Hoppa till innehåll
0250 - 911 00 info@branschutbildarna.se

GDPR för företag - Lär dig hantera personuppgifter säkert och undvika kostsamma fallgropar i företagets vardag

Med E-learning studerar du i egen takt och gör sedan ett slutprov.

2 695,00 kr
Exkl. moms

Om kursen

I den här kursen gås igenom vilka GDPR-krav som ställs på privat sektor (företag och ideella/ekonomiska föreningar). Monika Wendleby, som har skrivit flera böcker om GDPR, går igenom regelverket utifrån de visuella verktyg som finns i hennes böcker, vilket gör regelverket lättare att förstå. Centrala begrepp och principer presenteras liksom rollerna personuppgiftsansvarig, personuppgiftsbiträde och dataskyddsombud. Skyldigheter som konsekvensbedömning, incidenthantering, rättighetshantering och behandlingsregister, liksom det komplexa regelverket om tredjelandsöverföring, beskrivs övergripande och tips lämnas till den som vill fördjupa sig.

Innehåll

  • Förstå varför GDPR finns och dess koppling till mänskliga rättigheter
  • Känna till sanktionsnivåerna för privat sektor (upp till 20 miljoner euro eller 4 % av global omsättning)
  • Tillämpa grundbegreppen: personuppgift, registrerad och behandling
  • Använda den logiska trappan som praktiskt arbetsverktyg
  • Välja rätt lagliga grunder: berättigat intresse, avtal, samtycke och rättslig förpliktelse
  • Genomföra en korrekt intresseavvägning vid berättigat intresse
  • Förstå när samtycke kan användas – och varför det normalt inte fungerar i HR-arbetet
  • Hantera vidarebehandling och lagringsminimering utan stöd av arkivlagstiftning
  • Identifiera och hantera integritetskänsliga personuppgifter
  • Fastställa personuppgiftsansvar och ansvarsfördelning vid samarbeten
  • Förstå dataskyddsombudets roll och uppgifter
  • Tillämpa inbyggt dataskydd och dataskydd som standard
  • Vidta säkerhetsåtgärder och hantera personuppgiftsincidenter
  • Genomföra konsekvensbedömningar och avgöra när samråd med IMY krävs
  • Bedöma risker vid tredjelandsöverföringar
  • Upprätta och underhålla ett behandlingsregister
  • Tillgodose registrerades rättigheter: information, tillgång, invändning och radering

Om området och gällande regelverk

Dataskydd i privat sektor handlar i praktiken om hur personuppgifter får samlas in, användas, lagras, delas och raderas i vardagliga processer som kundhantering, HR, marknadsföring, e-handel, supportärenden, säkerhetsloggar, åtkomststyrning och användning av molntjänster. I många verksamheter uppstår personuppgiftsbehandling även indirekt, exempelvis när leverantörer driver IT-drift, när analysverktyg spårar beteenden på webbplatser, eller när uppgifter skickas mellan koncernbolag och samarbetspartners.

Rättslig ram: EU-regler och svensk komplettering

Den centrala rättsakten är förordning (EU) 2016/679 (GDPR), som är EU-rätt och gäller direkt i Sverige. GDPR kompletteras nationellt av Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (ofta kallad dataskyddslagen). Tillsammans sätter dessa regler ramarna för när en behandling är tillåten (till exempel genom laglig grund), vilka principer som ska följas (som ändamålsbegränsning och uppgiftsminimering) och vilka skyldigheter som följer av kravet på ansvarsskyldighet (att kunna visa efterlevnad, inte bara uppnå den). Utöver detta kan det i vissa branscher finnas mer specifika regelverk som påverkar hur länge uppgifter måste sparas eller hur informationssäkerhet ska organiseras. I praktiken behöver därför dataskydd ofta hanteras tillsammans med krav från exempelvis avtal, IT-styrning och interna kontrollsystem.

Ansvarsfördelning och centrala aktörer

En nyckelfråga i efterlevnadsarbetet är att avgöra vem som är personuppgiftsansvarig och vem som är personuppgiftsbiträde, särskilt när externa leverantörer används eller när flera parter gemensamt bestämmer ändamål och medel. Integritetsskyddsmyndigheten har samlad vägledning om rollerna i Personuppgiftsansvariga och personuppgiftsbiträden, där kopplingen till typiska skyldigheter som registerföring, säkerhetsåtgärder och avtalskrav mellan parter framgår. I Sverige är Integritetsskyddsmyndigheten (IMY) tillsynsmyndighet för GDPR och prövar bland annat klagomål och incidentanmälningar samt kan fatta beslut om korrigerande åtgärder. Som praktiskt nav för regelöversikt används ofta IMY:s temasida Det här gäller enligt dataskyddsförordningen (GDPR), där vägledning är strukturerad efter centrala skyldigheter och situationer.

Operativa krav som ofta påverkar verksamhetens arbetssätt

I många företag blir GDPR konkret genom krav på dokumentation och löpande kontroll: att ha tydliga ändamål, kunna motivera laglig grund, informera registrerade på ett begripligt sätt och kunna svara på rättighetsbegäranden inom rimlig tid. Ofta behöver detta byggas in i processer och systemstöd (till exempel i HR-system, CRM och ärendehantering) snarare än hanteras som enstaka punktinsatser. Riskstyrning är ett annat återkommande tema. Vid behandlingar som kan innebära hög risk för individers rättigheter och friheter kan en konsekvensbedömning (DPIA) bli aktuell. IMY beskriver syfte, process och kopplingen till eventuellt samråd med tillsynsmyndigheten på sidan Konsekvensbedömning enligt GDPR. I praktiken rör det sig ofta om behandlingar som innehåller omfattande profilering, systematisk övervakning eller storskalig hantering av integritetskänsliga uppgifter. Informationssäkerhet och incidentberedskap är nära kopplade till dataskydd. När en personuppgiftsincident inträffar kan det finnas krav på att dokumentera, bedöma risker och i vissa fall anmäla till IMY (som utgångspunkt inom 72 timmar från att man fått vetskap om incidenten). IMY:s beskrivning av arbetssätt och bedömningar finns i Hantering av personuppgiftsincidenter. För många verksamheter är även internationella dataflöden praktiskt avgörande, särskilt vid molntjänster och globala koncerner. Överföringar till tredjeländer kan kräva särskilda skyddsåtgärder enligt GDPR, där standardavtalsklausuler är en vanlig mekanism. EU-kommissionens modellklausuler är beslutade i Kommissionens genomförandebeslut (EU) 2021/914, vilket ofta får direkt betydelse vid avtalsarbete och leverantörsbedömningar. Slutligen är sanktioner en del av regelverkets genomslag. Vid brister kan tillsyn leda till förelägganden, begränsningar av behandling eller administrativa sanktionsavgifter. IMY beskriver begreppet och hur det används i praktiken på sidan Vad är en sanktionsavgift?, vilket ger kontext till varför styrning, dokumentation och intern kontroll ofta prioriteras i dataskyddsarbetet.
Trustpilot

Alla utbildningar kan företagsanpassas