De dataansvarlige kommuner møder databehandleren

Præsentationer af emnet: "De dataansvarlige kommuner møder databehandleren"— Præsentationens transcript:

1 De dataansvarlige kommuner møder databehandleren

2 Hvad dækker den? Behandling af personoplysninger i DDB CMS
Den af DDB udsendte databehandleraftale Hvad dækker den? Behandling af personoplysninger i DDB CMS Behandling af personoplysninger på DanBib- og bibliotek.dk-områderne Behandling af personoplysninger i Open List (personaliseringstjenesten) Behandling af personoplysninger i de digitale tjenester BIBLO og Litteratursiden Behandling af personoplysninger i app-løsningen Biblioteket

3 DDB’s model for databehandleraftale
Anvendelse af Datatilsynets skabelon og systematik – har især betydning for bilagsmaterialet. De dataansvarlige bibliotekskommuner har både generelle og konkrete instruktionsbeføjelser, ikke kun over for DDB som databehandler, men også over for underdatabehandlerne. Med databehandleraftalen godkender bibliotekskommunen de anvendte underdatabehandlere. DDB kan anvende andre underdatabehandlere og skal underrette kommunen mindst 30 dage, inden underdatabehandler påbegynder behandling af personoplysninger. Kommunen kan herved gøre indsigelse mod brug af underdatabehandleren, men kan kun nægte DDB brug af underdatabehandleren, hvis kommunen konkret har saglige grunde herfor.

4 Her er den! DEN ULTIMATIVE SLIDE med overblik over GDPR

5 Mørk grøn = Direkte pligter Lys grøn = Metaregler Grå = Andre regler
Overblik over persondataforordningen 1. Formål, materielt og geografisk anvendelsesområde, definitioner Art. 1-4 2. Grundprincipper, behandlingsregler Art. 5-11, 22, 85-91 3. Gennemsigtighed, den registreredes rettigheder, datasikkerhedsbrud Art , 23, 34 4. ‘Accountability’, privacy by design/privacy by default Art 5. Dataansvarlig/ databehandler Art 6. Dokumentation, samarbejde, datasikkerhedsbrud, DPIA, DPO Art , 33, 35-39 7. Sikkerhed Art. 32 8. Adfærdskodeks og certificering Art 9. Tredjelands-overførsler Art 10. Tilsynsmyndighed og samarbejde (‘One-stop-shop’), sammenhæng og EDPB Art 11. Ansvar og sanktioner Art 12. Delegerende retsakter, forholdet til 95/46/EF og 2002/58/EF, evaluering, ikrafttrædelse Art Mørk grøn = Direkte pligter Lys grøn = Metaregler Grå = Andre regler

6 Spørgsmål fra bibliotekerne om GDPR
Spørgsmål: Kan bibliotekerne samarbejde/dele viden om GDPR eller er det løb kørt nu?

7 Spørgsmål fra bibliotekerne om GDPR
Svar: Ja, sagtens. Rigtig mange digitale løsninger for bibliotekerne er fælles. Det er de jo ikke holdt op med at være pga. GDPR. Det er de samme behandlinger, der finder sted og af samme typer personoplysninger. Det er imidlertid vigtigt at have en standard for privatlivspolitikken, og helst også en standard for underretning af de registrerede (brugerne). Et problem er, at de forud for databeskyttelsesforordningen gældende specifikke regler for bibliotekernes behandling af personoplysninger fulgte direkte af persondatalovgivningen eller var løbende blevet drøftet med Datatilsynet , og det er derfor uafklaret, hvad der gælder nu. DDB vil rette henvendelse til Datatilsynet om en række GDPR-problemstillinger på biblioteksområdet.

8 Spørgsmål fra bibliotekerne om GDPR
Spørgsmål: Hvordan efterleves kravene til oplysningspligten over for de registrerede ?

9 Spørgsmål fra bibliotekerne om GDPR
Svar: Det er i forordningens artikel 13 eller 14, der omhandler oplysningspligten over for de registrerede ved hhv. indsamling af oplysninger hos den registrerede og ved indsamling af oplysninger, hvor dette ikke er sket hos den registrerede. Indholdsmæssigt er det mest hensigtsmæssige , at de oplysninger, der gives til den registrerede, svarer til privatlivspolitikken. It-teknisk kan der for nye lånere sendes en mail med oplysningerne, gives et link til privatlivspolitikken e.l. For dem, der er lånere, kan der ved login gives link til privatlivspolitik e.l. Bemærk, at man skal kunne dokumentere, at oplysningspligten er opfyldt – at oplysningerne er givet.

10 Spørgsmål fra bibliotekerne om GDPR
Spørgsmål: Er retsgrundlaget for bibliotekernes behandling af oplysninger overhovedet samtykke? Og hvornår er det i givet fald det? Fx børneindmeldelser, tilmelding til Bogen kommer-ordningen, tilmelding til lydavis og tilmelding til læseklubber?

11 Spørgsmål fra bibliotekerne om GDPR
Svar: Det er vores opfattelse, at en offentlig myndigheds eller et offentligretligt organs retsgrundlag for behandling af personoplysninger kun rent undtagelsesvist kan være samtykke. Det kan det principielt kun være, hvis det i vedkommende lov er anført, at behandling af personoplysninger kun kan foretages med den berørte/registreredes samtykke. Det har i den forbindelse ingen betydning, at det drejer sig om en service eller en tjeneste, brugerne kan vælge at benytte eller ej. Vi må på den anden side erkende, at spørgsmålet ikke er afklaret, og at den tidligere lovgivning i forhold til fx Bogen kommer-ordningen forudsatte samtykke til behandling af personoplysninger i op til fem år. Vi vil i en henvendelse til Datatilsynet bl.a. adressere problemstillingen om samtykke som retsgrundlag.