Det är en förkortning av General Data Protection Regulation 

Personuppgifter är all slags information som direkt eller indirekt kan knytas till en person som är i livet. Det kan röra sig om exempelvis namn, mobilnummer, personnummer, kontonummer eller ett foto. Det finns personuppgifter som klassas som extra skyddsvärda respektive känsliga.

Med behandling av en personuppgift avses i princip allt man kan göra med personuppgifterna. Det kan till exempel vara att samla in, lagra, flytta, radera eller skriva ut uppgifterna.

Personuppgiftsansvarig är den som beslutar om att uppgifter ska samlas in samt till vilket ändamål de ska användas. I ett aktiebolag är det den juridiska personen, själva bolaget, som är personuppgiftsansvarig. Om det däremot handlar om en enskild firma eller en privatperson som hanterar uppgifter på ett sätt som faller inom ramarna för förordningen så är det den fysiska personen som är personuppgiftsansvarig.

Den personuppgiftsansvarige är skyldig att vid personuppgiftsincident inom 72 timmar anmäla incidenten till Integritetsskyddsmyndigheten (IMY). Undantag från denna skyldighet gäller om det är osannolikt att incidenten medför en risk för fysiska personers rättigheter och friheter. Beslutet att inte anmäla måste då dokumenteras inför en eventuell kontroll.

En av de registrerades grundläggande rättigheter är rätten att få sina uppgifter raderade, ”bli bortglömd”. Begär en person att få sina personuppgifter raderade är utgångspunkten att ni ska radera dessa. Det finns dock några undantag när uppgifterna inte ska raderas. Undantagen blir ofta tillämpliga om den personuppgiftsansvariga är en myndighet eller utför en uppgift av allmänt intresse. Ni kan bland annat neka den registrerade radering om det är nödvändigt för att tillgodose andra viktiga rättigheter som till exempel rätten till yttrande- och informationsfrihet, 
för att uppfylla en rättslig förpliktelse eller för att kunna fastställa, göra gällande eller försvara rättsliga anspråk. Oavsett om ni ska radera uppgifterna eller har ett skäl att behålla dem, ska ni återkomma till den registrerade utan onödigt dröjsmål, det vill säga senast inom en månad efter att ni har fått begäran. 

EU anser att dess medborgares personuppgifter ska skyddas i största möjliga mån även utanför EU:s gränser. Därför omfattar lagen all behandling av EU-medborgares personuppgifter, oavsett om företaget eller organisationen som genomför behandlingen är lokaliserad inom EU eller inte. En e-handel i Kina som vänder sig till EU-medborgare omfattas således av GDPR på samma sätt som ett företag i Sverige.

Överföring av personuppgifter till tredjeland är som regel när personuppgifter görs tillgängliga för någon i ett land utanför EU/EES-området. Exempel på överföring av personuppgifter till tredjeland kan vara:

• När ni skickar dokument som innehåller personuppgifter per e-post till en mottagare i ett land utanför EU/EES. 
• När ni anlitar ett personuppgiftbiträde i ett land utanför EU/EES. 
• När ni ger någon utanför EU/EES tillgång, exempelvis läsbehörighet, till personuppgifter som finns lagrade inom EU/EES.
• När ni lagrar personuppgifter i en molntjänst som är baserad utanför EU/EES.

OBS! Att publicera något på internet är inte tredjelandsöverföring om webbplatsen lagras hos en internetleverantör som är etablerad inom EU/EES. 

All hantering av personuppgifter behöver uppfylla ett antal grundläggande principer vilka listas här: 

• Laglighet, Korrekthet och Öppenhet 
• Ändamålsbegränsning 
• Uppgiftsminimering 
• Riktighet 
• Lagringsminimering
• Integritet och konfidentialitet 
• Ansvarsskyldighet 

De grundläggande principerna kan sägas vara kärnan i dataskyddsförordningen. Principerna innebär bland annat att ni som personuppgiftsansvariga  

• måste ha stöd i dataskyddsförordningen för att få behandla personuppgifter  
• bara får samla in personuppgifter för specifika, särskilt angivna och berättigade ändamål 
• inte ska behandla fler personuppgifter än vad som behövs för ändamålen 
• ska se till att personuppgifterna är riktiga
• ska radera personuppgifterna när de inte längre behövs 
• ska skydda personuppgifterna, till exempel så att inte obehöriga får tillgång till dem och så att de inte förloras eller förstörs
• ska kunna visa att ni lever upp till dataskyddsförordningen och hur ni gör det 

Varje personuppgiftsbehandling måste ha stöd i någon av de sex rättsliga grunderna: 

• Samtycke 
• Avtal med den registrerade 
• Rättlig förpliktelse 
• Skydda grundläggande intresse 
• Myndighetsutövning och uppgift av allmänt intresse 
• Intresseavvägning 

Den registrerade, vars personuppgifter behandlas, har ett antal rättigheter enligt dataskyddsförordningen. Som personuppgiftsansvarig har man ett ansvar för att ha rutiner på plats för att hantera begäranden om att utöva dessa rättigheter när någon begär det.

• Rätt till information 
• Rätt till tillgång 
• Rätt till rättelse 
• Rätt till radering 
• Rätt till begränsning av behandling 
• Rätt att göra invändningar 
• Rätt till dataportabilitet 
• Automatiserade beslut