Dataskyddsförordningen (GDPR) - följer din verksamhet reglerna?

I samband med personuppgiftslagen så arbetar vi ofta med termer som ”personuppgiftsbiträde” och ”personuppgiftsansvarig”. I den här kontexten är EasyPractice biträdet och våra användare personuppgiftsansvariga, eftersom vi behandlar dina kunders personuppgifter för din räkning och dina intressen. Därför har du också full kontroll över hur vi behandlar din data – vi behandlar dem endast enligt dina instruktioner.

Med den nya dataskyddsförordningen är det lagligt att överföra personuppgifter till andra EU-länder som uppfyller en tillräcklig säkerhetsnivå. Hos EasyPractice lagrar vi data hos ett danskt webbhotell i Danmark, och du behöver inte vara rädd för att dina kunders data ska skickas vidare utanför EU. Din data kommer alltid att omfattas av dataskyddsförordningen.

Det är viktigt att du som registeransvarig är klar och tydlig i din kommunikation när du lagrar eller på annat sätt behandlar dina kunders data. Behandlingen av uppgifterna ska antingen vara nödvändig för att uppfylla ett kontrakt eller så ska dina kunder godkänna sitt samtycke till det. Oavsett ska behandlingen ske på saklig grund och din kund ska ha fått upplysning om:

• vilka personuppgifter du registrerar,
• för vem eller vilka personuppgifterna behandlas,
• hur länge personuppgifterna lagras,
• att kunden har rätt att få sina uppgifter rättade, raderade eller överförda,
• vart kunden kan vända sig för att utöva sin rätt till rättelse, radering eller få sina uppgifter överlämnade,
• att kunden när som helst kan återkalla sitt samtycke och hur detta kan ske,
• var förfrågningar om ovanstående kan korrigeras.

Om du exempelvis lägger in nya kunder i EasyPractice ska kunden ge sitt uttryckliga samtycke till det och ska i samband med detta få ovanstående information. Om du använder vår Onlinebokning kan du specifikt ställa in att villkoren ska godkännas innan en bokning kan göras för att säkerställa samtycke. Detta är något du alltid bör göra.

En nyhet för personuppgiftsbiträden är att ett dataskyddsombud måste utses. Dataskyddsombuden ska se till att företaget uppfyller kraven enligt Dataskyddsförordningen. Här kan du läsa mer om vad ett dataskyddsombud ska göra.

Kunderna som du har registrerat i EasyPractice har rätt att begära att få sina uppgifter överförda till ett annat system. I EasyPractice ges möjligheten att exportera kunduppgifter via ”Inställningar” → ”Import/Export” om du behöver kunna överföra data till ett annat personuppgiftsbiträde i ett annat format.

Dina kunder har rätt att bli ”bortglömda”. Detta innebär att dina kunder kan kräva att de tas bort från ditt kundregister. I EasyPractice kan du både ange en kund som ”inaktiv” och ta bort den helt från ditt register. För att ”rätten att bli bortglömd” ska uppfyllas är det viktigt att du tar bort kunden helt och hållet från ditt register. Detta kan automatiseras genom vår app ”Rensning”.

Det är dock inte alltid så att en klient kan kräva att få all information raderad. Kanske behöver du behålla information som dokumentation för din hantering av personuppgifter, eller så kräver annan lagstiftning att du behåller personuppgifterna under en viss tid. Domen är ytterst din, men kom ihåg att informera klienten om beslutet, oavsett om du raderar all data eller inte.

Denna del av dataskyddsförordningen handlar om att säkerställa att systemen du använder uppfyller kraven för skydd av personuppgifter. Hos EasyPractice uppfyller vi de olika kraven gällande exempelvis kryptering av personuppgifter, men om du använder andra system (t.ex. bokföringsprogram) ska du som personuppgiftsansvarig se till att de också uppfyller kraven. Om du till exempel har anslutit EasyPractice till ett redovisningssystem ser vi till att överföra data via en krypterad anslutning. Men det är du som personuppgiftsansvarig som ansvarar för att de andra systemen du använder uppfyller kraven för lagring av personuppgifter.

Som personuppgiftsansvarig är du i samband med den nya dataskyddsförordningen skyldig att förbereda en så kallad konsekvensanalys. En konsekvensanalys är en beskrivning av de tekniker/ produkter som du använder för att hantera personuppgifter och den ska bland annat innehålla en bedömning av riskerna för dina kunder i samband med att de är kunder till dig, samt vilka försiktighets- och säkerhetsåtgärder du vidtar för lagringen av deras personuppgifter.

Med dataskyddsförordningen medföljer också skyldigheten att meddela den nationella dataskyddsmyndigheten om dataintrång. Det måste ske inom 72 timmar efter att dataintrånget har skett. Vi som registerförare har skyldighet att informera både våra användare och dataskyddsmyndigheten om ett intrång har skett, och vi har sett till att vi har ett förfarande för detta i vårt företag. Kom ihåg att du som registeransvarig också är skyldig att upplysa om eventuella dataintrång.

Som personuppgiftsansvarig är det ditt ansvar att dokumentera att du efterlever dataskyddsförordningen. Detta innebär att du måste ha rätt dokumentation på att uppgifter behandlas korrekt i systemet du använder. Här hittar du dokumentation om personuppgifter i EasyPractice (EN)

Säker kommunikation från webbläsaren till systemet (som när du redigerar journalanteckningar eller när en kund bokar tid) är något du som personuppgiftsansvarig bör vara medveten om. TLS, som står för Transport Layer Security, är ett säkerhetsprotokoll som säkerställer säker och privat överföring av data över Internet. Det är som en säkerhetsfilt för din onlinekommunikation och skyddar den från manipulation. Här är en översikt över vad TLS gör:

Kryptering: Föreställ dig att du skickar ett hemligt meddelande. TLS krypterar informationen du skickar och tar emot, vilket gör den oläslig för alla som fångar upp den, även på ett osäkert nätverk.

Autentisering: Precis som du kontrollerar en persons ID innan du släpper in dem, verifierar TLS identiteten på de webbplatser och servrar du ansluter till. Detta hjälper till att förhindra identitetsstöld och säkerställer att du talar med den avsedda parten.

Dataintegritet: TLS säkerställer att informationen du skickar kommer fram komplett och oförändrad. Det är som att lägga till en kontrollsumma till ett paket för att se om något har gått förlorat eller ändrats på vägen.

EasyPractice har det högsta betyget, A+, i TLS-testet på ssllabs.com, vilket är branschstandarden.

När man använder ett onlinesystem för till exempel registerföring eller fakturering är det ofta möjligt för systemet att automatiskt utbyta data med andra plattformar. Det är viktigt att du som registeransvarig har koll på vilka plattformar du använder och hur de behandlar personuppgifter. Alla integrationer via EasyPractice körs med SSL-säkerhet (krypterad, säker kommunikation) och vi ser därför till att det inte kan läcka data när plattformar integreras.