Privatliv og datasikkerhed
GDPR står for ”General Data Protection Regulation” og er i Danmark kendt som databeskyttelsesforordningen. Databeskyttelsesforordningen indeholder de EU-retlige regler om databeskyttelse, som gælder for alle medlemsstater i EU. I Danmark suppleres databeskyttelsesforordningen af databeskyttelsesloven.
Formålet med databeskyttelsesreglerne er at styrke den enkelte borgers retssikkerhed på tværs af landegrænserne over for offentlige myndigheder, private virksomheder, multinationale selskaber, foreninger mv., som behandler personoplysninger.
Hvornår er der tale om personoplysninger?
Databeskyttelsesreglerne handler om behandlingen personoplysninger. Personoplysninger er enhver form for information om en identificeret eller identificerbar fysisk person.
Ved behandling af personoplysninger skelnes der mellem personoplysninger (ikke-følsomme personoplysninger) og særlige kategorier af personoplysninger (følsomme personoplysninger). Ikke-følsomme personoplysninger kan for eksempel være navn, adresse, e-mail m.v. Følsomme personoplysninger omfatter derimod oplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, genetiske data, biometriske data med henblik på entydig identifikation, helbredsoplysninger og seksuelle forhold eller seksuel orientering.
Hvornår behandles der personoplysninger?
Databeskyttelsesreglerne finder anvendelse ved behandling af personoplysninger. Behandling af personoplysninger omfatter enhver aktivitet eller række af aktiviteter, som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning m.v.
Bemærk at man altid skal have et retligt grundlag for at behandle personoplysninger, og at der er strengere krav til, hvornår man må behandle følsomme oplysninger. Det er som hovedregel forbudt at behandle følsomme personoplysninger, men databeskyttelsesreglerne indeholder dog en række undtagelser.
Som arbejdsgiver skal man være opmærksom på, at der behandles personoplysninger både før ansættelsen (i forbindelse med rekrutteringen), under ansættelsen og efter ansættelsesforholdets ophør.
Den registreredes rettigheder
Den person, som der behandles personoplysninger om, kaldes “den registrerede”. Det følger af databeskyttelsesreglerne, at den registrerede har nogle rettigheder, som den dataansvarlige skal overholde ved behandling af personoplysninger. I ansættelsesforhold er det typisk arbejdsgiveren, som er dataansvarlig.
Den registrerede har ret til at blive informeret om behandlingen af dennes personoplysninger. Den nærmere information afhænger af om personoplysningerne er indsamlet hos registrerede eller hos en tredjepart.
Den registrerede har en indsigtsret. Det følger af indsigtsretten, at den registrerede har ret til at få den dataansvarliges bekræftelse på, om den dataansvarlige behandler den registreredes personoplysninger, og hvilke personoplysninger der er tale om. Den registrerede kan endvidere have ret til at få udleveret en kopi.
Den registrerede har også ret til berigtigelse, hvorefter den dataansvarlige skal sørge for, at forkerte eller ufuldstændige oplysninger om den registrerede berigtiges.
Videre har den registrerede i visse tilfælde ret til at få sine oplysninger slettet. Det kan eksempelvis være tilfældet, hvor personoplysningerne ikke længere er nødvendige til det indsamlede formål, eller den registrerede trækker sit samtykke til behandling af personoplysninger tilbage.
Den registrerede har ret til begrænsning af fremtidig behandling af sine personoplysninger. Det gælder for eksempel, hvis der opstår tvivl om personoplysningernes rigtighed. Dermed forhindres yderligere behandling imens at personoplysningernes rigtighed afklares.
Den registrerede har desuden ret til i en række tilfælde at gøre indsigelse over for en ellers lovlig behandling, ligesom den registrerede har ret til dataportabilitet. Retten til dataportabilitet medfører, at den registrerede under nærmere omstændigheder, har ret til at få flyttet egne oplysninger fra en dataansvarlig til en anden.
Den dataansvarlige skal fastlægge procedurer for, hvordan den registreredes rettigheder overholdes forinden at behandlingen af personoplysninger påbegyndes. Videre gælder det, at alle oplysninger, som den dataansvarlige skal give den registrerede, skal gives på en gennemsigtig, kortfattet, letforståelig og lettilgængelig facon.
Sanktioner ved brud på databeskyttelsesreglerne
I Danmark er det Datatilsynet, som fører tilsyn med, at databeskyttelsesreglerne bliver overholdt. Datatilsynets to væsentligste opgaver er at behandle klager og føre tilsyn. I den forbindelse har Datatilsynet eksempelvis kompetence til at udstede advarsler, udtale kritik eller give påbud. Derudover kan Datatilsynet udstede bødeforlæg.
Brud på databeskyttelsesreglerne kan have store konsekvenser for din virksomhed – både økonomisk og i forhold til virksomhedens omdømme. Vi bistår virksomheder og andre dataansvarlige arbejdsgivere med at overholde databeskyttelsesreglerne.
