Hantera personuppgifter varsamt
Dataskyddsförordningen (GDPR) utgår från att personuppgifter är delikata uppgifter som behöver hanteras med varsamhet.
Man skulle förenklat kunna säga att ”mina personuppgifter är mina och det är jag som ska bestämma hur de ska användas, eller om jag inte kan bestämma det (vilket är vanligt) så ska jag i alla fall ha rätt att veta hur de används”.
Den som hanterar någon annans personuppgifter ska göra det med omsorg och försiktighet – handle with care!
I Dataskyddstermer kommer detta till uttryck dels genom de allmänna principerna, dels genom att det måste finnas ett särskilt ändamål och en laglig grund för varje hantering av personuppgifter, och dels genom bestämmelserna att man ska vidta tillräckliga ”tekniska och organisatoriska åtgärder” i förhållande till de uppgifter som hanteras.
Det senare betyder att ju mer känsliga personuppgifter som hanteras, ju högre nivå på dataskydd behövs (som tex kryptering, inloggning med e-tjänstekort etc). Om man hanterar kontaktuppgifter i form av namn, e-postadress och telefonnummer till kunder och leverantörer, ställs inte lika höga krav på de tekniska lösningarna, som om man hanterar patientjournaler.
GDPR ställer krav på att de företag och organisationer som hanterar personuppgifter (det gör alla!) ska ha tydliga processer och rutiner samt ordning och reda i hanteringen av personuppgifter, med kontinuerliga genomgångar och utrensning av de uppgifter som finns i olika system och som inte längre behövs.
Need to have – not nice to have
Här gäller principen ”need to have – not nice to have”. De genomgångar och ifrågasättande av gamla arbetssätt och arbetsrutiner, som följer med den nya lagstiftningen har många positiva effekter. Nya, mer ändamålsenliga processer och rutiner införs vilket kan leda till effektiviseringar och konkurrensfördelar.
Informationshantering är levande materia. Det behövs ett kontinuerligt arbete med att kvalitetssäkra efterlevnaden av GDPR i organisationen. Den 25 maj är starten, inte målet!