Persondata-forordningen en introduktion

Præsentationer af emnet: "Persondata-forordningen en introduktion"— Præsentationens transcript:

1 Persondata-forordningen en introduktion
Du finder forskellige opstillinger af dias i fanen ”Startside” under ”Nyt dias”. Persondata-forordningen en introduktion

2 Baggrund og formål Persondataforordningen træder i kraft d. 25. maj 2018, og har direkte virkning i Danmark. Persondataforordningen bliver suppleret af databeskyttelsesloven (DBL), som erstatter den nuværende persondatalov. Persondataforordningen har til formål at beskytte fysiske personer i forbindelse med behandling af personoplysninger og fri udveksling af samme inden for EU. Mange af persondataforordningens begreber og principper er kendt fra den nuværende persondatalov – men nye begreber og regler introduceres med persondataforordningen, herunder en række rettigheder for den registrerede.

3 aktører Som relevante aktører i persondataforordningen kan nævnes:
Den registrerede: Den fysiske person, som behandlingen af personoplysninger vedrører. Den dataansvarlige: Fysisk eller juridisk person eller offentlig myndighed, der bestemmer, til hvilke formål, og hvordan, personoplysningerne må behandles, herunder af hvem. Databehandleren: Fysisk eller juridisk person eller offentlig myndighed, som behandler personoplysninger på vegne af den dataansvarlige og efter dennes instruks (forudsætter databehandleraftale). Sondringen mellem dataansvarlig og databehandler kan i praksis være svær – ikke desto mindre er den vigtig, da ansvar og krav er forskellig.

4 Anvendelsesområde Persondataforordningen gælder for behandling af personoplysninger om den registrerede. Ved ‘behandling’ forstås behandling af personoplysninger, der foretages: Helt eller delvist ved hjælp af automatisk (elektronisk) databehandling, eller Ved manuel behandling, som er eller vil blive indeholdt i et register. Ved ‘fysiske personer’ forstås såvel et menneskeligt individ som enkeltmandsvirksomheder.  Persondataforordningen is everywhere.

5 personoplysninger Personoplysninger er enhver form for information, der kan henføres til bestemte personer – også selvom dette forudsætter kendskab til personnummer, registreringsnummer eller lignende (pseudonymiserede personoplysninger). Anonymiserede personoplysninger er ikke omfattet af persondataforordningen (præambel nr. 26). Persondataforordningen sondrer mellem følsomme og almindelige personoplysninger (artikel 9 og 6). Persondataforordningen indeholder ikke regler om CPR – de enkelte medlemslande kan fastsætte regler herom (artikel 87 og DBL § 11).

6 Almindelige personoplysninger
Følsomme personoplysninger Race, etnicitet, oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold, genetiske eller biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger og seksuelle tilhørsforhold Strafbare forhold Bred forståelse – også oplysninger om andre sanktioner end strafansvar er omfattet CPR-nummer En særlig identifikation i DK, som ikke findes i EU Almindelige personoplysninger Øvrige personoplysninger, herunder navn, familieforhold, bolig, telefonnummer, , fødselsdato Følsomme personoplysninger – listen er udtømmende. Almindelige personoplysninger – de personoplysninger, som ikke falder ind under kategorien ‘følsomme personoplysninger’.

7 Behandling af personoplysninger
Grundlæggende principper for al behandling af personoplysninger (artikel 5, stk. 1): Lovlighed, rimelighed og gennemsigtighed Formålsbegrænsning Dataminimering Rigtighed Opbevaringsbegrænsning Integritet og fortrolighed Litra a): Gennemsigtighed: Klart, at personoplysninger indsamles, anvendes eller tilgås, og i hvilket omfang. Information og kommunikation skal være lettilgængelig og letforståelig, og der skal benyttes et klart og enkelt sprog. Litra b): Kun indsamling til saglige formål – ikke indsamling med den begrundelse, at det måske senere kan vise sig nyttigt at være i besiddelse af de pågældende personoplysninger. Litra c): Kun indsamling af de personfølsomme oplysninger, der er nødvendige for at opfylde (det saglige) formål. Litra d): Krav om rigtige og ajourførte personoplysninger – retten til berigtigelse og til at blive glemt (artikel 16 og 17). Litra e): Krav om sletning eller anonymisering, når det ikke længere er nødvendigt at have dem – en tidsmæssig konkret vurdering. Litra f): Beskyttelse af personoplysninger mod uautoriseret eller ulovlig behandling – sikring, således at de ikke går tabt eller bliver beskadiget (IT).

