Licentiatavhandling Linköping : Linköpings universitet, 2008.

Diss. Stockholm : Stockholms universitet, 2005.

No description available.

No description available.

Diss. Karlstad : Karlstads universitet, 2008.

No description available.

On the 25th of May 2018, the new General Data Protection Regulation (GDPR) came into effect. Since that date, the GDPR applies directly as law in each of the European member states. The regulation will constitute substantial changes for data controllers who process personal data within their businesses, first and foremost because of the introduction of new material rules coming from the new accountability principle in article 5.2 GDPR. The accountability principle, explained briefly, sets out an obligation for the controller to be responsible for and be able to demonstrate compliance with the GDPR. The risk-based approach has been introduced to the GDPR to make the rules and principles of data protection law 'work better'. To accomplice this, the applicability of the GDPR provisions is now dependent on the risks that may occur from the processing of personal data, making the legal requirements of the controller scalable and proportionate. The aim of this thesis is to examine what the risk-based approach can add to achieve stronger data protection within the EU. For that purpose, the thesis initially studies the structure of the GDPR as well as the data protection principles. The thesis then looks at the basics of the risk-based approach and how the notion of risk has changed since the previous Data Protection Directive. The author then proceeds to an analysis of one of the new material provisions originating from the accountability principle: The obligation to carry out a Data Protection Impact Assessment (DPIA) for high risk processing. By analysing the obligation to carry out DPIA:s, the practical difficulties that can arise when applying the rules based on the notion of risk, is exposed. The findings suggest that the risk-based approach alone is not enough, but together with the empowering of each individual, the GDPR is likely to provide a stronger protection of personal data than the Data Protection Directive. / Den 25 maj 2018 trädde den nya dataskyddsförordningen (GDPR) i kraft och gäller sedan ikraftträdelsedagen direkt som lag i samtliga EU-medlemsländer. Förordningen kommer att innebära stora förändringar för de aktörer som behandlar personuppgifter. Framför allt på grund av de nya materiella regler som introduceras på grund av den nya principen om ansvarsskyldighet som stadgas i artikel 5.2 GDPR. Principen om ansvarsskyldighet innebär i korthet att den personuppgiftsansvarige är skyldig att ansvara för och kunna visa att förordningen efterlevs. Den riskbaserade metoden har introducerats för att GDPR:s regler och principer ska fungera bättre. Detta ska åstadkommas genom att göra tillämpligheten av dessa regler beroende av de risker som personuppgiftsbehandlingen innebär. På så sätt blir de legala skyldigheterna som den personuppgiftsansvarige träffas av skalbara och proportionerliga i förhållande till behandlingen. Uppsatsens huvudsakliga syfte är att undersöka vad den riskbaserade kan addera till ändamålet att skapa ett starkare dataskydd inom EU. För att göra detta undersöks inledningsvis GDPR:s struktur och de grundläggande dataskyddsprinciperna. Därefter undersöks vad den riskbaserade metoden innebär samt hur innebörden av risk har ändrats sedan dataskyddsdirektivet. I uppsatsen analyseras särskilt skyldigheten att utföra konsekvensbedömningar. Fördjupningen kring denna skyldighet syftar till att visa på de praktiska svårigheter som kan uppstå vid tillämningen av de materiella regler som bygger på risk. Författaren kommer slutligen fram till att den riskbaserade metoden ensamt inte är tillräcklig för att uppnå ett starkare dataskydd. Men tillsammans med individernas ökade kontroll över sina uppgifter kommer GDPR sannolikt att leda till ett starkare skydd för personuppgifter jämfört med dataskyddsdirektivet.

GDPR träder i kraft den 25 maj 2018. Syftet med förordningen är bland annat att säkerställa en hög och likvärdig skyddsnivå för enskilda individers fri- och rättigheter avseende personuppgiftsbehandling. Mot bakgrund av att implementeringen av dataskyddsdirektivet, vilken i skrivande stund fortfarande utgör gällande rätt, inte har levt upp till förväntningarna, synes den europarättsliga lagstiftaren ha avsett att ”strama åt tyglarna” med GDPR. Personuppgiftsansvariga åläggs nya skyldigheter. Vidare föreskriver GDPR att personuppgiftsbiträden kan åläggas skadeståndsskyldighet i samma utsträckning som personuppgiftsansvariga. Härutöver implementeras en ny sanktion: administrativa sanktionsavgifter. Dessutom synes de strängare kraven på biträdesavtalets innehåll medföra ett behov för personuppgiftsansvarig och personuppgiftsbiträde att revidera aktuella biträdesavtal för att säkra överenstämmelse med GDPR. Den nya förordningen tycks förorda att personuppgiftsansvarig och personuppgiftsbiträde tillämpar en s.k. riskbaserad strategi. När en risk identifierats, ska denna utvärderas och hanteras på ett i enlighet med GDPR erforderligt vis. Det finns sålunda incitament för personuppgiftsansvarig och personuppgiftsbiträde att vidta risk management-åtgärder i den egna verksamheten, men även i förhållande till en eventuell motpart i ett avtalsförhållande. Förevarande uppsats tillhandahåller förslag på hur den ökade riskexponeringen kan hanteras i enlighet med GDPR och svensk rätt. Uppsatsen behandlar, utöver GDPR i sig, även hur GDPR passar in det svenska rättssystemet i stort och vilka rättsområden som påverkar möjligheten för personuppgiftsansvarig och personuppgiftsbiträde att avvika från GDPR:s riskfördelning. Ett första steg mot en lyckad övergång från dataskyddsdirektiv-överenstämmelse till GDPRöverenstämmelse är givetvis att vara införstådd i det nya regelverket. Nästa steg är att identifiera vilka risker som ikraftträdandet av GDPR medför och huruvida en eller flera av dessa risker kan äventyra verksamheten. När förståelse för regelverket och insikt om riskerna har erhållits, bör personuppgiftsansvarig och personuppgiftsbiträde rikta sitt intresse mot risk management, det vill säga vad nyss nämnda aktörer kan göra för att hantera de identifierade riskerna. Önskar personuppgiftsansvarig eller personuppgiftsbiträdebiträde avvika från GDPR:s riskfördelning med en ansvarsfriskrivning, tillhandahåller uppsatsen information om under vilka premisser en ansvarsfriskrivning kan äga giltighet. GDPR:s regelverk är komplext. Av förklarliga skäl saknas det rättspraxis på området. Utan vägledning från EU-domstolen, är det nödvändigt att åtminstone reflektera och försöka dra slutsatser om vad som komma skall. Det finns inget ”rätt svar” på vad framtiden har att utvisa, vilket förvisso känns betryggande för en snart nyexaminerad affärsjurist, som presenterar ämnet. Anpassningen till GDPR fortgår. Under tiden väljer undertecknad att instämma med de sakkunniga som försökt uttala sig om det i uppsatsen behandlade spörsmålet: det återstår att se hur rättspraxis utvecklas.

