Databeskyttelsesforordningen. - for Hvide Kitler

Transkript

1 Databeskyttelsesforordningen - for Hvide Kitler

2 Praktik Toiletter i hver ende af gangen Sandwitch omkring 18:30 Spørg ndervejs Ved dgang efter mødet benyttes dørerne i gavlen af bygningen

3 Formål At give deltagerne en generel forståelse for databeskyttelsesforordningen (persondataforordningen) At give deltagerne inspiration til overholdelse af forordningen nder arbejdet på egne klinikker. IKKE jridisk rådgivning

4 Om os Ken Kürstein Ejer af DentalConslt ApS Virksomhedskonslent Klinikmægler Kapitalcoach Krssarrangør/indlægsholder Kenneth Steen Hansen Ejer af KSH Conslting ApS Proces, compliance og ledelseskonslent Partner i DentalDriver ApS Indehaver af GDPRDriver Arbejdet med persondataforordningen i 2 år.

5 Agenda 17:00 17:15 Præsentation og formål med mødet 17:15 17:45 Hvorfor en ny persondataforordning 17:45 18:30 Begreber 18:30 18:45 Pase 18:45 19:15 Principperne 19:15 19:30 Betydning for den registrerede 19:30 19:45 Betydning for klinikken 19:45 20:00 Hvordan kommer vi videre

6 Hvorfor persondataforordning Formål med forordningen: Sikring af individets grndlæggende frihedsrettigheder Lovgivning der modsvarer dagens og fremtidens teknologier (nværende er fra 1995) Lovgivning der modsvarer den grænseoverskridende databehandling Harmonisering Men: Sammenhæng med anden lovgivning, f.eks.: Bekendtgørelse om atoriserede sndhedspersoners patientjornaler Sndhedsloven Øget overvågning fra mange sider

7 Øget overvågning fra mange sider, heriblandt: Google Dit fjernsyn Facebook Compterens styresystem

8 Helt gratis fra Google

9 Hvad besøger d?

10 Google

11 Må arbejdsgiveren registrere de ansattes færden ved brg af GPS? Efter Datatilsynets opfattelse vil en registrering af de ansattes færden ved brg af GPS som dgangspnkt indebære en elektronisk behandling af personoplysninger. Arbejdsgiveren skal derfor overholde persondataloven, såfremt denne ønsker at registrere medarbejdernes færden ved brg af GPS. Det betyder bl.a., at arbejdsgiveren skal overveje, hvorvidt registreringen lever op til persondatalovens krav om proportionalitet, og hvorvidt arbejdsgiveren har et grndlag i persondataloven for at registrere de pågældende oplysninger.

12 Google

13 Facebook Data d selv har oplyst Data fra telefonbogen Telefonnmmer, mail-adresse, privatadresser, arbejdsplads, titel, fødselsdag, billeder links til profiler på andre sociale netværk Data fra andres telefonbøger Skyggeprofiler

14 Centrale begreber omkring persondata: Databehandling Persondata Den dataansvarlige Databehandler Den registrerede Databeskyttelsesrådgiver (DPO) Samtykke

15 Begrebet: Databehandling Indsamling Opbevaring Videregivelse Behandling, analyser, systematisering, samkørsel, anden anvendelse,(etc.)

16 Begrebet: Persondata Enhver information om en identificeret eller identificerbar fysisk person. (direkte eller indirekte identificerbar) Dansk dvidelse: Gælder også afdøde personer i 10 år. To typer af persondata: Almindelige personoplysninger Følsomme personoplysninger

17 Begrebet: Personoplysninger Følsomme oplysninger Almindelige oplysninger Race, etnicitet Navn, adresse, arbejdstelefon Politisk, religiøs og filosofisk overbevisning Fødselsdato Sekselle forhold / orientering Bil, bolig Helbredsoplysninger Økonomi, skat, gæld, familieforhold Genetiske oplysninger Private forhold Biometriske data med henblik på entydig identifikation DK: CPR-nmmer Væsentlige sociale problemer Samtykke eller anden legitimitet Kræver specifikt samtykke

18 Begreb: Dataansvarlig og databehandler Dataansvarlig Fysisk eller jridisk person,., der alene eller sammen med andre afgør, til hvilke formål, der må foretages behandling af personoplysninger. Reelt set: Klinikken Databehandler Fysisk eller jridisk person, der behandler data på den dataansvarliges vegne. Eksempel Plandent Digifys Danløn Microsoft Google

