INTRO TIL PERSONDATAFORORDNINGEN. Væsentligste nyskabelser af relevans for IT-leverandører 8. juni 2016

Størrelse: px

Starte visningen fra side:

Download "INTRO TIL PERSONDATAFORORDNINGEN. Væsentligste nyskabelser af relevans for IT-leverandører 8. juni 2016"

Rebecca Hedvig Pedersen
7 år siden
Visninger:

1 INTRO TIL PERSONDATAFORORDNINGEN Væsentligste nyskabelser af relevans for IT-leverandører 8. juni 2016

2 DAGENS PROGRAM 1. Introduktion Dagens emne Dagens indlægsholder Persondataforordningen 2. Persondata på 60 sekunder 3. Den nye persondataforordning Overordnet indhold Ligheder og forskelle Compliance 4. Spørgsmål

3 INTRODUKTION

4 INTRODUKTION Hvad er fokus for dagens emne? Hurtigt overblik Detaljer er der nok af Fokus på udvalgte dele af forordningen Særlig relevans for leverandører (som databehandler) Det skal være relevant Stil derfor gerne spørgsmål undervejs og ellers spørgetid til sidst (måske)

5 TIM NIELSEN Advokat Speciale i teknologivirksomheder Rådgiver bl.a. om Persondata Licenser IT-anskaffelser & Outsourcing Konflikter og andet branchespecifikt Certificeret IT-advokat Medlem af International Association of Privacy Professionals DAHL i København siden 2014 Kromann Reumert Selskabsret og finansiel regulering Teknologivirksomheder 5

6 HVEM ER DAHL? Full-service kontor Ca. 180 medarbejdere Opdelt i fag-specialer IT-forhold Kontrakter HR-forhold Outsourcing Markedsføring Udbud Selskabsforhold Skatter og afgifter VIBORG HERNING RANDERS KØBENHAVN osv. ESBJERG

7 INTRODUKTION TIL PERSONDATAFORORDNINGEN Fælles grundlag Forskellig implementering I Danmark: Persondataloven Fælles grundlag Fælles implementering I hele EU: Persondataforordnignen ( evt. tilpasninger lokalt)

8 INTRODUKTION TIL PERSONDATAFORORDNINGEN Forordningen erstatter 1995-direktivet og 28 medlemsstaters lovgivning Del af Kommissionens digital single market strategi Fremsat den 25. januar 2012 af Kommissionen Endeligt vedtaget i april 2016 Virkning fra den 25. maj Officielle titel er General Data Protection Regulation (GDPR) Forordning 2016/679

9 PERSONDATARETTEN PÅ 60 SEKUNDER

10 PERSONDATA PÅ 60 SEKUNDER DATA Persondata Enhver form for data Regulering alt efter type, f.eks. Aftaleret (aftale om brug) Ophavsret (databaser) Erhvervshemmeligheder Normalt ikke så vanskeligt Enhver form for information om en identificeret eller identificerbar fysisk person => Kan personen findes, er det persondata også selvom det er næsten umuligt Særlig regulering!

11 PERSONDATA PÅ 60 SEKUNDER Persondata omfatter f.eks.: Direkte: Navn, adresse, telefonnummer, osv. Indirekte: Kundenummer, referencer, billeder, lyd osv. Umulige : IP-adresser, eksterne kundenummere, krypterede data osv. Persondata omfatter f.eks. ikke: Teknisk data Annonyme data forudsat data ikke kan de-annonymiseres, f.eks.: dektyptering af krypteret data sammenstilling med anden persondata Mulighed for at forurene data!

12 PERSONDATA PÅ 60 SEKUNDER To grundlæggende regeltyper (meget forsimplet) Materielle behandlingsregler Hvornår må og kan man behandle persondata Proces og dokumentationsregler Hvordan skal behandlingen foregår Hvordan skal behandlingen dokumenteres Jo mere følsomme personoplysninger, des mindre manøvrerum for behandling.

13 PERSONDATA PÅ 60 SEKUNDER Dataansvarlig Dataejeren Bestemmer over oplysningerne om den registrerede Fuldt ansvarlig for reglernes overholdelse Databehandler (Under)leverandør Behandling af oplysninger på vegne af dataansvarlig Begrænset ansvar for behandlingen ( indtil videre)

14 DEN NYE PERSONDATAFORORDNING

OVERBLIK (FOR DATABEHANDLER) Kapitel I Generelle bestemmelser Art. 1-4 Kapitel II Principper Art. 5-11 Kapitel III Den registreredes rettigheder Art.

15 OVERBLIK (FOR DATABEHANDLER) Kapitel I Generelle bestemmelser Art. 1-4 Kapitel II Principper Art Kapitel III Den registreredes rettigheder Art Kapitel IV Dataansvarlig og databehandler Art Kapitel VII Samarbejde og sammenhæng Art Kapitel X Delegerede retsakter Art Kapitel V Overførelse af personoplysninger til tredjelande Art Kapitel VIII Retsmidler, ansvar og sanktioner Art Kapitel XI Afsluttende bestemmelser Art Kapitel VI Uafhængige tilsynsmyndigheder Art Kapitel IX Bestemmelser vedrørende specifikke behandlingssituationer Art

16 DEN NYE PERSONDATAFORORDNING OVERORDNET OM ÆNDRINGERNE I FORORDNINGEN Indeholder reelt kun få helt nye regler Materielle behandlingsregler overordnet set de samme Om end visse præciseringer og skærpelser Dog mange nye krav omkring beskyttelse og håndtering af persondata Særligt mange regler om proces og dokumentation Disse rammer også databehandlere Forordningen får indflydelse på alle dataansvarlige og alle databehandlere Før var indflydelsen primært på den dataansvarlige Stor forskel på, hvor stor indflydelse den får

