1. No category

Den nye pe rsondataforordning
Advokat Marie Albæk Jacobsen
DEIC-konference, den 6. oktober 2015
2
Den kommende forordning
Ko m m issio n e n s fo rsla g til e n p e rso n d a ta fo ro rd n in g, KOM(2012)11 a f 25. ja n u a r 2012

Fo rm å l



Fo rm



En sa rte t re gu le rin g i EU
Fæ rre a d m in istra tive byrd e r fo r virkso m h e d e rn e
Fo ro rd n in g vs d ire ktiv
Mu ligh e d fo r n a tio n a l re gu le rin g?
Sta tu s



Op rin d e ligt Q2 2014
Nu Q4 2015/Q1 2016
2-å rig im p le m e n te rin gsp e rio d e
Hvad er personoplysninger?
Navn
Køn
Cpr-nr.
Foto
Adgangskontrol
Helbredsoplysninger
Familiemæssige oplysninger
Interesser
Politisk
overbevisning
Væsentlige sociale
problemer
?
Personlighedstest
IP-adresse
GPS-oplysninger
Uddannelse
(karakterer)
Personlige
produktionstal
Religion
Pasnr.
Seksuel overbevisning
E-mail-adresse
Genetisk information
Nummerplade
Telefonnummer
Adresse
Kreditkortnummer
Fødselsdato
MedarbejderID
Race
Elektroniske spor
Videoovervågning
Logning i IT-systemer
Initialer/Loginnavn
Fagforeningsmæssige
tilhørsforhold
Biometriske
oplysninger
Straffeattest
Stilling
Størrelse på tøj og sko
Rejseoplysninger
Løn
4
Oplysningskategorier
5
Den kommende forordning

Systematik svarer nogenlunde til persondataloven

Ge n e re lle d a ta b e h a n d lin gsp rin cip p e r gæ ld e r fo rtsa t


Sa gligh e d , p rop ortion a lite t, sle tn in g, m v.
Be h a n d lin gsh je m m e l (h vo rn å r m å m a n b e h a n d le p e rso n o p lysn in ge r) e r m e re e lle r
m in d re d e sa m m e :

Sa m tykke

Ske r som le d i op fyld e lse a f a fta le

In te re sse a fve jn in g (d e t offe n tlige ?)
6
Væsentlige ændringer

Væsentligste ændringer:

Øge d e d o ku m e n ta tio n skra v

Priva cy Im p a ct Asse ssm e n t (ko n se kve n sa n a lyse )

Da ta p ro te ctio n by d e sign /Da ta p ro te ctio n by d e fa u lt

Kra v o m u d p e gn in g a f DPO

No tifika tio n sfo rp ligte lse

Da ta b e h a n d le re n få r se lvstæ n d ige fo rp ligte lse r

Sa n ktio n e r skæ rp e s
7
Øgede dokumentationskrav

Dokumentation af datastrømme




Typ e r a f d a ta

Fo rm å l
In te rn t vs e kste rn t
Gru n d la ge t fo r ove rfø rsle r



Ko rtlæ gn in g a f d a ta flows
Da ta b e h a n d le ra fta le r
Tre d je la n d sove rfø rsle r

EU Mo d e l Cla u se s

Bin d in g Co rp o ra te Ru le s
In te rn e p ro ce d u re r

In d sigtsa n m od n in ge r, m v.
8
Privacy Impact Assessment

Privacy Im p a ct Asse ssm e n t ska l u d a rb e jd e s, h vis b e h a n d lin ge n a f p e rso n o p lysn in ge r
in vo lve re r sto re risici i re la tio n til d a ta su b je kte ts re ttigh e d e r o g frih e d e r, fx:
•
•
•
•
•

Be h a n d lin g a f o p lysn in ge r o m m e re e n d 5000 p e rso n e r å rligt
Syste m a tiske p ro file rin gsa ktivite te r
Be h a n d lin g a f fø lso m m e o p lysn in ge r
Om fa tte n d e vid e o ove rvå gn in g a f o ffe n tlige a re a le r
Be h a n d lin g a f o p lysn in ge r o m b ø rn , b io m e triske d a ta , ge n e tisk d a ta i o m fa tte n d e syste m e r
In d h o ld
•
•
•
Be skrive lse a f b e h a n d lin gsa ktivite te rn e
Risici i re la tio n til d a ta su b je kte t
Be skrive lse a f sikke rh e d sfora n sta ltn in ge r
9
Data protection by design/by default

Krav til implementering af passende tekniske og organisatoriske foranstaltninger og
p ro ce d u re r til sikrin g a f, a t fo ro rd n in ge n ove rh o ld e s

