Persondataforordningen. Henrik Aslund Pedersen Partner
|
|
|
- Freja Steffensen
- 9 år siden
- Visninger:
Transkript
1 Persondataforordningen Morgenmøde Henrik Aslund Pedersen Partner Revision. Skat. Rådgivning.
2 Hvorfor en ny Persondataforordning? EU persondataforordning - Morgenmøde Hillerød 2
3 Hvorfor en ny Persondataforordning? Fordi det er vigtigt at skabe den tillid, der gør det muligt, at den digitale økonomi kan udvikle sig Fysiske personer bør have kontrol over deres personoplysninger. 3
4 Det handler om databeskyttelse Hvem har adgang til hvilke data? (arbejdsbetinget behov) Hvad kan der ske med disse persondata? Authorization Hvor sikre er vi på, at alt foregår som det skal? Hvordan kan vi følge op på om processen og retningslinjerne efterleves? både så vi ved om autoriserede følger reglerne og at uautoriserede ikke opnår adgang Hvornår må der være adgang til persondata? Subject Audit Object 4
5 Hvad er personoplysninger Hvilke data taler vi om? Enhver form for information om en identificeret eller identificerbar fysisk person (den registrerede). Al information som direkte eller indirekte kan henføres til en given fysisk person Omfatter også oplysninger, som kun særligt indviede personer vil kunne henføre til en given person Loven omfatter kun personoplysninger vedrørende fysiske personer, ikke juridiske personer. Ny klassifikation af data I persondataloven er der i dag 3 niveauer + CPR Det ændres til 2 niveauer - Persondata - Særlige kategorier Særlige kategorier af personoplysninger: Race, etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, behandling af genetiske data, helbredsoplysninger, oplysninger om seksuelle forhold, straffedomme eller tilknyttede sikkerhedsforanstaltninger. Den nuværende Persondatalov Almindelige ikke-følsomme oplysninger: identifikationsoplysninger, såsom navn, adresse, fødselsdato og . Fortrolige oplysninger: private forhold, såsom økonomiske og strafbare forhold, sociale problemer og lignende Følsomme oplysninger: race, religiøs og politisk overbevisning, helbredsmæssige og seksuelle forhold. 5
6 Action Hvad bør virksomhederne gøre nu? Kortlæg omfang af persondata i organisationen Det er processer og modenhed ift. eksisterende persondatalov (As-Is) Vurdering af compliance i forhold til de forventede skærpede krav i forordningen (To- Be) Styrkelse af sikkerhedsniveauet fx ved at se på: Governance og DPO Er der den rette opmærksomhed Håndtering af samarbejdspartnere Aftaler med databehandler Opdagelse og respons på hændelser (sikkerhedshændelser) Teknisk sikkerhedsniveau (arkitektur og beskyttelse). 6
7 Udpegning af Data Protection Officer (DPO) Krav om udpegning Data Protection Officer pligten skal ikke gælde efter faste tabeller over antal medarbejdere eller antal registrerede men være baseret på en risikovurdering fx Sundhedsdata, personlighedstest, lokationsdata Offentlige virksomheder skal fortsat have en DPO. Private virksomheder, som: foretager behandling som forudsætter jævnlig og systematisk overvågning af personer, eller behandler følsomme oplysninger, lokalitetsoplysninger eller oplysninger om børn og ansatte i store registre I forhold til risici! DPO rolle og ansvar sætter krav til kompetencer fx faglige kvalifikationer, erfaring, certificeringer mv. 7
8 Udpegning af Data Protection Officer (DPO) Væsentlige opgaver som DPO Den registrerede Den registeransvarlige/ registerføreren Tilsynsmyndigheden Rolle Ombudsmand Operationelt bindeled/kustode Ansvar Opgaver Varetagelse af den registreredes rettigheder. Kontaktpunkt og samarbejdspartner Sikre at forordningens bestemmelser efterleves Rådgivning af den registeransvarlige/ registerføreren. Anmeldelse af brud på persondatasikkerheden. Meddelelse ved brud på persondatasikkerheden. Tilsyn og dokumentation. Intern dokumentation. Samarbejde. 8
