Välkommen till Delphi Data Protection Blog! Vi kan förvänta oss stora förändringar i kraven på företags och myndigheters hantering av data. Inom EU pågår nämligen en lagstiftningsprocess om en ny reglering om skydd för personuppgifter ("dataskyddsförordningen"). Den här bloggen drivs av jurister i Advokatfirman Delphis TMT/IP-grupp i samarbete med Christine Kirchberger, doktorand vid Institutet för rättsinformatik på Stockholms universitet. Bloggen syftar till att öka medvetenheten om den kommande regleringen och peka på hur reglerna på dataskyddsområdet kan komma att ändras. Vi följer utvecklingen och uppdaterar självklart även om andra nyheter på området.

Kommissionens generaldirektorat för rättsliga frågor och konsumentfrågor har öppnat ansökan för medlemskap i en ny expertgrupp, vars uppgift kommer att vara att tillhandhålla och dela olika intressenters erfarenheter angående tillämpningen av dataskyddsförordningen. Gruppen kommer bestå av upp till 27 representanter från det civila samhället, affärslivet, akademiker och praktiserande jurister. Genom att dessa intressenter delar erfarenheter relaterade till hur de påverkas av reglerna möjliggörs en lyckad implementation av dataskyddsförordningen.

Denna nya expertgrupp kommer att komplettera den expertgrupp som består av medlemsstaternas nationella myndigheter, vilken fokuserar på de legala aspekterna förenade med tillämpningen av dataskyddsförordningen, samt Artikel 29-gruppen som bl.a. ger ut vägledningar i syfte att underlätta tillämpningen av dataskyddsförordningen.

I fredags överlämnade den särskilda utredaren sitt betänkande om förslag på en ny nationell reglering om personuppgiftsbehandling som ska komplettera bestämmelserna i dataskyddsförordningen. Den nya lagen kallas för dataskyddslagen och i betänkandet föreslås bl.a. att:

• den lägsta åldersgränsen för barn att själva lämna samtycke för personuppgiftsbehandlingen vid användning av sociala medier, söktjänster och appar ska vara 13 år,
• även myndigheter ska kunna åläggas att betala sanktionsavgifter,
• förhållandet till grundlagarna inte ska förändras,
• behandling av personuppgifter som rör lagöverträdelser ska som huvudregel fortsatt endast utföras av myndigheter, med vissa undantag,
• grunderna för att få behandla personnummer eller samordningsnummer ska förbli oförändrade, och
• rätten till information (registerutdrag) ska inte gälla uppgifter som omfattas av sekretess eller personuppgifter som finns i löpande text och som utgör utkast eller minnesanteckningar.

Den särskilda utredaren föreslår även att den registrerade ska har rätt att begära skadestånd vid överträdelser av dataskyddslagen och andra författningar som kompletterar dataskyddsförordningen.

Vi kommer att hålla frukostseminarium om utredningen inom kort – så håll utkik efter det kommande datumet på vår hemsida!

Läs hela utredningen här.

På Delphi Data Protection Blog har vi tidigare rapporterat om förslaget till den nya ePrivacy förordningen. Nu har Artikel 29-gruppen publicerat en opinion angående förslaget, där arbetsgruppen tar upp fördelar, farhågor samt vilka delar av förslaget som behöver förtydligas. I detta inlägg redogör vi för utvalda delar av Artikel 29-gruppens opinion. Läs mer »

Den 10 mars i år publicerade den Europeiska kommissionen ett meddelande om utbyte och skydd av personuppgifter i en globaliserad värld (COM (2017) 7 final). Kommissionen fastställer i detta meddelande sina strategiska ramar för ”beslut om adekvat skyddsnivå” och andra verktyg för dataöverföring och internationella instrument för dataskydd. Läs mer »

Artikel 29-gruppen uppgav i ett pressmeddelande från januari 2017 att arbetsgruppen kommer att publicera en vägledning om samtycke enligt dataskyddsförordningen under året. I väntan på Artikel 29-gruppens vägledning vill vi tipsa om att the Information Commissioner’s Office (ICO), den engelska motsvarigheten till Datainspektionen, har publicerat en vägledning på samma tema. I vägledningen tar ICO bl.a. upp när en personuppgiftsansvarig bör basera personuppgiftsbehandlingen på den registrerades samtycke och när så inte bör ske, vad som utgör ett giltigt samtycke och hur länge ett samtycke är giltigt. Läs mer »

Genom dataskyddsförordningen blir det i vissa fall obligatoriskt att utse ett dataskyddsombud (tidigare personuppgiftsombud). Dessa situationer pekas ut i artikel 37.1 och är 1) om behandlingen genomförs av en myndighet eller ett offentligt organ, 2) om kärnverksamheten består av behandling som kräver regelbunden och systematisk övervakning av de registrerade i stor omfattning, eller 3) om kärnverksamheten består av behandling i stor omfattning av särskilt känsliga uppgifter och personuppgifter som rör lagöverträdelser. I de fall det inte är uppenbart att ett dataskyddsombud inte behöver utses, bör den personuppgiftsansvarige och personuppgiftsbiträdet dokumentera varför de valt att inte utse ett dataskyddsombud. Detta för att de ska kunna visa att relevanta faktorer har övervägts. En stor del av Artikel 29-gruppens vägledning om dataskyddsombud rör hur kraven i artikel 37.1 ska tolkas, och det är även det som inledningsvis kommer behandlas i det här blogginlägget. Läs mer »