Vad är GDPR? Enkel guide till dataskydd i EU

Om din organisation samlar in, använder eller spårar personuppgifter från personer i EU gäller den allmänna dataskyddsförordningen (GDPR). Det spelar ingen roll var ditt företag är baserat: denna europeiska integritetslag har global räckvidd och omformar hur företag hanterar personuppgifter.

GDPR, som antogs 2016 och tillämpas sedan maj 2018, anger tydliga regler för vad som kvalificerar som personuppgifter, hur de får användas och vilka rättigheter individer har över sin information.

Den här guiden beskriver vad GDPR är, vem den gäller för och vad företag behöver veta för att följa reglerna.

Vad är GDPR, enkelt uttryckt?

GDPR är en EU-lag om integritet som skyddar personuppgifter för personer i EU. Detta inkluderar all information som kan identifiera någon direkt eller indirekt, som namn, e-postadresser, IP-adresser eller cookies.

GDPR ger människor mer kontroll över sina uppgifter. Den kräver också att företag behandlar dessa uppgifter på ett rättvist sätt, förklarar varför de samlar in dem och håller dem säkra. Den ersatte äldre EU-dataregler när den trädde i kraft den 25 maj 2018.

Varför GDPR infördes

Före GDPR baserades dataskyddet i EU på dataskyddsdirektivet från 1995. Då var internet nytt och företag hanterade betydligt mindre personuppgifter. I takt med att tekniken utvecklades och onlinetjänster blev en del av vardagen stod det klart att de gamla reglerna inte längre räckte till.

År 2012 föreslog Europeiska kommissionen ny lagstiftning för att stärka rättigheterna till integritet och anpassa sig till den digitala ekonomin. Efter flera års diskussioner antogs GDPR 2016 och trädde i kraft 2018.

Till skillnad från det äldre direktivet gäller det direkt i alla EU-länder, fastställer enhetliga standarder och ger människor starkare rättigheter över sina personuppgifter.

Integritet är viktigare än någonsin i en uppkopplad värld, och lagar som GDPR är utformade för att ge användarna tillbaka kontrollen över sina data.

Vilka GDPR gäller för

GDPR gäller alla organisationer som samlar in, använder eller lagrar personuppgifter för personer i EU, oavsett om företaget är baserat inom eller utanför Europeiska ekonomiska samarbetsområdet (EES). Lagen följer uppgifterna, inte företagets plats.

Förordningen definierar två nyckelroller:

• Personuppgiftsansvarig: Bestämmer varför och hur personuppgifter behandlas.
• Databehandlare: Hanterar data för den personuppgiftsansvariges räkning, som molnleverantörer eller betalningsbehandlare.

Företag inom EES

EES omfattar de 27 EU-medlemsstaterna plus Island, Liechtenstein och Norge. Alla organisationer som är etablerade inom EES måste följa GDPR när de behandlar personuppgifter, även om behandlingen sker utanför Europa. Till exempel måste ett företag baserat i Sverige som använder servrar i USA fortfarande följa GDPR-reglerna.

Företag utanför EES

Att befinna sig utanför EES undantar inte en organisation från GDPR. Om ditt företag interagerar med personuppgifter från EU-invånare på följande sätt gäller lagen fortfarande:

• Erbjuder varor eller tjänster till personer i EU, antingen gratis eller mot en avgift.
• Övervakar beteendet hos människor i EU, till exempel genom att spåra onlineaktivitet via cookies eller profilering.

Till exempel måste en utbildningsplattform baserad i USA men riktar sig till universitetsstudenter i Sverige följa GDPR. Och alla företag utanför EES som agerar som databehandlare för ett företag inom EES måste också följa den.

Om en tjänst bara är tillfälligt tillgänglig inom EU, utan att specifikt rikta sig till EU-användare eller hantera deras personuppgifter, kan den falla utanför GDPR:s tillämpningsområde. Men om ett företag inte gör några tydliga ansträngningar för att exkludera EU-invånare, kan tillsynsmyndigheter fortfarande besluta att GDPR gäller.

