GDPR og persondataforordningen - de regler din virksomhed skal følge

GDPR står for General Data Protection Regulation. På dansk hedder den databeskyttelsesforordningen, men mange bruger stadig ordet persondataforordningen. Den er en EU-forordning (forordning 2016/679), og den har været anvendt siden 25. maj 2018 og gælder umiddelbart i alle medlemslande (artikel 99, stk. 2). Den skal altså ikke først skrives om til dansk lov for at virke.

Ved siden af forordningen står databeskyttelsesloven. Den supplerer forordningen med danske regler (databeskyttelsesloven § 1, stk. 1), fx om personnumre, om behandling i ansættelsesforhold og om straf. Søger du efter persondataloven, er det i dag de to regelsæt tilsammen, du skal kigge i. Begge gælder for behandling, der helt eller delvis sker digitalt, og for papirer, der ligger i et ordnet register (§ 1, stk. 2).

Reglerne handler om personoplysninger, og begrebet er bredt. Det dækker enhver oplysning om en person, der kan identificeres direkte eller indirekte, fx via et navn, et kundenummer eller en onlineidentifikator (artikel 4, nr. 1). Behandling dækker stort set alt, I kan gøre med oplysningerne, fra indsamling og opbevaring til søgning, videregivelse og sletning (artikel 4, nr. 2). Et regneark med kunder, en mappe med jobansøgninger og et mailarkiv er derfor alle omfattet.

Virksomheden er dataansvarlig, når den selv bestemmer formålet med behandlingen, og en leverandør, der behandler oplysningerne på jeres vegne, er databehandler, hvilket kræver en databehandleraftale (artikel 4, nr. 7 og 8).

Forordningens grundregler står i artikel 5. Oplysningerne skal behandles lovligt, rimeligt og gennemsigtigt. De må kun indsamles til bestemte formål, og der må ikke samles mere ind, end formålet kræver. De skal være korrekte, de må ikke gemmes længere end nødvendigt, og de skal være beskyttet mod tab og misbrug (artikel 5, stk. 1, litra a-f). Oveni kommer ansvarligheden. Virksomheden skal kunne påvise, at principperne bliver overholdt (artikel 5, stk. 2), og det er grunden til, at så meget i GDPR handler om dokumentation.

Dernæst skal hver behandling have et lovligt grundlag. Artikel 6, stk. 1 giver seks muligheder, og mindst én af dem skal passe. Tabellen viser, hvordan de typisk ser ud i en almindelig privat virksomhed.

Samtykke er altså ikke en forudsætning for at behandle oplysninger, og det er ofte det svageste grundlag, fordi det kan trækkes tilbage når som helst (artikel 7, stk. 3), og fordi frivilligheden er tvivlsom, når den, der spørger, også er arbejdsgiver. Bygger I en behandling på samtykke, gælder kravene til et gyldigt samtykke. For ansatte giver databeskyttelsesloven § 12 et særskilt grundlag, når behandlingen er nødvendig for at overholde arbejdsretlige pligter eller rettigheder efter anden lovgivning eller en overenskomst. Helbredsoplysninger, fagforeningsforhold og andre følsomme oplysninger er som udgangspunkt forbudt at behandle og kræver en af undtagelserne i artikel 9, stk. 2.

En fortegnelse er virksomhedens skriftlige overblik over, hvilke personoplysninger den behandler, og hvorfor. Den skal foreligge skriftligt, og elektronisk er nok (artikel 30, stk. 3). Beder Datatilsynet om at se den, skal I kunne udlevere den (artikel 30, stk. 4). Fortegnelsen er samtidig det bedste udgangspunkt for alt andet arbejde med GDPR, fordi den tvinger jer til at finde ud af, hvor oplysningerne faktisk ligger.

For den dataansvarlige skal fortegnelsen mindst rumme syv ting (artikel 30, stk. 1, litra a-g).

• Navn og kontaktoplysninger på virksomheden og, hvis I har en, på databeskyttelsesrådgiveren.
• Formålet med hver behandling, fx løn, kundeservice eller markedsføring.
• Hvilke grupper af personer og hvilke typer oplysninger det drejer sig om.
• Hvem oplysningerne gives videre til, også modtagere uden for EU.
• Overførsler til lande uden for EU, hvis der er nogen.
• Hvornår oplysningerne slettes, hvis det er muligt at angive.
• En kort beskrivelse af sikkerheden, hvis det er muligt.

En databehandler skal føre sin egen, kortere fortegnelse over det, den gør for sine kunder (artikel 30, stk. 2).

