# personer

kategori: Laglighet – Rättslig grund.
rubrik: Utan rättslig grund är all behandling olaglig.
brist: Allvarlig
fråga:
Har ni identifierat och dokumenterar rättslig grund (samtycke, avtal, rättslig förpliktelse etc.) för varje behandling?


kategori: Rättvisa – Behandlingen får inte vara diskriminerande eller oproportionerlig.
rubrik: Kan leda till diskriminering och rättsliga påföljder.
brist: Måttlig
fråga:
Har ni säkerställt att behandlingen av personuppgifter sker på ett rättvist, oproportionerligt och icke-diskriminerande sätt?


kategori: Transparens – Informera tydligt om hur personuppgifter används.
rubrik: Brist på insyn underminerar förtroende och rättigheter.
brist: Måttlig
fråga:
Informerar ni tydligt och lättförståeligt om hur personuppgifter samlas in, varför de används och hur de lagras?


kategori: Ändamålsbegränsning – Samla bara in uppgifter för specifika syften
rubrik: Risk för otillåten sekundär användning av data.
brist: Allvarlig
fråga:
Samlar ni endast in personuppgifter för specifika, tydligt definierade ändamål och är ändamålen/syften är dokumenterade?


kategori: Integritet och konfidentialitet – Skydda uppgifterna mot obehörig åtkomst.
rubrik: Direkt risk för dataintrång och skada.
brist: Måttlig
fråga:
Finns tekniska och organisatoriska åtgärder för att skydda personuppgifter mot obehörig åtkomst enligt fastställt skyddsvärde för uppgifterna?


kategori: Ansvarsskyldighet – Kunna visa att ni följer GDPR.
rubrik: Oförmåga att visa efterlevnad kan leda till sanktioner.
brist: Måttlig
fråga:
Kan ni visa att ni följer GDPR (exempelvis vid en granskning av IMY), exempelvis genom dokumentation, skyddsrutiner och interna kontroller?


kategori: Automatiserat beslutsfattande och profilering
rubrik: Individer kan inte utöva sina rättigheter.
brist: Måttlig
fråga:
Om ni använder automatiserat beslutsfattande eller profilering som påverkar registrerade (t.ex. kreditbedömning, rekrytering)? Har ni informerat registrerade om detta och säkerställt deras rätt att få mänsklig inblandning?


kategori: Tekniska skydd – Kryptering, pseudonymisering, åtkomstkontroller.
rubrik: Utan skydd är data sårbar för intrång.
brist: Måttlig
fråga:
Finns en tydlig strategi som har implementertas gällande teknisk skydd (t.ex. kryptering, pseudonymisering), vidare kontroll av åtkomst och tilldelning av behörighet till aktuella personuppgifter?


kategori: Tekniska skydd – Kryptering av data kommunikation
rubrik: Utan skydd är data sårbar för intrång.
brist: Måttlig
fråga:
Finns teknisk skydd gällande datakommunikation, datalagring (såsom SSL och HTTPS för interna eller externa tjänster som hanterar personuppgifter?


kategori: Tekniska skydd – Distansarbete
rubrik: Utan skydd är data sårbar för intrång.
brist: Betydande
fråga:
Har ni rutiner för dataskydd vid distansarbete (t.ex. kryptering, VPN, policy för enheter) och
finns det riktlinjer för användning av privata enheter i arbetet?


kategori: Testmiljöer och utveckling
rubrik: Utan kontroll över testmiljöer riskerar data att läcka.
brist: Betydande
fråga:
On använder ni personuppgifter i test- eller utvecklingsmiljöer?
Har ni säkerställt att dessa miljöer är isolerade och att data är anonymiserad eller pseudonymiserad?


kategori: Organisatoriska skydd – Rutiner, utbildning, ansvarsfördelning.
rubrik: Bristande rutiner ökar risken för felhantering.
brist: Måttlig
fråga:
Har verksamheten implementerat organisatoriska skydd (t.ex. utbildning, tydliggjort ansvarsfördelning) för att skydda informationen?


kategori: Klassificering av personuppgifter
rubrik: Krävs för att kunna bedöma skyddvärde och skyddsåtgärder.
brist: Måttlig
fråga:
Har verksamheten klassificerat de personuppgifter man behandlar vanilga personuppgifter,särskilt skyddade personuppgifter,känsliga personuppgifter mfl.


kategori: Distribuerade applikationer och webbtjänster
rubrik: Brist på insyn underminerar förtroende och rättigheter.
brist: Måttlig
fråga:
Har verksamheten implementerat integritetspolicyn i distribuerade applikationer/appar och webbtjänster (även cookiebanner)?


kategori: Identifiera personuppgiftbiträde eller personuppgiftsansvarig
rubrik: Personuppgifter måste behandlas beroende av ansvar.
brist: Måttlig
fråga:
Har verksamheten identifiera om ni agerar som personuppgiftbiträde eller personuppgiftsansvarig för verksamhetens IT-tjänster?


kategori: Överföring till tredje land
rubrik: Överföring av personuppgifter till tredje land måste utföras enligt fastställa principer
brist: Betydande
fråga:
Om ni överför ni personuppgifter till länder utanför EU/EES?
Har ni säkerställt att överföringen sker enligt GDPR (t.ex. genom standardavtalsklausuler, beslut om adekvat skyddsnivå)?


kategori: Dataskyddsbedömning (DPIA) – Vid hög risk för individers rättigheter.
rubrik: Högriskbehandling utan bedömning är farlig.
brist: Betydande
fråga:
Genomför ni dataskyddsbedömningar (DPIA) enligt fastlagda rutiner och kriterier vid behandlingar med hög risk?


kategori: Rätt till tillgång – Få veta vilka uppgifter som behandlas.
rubrik: Individer förlorar insyn i sin data.
brist: Måttlig
fråga:
Möjliggör ni att registrerade får tillgång till sina personuppgifter via av organisationen fastställda, dokumenterade processer?


kategori: Rätt till radering ("rätten att bli glömd")
rubrik: Individer kan inte ta bort sin data.
brist: Betydande
fråga:
Hanterar verksamheten registrerades begäran om radering ("rätten att bli glömd") enligt fastslagna rutiner?


kategori: Rätt till dataportabilitet – Flytta uppgifter till annan aktör.
rubrik: Begränsar individens kontroll över sin data.
brist: Måttlig
fråga:
Kan registrerade enkelt flytta sina uppgifter till en annan aktör (dataportabilitet) om detta är aktuellt?


# main

kategori: Tekniska skydd – Kryptering av data kommunikation
rubrik: Utan skydd är data sårbar för intrång.
fråga:
Finns teknisk skydd gällande datakommunikation, datalagring (såsom SSL och HTTPS för interna eller externa tjänster som hanterar personuppgifter?  


