Vad är GDPR? Allt du behöver veta om EU:s integritetslagstiftning

Det är ett och ett halvt år sedan den allmänna dataskyddsförordningen (GDPR) trädde i kraft i EU. Huvudmålet med förordningen var att ge individer större integritet, tydlighet och kontroll över hur deras data används av onlineföretag, organisationer och tredje parter. Enligt GDPR måste företag nu ge mycket mer information om hur de använder och behåller individers data – oavsett om det är på webbplatser, anställningsavtal eller onlineformulär.

I den här artikeln diskuterar vi exakt vad GDPR är, vad det betyder för den vanliga personen och hur det har implementerats sedan det trädde i kraft förra året.

Vad är GDPR?

Tanken med GDPR är att göra EU:s lagar som rör sekretess och dataskydd på nätet bättre anpassade till komplexiteten i online-eran. Många av de största onlineföretagen förlitar sig på den ständiga strömmen av personlig information som vi ger bort varje dag vi är på Internet – från våra cookies till Google-sökningar till detaljer som vi anger i onlineundersökningar eller andra former.

Storföretagen på internet drivs i stort sett av vår data, och tanken med GDPR är att ge oss lite mer klarhet och kontroll över hur det används, samt tvinga företag att ta mer ansvar för vilken data de skaffar från oss och hur de använder det.

Detta låter bra, men exakt vad betyder det? Här är de viktigaste punkterna angående GDPR:

• En individs, eller ”den registrerades”, personuppgifter kan endast behandlas om ett av flera ”lagliga ändamål” uppfylls. Dessa inkluderar individen som ger sitt samtycke till att behandla uppgifter, utföra uppgifter i allmänhetens intresse, skydda andra individers vitala intressen eller flera andra sådana ”ändamål”.
• Ämnen måste ge sitt samtycke för databehandling (därav alla dessa GDPR-meddelanden som började dyka upp på webbplatser överallt).
• GDPR övervakar företag och kräver att ”lämpliga tekniska och organisatoriska åtgärder” vidtas för att minimera risken för datamissbruk eller intrång.
• Datasäkerhetsincidenter som utgör ett hot mot de registrerades ”rättigheter och friheter” ska rapporteras till högre myndigheter inom 72 timmar.
• Data som samlas in från försökspersoner anonymiseras för integritetsskydd.
• ”Rätten att bli glömd” tillåter användare att begära att deras data raderas helt från en databas. Användaren har också rätt att be webbplatsen att inte längre behandla sina uppgifter om de inte vill att de raderas helt. Om ett företag har delat en användares data med andra parter måste de alla underrättas om eventuella raderingar, korrigeringar eller begränsningar. Användaren måste ha rätt att all sin databehandling stoppas från alla parter
• Datahanterare, som består av ”kontrollanter” (personer och organ som ”bestämmer ändamålen och medlen för behandling av personuppgifter”) och ”behandlare” (personer eller organ som behandlar uppgifter för den personuppgiftsansvariges räkning), är ansvariga för felaktig hantering av uppgifter och kan bötfällas om de inte följer GDPR datahanteringsbestämmelserna.

Alla dessa rättigheter kommer med kompletterande skyldigheter som påtvingas företag, och de kan få allvarliga konsekvenser om de inte följer dem. Mängden detaljer som läggs in i denna lagstiftning gör den kanske till en av de största lagarna om digital dataintegritetsskydd i världen.

Vilka effekter har GDPR?

EU har inte krånglat med att upprätthålla GDPR och slå ner på företag som man tror har hamnat i strid med sina regler. Det mest uppmärksammade GDPR-fallet rör för närvarande WhatsApp och den irländska dataskyddskommissionen, som har väckt oro över huruvida WhatsApp tillräckligt informerar sina användare om hur de behandlar deras data.

Just nu har utkastet till beslut om böterna som WhatsApp förväntas betala skjutits tillbaka till 2020 efter WhatsApps advokater fick ett procedurklagomål accepterat.

Tillbaka i januari 2019 bötfällde CNIL, Frankrikes dataskyddsvakt, Google 57 miljoner dollar för att ha brutit mot GDPR-lagar, anklagade sökmotorn för bristande transparens och tydlighet i hur den hanterar personuppgifter och även för att inte ha fått korrekt samtycke när de visar användarna personliga annonser.

I november 2019 Storbritanniens dataskyddsbyrå utfärdade varningar till annonsteknikföretag över behandlingen av känsliga uppgifter och de avtal som används för att dela data mellan leverantörer.

I november, Microsoft ändrade integritetspolicyn för sina molnkontrakt efter en utredning från European Data Protection Supervisor (EDPS) väckte farhågor om att dess kontrakt och dess roll som databehandlare för EU-institutioner inte var förenlig med GDPR.

Slutsats

Som du kan se har GDPR orsakat många integritetsrelaterade konflikter mellan onlineföretag och EU. Även om företag visar en vilja att följa GDPR:s bestämmelser, är det uppenbart att många av dem har en lång väg kvar att gå innan de är helt överensstämmande, och vi kommer sannolikt att se böterna och varningarna komma in tjockt och snabbt som företag tvingas anpassa sig till de dramatiskt omarbetade lagarna kring integritet online i EU.