Alla organisationer ska dokumentera sina personuppgiftsbehandlingar i ett behandlingsregister, även kallad registerförteckning eller Artikel 30 register.

- Genom att upprätta en registerförteckning över organisationens alla behandlingar av personuppgifter får ni en helhetsbild över alla de personuppgifter ni ansvarar för. 

- Denna del är därför en av de grundläggande dokumenten i er organisation och något som ska göras först.

- Registerförteckningen innehåller bland annat: information om alla era behandlingar, dess ändamål, laglig grund och när uppgifterna tas bort.

- Förteckningen skall kunna uppvisas på begäran av tillsyndsmyndigheten.

- Att ha dokumenterade lagliga grunder för att få behandla personuppgifter är det mest grundläggande i att följa GDPR efter som den gör era behandlingar lagliga. 

Det ska finnas rutiner för hur företaget tillmötesgår de registrerades rättigheter

- Enligt GDPR ska man ha vidtagit organisatonisatoriska skyddsåtgärder i form av dokumenterade rutiner för hur detta görs.

Till exempel:

-Rätten att bli glömd

-Rätt att få information

-Rätt att korrekta uppgifter behandlas

Organisationen ansvar för att förmedla kunskap till sina anställda om hur de skyddar personuppgifter från att kränkas, t.ex. ska de veta hur de skyddar er IT-miljö från personuppgiftsincidenter och cybersäkerhetshot. 

- Enligt GDPR ska organisationer utbilda sina anställda så att de har den kunskap de behöver för att organisationen ska kunna uppfylla krav i GDPR samt att hantera personuppgifter på ett säkert sätt. 

- De anställa ska också ha grundläggande kunskap om hur de unviker att själva bli en del av ett antagonistiskt angrepp (virus, phising-mail, m.m). 

- Detta uppfylls genom utbildning och en intern IT/informationssäkerhetspolicy som hjälper anställda att inte begå onödiga misstag som gör att säkerheten äventyras. 

En IT-säkerhetspolicy för anställda och IT-avdelning hjälper er att bibehålla en adekvat teknisk skyddsnivå.

- Ledningen är ytterst ansvarig för att förordningen efterlevs och att personuppgifter hanteras på ett säkert sätt.

- Med en IT-säkerhetspolicy som visar vilka IT-säkerhetsåtgärder organisationen har vidtagit uppfylls kravet på att ha vidtagit "adekvata tekniska skyddsåtgärder", och det bör varje organisation ha.

Exempel:

- två faktor autenticiering

- Krypterad data

- Behörighetsstyrning

- Antivirus

- Brandvägg

- EDR (End Point Detection)

- Privacy by Design/by Default

Alla personuppgiftsbehandlingar ska stödjas på en dokumenterad rättslig grund, ha ett ändamål och en gallringstid för när de raderas.

- Genom att dokumentera detta i en integritetspolicy för kunder och i er  registerförtecking för era interna behandlingar uppfyller ni kravet på dokumentation, laglighet, kunskap och öppenhet.

Omständigheterna kring er behandling av kunders/anställdas personuppgifter ska dokumenteras i integritetspolicies 

- Med en integritetspolicy tillgänglig på er webbplats/internwebb uppfyller ni kravet på transparens gentemot kunder och anställda.

- Integritetspolicyn innehåller information om er som personuppgiftsansvarig, vilka personuppgifter ni behandlar, att/hur de skyddas, hur länge de lagras, hur man kommer i kontakt med er som personuppgiftsansvarig och vilka rättigheter  den registrerade har. 

Organisationer ska kunna visa vilka åtgärder som vidtagits för att leva upp till de grundläggande principer i GDPR. 

- Principerna kommer du till genom att klicka här.

- Principerna kan appliceras på flera olika delar av organisationen och hur respektive avdelning/enhet arbetear kan skilja sig åt.

- En övergripande riktlinje kan vara bra att bryta ned till avdelnings- eller enhetsspecifika instruktioner. 

Personuppgiftsincidenter ska alltid dokumenteras och i vissa fall rapporteras till Integritetskyddsmyndigheten (IMY)

- Anställda ska förses med den den kunskap som behövs för att kunna förhindra och upptäcka en personuppgiftsincident.

- Utbildning och rutiner ska finnas för hur de ska agera när en sådan upptäcks.

- En personuppgiftsincident ska alltid dokumenteras och i vissa fall rapporteras till tillsynsmyndigheten.

- Rutiner för att hantera detta är bra att ha på plats eftersom man bara har 72h på sig. 

