1. Vem är personuppgiftsansvarig och vilka ansvar har de?

Den personuppgiftsansvarige avgör syftena och medlen för hur personuppgifter används. De ansvarar för att hela verksamheten följer GDPR, att adekvata säkerhetsåtgärder finns på plats och att alla avtal med leverantörer återspeglar samma nivå av dataskydd.

2. Vad är rollen för en personuppgiftsbiträde?

Ett personuppgiftsbiträde hanterar personuppgifter på uppdrag av den personuppgiftsansvarige. De följer strikt de instruktioner som ges och får inte fatta självständiga beslut angående databehandling. Curera kan agera både som en ansvarig och ett biträde, beroende på den specifika situationen.

3. Vad är rollen för dataskyddsombudet (DPO)?

Dataskyddsombudet (DPO) agerar i första hand som rådgivare och övervakar den övergripande efterlevnaden av GDPR. De är inte involverade i den dagliga hanteringen av personuppgifter, men hjälper organisationen att identifiera risker och säkerställa att rutiner för dataskydd följds.

4. Hur säkerställs dataskyddet operativt?

Alla anställda har ett ansvar att hantera personuppgifter korrekt. Detta uppnås genom obligatorisk utbildning, tydliga processer, checklistor och regelbunden uppföljning inom olika delar av organisationen.

5. Hur hanteras personuppgiftsincidenter?

Företaget måste ha en tydlig incidentprocess som involverar:

• Snabbt identifiera vem som är ansvarig för rapportering.

• Informera DPO när det är nödvändigt.

• Rapportera till Tillsynsmyndigheten inom 72 timmar om risken för individers rättigheter och friheter är hög.

• Följa upp vidtagna åtgärder och genomföra förbättringar för att förhindra framtida incidenter.

6. Gäller GDPR samma regler i hela EU?

Ja, GDPR är en gemensam uppsättning lagar i hela EU. Dock kan det finnas kompletterande nationella regler, såsom den svenska dataskyddslagen.

7. Hur tillämpas GDPR vid databehandling utanför EU?

GDPR gäller även för företag utanför EU som hanterar data som rör EU-medborgare. Vid överföring av data till ett tredje land krävs adekvata avtal och säkerhetsåtgärder, utöver eventuella lokala lagkrav.

8. Kan en enhet ha flera roller inom dataskydd?

Ja. Ett företag kan agera både som en ansvarig och ett biträde i olika delar eller sammanhang av sin verksamhet. Roller definieras baserat på de specifika uppgifter som hanteras och företagets interna struktur.

9. Hur ofta bör dataskyddet kontrolleras och följas upp?

Kontroller bör ske kontinuerligt, med regelbundna interna rapporter, till exempel fyra gånger per år. Regelbunden uppföljning gör det möjligt för organisationen att identifiera brister och effektivt förbättra rutiner.

10. Vem får information om status för dataskydd och kontrollresultat?

Information delas internt med ledning och styrelse för uppföljning och beslut angående nödvändiga förbättringar. Denna information är en del av den interna dataskyddskulturen och avser inte att delas med allmänheten.