dataskyddsförordningen

Dataskyddsförordningen, ofta kallad GDPR, är EU:s regelverk för behandling av personuppgifter. Den infördes för att stärka skyddet för enskildas grundläggande rättigheter och förena reglerna inom EU:s inre marknad. Förordningen gäller för behandling av personuppgifter av kontrollerande organisationer och personuppgiftsbiträden inom EU, samt för sådan långväga behandling utanför EU om den riktar sig till personer i EU eller övervakar deras beteende.

Centrala principer är laglighet, rättvisa och transparens; ändamålsbegränsning; dataminimering; korrekthet; lagringsbegränsning; integritet och konfidentialitet samt ansvar. För de registrerade uppstår rättigheter som tillgång till uppgifter, rättelse, radering (rätten att bli glömd), begränsning av behandling, dataportabilitet, invändning mot behandling och rättigheter vid automatiserat beslutsfattande.

Behandlingen måste vila på en rättslig grund, såsom samtycke, avtal, rättslig förpliktelse, skydd av vitala intressen, uppgift av offentliga uppgifter eller berättigat intresse. Roller och skyldigheter inkluderar dataansvarig och personuppgiftsbiträde, dokumentation av behandlingsaktiviteter, dataskydd genom design och som standard, samt eventuell konsekvensbedömning (DPIA) för högrisk behandling och utnämning av ett dataskyddsombud vid särskilda förhållanden.

Internationella överföringar av personuppgifter kräver tillräckligt skydd eller lämpliga skyddsåtgärder, till exempel standardavtalsklausuler. Övervakas av nationella tillsynsmyndigheter; i Sverige av Integritetsskyddsmyndigheten (IMY).

Efterlevnaden kan leda till betydande sanktioner, inklusive böter upp till 20 miljoner euro eller 4 procent av den globala omsättningen. I Sverige genomförs GDPR genom nationell lagstiftning och tillsynsramverk, och reglerna började gälla den 25 maj 2018.