Det finns också några specifika typer av uppgifter som är undantagna från förordningen, inklusive uppgifter som insamlas för nationella säkerhetsändamål, brottsbekämpande ändamål eller enbart av personliga hushållsskäl.

Vad räknas som personuppgifter enligt GDPR?

Enligt GDPR är personuppgifter all information som rör en levande person som kan identifieras direkt eller indirekt. Exempel inkluderar:

• Fullständiga namn
• Hemadresser
• E-postadresser med en persons namn
• Nationella ID- eller passnummer
• IP-adresser
• Cookie-ID
• Annonsidentifierare på enheter
• Medicinska journaler

GDPR skiljer också mellan pseudonymiserade uppgifter, som fortfarande kan kopplas tillbaka till någon, och verkligt anonymiserade uppgifter, vilka inte kan. Endast det senare faller utanför förordningens tillämpningsområde.

Dessutom identifierar GDPR särskilda kategorier av personuppgifter, som ras eller etniskt ursprung, religiös övertygelse, politiska åsikter och biometriska uppgifter. Behandling av denna typ av information är förbjuden förutom under mycket specifika omständigheter på grund av de högre riskerna.

Vilka är de rättsliga grunderna för behandling av personuppgifter?

GDPR tillåter inte organisationer att behandla personuppgifter bara för att de vill. Det måste finnas en tydlig, laglig anledning, och förordningen definierar sex alternativ:

• Samtycke: När någon har gett tydligt samtycke till att deras data används. Samtycket måste ges frivilligt, vara specifikt och lätt att återkalla. Tystnad eller förmarkerade rutor är inte acceptabla.
• Avtal: Behandling är nödvändig för att uppfylla ett avtal med individen (till exempel behandling av betalningsuppgifter för att slutföra ett köp).
• Rättslig skyldighet: Ibland kräver lagen att en organisation behandlar personuppgifter, till exempel när sjukhus är skyldiga att föra patientjournaler.
• Vitala intressen: Behandling av uppgifter är nödvändig för att skydda någons liv, till exempel i en medicinsk nödsituation.
• Offentlig uppgift: Databehandling är nödvändig för att utföra en officiell skyldighet eller uppgift i allmänt intresse (ofta relevant för myndigheter).
• Legitima intressen: Tillåter organisationer att behandla data om de har en giltig anledning som inte åsidosätter individens rättigheter, till exempel att använda data för att underhålla cybersäkerhetssystem.

De 7 huvudprinciperna i GDPR

GDPR är uppbyggd kring sju nyckelprinciper som definierar hur personuppgifter ska hanteras. Dessa principer sätter standarder för rättvisa, säkerhet och ansvarsskyldighet vid behandling av data.

1. Laglighet, rättvisa och transparens

Denna princip föreskriver att data endast ska samlas in och användas av giltiga skäl som tillåts enligt GDPR, som att ha personens samtycke eller behöva uppgifterna för att tillhandahålla en tjänst. Det innebär också att använda data på ett rättvist sätt, utan att vilseleda människor eller använda deras information på sätt de inte skulle förvänta sig. Slutligen är transparens nyckeln: organisationer måste enkelt förklara vilka uppgifter de samlar in, varför och hur de planerar att använda dem.

2. Ändamålsbegränsning

Enligt GDPR får personuppgifter endast samlas in för ett specifikt och tydligt syfte. Organisationer måste informera människor om varför deras uppgifter samlas in vid den tidpunkt de samlas in. När de väl har samlats in får de inte användas av någon anledning som inte är förenlig med det ursprungliga syftet.

3. Dataminimering

GDPR kräver att organisationer endast samlar in de personuppgifter som är nödvändiga för ett specifikt ändamål. Denna princip bidrar till att begränsa mängden data som lagras om någon, vilket minskar riskerna om dessa uppgifter någonsin går förlorade eller missbrukas. Den håller datainsamlingen fokuserad och relevant.

4. Noggrannhet

Personuppgifter måste vara korrekta. Om en organisation lagrar information om en person måste den säkerställa att uppgifterna är korrekta och uppdaterade vid behov. Om detaljer ändras eller fel upptäcks är organisationen ansvarig för att åtgärda dem. Att hålla uppgifterna korrekta hjälper till att undvika fel som kan påverka människor, särskilt när informationen används för att fatta beslut om dem.

