Den 25e maj 2018 träder den nya dataskyddsförordningen, GDPR, i kraft. I och med detta kommer alla medlemsstater i den europeiska unionen få en gemensam lag som skärper tidigare regler och ställer högre krav på organisationers personuppgiftsbehandling. Syftet med detta arbete har varit att undersöka och kartlägga hur verksamheter som behandlar känsliga personuppgifter anser sig bli påverkade av GDPR, samt hur de arbetar för att uppfylla kraven från denna nya förordning. Känsliga personuppgifter är sådana som exempelvis avslöjar en persons sexuella läggning, politiska åsikt, religiösa övertygelse eller fackliga tillhörighet och för att uppfylla syftet utfördes därför en fallstudie på sex stycken fackförbund av olika storlek. Datainsamlingen gjordes med hjälp av intervjuer med en person från varje förbund som har god insikt och överblick över organisationens GDPR-arbete. Resultaten från studien visar att fackförbunden anser att den nya dataskyddsförordningen är komplex och svårtolkad men att den ändå medför positiva konsekvenser för både organisationen och medlemmarna. Alla personuppgifter som fackförbunden hanterar faller direkt under känsliga personuppgifter eftersom de kan härledas till facklig tillhörighet, och detta gör att förbunden anser sig ställas inför högre krav på informationssäkerhet i jämförelse med många andra verksamheter. Bland annat möter de stora utmaningar i hur de skall kunna kommunicera med sina medlemmar i framtiden eftersom missbruksregeln försvinner och även ostrukturerat material inkluderas i den nya dataskyddsförordningen. Det går inte att säga generellt vilka åtgärder förbunden vidtagit för att förbereda sig inför de nya kraven från GDPR men det är tydligt att både tekniska och administrativa säkerhetsåtgärder behövs. Exempelvis uppgraderar många av förbunden sina IT-system och upphandlar helt nya ärendehanteringssystem, samtidigt som de dessutom inför rutiner för gallring och för hantering av personuppgiftsincidenter. / On 25 May 2018, the new data protection regulation, GDPR, will come into effect. With this, all members of the European Union will have a common law that sharpens previous rules and puts higher demands on organisations' personal data processing. The purpose of this study has been to investigate and map how businesses dealing with sensitive personal data consider themselves being affected by GDPR, and how they work to meet the requirements of this new regulations. Sensitive personal data are what for example reveals a person's sexual orientation, political opinion, religious conviction or union affiliation and therefore, to fulfil the purpose, a case study with six trade unions of different sizes was performed. The data collection was made with help of interviews with one person from each trade union, who has good insight and overview over the organisation's work with the GDPR. The results from the study show that the trade unions find the new data protection regulation to be complex and hard to interpret but that it nevertheless causes positive consequences for both the organisation and the members. All personal data that the trade unions handle fall directly under sensitive personal data since they may be derived to union affiliation and this leads to where the trade unions considering themselves facing higher demands on information security in comparison to many other businesses. Among other things, they face major challenges in how they are going to communicate with their members in the future, as even unstructured material is included in the new data protection regulation.  It's not possible to say in general what actions the unions have taken to prepare for the new requirements of the GDPR, but it's clear that both technical and administrative safety actions are needed. For example, many of the unions are upgrading their IT systems or purchasing brand new case management systems while also introducing new routines for clearing of data and for management of personal data incidents.

In Sweden, camera surveillance in places where the public own access is regulated by a permit. This entails a lack of permit requirement for camera surveillance in places where the public does not own access. Such places can consist of a privacy-sensitive character. Surveillance constitutes processing of personal data whereupon the General Data Protection Regulation (GDPR) must be complied with.  Article 6 of the GDPR stipulates various legal bases that must be met in the processing of personal data. The ones who conduct surveillance in places where the public does not own access often fails to make correct legal assessments of Article 6(1)(e) and 6(1)(f) of the GDPR, as displayed by various supervisory decisions issued by the Swedish Authority for Privacy Protection. In this light, the purpose of the thesis is to examine and analyze how the ones who conduct surveillance and the Swedish Authority for Privacy Protection consider the personal integrity of the camera monitored individual in the assessments of Article 6(1)(e) and 6(1)(f) of the GDPR during camera surveillance without permit requirement in places where the public does not own access. Because of the differences between the legal assessments made by the ones who conduct camera surveillance and the Swedish Authority for Privacy Protection, the thesis also intends to shed light on the consequences that arise for the camera monitored individual by the fact that their personal integrity is assessed in different ways. The thesis also aims to evaluate the Swedish Authority for Privacy Protections’ supervisory work in relation to both personal integrity and the compliance with Article 6(1)(e) and 6(1)(f) of the GDPR during camera surveillance without permit requirement in places where the public does not own access. The Swedish Authority for Privacy Protections’ supervisory work is important as most of the camera surveillance takes place without a permit requirement and the fact that there is a lack of knowledge prevailing to the number of cameras in use. It is important that the Swedish Authority for Privacy Protections’ supervisory work is well-functioning since the ones who conduct surveillance carry out the legal assessments incorrectly. The risk with insufficient supervisory work is that personal integrity is violated and that the GDPR is ineffectual in the long run. In general, it can be said that the legal assessments of Article 6(1)(e) and 6(1)(f) of the GDPR are poorly carried out by both the ones who conduct surveillance and the Swedish Authority for Privacy Protection. This primarily affects the camera monitored individuals’ personal integrity. Because of the indications of shortcomings in the supervisory work, there are several improvement measures that can be taken to maintain personal integrity and ensure that the Swedish Authority for Privacy Protection continue to constitute an important function.

Frågan om rätten till personlig integritet är aktuell på ett helt annat sätt idag än den var på 1990-talet. Sedan dataskyddsdirektivet trädde i kraft har behandlingen av personuppgifter ökat exponentiellt. Informationsteknik har möjliggjort en omfattande kartläggning av personers beteenden online. Idag använder många webbplatser funktioner för att samla in och på andra sätt behandla sina besökares personuppgifter. Samtidigt har informationen om personuppgiftsbehandlingen som ges till enskilda på webbplatser i många fall blivit omfattande och komplicerad. Ett av syftena med den nya dataskyddsförordningen är att bygga upp konsumenters förtroende för handel på internet. Förordningen syftar även till att stärka skyddet för enskildas personliga integritet. Bestämmelserna kan anses vara svårtydda, vilket kan leda till att skyddet som bäst blir oförändrat. I ett samhälle som blir alltmer digitaliserat tycks det önskvärt att de moderna reglerna håller vad de lovar, annars kan konsekvenserna bli stora. I denna uppsats diskuteras om dataskyddsförordningens krav på informerat samtycke förbättrar förutsättningarna för ett effektivt skydd för den personliga integriteten. De nya bestämmelserna är mer omfattande men har kritiserats för att vara otydliga, närmare principer i direktiv snarare än direkt tillämplig förordningstext. Bestämmelserna behöver också vägas mot andra rättigheter. Därför kan bestämmelserna om samtycke och informationsplikt leda till ett sämre skydd för enskilde om inte tydlig vägledning ges. Det är därför en risk som kommer behöva beaktas vid tillämpningen av förordningen. Om personuppgiftsansvariga saknar vägledning finns en risk att bestämmelserna i praktiken inte ger enskilda den kontroll över sina personuppgifter som var avsedd.