Persondataforordningen & kommuner. Vejle, 5. maj 2015 Advokat, partner Nis Peter Dall. Baseret på persondatadirektivet (fra 1995)

Transkript

1 Persondataforordningen & kommuner Vejle, 5. maj 2015 Advokat, partner Nis Peter Dall Forordningen I dag Persondataloven (fra 2000) Baseret på persondatadirektivet (fra 1995) Forskelle i implementering fra land til land Fremtiden Samme forordning i hele EU Samme regler Nok lidt forskellig fortolkning Side 2 1

2 Forordningen Stadig kun et forslag Første officielle udgave fra januar 2012 Siden da - flere forskellige (del-) udgaver. Afventer Kommissionens sammenfattede endelige forslag Forventes i løbet af sommeren 2015 Der VIL komme flere ændringer til forslaget Side 3 Forordningen Hvornår kan vi forvente forordningen? Jean-Claude Juncker: Inden for 6 måneder (!) Da han tiltrådte i nov Men realistisk nok ultimo 2015 Der forventes 2 års sunrise -periode efter vedtagelsen Efter udløb af sunrise-periode, så fuld gyldighed Side 4 2

3 Forordningen Overordnede principperne beholdes Lovlig og loyal behandling Formålet skal være specifikt Data skal være præcise og ajour Data må kun opbevares, så længe de er nødvendige Dataansvarlige er ansvarlig for behandlingen Større fokus på: Gennemsigtighed Dokumentation Datasubjektets egen kontrol Side 5 Mulighed for særlige regler Grundlæggende skal forordningen overholdes Men: Member states should be allowed to maintain or introduce national provisions to further specify the application of this Regulation. (30. april 2015) Side 6 3

4 Data Protection Officers Der skal udpeges en DPO, hvis: offentlig myndighed Ansat eller tredjepart Kan deles Uafhængig Må ikke have interessekonflikter i stillingen (kan blive svært!) Udpeges: For 4 år hvis ansat For 2 år hvis ekstern Muligvis særlig beskyttet Kun afskediges hvis væsentlig misligholdelse Rapporterer direkte til ledelse Skal have særlig kvalificeret viden om persondataret. Side 7 Data Protection Officers DPO ens job Deltage i alle spørgsmål vedrørende databehandling Kontaktperson for myndigheder og datasubjekter Tilsyn med overholdelse af forordning (compliance) Side 8 Implementere Politikker, procedurer Sikkerhedskrav Sikre dokumentation 4

5 Krav om politikker Dataansvarlige skal have skriftlige politikker for alle behandlinger af persondata Hvorfor og hvordan persondata håndteres Hvem der er ansvarlig, og hvordan de kan kontaktes Datasubjektets rettigheder Gennemsigtighed Skal være let tilgængelige Tydeligt og letforståeligt sprog Side 9 Procedurekrav Dataansvarlig skal have nedskrevne, interne procedurer for håndteringen af: Orienteringspligt til datasubjekterne Indsigtsret Ret til berigtigelse Indsigelsesret Ret til sletning/retten til at blive glemt Dataportabilitet Tidsfrist - én måned Afvisning Begrundes Klagemulighed og mulighed for retssag skal beskrives Side 10 5

6 Dokumentationskrav Dataansvarlige skal have regler og foranstaltninger, der viser og sikrer compliance Særligt ift: Dokumentationskrav Sikkerhedskrav Risikovurderinger / Konsekvensanalyser (DPIA) DPO Uafhængig revisionskontrol Side 11 Dokumentationskrav Dataansvarlig og databehandler skal have skriftlig dokumentation for enhver behandling, de foretager. Oplysning om: Kontaktoplysninger for dataansvarlig, databehandler og DPO( er) Formålsbeskrivelse samt hjemmel Kategorier af datasubjekter og datatyper Kategorier af datamodtagere Overførsler til tredjelande Tidsgrænser for sletning Kontrolforanstaltninger ift. compliance (fx revisionsstandarder) Side 12 6

7 Sikkerhed Passende tekniske og organisatoriske sikkerhedsforanstaltninger Aktuelle tekniske niveau Omkostninger ved foranstaltninger Uddybende krav kan forventes Svarende til bekendtgørelser som Sikkerhedsbekendtgørelsen Krav om risikovurdering ved hver behandling Skal dokumenteres Side 13 Data Protection Impact Assessment DPIA Skal laves, når der er særlige risici i medfør af behandlingens: Karakter Omfang Formål Fx: Behandling af mere end 5000 datasubjekter over en 12 måneders fortløbende periode Hovedaktivitet består i databehandling Hovedaktiviteten består i behandling af følsomme personoplysninger, lokationsdata eller data vedrørende børn eller ansatte i store filhåndteringssystemer Undtagelse for offentlige myndigheder, hvis: Lovpligtig behandling, som følger af EU-retten Regler og procedurer for behandling følger af loven Side 14 7

8 Data Protection Impact Assessment DPIA skal omfatte: Generel beskrivelse af behandlingen Risici ift. datasubjekterne Hvordan disse risici kan begrænses bl.a. ift. teknisk og organisatorisk sikkerhed Beskrive compliance med forordningen (evt. høring af datasubjekter eller repræsentanter) Myndigheder høres Hvis DPIA viser store risici ved behandlingen. Side 15 Privacy by design/default Alle systemer skal designes med persondatasikkerhed og overholdelse af forordningen i mente By default: Kun relevante data indsamles og behandles Data kan ikke gemmes længere end nødvendigt Kun relevante personer har adgang til data Eksisterende systemer, skal tilpasses Hensyntagen til: Omkostninger Aktuelle tekniske niveau Best practice Det forventes, at der kommer tekniske standarder Side 16 8

9 Sanktioner Erstatning Alle, der lider tab som følge af overtrædelse, kan kræve erstatning Omvendt bevisbyrde! Dataansvarlig eller databehandler kan helt eller delvis fritages for erstatningsansvar, hvis: Beviser, at de ikke er ansvarlige for hændelsen, der medførte skaden. Side 17 Datasubjektet skal stadig bevise tabet Kan være svært Torterstatning? Sanktioner Administrative sanktioner Niveauet, vi kender i dag, bliver væsentligt forøget Sanktioner skal være afskrækkende Ensartede i hele EU Advarsel Førstegansforseelse og non-intentional Bøde Op til EUR eller 5% af årlig global omsætning Afhængigt af hvad der er højest. Tage højde for: grovheden, skades størrelse, gentagelse m.v. Side 18 9

10 Kontaktoplysninger Bird & Bird advokatfirma Nis Peter Dall, advokat, partner! Telefon: ! Direkte: ! Mobil: ! Side 19 Thank you Advokat Nis Peter Dall BIRD & BIRD ADVOKATPARTNERSELSKAB Bird & Bird Advokatpartnerselskab er et registreret selskab i Danmark under CVR-nr Alle vores advokater er medlem af Advokatsamfundet og underlagt de advokatetiske regler fra Advokatrådet. Reglerne er tilgængelige her: BIRD & BIRD Bird & Bird LLP, er et registreret partnerskab, registreret i England og Wales under registreringsnummer OC340318, der er autoriseret og underlagt Solicitors Regulation Authority, og dets regler og retningslinier der er tilgængelige her: sra.org.uk/handbook/ For yderligere information om Bird & Bird internationalt, herunder Bird & Bird LLP, dets filialer og associerede selskaber (samlet benævnt Bird & Bird ), vores kontorer, ansatte, partnere og rådgivningsområder, brug af s og regulatoriske forhold, se vores website på twobirds.com og navnlig Legal Notices. 10