Den allmänna dataskyddsförordningen (GDPR) är en ny EU-lag som träder i kraft idag och det är anledningen till att du har fått direkta e-postmeddelanden och meddelanden om uppdateringar av sekretesspolicy. Så hur påverkar detta dig? Här är vad du behöver veta.
Den nya GDPR-lagen träder i kraft idag, den 25 maj 2018, och den täcker dataskydd och integritet för EU-medborgare, men den gäller också många andra länder på olika sätt, och eftersom alla tekniska giganter är stora multinationella företag , det påverkar många saker som du använder dagligen.
Problemet med GDPR försöker lösa: Företag samlar in och missbrukar din personliga information
Sedan internetets början har företag samlat in så mycket data som möjligt om alla de kan. Det är enkelt att samla in den informationen, så det finns ingen anledning för dem att inte samla den.
Problemet är att många företag har fångats under de senaste åren som inte skyddar - eller helt missbrukar - din personliga information. Cambridge Analytica-skandalen , där en forskare använde en Facebook-frågesport för att samla in stora mängder data på miljontals Facebook-användare och sedan sålde den till ett konsultföretag, är bara det senaste exemplet. Equifax-hacket förra året var särskilt dåligt eftersom den läckta informationen kan användas för att öppna kreditkort . Och det är bara de stora skandalerna. Många företag har missbrukat dina data på mindre sätt, som att sälja dem till reklamföretag från tredje part.
EU har tagit en svag syn på situationen och använder GDPR för att försöka rätta till den. Enligt de nya lagarna får företag som inte skyddar konsumentuppgifter på ett adekvat sätt eller missbrukar dem på något sätt enorma böter.
Vad anses personuppgifter?
GDPR skyddar "personuppgifter", som här betyder "all information som rör en identifierad eller identifierbar fysisk person" - och det är en ganska bred definition. I verkligheten kommer personuppgifter i allmänhet att innehålla saker som:
- Biografiska uppgifter som ditt namn, adress, telefonnummer, personnummer osv.
- Uppgifter om ditt fysiska utseende och beteende som hårfärg, ras och längd.
- Information om din utbildning och din arbetshistorik, till exempel din lön, högskoleexamen, GPA, skatte-ID och så vidare.
- Eventuella medicinska eller genetiska data.
- Saker som din samtalshistorik, privata meddelanden eller geografisk platsinformation.
Detta är långt ifrån en fullständig lista. Nyckeln är att alla data som gör att du kan identifieras räknas. Under vissa omständigheter kan din hårfärg vara tillräcklig. I andra kan till och med ditt fullständiga namn - om det är något som är vanligt som Robert Smith - inte göra dig identifierbar.
Vad gör GDPR?
GDPR ger EU-invånare som låter sina personuppgifter samlas in - kallade "registrerade" i lagen - åtta rättigheter. Dom är:
- Rätten att informeras: Om ett företag samlar in data måste de berätta för de registrerade vad som samlas in, varför det samlas in, vad det används till, hur länge det ska sparas och om det kommer att delas med tredje part. Denna information går inte att begrava djupt i servicevillkor som ingen läser; den måste vara kortfattad och i klartext.
- Rätten till tillgång: Om de begär det måste alla organisationer som har personuppgifter om den registrerade lämna dem till dem inom en månad.
- Rätten till rättelse: Om en registrerad får reda på att ett företag har felaktiga uppgifter kan de begära att de uppdateras. Företagen har en månad på sig att följa.
- Rätten att radera: En registrerad kan begära att ett företag raderar all information som finns under dem under vissa omständigheter. Till exempel om uppgifterna inte längre behövs eller om de drar tillbaka sitt samtycke för att de ska användas.
- Rätten att begränsa behandlingen: Om en organisation inte kan ta bort uppgifter från den registrerade - till exempel för att de behöver det för rättsliga fall - kan de begära att företaget begränsar hur det används.
- Rätten till dataportabilitet: Registrerade har rätt att ta sina personuppgifter från en tjänst och använda den med en annan.
- Rätten att invända: Om uppgifter samlas in utan samtycke men för legitima affärsintressen, för allmänhetens bästa eller av en officiell myndighet kan den registrerade invända. Organisationen måste sedan sluta bearbeta uppgifterna tills de kan bevisa att de har legitima skäl att göra det.
- Rättigheter relaterade till automatiserat beslut inklusive profilering: I GDPR införs skyddsåtgärder så att individer kan motsätta sig eller få en förklaring om automatiserade beslut som påverkar dem och deras data.
En annan stor del av reglerna är att företag måste ha ett lagligt skäl för att samla in eller behandla data. En av de lagliga skälen är att de har fått samtycke till att använda det för ett specifikt ändamål, men det finns andra som de behöver det för att uppfylla lagliga skyldigheter eller att det är i allmänhetens intresse.
Som du kan se är de rättigheter som EU-invånare ges enligt lagen ganska breda och tvingar företag som samlar in data från dem att verkligen tänka på vad de samlar in och varför. De gamla dagarna med att bara samla allt de kan och hoppas att de kommer att få nytta av det senare är borta - åtminstone i Europa. Det är därför som nästan alla tjänster du någonsin har gett din e-postadress till kontaktar dig.
Det som har fått många företag i väsen är att sanktionerna för att inte följa GDPR är ganska hårda. En organisation kan åläggas böter med upp till 20 miljoner euro eller 4% av deras globala årsomsättning (beroende på vilken som är störst) enligt lagarna. För Amazon eller Google uppgår detta till miljarder dollar i potentiella böter om de misshandlar EU-invånares uppgifter.
Vad betyder GDPR för amerikaner?
Under hela den här artikeln har vi fokuserat på vilka rättigheter GDPR ger EU-invånare av den enkla anledningen att det är en EU-lag. Det gäller faktiskt inte amerikanska medborgare, såvida de inte är bosatta i EU. Anledningen till att du får alla e-postmeddelanden är att de flesta företag inte har möjlighet att berätta vem som är bosatt i EU och vem som inte är det.
Detta betyder dock inte att GDPR inte påverkar dig. Det har fått många företag att omvärdera hur de hanterar konsumentuppgifter och några av dem har börjat prata om att rulla ut GDPR-rättigheter till invånare utanför EU. Och det är också enklare för företag att genomföra en enda uppsättning regler för alla kunder i många fall.
Till exempel Apple har lanserat en ny integritetsportal där människor kan ladda ner alla sina personuppgifter eller radera sitt konto, med andra ord ge människor rättigheterna till åtkomst och radering. För närvarande kan endast EU-baserade konton använda den men Apple planerar att lansera det över hela världen under de närmaste månaderna . På samma sätt är Facebook det muttrar om att ge samma GDPR-skydd till vissa användare utanför EU .