5. Lagringsbegränsning

Organisationer bör inte lagra personuppgifter längre än de behöver. När uppgifterna har tjänat sitt syfte bör de raderas eller anonymiseras. Denna princip säkerställer att uppgifter inte lagras "för säkerhets skull" utan tydlig anledning. Det bidrar också till att minska riskerna i samband med att lagra information i onödan, som dataintrång eller integritetsproblem.

6. Integritet och sekretess

Att skydda personuppgifter är viktigt. Organisationer behöver skydda dem från att bli sedda, stulna eller ändrade av någon som inte borde ha tillgång. Det innebär att ha god säkerhet på plats när det gäller teknik och datahantering.

7. Ansvarsskyldighet

Ansvarsskyldighet innebär att organisationer inte bara förväntas följa GDPR-reglerna; de måste också bevisa det. Detta innebär att visa att de har vidtagit relevanta åtgärder för att skydda personuppgifter, som att föra register över hur de behandlar dem, utbilda personal och införa integritetspolicyer.

Datarättigheter för användare enligt GDPR

Rätt att bli informerad

Du har rätt att veta när en organisation samlar in dina personuppgifter och varför. Det innebär att företag måste vara tydliga från början med vilka uppgifter de samlar in, hur de planerar att använda dem och vem de kan komma att dela dem med.

Informationen bör vara lätt att förstå så att du kan fatta ett välgrundat beslut om huruvida du är bekväm med att dela dina data.

Rätt till tillgång

Det betyder att du kan fråga vilken organisation som helst vilka personuppgifter de har om dig. Du kan begära en kopia av uppgifterna, tillsammans med information om hur de används och vem de delas med. Organisationer är skyldiga att tillhandahålla denna information inom rimlig tid.

Denna rätt är dock inte absolut; den får inte negativt påverka andras rättigheter och friheter, inklusive affärshemligheter eller immateriella rättigheter.

Rätt till rättelse

Om någon av dina personuppgifter som innehas av en organisation är felaktiga eller ofullständiga har du rätt att begära att de korrigeras. Oavsett om det är ett felstavat namn, en inaktuell adress eller saknad information, måste organisationen korrigera det.

Rätt till radering (rätten att bli bortglömd)

Du kan begära att en organisation raderar dina personuppgifter när det inte längre finns en giltig anledning för dem att behålla dem. Detta kallas ofta för "rätten att bli bortglömd". Den gäller när uppgifterna inte längre behövs för det ändamål de samlades in för, eller när organisationen har behandlat dina uppgifter olagligt.

Denna rätt är dock inte heller absolut, eftersom företag kan behålla uppgifterna om de har en rättslig skyldighet att behålla dem eller av andra giltiga skäl.

Rätt att begränsa behandlingen

Denna rättighet låter dig begära att en organisation begränsar hur de använder dina personuppgifter. Du kan begära detta om du anser att uppgifterna är felaktiga, om de har behandlats olagligt eller om organisationen inte längre behöver dem men du vill att de ska behålla dem för ett rättsligt anspråk. Medan begränsningen gäller kan organisationen lagra uppgifterna men inte använda dem för andra ändamål om du inte ger tillstånd eller om det finns rättsliga skäl att göra det.

Rätt till dataportabilitet

Denna rättighet ger dig rätt att få en kopia av dina personuppgifter i ett tillgängligt format. Du kan också begära att uppgifterna skickas direkt till en annan organisation om det är tekniskt möjligt. Tanken är att ge dig mer kontroll över din information, vilket gör det enklare att byta tjänst eller flytta dina uppgifter någon annanstans utan att börja om från början.

Rätt att invända

Du har rätt att invända mot hur dina personuppgifter används, särskilt när det är för direkt marknadsföring. Om du invänder måste organisationen sluta använda dina uppgifter om de inte kan visa att de har en stark och legitim anledning att fortsätta behandla dem.

Rättigheter relaterade till automatiserat beslutsfattande

Du har också rätt att bestrida beslut som fattats om dig helt och hållet genom automatiserade processer, särskilt om beslutet har en betydande inverkan, som att bli godkänd för ett lån eller ett jobb. GDPR ger dig rätt att begära mänsklig inblandning i dessa fall; du kan begära att någon granskar beslutet istället för att enbart överlåta det till algoritmer eller automatiserade system.

Vad är samtycke enligt GDPR och hur inhämtas det?

Samtycke enligt GDPR måste uppfylla strikta krav för att vara giltigt. För att det ska räknas måste ditt samtycke vara:

• Fritt givet: Du behöver ha ett verkligt val, utan press eller negativa konsekvenser för att säga nej.
• Specifikt och informerad: Organisationen måste berätta vilka de är, vilka data de samlar in, varför de behöver dem och hur de kommer att användas.
• Otvetydigt: Samtycke måste komma från en tydlig, bekräftande handling, som att kryssa i en ruta eller underteckna ett formulär. Tystnad eller förkryssade rutor räknas inte.

Folk har också rätt att när som helst återkalla samtycke, och det ska vara lika enkelt som det var att ge det. När det har återkallats måste företaget sluta använda dina uppgifter för det ändamålet.

För tjänster riktade till användare under 16 år krävs vanligtvis föräldrars samtycke, även om vissa EU-länder har sänkt denna gräns till 13 år.

Hur företag kan följa GDPR-kraven

Det finns specifika steg som varje organisation bör vidta för att följa GDPR och skydda integriteten.

Register över behandlingsaktiviteter (RoPA)

Artikel 30 i GDPR kräver att företag dokumenterar hur de hanterar personuppgifter. Dessa register bör omfatta skälen till behandlingen, vilka typer av uppgifter som samlas in, vem de delas med, lagringsperioder och vilka säkerhetsåtgärder som vidtagits.

Även om småföretag kan vara undantagna om deras behandling är oregelbunden och med låg risk, är det viktigt att föra dessa register för att visa att GDPR-efterlevnad efterfrågas av myndigheter.

Konsekvensbedömningar för dataskydd (DPIA)

När ett företag planerar att behandla personuppgifter på ett sätt som kan utgöra en hög risk för människors rättigheter och friheter måste det genomföra en DPIA. Detta är obligatoriskt i fall som användning av ny teknik, övervakning av offentliga platser i stor skala eller omfattande behandling av särskilda kategorier av uppgifter.

Syftet med en DPIA är att identifiera och minska potentiella risker innan någon databehandling påbörjas. Om höga risker kvarstår trots de åtgärder som vidtagits måste företaget samråda med dataskyddsmyndigheten (DPA), den nationella myndighet i varje EU-land som ansvarar för att upprätthålla efterlevnaden av GDPR, innan de fortsätter.

Utse ett dataskyddsombud (DPO)

Vissa organisationer är skyldiga att utse ett dataskyddsombud enligt GDPR. Denna person ansvarar för att övervaka hur personuppgifter hanteras inom företaget och säkerställa att GDPR-kraven följs.
Du behöver utse ett dataskyddsombud om:

• Du övervakar regelbundet eller systematiskt användare i stor skala, till exempel genom att spåra beteende online.
• Du behandlar särskilda kategorier av data, som hälsorelaterad data, genetiska eller biometriska data, i stor skala.
• Du är en offentlig myndighet eller ett offentligt organ (med undantag för domstolar eller oberoende rättsliga myndigheter).

Dataskyddsombudet kan vara en anställd eller en extern expert som anlitats genom ett serviceavtal. I vilket fall som helst måste de arbeta självständigt, ge råd till personalen, övervaka dataskyddsåtgärder och fungera som huvudsaklig kontaktpunkt med dataskyddsmyndigheterna.

Skyddsåtgärder för dataöverföring

Vid överföring av personuppgifter utanför EU kräver GDPR att företag säkerställer att samma skyddsnivå följer med uppgifterna. Företag måste tillämpa skyddsåtgärder för att hålla uppgifterna säkra och följa GDPR-standarderna.

