On the 25th of May 2018, the new General Data Protection Regulation (GDPR) came into effect. Since that date, the GDPR applies directly as law in each of the European member states. The regulation will constitute substantial changes for data controllers who process personal data within their businesses, first and foremost because of the introduction of new material rules coming from the new accountability principle in article 5.2 GDPR. The accountability principle, explained briefly, sets out an obligation for the controller to be responsible for and be able to demonstrate compliance with the GDPR. The risk-based approach has been introduced to the GDPR to make the rules and principles of data protection law 'work better'. To accomplice this, the applicability of the GDPR provisions is now dependent on the risks that may occur from the processing of personal data, making the legal requirements of the controller scalable and proportionate. The aim of this thesis is to examine what the risk-based approach can add to achieve stronger data protection within the EU. For that purpose, the thesis initially studies the structure of the GDPR as well as the data protection principles. The thesis then looks at the basics of the risk-based approach and how the notion of risk has changed since the previous Data Protection Directive. The author then proceeds to an analysis of one of the new material provisions originating from the accountability principle: The obligation to carry out a Data Protection Impact Assessment (DPIA) for high risk processing. By analysing the obligation to carry out DPIA:s, the practical difficulties that can arise when applying the rules based on the notion of risk, is exposed. The findings suggest that the risk-based approach alone is not enough, but together with the empowering of each individual, the GDPR is likely to provide a stronger protection of personal data than the Data Protection Directive. / Den 25 maj 2018 trädde den nya dataskyddsförordningen (GDPR) i kraft och gäller sedan ikraftträdelsedagen direkt som lag i samtliga EU-medlemsländer. Förordningen kommer att innebära stora förändringar för de aktörer som behandlar personuppgifter. Framför allt på grund av de nya materiella regler som introduceras på grund av den nya principen om ansvarsskyldighet som stadgas i artikel 5.2 GDPR. Principen om ansvarsskyldighet innebär i korthet att den personuppgiftsansvarige är skyldig att ansvara för och kunna visa att förordningen efterlevs. Den riskbaserade metoden har introducerats för att GDPR:s regler och principer ska fungera bättre. Detta ska åstadkommas genom att göra tillämpligheten av dessa regler beroende av de risker som personuppgiftsbehandlingen innebär. På så sätt blir de legala skyldigheterna som den personuppgiftsansvarige träffas av skalbara och proportionerliga i förhållande till behandlingen. Uppsatsens huvudsakliga syfte är att undersöka vad den riskbaserade kan addera till ändamålet att skapa ett starkare dataskydd inom EU. För att göra detta undersöks inledningsvis GDPR:s struktur och de grundläggande dataskyddsprinciperna. Därefter undersöks vad den riskbaserade metoden innebär samt hur innebörden av risk har ändrats sedan dataskyddsdirektivet. I uppsatsen analyseras särskilt skyldigheten att utföra konsekvensbedömningar. Fördjupningen kring denna skyldighet syftar till att visa på de praktiska svårigheter som kan uppstå vid tillämningen av de materiella regler som bygger på risk. Författaren kommer slutligen fram till att den riskbaserade metoden ensamt inte är tillräcklig för att uppnå ett starkare dataskydd. Men tillsammans med individernas ökade kontroll över sina uppgifter kommer GDPR sannolikt att leda till ett starkare skydd för personuppgifter jämfört med dataskyddsdirektivet.

