GUIDE TIL PERSONDATAFORORDNING OG SIKKERHED

Transkript

1 GUIDE TIL PERSONDATAFORORDNING OG SIKKERHED KLAUS KONGSTED, CRO, DUBEX A/S KL Konference - Når data skaber velfærd

2 DUBEX A/S Highly specialized it-security experts Quality Service Expertise Managing risk Enabling growth First mover Consulting and security services locally and globally A desired workplace Highly motivated employees Largest it security partner in Denmark Self-financing and privately owned since th best itworkplace in Denmark 35 th best workplace in Denmark

3 FØRENDE IT-SIKKERHEDSSPECIALIST x Technology focus Process focus Integrated Business focus Managing risk, enabling growth Vi er altid på udkig efter muligheder for at styrke vores kunders forretning og understøtte vækst. Vi hjælper med at balancere dine forretningsmål og et acceptabelt risikoniveau for it-sikkerhed.

4 PERSONDATABEGREBET Persondata omfatter enhver form for oplysninger, som kan knyttes til, eller evt. i samspil med andre oplysninger henføre til, en person Eksempelvis: Navn Adresse og telefonnummer adresse og ip-adresse Nummerplade Matrikelnr. Straffeattest Konto-, løn- og kreditoplysninger Politisk overbevisning Fagforeningsmedlemskab Foto Cpr-nr. og fødselsdato Religion, etnicitet og race Tøjstørrelse Hårfarve og meget mere

5 ALMINDELIGE ELLER SÆRLIGE OPLYSNINGER? Særlige oplysninger ofte kaldet følsomme er: (udtømmende liste) Racemæssig eller etnisk oprindelse I have a dream Politisk, religiøs eller filosofisk overbevisning Fagforeningsmæssigt tilhørsforhold Helbredsmæssige og seksuelle forhold, samt genetiske og biometriske data

6 Fire kumulative betingelser LOVLIG BEHANDLING 1 Principper for behandling 2 Hjemmel 3 Hjemmel til overførsel ud af EU 4 Anmeldelse (udgår delvist)

7 GRUNDLÆGGENDE PRINCIPPER Principper for behandling (GDPR artikel 5) lovligt, rimeligt og gennemsigtigt ( saglighed ) indsamles til udtrykkeligt angivne og legitime formål og må ikke viderebehandles på en måde, der er uforenelig med disse formål ( formålsbestemthed ) være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles ("dataminimering") være rigtige og om nødvendigt ajourførte ("rigtighed") opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt ("lagringsbegrænsning") behandles på en måde, der sikrer tilstrækkelig sikkerhed ("integritet og fortrolighed"). Dataansvarlig skal kunne påvise overholdelsen af art. 5 ( data accountability ).

8 HJEMMELSGRUNDLAG Almindelige Særlige Samtykke Ja Ja For at indgå eller opfylde aftale med datasubjekt Ja Nej Lovkrav Ja Ja Nødvendig for at fastslå retskrav Ja Ja Offentliggjort af datasubjekt Ja Ja Interesseafvejnings-reglen Ja Nej

9 SAMTYKKE Undgå samtykke som hjemmel hvis muligt: Skal kunne dokumenteres Det kan trækkes tilbage Ret til indsigt Må kun anvendes til det samtykkede formål Det er simpelthen besværligt Samtykket er kun gyldigt hvis det fremgår, at det kan tilbagetrækkes Vær opmærksom på magtforholdet Vær opmærksom ved tjenester rettet mod børn under 13 år Ingen opt-out (ingen forud-afkrydsede samtykker) Dokumentation, dokumentation, dokumentation

10 DATATILSYNET OG MAIL Datatilsynet udmeldte den 23. juni 2018 at de bl.a. på baggrund af GDPR vil skærpe praksis i forhold til kryptering af s Fremover bliver kravet til private virksomheder det samme som til det offentlige, dvs. krav om kryptering ved transmission af fortrolige og følsomme personoplysninger med via internettet Det nye udgangspunkt om kryptering håndhæves fra den 1. januar 2019 Vejledning Transmission af personoplysninger via fra Datatilsynet:

11 ER DET INTERESSANT FOR DEN OFFENTLIGE SEKTOR? Ikke umiddelbart samme regler som hidtil E-boks, borger.dk mv. er stadig udgangspunktet Fagsystemer burde være indrettet dertil Almindelig mail no-go Der findes tekniske systemer, der (delvist) kan sikre mod dette Men

12 HVILKE DATA SKAL BESKYTTES ( )? Fortrolige og følsomme personoplysninger iflg. Datatilsynet Definitionen synes at halte en smule, Databeskyttelsesforordningen (GDPR) opererer kun med almindelige og særlige personoplysninger Den danske Databeskyttelseslov tilføjer unavngivent strafbare forhold, gæld og CPR-numre som personoplysninger, der skal håndteres særskilt Det efterlader: - Individuelt gæt? - Risikovurdering hver gang? - Kryptering af alle personoplysninger?

13 NÅR VI IKKE OVERHOLDER KRAVENE? Store bøder fælleseuropæisk niveau dog maks.-cap i den offentlige sektor i Danmark på 16 mio. DKK Første europæiske GRPD-bøder er uddelt i Østrig, Portugal og Tyskland Det østrigske datatilsyn ( DSB ) uddelte en bøde på EUR 4800 for en entreprenørs videoovervågning af indgangen og en pæn del af fortovet Baden-Württembergs datatilsyn uddelte EUR i bøde til en social-media-provider Et portugisisk, offentligt hospital fik EUR i bøde for lemfældig omgang med patientdata og adgangen til disse Den bestod af tre separate forseelser: den første udløst af en anmeldelse fra lægeforeningen de to andre fundet som resultat af tilsynet!

14 DATAANSVARLIGE (DA) OG DATABEHANDLERE (DB) Ingen grund til databehandleraftaler med alle leverandører Kun når den anden part skal behandle (f.eks. indsamle, registrere, opbevare, videregive eller slette) personoplysninger efter instruks fra dig som dataansvarlig Når eksempelvis (udvalg): Den anden part behandler alene oplysninger på DA s vegne. Den anden part skal varetage en opgave, som i princippet kunne have været udført af DA Det er alene DA, der træffer afgørelse om formål og væsentlige hjælpemidler, herunder behandlingsskridt som indsamling, videregivelse, sletning og anvendelse af underdatabehandlere. Vær obs på evt. fælles dataansvar!

15 SAMKØRING OG PROFILERING Hvad må vi og hvad må vi ikke? Ikke så meget hjælp at hente i Databeskyttelsesforordningen Udgangspunktet er dog samtykke eller lovgivning Databeskyttelsesloven har indskrænket dette noget Borgerne har ret til indsigelse mod afgørelser der udelukkende er truffet af automatiske systemer (*) Pas nu på ikke at ødelægge den i Danmark unikke tillid til offentlige myndigheder! Når afgørelsen har retsvirkning eller væsentlig betydning, eller indebærer evaluering af personlige forhold. Enkelte undtagelser

16 ALT DET JEG IKKE HAR TALT OM Databeskyttelsesrådgivere (DPO) Fortegnelse Oplysnings-, berigtigelses- og slettepligt Konsekvensanalyser vedrørende databeskyttelse (DPIA) Privacy by design og privacy by default Behandlingssikkerhed Databehandling og opbevaring uden for Danmark sikre lande Sikkerhedsbrud (Breach Notification inden 72 timer) Datatilsynets kontroller og meget mere!

17 TAK! Klaus Kongsted