dataskyddsförordning

Dataskyddsförordningen, på engelska General Data Protection Regulation (GDPR), är EU:s reglering av behandling av personuppgifter. Den antogs 2016 och trädde i kraft den 25 maj 2018. Syftet är att stärka medborgarnas integritet och skapa en enhetlig dataskyddslagstiftning inom EU och EES genom att harmonisera krav på hur personuppgifter får behandlas.

Förordningen gäller både inom EU:s geografi och för verksamheter utanför unionen som riktar sig till EU-medborgare eller följer deras beteende. Den reglerar aktörer som ansvarar för behandlingen av personuppgifter (personuppgiftsansvarig) och de som behandlar uppgifter på uppdrag (personuppgiftsbiträde). Viktiga principer är laglighet, rimlighet och transparens; ändamålsbegränsning; uppgiftssparande och minimering; uppgifter korrekta och uppdaterade; lagringsbegränsning; integritet och konfidentialitet; ansvarsutkrävning.

Individer får flera rättigheter enligt förordningen, bland annat rätt till information, rätt till tillgång till egna uppgifter, rätt till rättelse och radering (rätten att bli glömd), begränsning av behandling, dataportabilitet samt invändningar mot viss behandling, inklusive profilering. Behandling som bygger på samtycke måste vara tydlig och lätt att återkalla. För vissa organisationer krävs ett dataskyddsombud och genomförande av konsekvensbedömning av dataskydd (DPIA) i riskfyllda situationer.

Enligt förordningen övervakas följsamhet av nationella tillsynsmyndigheter och samarbete mellan dem. Rapporter om personuppgiftsbrott ska normalt lämnas till tillsynsmyndigheten inom 72 timmar, och i vissa fall till de drabbade. Sanktioner kan vara betydande finansiella böter upp till 20 miljoner euro eller upp till 4 procent av den globala årliga omsättningen, beroende på vad som är högst.