Persondataforordningen Hvad betyder den i praksis for foreningerne?

Præsentationer af emnet: "Persondataforordningen Hvad betyder den i praksis for foreningerne?"— Præsentationens transcript:

1 Persondataforordningen Hvad betyder den i praksis for foreningerne?

2 4 hovedkrav til behandling af personoplysninger
I skal: have et sagligt formål – og begrænse behandlingen af data dokumentere, at I har styr på det formulere en privatlivspolitik have en tilpas datasikkerhed. 4 HOVEDKRAV Helt overordnet stiller forordningen fire hovedkrav til behandlingen af personoplysninger: 1. I skal altid have et sagligt formål med at behandle personoplysninger, og I skal begrænse behandlingen til det, der er nødvendigt i forhold til det saglige formål. Denne del er det vigtigste at have styr på. 2. I skal kunne dokumentere, at I har overblik over jeres behandling af personoplysninger: Hvilke oplysninger behandles, hvem behandler dem, hvor arkiveres de mv. Dette skal beskrives i en såkaldt fortegnelse. 3. I skal orientere den registrerede (medlemmer, trænere mv.) om, hvilke oplysninger der behandles og hvorfor. Dette kan ske i en privatlivspolitik. 4. I skal have en tilpas datasikkerhed, og I skal i nogle tilfælde anmelde brud på sikkerheden til Datatilsynet.

3 Personoplysninger i foreninger
• Medlemmer • Frivillige • Leverandører • Ansøgere PERSONOPLYSNINGER I FORENINGER • Medlemmer: Navn, adresse, fødselsdato, mail, tlf. nr., betalingsoplysninger • Frivillige: Oplysninger om fx navn, adresse, mail, mobil nr., børneattest, og evt. cpr. nr., • Personoplysninger om ansatte hos leverandører som fx virksomhedsnavn, adresse, telefonnr., mail, og stilling • Ansøgninger: Navn, adresse, mail, tlf., nuværende/tidligere arbejdspladser, evt. referencepersoner

4 Persondata = alt, som kan henføres til en person
Typer af persondata Persondata = alt, som kan henføres til en person En personoplysning behøver ikke i sig selv at kunne identificere en person, men først ved at kombinere den med andre personoplysninger

5 Almindelige personoplysninger
Navn, adresse, fødselsdato, løn, skat, gæld, sygedage, tjenstlige forhold, familieforhold, bolig, bil, eksamen, ansøgning, CV, ansættelsesdato, stilling, arbejdstelefon, …

6 Følsomme personoplysninger
CPR-nummer Straffedomme og lovovertrædelser Race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold. Genetiske data. Biometriske data Helbredsoplysninger. Seksuelle forhold eller seksuelle orientering

7 Ingen oplysninger må gemmes (”behandles”) uden lovhjemmel!
Almindelige oplysninger samtykke nødvendigt en retlige forpligtelse en legitim interesse Følsomme oplysninger og cpr. nr. lovgivningen INGEN OPLYSNINGER MÅ GEMMES (”BEHANDLES”) UDEN LOVHJEMMEL! Foreninger må bruge (behandle) almindelige oplysninger når: der er givet et samtykke fra personen, det er nødvendigt for at kunne opfylde en kontrakt, det er nødvendig for at kunne over opfylde en retlige forpligtelse (fx indberetning) eller det er nødvendigt for at den dataansvarlige kan forfølge en legitim interesse, medmindre hensynet til personen vejer tungere. Følsomme oplysninger og cpr. nr. må man bruge og behandle: • Når det står i lovgivningen • Når der er givet samtykke og der er et relevant og sagligt formål ----

8 Hvor gemmer I oplysningerne?
Netværksdrev USB Bærbare harddiske Mail Smartphone Computere Tablets Memorycards

9 Hvor kommer oplysningerne fra? - og hvor kan I sende dem hen?
Medlemmerne Frivillige Ansatte Mail og hvor kan vi sende dem hen? Revisor Advokat Lønbureau Tredjemand, eks. postvæsen Outsourcing, eks. IT Drift, konsulenter Her skal I have en databehandler aftale.