9 Privacy by Default Øget fokus på privatlivsbeskyttelse Princip om databeskyttelse gennem indstillinger/privacy by Default Det betyder bl.a. at: Princippet om indbygget databeskyttelse medfører at persondatabeskyttelse skal være standarden for myndigheder og virksomheder. Privacy er opfyldt ift. forordningen og brugerne aktivt skal vælge det fra! Hvilket er det omvendte af i dag Beskyttelse er en del af forretningsprocesserne - Privacy by Governance og samarbejdsmodel Der indsamles ikke persondata medmindre det er nødvendigt, og brugeren giver sit udtrykkelige samtykke hertil. Det oplyses hvad data skal anvendes til. 9
10 Privacy by Design Øget fokus på at sikkerhed en del af livscyklussen Princip om indbygget databeskyttelse/privacy by Design Princippet om databeskyttelse gennem indstillinger medfører at virksomheder og myndigheder skal tænke persondatabeskyttelse ind i den tekniske løsning. Det er en livscyklus tankegang (naturlig del af virksomhedens drift), hvor persondata beskyttes ift. fortrolighed (dataklassifikation) i alle behandlingsprocesser. Persondatabeskyttelse begynder i idéfasen og skal risiko- og konsekvensvurderes Design skal kunne favne et kontinuerligt overblik over hvad og hvor indsamlede, behandlede og gemte persondata er og hvordan de er beskyttet. Retten til at blive glemt og dataoverførsel er indarbejdet i designet. 10
11 Den registreredes ret til at blive glemt Den registrerede har ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, Det betyder at forretningsgange, systemer og services i deres design skal kunne favne et kontinuerligt overblik over hvad og hvor indsamlede, behandlede og gemte data er, og at disse data kan slettes. I onlinemiljøet bør retten til sletning udvides, så en dataansvarlig, der har offentliggjort personoplysninger, forpligtes til at få slettet alle links til, kopier af eller gengivelser af disse personoplysninger. Data portability Data overførsel Den registrerede kan bede om at: Få en samlet liste over hvad der er registreret Få flyttet sine data fx fra en udbyder til en anden Dvs. design skal kunne samle informationerne og på struktureret vis overlevere dem til ny part, uden teknologiske barrierer Gælder også for cloud-baserede løsninger. 11
12 Skærpet underretningspligt Information til den registrerede Den registeransvarlige skal, som minimum, oplyse den registrerede om følgende ved indsamling af personoplysninger om den registrerede: Kontaktoplysninger om den registeransvarlige Behandlingsformål Opbevaringsperiode Den registreredes ret til indsigt Den registreredes ret til berigtigelse Den registreredes ret til at blive glemt og slettet Den registreredes ret til at klage til tilsynsmyndighed Modtager(e) af indsamlede oplysninger Ved videregivelse til tredjeland og/eller international organisation skal det pågældende beskyttelsesniveau oplyses. 12
13 Skærpet underretningspligt Ved brud på persondatasikkerheden Den registrerede skal underrettes, hvis det forventes at bruddet vil krænke den registrerede. Bruddet skal anmeldes til tilsynsmyndighed denne anmeldelse skal indeholde: Karakteren og konsekvenserne af bruddet. Kategorier og antal af berørte registrerede og registreringer. Kontaktoplysninger på DPO. Anbefalede og eventuelt iværksatte foranstaltninger. Underretning af både den registrerede og tilsynsmyndigheden skal ske uden unødig ophold. 13
