Introduktion

Nordnet åtar sig att säkerställa att följande principer följs i varje process som Nordnet ansvarar för. Ingen behandling av personuppgifter får ske om inte dessa grundläggande principer är uppfyllda.

Laglighet och korrekthet

Behandling av personuppgifter är endast laglig och korrekt när den baseras på en giltig och godkänd rättslig grund. Lämpligheten hos varje rättslig grund beror på det syfte för vilket Nordnet behöver behandla personuppgifter. Nordnet har etablerat processer för att säkerställa att inga personuppgifter får behandlas innan syftet och dess rättsliga grund har fastställts och genomgått en juridisk bedömning. Nordnet har även en separat process för att bedöma intresseavvägning som rättslig grund, där intresseavvägningen dokumenteras för att säkerställa korrekthet och proportionalitet. Nordnets behandlingar som baseras på samtycke som rättslig grund, är villkorade av ett aktivt och uttryckligt samtycke från varje registrerad efter att relevant information om behandlingen och deras rättigheter har tillhandahållits.

Öppenhet

Nordnets dataflöden är utformade för att säkerställa att de registrerade har informerats om databehandlingen på ett koncist, transparent, begripligt och lättillgängligt sätt. Nordnet tillhandahåller integritetspolicyer på sina externa webbplatser, som alltid är tillgängliga för de registrerade, och eventuella uppdateringar kommuniceras via etablerade kommunikationskanaler med de registrerade.

I händelse av en personuppgiftsincident som sannolikt kommer att leda till en hög risk för de registrerade, kommer Nordnet att säkerställa att de berörda registrerade underrättas om incidenten för att möjliggöra nödvändiga försiktighetsåtgärder. En sådan kommunikation ska ske utan onödigt dröjsmål.

Ändamålsbegränsning

Behandling av personuppgifter är endast tillåten om den sker på ett sätt som är förenligt med de ändamål för vilka uppgifterna samlades in. Ändamålet måste vara specificerat och uttryckligt. Nordnet upprätthåller register över personuppgiftsbehandlingen som strikt fastställer varje affärsfunktions behandlingsaktiviteter – varje planerad avvikelse måste genomgå nya bedömningar och förfaranden.

Uppgiftsminimering

Nordnet ska säkerställa att behandlingen endast använder de personuppgifter som är nödvändiga i förhållande till de ändamål för vilka uppgifterna behandlas. Detta innebär att Nordnet i varje behandling ska se till att inte fler personuppgifter än vad som är absolut nödvändigt för att uppfylla ändamålet med den specifika behandlingen används. Denna skyldighet gäller mängden insamlade personuppgifter, omfattningen av deras behandling, perioden för deras lagring och deras tillgänglighet.

Korrekthet

Nordnet ska vidta alla rimliga åtgärder för att säkerställa att behandlingsaktiviteter utförs på korrekta och relevanta uppgifter. Detta innebär att Nordnet har infört mekanismer för säker autentisering och verifiering av den information vi samlar in. Nordnet åtar sig också att, när det är möjligt och så ofta som anses nödvändigt och adekvat, följa upp och uppdatera personuppgifter baserat på offentliga register (t.ex. SPAR, eller liknande offentliga register i respektive land). Eventuella felaktiga uppgifter ska rättas eller raderas utan onödigt dröjsmål.

Lagringsminimering

Inga personuppgifter hos Nordnet får behållas i en form som möjliggör direkt eller indirekt identifiering av en registrerad under en längre tid än vad som är absolut nödvändigt för det eller de ändamål för vilka personuppgifterna ursprungligen samlades in och behandlades. Detta innebär att Nordnet måste ta bort personuppgifter, antingen genom att radera/förstöra dem eller genom att anonymisera dem, så snart syftet inte längre existerar. För att säkerställa att personuppgifter inte lagras längre än nödvändigt har Nordnet infört specifika tidsfrister och rutiner för radering och anonymisering.

Säkerhet och konfidentialitet

Som personuppgiftsansvarig arbetar Nordnet kontinuerligt med att säkerställa att våra produkter och tjänster samt våra interna processer uppfyller de krav som ställs i integritetsförordningar. Nordnet åtar sig att alltid implementera ledande dataskyddsstandarder och kontinuerligt utbilda våra anställda i hantering av dataskydd. Vår säkerhet baseras på väletablerade standarder för arkitektur och säkerhet som säkerställer kontinuerligt underhåll och förbättringar i enlighet med de pågående förändringarna i hotbilden. Revisioner, sårbarhetsskanningar och säkerhetstester är en integrerad del av Nordnets pågående risk- och säkerhetshantering.

Nordnet ska vidta alla rimliga åtgärder för att säkerställa att all behandling sker på ett sätt som garanterar lämplig säkerhet för personuppgifterna. Sådana överväganden inkluderar, men är inte begränsade till, behandlingens art, omfattning, sammanhang och ändamål, sannolikheten och svårighetsgraden av de risker som behandlingen medför, kostnaden för implementering och den aktuella tekniska utvecklingen. Exempel på säkerhetsåtgärder är pseudonymisering, kryptering av personuppgifter och effektiva åtkomstkontroller. Intern konfidentialitet, som mellan avdelningar och personalgrupper, regleras av interna policyer och åtkomstkontroller.