Der er en undtagelse for virksomheder med under 250 ansatte, men den er snævrere, end mange tror. Den gælder ikke, hvis behandlingen sandsynligvis giver en risiko for personerne, hvis behandlingen ikke kun sker lejlighedsvis, eller hvis den omfatter følsomme oplysninger eller oplysninger om straffedomme (artikel 30, stk. 5). Har I ansatte, kører lønnen hver måned, og det er svært at kalde lejlighedsvis. Derfor ender de fleste små virksomheder med en pligt til at føre fortegnelse, i hvert fald over de faste behandlinger.

Personer har krav på at vide, hvad der sker med deres oplysninger. Pligten til at fortælle det ligger hos virksomheden, og den gælder både over for kunder, ansatte, jobansøgere og leverandørernes kontaktpersoner. Hvornår I skal give oplysningerne, afhænger af, hvor I har dem fra.

Får I oplysningerne direkte fra personen, fx via en bestillingsformular eller en ansættelseskontrakt, skal I give besked samtidig med indsamlingen (artikel 13, stk. 1). Har I dem fra en anden, fx en samarbejdspartner eller et offentligt register, skal I give besked inden for en rimelig frist og senest efter en måned. Bruger I oplysningerne til at kontakte personen, er fristen senest ved første kontakt, og giver I dem videre, senest første gang det sker (artikel 14, stk. 3).

Indholdet er stort set det samme i de to situationer. Personen skal have at vide, hvem I er, hvad oplysningerne bruges til og på hvilket grundlag, hvem de deles med, hvor længe de gemmes, og hvilke rettigheder personen har, herunder retten til at klage til Datatilsynet (artikel 13, stk. 1 og 2). Bygger I på en legitim interesse, skal I også sige, hvilken interesse det er. Har I fået oplysningerne fra en anden, skal I desuden oplyse, hvilke typer oplysninger det drejer sig om (artikel 14, stk. 1, litra d).

Pligten falder bort, i det omfang personen allerede kender oplysningerne (artikel 13, stk. 4). Den undtagelse dækker sjældent det hele, så en kort, skriftlig tekst ved indsamlingen er i praksis den sikre løsning. For ansatte kan den stå i personalehåndbogen eller som bilag til kontrakten.

GDPR kræver, at sikkerheden passer til risikoen. Både den dataansvarlige og databehandleren skal gennemføre passende tekniske og organisatoriske foranstaltninger, og forordningen nævner selv kryptering og pseudonymisering, evnen til at holde systemerne fortrolige og stabile, evnen til at genskabe data efter et nedbrud og en fast procedure for at teste, om sikkerheden virker (artikel 32, stk. 1, litra a-d). Ved vurderingen skal I især se på risikoen for, at oplysninger går tabt, bliver ændret eller kommer i de forkerte hænder (artikel 32, stk. 2).

Sikkerhed er også et spørgsmål om mennesker. Den, der arbejder for virksomheden og har adgang til personoplysninger, må kun behandle dem efter virksomhedens instruks (artikel 32, stk. 4). Det betyder i praksis klare regler for, hvem der må se hvad, og at adgangen lukkes, når en medarbejder stopper.

Det afgørende er, at I kan vise, hvad I har besluttet, og hvorfor. En kort politik, der beskriver adgangskoder, kryptering af bærbare, backup og hvad medarbejderne skal gøre ved et tab, er mere værd end et langt dokument, ingen kender. Foranstaltningerne skal om nødvendigt revideres og ajourføres (artikel 24, stk. 1), så sæt en dato i kalenderen for næste gennemgang.

Et brud på persondatasikkerheden er ethvert sikkerhedsbrud, der fører til, at personoplysninger bliver ødelagt, går tabt, bliver ændret eller kommer ud til nogen, der ikke må se dem, hvad enten det sker ved et uheld eller med vilje (artikel 4, nr. 12). En mail til den forkerte modtager, en stjålet telefon og et hackerangreb kan alle være databrud.

Om bruddet skal anmeldes, og om de berørte skal have besked, afhænger af risikoen. Tabellen viser de typiske situationer.

Anmeldelsen skal beskrive bruddet, de sandsynlige konsekvenser og det, I har gjort eller vil gøre ved det, og den skal angive en kontaktperson (artikel 33, stk. 3). Kender I ikke alle svar endnu, må oplysningerne gives i flere omgange (artikel 33, stk. 4), så vent ikke med at anmelde, til alt er opklaret. Uanset om bruddet anmeldes eller ej, skal det dokumenteres internt med fakta, virkninger og hvad I gjorde (artikel 33, stk. 5). Er der tale om en høj risiko, som kun kan meldes ud med en uforholdsmæssig indsats, kan en offentlig meddelelse træde i stedet for en besked til hver enkelt (artikel 34, stk. 3, litra c).