Det finns flera godkända sätt att skydda dataöverföringar:

• Beslut om tillräcklighet: Uppgifter kan skickas till länder som EU har fastställt erbjuder en adekvat nivå av dataskydd.
• Avtalsrättsliga skyddsåtgärder: Företag kan inkludera specifika klausuler i avtal med mottagare utanför EU för att garantera dataskydd.
• Undantag: I vissa fall är överföringar tillåtna om individen har gett sitt uttryckliga samtycke eller om det är nödvändigt av avtalsenliga skäl.

Säkerhetskontroller och kryptering enligt GDPR

Organisationer måste också implementera starka säkerhetskontroller för att skydda personuppgifter från obehörig åtkomst, ändring eller förlust. Dessa inkluderar tekniska åtgärder, som kryptering, och organisatoriska steg, såsom att begränsa åtkomst till endast behörig personal.

Kryptering spelar en viktig roll för att skydda integritet och frihet i öppna samhällen, och det är fortfarande ett av de mest effektiva verktygen mot dataintrång.

Rapportering av dataintrång

Om ett dataintrång äventyrar individers rättigheter eller friheter måste företag meddela relevant dataskyddsmyndighet inom 72 timmar. Om risken är hög måste även berörda individer informeras.

Att inte rapportera ett dataintrång inom den angivna tidsramen kan leda till påföljder, så det är viktigt för företag att ha tydliga processer på plats för att upptäcka, bedöma och reagera effektivt på dataintrång.

Medarbetarmedvetenhet och utbildning

Efterlevnaden av GDPR beror inte bara på policyer utan också på hur väl anställda förstår och tillämpar dem. Personalen behöver tydlig vägledning och regelbunden utbildning för att hantera personuppgifter ansvarsfullt och respektera individers rättigheter. Denna medvetenhet i hela organisationen hjälper till att förhindra intrång och stöder kontinuerliga efterlevnadsarbeten.

GDPR-tillämpning och påföljder för överträdelser

Varje land inom EES har en dataskyddsmyndighet som övervakar hur organisationer följer dataskyddsregler. Dessa myndigheter kan utföra utredningar, begära dokumentation och till och med genomföra inspektioner för att säkerställa att företag uppfyller sina skyldigheter.

Om ett företag bryter mot GDPR kan straffen bli betydande. De allvarligaste överträdelserna kan leda till böter på upp till 20 miljoner euro eller 4% av företagets globala årsomsättning. Utöver ekonomiska sanktioner kan myndigheterna också ålägga korrigerande åtgärder, som att beordra företaget att sluta behandla vissa uppgifter eller att förbättra sina dataskyddsåtgärder.

Dessa verkställighetsbefogenheter säkerställer att efterlevnad av GDPR inte är valfritt. Företag som hanterar personuppgifter måste ta sitt ansvar på allvar, annars riskerar de kostsamma konsekvenserna.

Gäller GDPR i USA?

GDPR är en EU-förordning, men den slutar inte vid Europas gränser. Amerikanska företag kan omfattas av dess tillämpningsområde om de hanterar personuppgifter från individer i EU. Det innebär att även utan fysisk närvaro i Europa kan företag i USA fortfarande behöva följa GDPR om deras verksamhet uppfyller vissa kriterier.

GDPR-efterlevnad för amerikanska företag

Enligt artikel 3 i GDPR måste amerikanska företag följa GDPR om de antingen har en etablering i EU eller om de erbjuder varor eller tjänster till individer i EU, även om tjänsten är gratis. Att övervaka EU-individers beteende online, till exempel genom cookies, spårning eller riktad reklam, innebär också att ett amerikanskt företag omfattas av GDPR:s tillämpningsområde.

För att följa reglerna måste amerikanska företag:

• Granska vilka typer av personuppgifter de samlar in.
• Fastställ en tydlig rättslig grund för behandling av varje typ av data, som samtycke eller avtalsenlig nödvändighet.
• Utvärdera alla dataöverföringar från EU till USA och säkerställ att lämpliga skyddsåtgärder, som standardavtalsklausuler, finns på plats.
• Utse en GDPR-representant inom EU om de inte har en fysisk närvaro där.
• Inhämta förhandsgodkännande för insamling av webbplatsdata och cookies.
• Uppdatera integritetspolicyer för att återspegla GDPR-skyldigheter och registrerades rättigheter.

