Marts 2017 Advokat Pernille Nyholm Gaarskjær, Bech-Bruun

Transkript

1 Persondataforordningen i praksis Marts 2017 Advokat Pernille Nyholm Gaarskjær, Bech-Bruun

2 2 Bech-Bruun, vores persondatateam og erfaringer Vi har et af Danmarks største og stærkeste persondatateam! Vores team har mangeårig solid erfaring med persondata i både praksis og teori fra job som advokater, virksomhedsjurister, Global DPO, Datatilsynet og forskere på universiteter. Hvorfor bruge et full service advokatfirma? Compliance med persondataregler er ikke en isoleret øvelse. Der er ofte tæt samspil med retsregler på andre områder. Fx på HR, markedsføring, IT, bank og finans, sundhed og offentligt ret. Vi er det største advokathus i Danmark og har ekspertise og kapacitet Medarbejdere Det største advokatkontor i Danmark* *Ifølge tal fra september

3 3 Referencer Vi rådgiver hver dag mange organisationer i forskellige sektorer. Her er nogle af vores referencer og opgaver. BCR projekter og implementering af persondataforordningen: Implementering af persondataforordningen og øvrige complianceprojekter:

4 4 Agenda 1. Personoplysninger og andre centrale begreber i forordningen 2. Status på persondataforordningen og væsentligste ændringer med forordningen: 3. Persondatacompliance i praksis 4. Hvad kan I gøre allerede nu? 5. Bech Bruun complianceforslag til Jer

5 5 Hvad er personoplysninger (persondata)? Anonyme oplysninger Pseudonyme oplysninger Cpr-nr. Fødselsdato MedarbejderID Telefonnummer Køn Foto Personlighedstest Nummerplade Politisk overbevisning Religion Navn Race og etnicitet Kreditkortnummer Adresse Genetisk information? Adgangskontrol -adresse Interesser Væsentlige sociale problemer Personlige produktionstal Seksuel overbevisning Helbredsoplysninger Familiemæssige oplysninger Uddannelse (karakterer) Sexliv oplysninger Pasnr. Initialer/Loginnavn GPSoplysninger Stilling IP-adresse Fagforeningsmæssige tilhørsforhold Elektroniske spor Biometriske oplysninger Videoovervågning Straffeattest Logning i IT-systemer Filosofisk overbevisning Størrelse på tøj og sko Rejseoplysninger MAC-adresse Løn

6 6 Hvad er personoplysninger (persondata)? Anonyme oplysninger Pseudonyme oplysninger Cpr-nr. Fødselsdato MedarbejderID Telefonnummer Køn Foto Personlighedstest Nummerplade Politisk overbevisning Religion Navn Race og etnicitet Kreditkortnummer Adresse Genetisk information? Adgangskontrol -adresse Interesser Væsentlige sociale problemer Personlige produktionstal Seksuel overbevisning Helbredsoplysninger Familiemæssige oplysninger Uddannelse (karakterer) Sexliv oplysninger Pasnr. Initialer/Loginnavn GPSoplysninger Stilling IP-adresse Fagforeningsmæssige tilhørsforhold Elektroniske spor Biometriske oplysninger Videoovervågning Straffeattest Logning i IT-systemer Filosofisk overbevisning Størrelse på tøj og sko Rejseoplysninger MAC-adresse Løn

7 7 Køb af bolig en kendt proces for mange. Men hvad er aktørernes rolle persondataretligt? Realkredit 6 Overførselsgrundlag LOKAL BANK Outsourced Services India

8 8 Status på processen indtil 25. maj 2018 Hvad ligger fast? Teksten i forordningen En dansk version af forordningsteksten Den endelige vedtagelse håndhæves fra den 25. maj 2018 Udestående Hvad vælger Danmark at gøre på områder, hvor medlemsstaterne har frihedsgrader? Justitsministeriet udsender en samlet publikation i april 2017 Hvad vælger de andre medlemsstater at gøre? UK, Tyskland Hvornår begynder Kommissionen at vedtage delegerede retsakter? Hvornår begynder de relevante organer (herunder de store tilsynsmyndigheder) at komme med fortolkningsbidrag? Retningslinjer fra art. 29 gruppen for DPO, ledende tilsynsmyndighed og dataportabilitet.

9 9 Forordningen kort fortalt Særregler - regulering af særlige forhold Rettigheder - den registreredes rettighedskatalog Grundprincipper - berører alle behandlinger af persondata Behandlingsregler - knyttet til konkrete behandlinger Processer med behandling af personoplysninger

10 10 Forordningen kort fortalt 1. Væsentligste ændringer med forordningen: Accountability dokumentere overholdelse Sanktioner NotifikationspligtOplysningskategorier Data Protection Officer (DPO) Behandlingsbestemmelser Retten til at blive glemt & dataportabilitet Skærpede krav til samtykke Data Protection Impact Assessment Data protection by design/default/pseudonymisering Krav til databehandlere selvstændige krav til dokumentation mv.

11 11 Hvad giver et complianceprojekt? Overholdelse af forordningens omfattende krav Væsentlig reduceret risiko for bøder og dårlig medieomtale Dokumentation af datastrømme ofte finder man ud af, at processer kan optimeres/forenkles Øget awareness blandt ansatte om risikoen forbundet med behandling af persondata Compliance bliver et vigtigt konkurrenceparameter fremadrettet i forhold til kunder/borgere, samarbejdspartnere, investorer mv.

