GDPR (dataskyddsförordningen) är EU:s lag om hur organisationer får samla in, använda och spara personuppgifter. Den har gällt i hela EU sedan den 25 maj 2018. Varje organisation som behandlar uppgifter om människor, från vårdcentralen till nätbutiken, måste följa den. I Sverige är det Integritetsskyddsmyndigheten (IMY) som utövar tillsyn. GDPR skyddar uppgifter som kan kopplas till en person. Uppgifter som verkligen är anonyma faller utanför.
Ett exempel från verkligheten
Fysioterapimottagningen Björken i Uppsala (ett påhittat exempel) har namn, adress, personnummer, försäkringsuppgifter och behandlingsanteckningar för varje patient. Det är personuppgifter, och anteckningarna om besvär är dessutom uppgifter om hälsa.
Enligt GDPR måste mottagningen veta varför den har uppgifterna (behandlingen), inte samla in mer än nödvändigt, skydda dem ordentligt och på begäran visa patienten vad som finns registrerat. Låter mottagningen ett mjukvaruföretag sköta bokningen eller journalanteckningarna skriver de ett personuppgiftsbiträdesavtal.
GDPR i korthet
Vem den gäller. Alla organisationer som behandlar personuppgifter om människor i EU, även företag utanför EU som riktar sig till européer. Rent privat bruk, som din egen adressbok, omfattas inte.
Vad den skyddar. Personuppgifter: all information som rör en identifierad eller identifierbar fysisk person. För känsliga personuppgifter, som hälsa, religion, etniskt ursprung eller sexuell läggning, gäller ett förbud mot behandling om inte ett undantag är tillämpligt (artikel 9).
Grundprinciperna (artikel 5).
- Du behöver en rättslig grund, till exempel samtycke, avtal eller en rättslig förpliktelse.
- Uppgifterna används bara för det ändamål de samlades in för.
- Du samlar inte in mer än som behövs och sparar inte längre än nödvändigt.
- Uppgifterna skyddas på ett lämpligt sätt.
- Du kan visa att du följer reglerna.
De registrerades rättigheter. Alla har rätt till tillgång, rättelse, radering och att invända, och i vissa fall att få ut sina uppgifter för att flytta dem.
Personuppgiftsbiträden. Låter du ett annat företag behandla uppgifter åt dig är det ett personuppgiftsbiträde, och ni skriver ett personuppgiftsbiträdesavtal (artikel 28).
Personuppgiftsincidenter. En incident som innebär risk för människor anmäler du till IMY inom 72 timmar.
Svensk komplettering. Dataskyddslagen kompletterar GDPR i Sverige, bland annat med regler om när personnummer får behandlas.
Sanktionsavgifter. Upp till 20 miljoner euro eller 4 % av den globala årsomsättningen, beroende på vilket som är högst.
Det här är allmän information, inte juridisk rådgivning.
Vad GDPR inte skyddar
GDPR är bred, men den har en tydlig gräns: den handlar om uppgifter som pekar på en person.
- Anonyma uppgifter faller utanför. Skäl 26 i GDPR säger det rakt ut: förordningen gäller inte anonym information. Tar du bort allt som pekar på patienten i en journalanteckning blir diagnos, behandling och resultat kvar. De kan då lagligt slås samman, licensieras och säljas, till exempel till datamäklare, försäkringsbolag eller AI-utvecklare. På dataspåret ser du hur det går till steg för steg. Källorna finns på lagligt till salu.
- Pseudonymiserat är fortfarande skyddat. En kod i stället för ett namn är fortfarande en personuppgift (artikel 4.5). Den gränsen är smalare än många företag tror. Se pseudonymisering och anonymisering.
- Villkor kan tillåta återanvändning. Om du godkänner användarvillkor som ger leverantören en licens att använda eller anonymisera ditt innehåll, hindrar GDPR inte den anonymiseringen.
- GDPR är inte tystnadsplikten. För vårdpersonal och advokater gäller dessutom en egen tystnadsplikt.
Vad det betyder när du använder AI-verktyg
Det du skriver i ett AI-verktyg innehåller ofta personuppgifter. En kort kontroll som fungerar för alla verktyg:
- Är leverantören personuppgiftsbiträde, med ett avtal enligt artikel 28?
- Ger villkoren en licens att använda, förbättra eller anonymisera ditt innehåll?
- Tränas modeller på dina uppgifter, eller är det uteslutet i avtalet?
- Var finns uppgifterna och hur länge? Inom EU, och raderas de efter behandlingen?
Wysor är personuppgiftsbiträde och agerar bara på dina instruktioner (artikel 28). Vi tar ingen licens att återanvända ditt innehåll, vi tränar aldrig på det och vi säljer det aldrig, anonymiserat eller inte. Det står i avtalet och binder även den som någon gång skulle äga Wysor. Dina uppgifter är krypterade under överföring och i lagring och hostas i EU. Hos varje ansluten AI-modelleverantör gäller noll datalagring: behandlat, sedan raderat. Så använder du GPT, Claude, Gemini och fler i en arbetsyta, på ett sätt som går att förena med GDPR. Läs mer på vår sida om GDPR-kompatibel AI.
Vanliga frågor
Vad är GDPR kortfattat? GDPR är EU:s dataskyddsförordning. Den bestämmer att organisationer bara får behandla personuppgifter med en rättslig grund, så lite som möjligt, säkert och inte längre än nödvändigt. Människor får rätt att se och radera sina uppgifter.
Vad står GDPR för? General Data Protection Regulation. På svenska heter den dataskyddsförordningen.
Vem kontrollerar att GDPR följs i Sverige? Integritetsskyddsmyndigheten, IMY. Myndigheten tar emot klagomål och anmälningar om personuppgiftsincidenter och kan besluta om sanktionsavgifter.
Gäller GDPR för små företag och enskilda firmor? Ja. GDPR gäller alla som behandlar personuppgifter i sin verksamhet, oavsett storlek. Vissa administrativa krav är lättare för små organisationer, grundreglerna är desamma.
Är ChatGPT GDPR-säkert? Det beror på version och avtal. I konsumentversionen av ChatGPT kan konversationer användas för träning om du inte stänger av det; företags- och API-versioner används som standard inte för träning. Kontrollera alltid om det finns ett personuppgiftsbiträdesavtal.
Läs vidare
- GDPR-kompatibel AI: så arbetar du privat med AI
- Vad är personuppgifter? Definition och exempel
- Vad är ett personuppgiftsbiträdesavtal?
- Dataspåret: vad som händer med dina uppgifter
- Vad är AI? Artificiell intelligens förklarat enkelt
- Vad är en prompt? Och vad du aldrig ska skriva i den
Frågor om GDPR och Wysor? Skriv till [email protected] eller använd kontaktformuläret i appen.