19 Begrebet: Databeskyttelsesrådgiver Opgaver Ansvarlig for at virksomheden overholder reglerne Intern rådgivning om persondatabehandling Kontaktpnkt for datatilsynet Kontaktpnkt for den registrerede Intern træning Hvornår Hvem? Hvis virksomhedens kerneaktiviteter fordsætter behandling af følsomme persondata i væsentligt omfang. Uafhængig samt visse kompetencekrav

20 Begrebet: Samtykke Let tilgængelig og forståelig Fair og frivilligt Adskilt fra andet Kan til enhver tid trækkes tilbage Information om at det kan trækkes tilbage inden det afgives. Børn kræver værges samtykke Børn: EU: Indtil 16 år DK: indtil 13 år

21 Pase

22 Principperne i forordningen Lovlighed, retfærdighed og gennemsigtighed Formålsbegrænsning Data-minimering Rigtighed Opbevaringsbegrænsning Integritet og fortrolighed Ansvarlighed

23 Lovlighed, retfærdighed og gennemsigtighed Lovgrndlag, f.eks. bekendtgørelsen om jornalføring Samtykke Opfyldelse af kontrakt Nødvendig aht registreredes vitale interesser Dataansvarliges legitime interesser - Interesseafvejning Let tilgængelig information om behandling Hvem der er ansvarlig Formålet

24 Formålsbegrænsning Ikke behandle data den et specifikt formål Den dataansvarlige skal selv begrnde hvorfor indsamling og behandlingen er nødvendig. Formålet skal være legitimt

25 Dataminimering Behandling og opbevaring skal begrænses i forhold til formålet. DVS: Ikke indsamle flere data end nødvendigt. Alle data der registreres/opbevares i systemer og comptere skal knne begrndes.

26 Rigtighed Oplysninger skal være korrekte og ajorførte. Urigtige oplysninger skal slettes eller rettes.

27 Opbevaringsbegrænsning Data skal slettes eller anonymiseres så snart de ikke er nødvendige længere i forhold til de formål de oprindeligt blev indsamlet til eller når/hvis lovgivningen kræver dette. Bekendtgørelsen om jornalføring: Læger, tandlæger, kiropraktorer, jordemødre, kliniske diætister, kliniske tandteknikere og tandplejere skal opbevare deres patientjornaler i mindst 10 år

28 Integritet og fortrolighed Beskyttelse mod atoriseret eller lovlig behandling. Sikring at data ikke går tabt eller bliver beskadiget. -> Hvorledes er vores IT-sikkerhed?

29 Ansvarlighed Den dataansvarlige skal knne påvise at de førnævnte principper overholdes. Passende tekniske og organisatoriske foranstaltninger med henblik på at sikre og påvise at behandlingen er i overensstemmelse med forordningen.

30 Betydning for Den registrerede : Indsigt i data Begrænsning i profilering Retten til at blive glemt Ret til at gøre indsigelser mod data Dataportabilitet Begrænsninger i behandling

31 Betydning for klinikken: Øgede krav til dokmentation Orientering af patienterne Den dataansvarlige (klinikken) Formål Jridiske grndlag Samtykke Bekendtgørelse om jornalføring Måske engagere en DPO? Måske stramme op på IT-sikkerheden Måske stramme op på procedrer

32 Hvordan kommer vi videre: Trin 1 Etablering af overblik over, hvilke persondata vi har på klinkken Hvorfor (formål) Slettepolitik Grndlag (lovhjemmel, samtykke?) Hvor (hvilke systemer, hos hvem..?) Sikring af, at der er styr på samtykke Oprydning i data, der ikke er behov for længere Indhent databehandleraftaler

33 Hvordan kommer vi videre: Trin 2 Fortegnelse over databehandlinger Sikkerhedsvrdering Netværk Mails Procedrer Adgangsforhold Fysisk placering af data Har vi behov for en DPO?

34 Hvordan kommer vi videre: Trin 3 Beskriv processer Håndtering af databrd Håndtering af forespørgsler om indsigt Tildeling af adgang / brgeradministration Indhentning af data fra den registrerede Sletning af data Udlevering af data

35 Hvide Kitler & KSH Conslting tilbyder Heldags krss -skemalagt til janar 2018 Workshop på klinikken Intro til persondata for klinikkens personale Indsamling af oplysninger Udarbejdelse af mappe med dokmentation Udarbejdelse af handlingsplan Afslttende implementeringsmøde med klinikkens personale

36 Kontaktoplysninger Ken Krstein Mail: Telefon: Kenneth Steen Hansen Mail: Telefon: