Om knappt fyra månader träder GDPR i kraft. Dessvärre verkar många stater, myndigheter och företag ha ”glömt” (eller förträngt) detta faktum. EU-kommisionen har därför gått ut med en skarp påminnelse till EU:s medlemsländer att se till att snabba på med GDPR. I påminnelsen skriver man:
”EU-kommissionen uppmanar alla berörda aktörer att intensifiera det pågående arbetet för att säkerställa en konsekvent tillämpning och tolkning av de nya reglerna inom EU och att öka medvetenheten bland företag och medborgare.”
Och det ligger en del läskig fakta bakom EU:s oro – hittills anses enbart Tyskland och Österrike ha uppfyllt kravet på att anpassa sin nationella lagstiftning efter hur GDPR är formulerad. I Sverige återstår med andra ord en hel del arbete på alla nivåer. Inte minst måste Justitiedepartementet färdigställa vår nya GDPR-anpassade dataskyddslag. Detta förutspås dock vara på plats i god tid innan 25 maj, då GDPR träder i kraft. Dock måste en uppsjö andra lagar, som berörs av GDPR i någon utsträckning, med stor sannolikhet också ändras.
Men det största problemen står företagen inför. Att fullt ut GDPR-anpassa sina verksamheter har visat sig vara en större utmaning än vad många hade räknat med – och nu håller sanden i timglaset på att rinna ut. EU uttrycker framför allt en oro över att så pass många små- och medelstora företag verkar få problem att hinna i tid. Dock tyder inget på att någon form av dispens kommer att ges till den som ”inte hann” utan det är den 25 maj som gäller.
Hur står det till i Sverige egentligen?
I september förra året publicerade säkerhetsföretaget Trend Micro resultatet av en undersökning bland tusentals europeiska företags GDPR-beredskap. Det var ingen munter läsning för svenska ögon. Till exempel svarade 34 procent av de svenska företagen och organisationerna att de inte ens vet vilken typ av personliga data de lagrar och var den finns. Vi har också sämst processer på plats för att uppfylla kravet om en enskild individs rättighet att få personliga data raderade från en databas. Knappt hälften (56 procent) av de svarande menar att sådana processer tillämpas. I övriga tillfrågade länder är samma siffra 77 procent.
Undersökningen visar också på en mycket utbredd okunskap om vad GDPR är och hur den nya lagen kommer att fungera rent praktiskt. Hela 11 procent av de svenska beslutsfattarna uppger att de faktiskt inte vet vad de ska göra för att följa reglerna – i övriga länder uppger bara en ynka procent samma sak. Och vad gäller konsekvenser av inte följa GDPR så vet bara 20 procent av de svenska företagen och organisationerna i undersökninge att påföljden är en straffavgift på upp till fyra procent av årsomsättningen, och 16 procent känner överhuvudtaget inte till att man riskerar böter – något som bara undgått fem procent i resten av de tillfrågade länderna. Dessutom anser 36 procent av de svenska beslutsfattarna att konkurs är ett föreliggande hot mot verksamheten om företaget skulle få böter enligt de nya GDPR-regelverket. En annan oroväckande brist på kunskap är att 43 procent av de tillfrågade inte ensvet att det finns en process för att snabbt rapportera intrång och allvarliga incidenter till Datainspektionen, något som bara 11 procent i övriga länder har missat.
I december presenterades en liknande undersökning av Citrix, där man intervjuat 100 svenska storföretag och organisationer. Endast var tionde svarande är mycket väl förberedd inför implementeringen av GDPR – men var femte är inte förberedd alls. 75 procent uppgav att de har gjort en analys av vilka åtgärder som behöver genomföras för att leva upp till GDPR, medan bara lite mer än hälften säger att de har gjort en analys av vilka kunddata som finns sparade i molnet (58 procent) eller analyserat vilka kunddata som finns sparade hos samarbetspartners (54 procent).
Så var alltså läget med ett drygt halvår kvar tills GDPR träder i kraft. Vi kan väl åtminstone låtsas att vi tror att alla fått rejält med eld under fötterna nu?
Som en liten knuff i ryggen i uppförsbacken har EU lanserat en ny webbplats med verktyg och information som syftar till att hjälpa alla att snabba på sitt GDPR-arbete.
Läs också gärna vår stora guide till GDPR, där du får grundläggande fakta om vad den nya lagen innebär och vad du absolut bör tänka på.
Facebook GDPR-anpassar
Ett företag som i alla fall vill visa framfötterna vad gäller GDPR är något förvånande Facebook. Den sociala giganten har ju tidigare kritiserats för minst sagt halvdan transparens kring hur de använder sin dryga miljard användares data. Nu ska användarna för första gången få uttömmande information om hur Facebook hanterar deras data, genom att företagets integritetsprinciper, de som styr hur företaget hanterar användarnas data, publiceras offentligt.
Dessutom kommer man att publicera ett antal videos med instruktioner för att hjälpa användarna att få bättre kontroll över vilka aktörer som kommer åt deras data via Facebook. Bland annat planerar man att visa användarna hur de kan hantera de data som Facebook använder för att visa annonser för dem, hur de kan ta bort gamla inlägg och vad som händer med deras data om de raderar sitt konto. I pipelinen finns även ett nytt integritetscenter för att samordna alla viktiga integritetsinställningar på samma plats.