Den 25 maj 2018 blev våra inboxar fyllda av nervösa företag som ägnade sig åt att försöka säkerställa att vi var tillräckligt informerade för att de skulle få fortsätta behandla våra personuppgifter. Det rörde sig naturligtvis om den nya dataskyddsförordningens ikraftträdande. Förordningen innebär dryga sanktionsavgifter för den som inte säkerställer att den registrerade är tillräckligt informerad och att all behandling av personuppgifter sker på en rättslig grund. Denna uppsats utforskar två av dessa företags agerande, Google och Facebook. Dessa två företag är båda amerikanska men har en stor andel av sin marknad i Europa. Därmed så måste de båda företagen tillämpa dataskyddsförordningen och de måste se till att följa den. Företagen är speciella för att information är deras handelsvara. Genom att samla information och sedan rikta anpassade annonser mot användarna tjänar de pengar. Deras verksamheter har samtidigt blivit några av våra viktigaste forum och informationskällor, närmast vitala för det demokratiska samhället under 2010-talet. Vi har dock blivit påminda om vad som kan hända om den insamlade informationen missbrukas. Frågan är nu vad som har hänt i och med dataskyddsförordningens ikraftträdande. Har vår personliga integritet nu plötsligt blivit så pass skyddad som mailen antyder? Har vi fått någon som helst makt över Googles och Facebooks hantering av personuppgifter? Har vi fått en större kontroll? Dessa är några av de frågor den här uppsatsen utforskar.

The aim of this thesis is to examine what kind of archival issues have been discussed in the legislation process that lead to the Swedish national Data Protection Act and the associated regulation with additional terms, if achange in focus occurred during this process and examine how these results show about how legislative actorsview personal privacy. To answer that aim a critical discourse analysis of the legislative documents from theGeneral Data Protection Regulation (GDPR) leading up to the complete legislative acts was used in combinationwith Pekka Henttonens theory about how the nature of privacy issues has changed in a more digitalized environment. A result of the analysis is that the themes of the archival issues that is being discussed in the legislative processis mostly related to general rules, sensitive information, safe guards, further processing, archival materialthat has been submitted to an archive authority, and certain exceptions from some of the rights of the data subject.These themes are being discussed both in relation to those kinds of archives that is governed by archivallegislation and those kinds of archives that are not governed by archival legislation. Another result of the study isthat even though several attempts to affect the legislative process is made by respondents very few changes isactually made after the inquiry report is completed. The last result of the study is that the legislative actors havenot fully changed their view on privacy, even though some aspects of it has changed.This is a two years master’s thesis in Archival Science.

Sedan GDPR trädde i kraft har skyddet för personuppgifter stärkts och harmoniserats inom EU. GDPR tillförsäkrar fysiska personer en grundläggande rättighet till skydd för personuppgifter. Den som behandlar personuppgifter åläggs ett särskilt ansvar. Enligt huvudregeln är det förbjudet att överföra personuppgifter till tredjeland. För att tredjelandsöverföring ska vara tillåten, krävs att flera undantagsvillkor är uppfyllda. Den som ansvarar för behandling av personuppgifter, och inte uppfyller villkoren, riskerar dels skadeståndsansvar, dels administrativa sanktionsavgifter upp till så mycket som 20 000 000 euro, eller 4 % av den årliga omsättningen. Syftet med uppsatsen är att redogöra för de handlingsalternativ en kommersiell aktör har, för att tredjelandsöverföring av personuppgifter ska vara tillåten, vid lagring av personuppgifter hos molntjänstleverantör. För att besvara syftet har vi analyserat relevant svensk och EU-rättslig reglering, doktrin, praxis samt rekommendationer och riktlinjer utgivna av EDPB. Vi tillämpar en rättsdogmatisk och en EU-rättslig metod, vilket innebär att vi använder de allmänna rättskällorna, som för svensk rätt utgörs av lagar, förarbeten, praxis och doktrin. EU-rättslig praxis på området är begränsat och en betydelsefull dom avkunnades i närtid. Rättsläget efter domen är relativt oprövat. Den som behandlar personuppgifter är personuppgiftsansvarig. För denne föreligger ansvar att säkerställa att skyddet för personuppgifterna upprätthålls om uppgifterna överförs till tredjeland. Vid behandling av personuppgifter via molntjänst finns risk att personuppgifterna överförs till ett tredjeland, utanför den personuppgiftsansvariges kontroll. Om molntjänstleverantören faller under amerikansk jurisdiktion, kan amerikanska myndigheter med stöd av sin interna rätt, under vissa omständigheter, begära ut uppgifter från molntjänstleverantören. Kapitel V i GDPR reglerar ett antal undantag, som en personuppgiftsansvarig kan åberopa vid tredjelandsöverföring. Oavsett vilket verktyg som väljs, och oavsett om alla villkoren uppfylls, så har EU-domstolen genom Schrems II fastställt, att det i mottagarlandet måste finnas en adekvat skyddsnivå för personuppgifter, och att mottagarlandets interna rätt inte får urholka eller undanröja det skydd som säkerställs genom GDPR. Med adekvat skyddsnivå menas ett väsentligt likvärdigt skydd som tillförsäkras av EU-rätten.

