GDPR.

Dataskyddsförordningen är direkt tillämplig EU-rätt till skydd för fysiska personer vid behandling av deras personuppgifter. Förordning (EU) 2016/679 gäller sedan den 25 maj 2018. GDPR är dess engelska förkortning. I Tyskland kompletterar särskilt Bundesdatenschutzgesetz och områdesspecifika bestämmelser det europeiska ramverket.

GDPR frågar först om och för vilket syfte en behandling är tillåten. En säker databas besvarar inte om insamlade uppgifter behövs eller hur länge de får lagras. Art. 5 och 6 GDPR kopplar samman principer och rättsliga grunder. Art. 32 gäller säkerheten i behandlingen inom denna ram.

Dataskydd förblir en löpande uppgift eftersom syften, dataflöden och använda tjänster förändras. Den personuppgiftsansvarige ska enligt art. 24 GDPR vidta lämpliga åtgärder, pröva deras lämplighet och vid behov uppdatera dem. Ett dokument som fyllts i en gång ersätter inte denna fortlöpande bedömning.

GDPR gäller enligt art. 2 den behandling av personuppgifter som anges där, oavsett om ett företag är stort eller litet. Exempel är kunduppgifter, ansökningshandlingar och personrelaterat supportinnehåll. Även pseudonymiserade uppgifter är fortsatt personuppgifter om en person kan identifieras med ytterligare information. Verkligt anonyma uppgifter bedöms annorlunda.

Det territoriella tillämpningsområdet följer av art. 3 GDPR. Utöver behandling inom ramen för en etablering i EU kan vissa erbjudanden till personer i EU eller övervakning av deras beteende genom företag utanför EU omfattas. Enbart serverns placering eller att en webbplats går att nå avgör inte detta.

Rollen fastställs för den konkreta verksamheten: personuppgiftsansvariga bestämmer ändamål och medel, medan personuppgiftsbiträden behandlar uppgifter på uppdrag. En organisation kan ha olika roller beroende på verksamhet. Art. 26 och 28 GDPR kräver lämpliga arrangemang vid gemensamt personuppgiftsansvar respektive biträdesbehandling. En avtalsrubrik klargör inte ensam den faktiska rollen.

Ansvarsskyldighet innebär enligt art. 5 Abs. 2 GDPR att kunna förklara och styrka efterlevnaden av principerna. Lämpliga handlingar kan omfatta behandlingsregister, motiverade rättsliga grunder, avtal, dataskyddsinformation, konsekvensbedömningar och granskningar av skyddsåtgärder. Avgörande är om de återspeglar verklig behandling och visar vilket beslut som fattats på vilken grund.

Dataskyddstillsynen har undersökningsbefogenheter och korrigerande befogenheter enligt art. 58 GDPR. Dokumentationen bör därför vara sökbar, begriplig och aktuell. Förordningen medför inget allmänt certifikatkrav som slutgiltigt skulle fullgöra företagets hela dataskyddsarbete. Ansvaret ligger kvar hos den personuppgiftsansvarige och respektive skyldig aktör.

Certifiering enligt art. 42 GDPR är frivillig och gäller behandlingar utifrån godkända kriterier. Enligt Abs. 4 minskar den inte det lagstadgade ansvaret. Abs. 7 begränsar giltigheten till högst tre år med möjlighet till förlängning. Ett informationssäkerhetscertifikat är inte automatiskt en sådan dataskyddsrättslig certifiering.

Beslutet att anmäla en personuppgiftsincident ska styrkas separat. Art. 33 föreskriver anmälan utan dröjsmål och om möjligt inom 72 timmar efter kännedom, om riskundantaget inte gäller. Dokumentationen enligt Abs. 5 omfattar även incidenter som inte anmäls. Information enligt art. 34 följer sin egen risktröskel och de undantag som regleras där.

ISO 27001 stöder organiseringen av informationssäkerhet men ersätter inte prövning av rättsliga grunder och registrerades rättigheter. NIS2 har egna adressater och rapporteringsskyldigheter. En incident kan kräva separata bedömningar enligt båda regelverken. EU AI Act kompletterar kraven på vissa AI-system utan att ersätta dataskyddsprövningen av personuppgiftsbehandlingar.

Secani erbjuder en dataskyddsprofil för roller, behandlingssammanhang och överföringar samt en redaktionell GDPR-granskningskatalog. Profilen dokumenterar företagsuppgifter och stöder en strukturerad nulägeskartläggning. Den sakkunniga bedömningen av den faktiska behandlingen och dess laglighet förblir en självständig uppgift. Profilen är inget myndighetsgodkännande och ingen automatisk rättslig prövning.

Börja med en tydligt avgränsad behandling, exempelvis hantering av supportförfrågningar. Beskriv syfte, uppgifter, registrerade, medverkande tjänster och mottagare och pröva lämplig rättslig grund tillsammans med ansvariga sakkunniga. Dokumentera sedan vilka skyddsåtgärder och förfaranden för rättigheter och incidenter som faktiskt behövs för behandlingen.