Gdpr -25/5

[EsecoGubben]

Hej på er!

Jag tänkte att vi kunde starta en tråd om GDPR som kommer att träda ikraft i 25 maj i år. Jag är säker på att många av er har frågor och funderingar kring den nya lagen.

Jag är inte jurist men har genom vårt egna arbete med att anpassa vårt affärssystem ändå lärt mig lite om GDPR.

Så kom gärna med frågor och funderingar så kan vi hjälpa varandra att få det rätt till den 25/5

[mjo]

@EsecoGubben 91563 wrote:

Hej på er!

Jag tänkte att vi kunde starta en tråd om GDPR som kommer att träda ikraft i 25 maj i år.

Liten rättelse:

Förordningen trädde i kraft den 24/5 2016 och gäller alltså redan nu.

Däremot kommer den inte att tillämpas förrän den 25 Maj i år. Man har alltså haft två år på sig att anpassa sin verksamhet utan att riskera straff.

[EsecoGubben]

Se där, det är just detta som är meningen med tråden.

[david71]

Vad behöver man göra rent konkret?

[mjo]

@david71 91635 wrote:

Vad behöver man göra rent konkret?

Den frågan kan bara en advokat svara på. Och inte ens då kan man vara säker på att dennes tolkning stämmer. Förordningen är så invecklad att hur man än vänder sig så gör man fel.

I princip måste man kassera sina hårddiskar varje dag och stänga av alla backuper om man ska vara helt säker.

Däremot säger förordningen att eventuella böter skrivs ned i storlek om man kan visa att man har vidtagit åtgärder i sin verksamhet. Man ska ha koll. Man ska veta vilken information man lagrar och var.

Med det sagt tror jag inte att den handfull personer i sverige som pysslar med det här kommer att ha varken tid eller möjlighet att jaga en massa småföretag. De kommer nog ha fullt upp med de större företagen.

Så lägg energin på nåt annat, är mitt tips!

[EsecoGubben]

Hej!
Det är inte förbjudet att lagra data, för det måste man göra för att fullgöra avtalet som du och kunden ingår. Dock måste man informera om varför men sparar viss data och man måste även ha färdiga rutiner över hur man hanterar sin data.

Att prata med sin jurist är ett bra råd och det finns väldigt mycket information som man kan hitta på nätet. Datainspektionens hemsida här ett bra tips.

Att bortse från GDPR känns inte så klokt även om det finns begränsat med resurser att se till att lagen efterlevs. Myndigheten kommer att hantera alla anmälningar som kommer in så även om du är liten eller stor kan man komma att kunna bli granskad.

[mjo]

@EsecoGubben 91689 wrote:

Hej!
Det är inte förbjudet att lagra data, för det måste man göra för att fullgöra avtalet som du och kunden ingår.

Det är riktigt. Men om man tar backup på sin data, så kan man inte leva upp till kravet att ta bort inaktuell data såvida man inte förstör diskarna. Det är ett problem som dom inte har tänkt på.

@EsecoGubben 91689 wrote:

Myndigheten kommer att hantera alla anmälningar som kommer in så även om du är liten eller stor kan man komma att kunna bli granskad.

Det må så vara, men personligen kommer jag att invänta prejudicerande dom för att se hur lagen tolkas. Som liten har man inte råd att anlita advokater i förväg. Tyvärr. En jurist skulle jag inte våga lita på.

[EsecoGubben]

Att du gör en backup är ok bara du tar bort de som valt att bli glömda om du återställer datan från backupen. Det kräver att man loggar vem som begärt att bli glömd så att man kan ta bort vederbörande när man läser in backupen. Det är så klart ett litet bekymmer att hålla reda på men det går att lösa med stöd från sitt affärssystem.

I vissa avseende kommer det som du säger krävas prejudicerande domar för att förtydliga vissa delar av lagens tillämpning, men det är en rad åtgärder som du som företagare kan och bör göra innan. Det är inte helt oklart på alla områden. Jag är ingen jurist men jag kan rekommendera att ni sätter er in i lagstiftningen så gått det går.

[mjo]

@EsecoGubben 91700 wrote:

Att du gör en backup är ok bara du tar bort de som valt att bli glömda om du återställer datan från backupen.

Det stämmer inte med det jag fått beskrivet för mig tidigare (av bla Grant Thornton). Enligt den informationen jag fått så måste man ta bort personerna även från alla backuper på begäran. Och det är naturligtvis helt omöjligt att genomföra. Ännu mer problematiskt blir det om man använder sig av olika molntjänster där man inte ens har tillgång till sina egna backuper.

Oavsett vem av oss som fått rätt info i denna fråga, så beskriver det ganska tydligt problematiken i att man får olika svar beroende på vilken jurist eller konsult man frågar. Man kan alltså inte lita på någon, utan måste invänta en dom innan man kan vara säker på hur man ska hantera olika saker.

På datainspektionen finns det enligt uppgift fyra personer som kommer att arbeta med det här. Så risken att man får en kontroll på sig måste anses som minimal.

@EsecoGubben 91700 wrote:

Jag är ingen jurist men jag kan rekommendera att ni sätter er in i lagstiftningen så gått det går.

Japp. Det blir enligt uppgift ”straffrabatt” om man kan visa att man faktiskt har försökt att genomföra åtgärder efter bästa förmåga (och det är inte olagligt att vara dum i huvudet). Så den rekommendationen skriver jag också under på!

[Jimmys]

@mjo 91710 wrote:

Det stämmer inte med det jag fått beskrivet för mig tidigare (av bla Grant Thornton). Enligt den informationen jag fått så måste man ta bort personerna även från alla backuper på begäran. Och det är naturligtvis helt omöjligt att genomföra. Ännu mer problematiskt blir det om man använder sig av olika molntjänster där man inte ens har tillgång till sina egna backuper.

Oavsett vem av oss som fått rätt info i denna fråga, så beskriver det ganska tydligt problematiken i att man får olika svar beroende på vilken jurist eller konsult man frågar. Man kan alltså inte lita på någon, utan måste invänta en dom innan man kan vara säker på hur man ska hantera olika saker.

Men om man raderar en person i sitt system så är ju personen borta även från den senaste backupen. Eller vad använder ni en backup äldre än den senaste till? Jag raderar dem!

[Författare]

Inlägg