17 DEN NYE PERSONDATAFORORDNING HVAD ÆNDRER SIG IKKE MED DEN NYE FORORDNING? Dataansvarlig Databehandler Etableringsreglen Datakategorier Overordnet samme definitioner som i dag Fortsat krav om skriftlig databehandlingsaftale Lovvalg følger fortsat den dataansvarliges etableringssted Overordnet samme datakategorier som i dag Overordnet samme adgang til behandling som i dag Dog tilføjelse af visse datakategorier som kræver en særlig beskyttelse Proportionalitet Saglighed Overordnet set samme regulering som i dag Samtykkekravet skærpes dog Den registreredes rettigheder Sikkerhedskrav Fortsat en oplysningspligt, indsigtsret og indsigelsesret Rettighederne styrkes generelt i form at nye regler om retten til at blive glemt, retten til dataportabilitet og retten til underretning ved sikkerhedsbrud Overordnet set gælder samme krav til såvel teknisk som organisatorisk sikkerhed, Reglerne bliver dog yderligere uddybet/detaljeret Dataeksport Dataeksport til områder udenfor EU kræver fortsat hjemmel (BCR og modelkontrakter) Overordnet set så ændrer de materielle behandlingsregler sig ikke fundamentalt

18 DEN NYE PERSONDATAFORORDNING HVAD ÆNDRER SIG MED DEN NYE FORORDNING? Behandlingsbetingelser Den registreredes rettigheder Dokumentationskrav Risikoanalyse og ansvarlighed Konsekvensanalyse Forøgede krav til samtykke til behandling Visse data er udelukket fra behandling Den registreredes rettigheder kommer mere i fokus Forordningen stiller krav om etablering af politikker om den registreredes rettigheder og håndteringen heraf Eksisterende anmeldelsesordningen afskaffes Dokumentation for behandlingsaktivitet (ansvarlige og deltager) Omfatter både dataansvarlig og databehandler Forud for en persondatabehandling skal der gennemføres en risikoanalyse (Privacy Impact Assessment/PIA) Introduktion af Privacy by Design og Privacy by Default Hvis risikoanalysen viser, at behandlingen er særlig risikabel, skal der gennemføres en konsekvensanalyse Sikkerhedsbrud Kontrol Bøde Nye krav til håndtering af sikkerhedsbrister Bl.a. underretningskrav til tilsyn og den registrerede. Pligt til udføring af kontrol og opfølgning Visse virksomheder skal udpege en Data Protection Officer Introduktion af one-stop-shop for tilsynsmyndigheder Op til 2 / 4 % af globale omsætning, eller op til EUR 10 / 20 mio. Proportionalitetsvurdering men høj sats for de mest almindelige overtrædelser => Mange nye proces- og dokumentationskrav

19 DEN NYE PERSONDATAFORORDNING HVORDAN FORBEREDER MAN SIG PÅ AT EFTERLEVE FORORDNINGEN? Behandlingskravene er som udgangspunkt de samme Proces- og dokumentationskravene dog væsentligt udvidede Stilles reelt krav om Gennemførelse af risikovurderinger Dokumentation af overholdelse af behandlingskrav Dokumentation af overholdelse af sikkerhedskrav Manglende dokumentation = overtrædelse af forordningen Manglende dokumentation = manglende garanti for passende beskyttelse Manglende garanti = kunden må ikke bruge leverandøren Mulighed for certificering

20 DEN NYE PERSONDATAFORORDNING SIKKERHED ER ET FOKUSOMRÅDE (BLAND FLERE) Øget fokus på IT-sikkerhed Bl.a. gennem de øgede krav til dokumentation og certificering IT sikkerhed GDPR compliance men vigtig del af compliance! Der er heldigvis standarder, som kan hjælpe ISO (privacy framework) ISO (privacy architecture framework) ISO series ISO31000 (risk management) And more

udviklingsproces Løsning, valg af foranstaltninger, kontrolsystemer (Teknologi og rammeværker) Analyser

21 DEN NYE PERSONDATAFORORDNING Dokumenter dataflow og klassificer data (kortlægning af data, klassifikation, integrationer/komponenter) Definer produktet eller servicens indhold (funktionalitet, tilgang) PRIVACY udviklingsproces Løsning, valg af foranstaltninger, kontrolsystemer (Teknologi og rammeværker) Analyser trusler, risici og konsekvenser (retlig regulering, hjemmel for behandling, identificer risici, PIA, ITsikkerhedsprincipper)

23 HVAD BØR IT-LEVERANDØREN GØRE NU? Kortlæg omfanget af produkter og services, hvor persondata behandles Vurder nuværende compliance grad og opstil prioritering / identificer højrisiko områder Gennemgå databehandlingsaftaler der skal formentlig laves nye Gennemgå driftsmæssigt og teknisk sikkerhedsniveau (proces og datamapping, identitetsstyring, beredskab, logning mv.) Gennemgå organisatoriske sikkerhedsniveau (politikker, beredskab, identitet) Forbered revisionsproces på tekniske sikkerhedsniveau og på behandling af persondata ISAE 3402 og 3000 (Jesper giver eksempler om lidt) Det kan kun gå for langsomt med at få implementeret kravene

25 KONTAKT Tim Nielsen, Advokat Mobil: Direkte:

Relaterede dokumenter

PERSONDATA - INDSAMLING, BEHANDLING OG OPBEVARING AF FORBRUGSDATA I FORSYNINGSSEKTOREN

PERSONDATA - INDSAMLING, BEHANDLING OG OPBEVARING AF FORBRUGSDATA I FORSYNINGSSEKTOREN PRÆSENTATION DAN B. LARSEN Advokat (H), Partner hos DAHL Advokatfirma Udvalgte beskæftigelsesområder: Forsyningsselskaber