====== EU's GDPR ====== **– de overordnede koncepter** **GDPR** (General Data Protection Regulation, forordning 2016/679) er EU's lovgivning om beskyttelse af persondata, som trådte i kraft i maj 2018. Her er kernebegreberne: ===== Formål og rækkevidde ===== * Reglen beskytter fysiske personers („de registreredes") persondata og sikrer fri bevægelighed af data inden for EU. * Den gælder for **alle organisationer** (virksomheder, offentlige\\ myndigheder, foreninger), der behandler persondata om personer i EU\\ anset hvor organisationen er etableret. * „Persondata" er enhver information, der kan henføres til en identificerbar\\ person: navn, e-mail, IP-adresse, lokalisationsdata osv. ===== Nøgleroller ===== * **Behandlingsansvarlig** (data controller): bestemmer formål og midler til behandlingen – typisk virksomheden selv. * **Databehandler** (data processor): behandler data på den ansvarliges vegne, f.eks. en cloud- eller IT-leverandør. * **Registreret** (data subject): den person, dataene handler om. * **Tilsynsmyndighed**: i Danmark Datatilsynet, som fører tilsyn og kan udstede bøder. ===== Grundprincipper (artikel 5) ===== - **Lovgrundlag** – behandling skal ske på et gyldigt grundlag - **Formålsbegrænsning** – data må kun bruges til angivne, udtrykkelige formål - **Dataminimering** – kun indsamle, hvad der er nødvendigt - **Korrekthed** – data skal være korrekte og opdateres - **Opbevaringsbegrænsning** – data skal slettes, når de ikke længere er nødvendige - **Integritet og fortrolighed** – sikkerhed mod uautoriseret adgang og tab - **Ansvarlighed** (accountability) – den ansvarlige skal kunne //dokumentere// overholdelse ===== Lovgrundlag (artikel 6) ===== Behandling kræver mindst ét gyldigt grundlag: **samtykke**, opfyldelse af **aftale**, **retlig forpligtelse**, **beskyttelse af vitale interesser**, **offentlig opgave** eller **afvejede legitime interesser**. Særlige kategorier (helbredsdata, biometri, politisk overbevisning m.v.) kræver et strengere grundlag. ===== Den registreredes rettigheder ===== * **Ret til indsigt** – at få at vide, hvilke data der behandles * **Ret til berigtigelse** – fejl skal rettes * **Ret til sletning** („retten til at blive glemt") * **Ret til databærbarhed** – at få data i maskinlæsbart format * **Ret til indsigelse** og **begrænsning af behandling** * **Ret til ikke at være genstand for helautomatiske beslutninger** ===== Organisationens forpligtelser ===== * **Behandlingsregister** over alle behandlingsaktiviteter * **Databeskyttelsesrådgiver (DPO)** ved visse typer organisationer * **Risikovurdering (DPIA)** ved højrisikobehandlinger * **Anmeldelse af databrud** til myndigheden inden 72 timer * **Privacy by design & by default** – databeskyttelse indbygget fra starten * **Databehandleraftaler** med alle underleverandører * Særlige regler for **overførsel til tredjelande** (f.eks. uden for EU; her kræves f.eks. standardkontraktsbestemmelser) ===== Sanktioner ===== Tilsynsmyndigheder kan udstede bøder på op til **20 mio. EUR eller 4 % af den globale årsomsætning** – det højeste gælder. Kort sagt: **GDPR** bygger på tanken om, at **privatliv** er en **grundrettighed**, og at organisationer skal håndtere persondata åbent, minimalt og sikkert – og kunne __**bevise**, at de gør det__. ===== Kilder og henvisninger ===== * **EUR-Lex – komplet forordningstekst (dansk):**\\ [[https://eur-lex.europa.eu/legal-content/DA/TXT/?uri=celex%3A32016R0679|Forordning (EU) 2016/679 (GDPR) på dansk]]\\ * **EUR-Lex – officielt resumé (dansk):**\\ [[https://eur-lex.europa.eu/legal-content/DA/LSU/?uri=celex%3A32016R0679|EUR-Lex resumé af GDPR]]\\ * **EUR-Lex – ELI-version (engelsk):**\\ [[https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng|Regulation (EU) 2016/679]]\\ * **Grundprincipper (artikel 5):**\\ [[https://gdpr-info.eu/art-5-gdpr/|Art. 5 – Principles relating to processing of personal data]]\\ * **Lovgrundlag (artikel 6):**\\ [[https://gdpr-info.eu/art-6-gdpr/|Art. 6 – Lawfulness of processing]] * **Den registreredes rettigheder (kapitel III):**\\ [[https://gdpr-info.eu/chapter-3/|Chapter 3 – Rights of the data subject]]\\ * **Risikovurdering (artikel 35):**\\ [[https://gdpr-info.eu/art-35-gdpr/|Art. 35 – Data protection impact assessment (DPIA)]]\\ * **Privacy by design (artikel 25):**\\ [[https://gdpr.eu/article-25-data-protection-by-design/|Art. 25 – Data protection by design and by default]]\\ * **Behandlingsregister (artikel 30):**\\ [[https://gdpr.eu/article-30-records-of-processing-activities/|Art. 30 – Records of processing activities]]\\ * **Overførsel til tredjelande (kapitel V):**\\ [[https://gdpr-info.eu/chapter-5/|Chapter 5 – Transfers of personal data to third countries]]\\ * **Bøder (artikel 83):**\\ [[https://gdpr-info.eu/art-83-gdpr/|Art. 83 – General conditions for imposing administrative fines]]\\ * **Databrud (artikel 33-34) og DPO (artikel 37):** se EUR-Lex-teksten ovenfor, kapitel IV (artikel 33, 34 og 37)\\ * **Standardkontraktsbestemmelser (SCC):**\\ [[https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en|Europa-Kommissionen – Standard Contractual Clauses]]\\ * **Dansk tilsynsmyndighed:**\\ [[https://www.datatilsynet.dk/regler-og-vejledning|Datatilsynet – regler og vejledning]]\\ === Grundlovgivning (EUR-Lex) === * **Komplet forordningstekst på dansk:** [[https://eur-lex.europa.eu/legal-content/DA/TXT/?uri=celex%3A32016R0679|Forordning (EU) 2016/679 (GDPR) på dansk]] – selve forordningen med alle artikler * **EUR-Lex' officielle resumé (dansk):** [[https://eur-lex.europa.eu/legal-content/DA/LSU/?uri=celex%3A32016R0679|EUR-Lex resumé af GDPR]] – GDPR trådte i kraft 25. maj 2018 og beskytter fysiske personer * **ELI-versionen (engelsk, komplet tekst):** [[https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng|Regulation (EU) 2016/679]] === Henvisninger pr. koncept === ^ Koncept ^ Artikel ^ Henvisning ^ | Grundprincipper (lovgrundlag, formålsbegrænsning, dataminimering m.v.) | Art. 5 | [[https://gdpr-info.eu/art-5-gdpr/|gdpr-info.eu/art-5-gdpr]] | | Lovgrundlag (samtykke, aftale, legitime interesser m.v.) | Art. 6 | [[https://gdpr-info.eu/art-6-gdpr/|gdpr-info.eu/art-6-gdpr]] | | Den registreredes rettigheder (indsigt, sletning, databærbarhed, indsigelse) | Kapitel III (art. 12–23) | [[https://gdpr-info.eu/chapter-3/|gdpr-info.eu/chapter-3]] | | Privacy by design & by default | Art. 25 | [[https://gdpr.eu/article-25-data-protection-by-design/|gdpr.eu/article-25]] | | Behandlingsregister | Art. 30 | [[https://gdpr.eu/article-30-records-of-processing-activities/|gdpr.eu/article-30]] | | Databrud (anmeldelse inden 72 timer) | Art. 33–34 | [[https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng|EUR-Lex-teksten, kapitel IV]] | | Risikovurdering (DPIA) | Art. 35 | [[https://gdpr-info.eu/art-35-gdpr/|gdpr-info.eu/art-35-gdpr]] | | DPO (databeskyttelsesrådgiver) | Art. 37 | [[https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng|EUR-Lex-teksten, kapitel IV]] | | Overførsel til tredjelande (f.eks. SCC'er) | Kapitel V (art. 44–50) | [[https://gdpr-info.eu/chapter-5/|gdpr-info.eu/chapter-5]] | | Standardkontraktsbestemmelser (SCC) | Art. 46 | [[https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en|Europa-Kommissionen – Standard Contractual Clauses]] | | Bøder (20 mio. EUR / 4 % af global omsætning) | Art. 83 | [[https://gdpr-info.eu/art-83-gdpr/|gdpr-info.eu/art-83-gdpr]] | === Dansk kontekst === * **Datatilsynet** (den danske tilsynsmyndighed): [[https://www.datatilsynet.dk/regler-og-vejledning|Datatilsynet – regler og vejledning]] * I Danmark er GDPR suppleret af **databeskyttelsesloven** (lov nr. 502 af 23. maj 2018), som findes via Datatilsynet eller retsinformation.dk. **Anbefaling:** Brug EUR-Lex-linksne som de primære kilder – de er officielle og stabile. gdpr-info.eu og gdpr.eu er letlæselige spejlinger af forordningen og fine som supplerende henvisninger.