– de overordnede koncepter

GDPR (General Data Protection Regulation, forordning 2016/679) er EU's lovgivning om beskyttelse af persondata, som trådte i kraft i maj 2018. Her er kernebegreberne:

• Reglen beskytter fysiske personers („de registreredes“) persondata og sikrer fri bevægelighed af data inden for EU.
• Den gælder for alle organisationer (virksomheder, offentlige
  myndigheder, foreninger), der behandler persondata om personer i EU
  anset hvor organisationen er etableret.
• „Persondata” er enhver information, der kan henføres til en identificerbar
  person: navn, e-mail, IP-adresse, lokalisationsdata osv.

• Behandlingsansvarlig (data controller): bestemmer formål og midler til behandlingen – typisk virksomheden selv.
• Databehandler (data processor): behandler data på den ansvarliges vegne, f.eks. en cloud- eller IT-leverandør.
• Registreret (data subject): den person, dataene handler om.
• Tilsynsmyndighed: i Danmark Datatilsynet, som fører tilsyn og kan udstede bøder.

1. Lovgrundlag – behandling skal ske på et gyldigt grundlag
2. Formålsbegrænsning – data må kun bruges til angivne, udtrykkelige formål
3. Dataminimering – kun indsamle, hvad der er nødvendigt
4. Korrekthed – data skal være korrekte og opdateres
5. Opbevaringsbegrænsning – data skal slettes, når de ikke længere er nødvendige
6. Integritet og fortrolighed – sikkerhed mod uautoriseret adgang og tab
7. Ansvarlighed (accountability) – den ansvarlige skal kunne dokumentere overholdelse

Behandling kræver mindst ét gyldigt grundlag: samtykke, opfyldelse af aftale, retlig forpligtelse, beskyttelse af vitale interesser, offentlig opgave eller afvejede legitime interesser. Særlige kategorier (helbredsdata, biometri, politisk overbevisning m.v.) kræver et strengere grundlag.

• Ret til indsigt – at få at vide, hvilke data der behandles
• Ret til berigtigelse – fejl skal rettes
• Ret til sletning („retten til at blive glemt“)
• Ret til databærbarhed – at få data i maskinlæsbart format
• Ret til indsigelse og begrænsning af behandling
• Ret til ikke at være genstand for helautomatiske beslutninger

• Behandlingsregister over alle behandlingsaktiviteter
• Databeskyttelsesrådgiver (DPO) ved visse typer organisationer
• Risikovurdering (DPIA) ved højrisikobehandlinger
• Anmeldelse af databrud til myndigheden inden 72 timer
• Privacy by design & by default – databeskyttelse indbygget fra starten
• Databehandleraftaler med alle underleverandører
• Særlige regler for overførsel til tredjelande (f.eks. uden for EU; her kræves f.eks. standardkontraktsbestemmelser)

Tilsynsmyndigheder kan udstede bøder på op til 20 mio. EUR eller 4 % af den globale årsomsætning – det højeste gælder.

Kort sagt: GDPR bygger på tanken om, at privatliv er en grundrettighed, og at organisationer skal håndtere persondata åbent, minimalt og sikkert – og kunne bevise, at de gør det.

• EUR-Lex – komplet forordningstekst (dansk):
  Forordning (EU) 2016/679 (GDPR) på dansk
  
• EUR-Lex – officielt resumé (dansk):
  EUR-Lex resumé af GDPR
  
• EUR-Lex – ELI-version (engelsk):
  Regulation (EU) 2016/679
  
• Grundprincipper (artikel 5):
  Art. 5 – Principles relating to processing of personal data
  
• Lovgrundlag (artikel 6):
  Art. 6 – Lawfulness of processing
• Den registreredes rettigheder (kapitel III):
  Chapter 3 – Rights of the data subject
  
• Risikovurdering (artikel 35):
  Art. 35 – Data protection impact assessment (DPIA)
  
• Privacy by design (artikel 25):
  Art. 25 – Data protection by design and by default
  
• Behandlingsregister (artikel 30):
  Art. 30 – Records of processing activities
  
• Overførsel til tredjelande (kapitel V):
  Chapter 5 – Transfers of personal data to third countries
  
• Bøder (artikel 83):
  Art. 83 – General conditions for imposing administrative fines
  
• Databrud (artikel 33-34) og DPO (artikel 37): se EUR-Lex-teksten ovenfor, kapitel IV (artikel 33, 34 og 37)
  
• Standardkontraktsbestemmelser (SCC):
  Europa-Kommissionen – Standard Contractual Clauses
  
• Dansk tilsynsmyndighed:
  Datatilsynet – regler og vejledning
  

• Komplet forordningstekst på dansk: Forordning (EU) 2016/679 (GDPR) på dansk – selve forordningen med alle artikler
• EUR-Lex' officielle resumé (dansk): EUR-Lex resumé af GDPR – GDPR trådte i kraft 25. maj 2018 og beskytter fysiske personer
• ELI-versionen (engelsk, komplet tekst): Regulation (EU) 2016/679

• Datatilsynet (den danske tilsynsmyndighed): Datatilsynet – regler og vejledning
• I Danmark er GDPR suppleret af databeskyttelsesloven (lov nr. 502 af 23. maj 2018), som findes via Datatilsynet eller retsinformation.dk.

Anbefaling: Brug EUR-Lex-linksne som de primære kilder – de er officielle og stabile. gdpr-info.eu og gdpr.eu er letlæselige spejlinger af forordningen og fine som supplerende henvisninger.