Den 25 maj 2018 ersätts personuppgiftslagen (1998:204) (PuL) av dataskydds­förordningen (General Data Protection Regulation; GDPR).   Syftet är att modernisera reglerna som följer av dataskyddsdirektivet från 1995 och få till stånd en mer enhetlig tillämpning, inom EU. På många områden stärks de registrerades rättigheter. Skyldigheterna ökar eller blir förtydligade för person­uppgiftsansvariga.   Implementeringen av de nya dataskyddsreglerna får konsekvenser för person­uppgiftsansvariga och personuppgiftsbiträden. För många handlar det om ett stort arbete med förberedelser. Anpassningarna leder otvivelaktigt till kostnader för personuppgifts­ansvariga och den tid och resurser som krävs kan försena andra utvecklingsprojekt. De nya reglerna om administrativa sanktionsavgifter får stor inverkan på personuppgifts­ansvariga.   Det finns också positiva effekter av GDPR, såsom ett ökat skydd för den värdefulla kunddatabasen. Det är viktigt att värna om kundernas förtroende, och en seriös integritetspolicy har betydelse. GDPR bidrar till att skapa och upprätthålla detta förtroende, genom klar och tydlig information och öppenhet. Vid en framtida försäljning av verksamheten har kunddatabasen, konton etc. ett värde; alltså gäller det att skydda den tillgången.   I uppsatsens analys av skillnaderna mellan PuL och GDPR får vi följa en case study, där ett företag är mitt uppe i ett pågående GDPR-projekt. Vi får ta del av tolkningar och anpassningar till de nya reglerna. Uppsatsen avslutas med ett förslag på hur person­uppgiftsansvariga kan förbereda sig inför en lyckad anpassning till GDPR.

<p>Störande passagerare kan utgöra ett flygsäkerhetsproblem för flygbolag. Ett möjligt alternativ för flygbolagen att undvika sådana passagerare på sina flygningar är att upprätta svarta listor över dessa passagerare för att sedan hindra sådana att boka flygbiljett med flygbolaget. Detta är en form av behandling av personuppgifter, vilket regleras av bestämmelser i personuppgiftslagen (1998:204) som är ett resultat av ett EG-direktiv. Grunden för tillåten behandling av personuppgifter är att den enskilde har medgivit sitt samtycke till sådan behandling. Eftersom det rimligen kan antas att en passagerare inte kommer att samtycka till att han eller hon kan komma att registreras i en svart lista över störande passagerare, fokuserar uppsatsen på huruvida svartlistning är tillåten utan medgivit samtycke.</p><p>Kärnfrågan i analysen rör huruvida flygbolagens intresse av att trygga säkerheten väger tyngre än passagerarens skydd mot kränkning av sin personliga integritet. Analysen visar på att en intresseavvägning öppnar för möjligheten att upprätta svarta listor. En ytterligare möjlighet att svartlista störande passagerare som utreds är om flygbolagen kan upprätta svarta listor för att fullgöra ett avtal.</p>

Störande passagerare kan utgöra ett flygsäkerhetsproblem för flygbolag. Ett möjligt alternativ för flygbolagen att undvika sådana passagerare på sina flygningar är att upprätta svarta listor över dessa passagerare för att sedan hindra sådana att boka flygbiljett med flygbolaget. Detta är en form av behandling av personuppgifter, vilket regleras av bestämmelser i personuppgiftslagen (1998:204) som är ett resultat av ett EG-direktiv. Grunden för tillåten behandling av personuppgifter är att den enskilde har medgivit sitt samtycke till sådan behandling. Eftersom det rimligen kan antas att en passagerare inte kommer att samtycka till att han eller hon kan komma att registreras i en svart lista över störande passagerare, fokuserar uppsatsen på huruvida svartlistning är tillåten utan medgivit samtycke. Kärnfrågan i analysen rör huruvida flygbolagens intresse av att trygga säkerheten väger tyngre än passagerarens skydd mot kränkning av sin personliga integritet. Analysen visar på att en intresseavvägning öppnar för möjligheten att upprätta svarta listor. En ytterligare möjlighet att svartlista störande passagerare som utreds är om flygbolagen kan upprätta svarta listor för att fullgöra ett avtal.

The Lugnetgymnasium in Falun has a graphic education that supplies a color printer, which is availablefor the students in their hall. The printer is a Ricoh AFC 6513 and it is a model that can handlevariable data. It was bought in the autumn of 2002. The teachers of the graphic education want to makeuse of the variable data function and procure a variable data software. The purpose of this project is toevaluate variable data software’s, so that the most suitable choice of software can be made for the graphiceducation. To be able to make this choice, criterions has been made what the variable data softwarewill fulfil. Different software’s of variable data has been examined and a summary was made whichtells what software that fulfils all the criterions. The software’s that seemed appropriate for the graphiceducation were PrintShop Mail and Personalizer-X. Adecision which one of these software’s thatwill be purchase was made by the teachers on the graphic education. Tests and a more detailed studyon the software’s have been done. The information has later been presented for the teachers. They madea decision, which were Personalizer-X. After this decision, an easier manual for Personalizer-X wasmade. The purpose with the manual is that the students on the graphic education, quickly and easy canget started with the use of variable data.

