Alexander Weimar

Den nya lagen ersätter PUL och gäller i hela EU.

De senaste dagarna har mejlinkorgar fyllts med information från olika företag, myndigheter och organisationer som vill informera om att de uppdaterat sina villkor för hur de lagrar personuppgifter. I drygt 20 år har personuppgiftslagen, PUL, styrt hur och vem som får hantera personuppgifter men från och med i dag den 25 maj 2018 är det GDPR, General data protection regulation, som slår fast alla regler för hur information direkt eller indirekt knyts till en person.

För många företag innebär det här en del förändringar.

- För många är det ju över nu, det stora jobbet är gjort. Nu gäller det bara att följa de nya rutinerna man har satt upp men överlag kommer det inte vara så stor skillnad mot förr, säger Anna Skult, jurist på LRF Konsult.

Personuppgiftslagen har tidigare kritiserats för att vara tandlös men så är inte fallet med GDPR. Här riskerar företag eller organisationer som inte sköter sig att få dryga böter i så kallad administrativ sanktionsavgift. Beloppet kan vara upp till 20 miljoner euro eller fyra procent av företagets globala omsättning.

- Avgiften tror jag behövs för att skrämma upp och få folk att förstå allvaret. Det gäller att man börjar fråga sig vilka uppgifter det är som lagras. Tidigare var det många som inte visste att PUL fanns och tänkte inte alls på sådant, säger Anna Skult.

Ska man känna sig orolig som företagare?

- Nej, det behöver man nog inte. Till att börja med är skillnaden inte så stor gentemot PUL. Sen kommer datainspektionen att först kolla upp myndigheter och kommuner för att se hur de sköter GDPR. Som företagare kommer du troligtvis först granskas av datainspektionen om du får många klagomål från privatpersoner eller att det framgår att du upprepat brutit mot reglerna, säger Anna Skult.

Skulle man som egen företagare missa att uppdatera sina avtal så gäller det att börja jobba med GDPR så snabbt som möjligt.

- Steg nummer ett är att reflektera vilka personuppgifter man har lagrat och även kolla vad som definierar en personuppgift. Många tror en personuppgift bara är personnummer och adress men det är mer än så, säger Anna Skult.

- Steg två är att fråga sig varför man har uppgifterna lagrade från första början. GDPR vill inte att företag ska ha lagrade uppgifter liggandes utan anledning. Du måste kunna motivera varför du sparat uppgifterna. Sen gäller det att kolla ens rutiner kring lagrade personuppgifter och se till så att sådana finns och följs, säger Anna Skult.

<h3>Det här är GDPR</h3>Dataskyddsförordningen (GDPR) gäller i hela EU och har också till syfte att skapa en enhetlig och likvärdig nivå för skyddet av personuppgifter så att det fria flödet av uppgifter inom Europa inte hindras. Samma regler gäller inom hela EU.Mycket i dataskyddsförordningen liknar de regler som fanns i personuppgiftslagen. På samma sätt som idag får man behandla personuppgifter med stöd av samtycke från de registrerade, för att uppfylla ett avtal eller efter en intresseavvägning till exempel. De registrerade kommer även i fortsättningen att ha rätt att få information om den personuppgiftsbehandling som sker – och den som behandlar personuppgifter måste ha tillräckliga säkerhetsåtgärder för att uppgifterna skyddas på rätt sätt. Om det är fråga om uppgifter om hälsa, etniskt ursprung, politisk uppfattning eller religiös tro ställs särskilda krav.Källa: Datainspektionen

LÄS OCKSÅ: <a href="http://www.atl.nu/teknik/personuppgifterna-far-starkare-skydd/">Personuppgifterna får starkare skydd</a>

I dag träder den nya dataskyddslagen, GDPR, i kraft inom EU och för många företagare finns det fortfarande många frågor.