Data har beskrivits som en av hörnstenarna i dagens ekonomi och Europeiska unionen har i flera decennier antagit rättsakter som syftat till att skapa en informationsmarknad i unionen. Men flera problem har tornat upp på den inre marknaden. Bland annat har data tenderat att inte användas i tillräckligt hög grad och det har varit svårt för datainnehavare att tillgängliggöra sin data samtidigt som de måste respektera unionens regler om dataskydd. I centrum finns därför två motstående intressen av värdeskapande användning av data och skydd av personuppgifter.  Det här examensarbetet undersöker om användningen av databasdirektivets sui generis-skydd och användningen av dataskyddsförordningens reglering om anonymisering kan vara en lämplig lösning på unionens problem. Den första halvan av examensarbetet undersöker dataskyddsförordningens centrala definitioner om vad som är en personuppgift och hur den kan anonymiseras för att undvika förordningens tillämpningsområde. Den andra halvan av examensarbetet behandlar hur man kan skydda de avidentifierade personuppgifterna efter anonymiseringen med en tillämpning av databasdirektivets sui generis-skydd.  Examensarbetets huvudslutsats är att det inte framstår som lämpligt att i nuläget förlita sig på anonymisering som ett rättsligt verktyg för att tillgängliggöra data för vidareanvändning i unionen. Delslutsatserna om anonymisering är för det första att identifieringsrekvisitet i personuppgiftsdefinitionen är relativt och inte absolut i dataskyddsförordningen. För det andra att det är tveksamt om Europeiska dataskyddsstyrelsens krav på att man inte ska kunna dra en slutsats om någon efter anonymisering täcks av rekvisiten i förordningen, och om det därför inte finns berättigade förväntningar att följa deras riktlinjer i den delen. Delslutsatserna om databasdirektivet är för det första att anonymiserade personuppgifter kan skyddas av sui generis och för det andra att en databasproducent kan använda sig av reglerna om normalt bruk och oberättigat kränker legitima intressen för att skydda anonymiseringen när databasen med anonymiserade personuppgifter har tillgängliggjorts.

Det har gått ungefär ett år sedan dataskyddsförordningen (GDPR) infördes i Sverige och EU och med den har det kommit flera olika rättigheter för att försöka få konsumenterna att känna sig tryggare och få bättre kontroll över sina personuppgifter. Med GDPR kommer ett antal rättigheter som kan vara viktigt för konsumenter att känna till och använda sig av för att få ut det mesta av GDPR. Då tekniken utvecklas väldigt snabbt så är denna förordning viktig för att försöka hänga med i denna utveckling, men vad tycker konsumenterna om den nya förordningen och de regler som medföljer? Denna uppsats har haft som syfte att ta reda på just vad konsumenterna tycker om denna nya förordning och om de tycker den är bra eller om det finns något som kan bli bättre. Författarna har använt sig utav en enkätundersökning där enkäten har skickats ut för att samla in data, med data menas till exempel hur de uppskattar sin kunskap om GDPR, var de fått informationen om GDPR ifrån, och om de tycker att den nya förordningen är bra eller om det finns några brister. Det finns också ett antal artiklar som respondenterna har uppskattat hur viktig den är för dem och om de använt den någon gång. Detta är alltså en kvantitativ undersökning som haft som syfte att ta reda på vad konsumenterna tycker om GDPR eller om de anser att det finns förbättringspotential. Det har sedan undersökts om det finns någon skillnad mellan åldersgrupper, sysselsättning och kön. Det har visat sig att de allra flesta tycker GDPR är bra men att den skulle kunna vara lättare att förstå. Det är dock inte fler än ungefär 50% som känner sig säkra på vad GDPR innebär för dem som konsumenter och har därför inte så stor koll på vad de har för rättigheter. Det är alltså något som kan behöva jobbas mer på, att få ut mer kunskap om GDPR till konsumenterna.