Nye EU regler for persondatabeskyttelse 

– og de kræver handling

Langt skrappere krav til persondatabeskyttelse, øget kontrol til borgerne og massive bøder er nogle af de hovedpunkter, som får konsekvenser for rigtig mange virksomheder og myndigheder med de nye EU regler for personbeskyttelse. Med EU persondataforordningen nærmer vi os et niveau af persondatasikkerhed, som svarer til det, vi kender fra finansielle data og regnskabsdata.

Tirsdag d. 15.december 2015 afsluttede ministerrådet og parlamentet forhandlingerne om de sidste punkter i det mere end 100 sider lange forslag til en forordning, som skal sikre ensartede regler for persondatabeskyttelse i EU. Forordningen er samtidig en modernisering af det 20 år gamle persondatadirektiv.  Forordningen stiller strenge krav til virksomheder og myndigheders evne til at sikre effektiv databeskyttelse. Til at føre tilsyn med virksomhedens eller myndighedens efterlevelse skal virksomheden udpege en uafhængig databeskyttelsesansvarlig, som har ekspertviden om persondataret og databeskyttelsespraksis. Kravet om en databeskyttelsesansvarlig gælder alle myndigheder undtagen domstole og alle virksomheder, som systematisk og regelmæssigt overvåger mange personer eller som behandler følsomme personoplysninger i stor skala. Der indføres bøder på op til 20 mio. euro eller 4% af årsomsætningen globalt.

Mere fokus på borgerens rettigheder

Borgere får med forordningen øget kontrol over egne data. En borger kan eksempelvis kræve sine data slettet, med mindre virksomheden har en lovbestemt eller andre tungtvejende hensyn, der giver virksomheden ret til at gemme data. Sidstnævnte tolkes meget restriktivt i forordningen. Borgere kan kræve indsigt i, hvad borgerens data er anvendt til og der kan udstedes bøder, hvis virksomheden ikke efterlever kravet. Borgere kan også søge erstatning for tort og økonomisk tab hos virksomheden, hvis der sker sikkerhedsbrud.

De væsentligste ændringer i forhold til den gældende persondatalov vil være:

• Persondataforordningen træder i kraft den 25. Maj 2018. Samtidig ophæves den danske persondatalov.

• Virksomheder skal informere de registrerede (dvs. alle personer, der har afgivet oplysninger til jeres virksomhed – fx kunder og medarbejdere) om indsamling, behandling og opbevaring af personoplysninger.

• Registrerede har krav på indsigt i og berigtigelse af, de oplysninger, der behandles.

• Der kommer skærpede krav til samtykke fra den registrerede, når der er tale om behandling af oplysninger om medarbejdere eller jobansøgere.

• Der er øgede dokumentationskrav til at personoplysninger behandles i overensstemmelse med reglerne i Persondataforordningen.

• Der stilles krav om, at personoplysninger skal beskyttes ved en sikkerhedspolitik med tekniske organisatoriske foranstaltninger fx retningslinjer og regler, der vedrører tilgang og viden om data. Foranstaltningerne skal være passende i forhold til risikoen for de registrerede ved behandlingen af personoplysninger.

• Der er fastsat et højt bødeniveau for overtrædelse af lovgivningen eller ved konkrete sikkerhedsbrud.

• Der er krav om Privacy by design ved udvikling af nye systemer. Det betyder, at der allerede i forberedelsesfasen skal tages stilling til, hvordan systemerne kan udvikles med bedst mulig privatlivsbeskyttelse.

• Hvis behandlingen af personoplysninger indebærer en høj risiko for fysiske personers rettigheder og 

  frihedsrettigheder, skal der foretages en konsekvensanalyse.

• Alle offentlige myndigheder skal udpeges en databeskyttelsesansvarlig (DPO). I private virksomheder skal der kun udpeges en DPO hvis: 

• Virksomhedens har behandling af personoplysninger i et stort omfang som kerneaktivitet

• Behandlingen af personoplysninger består i regelmæssig og systematisk overvågning af personer

• Behandlingen vedrører følsomme oplysninger – herunder oplysninger om helbred, fagforeningsforhold, strafbare forhold eller andre følsomme oplysninger.

Change Direction - skræddersyet IT-rekruttering - den 20. juni 2017 

Kilder: BDO.dk (2015) Nu kommer de nye EU regler for persondatabeskyttelse – og de kræver handling.
Tilgængelig på: http://www.bdo.dk/faglig-info/nyheder/consulting/nu-kommer-de-nye-eu-regler-for-persondatabeskyttelse-%E2%80%93-og-de-kraever-handling/ Sidst besøgt: 28.01.2016.

Bluegarden.dk (2016) Hovedpunkter EU’s Persondataforordning. Tilgængelig på: http://www.bluegarden.dk/Service-Menu/Viden/Hovedpunkter-EUs-Persondataforordning  Sidst besøgt: 28.01.2016