No description available.

Dataskyddsförordningen, även kallad GDPR, introducerades år 2016 med spekulationer kring vilka påtagliga förändringar och upplevelser som förordningen skulle komma att ha. Dessa spekulationer är något som ej varit möjliga att konkretisera förrän nu, 2 år efter förordningen trädde i kraft, vilket möjliggör en uppföljning av förordningen för säkerställandet av dess behövlighet. Syftet med studien var således att undersöka GDPR för att se om lagstiftningen upplevs upprätthålla sitt syfte, att förstärka den personliga integriteten. Detta gjordes genom en kvalitativ intervjustudie med anställda inom verksamheter som stöter på GDPR i sin personuppgiftsbehandling. Resultatet visade på att en stor del av de intervjuade menar att lagstiftningen till en viss grad, har insatser som påverkar den personliga integriteten på ett positivt sätt. Förordningen kommer dock inte utan en kostnad. Den kan upplevas som något som resulterat i en högre grad av oklarheter och ytterligare komplexitet och skyldigheter för de anställda inom myndighet- och verksamhetsvärlden. / The General Data Protection Regulation also known as GDPR, was introduced during 2016 with differing predictions on the outcome and aftermath of its implementation. It has been roughly two years since the regulation was first introduced and it is now that the evaluation process of its necessity is feasible. Hence the primary purpose of this study was to evaluate whether GDPR is perceived to fulfill its weighty goal of strengthening the integrity of personal data. This was done through interviewing employees of authorities and agencies that deal with GDPR when processing personal information. What the results of this study has shown is that a large portion of the interviewees say that the regulation has efforts that, to a degree, positively affects the integrity of personal data. This however comes at a cost. A higher degree of perceived obscurity, shallow complexity and additional duties to be carried out by the employees within their respective authority.

Regarded as the biggest change in data protection law in a generation, the General Data Protection Regulation (or simply its more renowned name: the GDPR) is due to take effect on May 25th 2018. The purpose of the GDPR is to strengthen the protection of personal information, harmonize the data protection laws in the entire European Union, and modernize privacy laws to fit today’s technologically advanced society. As good as all organizations have to conform to the new law. Libraries, as prominent bearers of information and personal data, are thus no exception to the rule. This study’s objective is to gain knowledge of Swedish public libraries’ main GDPR preparations, regarding both the practical work and the difficulties they faced during the process. The result is based on the answers from an online survey, sent to every central library in Sweden’s 290 municipalities. 182 answers were received, which generated a response rate of roughly 63 percent. The theoretical analysis derives from five of John Kotter’s eight phases, concerning difficulties in early change management. The authors of this study identify the libraries’ focal points, in relation to the change work, as mainly consisting of inventory of personal data and education in the law. Difficulties are mostly found in understanding the law and how to practice it. Nonetheless, a majority of the Swedish central libraries consider themselves fairly ready for the GDPR when May 25th arrives.

The student’s independent work, often in the form of a thesis, plays an important role in higher education at Swedish universities. However, since the GDPR came into effect in 2018, some Swedish universities have limited their students’ processing of sensitive personal data, while other universities have not. This thesis studies the reasons behind the regulations, in relation to the principle of academic freedom as well as research ethics and the universities’ mission of providing higher education and research to society. Using these concepts as a theoretic framework, the thesis then analyses how ten Swedish universities position themselves in regards to their students processing personal data, and complements the analysis with two semi-structured interviews with representatives of library and information science educations at two universities. The thesis explores the boundaries and the grey areas between the concepts of education and research, and discusses the possible implications and consequences of applying limitations to what students can and cannot research, for higher education in general and for library and information science in particular. The conclusion is that the question of whether students should be allowed to process personal data is as much a question of democracy as of academy, and that a further, critical discussion is needed within the academic sector.

I ljuset av Europaparlamentets nya förordning Allmän dataskyddsförordning (GDPR) och i samband med utveckling av teknik som Big Data och Internet of Things, undersöker denna studie hur användarnas digitala personuppgifter hanteras och allmänhetens åsikter kring detta. De metoder som används för att svara på studiens forskningsfråga är en systematisk litteraturstudie och en webbaserad enkätundersökning. Syftet med enkätundersökningen är att komplettera litteraturstudien med svar från allmänheten i närområdet, i detta fall Sverige. Med hjälp av dessa metoder jämförs det hur företagen hanterar användarnas personuppgifter och allmänhetens syn på denna, för att slutligen komma fram till om företagen uppfyller användarnas behov och önskemål. / In light of the European Parliament's new regulation the General Data Protection Regulation (GDPR) and the development of technologies such as Big Data and the Internet of Things, this study investigates how users' personal data are handled and public opinion about this. The methods used to answer the study's research question are a systematic literature study and a web-based survey. The purpose of the survey is to supplement the literature study with answers from the public in the immediate area, in this case Sweden. Using these methods, the study aims at comparing how companies handle the users' personal data and the public's view on it, to see if companies meet the users’ needs and wishes.