The protection of personal data is a question of high priority within the EU. The General Data Protection Regulation (GDPR), which replaces the Directive 94/46/EC on data protection and shall be uniformly applied in the whole union from the 25th of May 2018, is a sign of this. Since the direct roots of the data protection rules and principles that are expressed in the GDPR are to be found in the article 8.1 of the Charter of Fundamental Rights of the European Union and in the article 16.1 of the Treaty on the Functioning of the European Union, the legal position of the protection of personal data as a fundamental human right is clear. Although this position is somewhat modified in recital 4 of the preamble, where it is stated that the protection of personal data is not an absolute right and that it must be considered in relation to its function in society and balanced against other fundamental rights, there should be no doubt that the protection of personal data has a high legal status in the EU. In broad terms, the GDPR could be regarded as an updating of the concept of protection of human rights and freedoms to the realities of the online era. The extent of processing of personal data in the world of today is huge and it continues to grow rapidly. In the GDPR, that processing is regarded as a risk to natural persons’ rights and freedoms.  However, all processing of personal data does not pose the same level of risk to natural persons’ rights and freedoms. The logic of this point has paved the way for the risk-based approach, which plays an important role in determining the responsibilities of the controller and the processor in each individual data processing. The risk-based approach can be expressed as the higher the risk, the higher the security must be. Or, in other words, security measures must follow risk level. The subject matter of this essay is the concept of data protection impact assessment (DPIA), which is regulated by Article 35 of the GDPR. At a certain level of risk, the controller is obliged to carry out a DPIA. There are legal demands to be met, but no explicit method is laid down in the Regulation. The Data Protection Authorities (DPA) of England and France have each developed a method to comply with the demands of Article 35. These methods are examined and their effectiveness in reaching that objective are assessed. The DPA:s of Germany have developed a method to technically operationalize data protection legislation. This method is presented and examined and its capacity as a tool to carry out a DPIA is also assessed. The essay contains two proposals. One in section 2.4 which attempts to clarify the meaning of four commonly used words in data protection terminology. The second proposal is in section 4.1. It compares the legal obligations to be met by data processing that activates the need for a DPIA to the legal obligations of those that do not. The proposal tries to define a work flow which minimizes the extra work if a DPIA has to be carried out. / Konsekvensbedömningar avseende dataskydd är en nyhet inom dataskyddslagstiftning. I dem möts riskanalys och rättighetskrav. Konsekvensbedömningar används sedan tidigare på olika sätt inom andra områden, men för dataskyddslagstiftning är det en konceptuell nyhet. De introduceras i artikel 35 i EU:s nya dataskyddsförordning, även känd som GDPR. Artikel 35 är mycket omfattande och inte helt lättöverskådlig. Samtidigt är den från och med 25 maj 2018 gällande rätt. Det innebär att berörda parter, främst personuppgiftsansvariga och personuppgiftsbiträden, är skyldiga att veta vad artikel 35 innebär för deras del. Underlåtelse att utföra en konsekvensbedömning, eller ett felaktigt utförande, kan medföra administrativa sanktionsavgifter på upp till 10 000 000 euro.  Uppsatsen undersöker och redovisar förutsättningarna för att bygga en rättsligt kvalitetssäkrad modell avseende när och hur en konsekvensbedömning avseende dataskydd ska genomföras, vad den ska innehålla samt hur en sådan modell kan göras skalbar. Uppsatsen söker visa hur och till vilken grad berörda parter med säkerhet kan veta att de uppfyllt sina skyldigheter enligt artikel 35.

The social dimension of sustainability has for a long time been relatively unexplored within traffic planning. Instead, there has been an emphasis on aspects such as reduced climate change impact and increased economic growth. However, it is possible to identify an increased interest in the social dimension of sustainability within traffic planning. SIA (Social Impact Assessment) is a tool that can be used to handle the social aspects of planning in a systematic way. The purpose of this study is to outline how SIA is used today in traffic planning in Sweden, and to see what potentials exists in its use as a social sustainability tool. To achieve this purpose, a content analysis of four SIA reports and 12 semi structured interviews have been conducted. The study shows that a general opinion is that social sustainability is difficult to handle because of its abstract and complex nature. SIA could be a way of making it more manageable through exemplifying what social sustainability could mean in specific projects and in a traffic context. SIA can also contribute to an increased focus on humans in the planning process. The study shows that there are a wide range of approaches to SIA in Swedish traffic planning, with several different locally customized tools and SIA processes which vary in time and scope. This variation creates an uncertainty. A mutual approach to SIA would be desirable in many ways, one of which is to lift the status of the tool. If a common framework for SIA were to be developed, it is important that the framework is flexible, and could be adjusted to local conditions and goals. One conclusion that can be drawn from the study is that more experience of working with SIA is needed before the identified development proposals are to be relevant. / Den sociala dimensionen av hållbarhet har länge varit relativt outforskad inom trafikplaneringen. Istället har fokus legat på aspekter som minskad klimatpåverkan och ökad ekonomisk tillväxt. Det är dock möjligt att se ett ökat intresse för social hållbarhet inom trafikplaneringen. SKB (social konsekvensbedömning) är ett exempel på ett verktyg som kan användas för att hantera de sociala aspekterna inom planeringen på ett metodiskt sätt. Syftet med denna studie är att ge en ökad klarhet i hur SKB används idag inom trafikplanering i Sverige, samt att undersöka vilken potential som finns för SKB som verktyg. För att uppnå detta syfte har en innehållsanalys på fyra SKB-dokument samt 12 semistrukturerade intervjuer med personer med särskild insikt i verktyget utförts. Studien visar att en allmän uppfattning är att social hållbarhet är svårhanterligt i och med att det är ett abstrakt och komplext begrepp. SKB tycks kunna göra det mer hanterbart genom att vara ett sätt att konkretisera social hållbarhet och exemplifiera vad det betyder ur ett trafikperspektiv och för specifika projekt. SKB kan även bidra till att sätta människan i fokus i planeringen. Studien visar också på att det finns en stor bredd i angreppssätt för SKB inom svensk trafikplanering, med flera olika lokalt anpassade verktyg och SKB-processer som varierar i tid och omfång. Denna variation leder till en osäkerhet och otydlighet kring vad verktyget innebär. Ett enhetlighet angreppssätt för SKB skulle på många sätt vara önskvärt, bland annat för att ge verktyget en statushöjning. Om ett gemensamt ramverk för SKB skulle utvecklas är det viktigt att det är flexibelt för anpassning till lokala förutsättningar och mål, samt att det utvecklas i samverkan med olika aktörer. En slutsats som går att dra av studien är att det behövs en ökad mognad och vana att arbeta med SKB innan de utvecklingsåtgärder som har identifierats är aktuella.

