GDPR och registrerades rättigheter

Organisationer måste fastställa en rättslig grund innan de behandlar personuppgifter. GDPR definierar sex grunder: Samtycke (frivilligt, specifikt, informerat och otvetydigt); Avtal (nödvändigt för att fullgöra ett avtal med den registrerade); Rättslig förpliktelse (krävs enligt lag); Skydd av grundläggande intressen (att skydda någons liv); Uppgift av allmänt intresse (allmänt intresse eller myndighetsutövning); samt Berättigat intresse (vägt mot den registrerades rättigheter). Samtycke måste uppfylla höga krav – förkryssade rutor räknas inte.

Artikel 5 i GDPR fastställer sju principer. Laglighet, korrekthet och öppenhet – data ska behandlas lagligt och öppet. Ändamålsbegränsning – data som samlats in för ett ändamål får inte användas för ett annat utan en ny rättslig grund. Uppgiftsminimering – samla endast in det som är absolut nödvändigt. Korrekthet – håll uppgifterna uppdaterade. Lagringsminimering – behåll inte data längre än nödvändigt. Integritet och konfidentialitet – tillämpa lämpliga säkerhetskontroller. Ansvarsskyldighet – organisationer måste kunna visa att de följer reglerna.

GDPR ger enskilda personer (registrerade) flera rättigheter som kan göras gällande. Rätten till åtkomst (artikel 15) ger personer möjlighet att begära en kopia av alla personuppgifter som en organisation har om dem, tillsammans med uppgifter om behandlingens ändamål, lagringstider och mottagare hos tredje part. Organisationer måste svara inom en månad (vilket kan förlängas till tre månader vid komplexa begäranden). Rätten uppfylls genom en process för Subject Access Request (SAR) som de flesta GDPR-kompatibla organisationer beskriver i sin integritetspolicy.

Rätten till radering (”rätten att bli bortglömd”, artikel 17) ger personer möjlighet att begära radering av sina uppgifter när de inte längre behövs, när samtycke återkallas eller när uppgifterna har behandlats olagligt. Rätten till rättelse (artikel 16) ger personer möjlighet att korrigera felaktiga eller ofullständiga uppgifter. Ingen av rättigheterna är absolut – uppgifter som behövs för att uppfylla en rättslig förpliktelse eller försvara rättsliga anspråk behöver inte raderas. Dessa rättigheter skapar betydande utmaningar för dataarkitekturen, särskilt i system med replikerade eller arkiverade databaser.

Rätten till dataportabilitet (artikel 20) ger personer möjlighet att få sina personuppgifter i ett strukturerat, maskinläsbart format (JSON, CSV) och överföra dem till en annan personuppgiftsansvarig, vilket underlättar byte mellan tjänsteleverantörer. Rätten att göra invändningar (artikel 21) ger personer möjlighet att stoppa viss behandling, särskilt direktmarknadsföring (som måste stoppas omedelbart efter en invändning) eller behandling som grundar sig på berättigat intresse (där organisationen måste visa tvingande skäl för att fortsätta).

Enligt artikel 33 i GDPR måste organisationer inom 72 timmar från det att de blivit medvetna om en personuppgiftsincident som medför risker för enskildas rättigheter meddela sin tillsynsmyndighet (den nationella dataskyddsmyndigheten, till exempel Storbritanniens ICO eller Tysklands BSI). Om incidenten sannolikt leder till hög risk för enskilda personer måste de berörda registrerade också meddelas direkt utan onödigt dröjsmål (artikel 34). Tidsfristen på 72 timmar är betydligt kortare än tidsfristerna för rapportering av dataintrång i många amerikanska delstatslagar.

GDPR kräver att vissa organisationer utser ett dataskyddsombud (DPO): offentliga myndigheter, organisationer som behandlar känsliga data i stor omfattning (hälso- och sjukvårdsuppgifter, biometriska uppgifter eller brottsuppgifter) eller organisationer som bedriver storskalig systematisk övervakning (beteendebaserad annonsering). DPO:t måste ha expertkunskaper inom dataskyddslagstiftning, vara oberoende (får inte utsättas för disciplinära åtgärder för att utföra sina DPO-uppgifter) och fungera som organisationens huvudsakliga kontaktpunkt gentemot tillsynsmyndigheten. Organisationer som inte är skyldiga att utse ett DPO gör det ofta frivilligt för att stärka sin ansvarsskyldighet.

GDPR begränsar överföring av personuppgifter till länder utanför EU/EES, såvida inte ett tillräckligt skydd finns. Beslut om adekvat skyddsnivå erkänner länder med motsvarande skyddsnivåer (Japan, Kanada, Storbritannien efter Brexit och USA enligt EU–US Data Privacy Framework). Om ett sådant beslut saknas använder organisationer Standard Contractual Clauses (SCCs) – förhandsgodkända standardavtalsklausuler – eller Binding Corporate Rules (BCRs) för överföringar inom koncerner i multinationella företag. Obehöriga internationella dataöverföringar är en vanlig grund för GDPR-tillsynsåtgärder.

GDPR har två nivåer av administrativa sanktionsavgifter. Nivå 1 (lägre): upp till 10 miljoner euro eller 2 % av den globala årsomsättningen för överträdelser som att inte föra register, brister i rapporteringen av dataintrång eller otillräckliga avtal med personuppgiftsbiträden. Nivå 2 (högre): upp till 20 miljoner euro eller 4 % av den globala årsomsättningen för grundläggande överträdelser – olaglig behandling, avsaknad av rättslig grund eller överträdelser av registrerades rättigheter. Bland uppmärksammade tillsynsåtgärder finns sanktionsavgifter mot Google (50 miljoner euro), Meta (1,2 miljarder euro) och Amazon (746 miljoner euro).

I den här lektionen har du lärt dig att GDPR reglerar personuppgifter för personer bosatta i EU och gäller globalt, med sanktionsavgifter på upp till 4 % av den globala omsättningen, att sex rättigheter för registrerade omfattar åtkomst, radering, rättelse, dataportabilitet, invändning och begränsning, samt att rapportering av dataintrång inom 72 timmar till tillsynsmyndigheter är obligatorisk vid incidenter som medför risker för enskildas rättigheter. Nästa avsnitt handlar om HIPAA, PCI-DSS och sektorsspecifika krav på regelefterlevnad.