10 Almindelige foranstaltninger
Holde IT-systemer opdateret Kryptering på WIFI-netværk Relevant software, som automatisk bliver opdateret med korte mellemrum: Ekstern tilgang til netværk (hjemmefra, hos bestyrelsesmedlemmer m.v.) -firewall Backup med korte mellemrum -antivirusprogram Spærring ved x antal forsøg på at logge på med password -spamfilter -phisningfilter Sikkerhedsniveau i browser ALMINDELIGE FORANSTALTNINGER Holde IT-systemer opdateret Relevant software, som automatisk bliver opdateret med korte mellemrum: -firewall -antivirusprogram -spamfilter -phisningfilter Sikkerhedsniveau i browser Kryptering på WIFI-netværk Ekstern tilgang til netværk (hjemmefra, hos bestyrelsesmedlemmer m.v.) Backup med korte mellemrum Spærring ved x antal forsøg på at logge på med password

11 Oplysningspligt ved indsamling af persondata
Gælder i alle sammenhænge, fx indsamling af persondata ved medlemsoprettelse og hjemmeside. OPLYSNINGSPLIGT VED INDSAMLING AF PERSONDATA Gælder i alle sammenhænge, fx indsamling af persondata ved medlemsoprettelse og hjemmeside Formålet med indsamlingen Kontaktoplysninger på den dataansvarlige Modtagere eller kategorier af modtagere oplysningerne Den registreredes rettigheder til at få indsigt, gøre indsigelse mod behandling rette og slette data Hvor lang tid oplysningerne opbevares Retten til at få oplysninger udleveret i digital form Rettigheder til at trække samtykke tilbage og Muligheder for at klage til Datatilsynet

12 Man skal kunne finde data – og slette det
Persondata skal slettes, når de ikke længere er nødvendige. Lovbestemte frister Konflikter ”Det kunne være rart at have liggende” er ikke nok Når medlemmet ønsker det. MAN SKAL KUNNE FINDE DATA OG SLETTE DET Persondata skal slettes, når de ikke mere er nødvendige Lovbestemte frister (fx bogføringsloven) Konflikter (kommende retssager og lign.) Ikke nok det ”kunne være rart at have liggende” Når medlemmet ønsker det Hvordan kan det understøttes IT-mæssigt? Eksempler: nyhedsbreve, jobansøgninger, tidligere medlemmer

13 Vigtige principper Dataminimering: Indsaml så lidt persondata som muligt Adgangsbegrænsning: Så få som muligt skal have adgang Opbevaringsbegrænsning: Slet data, så snart det ikke er nødvendigt at gemme mere MAN SKAL KUNNE FINDE DATA OG SLETTE DET Persondata skal slettes, når de ikke mere er nødvendige Lovbestemte frister (fx bogføringsloven) Konflikter (kommende retssager og lign.) Ikke nok det ”kunne være rart at have liggende” Når medlemmet ønsker det Hvordan kan det understøttes IT-mæssigt? Eksempler: nyhedsbreve, jobansøgninger, tidligere medlemmer

14 10 gode råd 1. Udpeg en ansvarlig, og få hele bestyrelsen involveret
2. Få skabt overblik over data og dataflow 3. Få klarhed over, om data er indsamlet på et lovformeligt grundlag 4. Sikr nødvendig beskyttelse af data ved hjælp af kryptering 5. Sikr hensigtsmæssig styring af adgang til programmer og data 6. Beskyt data i databaser 7. Opdater dokumentation, så den kan udleveres til Datatilsynet 8. Få styr på de obligatoriske databehandleraftaler 9. Etabler et beredskab, som kan varetage rapporteringen til myndighederne ved databrud 10. Ryd op i gamle data, og slet overflødige data – jo færre, der er at passe på, des nemmere.

15 Vi har løst en del af opgaven for foreningerne.
Vejledning og bilag Vi har løst en del af opgaven for foreningerne. 3 bilag til vejledningen: 1) Eksempel på privatlivspolitik til opfyldelse af oplysningspligten 2) Skabelon til brug for opfyldelse af fortegnelsespligten (dokumentationskravet) 3) Eksempel på databehandleraftale

16 Tak for opmærksomheden - og tak for denne gang