Organisationer är skydliga att ha kunskap om alla personuppgifter de behandlar. Dessa ska kartläggas, analyseras och dokumenteras med beaktande av dess känslighet och behandlingens risk att kränka de registrerades rätt till integritet. 

- Genom att ha kunskap om detta kan man avgöra vilket skyddsvärde som personuppgifterna har, och om behandlingen innebär särskild risk som gör att ni behöver vidta specifika åtgärder.

- Detta kan dokumenteras i en del av  Registerförteckning

De registrerade har rätt till information om hur ni behandlar deras personuppgifter, innan ni gör det. Informationen ska ges på ett tydligt och lättförståeligt sätt.

- GDPR ställer krav på de registrerade ska få att information om sina rättigheter samt att informationen ska vara tydlig och lättillgänglig.

- Ett lämligt dokument är detta är en Integritetspolicy på er hemsida.

Behandlar ni stora mängder personuppgifter eller känsliga personuppgifter kan det vara nödvändigt att ha ett dataskyddsombud

- Ett dataskyddsombåd ska hjälpa organisationen att efterleva GDPR. Ombudet ska inte vara operativ och stå utan påverkan från organisationen.

- Det kan vara lämpligt att använda sig av ett extern Dataskyddsombåd för att få råd och ledning i det operativa arbetet att efterleva GDPR.

Det ska finnas PuB-avtal med leverantörer som säkerställer att de följer GDPR och att de hanterar personuppgifter enligt era instruktioner.

- Upprättar ni juridiska avtal med era leverantörer (personuppgiftsbiträden) villkorar ni att uppgifterna står under adekvat skydd även när de lämnar er organisation.

- Observera att ni måste bedöma om leverantören om leverantörens skyddsåtgärder är adekvata för de personuppgifter de behandlar.

- Det är mycket viktigt att instruktionerna till biträdet avspelgar era policies och registerförteckningen. 

Efterlevnad av GDPR är ett kontinuerligt arbete och behöver en aktiv förvaltning eller regelbunden översyn.

- Att efterleva förordningen är ingen engångsinstats; leverantörer byts ut, nya personuppgifter tillkommer, behandlingar tillkommer, ändamål ändras, nya programvararor införskaffas, personal byts ut, anställdas kunskap behöver förnyas och rutiner behöver anpassas till de nya omständigheterna.

- Er dokumentation behöver vara "up-to-date" och motsvara aktuella förhållanden. 

- En kontiunitetsplan bör upprättas för att säkerställa efterlevnad över tid. 

Exempel på dokument som visar Integritetskyddsmyndigheten (IMY) att ni efterlever GDRP och som hjälper er att få struktur på ert säkerhetsarbete 

- Integritetsskyddsmyndigheten ställer höga krav på att organisationer ska ha inneha dokument som visar att och hur organisatioenn uppfyller krav i  Dataskyddsförordningen.

Exempelvis: 

1. Registerförteckning

2. Integritetspolicyies

3. Rutiner för att hantera de registrerades rättigheter

4. Beskrivning av hur ni uppfyller de grundläggande principerna för att få behandla personuppgifter enligt GDPR

5. VIlka skyddsåtgärder ni vidtagit för att skydda personupgifter.

6. Bakgrund till de bedömningar ni gjort som format ert efterlevnade av GDRP

7. Vid behov: Konsekvensbedöningar av nya behandlingar av personuppgifter. 

8. Använder ni den rättsliga grunden "legitmerat intresse" behöver intresseavvägningen dokumenteras

9. En kontinuitetsplan för en långsiktig efterlevnad

10. Rutiner för att hantera en personuppgiftsincident

11. Rutiner som är anpassade för specifika avdelningar och deras arbetssätt

12. Rutiner för att hur den registrerades rätt till information ska uppfyllas

13. IT-säkerhetspolicy

14. informationssäkerhetspolicy

15. En rutin för inköp som inkluderar säkerhetsaspekter utifrån GDPR

16. En kontinuitetsplan för efterlevnad över tid, eller ett externt Dataskyddsombud. 

17. Rutiner för att hantera personuppgiftsincidenter

Organisationer behöver alltid säkerställa att deras behandling av personuppgifter sker enligt lagen och att uppgifterna inte utsätts för risk. 

- Det finns flera analyser som ser på olika delar av behandlingen.

- Jag börjar alltid med en övergripande Dataskyddsanalys som ger mig det jag behöver för att veta om behandlingen kan innebära några risker, vilket kan leda til ytterligare analyser så som DPIA, PIA, TIA.

- Resultatet av analyserna dokumenteras och bedömingen är bra att kunna visa vid kontroll från IMY. 

- Analyser kan ni få hjälp med genom att fylla i kontaktforumläret