IT-Juridik

Question 1

Vad står GDPR för?

Answer 1

General Data Protection Regulation

Question 2

Vilket år började GDPR gälla i EU?

Answer 2

År 2018.

Question 3

Om det finns svensk lagstiftning som ger sämre förutsättningar än ett område som en EU-förordning täcker, vilken lagstiftning är det som gäller?

Answer 3

EU-förordningen.

Som medlem i Europeiska unionen omfattas Sverige också av EU-rätten, som har företräde över nationell rätt. Det betyder till exempel att om en svensk lag står i strid med en EU-lag är det EU-lagen som gäller.

Men varför får sajter som Mr. Koll, Ratsit, Hitta och Eniro köra då?

Question 4

Vilken myndighet har i Sverige uppdrag att se till att GDPR efterföljs?

Answer 4

Datainspektionen

Efter årsskiftet döps datainspektionen om till
Integritetsskyddsmyndigheten, IMY.

Question 5

Om ett företag bryter mot GDPR, vad kan då bli det maximala straffet?

Answer 5

Avgiften kan som mest vara 20 miljoner euro eller 4% av bolagets/koncernens globala årsomsättning, beroende på vilket belopp som är högst.

Question 6

Vad innebär termen “obehörig åtkomst” ?

Answer 6

Någon inom eller utanför organisationen har tagit del av personuppgifter som den saknade behörighet till, exempelvis i samband med ett dataintrång.

Obehörig åtkomst kan vara intern eller extern, och kan ske oavsiktligt eller avsiktligt.

Question 7

Vad innebär termen “tredje land” ?

Answer 7

Ett land som inte är med i EU/EES. Länder som riktar sin verksamhet mot EU-medborgare från tredje land är dock skyldiga att uppfylla GDPR.

Question 8

Elin och hennes arbetsgivare kommer överens om att arbetsgivaren ska skicka hennes lönespec via mail varje månad för att underlätta för båda parter. Är detta lagligt enligt GDPR?

https://www.datainspektionen.se/lagar–regler/dataskyddsforordningen/informationssakerhet/behandling-av-lonespecifikationer-i-e-post/

Answer 8

Nej, Elin som anställd kan aldrig samtycka till “otillräcklig säkerhet”.

Hennes arbetsgivare blir i så fall skyldig att se till så att hon får uppgifterna via företagets krypterade onlineportal exempelvis.

https://www.datainspektionen.se/lagar–regler/dataskyddsforordningen/informationssakerhet/behandling-av-lonespecifikationer-i-e-post/

Question 9

Vad räknas som en personuppgift?

Answer 9

All information som kan hänvisas till en fysisk person både direkt och indirekt.

Question 10

Vilka artiklar i GDPR måste ett företag/organisation bryta mot för att kunna utdelas det högsta straffet?

Answer 10

5-7, 9, 12-22, 44-49

• GDPR-principerna(Artikel 5,6,7,9) Kapitel II
• Registrerades rättigheter(Artikel 12-22) Kapitel III
• Internationella överföringar(Artikel 44-49) Kapitel V

Question 11

Ett företag brister i att inhämta samtycke vid inhämtning av personuppgifter om ett barn. Vad är det potentiella maxstraffet?

Answer 11

2% av koncernens globala omsättning eller 10 Miljoner Euro, beroende på vilket belopp som är högst.

Question 12

Vilka är de fyra GDPR-principerna?

Kapitel II

Answer 12

• Artikel 5 – Principer för behandling av personuppgifter
• Artikel 6 – Laglig behandling av personuppifter
• Artikel 7 – Villkor för samtycke
• Artikel 9 – Behandling av särskilda kategorier av personuppgifter

Question 13

Vad innehåller artikel 5 sammanfattat i en mening?

Answer 13

Principer för behandling av personuppgifter.

Question 14

Vad innehåller artikel 6 sammanfattat i en mening?

Answer 14

Laglig behandling av personuppifter.

Question 15

Vilka personuppgifter räknas som “känsliga?

Answer 15

• etniskt ursprung
• politiska åsikter
• religiös eller filosofisk övertygelse
• medlemskap i en fackförening
• hälsa
• en persons sexualliv eller sexuella läggning
• genetiska uppgifter
• biometriska uppgifter som används för att entydigt identifiera en person.

Question 16

En personuppgiftsansvarig är nästan alltid en organisation (till exempel aktiebolag, stiftelse, förening eller myndighet).

När kan en fysisk person vara personuppgiftsansvarig?

Answer 16

Till exempel är detta fallet för personer som driver enskilda firmor.

Question 17

Vad är en personuppgiftsincident?

Answer 17

En säkerhetsincident som kan innebära risker för människors friheter och rättigheter.

En personuppgiftsincident har till exempel inträffat om uppgifter om en eller flera registrerade personer har:
blivit förstörda
gått förlorade på annat sätt
kommit i orätta händer.

Question 18

Kan en sanktionsavgift utfärdas till en myndighet?

Answer 18

Ja, även en myndighet kan få en sanktionsavgift.

Question 19

Vad innehåller grundprincipen Art.5 - Behandling av personuppgifter?

(De 4 GDPR-principerna, Kapitel II)

Answer 19

a) Laglighet, korrekthet och öppenhet.
b) Ändamålsbegränsning. Uttryckligt angivna och berättigade ändamål.
c) Uppgiftsminimering - Relevanta och inte för omfattande.
d) Riktighet - De ska vara korrekta och om nödvändigt uppdaterade.
e) Lagringsminimering - Får inte lagras längre än vad som är nödvändigt.
f) Integritet och konfidentialitet - Uppgifter måste lagras säkert.

Question 20

Vad innehåller grundprincipen Art.6 - Laglig behandling av personuppifter?

(De 4 GDPR-principerna, Kapitel II)

Answer 20

a) Samtycke måste ha lämnats av den registrerade.
b) Ett avtal om behandling måste finnas.
c) Personuppgiftsansvarige har en rättslig förpliktelse.
d) Måste skydda grundläggande intressen för den registrerade.
e) Uppgift är av allmänt intresse eller nödvändigt för myndighetsutövning.
f) Uppgift är nödvändig för personuppgiftsansvarige berättigade intressen, om inte grundläggande rättigheter och friheter för den registrerade väger tyngre.

Question 21

Vad innehåller grundprincipen Art.7 - Villkor för samtycke?

De 4 GDPR-principerna, Kapitel II

Answer 21

1. Personuppgiftsansvarige ska kunna visa att den registrerade har samtyckt till behandling ar personuppgifter.
2. Skriftlig förklaring, där varje del av samtycket klart och tydligt kan särskiljas från andra delar.
3. De registrerade ska ha rätt att när som helst återkalla sitt samtycke.
4. Huruvida samtycke är frivilligt, ska vara tydligt kopplat till att uppgiften behövs för att leverera tjänsten till den registrerade.

Question 22

Vad innehåller grundprincipen Art.9 - Behandling av särskilda kategorier av personuppgifter?

(De 4 GDPR-principerna, Kapitel II)

Answer 22

Här behandlas de “känsliga” uppgifterna

1) De “känsliga uppgifterna” är förbjudna att lagra.
2) Undantag finns för speciella nödvändiga skäl, men samtycke krävs alltid. Exempel är vårdsituationer, möjligheten att dela till slutna organisationer m.m.
3) Tystnadsplikt finns för de känsliga uppgifterna om dessa lagras med speciellt samtycke.
4) Medlemsstater har rätt att ytterligare begränsa genetiska och/eller biometriska uppgifter.