Hvorfor er vi her i dag?. Databeskyttelsesforordningen (GDPR) og Databeskyttelsesrådgiveren (DPO)

Præsentationer af emnet: "Hvorfor er vi her i dag?. Databeskyttelsesforordningen (GDPR) og Databeskyttelsesrådgiveren (DPO)"— Præsentationens transcript:

1 Databeskyttelsesforordningen (GDPR) og Databeskyttelsesrådgiveren (DPO)

2 Hvorfor er vi her i dag?

3 Hvad er forordningen? Ny lovgivning, der erstatter eksisterende lovgivning Viderefører store dele af eksisterende lovgivning Større fokus på compliance Konsekvenser

4 Hvad er forordningen? Det er en elefant… Men hvor stor er den?
Og hvordan spiser man den?

5 En databeskyttelsesrådgiver (DPO)
De nye ting i forordningen Fortegnelsen Konsekvensanalyse Design & Default De registreredes rettigheder Notifikation og …. En databeskyttelsesrådgiver (DPO)

6 En databeskyttelsesrådgiver (DPO)
Alle offentlige myndigheder skal have en databeskyttelses-rådgiver Udpeges på baggrund af faglig ekspertise En koncern kan udnævne en fælles databeskyttelsesrådgiver Kan være intern eller ekstern En databeskyttelsesrådgiver (DPO) Udpeges på baggrund af faglig ekspertise og evne til at udføre sine opgaver.

7 Databeskyttelsesrådgiverens rolle
Ambassadør for de registrerede Ombudsmand for de registrerede Forretningen Jura IT

8 § Databeskyttelsesrådgiverens placering i organisationen
Skal sikre den nødvendige ledelsesopbakning Må ikke bestride en stilling, der bestemmer formålene og midlerne til behandling af personoplysninger Skal undgå en interessekonflikt Modtager ikke instrukser vedrørende udførelsen af disse opgaver Skal sikre adgang til og rapportering til det øverste ledelsesniveau Skal sikre opretholdelse af ekspertise Skal inddrages tilstrækkeligt og rettidigt

9 § Databeskyttelsesrådgiverens opgaver
Skal underrette og rådgive den dataansvarlige eller databehandleren Skal overvåge overholdelsen af forordningen Skal behandle henvendelser fra de registrerede Skal rådgive om konsekvensanalysen Skal samarbejde med tilsynsmyndigheden Skal underrette og rådgive den dataansvarlige eller databehandleren og de ansatte, der behandler personoplysninger, om deres forpligtelser i henhold til forordningen. Skal overvåge overholdelsen af forordningen og politikker om beskyttelse af personoplysninger. Skal fungere som tilsynsmyndighedens kontaktpunkt

10 Konsekvensanalyse – hvornår?
Når der benyttes ny teknologi Hvis der er høj risiko for de registrerede Hvis der er stor konsekvens for de registrerede

11 Konsekvensanalyse – hvad?
• Beskrivelse af de planlagte behandlingsaktiviteter • Formålene med behandlingen • Behandlingens lovlige grundlag • Vurdering af rimelighed mellem formål og behandlingen (proportionalitet) • Vurdering af risikoen for at påvirke de registreredes rettigheder • Mitigerende foranstaltninger

12 Konsekvensanalyse – databeskyttelsesrådgiverens rolle
Den dataansvarlige skal rådføre sig med databeskyttelsesrådgiveren databeskyttelsesrådgiveren skal overvåge konsekvensanalysens opfyldelse Hvis man ikke følger databeskyttelsesrådgiverens råd, skal man forklare hvorfor

13 Hvad forventer Datatilsynet?
Databeskyttelsesrådgiveren skal: Opfylde sine opgaver Have styr på dataflow Være ambassadør for databeskyttelse Være bindeled mellem institutionen, de registrerede og Datatilsynet Det er ikke databeskyttelsesrådgiveren, der er ansvarlig for institutionens compliance!

14 Data Protection Officer (DPO)

15 § Den perfekte DPO Styr på juraen Forstår teknikken
Kendskab til Projektledelse Erfaring med ledelse Erfaring med kommunikation Proceskonsulent Kan snakke med topledelsen Forstå informationssikkerhed

16 GDPR-rådgivning DKCERTs GDPR-rådgivning
Alle institutioner skal have en databeskyttelsesrådgiver, men ikke alle behøver ansætte en. DKCERTs GDPR-rådgivning Services til institutionernes databeskyttelsesrådgivere Varetage rollen som databeskyttelsesrådgiver

17 § Services til understøttelse af lokale databeskyttelsesrådgiver
Tilbyde deltagelse i et netværk Udarbejde værktøjer Rådgive om etablering af egen databeskyttelsesrådgiver Støtte implementeringen af forordningen Tilbyde deltagelse i et netværk til videndeling og udvikling af DPO-rollen på universiteter. Udarbejde værktøjer til brug for DPO’er, fx en skabelon for konsekvensanalyser vedrørende databeskyttelse. Rådgive om etablering af egen DPO-funktion, herunder håndtering af udfordringer i forhold til uafhængighed, interessekonflikt og gennemslagskraft.

18 GDPR-rådgivning til institutioner, der ikke ønsker at ansætte en datebeskyttelsesrådgiver selv
Varetage rollen som uafhængig databeskyttelsesrådgiver Håndtere løbende udfordringer og dilemmaer med persondata Hjælpe med at tilrettelægge processer Understøtte efterlevelse af forordningen Hjemtage erfaringer og viden Hjemtage erfaringer og viden fra øvrige europæiske medlemslandes implementering og fortolkning af forordningen

19 § DKCERT kan således tilbyde
Hjælp til at etablere egen databeskyttelsesrådgiver Understøtte lokale databeskyttelsesrådgivere Aflaste en databeskyttelses- rådgiver i en periode Varetage rollen som databeskyttelsesrådgiver

20 Forordningen håndhæves fra
den 25. maj 2018 Du har 239 dage…