EU GODKENDELSER

GDPR, persondataforordningen og persondatalovgivningen

GDPR har siden den 25. maj 2018 været den centrale EU-retlige ramme for behandling af personoplysninger. Reglerne gælder ikke kun store virksomheder, men enhver organisation, myndighed eller erhvervsdrivende, der behandler personoplysninger og er omfattet af forordningens geografiske anvendelsesområde.

Persondataforordningen skal beskytte fysiske personer og samtidig skabe fælles regler for behandling og udveksling af personoplysninger i EU og EØS.

Overholdelse kræver mere end en privatlivspolitik og et cookie-banner. Virksomheden skal kunne dokumentere sine behandlingsaktiviteter, behandlingsgrundlag, sikkerhedsforanstaltninger, leverandørstyring og procedurer for de registreredes rettigheder.

Denne side er en faglig introduktion til GDPR. Metropol Internationals konkrete privatlivs- og cookiepolitik findes på siden om privatliv, cookies, ophavsret og juridiske oplysninger.

Hvad er GDPR?

GDPR er den almindelige betegnelse for Europa-Parlamentets og Rådets forordning (EU) 2016/679 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger.

Forordningen suppleres i Danmark af databeskyttelsesloven og af særlige regler i anden lovgivning.

Hvem er omfattet?

Reglerne gælder for dataansvarlige og databehandlere, der behandler personoplysninger som led i deres aktiviteter.

GDPR kan også gælde for virksomheder uden for EU og EØS, når de:

  • Tilbyder varer eller tjenesteydelser til personer i EU eller EØS
  • Overvåger personers adfærd i EU eller EØS
  • Har en virksomhedsetablering i EU eller EØS, som behandlingen knytter sig til

Det afgørende er derfor ikke alene, hvor virksomhedens server eller hovedkontor ligger.

Hvad er personoplysninger?

Personoplysninger er enhver oplysning, der vedrører en identificeret eller identificerbar fysisk person.

Personoplysninger kan blandt andet være:

  • Navn og adresse
  • Telefonnummer og e-mailadresse
  • CPR-nummer og udenlandske identifikationsnumre
  • IP-adresse og onlineidentifikatorer
  • Lokationsdata
  • Billeder og videooptagelser
  • Bank-, skatte- og regnskabsoplysninger
  • Medarbejder- og kundeoplysninger
  • Oplysninger om ejer- og familieforhold
  • Pas, kørekort og anden legitimation

Oplysninger kan være personoplysninger, selv om personens navn ikke fremgår direkte, hvis personen kan identificeres ved hjælp af andre oplysninger.

Følsomme personoplysninger

GDPR indeholder særlige regler om følsomme personoplysninger.

Det omfatter oplysninger om:

  • Race eller etnisk oprindelse
  • Politisk, religiøs eller filosofisk overbevisning
  • Fagforeningsmæssigt tilhørsforhold
  • Genetiske oplysninger
  • Biometriske oplysninger med henblik på entydig identifikation
  • Helbredsforhold
  • Seksuelle forhold eller seksuel orientering

Behandling af sådanne oplysninger er som udgangspunkt forbudt, medmindre en af undtagelserne i GDPR artikel 9 finder anvendelse.

Oplysninger om strafbare forhold er reguleret særskilt og kræver også et gyldigt behandlingsgrundlag.

De grundlæggende principper

Al behandling af personoplysninger skal overholde principperne i GDPR artikel 5.

  • Lovlighed, rimelighed og gennemsigtighed: Behandlingen skal have et gyldigt grundlag og være forståelig for den registrerede.
  • Formålsbegrænsning: Oplysninger må indsamles til udtrykkelige og legitime formål.
  • Dataminimering: Der må kun behandles de oplysninger, som er nødvendige.
  • Rigtighed: Oplysninger skal være korrekte og ajourførte.
  • Opbevaringsbegrænsning: Oplysninger må ikke opbevares længere end nødvendigt.
  • Integritet og fortrolighed: Oplysninger skal beskyttes mod tab, misbrug og ulovlig adgang.
  • Ansvarlighed: Virksomheden skal kunne dokumentere, at reglerne overholdes.

Behandlingsgrundlag

En virksomhed skal have et behandlingsgrundlag for hver behandling af personoplysninger.

De mest anvendte grundlag i GDPR artikel 6 er:

  • Samtykke
  • Opfyldelse af en kontrakt eller foranstaltninger før en kontrakt
  • Overholdelse af en retlig forpligtelse
  • Beskyttelse af vitale interesser
  • Udførelse af en opgave i samfundets interesse eller offentlig myndighedsudøvelse
  • En legitim interesse, der ikke overgås af den registreredes rettigheder og interesser

Samtykke er ikke automatisk det rigtige grundlag. Hvis behandlingen er nødvendig for at opfylde en aftale eller en lovpligt, bør virksomheden normalt anvende dette grundlag i stedet for at indhente et unødvendigt samtykke.

Krav til et gyldigt samtykke

Et samtykke skal være:

  • Frivilligt
  • Specifikt
  • Informeret
  • Utvetydigt
  • Dokumenterbart
  • Muligt at tilbagekalde lige så let, som det blev givet

Forudafkrydsede felter, tavshed eller inaktivitet udgør ikke et gyldigt samtykke.

Et samtykke bør heller ikke gøres til betingelse for en ydelse, hvis behandlingen ikke er nødvendig for at levere ydelsen.