14 Privacy Impact Assessment Udarbejdelse af konsekvensanalyse vedrørende databeskyttelse Konsekvensanalyse skal udarbejdes ved behandling af personoplysninger, som kan indebære specifikke risici for den registreredes rettigheder. Konsekvensanalysen fortæller om risici og konsekvenser = Hvad ønsker vi at beskytte os imod Spændingsfeltet fra ide til realisering/ idriftsætning er hvor design skal tage hånd om: Hvordan vi vil beskyttes os mod de identificerede risici/konsekvenser Det betyder at informationssikkerhed skal være en integreret del af virksomhedens måde at tænke på. Eksempler på spørgsmål/risici Vil projektet indebære indsamling af nye oplysninger om enkeltpersoner? Vil projektet tvinge enkeltpersoner til at give oplysninger om sig selv? Vil oplysninger om enkeltpersoner blive videregivet til organisationer eller personer, der ikke tidligere har haft adgang til oplysningerne? Risici Lider økonomiske tab Mister et job Skade på en persons omdømme Identitetstyveri. 14
15 Nye sanktionsmuligheder Ny bødestruktur Ved overtrædelse af persondataforordningen gives tilsynsmyndigheden følgende bemyndigelse: - Skriftlig advarsel i tilfælde af førstegangs- og ikke-intentionelle overtrædelser. - Regelmæssige/periodiske databeskyttelsesrevisioner/tilsyn. - Bøde på op til 4 % af den globale omsætning eller 20 mio. EUR, hvad end der er størst. 15
Persondataforordningen...den nye erklæringsstandard
www.pwc.dk Persondataforordningen...den nye erklæringsstandard September 2017 Revision. Skat. Rådgivning. Personsdataforordningen igen. Udkast til erklæring i høring hos revisorer, advokater, databehandlere,
Overblik over persondataforordningen
Overblik over persondataforordningen November 2016 2 Sanktioner Overtrædelsestype: Indhentning af samtykke ift. børn Behandlinger, som ikke kræver identifikation Data protection by Design/Default Delt
PERSONDATALOVEN - UDFORDRINGER. Birthe Boisen, Juridisk Konsulent Tlf
PERSONDATALOVEN - UDFORDRINGER Birthe Boisen, Juridisk Konsulent Tlf. 21 45 22 48 [email protected] PERSONDATALOVEN OG PERSONDATAFORORDNINGEN Persondataloven Lov om behandling af personoplysninger,
Vandforsyningens håndtering af den kommende persondataforordning. Danske Vandværker
Vandforsyningens håndtering af den kommende persondataforordning Danske Vandværker Praktiske spørgsmål vi modtog Hvem har ansvaret for beskyttelse af forbrugernes persondata? Er medlemslister i ringbindsmapper
Introduktion til persondataforordning
Introduktion til persondataforordning Lektor Dorte Høilund Anvendelse fra 25. maj 2018 Direktiv contra forordning Mange muligheder for nationale særregler Opbygning og struktur Forslag til Databeskyttelseslov
Overblik over persondataforordningen
Overblik over persondataforordningen København, den 26. maj 2016 2 Agenda Hvad er personoplysninger? Status på persondataforordningen Væsentligste ændringer: Oplysningskategorier Behandlingsbestemmelser
September Indledning
September 2016 Eksempel fra KOMBIT: Vejledning til gennemførelse af indledende overordnet kortlægning af it-løsningers parathed i forhold til efterlevelse af kendte krav i Databeskyttelsesforordningen
Bilag 8. Retningslinje om brud på persondatasikkerheden. Anvendelsesområde. Formål. Definitioner
Bilag 8 Retningslinje om brud på persondatasikkerheden Anvendelsesområde Retningslinje om brud på persondatasikkerheden er udarbejdet i overensstemmelse med kravene i Europa- Parlamentets og Rådets forordning
Den nye persondataforordning. 17. maj 2016
Den nye persondataforordning 17. maj 2016 2 Agenda Hvad er personoplysninger? Status på processen mod forordningens ikrafttrædelse Væsentligste ændringer: Oplysningskategorier Behandlingsbestemmelser Skærpede
Hvad betyder den nye persondataforordning for udvikling og brug af digitale sundhedsløsninger, og hvem har ansvaret for overholdelse?
Hvad betyder den nye persondataforordning for udvikling og brug af digitale sundhedsløsninger, og hvem har ansvaret for overholdelse? 1 KORT PRÆSENTATION 2 Svenn Bekmose, CISA Tem Schnell Christiansen,
Brud på datasikkerheden
Brud på datasikkerheden Anvendelsesområde Retningslinje om brud på persondatasikkerheden er udarbejdet i overensstemmelse med kravene i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april
Curanet A/S Databehandleraftale. Version: (herefter samlet benævnt "Parterne" og hver for sig "Part")
DATABEHANDLERAFTALE Databehandleraftalen foreligger mellem Åstvej 10, B 7190 Billund CVR. nr. 30 56 13 17 (i det følgende betegnet Dataansvarlig ) og Curanet A/S Højvangen 4 8660 Skanderborg CVR. nr. 29
Skau Reipurth & Partnere Advokatpartnerselskab FORTEGNELSE OVER BEHANDLINGSAKTIVITER. Dataansvarlig: Databehandler: Udarbejdet: Næste revision:
Skau Reipurth & Partnere Advokatpartnerselskab FORTEGNELSE OVER BEHANDLINGSAKTIVITER Dataansvarlig: Databehandler: Område: Kunder Udarbejdet: Næste revision: Dataansvarlig Virksomhedens kontaktoplysninger
Persondataforordningen & kommuner. Vejle, 5. maj 2015 Advokat, partner Nis Peter Dall. Baseret på persondatadirektivet (fra 1995)
Persondataforordningen & kommuner Vejle, 5. maj 2015 Advokat, partner Nis Peter Dall Forordningen I dag Persondataloven (fra 2000) Baseret på persondatadirektivet (fra 1995) Forskelle i implementering
Bliv klar til Persondataforordningen
Bliv klar til Persondataforordningen Der indføres væsentlige ændringer og nyskabelser, i forhold til den nuværende persondatalov, der træder i kraft maj 2018. Den nye persondatalov vil i de fleste virksomheder
Grab n Go: Session 2 EU s persondataforordning og hvad så?!? 17. marts 2016
Grab n Go: Session 2 EU s persondataforordning og hvad så?!? 17. marts 2016 Introduktion 2016 Deloitte 2 Introduktion: Den nye EU-persondataforordning Rationale Forskelle i hastigheden af lovgivningsmæssige
DanDomain A/S Databehandleraftale. Version: (herefter samlet benævnt "Parterne" og hver for sig "Part")
DATABEHANDLERAFTALE Databehandleraftalen foreligger mellem Vilhelm Thomsens plads 1 8900 Randers CVR. nr. 35 58 90 31 (i det følgende betegnet Dataansvarlig ) og DanDomain A/S Normansvej 1 8920 Randers
Den nye persondataforordning. 2. februar 2017
Den nye persondataforordning 2. februar 2017 Vores persondata compliance team er forankret i afdelingen for Corporate Compliance & Investigations Det største advokatkontor i Danmark* Retsområder Arbejdsret
FORTEGNELSE OVER BEHANDLINGSAKTIVITER. Dataansvarlig: Databehandler: Område: Udarbejdet: Næste revision:
Skau Reipurth & Partnere Advokatpartnerselskab FORTEGNELSE OVER BEHANDLINGSAKTIVITER Dataansvarlig: Databehandler: Område: HR Udarbejdet: Næste revision: Dataansvarlig Virksomhedens kontaktoplysninger
EN DAG OM PERSONDATAFORORDNINGEN. STU Foreningen. 7. december 2017
EN DAG OM PERSONDATAFORORDNINGEN STU Foreningen 7. december 2017 Oplæg v/ Peter Sindal Lundsberg Advokat, underviser, fast værge Hovedvagtsgade 6, 4. sal 1103 København K T: 3311 3636 M: 5373 2100 E: [email protected]
POLITIK FOR DATABESKYTTELSE
POLITIK FOR DATABESKYTTELSE 1 Formål... 2 2 Anvendelsesområde... 2 3 Referencer... 2 4 Definitioner... 2 5 Vision og mål for beskyttelse af personoplysninger... 3 6 Roller og ansvar... 3 7 Databehandlingsprincipper...
Persondataforordningen den 20. februar 2018
Persondataforordningen den 20. februar 2018 Hvorfor går så mange nu op i persondata? Under den nye Databeskyttelsesforordning er man pligtig til at kunne påvise, at man overholder reglerne Under forordningen
Det skal du have styr pa inden 2018
Det skal du have styr pa inden 2018 Nedenfor kan du få et overblik over, hvad din virksomhed skal have styr på inden den ny persondataforordning træder i kraft. Dataansvarlig eller databehandler I persondatalovens
Persondataforordningen. Overblik over initiativer og ansvar. Dubex Summit - Rasmus Lund november 2016
Persondataforordningen Overblik over initiativer og ansvar Dubex Summit - Rasmus Lund november 2016 Rasmus Lund Advokat, partner Leder af persondata team Agenda Henning Mortensen, DI har givet overblik
PERSONDATA - HVAD ER DET FOR NOGET OG HVORDAN BRUGES DET?
