Högskolan i Skövde

Den 1 maj 2018 avskaffas EU direktivet 95/46/EC och ersätts med den så kallade Dataskyddsförordningen (GDPR – General Data Protection Regulation). Syftet med dataskyddsförordningen är att modernisera det nuvarande direktivet och stärka den enskildes integritet med avseende på ny teknik (Datainspektionen 2017e). Samtidigt är också målsättningen att företag, verksamma i flera europeiska länder, endast ska behöva förhålla sig till ett regelverk. Många organisationer är oroliga för hur deras affärer kommer att påverkas av den nya förordningen, och flertalet undersökningar visar på att organisationer inte anser sig själva förberedda när förordningen träder i kraft (Rodger 2016; PWC 2016; Howarth 2016; Dimensional research 2016). Dataskyddsförordningen är en förordning och inte direktiv vilket betyder att lagen kommer att gälla direkt och dessutom tillämpbar på samma sätt i alla medlemsstater inom EU (Datainspektionen 2017a; EU-upplysningen 2017; de Hert & Papakonstantinou 2016). Det kommer också att innebära att oavsett var en organisation är lokaliserad eller verksam, ska förordningen tillämpas vid personuppgiftsbehandling av EU medborgares personuppgifter, vilket således även inkluderar molntjänster (Tankard 2016). Vidare så utökas definitionen av personuppgifter med den kommande förordningen, till att även gälla för IP adresser och kakor (Europaparlamentet och Rådets Förordning 2016/679, skäl 30). Med dataskyddsförordningen ställs det högre krav på hur organisationer behandlar personuppgifter och hur de säkerställer att dessa personuppgifter skyddas (REF). Detta kan leda till ett omfattande förändringsarbete, vilket innebär utmaningar för många organisationer, eftersom det i nuläget inte finns ramverk, metoder eller modeller för att mäta organisationers mognadsgrad inför införandet av dataskyddsförordningen.

I den här studien har ett ramverk tagits fram i syfte för att mäta organisationers mognadsgrad inför dataskyddsförordningen. För att utveckla ramverket har en litteraturstudie och kompletterade intervjuer med fem personer som arbetar inom området med dataskyddsförordningen genomförts. Detta har gjorts för att identifiera förberedelser som organisationer kan vidta i sitt förberedelsearbete inför dataskyddsförordningen. Dessa vidare benämnt förberedelseaktiviteter har sedan kategoriserats in frågeområden, och omformulerats till påståenden enligt likert-skalan i kvalitativ enkät, för att möjliggöra mätning av organisationers mognadsgrad. I syfte att validera ramverkets utformning har fyra av intervjupersonerna granskat ramverket, varpå ändringar har gjorts i ramverket. Ramverket har därefter testats genom att 25 personer från olika inkubatorer och teknikparker i Sverige använt ramverket. Detta för att undersöka huruvida ramverket kan användas för att mäta organisationers mognadsgrad inför införandet av dataskyddsförordningen.

Resultatet från studien visar att ett ramverk kan utvecklas utgående från identifierade förberedelseaktiviteter och att ramverket kan användas för att indikera organisationers mognadsgrad inför Dataskyddsförordningen.