GDPR og REEFT A/S. REEFT A/S Sandøvej Horsens

Transkript

1 GDPR g REEFT A/S REEFT A/S Sandøvej Hrsens 1

2 GDPR g REEFT A/S GDPR - General Data Prtectin Regulatin I maj 2018 træder EU s nye frrdning m beskyttelse af persnplysninger i kraft. Det hedder General Data Prtectin Regulatin g frkrtes sm regel GDPR. Frrdningen benævnes gså Persndatafrrdningen, g det er en afløser fr persndatalven. Hs REEFT A/S har sat s ind i reglerne herm fr selv at kunne leve p til disse. Vi vil her frsøge at beskrive den g i hvilket mfang REEFT A/S sm prgram g hsting-leverandør er invlveret i jeres ansvar fr behandling af persnplysninger. Alle virksmheder har en pgave i at leve p til GDPR. GDPR stiller nye krav til jeres virksmheds indsamling g håndtering af data m EU-brgere. GDPR gælder, uanset hvr jeres virksmhed hører hjemme, hvis I håndterer data m EU-brgere. Hvad betyder GDPR så fr jeres virksmhed? Hvad skal I gøre? GDPR stiller højere krav til jeres virksmhed m beskyttelse af kundernes data, end I har været vant til tidligere. Det stiller grundlæggende 3 krav til jeres virksmhed: I skal have skarp kntrl med, hvr persnplysninger gemmes g hvr de anvendes. I skal have et sæt prcesser, der sikrer, at der skabes transparens i data, at der lgges ændringer g at der kan rapprteres på håndteringen af data. I skal have data-plitikker g -prcesser, der kan give persnerne, sm I gemmer data m, kntrl ver egne data. Persnplysninger er mdrejningspunktet i GDPR. Men hvad er persnplysninger helt præcist? Persnplysninger frstås sm enhver infrmatin m en identificeret eller identificerbar fysisk persn. Det vil sige plysninger m alt fra navn g bpæl til etnisk prindelse g seksuel rientering. Der skelnes ikke mellem persnens private, ffentlige eller arbejdsmæssige rlle, så det er ikke ngen undskyldning, at: Jamen, de er j bare kunde hs s. Persnplysninger skal beskyttes, så de ikke bliver ffentligt tilgængelige. Det er I sm virksmhed frpligtet til at sørge fr. Fr at kunne leve p til jeres ansvar skal I være bevidst m karakteren af de persnplysninger, I håndterer. GDPR skelner mellem almindelige g følsmme persnplysninger. Eksempler på almindelige persnplysninger: Navn Adresse REEFT A/S Sandøvej Hrsens 2

3 GDPR g REEFT A/S Telefnnummer Familie Fødselsdat Uddannelse, Eksamener g beskæftigelse Blig Bil Løn, Bank-infrmatiner g skat -adresse Data fra sciale medier Kulturel identitet Lkatin IP-adresse g Ckies Eksempler på følsmme persnplysninger: CPR-nummer Race Etnisk prindelse Plitisk, religiøs eller filsfisk verbevisning Fagfreningsmæssigt tilhørsfrhld Genetiske g bimetriske data Helbredsplysninger Væsentlige sciale prblemer Seksuelle frhld g seksuel rientering Sm vist, så frtlkes persnplysninger endg meget bredt. Fr at blive klar til GDPR er det vigtigt, at I afsætter den nødvendige tid til at krtlægge, hvilke persnplysninger, I behandler i dag. Persnplysninger kan være lagret mange steder, men her vil vi kncentrere s m Hvilke der findes i REEFT samt hvr de er lagret g ikke mindst hvrdan de håndteres REEFT A/S Sandøvej Hrsens 3

