Collectia Årsdag 2016 Persondataforordningen Onsdag, den 2. november 2016 Pia Kirstine Voldmester, advokat og partner hos Bruun & Hjejle
Der er masser af persondata i inkasso-opgaver Processen i en god inkassohistorie Ubetalt krav Rykkerskrivelse(r) og inkassovarsel Personlige henvendelser, fortsat ingen betaling Fundament indgås (betalingspåkrav, forlig mv.) Oversendelse til fogedret, fogedretsmøde og afdragsordning Sagen afsluttes med betaling til kreditor og en glad kunde 2
Overordnet Tidshorisont, indhold og form Hvad ved vi? Forordning 2016/679 (på alle EU-sprog) Koordineret og ensartet fortolkning, særligt via European Data Protection Board Reglerne åbner op for nationale særregler på en del områder Trådte i kraft 24. maj 2016 Anvendes fra 25. maj 2018 Mange nye proces- og dokumentationskrav Ensartet og mærkbar sanktionering i EU/EØS Hvad udestår? Medlemsstaternes stillingtagen til særregler Udarbejdelse af delegerede retsakter Fortolkningsbidrag til mange uklare regler Op til 2-4% Op til 10 20 mio. kr. 3
Det, der (næsten) ikke ændrer sig Gældende regler, som genfindes i forordningen 1 Dataansvarlig, databehandler Samme definitioner Fortsat krav om skriftlig databehandleraftale og kontrol med databehandleren Databehandlere får dog direkte ansvar for sikkerhed, underdatabehandlere, dokumentation, mv. 2 3 Datakategorier Proportionalitet og saglighed og behandlingsgrundlag Samme følsomme vs. ikke-følsomme data fagforeningsmæssigt tilhørsforhold og helbredsoplysninger mv. er stadig følsomme Børn under 16 år (ned til 13 år) Genetiske data og biometriske data når behandling mhp. identifikation De grundlæggende principper kendt fra PDL 5 fortsætter Lignende adgang til behandling (øget fokus på frivillighed i samtykket) Nye regler om profilering 4 Registreredes rettigheder Rettighederne styrkes, f.eks. udvidet oplysningspligt (f.eks. grundlag for behandling), indsigtsret, indsigelsesret, retten til sletning 5 Sikkerhedskrav Overordnede krav om teknisk og organisatorisk sikkerhed vil fortsat gælde men er mere detaljerede Slettepligten består fortsat videregivelse Nye krav om privacy by design og privacy by default it-systemer (!) 6 Internationale dataoverførsler Forsat krav om overførselsgrundlag ved overførsel til tredjelande (fx Kommissionens standardkontrakter og nye overførselsgrundlag f.eks. interesseafvejning) Materielle regler i grundmaterien (næsten) same same 4
Det, der er nyt i overblik Udvalgte fokuspunkter 1 2 Registreredes rettigheder mere i fokus Accountability Krav om (en del) politikker om registreredes rettigheder og håndtering heraf f.eks. af indsigt, sikkerhedsbrud, sletning af data ved tilbagekaldelse af samtykke, mv. Nye rettigheder f.eks. blokering og dataportabilitet Ubetinget ret til at gøre indsigelse mod direkte markedsføring Accountability det er ikke nok at være compliant I skal underbygge med processer og kontroller Dokumentation for behandlingsaktiviteter mv. 3 Risikoanalyse I forbindelse med processer og it-systemer skal den dataansvarlige udarbejde risikoanalyser som grundlag for den valgte sikkerhed 4 Konsekvensanalyse (DPIA) Hvis risikoanalysen viser, at risikoen ved behandlingen er høj, skal der yderligere gennemføres konsekvensanalyser (Data Protection Impact Asssessments) 5 Sikkerhedsbrud Nye krav til håndtering af sikkerhedsbrist underretningskrav til tilsyn og de registrerede Tidsfrister Praktisk håndtering 6 Data Protection Officer Udpegning af data protection officer men en opgave for de relativt få Samlet set: Mange og omfattende nye proces- og dokumentationskrav 5
Materielle behandlingsprincipper og -regler 6
