FRA PERSONDATALOV TIL PERSONDATAFORORDNING

Transkript

1 1

2 2 FRA PERSONDATALOV TIL PERSONDATAFORORDNING KORT OG GODT: Indtil nu? Beskedent fokus på persondatalovgivning Næsten ingen håndhævelse, ligegyldigt bødeniveau Primært fokus på informationssikkerhed Hvad gør vi nu? Etablerer et compliance-projekt og sørger for styring, fremdrift og vedligeholdelse Alle dele af organisation skal inddrages Tænker på snitflader til IT-sikkerhed f.eks. ISO Ændringen? EU-forordning om generel databeskyttelse gældende fra 25. maj 2018 Beskyttelse af den registreredes rettigheder og styrkelse af udveksling af data (handel) Bødeniveauet går op til millioner euro eller op til 2-4 % af virksomhedens globale årlige omsætning, afhængig af overskridelsen og afhængig af hvilket beløb der er det højeste

3 3 FUNDAMENTET I VIRKSOMHEDEN Ydelserne bygger på et helhedskoncept med elementer fra: PersondataSupport leverer målrettet support til danske virksomheder, så kravene i EU s Persondataforordning bliver opfyldt. DET JURIDISKE DE STYRENDE PROCEDURER PersondataSupport fungerer som virksomhedens databeskyttelsesrådgivere (DPO) og kontrolorgan (auditorer), der strategisk og specielt på det praktiske niveau skaber et sikkert og løbende grundlag for overholdelse af EU s Persondataforordning. DATA- OG IT- SIKKERHED Med andre ord en samarbejdspartner, der praktisk: medvirker til at kravene i EU s Persondataforordning opfyldes styrer implementeringsprocessen frigør virksomhedens ressourcer fra den tunge del af arbejdet skaber overblik og struktur over persondatahåndteringen øger effektiviteten med strømlinede persondata- og sikkerhedsprocesser DE MENNESKELIGE ASPEKTER

4 4 PRINCIPPER FOR GOD DATABEHANDLING Lovlig, rimelig og gennemsigtig behandling af persondata Formålsbegrænsning formålet skal være udtrykkeligt angivet og legitimt Dataminimering være tilstrækkelige, relevante og begrænset til det nødvendige Rigtighed personoplysninger skal være korrekte og ajourførte Opbevaringsbegrænsning - personoplysninger må kun opbeva-res så længe, det er nødvendigt Integritet og fortrolighed i datahåndteringen Ansvarlighed den dataansvarlige er ansvarlig for behandlingen af data Det vil sige, at alle er forpligtet til at dokumentere sine databehandlinger

5 5 Flybe Limited Den 15. august 2016 sendte Flybe uopfordrede s til individuelle abonnenter, for at spørge om lov til at sende s Man kan ikke sende en mail og bede om samtykke til at sende reklam s, da den første mail i sig selv er en reklam , som man ikke har fået samtykke til at sende. Som den der har igangsat udsendingen af s er det Flybe Limited der har ansvaret for at der foreligger korrekt samtykke. Flybe var bevidste om at de sendte til nogen der ikke havde givet samtykke og de var ikke i stand til at dokumentere samtykke Kommissæren tildelte dem en bøde på

6 6 Honda Motor Ltd Honda sendte mail ud til en gruppe kunder hvor de ikke havde nogen oplysninger omkring deres mailpreferencer. Honda forklarer at disse mails blev sendt ud for at sikre at de ikke bevarer data på personer der ikke længere ønsker at være i deres kartotek. Og at dem der valgte ikke at reagere på mailen blev slettet fra databasen. Honda var ikke i stand til at bevise at de havde samtykke til at sende s ud til de pågældende kunder. Dette skyldtes at der var en fejl i deres database, således at det ikke var obligatorisk at udfylde feltet omkring samtykke til direkte marketing. Som med Flybe er Honda ansvarlige fordi det er dem der har igangsat udsendelsen af disse s. De bør sikre sig korrekt samtykke før de sætter sådan en kampagne i gang. Kommissæren tildelte dem en bøde på

7 7 MARKEDSFØRINGSLOVEN vs. GDPR 10. En erhvervsdrivende må ikke rette henvendelse til nogen ved brug af elektronisk post, et automatisk opkaldssystem eller telefax med henblik på direkte markedsføring, medmindre den pågældende har givet sit forudgående samtykke hertil. Den erhvervsdrivende skal give mulighed for let og gebyrfrit at tilbagekalde samtykket. Stk. 2: En erhvervsdrivende, der fra en kunde har modtaget dennes elektroniske adresse i forbindelse med salg af produkter, kan uanset stk. 1 markedsføre egne tilsvarende produkter til kunden via elektronisk post. Det forudsætter dog, at den erhvervsdrivende giver kunden klar og utvetydig mulighed for let og gebyrfrit at frabede sig dette både i forbindelse med afgivelsen af adressen til den erhvervsdrivende og ved hver efterfølgende henvendelse.

8 - HVAD SER VI TYPISK HOS KUNDERNE: Mange gemmesteder Fælles drev Eget drev I systemet I mappe på reol på eget kontor Ingen sletterutiner Ingen sikkerhed i form af lås på skab, arkiv mm Hvis der er lås, ved alle hvor nøglen er Manglende politikker og procedurer for arbejdsbeskrivelser Låser ikke skærm når man forlader computeren Adgangsforhold til serverrum IT-sikkerhed generelt Manglende risikovurdering 8

9 GDPR-Portal 9 GDPR - Portal

10 10 KONTAKT Partner Per Løkken Tlf.: PersondataSupport Strandkærvej 30, 1. sal 8700 Horsens Partner Lene Lundquist Tlf.: PersondataSupport co/gtv-gruppen Meterbuen Skovlunde