12 12 Compliance i praksis en projektilgang Kort fortalt, så anbefaler vi organisationer at gribe projektet an i 5 faser. Fase 1: Foranalyse 2: Planlægning 3: Analyse 4: Implementering 5: Drift og rapportering Resultat Gap-analyse og overblik over aktuelt complianceniveau Identifikation af højrisikoområder Projektplanlægning Etablering af projektorganisation Datamapping analyse, og kortlægning af databehandlere Privacy risk assessment Evt. it-sikkerhed Konsolidering i IT system Risikomitigering Sikring af behandlingsgrundlag, aftaler, samtykker, Anmeldelser og tilladelser, evt. BCR. Dokumentation Etablering af politikker og procedurer DPO - organisation. Planlægning af træningsbehov, Fx e-learning og undervisning Uddannelse af medarbejdere, Interne awareness tiltag Kommunikation. Ledelse af complianceprogram Kontrol og opfølgning Løbende rapportering/audit. Brug styringsværktøj Produkt GAP analyse Projektplan og organisering Datagrundlag og risikoprofil Formelle krav Dokumentation Træningsprogrammer Ledelse og revision = Beslutning om den fortsatte proces samt estimat på den fremadrettede investering ved næste (del)fase 12

13 13 Hvad skal I bl.a. spørge Jer selv i analysen Awareness: Har din organisation kendskab til forordningen og hvordan den vil påvirke Jer? Hvilke oplysninger behandler I: Skab overblik? Hvilke, hvorfor, hvorfra, hvortil, databehandlere, mv. Information til registrerede: Hvilken information giver I, hvad skal ændres og tilføjes? Registreredes rettigheder: Har I procedurer for at efterleve rettigheder (indsigt, sletning, osv.) Hjemmel: På hvilket retligt grundlag behandler I personoplysninger? (GDPR, lov, ) Samtykke: hvordan indhenter, opbevarer og dokumenterer I samtykke og skal det ændres Børn: Behandler I personoplysninger om børn? Særlig beskyttelse og samtykke fra forældre/værge Brud på sikkerhed: procedurer til at opdage, rapportere og undersøge brud på persondatasikkerheden Særlig risiko : særlig risiko for registrerede ved nye teknologier, datamængder, formål, sammenhæng Indbygget databeskyttelse: indtænke databeskyttelse i design og standardindstillinger Placer databeskyttelsesansvar: Selvom I ikke skal have DPO, skal organisatorisk forankring ske Aktiviteter i udlandet: kortlæg, hvor I er underlagt tilsyn og hvilke regler; også i EU

14 14 Hvilke processer gemmer persondata sig så i? Persondata indgår i mange processer Hver organisation har egne processer - der bør undersøges, kortlægges og risikovurderes. Processer understøttes af forskellige systemer, der kan indeholde persondata Human Resource Systems Customer Relation Management (CRM) Sales systems Supplier/Vendor Relation Management Systems (SRM) Enterprise Resource Management (ERM) Content Management Systems (CMS) Marketing/ targeting systems Travel Management systems, Financial reporting systems Business Intelligence systems Physical access management systems Video Surveillance systems Whistleblower system Shadow IT systems Fillng cabinets, binders Archiving processes

15 Hvad gør I nu? 15

16 16 Rådgivningspakker for at hjælpe i gang og videre og på vej Pakke 1 Afholdelse af møde med Jeres virksomhed hos os i Århus eller København, alternativt hos Jer* Forhåndsvurdering af Jeres særlige fokusområder Bistand til udarbejdelse af konkret projektplan Værktøjer til gennemførelse af foranalyse DKK * Pakke 2 Hele pakke 1 og derudover: Afholdelse af opfølgende møde i Århus eller København, alternativt hos Jer* Gennemgang af foranalyseresultater og råd til løsning Værktøjer til gennemførelse af dokumentationsopgave Udlevering af standardaftaler, beredskabsplan og udvalgte politiker 10 timers supplerende rådgivning DKK * * eks. moms. og evt. omkostninger og tid ved transport. BechBruuns alm forretningsvilkår gælder

17 17 Pactius privacy modul Systemet giver organisationer mulighed for nemt, enkelt at dokumentére og administrere sin behandling af persondata. PRIVACY MODULET Data processer Rapporter Opgaver Hjælp til at samle relevante data Gem organisationens datamapping ét sted Bevar overblikket uagtet datamængden vokser Lav rapporter på databehandlinger Få nøgletal til ledelse og risikovurderinger Print fortegnelser til datatilsyn Følg systematisk op på politikker, kontroller og behandlinger Delegér opgaver til de processansvarlige Tilrettelæg dit privacy management program Dokumentationsstyring Alle funktioner fra Pactius kontraktstyringsværktøjet Tilknyt aftaler, politiker, procedurer mv. til konkrete processer Søgning og overblik Høj datasikkerhed I PACTIUS er høj datasikkerhed en topprioritet. Systemet kører på den ISO-certificerede Microsoft Azure-platform, og alle data er sikkert opbevaret inden for EU s grænser i Microsofts datacentre i Dublin og Amsterdam. PACTIUS kan bruges af alle enten af en enkelt person, en afdeling i en virksomhed, et selskab eller en hel koncern. Du kan også tildele segmenteret adgang, så adgangen begrænses til individuelle forretningsenheder. Læs mere på pactius.dk

18 Kontakt Pernille Nyholm Gaarskjær Advokat Aarhus T M E png@bechbruun.com København Danmark Aarhus Danmark Shanghai Kina T