Vår studie granskar personuppgiftshanteringen i Uppsala kommun och undersöker hur internationella dataskyddsriktlinjer påverkar deras arbete. Vår forskningsmetod är fallstudie och som datainsamlingsmetod utförde vi semistrukturerade intervjuer med personuppgiftsombudet på Uppsala kommun. Vi har sedan analyserat och diskuterat resultaten kvalitativt. De internationella riktlinjer vi studerat mest ingående är EU:s dataskyddsdirektiv, EU:s kommande dataskyddsförordning, OECD:s ”Privacy Framework” och FN:s ”Guidelines Concerning Computerized Personal Data Files”. Vi har även undersökt vilka svenska lagar som påverkar kommunens arbete, främst Personuppgiftslagen. Resultatet av studien är att Uppsala kommuns arbete påverkas i hög grad av EU: direktivet, och i framtiden kommer de påverkas ännu mer av EU: förordningen. Det är dock inte på eget bevåg de valt att följa EU:s riktlinjer, utan det är på grund av att den svenska lagstiftningen är baserad på EU:s regleringar. Personuppgiftslagen är Sveriges tolkning av EU: direktivet. På grund av detta är Uppsala kommun tvungen att anpassa sig efter EU:s riktlinjer.

Den 25 maj 2018 kommer Personuppgiftslagen (PuL) att ersättas av EU-förordningen GeneralData Protection Regulation (GDPR). Denna studie har granskat vilka skillnader som finnsmellan GDPR och PuL och även hur företag planerar att hantera de förändringar som GDPRkommer att medföra. Även om GDPR i många avseende är lik PuL kommer den nyaförordningen att påverka allt ifrån den enskilda individen till de största organisationerna.Förordningen kommer innebära mer rättigheter och bättre skydd för den registrerade, vilketbetyder att det kommer ställas högre krav på de företag som behandlar personuppgifter. De nya kraven kommer innebära ett omfattande anpassningsarbete inom flera områden. Delskommer det behöva ske administrativa och juridiska förändringar inom verksamheten i form avnya eller uppdaterade avtal. Det kan även komma att krävas tekniska åtgärder för att hanterafrågor som “Rätten att bli glömd”, ”Dataportabilitet”, ”Registerföring” samt det förstärktaskyddet av personuppgifter. Det ställs även krav på att personuppgiftsincidenter måsterapporteras till tillsynsmyndigheten vid upptäckande. Då tillämpningsområdet utökas medfördetta att personuppgifter som lagras ostrukturerat kommer omfattas av lagstiftningen. För attuppnå efterlevnad av förordningen införs krav på att i vissa fall utse ett “Dataskyddsombud” iverksamheten; tillsynsmyndigheten får även befogenhet till att utdöma mycket kraftigasanktioner vid överträdelse av förordningen. Beroende på hur en verksamhets personuppgiftshantering ser ut i dagsläget kan dennaanpassning bli mer eller mindre omfattande. Anpassningsarbetets omfattning påverkas av ettantal faktorer exempelvis under vilka förutsättningar som behandlingen sker i nuläget och ivilken omfattning denna sker. Inställningen till förordningen bland företag är varierande, de som tar den på allvar har insettatt nya krav kommer att ställas på deras verksamheter och har påbörjat arbetet för att anpassasin verksamhet. Andra anser att de inte berörs i samma utsträckning och är därför inte likaoroliga. På det stora hela kommer förordningen göra att personuppgiftsbehandlingen inomEU/ESS blir säkrare även om resan dit kan kosta. / On the 25th of May 2018 the Swedish Personal Data Act (Personuppgiftslagen, PuL) will be replaced by the EU-regulation General Data Protection Regulation (GDPR). The aim of this study was to determine the big differences between PuL and the GDPR while also looking at how organisations plan to handle the changes that the new regulation will bring. PuL and GDPRare in many ways similar but there are some major changes that will affect every person and every organisation within the EU/EES. The regulation will mean better and morecomprehensive rights for the individual, which in turn will result in higher requirements beingput on the companies who process personal data. The new requirements will result in extensive work within several areas to adapt to the new regulation. The legal and administrative sections will need to review their current contracts &amp; agreements and update them if necessary. There may also need to implement technical solutionsto manage the requirements concerning “the right to be forgotten”, “data portability”, “recordkeeping” and the improved protection of personal data. According to the regulationorganisations are required to notify the supervisory authority of any data breach concerningpersonal data. The change in material scope will result in personal data stored in an unstructuredway being covered by the GDPR. To make companies follow the new legislation thesupervisory authority gains the power to levy significant fines if organisations violate the newregulation; in addition some organisations will need to appoint a “Data protection officer”that’ll monitor the processing of personal data. There are several factors that will determine the amount of work required to reach compliance;for example the size of the corporation and the extent of their current processing of personaldata. The attitude to the new regulation vary, those that take the regulation seriously have realisedthat there will be new demands put on their business, and have already started to adapt theirbusiness to reach compliance with the regulation. There are others that deem that they will notbe affected to the same extent and are therefore not as worried. In the great scope of things, theregulation will make the processing of personal data more secure within the EU/EES eventhough the peregrination to reach compliance may turn out to be a costly one.

