Är ni GDPR-redo?

Den 25 maj träder EU:s allmänna dataskyddsförordning (GDPR) och den nya dataskyddslagen i kraft. Syftet med GDPR är att stärka skyddet för den personliga integriteten och många företag arbetar in i det sista med att uppdatera sina policyer och få rutiner på plats i tid.
Som arbetsgivare behandlar man en stor mängd personuppgifter om sina anställda där en del uppgifter är känsliga, t.ex. uppgifter om sjukskrivning och om anhöriga. All behandling och allt insamlande av anställdas personuppgifter kräver tydlig information till de anställda samt åtgärder för att säkerställa att behandlingen sker på ett säkert sätt.

Om man inte blir klar i tid bör man i alla fall ha en plan för arbetet.
Det har varit ett extremt fokus på GDPR de senaste månaderna och det lär inte ha undgått någon att GDPR innebär ett nytt regelverk. Man kan lite förenklat säga att regelverket i stora delar bygger på vår tidigare personuppgiftslag men med ”extra allt”.

Många arbetsgivare har redan bra rutiner för hur personuppgifter ska behandlas men i och med GDPR ska nu också ändamål och rättslig grund för behandling av personuppgifter redovisas. De anställda ska också få information om vilka rättigheter de har.

Vad ska man som arbetsgivare tänka på? 
Tidigare var det vanligt med bestämmelser om personuppgifter i enskilda anställningsavtal men i och med betydligt mer omfattande betydligt informationskrav är det bättre med en separat integritetspolicy för de anställda.

Givetvis behöver man också inrätta särskilda rutiner och ta fram en ansvarsfördelning för exempelvis gallring, rapportering av en eventuell personuppgiftsincident och om en anställd gör gällande sin rätt till t.ex. rättelse.

Datainspektionen kan enligt GDPR ålägga sanktionsavgifter för arbetsgivare som inte uppfyller kraven i GDPR men vi bedömer att det till en början kommer att finnas viss förståelse för regelverkets kompexitet. Arbetsgivare som inte har en integritetspolicy och alla rutiner på plats till den 25 maj bör däremot ha en plan för att uppfylla kraven i GDPR och hur personuppgifter ska hanteras.