Syftet med denna uppsats är att undersöka det rättighetsskydd som finns kring behandling av personuppgifter, och på vilka grunder denna behandling får ske. En fråga som ställs är om rättighetsskyddet bemöter de problem som uppkommer mot bakgrund av den integritetsparadox som observerats mellan användares oro över hur deras personuppgifter hanteras och den brist på åtgärder de utför för att skydda samma data. Med grund i integritetsparadoxen diskuteras problematik med hur skyddet för behandling av personuppgifter implementerats. Ett stort problem är enskildas bristande kunskaper kring rättigheter och handlingsmöjligheter, och hur många aspekter av skyddet för personuppgifter vilar på aktivt handlande från individer. Även frågan om maktobalansen mellan enskilda och marknadsaktörer borde påverka ansvarsfördelning lyfts. Som underlag för detta används undersökningar kring individuellt beteende, lagstiftning och avgöranden från unionsrätt och Europadomstolen, samt artiklar om ämnet. Slutsatsen är att med tanke på kunskapsbristen hos en stor mängd användare och kravet på kunskap för att kunna vidta vissa skyddsåtgärder av persondata finns det rum för kritik mot vissa aktörers behandling av personuppgifter.

Dark patterns is a term used to describe the way companies deceive users by design to give away as much personal data as possible, in order to benefit themselves. Previous studies have shown that the presence of dark patterns is very common on websites as well as in mobile applications. As the web and broadband companies collect a lot of data from web users, virtual private network (VPN) software has become commonly used to protect online users’ privacy. No previous studies have examined VPN services in this context. This report therefore examines VPN providers’ software and websites through content analysis, to determine if dark patterns are present in their user interfaces and information presented to the users and if so, in what way dark patterns are present. The result of this study shows that dark patterns were present on all VPN providers’ websites that were examined and one of the websites made it particularly difficult to delete user accounts and their related data. It is questionable whether all personal data gets removed after an account deletion request has been made by the user, since users have to give away more personal data in exchange to submit the deletion request, thus making personal data a tradeoff.

Denna uppsats är en fallstudie. Studien behandlar den kommande dataskyddsförordningen (GDPR) och dess påverkan på medie- och IKT-företag. Syftet med studien är att studera den befintliga kunskapen kring dataskyddsförordningen inom medie- och IKT-företag samt hur ett förändringsarbete mot förordningen kan drivas. Studien redovisar för dataskyddsförordningen och dess bakgrund följt av en beskrivning kring medieindustrin, IKT-företag och dess komplexa struktur. Vidare beskrivs organisationsförändringar och metoder för dessa vilka kan underlätta ett förändringsarbete. Med hjälp av en enkätundersökning har författarna undersökt om dataskyddsförordningen har uppmärksammats inom 50 medie- och IKT-företag samt om ett förändringsarbete har planerats eller påbörjats. Vidare har studien kompletterats med kvalitativa intervjuer där dataskyddsförordningen i förhållande till tre medieföretag samt ett IKT-företag har analyserats mer ingående. Resultatet av undersökningarna visar hur en stor andel medieföretag i nuläget inte har påbörjat anpassningen mot dataskyddsförordningen. De studerade organisationerna vittnar även om en okunskap i förhållande till det behandlade ämnet och ett anpassningsarbete har i majoriteten av de studerade fallen ej påbörjats. Studien lyfter därför förändringsmodeller vilka kan ge struktur åt ett kommande anpassningsarbete. / This essay is a case study. The study addresses the forthcoming General Data Protection Regulation (GDPR) and its impact on media-and ICT-companies. The purpose of the study is to examine the existing knowledge of the data protection regulation within media and ICT-companies. The study also aims to create an understanding of how an adaption can be carried out against the regulation. The study accounts for the GDPR and its background, followed by a description of the media industry, ICT-companies and its complex structure. Furthermore, organizational changes and methods are described in order to facilitate and provide an overall structure for the change work. By means of a survey, the authors examined whether the GDPR has been noted in 50 media and ICT-companies and if a change work has been planned or begun. Furthermore, the study has been supplemented with qualitative interviews where the GDPR in relation to three media companies and one ICT-company has been analyzed in more detail. The results of the survey show how a large proportion of media companies have not yet begun the adaptation or change work to meet the requirements in the GDPR. The studied organizations also testify to an ignorance in relation to the subject and an adaptation work has not begun in the majority of the studied companies. The study therefore raises change models that can provide an overall structure for future change work to GDPR.

