Klarna: Ny dataskyddslag miljonsmäll för företagen

Skyddet för konsumenten blir starkare och företagens ansvar i hanteringen av personuppgifter tydligare i EU:s nya dataskyddsförordning. Det kommer att innebära en omvälvande förändring för alla företag som hanterar personuppgifter. Något som de allra flesta företag gör idag, menar Caroline Olstedt Carlström. Den nya lagstiftningen från EU är alltså något i princip alla svenska företag måste känna till.

– Vi måste bli bättre på dataskyddsfrågor och integritetsskydd i Sverige. Bolagen känner inte till vilka skyldigheter de har, man förstår inte. Det behövs information överallt, säger Caroline Olstedt Carlström, som också är ordförande för organisationen Forum för dataskydd.

Kunskapen kring personuppgiftshantering är dålig redan idag med den nuvarande svenska lagstiftningen PuL, konstaterar Caroline Olstedt Carlström. De som ansvarar för frågorna ute på företagen sitter ofta ensamma med sin uppgift, som inte prioriteras av ledningen eller ges utrymme i budgetarna.

– Frågan måste upp på högsta nivå i alla företag. Det tror jag är den största utmaningen för många bolag.

Verklighet om två år

På Klarna är frågan högsta prioritet, eftersom själva kärnverksamheten handlar om personuppgifter. Caroline Olstedt Carlström har fyra juristkollegor som också arbetar med dataskydd, men det räcker inte.

– Jag håller på att rekrytera nu. Vi inför redan vissa av processerna som kommer med förordningen. Men trots att jag har en ledning som lyssnar på vad jag säger, och fyra kollegor som är specialister, så sliter vi jättemycket med det här. Det här tror jag att andra bolag inte har förstått, säger Caroline Olstedt Carlström.

Om EU-parlamentet röstar ja till lagförslaget om ny dataskyddsförordning börjar den gälla om ungefär två år. En mycket kort tid för omställning, konstaterade Caroline Olstedt Carlström och flera andra deltagare på ett seminarium anordnat av Europaparlamentets informationskontor i Stockholm i förra veckan.

– Två år kan låta som lång tid med det kommer att bli ganska tight, sade David Törngren på justitiedepartementet.

Bra med samma regler i hela EU

Att lagen blir en förordning innebär att den träder i kraft i alla EU-länder och blir en del av den nationella lagstiftningen. Det betyder att Sveriges nuvarande lagstiftning Personuppgiftslagen, PUL, inte kommer att finnas kvar. Att reglerna blir desamma i hela EU är bra, konstaterade seminariedeltagarna. EU menar dessutom att man förenklar för småföretagen, men det stämmer inte menar Caroline Olstedt Carlström.

– Man säger att man underlättar för SME-företag. Jag höll på att trilla av stolen, det är direkt vilseledande, säger hon.

Kommer att kosta miljoner

Vad det kommer att kosta företagen att anpassa sig till de nya dataskyddsreglerna är svårt att säga, menar Caroline Olstedt Carlström. Men det kommer att bli nödvändigt att sätta av pengar i budgeten, understryker hon.

– Man kan ju säga så här: Vi är redan fem jurister och en praktikant på Klarna här i Sverige, vi köper in flera verktyg och har själva utvecklat egna verktyg. Vi pratar om budgetar på miljonbelopp.

Risk för dryga böter

De företag som bryter mot lagstiftningen riskerar saftiga sanktionsavgifter: bötesbeloppen kan bli upp till fyra procent av årsomsättningen, eller maximalt 20 miljoner euro.

Upplägget slår fel, menar Caroline Olstedt Carlström. Nystartade, mindre företag är troligen de som kommer att göra mest fel och behöva uppmärksammas på lagstiftningen. Men om de inte har någon omsättning att tala om kommer effekten att utebli, tror hon. Istället riskerar stora företag, som lägger ner mycket tid och pengar på att göra rätt, enorma bötesbelopp vid felsteg.

De företag som inser vikten av dataskyddsfrågorna kommer att få svårt att hitta rätt kompetens, tror Caroline Olstedt Carlström.

– Juristutbildningen idag undervisar inte ens i de här frågorna. Och förutom juridisk kunskap måste du ha väldigt mycket mer. Du måste vara duktig på kommunikation, du ska kunna prata med teknikerna på bolaget, du ska förstå och informera användarna och i nästa andetag prata med styrelsen. Det är inte alla som är helt bekväma med det.