GDPR og arkivloven. Poul Olsen, DPO, Rigsarkivet

Transkript

1 GDPR og arkivloven Poul Olsen, DPO, Rigsarkivet

2 Arkivformål i samfundets interesse Præambelbetragtning nr. 50: Behandling af personoplysninger til andre formål end de formål, som personoplysningerne oprindelig blev indsamlet til, bør kun tillades, hvis behandlingen er forenelig med de formål, som personoplysningerne oprindelig blev indsamlet til. I dette tilfælde kræves der ikke andet retsgrundlag end det, der begrundede indsamlingen af personoplysningerne. [ ] Viderebehandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål bør anses for at være forenelige lovlige behandlingsaktiviteter. [ ]

3 GDPR, Artikel 5: Principper for behandling af personoplysninger Stk. 1, litra b: 1. Personoplysninger skal: b) indsamles til udtrykkeligt angivne og legitime formål og må ikke viderebehandles på en måde, der er uforenelig med disse formål; viderebehandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 89, stk. 1, skal ikke anses for at være uforenelig med de oprindelige formål (»formålsbegrænsning«)

4 GDPR, Artikel 5: Principper for behandling af personoplysninger Stk. 1, litra e: 1. Personoplysninger skal: e) opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de pågældende personoplysninger behandles; personoplysninger kan opbevares i længere tidsrum, hvis personoplysningerne alene behandles til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 89, stk. 1, under forudsætning af, at der implementeres passende tekniske og organisatoriske foranstaltninger, som denne forordning kræver for at sikre den registreredes rettigheder og frihedsrettigheder (»opbevaringsbegrænsning«)

5 Artikel 9: Behandling af særlige kategorier af personoplysninger Stk 1. Behandling af personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering er forbudt.

6 Artikel 9: Behandling af særlige kategorier af personoplysninger Stk. 2. Stk. 1 finder ikke anvendelse, hvis et af følgende forhold gør sig gældende: j) Behandling er nødvendig til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 89, stk. 1, på grundlag af EU-retten eller medlemsstaternes nationale ret og står i rimeligt forhold til det mål, der forfølges, respekterer det væsentligste indhold af retten til databeskyttelse og sikrer passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser

7 Arkivformål i samfundets interesse Præambelbetragtning nr. 158: Når personoplysninger behandles til arkivformål, bør denne forordning også gælde for den pågældende behandling, idet denne forordning dog ikke bør finde anvendelse på afdøde personer. Offentlige myndigheder eller offentlige eller private organer, der opbevarer fortegnelser af samfundsinteresse, bør være tjenester, der i henhold til EU-retten eller medlemsstaternes nationale ret har retlig forpligtelse til at indhente, bevare, vurdere, ordne, beskrive, udlevere, fremme, formidle og give adgang til fortegnelser af blivende værdi i samfundets interesse [ ]

8 Arkivformål = offentlige arkiver Arkivloven 2. De offentlige arkiver består af Rigsarkivet samt af kommunale og regionale arkiver. Databeskyttelsesloven 14. Oplysninger, der er omfattet af denne lov, kan overføres til opbevaring i arkiv efter reglerne i arkivlovgivningen.

9 GDPR Artikel 89: Garantier og undtagelser i forbindelse med behandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål Stk. 1. Behandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål skal være underlagt fornødne garantier for registreredes rettigheder og frihedsrettigheder i overensstemmelse med denne forordning. Disse garantier skal sikre, at der er truffet tekniske og organisatoriske foranstaltninger, især for at sikre overholdelse af princippet om dataminimering. Disse foranstaltninger kan omfatte pseudonymisering, forudsat at disse formål kan opfyldes på denne måde. Når disse formål kan opfyldes ved viderebehandling, som ikke gør det muligt eller ikke længere gør det muligt at identificere de registrerede, skal formålene opfyldes på denne måde.

10 Arkivlovens fornødne garantier 23, stk. 1: 75 års tilgængelighedsfrist for oplysninger om enkeltpersoners private og økonomiske forhold 34-35: Databeskyttelsesmyndighedens medvirken ved dispensation fra tilgængelighedsfristen 40: Tavshedspligt 41: Vilkår for brug af oplysninger, der ikke er umiddelbart tilgængelige

11 Husk at Arkivlovens tilgængelighedsfrister ophæver ikke databeskyttelsen Databeskyttelsen (levetid + 10 år) kan vare længere end 75 år

12 Dataminimering? Det, og kun det, der er nødvendigt at registrere af hensyn til formålet eller formålene? Hvis formålet ikke kendes, kan dataminimering ikke foretages med mening (udover redundansanalyse mv)

13 Begrænsning af den registreredes rettigheder Når persondata behandles til arkivformål eller til videnskabelige og historiske forskningsformål samt statistiske formål, kan den registreredes rettigheder begrænses. Videregives arkiverede data til andet end videnskabelige og historiske forskningsformål eller statistiske formål, bortfalder rettighedsbegrænsningen.

14 Arkivering = sletning Det er med rette anerkendt, at forskning er samfundsmæssigt værdifuld, hvorfor det er ønskeligt, at arkivering kan benyttes som alternativ til sletning eller anonymisering. Dette forudsætter principielt, at arkivering har de samme konsekvenser som sletning; først og fremmest at oplysningerne aldrig mere vil kunne behandles med individuelle konsekvenser for den registrerede. (Blume (2013) s. 131)

15 Arkivformål fra hvornår?? Hvem kan behandle data til arkivformål i samfundets interesse?! Offentlige arkiver? Behandler andre myndigheder personoplysninger til arkivformål?! Nej så skal der en specifik hjemmel til. Og private kan heller ikke? Begynder behandlingen til arkivformål først efter aflevering?! Ja

16 Tak for i dag!