Grundlæggende principper for al behandling ART. 5 Lovlighed, rimelighed og gennemsigtighed Lovlig, rimelig og gennemsigtig over for den registrerede Formålsbegrænsning Indsamling af oplysninger skal ske til udtrykkeligt angivne og legitime formål, og senere behandling må ikke være uforenelig med disse formål. Statistiske formål (mv.) som udgangspunkt forenelige (artikel 83) A n s v a r l i g h e d Dataminimering Datakvalitet Lagringsbegrænsning i tid Oplysningerne skal være relevante, tilstrækkelige og begrænset til hvad der er nødvendigt i forhold til formålene Kan vi nå formålet med færre oplysninger? Oplysninger skal være rigtige og om nødvendigt ajourførte; Der skal tages ethvert rimelig skridt for at sikre, at personoplysninger, der er urigtige, omgående slettes eller berigtiges Oplysninger skal opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end formålet tilsiger Muligheder for opbevaring mhp. statistiske formål mv. (art. 83) Integritet og fortrolighed Tilstrækkelig sikkerhed for personoplysninger, herunder mod ubemyndiget eller ulovlig behandling og mod hændeligt tab, ødelæggelse eller beskadigelse, under anvendelse af passende tekniske eller organisatoriske foranstaltninger. Den dataansvarlige skal kunne dokumentere, at ovenstående overholdes 7
Datakategorierne i overblik Almindelige oplysninger Navn, adresse, indkomst og formueforhold, civil stand, gæld (8inkl. restancer)osv. Alle andre oplysninger end de særlige kategorier (inkl. rent private forhold) Følsomme oplysninger Racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold (ikke A-kasse), helbredsmæssige og seksuelle forhold Genetiske og biometriske data, ved behandling mhp. identifikation Straffeattester mv. Behandling for private virksomheder kræver lovhjemmel (samtykke ikke en mulighed) Cpr. nr. Mulighed for opretholdelse af nationale særregler (art. 87) 8
Samtykkekravet skærpes Art. 7 Et samtykke skal være 1. Frivilligt Et reelt frit valg Kan trækkes tilbage (hvorefter data skal slettes!) Separat samtykke til forskellige databehandlinger Gennemførelse af en kontrakt eller levering af en service må ikke betinges af samtykke til behandling eller brug af oplysninger, som ikke er nødvendige for gennemførelsen af kontrakten 2. Specifikt 3. Informeret 4. Utvetydigt (nogle gange udtrykkeligt) Samtykket skal være tydeligt adskilt fra øvrig tekst (f.eks. ikke indeholdt i almindelige betingelser for brug af netbank, kundeaftaler osv.) Systemer skal indrettes, så der sikres opsamling og opbevaring af dokumentation (bevisbyrde) Opdatering af nuværende samtykkeformularer- og metoder Forældre/værge samtykke for børn op til 16 år ved brug af informationssamfundstjenesteydelser (medlemsstater kan vælge at lempe, så samtykke kun ned til 13 år ) 9
Registreredes rettigheder 10
Overblik over registreredes rettigheder Art. 12-22 Oplysningspligt Ret til uden forespørgsel at blive oplyst om behandling af oplysninger om ham/hende Indsigt Ret til på forespørgsel at få indsigt i hvilke oplysninger den dataansvarlige behandler om ham/hende selv U n i v e r s e l l e k r a v Berigtigelse Sletning Begrænsning Dataportabilitet Indsigelse Ret til at få urigtige oplysninger berigtiget Ret til at få slettet oplysninger om ham/hende selv (retten til at blive glemt) Ret til at kræve begrænsning af behandling ( blokering ) i en periode Ret til at oplysninger afgivet af vedkommende selv med til en ny leverandør Ret til at gøre indsigelse mod behandling af hans/hendes personoplysninger Automatisk individuel beslutningstagning Ret til ikke at blive underlagt automatisk, individuel beslutningstagning Klart og enkelt sprog, tidsfrister mv. 11