Syftet med denna studie är att undersöka hur folkhögskolor i Sverige hanterar den nya dataskyddsförordningen (nedan nämnd som förordningen eller GDPR) och fokuset har legat på konsekvensbedömning avseende dataskydd. GDPR handlar till stor del om att stärka den personliga integriteten. Konsekvensbedömning avseende dataskydd är ett nytt krav för organisationer som hanterar personuppgifter. Konsekvensbedömning avseende dataskydd handlar om att förebygga hot och sårbarheter samt att göra riskanalyser. Detta gäller säkerheten kring den tekniska biten såsom system där personuppgifter hanteras men även den mänskliga faktorn. Tidigare studier visar att konsekvensbedömning har funnits med länge men konsekvensbedömning för personuppgifter har inte tidigare varit ett krav. Den här studien visar att vissa folkhögskolor är familjära med processen medan vissa inte har utfört en konsekvensbedömning alls. Den här studien visar även att kunskaperna kring hur den nya förordningen påverkar folkhögskolor förbättrades efter ett utbildande webbinarium. Metoden som använts för denna studie är en intervjustudie som innefattar intervjuer med nyckelpersoner på folkhögskolor i Sverige där dessa har haft olika roller för att få en så bred bild som möjligt. Folkhögskolorna har varit på olika stadier i införandet av förordningen men även många likheter har presenterats. För att få fram svar på forskningsfrågan har intervjuer med fem nyckelpersoner på fyra olika folkhögskolor genomförts. Resultaten kommer att analyseras genom en innehållsanalys och genom analysen kommer rapporten kunna presentera en bild av hur folkhögskolor arbetar med personuppgifter, vilka förändringar kring arbetet som har uppkommit men också vilka utmaningar det finns att implementera GDPR och konsekvensbedömning. Sammanfattningsvis så kom det fram att folkhögskolor är olika i arbetet med konsekvensbedömning. Vissa folkhögskolor prioriterar det medan andra inte arbetar alls med det. Ett specifikt svar på hur folkhögskolor påverkas av GDPR och konsekvensbedömning kan inte ges sedan varje folkhögskola är olika varandra. Det kan bero på att folkhögskolor är frivilliga, till skillnad från grundskola och gymnasium och att folkhögskolor ofta drivs av fristående stiftelser. / The purpose of the work is to study how folk high schools in Sweden are handling General Data Protection Regulation (GDPR) and the focus has been on Privacy Impact Assessment (PIA). GDPR is mostly about strengthening personal privacy. PIA is a new requirement for organizations which are handling personal information. PIA is about preventing threats and vulnerabilities and about risk analyses. Both when it comes to security to systems where the personal information is stored but also about human factors. Earlier studies show that privacy impact assessment has been here for a long time but the privacy impact assessment regarding personal data has not been a requirement. This study showed that some of the folk high schools were familiar with the process, while some have never done that before. The study also shows that the knowledge of how the regulation is affecting folk high schools were improved after an educational webinar. The method that has been used for this work is an interview study which is based on interviewing key figures from folk high schools in Sweden. The respondents have mixed roles in the organizations, to get a wider picture. The folk high schools have been on various stages with implementing GDPR but shares similarities. To get an answer for the research question, the study was based on interviews with five key figures from four different folk high schools. The results were analysed based on a content analysis where the report aims to present an image of how the folk high schools are working with personal data, what changes have been made to meet the requirements for GDPR and privacy impact assessment but also what challenges exist when implementing them. The conclusion was that folk high schools are different when it comes to working with privacy impact assessment. Some are prioritizing it while some are not working with it at all. A certain answer to the question cannot be answered since there are differences between folk high schools. One reason for that is because folk high schools are optional, in difference of primary school and high schools, and often run by independent foundations.

