culture can be of help to an organization that goes through changes that affect its recordkeeping practices. The study uses Gillian Oliver and Fiorella Foscarini’s definition of information culture, which they define as ”values accorded to information, and attitudes towards it, specifically within organisational contexts.” The preparations for the GDPR (EU) 2016/67 at two Swedish universities functions as the case that the author uses to explore these questions. Using a qualitative method, interviewing five people, the author examined the interviewees’ values towards information and how the organizations had prepared for the GDPR. The study suggests that there is need for cooperation between archivists and people from other professions, such as IT and law, when preparing for complex recordkeeping issues such as the GDPR. However, the study shows that an archivist is not always involved in an organization’s change management effort.  The study shows that there is a difference between adopting an information culture perspective when managing change and using information culture as Oliver and Foscarini intend it be used. Their approach addresses organizations and structures that are already established. The problem areas that Oliver and Foscarini think an archivist should avoid focusing its change management efforts on, because they are hard to change, are shown to be as important to work with as other problem areas when managing change in an organization. Just because a level of the information culture framework that Oliver and Foscarini have developed is difficult to affect in an organization does not mean that it is hard to incorporate into a change management effort. In contrast to other change management theories, an information culture perspective highlights aspects that are directly connected to the role of the archivist. Instead of generic advice, such as “cooperation”, information culture specifically advices the archivist to “cooperate with the IT department”. Information culture is a theoretical construct that embraces other established theories. From a recordkeeping perspective, an information culture approach is therefore paradoxically both broad and exact at the same time.

The purpose of this paper is to provide information on how organizations prepare for organizational change by examining how they work for the EU General Data Protection Regulation (GDPR) which comes into action in May 2018. The following questions have been used in order to approach this action: How do municipal organizations prepare effectively for the changes that the EU Data Protection Regulation (GDPR) implies? What steps are particularly problematic in the change work? How can change leaders handle these steps? During the study, a qualitative method has been used through semi-structured interviews. Respondents have key positions in the preparatory work for GDPR within three municipal organizations. One respondent for each organization. As a theoretical reason, Kotter's eight- step change model and previous research on the importance of an individual perspective in change work have been used and the empirical material has been analyzed using content analysis and opinion concentration. The results show that the preparation work for the change looks different in different organizations. You then have a problem of communicating the vision of change when instructions from the EU and the Data Inspectorate for the new regulation are not fully met. Furthermore, the study demonstrates the importance of organizational understanding and knowledge of change, by the change leader, to introduce a new way of working in a municipal organization.

This diploma thesis focuses on the application of information security management system in the public administration. Thesis focuses on the most frequent threats on information security and describes the best practices which are compliant with the ISO/IEC 27000. It contains the proposal of security recommendation that will help the organisation with ensuring better information security and with the preparation for GDPR

The goal of this thesis is to introduced the principles of access control technologies, the General Data Protection Regulation and the software for data leakage protection. An essential part of the work is a draft and implementation of the expansion module for user device authentication including shared storage access authorization. Therefore, this module allows to verify whether a user can access shared corporate resources. It also allows to enable or disable access based on specified attributes, such as the type of the protected service or user permission. The basic verification of the module's functionality is realized through different sets of tests and a virtual environment that simulates the corporate environment. The result of the draft is a module that allows to verify access based on the device, and this module is moreover integrated into the Safetica security platform.

The main topic of this thesis is creating a methodology for data backups in compliance with the General Data Protection Regulation (GDPR). After analysis of individual regulation sections, processes and methods of proper data backups will be defined. The thesis will also concern itself with different backup media types and related technology. Outcome of the text will be the creation of a specific method useful for change control.

Purpose: The purpose of this research is to analyze the current routine for processing customers’ personal data in a Swedish public transport organization and advise on improvements that might be made to better comply with GDPR. Methodology: A qualitative study of personal data (as defined in the GDPR) based on five telephone interviews. The interviews were held in Swedish, then transcribed and finally translated to English for analysis. Literature perspectives: A research (neutral) perspective of the implementation regarding the General Data Protection Regulation (GDPR) within an organization. It is reported that GDPR tend to increase the tension in an organization. Some organizations expect GDPR will increase the annual budget and believe the business strategy will be changed. Findings: The organization is interested to clearly implement the regulation to their best interest they can. The organization see the centralization of customers’ data as a positive outcome and want to continue with IT-support for the GDPR process to get automated. The organization expresses they want to create a good relationship with their customers and be clear with the purpose of data collection. Conclusions: The research suggests that the organization should invest in IT support, help guiding the employees to understand the purpose of GDPR and produce staff guidelines. The staff guidelines should cover most of the issues that may occur during daily routines. However, if any anomalies occur regarding GDPR, the data processor should act as a guide to the employee. / Syfte: Syftet med kandidatuppsatsen är att analysera den nuvarande processen för bearbetning av kunders personuppgifter i en svensk kollektivtrafikorganisation samt ge förbättringsråd angående saker som kan förbättras för att bättre följa GDPR. Metod: En kvalitativ studie som handlar om personuppgifter (enligt definitionen i GDPR); baserat på fem telefonintervjuer. Intervjuerna hölls på svenska, transkriberades och översattes sedan till engelska för en analys. Teoretiska perspektiv: Ett forsknings- (objektivt) perspektiv på implementeringen av den allmänna dataskyddsförordningen (GDPR) inom en organisation. Det rapporteras att GDPR tenderar att öka stressen i en organisation. Vissa organisationer förväntar sig att GDPR kommer öka den årliga utgiften för databehandling samt tror att deras affärsstrategi kommer förändras. Resultat: Region Värmland Kollektivtrafik är intresserade av att genomföra GDPR förordningen i högsta grad. Organisationen ser centraliseringen av kundens personliga data som ett positivt resultat och vill fortsätta med IT-stöd för GDPR- processen för att den ska kunna bli automatiserad. Organisationen uttrycker att de vill skapa en bra relation med sina kunder och vara tydliga med syftet av datainsamlingen. Slutsatser: Studien antyder att organisationen bör investera i IT-stöd, hjälpa anställda att förstå syftet med GDPR samt ta fram personalriktlinjer. Personalriktlinjerna bör täcka de flesta problem som kan uppstå i de dagliga rutinerna. Om det däremot uppstår några avvikelser gällande GDPR, bör personbiträde fungera som en hjälpande hand för de anställda.

