Hur implementeras GDPR där du jobbar?

Rent konkret handlar det om att ta kontroll över vilka personuppgifter man har och hur dessa hanteras samt vem som har tillgång och varför. Det handlar primärt om individens integritet och inte om man kan bli hackad eller ej.

Vi har inte gjort någon "implementation" som antyder tekniska investeringar (som inte behöver uteslutas) utan snarare anpassat oss till de nya direktiven genom att definiera i våra biträdesavtal med våra kunder vilken information vi har och varför vi har dessa. Vi har också slutat skicka lönespecifikationer över okrypterad e-post.

Om du inte redan sett det så har du ganska mycket information på Datainspektionens hemsida.

Edit: När det gäller medlemssidor så kan det vara bra att känna till att lagring av personuppgifter måste godkännas av medlemmen genom en aktiv handling som att kryssa i en "Jag godkänner..."-ruta som INTE är förvald.

Vi har "bara" inventerat våra system. Provisioneringssystemet är fullknökat med uppgifter och dubblerat mot CRM och fakturering, så vi har insett att för att uppfylla GDPR så måste vi göra om. Så, nytt provisioneringssystem ut med all data om folk till ett eget system och sedan polla in data vid behov (exempelvis status eller liknande) men inte spara något. Vi kommer inte vara klara i maj men resonemanget är sådant att är vi inte kan få skit/böter under övergången (enligt en av dom sitter med i datainspektionens grupp för gdpr).

Det är ett jättejobb och vi måste göra om massor. (Gäller nätägare, KO, och ISP samt andra nyttigheter).

En följdfråga blir här hur ni då tänker med gallring och rutiner för detta när du säger att det inte är några tekniska investeringar? Nu vet jag ju inte vilken typ av verksamhet ni bedriver men det är ju inom många verksamheter så att behovet av att lagra information på enskilda individer kan försvinna före behovet av lagring på hela kunden försvinner.

Ett exempel kan vara försäkringar där ett företag tecknar försäkring för sina anställda och hur man då hanterar personuppgifter på de försäkrade som slutat på företaget. Kundavtalet löper då kanske längre än man kan motivera att ha kvar information om den enskilda individen som slutat, och således måste man ha rutiner på plats som säkerställer att individens information gallras.

Tycker inte den största frågan är hur man lagrar informationen utan snarare hur man ser till att vid varje given tidpunkt bara ha den informationen man kan motivera att man skall ha.

I kort.
Inventering av samtliga system (vilket uppgifter, varför).
Genomgång av avtal med samtliga moln-leverantörer och förtydligande av personuppgiftsbiten där det är tillämpligt.
En lång rad nya interna rutiner för att kunna tillgodose kraven om radering/uppdatering av PU i samtliga system.
Kommande internutbildningar, vad är en personuppgift och hur hanterar vi den internt med avseende lagra/kopiera/sprida.

Det är för oss ett ganska mastigt arbete.

Det är faktiska samma sak. Hur man lagrar data definierar hanteringen. Semantik kan tyckas men det är ungefär vad jag menar. Eftersom vi har förhållit oss till PUL har övergången varit relativt smärtfri. Vi har endast behövt kompletterat våra befintliga rutiner så dessa är i linje med GDPR (såvitt vi jag vet).

T.ex.om en anställd slutar raderas personen från vissa register - så var det inte tidigare. Det har vi lagt till.
Av skattetekniska skäl måste dock vissa grunduppgifter sparas för att sedan destrueras efter en viss tid - vilket vi redan gör. Osv...
När det gäller personuppgifter som rör våra kunder så har vi gjort friskrivningar och genomlysning beträffande hanteringen som jag skrev tidigare. Nytt är att detta skrivs in i klausuler så vi kan redovisa detta för ansvarig myndighet.
Det finns såklart många aspekter och infallsvinklar som jag inte behärskar eller mäktar med att gå in på. Det jag redogör för är det jag snappat upp av vår interna GDPR-ansvarig.

Vi gör ett dödsjobb som bland annat innebär att vi stänger system vi inte orkar GDPR-säkra, och lyfter över datan till andra system som vi har eller kommer säkra istället. Vi uppdaterar processer kring kunderna, implementerar "right to be forgotten"-rutiner, tightar upp säkerheten internt kring kunddata och ser till att det finns 100 % spårbarhet överallt det förekommer någon tillstymmelse till personuppgifter.

All in all, en jäkla massa IT-timmar.

Jobbar på en bank med föråldrat system så du kan ge dig fan på att det har påverkat oss. Vi driver projekt bara för att bli compliant.....

Väldigt OT men kunde inte låta bli att tänka på denna

https://www.youtube.com/watch?v=jay6g9ibTDg

Vet inte om det är en indirekt typ av förolämpning, men klippet var dock roligt

Fanns nog ingen större eftertanke alls med det mer än att jag kom att tänka på det. Jobbar för övrigt själv på bank (eller åt ett kreditmarknadsbolag om man ska vara helt korrekt)

GDPR ja, där kan vi snacka mycket ångest. Vissa verkar anse att det inte är så farligt medans andra är helt uppe i varv och inte verkar ha sovit på flera veckor. Försökte själv läsa GDPR dokumentet för några månader sedan men gav upp redan efter några sidor som mer påminde om något som Thomas Di Leva kunde skrivit

Edit:
GDPR och dess svallvågor får mig även att tänka på den klassiska "Vad är det för skillnad på en metodguru och en terrorist?" gåtan, nån här kan förmodligen svaret

Skitjobbigt. Och bara man kan lite om datorer/IT tror alla man är nån expert och så blir man plötsligt ansvarig för flera delmoment/program. Kul!

För oss har det handlat mycket om långa möten där vi kammar igenom alla tjänster vi levererar till varje kund, vilka system som används i den leveransen, vilka eventuella beroenden som finns i de systemen, och slutligen huruvida varje system lagrar eller hanterar personlig information. Vi har inga större bekymmer med compliance, än så länge ser vi inte att det behövs några tekniska ändringar. Men inventeringen och dokumentationsarbetet driver en hel del timmar. Förhoppningen från min sida är att informationen blir en bilaga till våra tjänstebeskrivningar och kan återanvändas i framtida kundetableringar så man har koll från början.

Mycket jobb med detta hos kunder just nu.

Detta är våran lösning/produkt.
http://www.shieldfc.com/

För mig som jobbar på kundtjänst är skillnaden att vi inte kan hjälpa folk att bli medlemmar i kundklubben över telefon. De behöver ansluta sig själva på hemsidan.

Skickades från m.sweclockers.com

Vi byter ut hela systemet.

Jag är en av utvecklarna som arbetar på det nya systemet. Har migrerat och krypterat skiten ur en massa personuppgifter. Blir galen på det hela.

Hos oss (bank) tas förenklad inloggning bort (PIN, 4 siffror) och vi kör framöver enbart med säkerhetsdosa/bank-id.