Uppfylla kraven

En organisation behöver inte bara se till att behandla personuppgifter i enlighet med den allmänna dataskyddsförordningen, men den måste också kunna visa att den uppfyller kraven. Detta inbegriper genomförande av inbyggt dataskydd, register över behandlingar och under vissa omständigheter genomförande av en konsekvensbedömning avseende dataskydd.

Som personuppgiftsansvarig, både när ni utformar en behandling och vid tidpunkten för behandlingen, måste ni vidta lämpliga åtgärder för att säkerställa att dataskyddsprinciperna följs. Ni måste också se till att, som standard, endast personuppgifter som är nödvändiga för varje specifikt ändamål behandlas (detta gäller mängden data, omfattningen av behandlingen, lagringsminimering och dess tillgänglighet).

En organisation som tillämpar inbyggt dataskydd och dataskydd som standard är, med andra ord, en organisation som beaktar och integrerar dataskydd och enskildas personliga integritet i alla aspekter och i varje skede av sin behandling, i de verktyg som används såväl som i övrig affärsverksamhet.

För att göra detta måste er organisation, innan ni påbörjar någon behandling, ta hänsyn till:

• arten, sammanhanget och omfattningen av den planerade behandlingen.
• de risker som kan uppstå till följd av den planerade behandlingen eller annan affärsverksamhet som kan påverka enskildas personuppgifter.
• de tekniska och organisatoriska åtgärder som bör vidtas för att minska de identifierade riskerna och därigenom säkerställa att enskildas personuppgifter skyddas på lämpligt sätt.
• de tekniska och organisatoriska åtgärder eller förfaranden som ska vidtas för att säkerställa att behandlingen av personuppgifter (särskilt insamling, lagring och övergripande användning av enskildas uppgifter) begränsas till vad som är nödvändigt mot bakgrund av de eftersträvade målen.

Det är bra att föra register över dessa bedömningar och åtgärder för att kunna visa att ni följer principerna om inbyggt dataskydd och dataskydd som standard. En godkänd certifieringsmekanism får också användas för att visa överensstämmelse med inbyggt dataskydd och dataskydd som standard.

Som organisation har ni en skyldighet att föra ett register över era behandlingar av personuppgifter. Detta register bör bevaras skriftligen, till exempel i elektronisk form.

Registret ger er en översikt över era behandlingar av personuppgifter. För att skapa ett sådant register bör ni identifiera vilken av era aktiviteter som kräver behandling av personuppgifter (t.ex. rekrytering, lönehantering, utbildning, passerkort och åtkomsthantering, lista över potentiella kunder etc.). Var och en av dessa behandlingar ska beskrivas i registret med följande uppgifter:

• syftet med behandlingen (t.ex. kundlojalitet);
• de kategorier av uppgifter som behandlas (t.ex. för löner: namn, förnamn, födelsedatum, lön osv.).
• vem som har tillgång till uppgifterna (mottagarna – t.ex. den avdelning som ansvarar för rekryteringen, IT-tjänsten, ledningen, tjänsteleverantörerna, partner...).
• i tillämpliga fall, information om överföring av personuppgifter utanför Europeiska ekonomiska samarbetsområdet (EES).
• om möjligt, lagringsperioden (den period för vilken uppgifterna är användbara ur operativ synvinkel och ur ett arkiveringsperspektiv).
• om möjligt, en allmän beskrivning av säkerhetsåtgärder.

Registret över behandlingar av personuppgifter faller under organisationens chefs ansvar. Detta register måste vara tillgängligt för dataskyddsmyndigheten i det EES-land där ni är verksamma, om så begärs.

Det är inte nödvändigt att organisationer som sysselsätter färre än 250 personer tar upp rent tillfällig verksamhet i sina register (t.ex. uppgifter som behandlas för enstaka evenemang såsom öppnandet av en butik.

Vad är en konsekvensbedömning?

Om en behandling sannolikt kommer att medföra en hög risk för enskilda personers fri- och rättigheter måste den personuppgiftsansvariga göra en konsekvensbedömning avseende dataskydd. En konsekvensbedömning av dataskydd är en skriftlig bedömning av en planerad behandling. Det hjälper er att identifiera lämpliga skyddsåtgärder för att minska riskerna och visa efterlevnad.

När ska man göra en konsekvensbedömning?

Det är alltid att föredra om er organisation kan förutse effekterna av planerad behandling genom att göra en konsekvensbedömning av dataskydd, men det är obligatoriskt att utföra en sådan konsekvensbedömning när behandlingen sannolikt kommer att leda till en hög risk för enskildas rättigheter och friheter.

Detta är särskilt fallet när den planerade behandlingen omfattar följande:

• behandling i stor skala av känsliga personuppgifter och uppgifter som rör fällande domar i brottmål.
• en systematisk och omfattande utvärdering av en persons personliga aspekter på grundval av automatiserad behandling, inbegripet profilering, och på vilka beslut som har rättslig verkan för den berörda personen eller på liknande sätt i betydande grad påverkar enskilda personer.
• systematisk övervakning av ett allmänt tillgängligt område i stor skala.

