På alla företag ska det sedan länge finnas en PUL-ansvarig. Genom den nya dataskyddsförordningen kommer PUL-ansvaret förändras och rollen döpas om till DPO (Data Protection Owner). Trots att det är två år kvar till att den nya förordningen så kan det vara bra att se över hur ni hanterar personuppgifter i företaget.
Förändringarna innebär att du måste informera tydligare och mer omfattande hur ni hanterar persondata. Du bör ha koll på riskerna med hantering av uppgifterna samt ha processer för de krav som den registrerade kan ha laglig rätt till.
Du kan dela upp informationen i två eller tre block:
Det minsta du måste informera om
- Identiteten, hur du identifierar kunden
- Syftet med insamlingen
- Annan relevant info, t.ex. mottagare av uppgifterna i företaget (marknad)
- Om det är obligatoriskt eller inte att lämna uppgifterna
- Personens rättigheter kring sin information
- Hur man kommer i kontakt med den som är ansvarig för registret (DPO/PUL ansvarig)
- Länk till fullständig/utökad information (se nedan)
Utökad information
- Fylligare info om personens rätt ang. tillgång och rättelse av personuppgifter samt kontaktväg
- Hur invändningar mot bearbetning ska meddelas
- Om det finns tvingande delar eller om det är frivilligt att dela med sig av uppgifterna
- Om information delas med 3e part, med vem och vad i så fall
Detaljerad information om behandling
- Det ska finnas en legal grund för behandling
- Information om uppgifterna ska lämna den inre marknaden – på vilken legal grund (EU-US Privacy Shield)
- Individens rätt att klaga till Datainspektionen
- Hur länge uppgifterna sparas
Viktiga begrepp:
Samtycke: Du måste ha samtycke till att samla in personens uppgifter och du måste kunna visa att samtycke fanns innan uppgifterna behandlats.
Legitimt intresse: Marknadsföring är legitimt intresse, dock måste personen vara medveten om att uppgifterna skulle lämnas ut till ert företag för att du ska kunna hävda legitimt intresse.
Profilering: Om personuppgifterna används för att utvärdera personliga aspekter av en individ, analys eller prognos gällande personliga egenskaper eller beteenden. Det är inte förbjudet men personen ska kunna motsätta sig en profilering och det måste finnas möjligheter för personen att undvika att profilering görs utifrån dennes egenskaper. Det här lär påverka de processer ni satt upp för automatisk bearbetning och urval till segment/målgrupper etc.
Portabilitet: De uppgifter som personen lämnat till ditt företag ska kunna flyttas till annan part. Dvs. uppgifterna du samlar ska vara flyttbara/portabla och kunden kan begära att du ska skicka dessa, i strukturerad form, till ett annat företag. Det gäller bara uppgifter som kunden själv har lämnat.
Rätten att bli bortglömd: Kunden ska kunna be er om att ni ska förstöra de uppgifter ni har om Hen, om behovet av dessa uppgifter inte kvarstår. Kunden kan därmed återkalla sitt samtycke, om det inte finns en rättslig grund för er att behålla uppgifterna även om kunden återkallat sitt samtycke. Något för juristerna att fundera på.
Uppgifterna ska raderas om:
- Personen tackar nej till att uppgifterna behandlas – dvs. du måste radera dem ur kampanjdatabasen
- Om ni gör otillåten bearbetning, dvs. det ni gör inte ingår i er överenskommelse med den som lämnat sina uppgifter
- Bearbetning av uppgifter från barn utan målsmans tillstånd
Nytt! Att bli bortglömd på internet:
Personer ska kunna be företaget att radera uppgifterna ur sitt register och de ska då informera andra som använt samma personuppgifter, länkar, kopior etc. Dock är ert företag inte ansvariga för att radering sker hos andra, ansvaret gäller bara att informera andra om att kund önskar att radering ska ske. Här finns en rimlighetsaspekt gällande teknik och vad som anses vara rimligt att utföra gällande radering. Går det att genomföra inom rimliga gränser.
Risker: När det gäller riskanalyser så gäller det om tekniken ni använder medför att individens grundläggande rättigheter kan kränkas eller om det finns poster som innehåller känsliga personuppgifter.
Om ni gör fel kan det bli dyrt!
Böter på upp till 20 miljoner Euro eller 4% av företagets globala omsättning utifrån:
- Vad ni har gjort för fel
- Hur länge ni gjort fel
- Antalet berörda kunder
- Vilken skada som åstadkommits för kunderna
Tips:
- Kontrollera hur ni lever upp till PuLs krav idag – gör en nulägesanalys
- Hur stort är gapet mellan nuläge och bef. krav samt vad som kommer inom 2 år, vad behöver ni åtgärda för att leva upp till de nya kraven?
- Plan för åtgärd, när kan ni göra förändringarna i kommunikationen och sätta upp processer för hantering av de krav som kommer
Vill du veta mer?
Klicka här!