8 Behandling af almindelige personoplysninger
Behandling er lovlig, hvis ét af følgende forhold gør sig gældende (artikel 6, stk. 1 og DBL § 6): Den registrerede har givet sit samtykke, Behandlingen er nødvendig af hensyn til opfyldelse af en kontrakt, den registrerede er part i, Behandlingen er nødvendig for overholdelse af en retlig forpligtelse, som påhviler den dataansvarlige (hjemmel i lov), Behandlingen er nødvendig for at beskytte den registrerede eller en anden fysisk persons vitale interesser, Behandlingen er nødvendig af hensyn til udførelsen af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt Litra a): Samtykke (artikel 4, nr. 11): Enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede hvorved denne ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling. Bevisbyrden herfor ligger hos den dataansvarlige. Generelt: Litra a), c) og e) vil som regel være behandlingshjemmel for vores daglige arbejde. Hellere et samtykke for meget end et for lidt.

9 Behandling af oplysninger om strafbare forhold og CPR
Oplysninger om strafbare forhold må behandles, hvis følgende forhold gør sig gældende (artikel 10 og DBL § 8): Der er hjemmel hertil i artikel 6, stk. 1, Behandlingen foretages under kontrol af en offentlig myndighed Oplysninger om CPR må behandles, hvis følgende forhold gør sig gældende (DBL § 11): Behandlingen sker med henblik på en entydig identifikation eller som journalnummer, Behandlingen foretages af en offentlig myndighed.

10 Behandling af følsomme personoplysninger
Behandling er forbudt, medmindre ét af følgende forhold gør sig gældende (artikel 9, stk. 1 og 2 samt DBL § 7): Den registrerede har givet udtrykkeligt samtykke, Behandlingen er nødvendig for at overholde den dataansvarliges eller den registreredes forpligtelser på arbejds- sundheds og socialområdet med hjemmel i EU-ret, national ret eller kollektiv overenskomst, Behandlingen er nødvendig for beskyttelse af den registreredes eller en anden fysisk persons vitale interesser i tilfælde, hvor den registrerede fysisk eller juridisk ikke er i stand til at give samtykke, Behandlingen er nødvendig for sammenslutningers og foreningers varetagelse af oplysninger om medlemmer, og videregivelse ikke sker uden samtykke, Behandlingen vedrører personoplysninger, som tydeligvis er offentliggjort af den registrerede,

11 Behandling af følsomme personoplysninger
Behandling er forbudt, medmindre ét af følgende forhold gør sig gældende (artikel 9, stk. 1 og 2 samt DBL § 7): Behandlingen er nødvendig for, at et retskrav kan fastlægges, gøres gældende eller forsvares, Behandlingen er nødvendig af hensyn til væsentlige samfundsinteresser Behandlingen er nødvendig med henblik på forebyggende medicin, medicinsk diagnose, social- og sundhedsfaglig omsorg mv. Behandlingen er nødvendig af hensyn til samfundsinteresser på folkesundhedsområdet, Behandlingen er nødvendig til arkivformål, videnskabelige eller historiske forskningsformål eller til statistiske formål

12 Persondataforordningen needs you!
Som dataansvarlig er vi ansvarlige for, at persondataforordningen efterleves og overholdes – og vi skal kunne dokumentere dette. Overholdelse af persondataforordningen indebærer blandt andet: Udarbejdelse og ajourføring af fortegnelser over behandlingsaktiviteter, Udarbejdelse af konsekvensanalyse forud for behandling af personoplysninger, som sandsynligvis vil indebære en høj risiko, Udarbejdelse og ajourføring af arbejdsgange, som sikrer overholdelse af persondataforordningen, herunder vedrørende den registreredes rettigheder og brud på persondataforordningen, At det glade budskab om persondataforordningen spredes udi organisationen, så vi alle kan efterleve og overholde persondataforordningen.  Persondataforordningen needs you!