I de flesta fall bör behandling som uppfyller två av följande kriterier bedömas genom en konsekvensbedömning avseende dataskydd:

1. utvärdering eller poängsättning.
2. automatiserat beslutsfattande med rättslig eller liknande betydande effekt.
3. systematisk övervakning.
4. känsliga uppgifter eller uppgifter av mycket personlig karaktär.
5. uppgifter som behandlas i stor skala:
6. matchning eller kombination av datamängder.
7. uppgifter om sårbara registrerade.
8. innovativ användning eller tillämpning av nya tekniska eller organisatoriska lösningar.
9. när behandlingen i sig hindrar enskilda från att utöva en rättighet eller använda en tjänst eller ett avtal.

Vad ska man inkludera i en konsekvensbedömning?

Er konsekvensbedömning för dataskydd bör innehålla:

• en beskrivning av den planerade behandlingen och dess syfte.
• en nödvändighets- och proportionalitetsbedömning. 
• de risker som behandlingen kan medföra,
• åtgärder för att hantera riskerna.

Förhandssamråd under en konsekvensbedömning avseende dataskydd

När den personuppgiftsansvarige inte kan hitta tillräckliga åtgärder för att minska riskerna till en godtagbar nivå (dvs. de kvarstående riskerna är fortfarande höga) krävs samråd med dataskyddsmyndigheten. I så fall ska den registeransvarige tillhandahålla följande information:

• de respektive ansvarsområdena för de personuppgiftsansvariga, gemensamt personuppgiftsansvariga och personuppgiftsbiträden som deltar i behandlingen.
• syftet med behandlingen och hur behandlingen kommer att genomföras.
• de åtgärder som planeras för att skydda enskilda personers personuppgifter.
• kontaktuppgifter till dataskyddsombudet för er organisation, i förekommande fall;
• Konsekvensbedömningen i fråga.

Efter en konsekvensbedömning – Testa den, förbättra den, kontrollera den!

När er konsekvensbedömning är genomförd, måste ni testa den; förbättra den vid behov, utföra er personuppgiftsbehandling; göra en ny bedömning av om er konsekvensbedömning för dataskydd stämmer överens med behandlingen. och kontrollera utfallet.

Beroende på var er organisation är belägen inom EES kan det finnas föreningar eller andra organ som företräder personuppgiftsansvariga eller personuppgiftsbiträden. Dessa sammanslutningar och organ kan utarbeta uppförandekoder, inklusive mekanismer för uppgiftsskydd, som personuppgiftsansvariga och personuppgiftsbiträden kan följa för att säkerställa att enskildas personuppgifter respekteras i enlighet med GDPR.

Mer specifikt ska dessa uppförandekoder säkerställa t.ex. följande:

• att personuppgifter behandlas på ett rättvist och öppet sätt.
• att de ändamål för vilka enskilda personers uppgifter behandlas är berättigade,
• hur man pseudonymiserar personuppgifter;
• att öppen information ges till enskilda personer vars personuppgifter behandlas,
• samtycke till behandling av enskildas uppgifter, särskilt personuppgifter som rör barn, söks på lämpligt sätt.
• att alla tekniska och organisatoriska åtgärder vidtas för att säkerställa en säker behandling av enskilda personers uppgifter,
• att förfaranden för anmälan av personuppgiftsincidenter följs.
• att förfaranden, inbegripet skyddsåtgärder, i samband med överföring av personuppgifter till länder och organisationer utanför EES följs,
• att förfaranden i samband med domstolsförfaranden och tvistlösning följs.

Vad är en GDPR-certifiering?

En organisation som erhåller en GDPR-certifiering kan använda denna certifiering för att visa att dess behandling är förenlig med GDPR.

EES-ländernas dataskyddsmyndigheter kan t.ex.

• utfärda GDPR-certifieringar enligt sitt eget certifieringssystem,
• utfärda GDPR-certifieringar i sig, enligt sitt eget certifieringssystem, men också delegera hela eller delar av bedömningsprocessen till tredje part,
• inrätta ett eget certifieringssystem och ge särskilda organ i uppdrag att utfärda dessa certifieringar,
• uppmuntra marknaden att utveckla certifieringsmekanismer,
• bedöma certifieringsorganens certifieringssystem.

Ett certifieringsorgan har till uppgift att utfärda, granska och återkalla certifieringar på grundval av en certifieringsmekanism och godkända kriterier.

Certifieringsorgan måste dokumentera sin bedömning av er organisations personuppgiftsbehandling för vilken en GDPR-certifiering kan utfärdas.

Vår organisation har fått en GDPR-certifiering, vad händer härnäst?

GDPR-certifieringen av en behandling som er organisation utför är giltig i högst 3 år, men kan förnyas eller återkallas. För att behålla denna certifiering måste er organisation kontinuerligt och konsekvent leva upp till åtgärderna kring den personuppgiftsbehandling som certifierats.