Universelle krav ifm. den registreredes rettigheder Art. 12 Kortfattet (!), gennemsigtig, letforståelig og let tilgængelig form i et klart og enkelt sprog (standardiserede ikoner fsva. oplysningspligten) U n i v e r s e l l e k r a v Skriftlighed eller (hvis hensigtsmæssigt) elektronisk form (på anmodning mundtligt) Ved tvivl om identitet på den anmodende person, må virksomheden anmode om yderligere oplysninger for at bekræfte identitet Anmodninger må ikke afvises, med mindre den dataansvarlige kan bevise, at det ikke er muligt at identificere den person, der fremsætter anmodningen Svar på henvendelser inden for 1 måned fra modtagelsen. Forlængelse med højst 2 måneder. Ved afvisning af en henvendelse, skal virksomheden svare inden for 1 måned om årsag mv. (Andre frister for oplysningspligten) Den dataansvarlige skal facilitere udnyttelsen af de registreredes rettigheder Gratis at udnytte rettigheder Mulighed for at afvise eller opkræve gebyr (svarende til administrative omkostninger) ved åbenbart grundløse/overdrevne anmodninger. Bevisbyrde hos virksomhed. 12
Oplysningspligt - hvad skal der oplyses om? Art. 13 og 14 Den dataansvarliges identitet og kontaktoplysninger Formålene med behandlingen af oplysningerne Behandlingsgrundlaget; ved interesseafvejning; de interesser, der forfølges (Kategorierne af) modtagere (fx videregivelse til politi, skat) Overførsler til tredjelande (detaljer om sikkerhedsniveau) Opbevaringsperioden eller hvis ej muligt, kriterierne derfor Den registreredes rettigheder Retten til at tilbagekalde et samtykke Retten til at klage til Datatilsynet/tilsyn Om afgivelsen af personoplysninger følger af lov eller er nødvendig for at indgå en kontrakt Ved indsamling hos den registrerede: konsekvenser af ikke at afgive oplysninger Evt. brug af automatiserede beslutningsprocesser, meningsfuld information om den bagvedliggende logik og konsekvenserne/betydningen for den registrerede Ved indsamling hos 3. mand; typen af oplysninger, der er indsamlet 13
Oplysningspligten Oplysningspligten påhviler den dataansvarlige Databehandleren kan instrueres i at gøre det på dataansvarliges vegne Gælder både ved indsamling hos den registrerede selv og ved indsamling hos 3. mand Ved kreditrådgivningsværktøjer Ved mobilbankløsninger Facebook, osv. Overvågning Osv. osv. kort sagt ALT Gælder også selv om den registrerede selv har offentliggjort oplysningerne 14
Ret til indsigt Art. 15 Krav på at få oplyst om der behandles oplysninger og i bekræftende fald også kontekstuelle oplysninger om (ALT!): Formålet med behandlingen Kategorier af personoplysninger (Kategorier af) modtagere, navnlig i tredjelande eller internationale organisationer Opbevaringsperiode og hvis ej muligt, kriterierne derfor Retten til at anmode om berigtigelse eller sletning, begrænsning og retten til at gøre indsigelse Retten til at klage til en tilsynsmyndighed Tilgængelig information om kilderne til informationen Eksistensen af en automatiserede afgørelser, herunder profilering, meningsfulde oplysninger om den bagvedliggende logik og de forventede konsekvenser for den registrerede Oplysning om overførsel til tredjelande og de trufne foranstaltninger efter overførselsreglerne Dataansvarlig skal give en KOPI af de personlige oplysninger. Mulighed for gebyr ved anmodning om yderligere kopier 15
Hvad er profilering? Definition - artikel 4(4) Enhver form for automatisk behandling af personoplysninger, der består i at anvende personoplysninger til at evaluere bestemte personlige forhold vedrørende en fysisk person, navnlig for at analysere eller forudsige forhold vedrørende den fysiske persons arbejdsindsats økonomiske situation helbred personlige præferencer interesser pålidelighed adfærd geografisk position eller bevægelser 16