4 GDPR g REEFT A/S Fr at kmme frem til dette kan man spørge de næste spg. Hvilke typer persnplysninger indsamles? Hvrfra indsamles persnplysninger? Hvrdan indsamles persnplysninger? Videregives persnplysninger g i givet fald til hvem? Hvr g hvrdan gemmes (g sikre) indsamlede persnplysninger? Hvrdan bruges persnplysninger? Er der styr på, hvrdan g evt. hvrnår persnplysningerne slettes? Dataansvarlig eller -Behandler Her er det gså vigtigt at skelne, er du Dataansvarlig eller Databehandler. Men hvad er frskellen? Den dataansvarlige afgør til hvilke frmål g med hvilke hjælpemidler, der må fretages behandling af persnplysninger. Databehandleren derimd behandler persnlige plysninger på vegne af den dataansvarlige. Vi hs REEFT A/S har defineret vres rlle sm værende Databehandler, dvs. vi behandler jeres data på jeres franledning. Dette stiller krav til, at vi indgår en såkaldt databehandler aftale. Aftalen definerer hvr ansvaret fr behandlingen ligger. Den dataansvarlige er altid den ansvarshavende part i sidste ende. Man kan sammenligne det med frhldet mellem arbejdsgiveren g dennes ansatte. En arbejdsgiver står altid til regnskab fr sine medarbejderes gøren g laden gså selvm medarbejderen på egen hånd handler i strid med lven (bevidst eller ubevidst). Sådan frhlder det sig gså i samarbejdet mellem den dataansvarlige g databehandleren, når det kmmer til at verhlde reglerne fr behandling af persnplysninger. Det er vigtigt, at I går jeres aftaler igennem g eventuelt får pdateret dem, så de lever p til reglerne i GDPR. Sm dataansvarlig er I, i sidste ende hvedansvarlig fr jeres databehandlers mgang med jeres indsamlede persnplysninger. Det gælder gså, hvis fejlen er placeret hs en underdatabehandler. Sm dataansvarlig risikerer I sagsanlæg. Sm databehandler er man dg ikke fri fr ansvar. Er en databehandler eksempelvis til str skade fr en dataansvarlig virksmhed, kan denne virksmhed fremsætte krav md databehandleren. Det gælder gså, hvis fejlen er begået af en underdatabehandler. Derfr skal man sm databehandler sikre, at eventuelle REEFT A/S Sandøvej Hrsens 4

5 GDPR g REEFT A/S underdatabehandlere frpligter sig til at leve p til de samme krav, sm gælder i frhldet til den dataansvarlige sm kan være jer. REEFT A/S er i færd med at udarbejde en skabeln til en sådan databehandler-aftale. Den stiller vi gerne til rådighed, når vi har fået den gdkendt. Knsekvens ved brud Knsekvenserne hvis der sker brud på sikkerheden kan være uverskuelige, der uddelses ved grv uagtsm ngle særdeles høje bøder, et mfang sm der ikke tidligere har været præcedens fr. Den persnlige ret Persner har ret til følgende vedrørende de plysninger, sm I gemmer m dem: At få dem udleveret At få rettet fejl i plysningerne At få dem slettet At gøre indsigelse md behandling af deres persnplysninger Ret til at blive glemt altså at få sikkerhed fr, at de slettes efter den peride, hvr der er givet samtykke til at de anvendes. Det er ikke simpelt. Der er tale m en udvidet aktindsigt. I de fleste tilfælde vil der skulle gives svar så hurtigt sm muligt, i ngle tilfælde inden fr en måned, g med begrundelse m, hvrfr I evt. ikke kan imødekmme henvendelsen. Persnen skal gså plyses m, at han eller hun kan klage til Datatilsynet ver jeres databehandling. Hvis det skal fregå 100% selvbetjent, så har I behv fr en Persndataprtal, hvr alle kan lgge ind fr at se, ændre, slette g eksprtere data, eller klage. Dette har REEFT fravalgt. Skærpede samtykkekrav Grundlæggende gælder der de samme krav til samtykke efter at GDPR træder i kraft, sm der gør nu. Det vil sige, at et samtykke fra den registrerede skal være udtrykkeligt g ikke stiltiende eller underfrstået. Sm virksmhed eller ffentlig myndighed, der indsamler persnplysninger, skal I derfr gøre det klart: Hvilken type data der indsamles Hvem der fretager indsamlingen Til hvilket frmål infrmatinerne indsamles En ny ting ved GDPR er dg, at de registrerede skal infrmeres m, at de har ret til at trække deres samtykke tilbage, g at det samtidig skal være let fr de registrerede persner at fretage REEFT A/S Sandøvej Hrsens 5

6 GDPR g REEFT A/S tilbagetrækningen af samtykket. Andre skærpede krav til samtykke er, at: - En dataansvarlig skal til enhver tid kunne dkumentere at have mdtaget et bestemt samtykke tilbehandling af persnplysninger. Hvilken type plysninger findes i REEFT Udfra GDPR artikel 6, regnes følgende plysninger fra REEFT systemet sm værende mfattet. Vi har defineret det til at vi i REEFT verhlder frrdningen til kun at gemme den type data der betegnes sm almindelige data. Medarbejderdata Navn Telefn Mbiltelefn Kundedata Kundenummer Kntaktpersn Navn Adresse Telefn Mbiltelefn EAN REEFT A/S Sandøvej Hrsens 6

