MorgenBriefing 19. maj 2017: EU-Persondataforordningen – hvad betyder de nye regler for danske virksomheder

1. Kendskab til persondataforordningen “Det nye sort” Stort emne – på super kort tid Den nye Persondataforordning – 25. maj 2018 Beslutningstagere og nøglepersoner

2. Personoplysninger der behandles Er I dataansvarlige, databehandlere eller begge dele? Databehandleraftalen – skriftlig og elektronisk Hvilke oplysninger behandles? Hvor kommer oplysningerne fra? Hvor og hvordan i organisationen gemmes de? Hvem deles oplysningerne evt. med? Evt. fortegnelsesforpligt. over behandlingsaktivitet (skriftlig og elektronisk) Påvise at behandling er i overensstemmelse med forordning

3. Information til de registrerede Oplysninger i forbindelse med indsamlingen Identitet Formål Behandlingsgrundlag Hvor længe oplysninger behandles Klageadgang “…kortfattet, gennemsigtig, letforståelig og let tilgængelig form og i et klart og enkelt sprog…”

4. Opfyldelse af registreredes rettigheder Indsigt Berigtigelse - ubetinget Sletning (“Retten til at blive glemt”) Begrænsning af behandling Indsigelse Dataportabilitet ”…struktureret, almindeligt anvendt og maskinlæsbart format…” afgivet af den registrerede selv baseret på samtykke og behandlingen foretages automatisk

5. Grundlag for behandling Hvilke typer oplysninger? Hvilket retligt grundlag (også information til de registrerede)? Dokumentation af konklusioner Overordnet svarer forordningen til gældende persondatalov F.eks. sagligt formål med udtrykkeligt samtykke Forskellige rettigheder afhængigt af grundlag F.eks. stærkere krav på sletning, hvis grundlag er samtykke

6. Indhentelse af samtykke “…frivillig, specifik, informeret og utvetydig viljestilkendegivelse…” Info om ret til tilbagekaldelse til enhver tid, inden samtykke afgives Lige let at tilbagekalde som at afgive Dokumentation - procedurer Ej stiltiende Pas på: Skelnen mellem samtykke og øvrig del af afgiven erklæring Vurdering af frivillighed – er opfyldelse af kontrakt betinget af samtykke som ikke er nødvendigt?

7. Pligter ved brud på persondatasikkerhed Fornødne procedurer til at opdage, rapportere og undersøge brud Det kommer til at ske! Dokumentation Rapportere til myndigheder inden for 72 timer Høj risiko: rapportere til registrerede uden unødig forsinkelse

8. Særlige risici Konsekvensanalyse Fleste behandlinger ej omfattet Hvis behandling sandsynligvis indebærer høj risiko for den registreredes rettigh./frihedsrettigh., da pligt foreligger navnlig ved: systematisk/omfattende vurdering af personlige forhold – automatisk behandling/profilering stort omfang af behandling af personfølsomme data systematisk overvågning af off. område i stort omfang Foretages forud for behandlingen og skal forelægges Datatilsynet, hvis konklusion er tilstedeværelsen af høj risiko Lister over behandlingsaktiviteter, der er underlagt krav om konsekvensanalysen

9. Databeskyttelse i IT-systemer Privacy by design Privacy by default Ikke flere oplysninger end nødvendigt Ikke opbevare længere end nødvendigt Ikke bruge til andre formål end oplysningerne oprindeligt blev indsamlet til Træffe tekniske og organisatoriske foranstaltninger – som nu Desuden IT-tekniske krav for at kunne imødekomme den registreredes rettigheder

10. DPO’en (databeskyttelsesrådgiver) Krav i offentlige virksomheder Krav i private virksomheder (koncernniveau) når, databehandling udgør kerneaktivitet, stort omfang, og enten tale om regelmæssig eller systematisk overvågning, eller personfølsomme oplysninger Uddannelse – ingen egentlige krav, men…. Ansat/ekstern Rådgivende rolle – ingen beslutningskompetence Hæfter ikke personligt for virksomhedens behandling af data

11. Sanktioner Op til 2% af global årlig koncernpmsætning/Euro 10 mio. Op til 4% af global årlig koncernomsætning/Euro 20 mio. Såvel dataansvarlig som databehandler kan straffes

Niels Christian Døcker Advokat (L), partner, +45 2710 0402 ncd@bachlaw.dk

Erfarne specialister Claes Christensen Advokat (L), partner +45 33 19 33 18 cc@bachlaw.dk Claus Bach Christensen Advokat, partner, LLM +45 21 60 20 36 cbc@bachlaw.dk Henrik Dietz Advokat, partner +45 40 95 95 32 hd@bachlaw.dk Jens Christian Dreyer Advokat (L), partner, LLM +45 61 16 40 46 jcd@bachlaw.dk Mandeep Singh Rathour Advokat, partner +45 24 20 00 44 msr@bachlaw.dk Niels Christian Døcker Advokat (L), partner +45 27 10 04 02 ncd@bachlaw.dk Peter Broen Advokat, partner +45 26 28 14 54 pb@bachlaw.dk Ricki Boye Advokat, partner +45 51 99 90 16 rb@bachlaw.dk