Forordningen fastsætter to bøderammer. Brud på de dataansvarliges pligter, fx om sikkerhed, fortegnelse og databrud, kan give op til 10 mio. euro eller 2 pct. af den samlede globale årsomsætning, hvis det er højere (artikel 83, stk. 4). Brud på grundprincipperne, betingelserne for samtykke, personernes rettigheder og reglerne om overførsel til lande uden for EU kan give op til 20 mio. euro eller 4 pct. af den samlede globale årsomsætning, hvis det er højere (artikel 83, stk. 5).

Rammerne er lofter, ikke takster. Bøden skal i hver sag stå i rimeligt forhold til overtrædelsen og samtidig virke afskrækkende (artikel 83, stk. 9), og der lægges vægt på bl.a. overtrædelsens karakter, varighed, og hvad virksomheden har gjort for at begrænse skaden (artikel 83, stk. 2).

I Danmark findes der ikke administrative bøder af den slags, forordningen forudsætter. Derfor gælder artikel 83, stk. 9. Datatilsynet tager skridt til bøden, og det er domstolene, der pålægger den. Hjemlen til straffen står i databeskyttelsesloven § 41, stk. 1, hvor overtrædelser af bl.a. forordningens artikel 5-7, 12-22 og 25-39 straffes med bøde eller fængsel indtil 6 måneder, medmindre højere straf er forskyldt efter anden lovgivning.

Der er én vej uden om retssagen. Vurderes overtrædelsen ikke at føre til højere straf end bøde, kan Datatilsynet udstede et bødeforelæg (databeskyttelsesloven § 42, stk. 1). Det forudsætter, at virksomheden erklærer sig skyldig og betaler inden fristen. Vedtages bøden, bortfalder videre forfølgning (§ 42, stk. 3). Siger virksomheden nej, går sagen til retten.

Compliance betyder, at I overholder reglerne og kan vise det. Listen er en arbejdsrækkefølge, ikke et facit, og hvert punkt kan tage fra en time til flere dage, afhængigt af hvor mange systemer og leverandører I har.

• Lav et overblik over, hvilke personoplysninger I har, hvor de ligger, og hvem der har adgang.
• Find grundlaget i artikel 6, stk. 1 for hver behandling, og skriv det ned i fortegnelsen.
• Sæt slettefrister for hver type oplysning, og slet det, I ikke længere har brug for.
• Skriv en kort tekst til kunder og en til ansatte, der opfylder oplysningspligten.
• Gennemgå leverandørerne, fx lønsystem, mailudbyder og regnskabsprogram, og find ud af, hvem der er databehandler.
• Vurder, om virksomheden skal have en databeskyttelsesrådgiver (DPO). Det er kun påkrævet i bestemte tilfælde.
• Vurder, om en ny behandling sandsynligvis giver høj risiko, så der skal laves en konsekvensanalyse (DPIA) før start.
• Krypter bærbare og telefoner, brug tofaktorlogin, og tag backup, som I har prøvet at genskabe.
• Lav en procedure for databrud med navn på den, der vurderer og anmelder, og før en log.
• Sæt en fast årlig dato for at gennemgå fortegnelse, politik og leverandører igen.

Har I en samarbejdspartner, som I deler kundeoplysninger med, så afklar også, hvem der er ansvarlig for hvad. Det hører til i en samarbejdsaftale, og de øvrige juridiske spørgsmål i driften af en virksomhed er samlet under erhvervsjura.

Viggo driver en webshop med havemøbler og har fire ansatte. En fredag eftermiddag glemmer en af dem sin arbejdscomputer i toget. På computeren ligger et regneark med navne, adresser, telefonnumre og købshistorik for omkring tre tusinde kunder, blandt dem Elna, der har købt et udendørs bord. Medarbejderen opdager tabet lørdag morgen og ringer til Viggo.

Viggos computer viser sig at være ukrypteret, men regnearket indeholder hverken betalingskort eller koder. Han anmelder bruddet søndag med de oplysninger, han har, og supplerer mandag, da han ved, hvor mange kunder der er berørt. Bagefter får alle bærbare kryptering, og kundelisten flyttes ind i webshopsystemet, så den ikke længere ligger som en fil på den enkeltes computer. Havde krypteringen været på plads fra start, var sagen endt som en linje i loggen.