Investment decision-making processes within the Venture Capital (VC) industry are increasingly including sustainability impact aspects, particularly when investing in start-ups. However, the lack of a common understanding and standard for measuring sustainability presents a significant challenge. This thesis explores the current state of sustainability impact assessment within the VC industry, highlighting the gap between academic literature and practical reality. Through a literature review, desk research, and expert interviews, the frameworks and measures used in practice, and the extent to which they align with academic suggestions, are examined. In addition, the impact of the new EU regulation, the Sustainable Finance Disclosure Regulation (SFDR), on the development of sustainability assessment within VC investment processes is briefly examined. The findings reveal a need for a unified, holistic framework for assessing the sustainability impact of start-ups, emphasizing the potential of existing research streams and the importance of collaboration between academic and practical experts. This work serves as a steppingstone for practitioners, policy makers, and future research in the field of sustainability assessment and in particular of start-ups. / Beslutsprocesser för investeringar inom riskkapitalbranschen inkluderar i ökande omfattning hållbarhetsaspekter, särskilt vid investeringar i nystartade företag. Avsaknaden av en gemensam förståelse och standard för att mäta hållbarhet utgör dock en betydande utmaning. Denna avhandling undersöker det aktuella läget för hållbarhetsbedömning inom VC-industrin och belyser klyftan mellan akademisk litteratur och praktisk verklighet. Genom en litteraturstudie, skrivbordsundersökningar och expertintervjuer undersöks de ramverk och mått som används i praktiken och i vilken utsträckning de överensstämmer med akademiska förslag. Dessutom undersöks kortfattat hur den nya EU-förordningen, Sustainable Finance Disclosure Regulation (SFDR), påverkar utvecklingen av hållbarhetsbedömningar inom riskkapitalinvesteringsprocesser. Resultaten visar att det finns ett behov av ett enhetligt, holistiskt ramverk för att bedöma hållbarhetseffekterna av nystartade företag, vilket betonar potentialen i befintliga forskningsströmmar och vikten av samarbete mellan akademiska och praktiska experter. Detta avhandling fungerar som en utgångspunkt för praktiker, beslutsfattare och framtida forskning inom området hållbarhetsbedömning och i synnerhet nystartade företag.

<p>Land use change constitutes a primary driving force in shaping social-ecological systems world wide, and its effects reach far beyond the directly impacted areas. Graph based landscape ecological tools have become established as a promising way to efficiently explore and analyze the complex, spatial systems dynamics of ecological networks in physical landscapes. However, little attention has been paid to making these approaches operational within ecological assessments, physical planning, and design. This thesis presents a network based, landscape-ecological tool that can be implemented for effective use by practitioners within physical planning and design, and ecological assessments related to these activities. The tool is based on an ecological profile system, a common generalized network model of the ecological infrastructure, graph theoretic metrics, and a spatially explicit, geographically defined representation, deployable in a GIS. Graph theoretic metrics and analysis techniques are able to capture the spatio-temporal dynamics of complex systems, and the generalized network model places the graph theoretic toolbox in a geographically defined landscape. This provides completely new insights for physical planning, and environmental assessment activities. The design of the model is based on the experience gained through seven real-world cases, commissioned by different governmental organizations within Stockholm County. A participatory approach was used in these case studies, involving stakeholders of different backgrounds, in which the tool proved to be flexible and effective in the communication and negotiation of indicators, targets, and impacts. In addition to successful impact predictions for alternative planning scenarios, the tool was able to highlight critical ecological structures within the landscape, both from a system-centric, and a site-centric perspective. In already being deployed and used in planning, assessments, inventories, and monitoring by several of the involved organizations, the tool has proved to effectively meet some of the challenges of application in a multidisciplinary landscape.</p>

Land use change constitutes a primary driving force in shaping social-ecological systems world wide, and its effects reach far beyond the directly impacted areas. Graph based landscape ecological tools have become established as a promising way to efficiently explore and analyze the complex, spatial systems dynamics of ecological networks in physical landscapes. However, little attention has been paid to making these approaches operational within ecological assessments, physical planning, and design. This thesis presents a network based, landscape-ecological tool that can be implemented for effective use by practitioners within physical planning and design, and ecological assessments related to these activities. The tool is based on an ecological profile system, a common generalized network model of the ecological infrastructure, graph theoretic metrics, and a spatially explicit, geographically defined representation, deployable in a GIS. Graph theoretic metrics and analysis techniques are able to capture the spatio-temporal dynamics of complex systems, and the generalized network model places the graph theoretic toolbox in a geographically defined landscape. This provides completely new insights for physical planning, and environmental assessment activities. The design of the model is based on the experience gained through seven real-world cases, commissioned by different governmental organizations within Stockholm County. A participatory approach was used in these case studies, involving stakeholders of different backgrounds, in which the tool proved to be flexible and effective in the communication and negotiation of indicators, targets, and impacts. In addition to successful impact predictions for alternative planning scenarios, the tool was able to highlight critical ecological structures within the landscape, both from a system-centric, and a site-centric perspective. In already being deployed and used in planning, assessments, inventories, and monitoring by several of the involved organizations, the tool has proved to effectively meet some of the challenges of application in a multidisciplinary landscape.