PERSONDATA - HVAD ER DET FOR NOGET OG HVORDAN BRUGES DET? Jimmy Povlsen og Toke Arndal Aabenraa, den 19. januar 2018 Baggrunden for persondataloven Hvorfor en persondatalov? Persondataloven af 1. juli
6.1 Introduktion. Af Jeppe Høyer Jørgensen, LETT Advokatpartnerselskab Indhold. Denne artikel har følgende
HR Dokumenter Forlaget Andersen A/S 6.1 Introduktion Af Jeppe Høyer Jørgensen, LETT Advokatpartnerselskab [email protected] Indhold Denne artikel har følgende 1. Indledning 2. Persondataloven gældende regler
BEK nr 529 af 02/05/2019 (Gældende) Udskriftsdato: 20. juni Senere ændringer til forskriften Ingen
BEK nr 529 af 02/05/2019 (Gældende) Udskriftsdato: 20. juni 2019 Ministerium: Undervisningsministeriet Journalnummer: Undervisningsmin., Styrelsen for It og Læring, j.nr. 18/13045 Senere ændringer til
Overblik over Justitsministeriets betænkning og de væsentligste ændringer i persondataforordningen
www.pwc.dk Overblik over Justitsministeriets betænkning og de væsentligste ændringer i persondataforordningen Juni 2017 Indhold Indledning 03 Overblik over regulering 04 Justitsministeriets betænkning
Pia Conradsen, 25. april 2017 Finder anvendelse pr. d. 25. maj 2018 i Danmark Baggrund, formål og anvendelse Interessenter Databehandler Persondata Sonlincs aktiviteter og overordnet plan Anbefalinger
BILAG 3.2 FÆLLES DATAANSVARSAFTALE
BILAG 3.2 FÆLLES DATAANSVARSAFTALE Denne fælles dataansvarsaftale ("Dataansvarsaftale") er indgået mellem Parterne i Samarbejdsaftalen, og med de definitioner for Parterne, som anvendes i Samarbejdsaftalen.
Tjekliste til arbejde med persondata. Branchefælleskab for Intelligent Energi
Tjekliste til arbejde med persondata Branchefælleskab for Intelligent Energi Dataanvendelse i energisektoren Smart Grid, Smart Energi, Smart City og Smart Home er bare nogle af de begreber, som relaterer
Lidt om mig selv. Konsulentstillinger hos hhv. KMD og WM-data. Uddannelse: Data Protection Officer, IT & digitaliseringsledelse, Cand. Merc.
Lidt om mig selv 2015 nu Konsulent/DPO med fokus på informationssikkerhed og persondatasikkerhed 2007 2015 IT-chef og sikkerhedsansvarlig i Haderslev Kommune 2003 2007 Chef for fælles Udviklings og Driftscenter
Persondataforordningen
www.pwc.dk Persondataforordningen Revision. Skat. Rådgivning. Agenda Indledning Persondataforordningen udvalgte emner Hvad betyder Persondataforordningen for uddannelsesinstitutioner? Kom godt i gang Spørgsmål
1. Har jeres organisation kendskab til den nye databeskyttelsesforordning?
Her finder I 12 spørgsmål, som I, der er dataansvarlige, med fordel kan forholde jer til allerede nu for at forberede jer på den nye databeskyttelsesforordning, som finder anvendelse fra den 25. maj 2018.
Databehandleraftale. Mellem. Den dataansvarlige: Virksomhed: CVR: Adresse: Postnummer & By: Land: Databehandleren. Virksomhed: OnlineFox CVR:
Databehandleraftale Mellem Den dataansvarlige: Virksomhed: CVR: Adresse: Postnummer & By: Land: og Databehandleren Virksomhed: OnlineFox CVR: 38687794 Adresse: Pilagervej 32 Postnummer & By: 4200 Slagelse
Persondata, compliance og datasikkerhed. Ved Charlotte Bagger Tranberg
Persondata, compliance og datasikkerhed Ved Charlotte Bagger Tranberg 2 Agenda Indledende bemærkninger Status på den kommende persondataforordning Persondata compliance Datasikkerhed Indledende bemærkninger
Rammer og vilkår for brug af data. 25. oktober 2016 Afdelingschef Birgitte Drewes,
Rammer og vilkår for brug af data 25. oktober 2016 Afdelingschef Birgitte Drewes, [email protected] Lovgivning - sundhedsdata Sundhedsloven Persondataloven I sundhedsloven fastlægges reglerne for indhentning/videregivelse
Retningslinje om fortegnelser over behandlingsaktiviteter
Retningslinje om fortegnelser over behandlingsaktiviteter Anvendelsesområde Retningslinje om fortegnelser over behandlingsaktiviteter er udarbejdet i overensstemmelse med kravene i Europa-Parlamentets
Gå-hjem-møde Persondataforordning
Gå-hjem-møde Persondataforordning Lars Japp Haslund Advokat (CIPM/CIPP/E) Bech-Bruun Mette Haagensen Advokat, juridisk konsulent Ejendomsforeningen Danmark Tidsplan 15.00 Velkomst 15.10 Persondataforordningen