Genom digitalisering av samhället och teknologins utveckling har marknadsföringsstrategier progressivt reformerats, från att uppmärksamma produkter mot konsumenten till att istället sätta konsumenten i fokus. Genom avancerade algoritmer, Business Intelligence och digitala DNA spår har det blivit möjligt att individualisera och rikta marknadsföring mot konsumentens intressen och även förutse individens konsumentbeteende. Samtidigt uttrycker individer ett stort värde för anonymitet och integritet online. Trots detta fortsätter konsumenter att frivilligt att lämna sin persondata, främst via olika kundklubbar, internet och sociala medier. Detta beteende påvisar en så kallad “privacy paradox”. Privacy paradox syftar på medvetenhet och oro kring utgivandet av persondata samtidigt som man agerar annorlunda. Avsikten med denna studie var att utforska om fenomenet privacy paradox existerar inom svenska konsumenters handlingar och konsumentens medvetenhet kring användning av personlig data för riktad marknadsföring online. Det empiriska materialet i denna studie består av semi-strukturerade intervjuer med sju olika respondenter gällande deras medvetenhet, tillit och integritet online. Resultatet analyserades med hjälp av den tematiska strategin för att lättare identifiera beetendemönster som respondenterna utgav. Slutligen besvaras fenomenet privacy paradox hos svenska konsumenter genom tre forskningsfrågor 1.​“Hur medvetna är svenska konsumenter om den information som de delar med sig av, i synnerhet inom riktad marknadsföring?” 2.​“Hur mycket värnar svenska konsumenter om sin integritet?” ​3.​“ Påvisar svenska konsumenter privacy paradox och varför?”. Majoriteten av respondenterna var medvetna om personliga uppgifter online, dock varierade medvetenheten om vad för information som fanns tillgänglig både för privata användare och verksamheter. Man sa sig även värna om sin integritet men ens handlingar stödde inte detta till fullo. Med hjälp av denna studie fann man att fenomenet privacy paradox existerar hos de svenska konsumenter som deltog under denna studie. Anledningar till dessa var bland annat att man inte vill bli exkluderad från samhället och det kognitiva förtroendet till verksamheter. Man litar på att de gör rätt för sig. Värnande om integritet visades då genom att man minskade mängden personinformation som andra privatpersoner kunde komma åt. En annan anledning som uppkom var svårigheten i att bryta vanor och beteendemönster. Därför fortsätter man agera på samma sätt som tidigare, trots ny kunskap samt GDPR. Respondenter hade olika nivåer av förståelse riktad marknadsföring. Det majoriteten inte var medvetna om var mängden av lagrad information samt hur den samlas in t.ex. genom cookies. / Through digitalisation of the society and the technological development, the marketing strategies has progressively been reformed. From mainly giving attention to the product towards the consumers to instead place the consumer in the center of attention. Subsequently advanced algorithms, Business Intelligence and digital DNA tracing has enabled individualisation and target marketing, for the interest of the consumer, this also gave access to predict consumer behaviour. Meanwhile individuals put a big value on anonymity and integrity online. Despite this consumers keep sharing their data voluntary, primarily through customer clubs, the internet and social media. This behaviour demonstrates a so called “privacy paradox”. Privacy paradox refers consumers awareness and concern about sharing personal data, while still sharing their information. The purpose of this study was to examine whether the phenomenon of privacy paradox exists in Swedish consumers actions and the consumer’s awareness of the use of personal data for targeted online marketing. The empirical material in this study exists of semi-structured interviews with 7 different respondents regarding their consciousness, trust and integrity online. The results were analyzed through the thematic strategy to easily identify behavioural patterns that the respondents showed. Lastly, the phenomenon of privacy paradox in Swedish consumers is answered through three research questions 1. ​“How aware are Swedish consumers regarding the information they share, particularly in target marketing? ​2. ​“How much does the Swedish consumer care about their integrity?” ​3. ​“Does the Swedish consumer show privacy paradox and why?”. The majority of the respondents were aware that personal information exists online. The awareness regarding what kind of information that is available for both private users and organisations varied. While respondents mentioned that they want to protect their privacy, their actions proved otherwise. With the help of this study, we could conclude that the phenomenon named privacy paradox exists through the information gathered from the swedish consumers that participated in this study. Reasons being the willingness to not be excluded from society and the cognitive trust towards organizations. You trust that they do the right thing. Respondents protected privacy by reducing the amount of personal information other individuals could access. Another reason that was brought up was the difficulty in changing habits and behaviour. Therefore respondents continued doing the same things as before, despite new knowledge and GDPR. Respondents showed different levels of understanding regarding targeted marketing. However the majority was not aware of the amount of stored information and how it is collected, for example through cookies.