7 GDPR g REEFT A/S Kntaktpersn Navn Adresse Telefn Mbiltelefn Fax Leveringsadresse Navn Kntaktpersn Adresse Telefn Mbiltelefn EAN Disse data er mdrejningspunktet fr Databehandler kntrakten. REEFT vil med udfyldelse af sagte kntrakt, vedgå sig at verhlde frrdningens artikel 5, der mhandler Gd Databehandlingsskik. I selvsagt kntrakt beskriver REEFT cmpliance til Artikel 30, hvr der mtales Frtegnelse ver behandlingsaktiviteter. I nedenstående skelnes der mellem m Databehandler er Hstet hs REEFT eller hs 3. part. Kunden er hstet hs REEFT I dette tilfælde er REEFT ansvarligt fr sikkerheden både i systemet samt i Hsting Kunden Hster selv eller hs Tredjepart REEFT A/S Sandøvej Hrsens 7

8 GDPR g REEFT A/S Her er REEFT ansvarlig fr sikkerheden i selve REEFT systemet, men kan ikke hldes ansvarlig fr brud på sikkerheden, der direkte relateres til at Persndata kan resultere i Identifikatin af individuelle persner. Se venstående beskrivelse af tredjepart. Behandling ifbm. Sletning eller annymisering af data GDPR frrdningen giver mulighed fr enten at slette data der kan identificere med en privatpersn, eller annymisere selvsamme data. I REEFT arbejder vi md annymisering Det betyder, at nævnte data ved henvendelse, eller et herefter angivet tidsinterval, annymiseres ved at verskrive de nævnte data med rdet Annymiseret i felter med Alfa kde samt i numeriske felter med cifret 0, alt efter typen af data. Sm udgangspunkt, skal data autmatisk annymiseres når der ikke længere er et relevant grundlag fr at behlde dem, dette er beskrevet i Artikel 5 Grundlæggende regler. Data vil dg være i frtsat brug, hvis der indenfr fastlagt tid pdateres på data, dette kan i REEFT gøres ved at der sendes nye rdrer ud til selvsamme kunde, hvrpå Persnplysninger er registreret, det er dg iflg. Artikel 5 nødvendigt at selvsagte data skal pdateres g ajurføres. Dette gøre via Dataansvarlig g kan på franledning af samme, ske i REEFT systemet af REEFT. Der er dg visse plysninger der ikke er mfattet af GDPR, men umyndiggøres af lkal lvgivning. I sammenhæng med REEFT er dette mhandlende Skemaer & Kvalitetssikring Er der prettet skemaer g/eller kvalitetssikring på en sag, skal denne type data pbevares i ti (10) år Frdningen giver mulighed fr at data skal være relevante, så længe data er relevante er det ikke nødvendigt at annymisere disse ej heller slette dem. Dg skal de pbevares efter gd dataskik, samt ikke mindst der sikrer tilstrækkelig sikkerhed fr selvsamme persnplysninger. Sådan annymiserer du dine data i REEFT PT har REEFT ikke en funktin der kan annymisere data autmatisk, derfr er det nødvendigt at i kntakter REEFT på supprt@reeft.dk fr at få dette til at ske. Der kan dg via Systemadministratr (via Management Knsl eller WebPlanner) ske en annymisering af stamdata fr at sikre fremtidig annymisering, da det pt. ikke er muligt at slette stamdata. Selve verskrivningen kan gså ske via Integratin fra Databehandlers ERP system, ex. Navisin eller C5 ved at udfylde felter der skal annymiseres sm venstående, g herefter verføre data via Integratinen. REEFT arbejder fremadrettet på en funktin, der muliggør at en ttal sletning af data kan finde sted. REEFT A/S Sandøvej Hrsens 8

9 GDPR g REEFT A/S Risikvurdering Det er REEFTS pfattelse, at der er en meget lav Risik fr at en brist i sikkerheden, kan lede til afsløring af Persnfølsmme data, sm beskrevet i artikel 9 & 10. Hvis du har spg. er du selvfølgelig altid velkmmen til at kntakte s på inf@reeft.dk. Når REEFT er klar med Databehandler erklæringen, vil den blive sendt til samtlige vres kunder. REEFT A/S Sandøvej Hrsens 9