Databeskyttelsesforordningen (GDPR) og Databeskyttelsesrådgiveren (DPO)

Hvorfor er vi her i dag?

Hvad er forordningen? § Ny lovgivning, der erstatter eksisterende lovgivning Viderefører store dele af eksisterende lovgivning Større fokus på compliance Konsekvenser

Hvad er forordningen? Det er en elefant… Men hvor stor er den? Og hvordan spiser man den?

En databeskyttelsesrådgiver (DPO) De nye ting i forordningen Fortegnelsen Konsekvensanalyse Design & Default De registreredes rettigheder Notifikation og …. En databeskyttelsesrådgiver (DPO)

En databeskyttelsesrådgiver (DPO) Alle offentlige myndigheder skal have en databeskyttelses-rådgiver Udpeges på baggrund af faglig ekspertise En koncern kan udnævne en fælles databeskyttelsesrådgiver Kan være intern eller ekstern En databeskyttelsesrådgiver (DPO) Udpeges på baggrund af faglig ekspertise og evne til at udføre sine opgaver.

Databeskyttelsesrådgiverens rolle Ambassadør for de registrerede Ombudsmand for de registrerede Forretningen Jura IT

§ Databeskyttelsesrådgiverens placering i organisationen Skal sikre den nødvendige ledelsesopbakning § Må ikke bestride en stilling, der bestemmer formålene og midlerne til behandling af personoplysninger Skal undgå en interessekonflikt Modtager ikke instrukser vedrørende udførelsen af disse opgaver Skal sikre adgang til og rapportering til det øverste ledelsesniveau Skal sikre opretholdelse af ekspertise Skal inddrages tilstrækkeligt og rettidigt

§ Databeskyttelsesrådgiverens opgaver Skal underrette og rådgive den dataansvarlige eller databehandleren § Skal overvåge overholdelsen af forordningen Skal behandle henvendelser fra de registrerede Skal rådgive om konsekvensanalysen Skal samarbejde med tilsynsmyndigheden Skal underrette og rådgive den dataansvarlige eller databehandleren og de ansatte, der behandler personoplysninger, om deres forpligtelser i henhold til forordningen. Skal overvåge overholdelsen af forordningen og politikker om beskyttelse af personoplysninger. Skal fungere som tilsynsmyndighedens kontaktpunkt

Konsekvensanalyse – hvornår? Når der benyttes ny teknologi Hvis der er høj risiko for de registrerede Hvis der er stor konsekvens for de registrerede

Konsekvensanalyse – hvad? • Beskrivelse af de planlagte behandlingsaktiviteter • Formålene med behandlingen • Behandlingens lovlige grundlag • Vurdering af rimelighed mellem formål og behandlingen (proportionalitet) • Vurdering af risikoen for at påvirke de registreredes rettigheder • Mitigerende foranstaltninger

Konsekvensanalyse – databeskyttelsesrådgiverens rolle Den dataansvarlige skal rådføre sig med databeskyttelsesrådgiveren databeskyttelsesrådgiveren skal overvåge konsekvensanalysens opfyldelse Hvis man ikke følger databeskyttelsesrådgiverens råd, skal man forklare hvorfor

Hvad forventer Datatilsynet? Databeskyttelsesrådgiveren skal: Opfylde sine opgaver Have styr på dataflow Være ambassadør for databeskyttelse Være bindeled mellem institutionen, de registrerede og Datatilsynet Det er ikke databeskyttelsesrådgiveren, der er ansvarlig for institutionens compliance!

Data Protection Officer (DPO)

§ Den perfekte DPO Styr på juraen Forstår teknikken Kendskab til Projektledelse § Erfaring med ledelse Erfaring med kommunikation Proceskonsulent Kan snakke med topledelsen Forstå informationssikkerhed

GDPR-rådgivning DKCERTs GDPR-rådgivning Alle institutioner skal have en databeskyttelsesrådgiver, men ikke alle behøver ansætte en. DKCERTs GDPR-rådgivning Services til institutionernes databeskyttelsesrådgivere Varetage rollen som databeskyttelsesrådgiver

§ Services til understøttelse af lokale databeskyttelsesrådgiver Tilbyde deltagelse i et netværk Udarbejde værktøjer Rådgive om etablering af egen databeskyttelsesrådgiver Støtte implementeringen af forordningen § Tilbyde deltagelse i et netværk til videndeling og udvikling af DPO-rollen på universiteter. Udarbejde værktøjer til brug for DPO’er, fx en skabelon for konsekvensanalyser vedrørende databeskyttelse. Rådgive om etablering af egen DPO-funktion, herunder håndtering af udfordringer i forhold til uafhængighed, interessekonflikt og gennemslagskraft.

GDPR-rådgivning til institutioner, der ikke ønsker at ansætte en datebeskyttelsesrådgiver selv Varetage rollen som uafhængig databeskyttelsesrådgiver Håndtere løbende udfordringer og dilemmaer med persondata Hjælpe med at tilrettelægge processer Understøtte efterlevelse af forordningen Hjemtage erfaringer og viden § Hjemtage erfaringer og viden fra øvrige europæiske medlemslandes implementering og fortolkning af forordningen

§ DKCERT kan således tilbyde Hjælp til at etablere egen databeskyttelsesrådgiver Understøtte lokale databeskyttelsesrådgivere Aflaste en databeskyttelses- rådgiver i en periode Varetage rollen som databeskyttelsesrådgiver §

Forordningen håndhæves fra den 25. maj 2018 Du har 239 dage…