MorgenBriefing 19. maj 2017: EU-Persondataforordningen – hvad betyder de nye regler for danske virksomheder.

Præsentationer af emnet: "MorgenBriefing 19. maj 2017: EU-Persondataforordningen – hvad betyder de nye regler for danske virksomheder."— Præsentationens transcript:

1 MorgenBriefing 19. maj 2017: EU-Persondataforordningen – hvad betyder de nye regler for danske virksomheder

2 1. Kendskab til persondataforordningen
“Det nye sort” Stort emne – på super kort tid Den nye Persondataforordning – 25. maj 2018 Beslutningstagere og nøglepersoner

3 2. Personoplysninger der behandles
Er I dataansvarlige, databehandlere eller begge dele? Databehandleraftalen – skriftlig og elektronisk Hvilke oplysninger behandles? Hvor kommer oplysningerne fra? Hvor og hvordan i organisationen gemmes de? Hvem deles oplysningerne evt. med? Evt. fortegnelsesforpligt. over behandlingsaktivitet (skriftlig og elektronisk) Påvise at behandling er i overensstemmelse med forordning

4 3. Information til de registrerede
Oplysninger i forbindelse med indsamlingen Identitet Formål Behandlingsgrundlag Hvor længe oplysninger behandles Klageadgang “…kortfattet, gennemsigtig, letforståelig og let tilgængelig form og i et klart og enkelt sprog…”

5 4. Opfyldelse af registreredes rettigheder
Indsigt Berigtigelse - ubetinget Sletning (“Retten til at blive glemt”) Begrænsning af behandling Indsigelse Dataportabilitet ”…struktureret, almindeligt anvendt og maskinlæsbart format…” afgivet af den registrerede selv baseret på samtykke og behandlingen foretages automatisk

6 5. Grundlag for behandling
Hvilke typer oplysninger? Hvilket retligt grundlag (også information til de registrerede)? Dokumentation af konklusioner Overordnet svarer forordningen til gældende persondatalov F.eks. sagligt formål med udtrykkeligt samtykke Forskellige rettigheder afhængigt af grundlag F.eks. stærkere krav på sletning, hvis grundlag er samtykke

7 6. Indhentelse af samtykke
“…frivillig, specifik, informeret og utvetydig viljestilkendegivelse…” Info om ret til tilbagekaldelse til enhver tid, inden samtykke afgives Lige let at tilbagekalde som at afgive Dokumentation - procedurer Ej stiltiende Pas på: Skelnen mellem samtykke og øvrig del af afgiven erklæring Vurdering af frivillighed – er opfyldelse af kontrakt betinget af samtykke som ikke er nødvendigt?

8 7. Pligter ved brud på persondatasikkerhed
Fornødne procedurer til at opdage, rapportere og undersøge brud Det kommer til at ske! Dokumentation Rapportere til myndigheder inden for 72 timer Høj risiko: rapportere til registrerede uden unødig forsinkelse

9 8. Særlige risici Konsekvensanalyse Fleste behandlinger ej omfattet
Hvis behandling sandsynligvis indebærer høj risiko for den registreredes rettigh./frihedsrettigh., da pligt foreligger navnlig ved: systematisk/omfattende vurdering af personlige forhold – automatisk behandling/profilering stort omfang af behandling af personfølsomme data systematisk overvågning af off. område i stort omfang Foretages forud for behandlingen og skal forelægges Datatilsynet, hvis konklusion er tilstedeværelsen af høj risiko Lister over behandlingsaktiviteter, der er underlagt krav om konsekvensanalysen

10 9. Databeskyttelse i IT-systemer
Privacy by design Privacy by default Ikke flere oplysninger end nødvendigt Ikke opbevare længere end nødvendigt Ikke bruge til andre formål end oplysningerne oprindeligt blev indsamlet til Træffe tekniske og organisatoriske foranstaltninger – som nu Desuden IT-tekniske krav for at kunne imødekomme den registreredes rettigheder

11 10. DPO’en (databeskyttelsesrådgiver)
Krav i offentlige virksomheder Krav i private virksomheder (koncernniveau) når, databehandling udgør kerneaktivitet, stort omfang, og enten tale om regelmæssig eller systematisk overvågning, eller personfølsomme oplysninger Uddannelse – ingen egentlige krav, men…. Ansat/ekstern Rådgivende rolle – ingen beslutningskompetence Hæfter ikke personligt for virksomhedens behandling af data

12 11. Sanktioner Op til 2% af global årlig koncernpmsætning/Euro 10 mio.
Op til 4% af global årlig koncernomsætning/Euro 20 mio. Såvel dataansvarlig som databehandler kan straffes

13 Niels Christian Døcker
Advokat (L), partner,

14 Erfarne specialister Claes Christensen Advokat (L), partner
Claus Bach Christensen Advokat, partner, LLM Henrik Dietz Advokat, partner Jens Christian Dreyer Advokat (L), partner, LLM Mandeep Singh Rathour Advokat, partner Niels Christian Døcker Advokat (L), partner Peter Broen Advokat, partner Ricki Boye Advokat, partner