Nordnet har antagit rigorösa processer för varje planerad personuppgiftsbehandling, vilket inkluderar konsekvens- och riskbedömningar för att säkerställa att alla risker för säkerhets- och konfidentialitetsöverträdelser hanteras på rätt sätt. I händelse av en inträffad personuppgiftsincident, t.ex. olagligt utlämnande eller en oavsiktlig förlust av personuppgifter, har Nordnet ett etablerat förfarande för upptäckt, utredning, bedömning, åtgärder och rapportering.

Personuppgifter kan i sällsynta fall överföras till och behandlas i länder utanför EU/EES-området (så kallade tredjeländer). Dessa överföringar sker endast under förutsättning att det finns en adekvat skyddsnivå eller att lämpliga åtgärder har vidtagits, t.ex. standardavtalsklausuler godkända av EU-kommissionen med kompletterande skyddsåtgärder när det krävs för att säkerställa en i huvudsak likvärdig skyddsnivå som garanteras av GDPR. Nordnet genomför konsekvensbedömningar av dataöverföringar till tredjeländer som inte omfattas av EU-kommissionens beslut om adekvat skyddsnivå, för att utvärdera om sådan nivå kommer att uppnås.

Ansvarsskyldighet

I enlighet med artikel 5.2 i GDPR är Nordnet ansvarig för och ska kunna visa att de efterlever det som har angetts under detta avsnitt.

Allmänt

VD har det yttersta ansvaret för Nordnets efterlevnad och för att säkerställa att Nordnet har den expertis och de resurser som krävs för att uppfylla de mål och processer som anges i denna översikt. För att säkerställa detta finns interna regler som ger mer detaljerad vägledning om professionellt uppförande som regelbundet ses över.

För att säkerställa att Nordnet hanterar personuppgifter på ett lagligt sätt måste alla anställda följa alla tillämpliga lagar och förordningar samt Nordnets interna standarder och rutiner. Varje enskild anställd inom Nordnet bidrar därför till arbetet med att säkerställa att Nordnets behandling av personuppgifter är lämplig och laglig, givetvis med tillgång till lämpliga utbildningar, verktyg och resurser för detta mål. Juridik-, säkerhets- och riskavdelningarna är, var för sig eller gemensamt, involverade i integritetsrelaterade processer och ger stöd och vägledning till alla avdelningar.

Nordnet är ansvarig för att hantera varje personuppgiftsincident som inträffar i Nordnets egen verksamhet och genom hela kedjan av personuppgiftsbiträden. Om incidenten bedöms sannolikt leda till en risk för de registrerade, ska en rapport lämnas till tillsynsmyndigheten utan onödigt dröjsmål och inom 72 timmar efter att ha blivit medveten om incidenten.

Dataskyddsombud (DPO)

Nordnet har utsett ett dataskyddsombud (DPO) med stor kunskap inom dataskyddsförordningar. DPO:n ska utföra kontroller och verifieringar av Nordnets efterlevnad av tillämpliga regler inom integritetsområdet. DPO:n ska lämna rekommendationer, t.ex. gällande konsekvensbedömningar avseende dataskydd. DPO:n fungerar också som en kontaktpunkt, inte bara för de registrerade, utan även gentemot tillsynsmyndigheten, t.ex. i händelse av en personuppgiftsincident eller ett förhandssamråd om en planerad behandlingsaktivitet.

DPO:n rapporterar till den högsta ledningen och Nordnet har organiserat verksamheten på ett sätt som möjliggör och säkerställer DPO:ns oberoende i förhållande till ledningen så att dataskydd kan förbli DPO:ns enda och huvudsakliga mål.

Tredje parter

Som en del av Nordnets verksamhet kan information delas med tredje parter (inklusive användning av verktyg och tjänster från tredje part), t.ex. enheter inom Nordnet-koncernen, externa leverantörer, underleverantörer, betrodda partners och även administrativa myndigheter. I detta avseende delar Nordnet aldrig mer information än vad som är strikt nödvändigt för det relevanta behandlingsändamålet som den registrerade har informerats om. Nordnet vidtar lämpliga och relevanta avtalsmässiga, tekniska och organisatoriska åtgärder för att säkerställa att leverantörer, både inom och utanför EU/EES, hanterar personuppgifter på ett säkert och korrekt sätt i enlighet med tillämpliga integritetsförordningar samt Nordnets integritets- och säkerhetspolicyer.

Underlättande av den registrerades rättigheter

Nordnets integritetspolicyer ger de registrerade information om deras rättigheter enligt GDPR, hur de kan utöva dem och alla relevanta kontaktuppgifter i fall de har frågor, funderingar eller klagomål gällande Nordnets databehandling. De tillgängliga åtgärderna för de registrerade inkluderar både digitala (t.ex. funktioner som är tillgängliga i inloggat läge) och offline-alternativ (pappersformulär tillgängliga på webbplatser), där noggrann identifiering och säkerhetsstandarder inte äventyras.

Nordnet har etablerat riktlinjer och rutiner för hantering av de registrerades rättigheter, med utsedda avdelningar för varje steg, för att säkerställa att dessa förfrågningar hanteras korrekt. Den registrerades rättigheter existerar inte utan villkor och undantag enligt GDPR, så i en situation där en registrerads begäran helt eller delvis nekas, måste en korrekt förklaring med relevanta referenser ges av Nordnet till den registrerade.