Citat:
Ursprungligen postat av
frdk
Trams.
Inget företag kan åtläggs skyldighet svara på enskilda personer, faller utom sin rimlighet. Företaget är biträdes kund till 1177, inte kund till var och en som privatperson.
Nu är det faktiskt så att 1177, om du ringer dom, ber att du skickar brev till precis Charlotte Björkman.
Ring 1177, tryck 9 och be om namn på data protection officer. Sen skickar du dit. Jag fick namnet till Charlotte Björkman. Ger dom fel namn så är det 1177 som gör fel och får du ett annat namn så rapportera i tråden.
Alla företag har skyldighet att svara till enskilda personer inom 30 dagar. Sen har alla företag skyldighet att ha intern dokumentation för allt det jag skriver i brevet. Det är möjligt att dom nekar att skicka över dokumentation, men dom borde ha en riktig bra orsak för att bryta lagen.
https://gdpr-info.eu/art-15-gdpr/
Alla stora bolag har system som kan hantera miljoner av GDPR-baserade frågor som detta, så det är inget konstigt alls. Det betyder inte att dom måste svara med rätt nummer på varje fråga, men dom måste skicka över dokumentation för allt det man frågar om.
Citat:
Ursprungligen postat av
frdk
Data här lagrades till stor del före dataskyddslagen gick igång,
Spelar ingen roll
Citat:
Ursprungligen postat av
frdk
och allt GDPR säger är att leverantörerna ska vidta bästa praxis, vilket NAS förmodligen var vid det läget om det hade hanterats rätt.
Bästa praxis och mycket, mycket dokumentation. Man måste dokumentera vilka åtgärder man tagit, precis alla typer personligt data man lagrat, vilka databaser finns, varje process vilket personlig data går genom och vilka "legal basis" man användar för varje processen.
Man måste ha dokumentation på varje person och vilka befogenheter dom har i förhållande til personlig data. I princip - "bästa praxis" betyder en hel massa dokumentation.
Extremt sensitiv data som vi talar om här har garanterad behov av extremt mycket dokumentation. Sannolikheten att den inte finns eller krävs av lagen, at det finns något undantag, är noll.
Det är allt brevet frågar efter. All dokumentation GDPR kräver att bolaget har koll på.
Notera t.ex art 13 - all information som måste ges till "data subject". Det är du och jag inte datainspektionen. MedHelp kan inte bara rapportera till datainspektionen, dom ska rapportera till data subject.
Citat:
Ursprungligen postat av
frdk
Sen är det komplex kedja där många är involverade och fullösningar gjordes av brist på kompetens eller via önskemål uppifrån för att korta ner driftsättninen (ledningar brukar normalt inte bry sig om säkerhet, bara det går igång och fungerar med minimal insats)
Efterlevnaden är datainspektionen som år för år får slå ner på genom redovisningsskyldighet av revisorer. Skulle inte lagen följas så har VIN 1 år på sig att korrigera det innan böterna höjs så där har de ryggen fri och har inte gjort nått fel (än iaf)
Finns inte den grundläggande dokumentation brevet efterfrågar så följer dom inte lagen. Redovisningsskyldighet till datainspektionen gör inte att man inte kan kräva data direkt som data subject.
(Voice Integrate)