GDPR jämfört med CCPA och CPRA

Medan GDPR kräver tydligt samtycke innan personuppgifter behandlas, har California Consumer Privacy Act (CCPA) och dess ändring, California Privacy Rights Act (CPRA), ett annat tillvägagångssätt genom att följa en modell med möjlighet att välja bort.

I Kalifornien behöver företag i allmänhet inte förhandsgodkännande för att samla in eller behandla personuppgifter, förutom i specifika fall som att sälja eller dela data, hantera data från minderåriga eller behandla känslig information.

Istället fokuserar dessa lagar på transparens och kräver att företag informerar användare om databehandlingsmetoder och erbjuder enkla sätt att välja bort försäljning eller delning av sina personuppgifter. Sammantaget ligger betoningen i Kalifornien på användarkontroll och insyn snarare än förhandsgodkännande.

För amerikanska företag belyser detta en viktig skillnad: GDPR:s strikta samtyckeskrav återspeglas inte i USA, så företag som är verksamma i båda regionerna måste anpassa sina rutiner därefter.

Vilken roll spelar cookies enligt GDPR?

Enligt GDPR betraktas cookies som kan identifiera en individ eller spåra deras beteende online som personuppgifter. Detta inkluderar tekniker utöver traditionella cookies, som webbläsarfingeravtryck, som unikt kan identifiera användare baserat på deras enhet och webbläsarinställningar.

Webbplatser måste låta användare välja vilka typer av cookies de accepterar, ett koncept som kallas granulärt samtycke. Strikt nödvändiga cookies kräver dock inte samtycke.

Medan GDPR definierar hur samtycke måste inhämtas, regleras användningen av cookies i EU också av ePrivacy-direktivet, som kompletterar GDPR genom att specifikt reglera spårningstekniker online som cookies. Det är därför många webbplatser visar cookiebanners för EU-besökare och ber dem att hantera sina preferenser innan icke-nödvändiga cookies ställs in.

Om du vill minimera spårning medan du surfar kan ett virtuellt privat nätverk (VPN) också hjälpa dig att surfa mer privat genom att maskera din IP-adress och kryptera din trafik.

Vanliga missuppfattningar om GDPR

Trots att GDPR har funnits i flera år finns det fortfarande utbredda missuppfattningar om vad den egentligen innebär för företag. Låt oss reda ut dem.

GDPR gäller endast EU-företag

Det antas ofta att GDPR endast påverkar företag inom EU, men förordningen har en mycket bredare räckvidd. Alla företag som är baserade utanför EU, inklusive i USA, måste följa reglerna om de erbjuder varor eller tjänster till personer i EU eller övervakar deras beteende online, till exempel genom spårningsteknik.

Samtycke krävs alltid

En annan vanlig missuppfattning är att GDPR alltid kräver samtycke för att behandla personuppgifter. I verkligheten är samtycke bara en av flera lagliga grunder. Företag kan också åberopa ett avtal, en rättslig förpliktelse, ett viktigt intresse, en offentlig uppgift eller ett berättigat intresse, förutsatt att individens rättigheter respekteras. Samtycke blir nödvändigt när ingen annan rättslig grund gäller.

GDPR handlar bara om böter

Många ser GDPR enbart som ett system för att ålägga höga böter, men dess huvudsyfte är att stärka integritetsrättigheterna och främja ansvarsfull datahantering. Även om straffen kan vara betydande ligger fokus på att se till att organisationer hanterar personuppgifter transparent, säkert och i linje med människors rättigheter.

GDPR stoppar all marknadsföring

Det finns också den felaktiga uppfattningen att GDPR omöjliggör marknadsföring. Förordningen blockerar inte marknadsföring helt och hållet; snarare sätter den gränser för att säkerställa att personuppgifter används på ett rättvist sätt. Med en lämplig rättslig grund, vare sig det är samtycke eller berättigat intresse, kan företag fortsätta att marknadsföra till individer i EU, så länge rättigheterna till integritet upprätthålls.