No description available.

Den 25e maj 2018 ersätts personuppgiftslagen (PuL) med den nya dataskyddsförordningen (GDPR) som skärper till och stramar åt kraven som ställs på företag och organisationer som behandlar personuppgifter. Det finns dock flera saker som är densamma mellan PuL och GDPR. Syftet med den här undersökningen är att försöka ta reda på hur förberedda organisationer är inför GDPR genom att undersöka vilka tekniska förändringar de har behövt införa för att uppfylla de nya kraven. Genom att utföra en kvalitativ intervjustudie på organisationer som behandlar personuppgifter i enlighet med PuL och GDPR. De utvalda företagen är sådana som har möjlighet att kartlägga konsumtionsvanor kopplat till konsumenten genom t.ex. en kundklubb. För att uppfylla syftet och svara på forskningsfrågan används två delfrågor, vad de har för tekniska lösningar under PuL och vad de har behövt förändra inför GDPR. Baserat på dessa och den bakomliggande teorin har ett intervjuunderlag tagits fram för att försöka få svar på dessa frågor. Utöver intervjuerna analyseras även samtyckesavtal för att se om det går att dra några slutsatser baserat på dessa om de har tekniska lösningar för att uppfylla GDPR. Det förväntade resultatet som fanns vid undersöknings start var att organisationer inte har det som krävs för PuL och ännu mindre det som krävdes för GDPR, de bör alltså ha varit tvungna att införa nya tekniska lösningar. Resultatet från undersökningen visar att det är en väldig skillnad på hur organisationerna har jobbat med PuL, och att enbart enstaka har använt sig av kryptering för att skydda uppgifterna medans näst intill alla har jobbat med anonymisering. Inför GDPR går organisationerna lite åt samma håll då de flesta uppger att de jobbar med kryptering, åtkomstkontroller och anonymisering. Samma sak gäller dataportabilitet och säkerhetskopieringssystem för att undvika att bortglömda konsumenter återställs från säkerhetskopior, då majoriteten av organisationerna uppger att de inte kommer ha stöd för det. Något som även alla organisationer uppgav var att de inte kommer att vara färdiga med anpassningen och att en stor del av arbetet innebär processer och rutiner. / May 25th, 2018, the Personal Data Act (PuL) will be replaced by the new General Data Protection Regulation (GDPR), which will tighten the requirements placed on companies and organizations that are processing personal data. However, many things will remain the same between PuL and GDPR. The purpose of this study is trying to find out how prepared the organizations in question are facing the GDPR, by investigating which technical changes they should introduce to meet the new requirements. By performing a qualitative interview study on organizations that are processing personal data in accordance with PuL and GDPR. The chosen companies have the possibility to map consumption habits linked to the consumer, for example by a loyalty club. To satisfy the purpose of this study and answer the research question, two sub questions are used, what technical solutions they have used for PuL and what changes they have introduced for GDPR. Based on these two sub questions and the background theory, an interview background has been developed trying to answer these questions. In addition to the interviews the consent agreement will be analyzed, to see if any conclusions about what technical solutions they have implemented to fulfill GDPR can be drawn. The hypotheses which was at the start of the survey were that the organizations don’t have what is required to fulfill PuL and even less of what is required to fulfill GDPR, they should have had to introduce new technical solutions. The result from the survey shows a big difference in how organizations have worked with PuL, and only a few of them have used encryption to protect the data and with almost all of them have worked with anonymization. When working with GDPR, the organizations are working in the same direction where all of them says that they are working with encryption, access controls and anonymization. The same applies to data portability and backup systems to avoid that forgotten consumers are recovered from backups. One thing that all organizations say is that they will not be ready with the adjustments and that a large proportion of the work involves processes and routines.

