Nu begynder EU's datarevolution: Her er de vigtigste nedslag

EU’s databeskyttelsesforordning, GDPR, der afløser den danske persondatalov, udstyrer borgerne med rettigheder, som er tilpasset den digitale økonomi. Mange er velkendte, men med den nye lov er de blevet styrket, skærpet eller tydeliggjort. Fra 25. maj skal myndigheder og virksomheder, som håndterer borgeres og kunders data, være opmærksomme på følgende:

Borgere og kunder får nu:

• Ret til at modtage oplysning om behandling af egne personlige data (oplysningspligten)
• Ret til indsigt i egne personoplysninger
• Ret til at få urigtige personoplysninger berigtiget
• Ret til at få egne personoplysninger slettet (retten til at blive glemt)
• Ret til indsigelse imod, at egne personoplysninger anvendes til markedsføring
• Ret til indsigelse mod automatiske individuelle afgørelser, herunder profilering
• Ret til at beskytte egne personoplysninger (dataportabilitet) fra ét socialt medie til et andet.

Her er en oversigt over ændringer og nyskabelser i GDPR:

Ændringer

• Kategorier af persondata: Forordningen præciserer, at lokaliseringsdata (metadata), genetiske data, biometriske data og IP-adresser er personoplysninger.
• Udvidet territorialt anvendelsesområde: Forordningen gælder for alle virksomheder, der "effektivt og faktisk" udøver aktiviteter i EU. Uanset om det for eksempel er en filial eller et datterselskab.
• De registreredes rettigheder: Forordningen styrker blandt andet indsigtsretten og indfører nye regler om dataportabilitet og en udvidet ret til sletning ("retten til at blive glemt").
• Skærpede regler om samtykke: Forordningen skærper kravene til samtykke. Det er nu, virksomheden eller myndigheden (den dataansvarlige), der har bevisbyrden for, at samtykke er indhentet.

Store ændringer

• Dokumentationskrav: Forordningen indebærer, at den dataansvarlige skal udvise ansvarlighed samt gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre og være i stand til at påvise, at behandling er i overensstemmelse med forordningen. Forordningen pålægger derudover virksomheder med over 250 ansatte og myndigheder at føre fortegnelser over behandlingsaktiviteter under deres ansvar.

Nyskabelser

• "Privacy by design" og "privacy by default": Den dataansvarlige gennemfører passende tekniske og organisatoriske foranstaltninger med henblik på gennem standardindstillinger at sikre, at kun nødvendige personoplysninger behandles, og at der kun sker nødvendig indsamling og opbevaring i forhold til behandlingsformålet (mængde, omfang og periode).
• Krav til databehandlere: Databehandlere pålægges et egentligt selvstændigt ansvar. Databehandlere er de virksomheder eller myndigheder, der behandler personoplysninger på en andens vegne.
• Notifikationspligt ved sikkerhedsbrud: I tilfælde af brud på persondatasikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring eller ubeføjet adgang til personoplysninger, skal tilsynsmyndigheden informeres inden for 72 timer.
• Konsekvensanalyse: Efter forordningen skal der foretages en konsekvensanalyse, hvis behandlingen, navnlig ved brug af ny teknologi og i medfør af sin karakter, omfang, sammenhæng og formål, sandsynligvis vil indebære en høj risiko for personers rettigheder og frihedsrettigheder. I mange tilfælde vil konsekvensanalysen være en forudsætning for at vurdere det aktuelle risikoniveau.
• Databeskyttelsesrådgiver (DPO): Forordningen pålægger offentlige myndigheder og virksomheder, der behandler persondata som deres kerneaktivitet, at udpege en databeskyttelsesrådgiver (DPO). DPO'en skal involveres i alle spørgsmål om beskyttelse af personoplysninger.
• Overførsel til tredjelande: På baggrund af godkendte adfærdskodekser og certificeringer giver forordningen nye muligheder for overførsel af personoplysninger til tredjelande.
• Bøder: Overtrædelser af forordningen kan sanktioneres med bøder på et væsentligt højere niveau end hidtil. Bødeniveauet er fastsat op til 10 millioner euro eller op til 2 procent af virksomhedens globale årlige omsætning, afhængigt af overtrædelsens art. Når det drejer sig om overholdelse af behandlingsprincipperne og datasubjektets datarettigheder, kan der pålægges op til 20 millioner euro eller 4 procent af global årlig omsætning. I Danmark kan offentlige myndigheder kun pålægges bøder på op til 4 procent af deres driftsbevilling, dog med en øvre grænse på 16 millioner DKK.

Kilde: Folketinget