Förändringledarens vanligaste fråga om dataskyddssäkerhet

Mäta tryggheten i offentliga miljöer med hjälp av LiDAR-sensorer.

Alla är exempel på förbättringsarbeten som hanterat känsliga data där organisationer tagit hjälp av IMY:s Innovationssandlådan.

– Det efterlystes ett mer fördjupat vägledningsformat, ett alternativ till den mer generella vägledning som exempelvis finns på vår hemsida och den som ges inom ramen för våra tillsynsbeslut. Så innovationssandlådan blev en möjlighet för organisationer att få stöd i projekt som innefattar olika dataskyddsrättsliga frågeställningar, säger Per Nydén, chef för enheten Innovation på IMY.

Initiativet har funnits de senaste tre åren där myndigheten väljer ut fyra projekt per år som är innovativa och bidra med lärdomar även till andra. Per Nydén leder enheten som hanterar innovationssandlådan och står jämsides med såväl jurister som informations- och cybersäkerhetsexperter i arbetet.  

– Vi har haft både stora och små organisationer som varit med i sandlådan. Allt från storföretag som Nordea och Ericsson till mindre aktörer som Canarybit och Fastrmobi. Så storlek spelar ingen roll. 

Det betyder ”rättslig grund”

Via innovationssandlådan har IMY workshops med personer från organisationen. Enligt Per Nydén är det vanligast att organisationer känner sig osäkra kring GDPR-reglerna.

– Det är ganska vanligt, vi behandlar frågor om GDPR i alla av våra projekt och den vanligaste funderingen handlar om huruvida det finns rättslig grund för en viss behandling av personuppgifter eller ej. 

Det finns sex olika rättsliga grunder inom GDPR som kan användas: samtycke, avtal, rättslig förpliktelse, skydd av grundläggande intressen, allmänt intresse/myndighetsutövning eller intresseavvägning. 

Ifall någon av dessa är tillämplig har alltså personuppgiftsbehandlingen rättslig grund enligt GDPR. 

– Är man osäker på vad som gäller kan man vända sig till IMY eller ta del av tidigare case från innovationssandlådan. Man kan också kontakta andra verksamheter och organisationer. För kommuner och regioner går det exempelvis att vända sig till SKR för att få stöd, medan företag i privat sektor kan söka råd inom sin bransch- eller arbetsgivarorganisation.

Vad ska jag tänka på angående dataskyddsäkerhet innan jag startar igång ett projekt?
– Först ska man fundera på ifall man har rättslig grund för den behandling av personuppgifter som man planerar att påbörja. Det finns också krav på att skydda de personuppgifter man behandlar genom lämpliga säkerhetsåtgärder, till exempel genom kryptering. Men det finns ingen universallösning, utan vilka säkerhetsåtgärder man behöver vidta beror på olika omständigheter som till exempel vilken typ av personuppgifter det rör sig om. Känsliga personuppgifter kräver i regel ett starkare skydd än mer harmlösa personuppgifter.

Nu är ansökningsperioden för innovationssandlådan öppen fram till och med den fjärde maj. 

– En aha-upplevelse för mig har varit hur mycket man faktiskt lär sig. För det är verkligen ett utbyte där även vi på IMY lär oss mer om ny teknik och om att driva den här typen av innovationsprojekt.