Vilka är de tre vanligast missuppfattningarna om GDPR?
Missuppfattning 1: GDPR gör att mitt företag inte kan behandla personuppgifter alls (fel).
Vi brukar beskriva GDPR som en beskrivning på hur ditt företag ska behandla personuppgifter, istället för en vanlig missuppfattning att GDPR mest innehåller förbud mot behandling av personuppgifter. Det här är ju naturligtvis en sanning med modifikation, men det är vår rekommendation att ta sig an GDPR som en handbok för hur ditt företag kan vara complient (följa reglerna). GDPR innehåller allt från grundläggande principer om uppgiftsminimering och ändamålsbegränsning, till mer specifika regler som t.ex. vilken information som en registrerad ska erhålla när du samlar in deras personuppgifter.
Missuppfattning 2: Om en kund hör av sig och begär att dennes personuppgifter ska raderas, så måste jag alltid radera dem (fel).
Rätten till radering som återfinns i GDPR är inte ovillkorad. En kund ska bli informerad om denna rättighet när ni samlar in personuppgifterna, och hur de ska kontakta er om de vill skicka in en sådan begäran. Men det är inte alltid så att ni måste radera personuppgifterna. Du måste radera personuppgifterna om de t.ex. inte längre är nödvändiga för ändamålet som de samlades in för eller om du grundar behandlingen på den rättsliga grunden samtycke och kunden återtar sitt samtycke. På samma sätt skulle dock behandling fortfarande kunna var just nödvändig för ändamålen som de samlades in för. Om du då inte använt dig av samtycke som rättslig grund, utan kanske för att det är nödvändigt för att upprätthålla avtalsförhållandet mellan ditt företag och din kund, så skulle du kunna neka till raderingen. Utöver detta har din kund t.ex. inte heller rätt till radering av personuppgifterna om ditt företag måste behandla dessa för att uppfylla en rättslig förpliktelse.
Missuppfattning 3: Om mitt företag bryter mot GDPR så får det betala en sanktionsavgift på 20 miljoner euro alternativt 4 % av mitt företags globala årsomsättningen, beroende på vad som är högst (fel).
Framför allt när GDPR var något nytt så var detta en väldigt vanlig missuppfattning. Vad som anges i GDPR är att sanktionsavgifter som max kan dömas ut med 20 miljoner euro, eller 4 % av den globala årsomsättningen, beroende på vad som är högst, vid allvarliga överträdelser av GDPRs regelverk. Detta är dock ett absolut maxtak för sanktionsavgifter och betyder inte alls att överträdelse mot GDPR innebär så höga belopp. Utöver sanktionsavgifter finns även andra korrigerande befogenheter som var tillsynsmyndighet har (i Sverige är det Integritetsskyddsmyndigheten). De kan förutom sanktionsavgifter utfärda varningar, reprimander, förelägganden, begränsning och förbud.
