Vad är GDPR s integritetslagstiftning och varför ska du bry dig?

Allmänna databeskyddsförordningen (GDPR) är en ny EU-lagstiftning som träder i kraft idag, och det är anledningen till att du har fått oavbruten e-postmeddelanden och meddelanden om uppdateringar av sekretesspolicy. Så hur påverkar detta dig? Här är vad du behöver veta.

Den nya GDPR-lagen träder i kraft den 25 maj 2018 och omfattar dataskydd och integritet för EU-medborgare, men det gäller också många andra länder på olika sätt, och eftersom alla teknikjättarna är stora multinationella företag , det påverkar mycket av de saker du använder dagligen.

Problemet GDPR försöker lösa: Företag samlar in och missbrukar din personliga information

Sedan internetens början har företagen samlat så mycket data som möjligt på alla de kan. Det är enkelt att samla in den informationen, så det finns ingen anledning för dem att inte hämma det.

Problemet är att under de senaste åren har många företag blivit fångade, inte att skydda eller omedelbart missbruka din personliga information. Cambridge Analytica-skandalen, där en forskare använde en Facebook-frågesport för att samla stora mängder data på miljontals Facebook-användare och sedan sålde det till ett konsultföretag, är bara det senaste exemplet. Equifax hacken förra året var särskilt dåligt eftersom informationen läckt kunde användas för att öppna kreditkort. Och det är bara de stora skandalerna. Massor av företag har missbrukat dina uppgifter på mindre sätt, som att sälja den till tredje parts reklamföretag.

EU har tagit en svag syn på situationen och använder GDPR för att försöka rätta till det. Enligt de nya lagarna står företag som inte skyddar konsumentdata på ett adekvat sätt eller missbrukar det på något sätt med stora böter.

Vad betraktas som personuppgifter?

GDPR skyddar "personuppgifter", som här betyder "information om en identifierad eller identifierbar fysisk person" - och det är en ganska bred definition. I själva verket kommer personuppgifter i allmänhet att inkludera saker som:

Biografiska uppgifter som ditt namn, adress, telefonnummer, personnummer och så vidare.
Uppgifter om ditt fysiska utseende och beteende som hårfärg, ras och höjd.
Information om din utbildning och arbetshistoria som din lön, högskoleexamen, GPA, skatt ID, och så vidare.
Alla medicinska eller genetiska data.
Saker som din samtalshistorik, privata meddelanden eller geografiska data.

Detta är långt ifrån en komplett lista. Nyckeln är att alla data som gör att du kan identifieras. Under vissa omständigheter kan din hårfärg vara tillräckligt. I andra, även ditt fulla namn - om det är något vanligt som Robert Smith - kan det inte göra dig identifierbar.

Vad gör GDPR?

GDPR ger EU-invånare som har sina personuppgifter insamlade, kallade "registrerade" i lag-åtta rättigheter. Dom är:

Rätten att bli informerad: Om ett företag samlar in data måste de informera de personer som samlas in, varför det samlas in, vad det används för, hur länge det kommer att hållas och om det kommer att delas med tredje part. Denna information kan inte begravas djupt i en tjänst som ingen läser; det måste vara koncist och i vanligt språk.
Rätten till åtkomst: Om de begär det, måste varje organisation som har personuppgifter om en registrerad tillhandahålla den till dem inom en månad.
Rätten till rättelse: Om en registrerad upptäcker att ett företag har uppgifter om dem som är felaktiga, kan de begära att det blir uppdaterat. Företag har en månad att följa.
Rätten att radera: En registrerad kan begära att ett företag raderar uppgifter som hålls på dem under vissa omständigheter. Till exempel, om uppgifterna inte längre behövs eller de drar tillbaka sitt samtycke för att det ska användas.
Rätten att begränsa bearbetningen: Om en organisation inte kan ta bort en registrerads data, till exempel, eftersom de behöver det för rättsligt fall, kan de begära att företaget begränsar hur det används.
Rätten till dataöverförbarhet: Uppgiftspersoner har rätt att ta personuppgifter från en tjänst och använda den med en annan.
Rätten att invända: Om data samlas in utan samtycke, men för legitima affärsintressen, för allmänhetens goda eller av en officiell myndighet kan den registrerade invända. Organisationen måste sedan sluta behandla data tills de kan bevisa att de har legitima skäl att göra det.
Rättigheter relaterade till automatiserad beslutsfattande inklusive profilering: GDPR sätter in skyddsåtgärder så att individer kan motsätta sig eller få en förklaring om automatiserade beslut som påverkar dem och deras data.

En annan stor del av regelverket är att företag måste ha en laglig anledning att samla in eller behandla data. En av de lagliga skälen är att de har fått samtycke att använda det för ett visst ändamål, men det finns andra som de behöver för att följa lagliga skyldigheter eller att samla det är av allmänt intresse.

Som du kan se är rättigheterna till EU-invånare enligt lagen ganska breda och tvingar företag som samlar in data från dem för att verkligen tänka på vad de samlar och varför. De gamla dagarna av att bara samla allt de kan och hoppas att de kommer att använda sig av det senare är borta - åtminstone i Europa. Det är därför som nästan alla tjänster du någonsin har gett din e-postadress kontaktar dig.

Vad har många företag i väsen är att sanktionerna för att inte vara GDPR-kompatibla är ganska hårda. En organisation kan bötes upp till 20 miljoner euro eller 4% av sin årliga omsättning på världsområdet (beroende på vilket som är störst) enligt lagarna. För Amazonas eller Google, uppgår detta till miljarder dollar i potentiella böter om de missgynnar EU-invånarnas data.

Vad betyder GDPR för amerikanerna?

Under hela denna artikel har vi fokuserat på vilka rättigheter GDPR ger EU-invånare av den enkla anledningen att det är en EU-lagstiftning. Det gäller egentligen inte amerikanska medborgare, såvida de inte är bosatta i EU. Anledningen till att du får alla e-postmeddelanden är att de flesta företag inte har något sätt att berätta för vem som är bosatt i EU och vem som inte är.

Detta betyder emellertid inte att GDPR inte påverkar dig. Det har orsakat många företag att omvärdera hur de hanterar konsumentdata och några av dem har börjat prata om att rulla GDPR-rättigheterna ut till invånare utanför EU. Och det är också enklare för företagen att i många fall tillämpa en enda uppsättning regler för alla kunder.

Till exempel har Apple lanserat en ny integritetsportal där personer kan hämta alla sina personuppgifter eller radera sitt konto, med andra ord att ge människor rätt till åtkomst och radering. För tillfället kan endast EU-baserade konton använda det men Apple planerar att rulla ut det över hela världen under de närmaste månaderna. Likaså muterar Facebook om att ge samma GDPR-skydd till vissa användare utanför EU.