Den 25e maj 2018 ersätts personuppgiftslagen (PuL) med den nya dataskyddsförordningen (GDPR) som skärper till och stramar åt kraven som ställs på företag och organisationer som behandlar personuppgifter. Det finns dock flera saker som är densamma mellan PuL och GDPR. Syftet med den här undersökningen är att försöka ta reda på hur förberedda organisationer är inför GDPR genom att undersöka vilka tekniska förändringar de har behövt införa för att uppfylla de nya kraven. Genom att utföra en kvalitativ intervjustudie på organisationer som behandlar personuppgifter i enlighet med PuL och GDPR. De utvalda företagen är sådana som har möjlighet att kartlägga konsumtionsvanor kopplat till konsumenten genom t.ex. en kundklubb. För att uppfylla syftet och svara på forskningsfrågan används två delfrågor, vad de har för tekniska lösningar under PuL och vad de har behövt förändra inför GDPR. Baserat på dessa och den bakomliggande teorin har ett intervjuunderlag tagits fram för att försöka få svar på dessa frågor. Utöver intervjuerna analyseras även samtyckesavtal för att se om det går att dra några slutsatser baserat på dessa om de har tekniska lösningar för att uppfylla GDPR. Det förväntade resultatet som fanns vid undersöknings start var att organisationer inte har det som krävs för PuL och ännu mindre det som krävdes för GDPR, de bör alltså ha varit tvungna att införa nya tekniska lösningar. Resultatet från undersökningen visar att det är en väldig skillnad på hur organisationerna har jobbat med PuL, och att enbart enstaka har använt sig av kryptering för att skydda uppgifterna medans näst intill alla har jobbat med anonymisering. Inför GDPR går organisationerna lite åt samma håll då de flesta uppger att de jobbar med kryptering, åtkomstkontroller och anonymisering. Samma sak gäller dataportabilitet och säkerhetskopieringssystem för att undvika att bortglömda konsumenter återställs från säkerhetskopior, då majoriteten av organisationerna uppger att de inte kommer ha stöd för det. Något som även alla organisationer uppgav var att de inte kommer att vara färdiga med anpassningen och att en stor del av arbetet innebär processer och rutiner. / May 25th, 2018, the Personal Data Act (PuL) will be replaced by the new General Data Protection Regulation (GDPR), which will tighten the requirements placed on companies and organizations that are processing personal data. However, many things will remain the same between PuL and GDPR. The purpose of this study is trying to find out how prepared the organizations in question are facing the GDPR, by investigating which technical changes they should introduce to meet the new requirements. By performing a qualitative interview study on organizations that are processing personal data in accordance with PuL and GDPR. The chosen companies have the possibility to map consumption habits linked to the consumer, for example by a loyalty club. To satisfy the purpose of this study and answer the research question, two sub questions are used, what technical solutions they have used for PuL and what changes they have introduced for GDPR. Based on these two sub questions and the background theory, an interview background has been developed trying to answer these questions. In addition to the interviews the consent agreement will be analyzed, to see if any conclusions about what technical solutions they have implemented to fulfill GDPR can be drawn. The hypotheses which was at the start of the survey were that the organizations don’t have what is required to fulfill PuL and even less of what is required to fulfill GDPR, they should have had to introduce new technical solutions. The result from the survey shows a big difference in how organizations have worked with PuL, and only a few of them have used encryption to protect the data and with almost all of them have worked with anonymization. When working with GDPR, the organizations are working in the same direction where all of them says that they are working with encryption, access controls and anonymization. The same applies to data portability and backup systems to avoid that forgotten consumers are recovered from backups. One thing that all organizations say is that they will not be ready with the adjustments and that a large proportion of the work involves processes and routines.

Syftet med denna uppsats är att undersöka vilka nya krav som kan tänkas uppstå i och med det nya dataskyddsdirektivet, och hur uppfyllandet av dessa krav kan underlättas, i form av riktlinjer utformade för att säkerställa en systemutveckling i enlighet med de säkerhets- och integritetskrav som ställs i och med GDPR. De behov och kravområden som identifierats, har sedan kategoriserats och konkretiserats i form av riktlinjer som skall kunna användas då personuppgifter hanteras. För att belysa hur GDPR kan förändra kravbilden har främst “Privacy by Design”, kravspecificering, samt de allmänna juridiska förändringar GDPR kommer att innebära studerats. För att besvara uppsatsens syfte och frågeställningar har en studie baserad på främst semistrukturerade intervjuer utförts. Detta för att identifiera potentiella nya krav som kan tänkas uppstå i och med det nya dataskyddsdirektivet. Med avstamp i teorin, samt intervjuunderlaget har sex stycken kategorier tagits fram. Dessa är samtycke, Privacy by Design, rätten att bli meddelad om intrång, rätten att bli glömd, dataportabilitet samt rätten till åtkomst. Dessa kategorier har sedan legat till grund för de riktlinjer som utgör resultatet av detta arbete.