Individuel automatisk afgørelse (og profilering) mv. Artikel 22 Udgangspunkt Den registrerede har ret til ikke at blive underlagt afgørelser, som udelukkende er baseret på automatiseret behandling af personoplysninger, herunder profilering, og som har retsvirkning for ham/hende eller på lignende vis betydeligt påvirker ham/hende Undtagelser a) Beslutningen er nødvendige for kontraktindgåelse eller opfyldelse b) Afgørelsen er hjemlet i lokal lov c) Den registreredes udtrykkelige samtykke. a + c: Dog ret til menneskelig intervention fra dataansvarlig, ret til at den registrerede kan udtrykke sin holdning og ret til at udfordre afgørelsen Følsomme oplysninger kun ved samtykke eller offentlig interesse (dvs. ikke kontrakt!) Mulige situationer Automatisk stillingtagen til om gæld kan eftergives på grundlag af profilering Automatisk stillingtagen til låneansøgning på grundlag af profilering Automatisk lønafregning i forhold til tidsregistrering ved brug af stempelkort eller lign. 17
Databehandlere 18
Hvad er parternes opgaver efter GDPR? Dataansvarlig Databehandler Fx Vurdering af saglighed/lovlighed Indhentelse af samtykke mv. Information til de registrerede Håndtering af indsigtsanmodninger Undersøgelse af databehandlere Indgåelse af databehandleraftaler Dokumentationskrav Sikkerhedskrav (anmeldelse til Datatilsynet) DPO Fx Dokumentationskrav Sikkerhedskrav Underdatabehandlere DPO Bistand til dataansvarlige fsva. konsekvensanalyser, sikkerhedsbrud, registreredes rettigheder mv. Har fortsat ansvaret for at indgå en databehandleraftale 19
Databehandlere Databehandleraftaler, instrukser og kontrol Pre-audit Databehandlerens fornødne garantier Hvilke procedurer har databehandleren til sikring af oplysningerne? Databehandleraftaler Behandling må kun finde sted i henhold til skriftlig aftale mellem parterne Aftalen skal indeholde bestemmelser om, at databehandleren kun må behandle oplysninger efter dokumenteret instruks fra den dataansvarlige, og at lovkravene overholdes Instrukser Personer, virksomheder osv., der behandler oplysninger for den dataansvarlige eller databehandleren, og som har adgang til oplysninger, må kun foretage behandling efter dokumenteret instruks fra den dataansvarlige (ifølge aftale eller lovgivning) Audit Den dataansvarlige skal sikre, at databehandleren er i stand til at implementere de tekniske og organisatoriske sikkerhedsforanstaltninger og sikre compliance med disse foranstaltninger 20
Databehandleraftaler Artikel 28 Aftalen skal fastsætte: 1 (Databehandlerens fornødne garantier for behandlingens lovlighed) Adfærdskodeks Certificering 2 Genstanden for behandlingen 3 Varigheden af behandlingen 4 Behandlingens karakter og formål 5 Typen af personoplysninger 6 Kategorier af registrerede 7 Parternes rettigheder og forpligtelser Se næste slide. 21
Parternes rettigheder og forpligtelser Artikel 28 Aftalens regulering af databehandlerens forpligtelser Behandling må kun ske efter dokumenteret instruks fra den dataansvarlige til databehandleren U: EU-ret eller national ret kræver behandling. Personer, der er autoriseret til at behandle oplysninger skal være underlagt fortrolighed (i aftale eller lov) Nødvendige foranstaltninger for behandlingssikkerhed Under hensyntagen til behandlingens karakter, så vidt muligt bistå dataansvarlig ved hjælp af passende tekniske og organisatoriske foranstaltninger, med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelse af de registreredes rettigheder. Bistå dataansvarlige med overholdelse af reglerne om behandlingssikkerhed, anmeldelse af sikkerhedsbrud til myndighederne og de registrerede, konsekvensanalyser og forudgående høring af tilsynsmyndigheden (næste slide) Slette eller tilbagelevere personoplysninger til den dataansvarlige, efter at tjenesterne vedrørende behandling er ophørt, og slette eksisterende kopier. U: EU-ret eller MS ret foreskriver opbevaring af personoplysningerne Stille alle oplysninger til rådighed og give mulighed for inspektioner Omgående underrette den dataansvarlige om instrukser i strid med GDPR, EU-ret eller national ret 22
Bistandsforpligtelser Revisioner Databehandleren skal give mulighed for og bidrage til revisioner Anmodninger fra de registrerede Bistå med opfyldelse af den dataansvarliges forpligtelser ift. at besvare anmodninger om udøvelse af registreredes rettigheder. Databehandleren skal stille alle nødvendige oplysninger til rådighed Gælder alle typer af anmodninger Databehandleren skal videresende anmodningerne vedrørende den dataansvarliges data Sikkerhed Databehandleren skal bistå med at sikre overholdelse af sikkerhedsforanstaltninger Konsekvensanalyser Databehandleren skal bistå ved udarbejdelse af og opfølgning på konsekvensanalyser Gælder alle forpligtelser vedr. sikkerhed, også anmeldelse og underretning ved brud på sikkerhed Forpligtelse til at gøre den dataansvarlige opmærksom på brud Dataansvarlige er ansvarlig for konsekvensanalysen Skal ske hver gang en type behandling medfører høj risiko for de registrerede gælder også behandlinger hos databehandler 23
Accountability, dokumentation sikkerhedsbrud 24
Accountability / ansvarlighed for dataansvarlige (1) Under hensyntagen til den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og Realitet frem for formalitet frihedsrettigheder gennemfører den dataansvarlige passende tekniske og organisatoriske foranstaltninger for at sikre og for at være i stand til at påvise, at behandling er i overensstemmelse med denne forordning. Disse foranstaltninger skal om nødvendigt revideres og ajourføres. (2) Hvis det står i rimeligt forhold til behandlingsaktiviteter, skal de foranstaltninger, der er omhandlet i stk. 1, omfatte den dataansvarliges implementering af passende databeskyttelsespolitikker. 1 DOKUMENTATIONSKRAV RISIKOANALYSE KONSEKVENSANALYSE AUDITERING/LØBENDE KONTROL 25
Dokumentationskrav dataansvarlige og databehandlere Princippet om accountability 1 Dataansvarlige Databehandlere M I N D S T E K R A V Dokumentation for behandlingsaktiviteter Den dataansvarliges/den dataansvarliges eventuelle repræsentanters/dpo ens navn og kontaktoplysninger Behandlingens formål Kategorier af registrerede og persondata Kategorier af modtagere af persondata Tredjelandsoverførsler og grundlaget herfor (herunder vurderinger efter art. 44(6) Sletteregler Tekniske og organisatoriske sikkerhedsforanstaltninger Dokumentation for behandlingsaktiviteter Databehandlerens/databehandlerens eventuelle repræsentanters navn og kontaktoplysninger Kategorier af databehandling Tredjelandsoverførsler og grundlaget herfor (herunder vurderinger efter art. 44(6) Tekniske og organisatoriske sikkerhedsforanstaltninger Fortegnelsen Skriftlig Elektronisk Kan kræves udleveret af Datatilsynet < 250 ansatte undtaget Medmindre Højrisiko-behandling Regelmæssig behandling Følsomme oplysninger 26
