GDPR

GDPR ersatte 1995 års dataskyddsdirektiv och gäller alla organisationer som behandlar personuppgifter om personer i Europeiska unionen och Europeiska ekonomiska samarbetsområdet, oavsett var organisationen själv är belägen. Denna extraterritoriella räckvidd innebär att ett företag var som helst i världen kan omfattas av förordningen om det riktar sig till eller övervakar personer bosatta i EU.

I grunden kräver förordningen att varje behandling av personuppgifter vilar på en av sex rättsliga grunder: samtycke, avtal, rättslig förpliktelse, grundläggande intressen, uppgift av allmänt intresse eller berättigade intressen. Den fastställer också principer som ändamålsbegränsning, uppgiftsminimering, lagringsminimering, riktighet och ansvarsskyldighet, och ger individer rättigheter som inkluderar tillgång, rättelse, radering, dataportabilitet och invändning.

Tillsynen sköts av nationella tillsynsmyndigheter (dataskyddsmyndigheter), samordnade genom Europeiska dataskyddsstyrelsen. Sanktioner för allvarliga överträdelser kan uppgå till 20 miljoner euro eller 4 procent av ett företags totala globala årsomsättning, beroende på vilket som är högst, vilket är skälet till att efterlevnad har blivit en fråga på styrelsenivå för globala företag.

För tekniker som enhetsfingeravtryck och analys samverkar GDPR med e-integritetsdirektivet (den så kallade "cookie-lagen"). Att läsa eller skriva information på en användares enhet kräver i allmänhet samtycke, såvida det inte är strikt nödvändigt för en tjänst som användaren begärt, medan den efterföljande behandlingen av eventuella personuppgifter som uppstår fortfarande måste uppfylla GDPR:s krav på rättslig grund och transparens.