No description available.

This thesis examines the legal means by which the Swedish government authorities can outsource personal data to be processed on digital clouds by private cloud providers as of May 25th, 2018. The objective of the thesis is to identify and examine to which extent legal obstacles and restrictions to such procedures occurs in the personal data protection regulation. Cloud computing is an information technology business model which could provide government au-thorities with higher administrative efficiency and lower administrative costs. The essential charac-teristics of cloud computing require that the cloud providers are entrusted with a portion of control of the IT-environment and data security, depending on the types of clouds and services provided. The thesis analyses particularly two questions. The first question is to which extent the legal require-ment to provide personal data with an appropriate level of security constrains government authori-ties to submit control of the IT-environment to private contractors. The second question targeted in the thesis is whether government authorities can disclose personal data that is subjected to official secrecy to the cloud providers.

No description available.

The purpose of this study is to analyze the Swedish debate about integrity represented by the GDPR regulation. The study focuses on and compares the debate within the parliament and the debate within the media. Critical discourse analysis has been the method used to discover how the debate about GDPR in Sweden has developed and shaped. To interpret the result of the study the political science theories public choice and normative institutionalism have been used. The three most dominant discourses in the debate were the relationship between GDPR and Swedish law, how GDPR affects innovation and economic growth and also insight in how actors collect and handles personal data. It can also be concluded that the debate within the parliament is rather absent due to lack of disagreement. The debate that occurred within the media contains a higher level of conflict and appears to be more dynamic. Both theories used to interpret the result can be, to some extent, useful when trying to understand why the debate turned out the way it did. To gain more understanding about political conflicts concerning integrity within the information society more studies need to be accomplished.

This thesis project aimed to design and implement a secure system for handling and safeguarding personal data. The purpose of the work is to prevent unauthorized actors from gaining access to systems and data. The proposed solution is a Zero Trust architecture which emphasizes strong security measures by design and strict access controls. The system must provide minimal access for users and should be integrated with the existing cloud-based infrastructure. The result is a system that leverages Keycloak for identity management and authentication services, GitLab to provide a code hosting solution, GPG for commit signing, and OpenVPN for network access. Through the utilization of Gitlab, Keycloak and OpenVPN the system achieved a comprehensive design for data protection, user authentication and network security. This report also highlights alternative methods, future enhancements and potential improvements to the completed system. / Målet med denna rapport är att designa och implementera ett säkert system för hantering och skydd av personlig data. Syftet med arbetet är att förhindra obehöriga att få tillgång till system och data. Den föreslagna lösningen är en Zero Trustarkitektur som betonar skärpta säkerhetsåtgärder genom design och strikta åtkomstkontroller. Systemet måste ge minimal åtkomst för användare som brukar det och integreras med den befintliga molnbaserade infrastrukturen. Resultatet är ett system som använder Keycloak för hantering av identiteter och autentisering, GitLab för att tillhandahålla ett kodarkiv där användare kan ladda upp sin kod, GPG för att signera commits, och OpenVPN för nätverksåtkomst. Genom användning av GitLab, Keycloak och OpenVPN uppnådde systemet en omfattande design för dataskydd, användarautentisering och nätverkssäkerhet. Denna rapport nämner också alternativa metoder, framtida och potentiella förbättringar av det färdiga systemet.

I den digitala världen som vi lever i är vi mer uppkopplade och hanterar mer information än någonsin tidigare. Informationen, som i fel händer kan leda till katastrofala händelser för dagens företag. En viktig aspekt som ofta diskuteras är de anställda som ofta regleras av företagsspecifika policyer för att hålla företaget på en säker väg. Efterlevnad från de anställda är inte så enkelt som att bara tala om för dem att följa företagets regler, det måste finnas något mer för att motivera de anställda och därigenom skapa en säker miljö att arbeta inom. Denna rapport presenterar en studie där forskning har utförts för att analysera hur företag i Sverige arbetar för att höja efterlevnaden av företagets policyer med fokus påinformationssäkerhet och medvetenhet om informationssäkerhet. Genom att använda grounded theory i kombination med kvalitativa, semistrukturerade intervjuer med en representant från varje företag som har ansvar för företagets informationssäkerhet, har vi studerat vilka metoder företag använder för att öka efterlevnaden av deras policyer. Resultaten visar att utbildning är en viktig metod som tillämpas, men det finns fleraolika variationer av utbildning och företagen skiljer sig åt i hur de informerar sina anställda om risker som är kopplade till policyer. En annan upptäckt som har kommit fram i denna forskning är att ansvaret för utbildning och policyer är snarlika blandföretagen. I slutsatsen av denna rapport presenteras rekommendationer som potentiellt kan hjälpa företag att öka efterlevnaden av sina IT-policyer. Dessa rekommendationer baseras på de metoder som har framkommit i de intervjuer som utförts i denna studie.

No description available.