Sikkerhedsbrud for dataansvarlige Art. 33-34 72 t Kendskab til sikkerhedsbrud Anmeldelse til Datatilsynet Underretning af registrerede Tilføje til fortegnelse over sikkerhedsbrud 1 2 3 4 5 Løbende undersøgelse og beskrivelse 1 Sikkerhedsbrud Kendskab til sikkerhedsbrud Eventuel databehandler underretter straks dataansvarlig 2 Undersøgelse og beskrivelse Undersøgelser og beskrive kategorier af data, antal af registrerede, kontaktoplysninger, foranstaltninger, konsekvenser for registrerede, mv. 3 Anmeldelse til Datatilsynet Den dataansvarlige anmelder tilsynsmyndigheden senest 72 timer efter kendskab Evt. trinvist hvis det ikke er muligt at give oplysningerne samlet 4 Underretning til registrerede Den dataansvarlige underretter den registrerede, hvis sikkerhedsbruddet indebærer en høj risiko 5 Fortegnelse Tilføje til fortegnelsen over sikkerhedsbrud 27
Compliance-øvelsen 28
Forordningens to indbyggede compliance øvelser kort og langt sigt 25. maj 2018 Overblik over datastrømme, databehandlinger (formål mv.) Indsamle/udarbejde dokumentation for behandlinger Udarbejde risiko- og evt. konsekvensanalyser Evt. nødvendige tilpasninger i it og it sikkerhed Overblik over umiddelbart nødvendige itsystemændringer (samt begyndende data protection by design and default) Tilpasning af dokumenter, herunder Databehandleraftaler (og forhandling deraf) Samtykker, oplysningstekster, politikker mv. Iagttagelse af proces- og dokumentationskrav Opdatering af politikker, samtykker mv. Håndtering af evt. indsigtsbegæringer Håndtering af evt. klagesager Data protection by design og by default i nye systemer Træning af medarbejdere Auditering Mv. Den vedvarende forpligtelse Processer til varetagelse af registreredes rettigheder Ansvars- og rollefordeling, evt. udpegning af DPO 29
Stakeholder management Overblik compliance-projektet fra A- Å (Den korte bane) Den juridiske del Hovedaktiviteter 1 Nedsættelse af projektorganisation Få ledelsen om bord Afdæk og sælg fordelene for back-end og forretningen Nedsætte en styregruppe og en projektgruppe (frigøre og tilføre ressourcer) Samarbejde på tværs af organisationen 2 Scoping af projekt/ planlægning Udvælg typer af data, datasubjekter, databehandlere, behandlinger og processer, afdelinger, lovgivning mv. Allokere nødvendige ressourcer, økonomisk, systemmæssigt og menneskelige ressourcer Projekt- og tidsplan 3 Analyse af datastrømme mv. Afdække processer og derefter datastrømme herunder oprindelige formål, senere formål, modtagere, lande, overførselsgrundlag, mv. Indsamle eksisterende dokumenter, f.eks. databehandleraftaler, samtykker mv. Afdække sikkerhedsaspekter (med teknisk kyndig bistand) 4 Juridisk og teknisk compliance-analyse ift. forordningen Gennemgå det indsamlede materiale Identificere gaps, særlige risikoområder og anbefalinger om konkrete tiltag Organisationen vedtage (evt. delvist) tiltag og tilføre nye ressourcer 5 Nye tiltag forberedes Leverandørforhandling - ændring i teknisk opsætning (samtykke, dataportabilitet), databehandleraftaler, udføre ændringer Udpege DPO og DPO-organisation Udarbejde dokumentation (databehandleraftaler, SOPs/guidelines, processer for sikkerhedsbrud mv. ) Samtykker, privacy policies (udarbejde nye tekster, indhente nye samtykker og kommunikere nye privacy policies) 6 Implementering & launch (+clean-up) Udarbejde kommunikation og kick-off Oprydning i nuværende og gamle systemer (slette/anonymisere/destruere data) Udrulle træning og nye arbejdsgange GO LIVE Auditering mv. Løbende dokumentation, træning, privacy impact assessments (udarbejdelse og review), høring af registrerede, nye databehandleraftaler, nye leverandøraftaler, mv. 30
Kontaktoplysninger Pia Kirstine Voldmester, Partner IP, markedsføring og persondata Tel. 26 86 64 28 E-mail pkv@bruunhjejle.dk 31