Syste m e r ska l u n d e rstø tte b e skytte lse a f p riva tlive ts fre d
•
fx a t o p lysn in ge r ikke b e h a n d le s til a n d re fo rm å l e lle r læ n ge re e n d n ø d ve n d igt
•
Fx a t o p lysn in ge r ikke e r tilgæ n ge lige fo r e t u b e græ n se t a n ta l p e rso n e r
10
Data Protection Officer
•
Der skal udpeges en DPO:

i virkso m h e d e r/o rga n isa tio n e r m e d m e re e n d 250 a n sa tte ELLER

h vis d e r b e h a n d le s o p lysn in ge r o m m e re e n d 5000 d a ta su b je kte r i e n sa m m e n h æ n ge n d e p e rio d e
p å 12 m å n e d e r
•
Kra v til DPO’e n

DPO’e n ska l væ re e n u a fh æ n gig p e rso n , d e r ra p p o rte re r d ire kte til le d e lse n h o s d e n
d a ta a n sva rlige e lle r d a ta b e h a n d le re n

DPO’e n ska l h a ve e ksp e rtise p å om rå d e t for d a ta b e skytte lse slovgivn in g o g –p ra ksis

DPO’e n ska l u d p e ge s for e n p e riod e p å m in d st to å r
11
Notifikationspligt

Til Datatilsynet:
•
”with o u t u n d u e d e la y” o g so m u d ga n gsp u n kt in d e n fo r 24/72 tim e r
•
•
•
•

Hva d e r d e r ske t, ka te go rie r o g a n ta l
An b e fa le d e fo ra n sta ltn in ge r til a fh jæ lp n in g ska d e virkn in ge r
Be skrive lse a f ko n se kve n se r a f b ru d d e t
Be skrive lse a f fo re slå e d e e lle r ivæ rksa tte fo ra n sta ltn in ge r ifm . b ru d d e t
Til d a ta su b je kte t:

”with o u t u n d u e d e la y” e fte r m e d d e le lse n til d a ta tilsyn e t, h vis risiko fo r a t
sikke rh e d sb ru d d e t vil p å virke b e skytte lse n a f d a ta su b je kte ts p e rso n o p lysn in ge r,
e lle r re ttigh e d e r/frih e d e r b e røve s
12
Databehandler
Databehandleren pålægges selvstændige fo rp ligte lse r, h e ru n d e r:

Do ku m e n ta tio n fo r e n h ve r b e h a n d lin g a f p e rso n o p lysn in ge r i virkso m h e d e n (d a ta strø m sa n a lyse )

In te rn o g e kste rn p e rso n d a ta p o litik

DPO

In d re tn in g a f syste m e r o g te kn iske h jæ lp e m id le r sa m t ko n tro l h e ra f (a u d its)

Bru g a f u n d e rd a ta b e h a n d le re


Da ta b e h a n d le ra fta le

Proce d u re , d e r sikre r a t e j u n d e rd a ta b e h a n d le re u d e n d e n d a ta a n sva rlige s in stru ks
Pro ce s fo r h å n d te rin g a f u n d e rre tn in g a f d e d a ta a n sva rlige i fo rb in d e lse m e d sikke rh e d sb ru d
13
Sanktioner
Bøde op til 2% (5%) af den globale omsætning eller op til 1 mio. EUR
Over t r ædelsest ype:
•
•
•
•
•
•
•
•
•
•
•
Bøden iveau :
In ge n fa stlæ gge lse a f ord n in ge r for
re gistre re d e s a n m o d n in ge r
Ej re ttid ig b e sva re lse h e ra f
Op til 0,5% a f d e n å rlige glo b a le o m sæ tn in g/
250.000 EUR
Ikke give r re leva n te op lysn in ge r ve d
in d sigtsa n m od n in g
Ikke sle tte r op lysn in ge r
Ma n gle n d e a jou rfø rin g a f d oku m e n ta tion
Op til 1% a f d e n å rlige glob a le om sæ tn in g/
500.000 EUR
Be h a n d le r op lysn in ge r u d e n h je m m e l
Ikke re sp e kte re r e n in d sige lse
Ikke va rsle r tilsyn e t om b ru d p å
sikke rh e d e n
Ikke ge n n e m føre r kon se kve n sa n a lyse r
Ikke u d p e ge r e n DPO
Ove rføre r op lysn in ge r til tre d je la n d e u d e n
h je m m e l
Op til 2% a f d e n å rlige glob a le om sæ tn in g/ 1
m io. EUR
Hvordan bør man forberede sig?

Ove rb lik ove r d a ta strø m m e i virkso m h e d e n /o rga n isa tio n e n (vigtigt!)

Ove rb lik ove r d a ta b e h a n d le ra fta le r

Ove rve je lse r o m krin g u d p e gn in g a f DPO

Mu ligh e d fo r a t a fp røve ko m m e n d e kra v, fx Priva cy Im p a ct Asse ssm e n t

Le d e lse sfo ra n krin g!

Pe rso n d a ta re tlig Pre -a u d it /Co m p lia n ce Pro je kt
15
Kontakt
Marie Albæk Jacobsen
Advokat · Aarhus
Intellectual Property & Technology
T
M
E
København
Danm ark
+45 72 27 33 49
+45 25 26 33 49
m [email protected]
Aar hus
Danm ark
Shanghai
Kina
T +45 72 27 00 00
www.bechbruun.com