Digitalisering och GDPR – fördjupning

Under kursdagen går vi igenom hur digitaliseringsprojekt påverkas av GDPR från ax till limpa. Från förstudie till att systemet/processen utfasas. De särskilda förutsättningarna för offentlig och privat sektor kommer behandlas under särskilda pass för respektive sektor.

Ur kursen:
• Hur bör dataskyddskrav hanteras i förstudier?
• Vad gäller för pilotprojekt och GDPR?
• Vad innebär privacy by design och privacy by default vid projektutveckling?
• Hantering av integritetskänsliga och känsliga personuppgifter.
• När bör konsekvensbedömning göras? Blir man någonsin klar med konsekvensbedömningen? Andra nödvändiga riskbedömningar.
• Hur hantera medaktörer och leverantörer – gemensamt personuppgiftsansvar och biträdesförhållanden.
• Fördjupad genomgång av informationsplikten enligt art. 13-14 GDPR.
• Vilka hotbilder tillkommer med digitalisering?
• Hur hantera molntjänster och tredjeländer utifrån nya rättsläget (Schrems II)?
• Hantering av loggning och andra säkerhetsåtgärder ur integritetsperspektiv.
• Hur bör dataskyddsombudet involveras (minimikrav)?
• AI och robotisering.
• Testning innan drift.
• Hantering av ”legacy”-system.

Särskilt för offentlig sektor:
• Vad innebär förvaltningsrätten för förutsättningarna att genomföra digitalisering?
          – Förvaltningsrätt
          – Offentlighet och sekretess
          – Arkiv
          – Alternativ till digitalt?
• Hur bör offentlighet och sekretess påverka samspelet med andra organisationer?
• Hur bör vi hantera leverantörer som kommer in i våra miljöer?
• Genomgång av sanktioner och beslut som riktar sig mot offentlig sektor.

Särskilt för privat sektor:
• Hur kan vi hantera risker kopplat till leverantörer och internt?
• Att ha det offentliga som kund.
• Särskilt fråga om marknadsföring och dataskydd.
• Genomgång av sanktioner och beslut som riktat sig mot privat sektor.

Vid kursen kommer även en fördjupad genomgång att äga rum av rättsfall från domstolar och vägledningar från Europeiska dataskyddsstyrelsen, EDBP. Nedan följer ett axplock av dessa.

1. Förvaltningsrätten i Stockholm, mål 20577-19, frågan om användande av ansiktsigenkänning för närvarokontroll i skola.

2. Europeiska dataskyddsstyrelsens riktlinjer för inbyggt dataskydd och dataskydd som standard, Guidelines 4/2019.

3. Regeringsrätten (nuvarande Högsta förvaltningsdomstolen), mål nr 6588-05, frågan om användande av biometri för att elever ska få ut tallrik i skolmatsal, kontroll att inte obehöriga äter skolmaten.

4. Europeiska dataskyddsstyrelsens vägledning gällande personuppgiftsansvariga och personuppgiftsbiträden, Guidelines 7/2020.

5. EU-domstolens dom av den 29 juli 2019 i mål C 40/17, Fashion ID, om gemensamt personuppgiftsansvar mellan en e-handelsplats och Facebook.

6. Europeiska dataskyddstyrelsens (godkända av den myndigheten, antagna av tidigare artikel 29-gruppen) riktlinjer om öppenhet (och information) enligt GDPR, WP 260.