Utvecklingen av digital teknik tillsammans med nya affärsmodeller har nått nya nivåer under de senaste åren vilket har resulterat i att behandlingen av personuppgifter både ökat och förändrats. Problematiken med detta innefattar att den personliga integriteten i större utsträckning kränks. I syfte att harmonisera behandlingen av personuppgifter och att stärka skyddet av den personliga integriteten har EU infört en ny dataskyddsförordning. Förordningen träder i kraft den 25 maj 2018 och ska tillämpas i nationell lagstiftning vilket gör att den svenska personuppgiftslagen ersätts. Syftet med studien var att identifiera vilka åtgärder ett antal organisationer vidtagit för att följa dataskyddsförordningens regler samt vilka utmaningar som kan uppstå i omställningen. Studien är avgränsad till samtyckestexter och behandling av personuppgifter. Studien är kvalitativ och vi har med hjälp av intervjuer tagit del av ett antal organisationers syn på utmaningar och åtgärder gällande formuleringar av samtyckestexter och dess personuppgiftsbehandling. Slutsatsen i denna studie visar att samtliga organisationerna har problem att formulera samtyckestexter på ett informativt sätt vilket dataskyddsförordningen kräver. Organisationerna ser även utmaningar i behandlingen av personuppgifter. Dessa utmaningar består av komplexa IT-system innehållande mängder av personuppgifter som idag inte kan hanteras i enlighet med dataskyddsförordningen då relevant systemstöd saknas. / The rapid development of digital technology together with new business models has reached new levels in recent years, which has resulted in the processing of personal data both increasing and changing. The problem with this development involves the violation of personal integrity to a greater extent. In order to harmonize the processing of personal data and to strengthen the protection of personal privacy, the EU has introduced a new data protection regulation. The regulation will enter into force on May 25, 2018 and will apply in national legislation, which will replace the Swedish Personal Data Act. The purpose of the study was to identify what measures a number of organizations have taken to comply with the rules of data protection regulations and the challenges that may arise in the conversion. The study is limited to consent texts and processing of personal data. The study is qualitative and we have, through interviews, taken note of a number of organizations' views on challenges and measures regarding formulas of consent texts and their personal data processing. The conclusion in this study shows that all organizations have problems formulating consent texts in an informative way, which is required for adequate data protection. Organizations also see challenges in the processing of personal data. These challenges consist of complex IT systems containing amounts of personal data that today cannot be managed in accordance with the Data Protection Regulation, as relevant system support is lacking.

För att förbättra säkerhetsarbetet och för att skapa harmonisering inom EU vad gäller skydd av personuppgifter antogs i april år 2016 en ny EU-förordning om dataskydd, General Data Protection Regulation (GDPR), även benämnd Dataskyddsförordningen. Förordningen börjar gälla som lag i Sverige först den 25 maj år 2018. Införandet av förordningen kommer innebära att Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter samt Personuppgiftslagen (1998:204) (PUL) upphör att gälla. Det huvudsakliga syftet med Dataskyddsförordningen är att ytterligare harmonisera och effektivisera skyddet av personuppgifter för att förbättra den inre marknadens funktion samt att öka den enskildas kontroll över sina personuppgifter. Dataskyddsförordningen är direkt tillämplig som lag i samtliga medlemsländer och kommer efter ikraftträdande utgöra grunden för generell personuppgiftsbehandling inom hela EU.  Det har under de senaste åren blivit allt mer vanligt att företag, organisationer, kommuner och myndigheter använder sig av molntjänster. Molntjänster är intressanta ur ett juridiskt perspektiv eftersom de mest uppmärksammade juridiska frågeställningarna angående molntjänster är frågor hänförliga till hantering av personuppgifter och säkerhet.   I uppsatsen redogörs för införandet av Dataskyddsförordningen (GDPR) utifrån perspektivet företags, organisationer, kommuners och myndigheters användande av molntjänster. I uppsatsen beskrivs även molntjänsters funktioner och egenskaper. Dataskyddsförordningen är nyligen antagen och utgör ännu inte svensk lag, förordningen baseras däremot i stora delar på Dataskyddsdirektivets innehåll och struktur. Dataskyddsdirektivet och PUL studeras därför i uppsatsen för att få en förståelse för bestämmelserna i Dataskyddsförordningen. Molntjänster finns i flera olika tekniska lösningar och är även gränsöverskridande, vilket innebär att användande av molntjänster i vissa fall innebär att personuppgifter överförs till ett tredje land. Uppsatsen behandlar därmed tillämpliga bestämmelser avseende överföringar av personuppgifter till tredje land. Uppsatsen avslutas med en analys och en slutsats. I slutsatsen konstateras att förordningen ger ett förstärkt skydd för den registrerade vid hantering av personuppgifter i molntjänster samt att förordningens utökade territoriella tillämpningsområde innebär att förordningen är bättre anpassad till molntjänstanvändande. Vidare konstateras i slutsatsen att rättsläget för överföringar av personuppgifter till USA med stöd av Privacy Shield-överenskommelsen för närvarande är osäkert.