Challenges with the GDPR: A Software Developing Organization’s Guide to GDPR Compliance

Den 25 maj 2018 trädde den nya dataskyddsförordningen, GDPR, i kraft. GDPR kräver att organisationer och företag, som behandlar persondata, att anpassa sig och andra sina system och produkter för att uppfylla kraven som förordningen ställer. Om organisationer och företag, som faller under förordningen, inte kan uppfylla dem kraven som förordningen ställer måste administrativa böter betalas, vilket kan orsaka att dessa organisationer och företag går i konkurs. Beträffande den praktiska implementeringen av GDPR inom mjukvaruutvecklande företag, är lite forskning som gjorts på det området. Den praktiska implementeringen av GDPR i mjukvaruutvecklande företag är också sällan diskuterat. Syftet med denna studie är att förstå; hur mjukvaruutvecklande företag implementerade GDPR i deras verksamheter; hur dem arbetar med GDPR i dagsläget; och hur dem kommer att arbeta med GDPR i framtiden. Litteraturstudien presenterar dem utmaningar under regleringen som tidigare forskning identifierat och presenterar även hur dem juridiska kraven som GDPR ställer översätts till tekniska lösningar; vilka mjukvaruutvecklande företag behöver implementera för att bli kompatibla med GDPR. Genom kvalitativ forskningsmetod går denna uppsats in i djupet på hur GDPR implementerades i mjukvaruutvecklande företag. Elva respondenter från sex olika företag av tre olika storlekar intervjuades genom semi-strukturerade intervjuer. Intervjufrågorna var baserade på faktorer som är relevanta för denna studie. Det empiriska materialet var sedan sammanställt, analyserat och jämfördes med insamlad litteratur som används i litteraturstudien. Det empiriska materialet visade att omfattningen av implementeringen av GDPR i mjukvaruutvecklande företag inte är beroende på storleken på organisationerna, men snarare beroende på vad för personlig data som bearbetas. Upptäckterna från denna studie kommer fungera som en guide till GDPR kompatibilitet för mjukvaruutvecklande företag som presenteras i slutsatsen. Denna studie har identifierat följande principer att vara essentiella för mjukvaruutvecklande företag att bli GDPR kompatibla. Mjukvaruutvecklare måste nu försäkra: förståelse över vad GDPR betyder för just deras verksamhet, skapa förståelse och medvetenhet om GDPR inom hela organisationen, genomsynlighet i förhållande till organisationens kunder och användare, att persondata lokaliseras och kartläggs i befintliga system and applikationer, att data minimeras under principerna som GDPR tillhandahåller, att persondata krypteras, att principen privacy by design & default följs under all mjukvaruutveckling, rådgivning inom GDPR, att dagliga protokoll följs och att dessa följs upp.The General Data Protection Regulation came into force on the 25th of may 2018. The GDPR requires organizations and companies, who process personal data, to adjust and change their existing systems in order to meet the requirements that the GDPR puts forward. If organizations and companies fail to comply with the regulation, administrative fines and penalties will be enforced which can lead to bankruptcy for these organizations and companies. There is a lack of research made on the practical implementation of the GDPR into software developing companies and is rarely discussed. Thus, the purpose of this thesis is to understand how the GDPR was implemented into software developing companies; how software developing companies work with the GDPR today; and how software developing companies will work with the GDPR in the future. The literature review presents the challenges of the regulation that previous research has brought forward and how the legal requirements translates into technical solutions, which software developing companies need to implement in order to become compliant with the regulation. Through a qualitative research method, this thesis investigates the depth of how the GDPR was implemented into software developing companies. Eleven respondents representing six different organizations of three different sizes, was interviewed through semi-structured interviews. The interview questions was based on key factors brought forward in the literature review chapter; which are of relevance for this thesis. The empirical evidence was then summarized, analysed and compared to the used literature. The empirical evidence showed that the extent of the implementation of GDPR into software developing companies was not depending on the size of the organization, but rather depending on what personal data is being processed. The findings in this study will serve as a software developers guide to GDPR compliance which is presented in the conclusion. This study has identified the following principles to be essential for software developing companies in order to become GDPR compliant: understanding what the GDPR means for their business, awareness within their organization, transparency, locating personal data, data minimization, encryption of data, privacy by design & default, GDPR guidance, daily GDPR protocols and follow up on previous implementations