Dataansvarlig og databehandler

Den dataansvarlige bestemmer formålene med og hjælpemidlerne til behandlingen.

En databehandler behandler personoplysninger på vegne af den dataansvarlige og efter dennes dokumenterede instruks.

Databehandlere kan blandt andet være:

  • Hosting- og cloudleverandører
  • Løn- og HR-systemer
  • CRM- og regnskabssystemer
  • Nyhedsbrevsleverandører
  • Eksterne IT-supportvirksomheder
  • Dokument- og sagsbehandlingssystemer

Forholdet skal reguleres af en databehandleraftale, der opfylder GDPR artikel 28.

En rådgiver, bank, myndighed eller anden modtager kan efter omstændighederne være selvstændigt dataansvarlig og ikke databehandler.

Fortegnelse over behandlingsaktiviteter

Virksomheder skal i relevante tilfælde føre en fortegnelse over deres behandlingsaktiviteter.

Fortegnelsen bør blandt andet beskrive:

  • Formålene med behandlingen
  • Kategorier af registrerede
  • Kategorier af personoplysninger
  • Modtagere
  • Overførsler til tredjelande
  • Planlagte slettefrister
  • Overordnede sikkerhedsforanstaltninger

Fortegnelsen er ikke kun et dokument til Datatilsynet. Den er et praktisk grundlag for at forstå virksomhedens dataflow og kontrollere, om behandlingerne stadig er nødvendige og lovlige.

Oplysningspligt og privatlivspolitik

Den registrerede skal som udgangspunkt have klare oplysninger om behandlingen.

Oplysningerne skal blandt andet omfatte:

  • Den dataansvarliges identitet og kontaktoplysninger
  • Formålene med behandlingen
  • Behandlingsgrundlaget
  • Eventuelle legitime interesser
  • Modtagere eller kategorier af modtagere
  • Overførsel til lande uden for EU og EØS
  • Opbevaringsperioden eller kriterierne for denne
  • Den registreredes rettigheder
  • Retten til at klage til Datatilsynet
  • Om oplysningerne er nødvendige for en kontrakt eller lovpligt
  • Eventuel automatisk beslutningstagning og profilering

Oplysningerne skal være lettilgængelige og formuleret klart og forståeligt.

De registreredes rettigheder

Afhængigt af forholdene kan den registrerede have ret til:

  • Information om behandlingen
  • Indsigt i egne oplysninger
  • Berigtigelse af urigtige oplysninger
  • Sletning
  • Begrænsning af behandlingen
  • Dataportabilitet
  • Indsigelse mod behandling
  • Tilbagekaldelse af samtykke
  • Beskyttelse mod visse rent automatiske afgørelser

Rettighederne er ikke ubetingede. En virksomhed kan eksempelvis være forpligtet til at opbevare oplysninger efter bogførings-, hvidvask- eller anden lovgivning.

Anmodninger skal som udgangspunkt besvares uden unødig forsinkelse og senest en måned efter modtagelsen. Fristen kan i komplekse tilfælde forlænges efter reglerne i GDPR.

Retten til sletning

Retten til sletning betyder ikke, at enhver oplysning altid skal slettes på anmodning.

Sletning kan blandt andet være påkrævet, når:

  • Oplysningerne ikke længere er nødvendige
  • Et samtykke tilbagekaldes, og der ikke findes et andet grundlag
  • Den registrerede med rette gør indsigelse
  • Oplysningerne er behandlet ulovligt

Sletning kan afslås, når fortsat behandling blandt andet er nødvendig for:

  • At overholde en retlig forpligtelse
  • At fastlægge, gøre gældende eller forsvare et retskrav
  • Ytrings- og informationsfrihed
  • Visse arkiv-, forsknings- eller statistikformål

Indsigtsanmodninger

Ved en indsigtsanmodning skal virksomheden kunne identificere de relevante systemer og oplysninger.

Virksomheden bør have en procedure for:

  • Modtagelse og registrering af anmodningen
  • Sikker identifikation af den registrerede
  • Søgning i relevante systemer og arkiver
  • Beskyttelse af andre personers rettigheder
  • Levering af en forståelig kopi
  • Dokumentation af svar og frister

Den registrerede har som udgangspunkt ret til indsigt i personoplysninger og supplerende oplysninger om behandlingen, men ikke nødvendigvis til alle interne dokumenter i deres fulde form.

Privacy by design og privacy by default

Databeskyttelse skal indbygges i systemer og processer fra begyndelsen.

Det kan blandt andet ske gennem:

  • Dataminimering
  • Adgangsbegrænsning
  • Pseudonymisering
  • Kryptering
  • Korte og dokumenterede opbevaringsperioder
  • Standardindstillinger, der begrænser deling
  • Test af sikkerhed og slettefunktioner
  • Kontrol af leverandører før indkøb
  • Inddragelse af databeskyttelse ved udvikling og ændringer

Privacy by default betyder blandt andet, at standardindstillinger ikke bør medføre en bredere behandling eller offentliggørelse end nødvendigt.

Risikovurdering og konsekvensanalyse

Virksomheden skal vurdere risikoen for de personer, hvis oplysninger behandles.

Ved behandlinger, der sandsynligvis indebærer en høj risiko, kan der være pligt til at gennemføre en konsekvensanalyse efter GDPR artikel 35.

Det kan blandt andet være relevant ved:

  • Omfattende behandling af følsomme oplysninger
  • Systematisk overvågning
  • Omfattende profilering
  • Brug af ny teknologi med væsentlige risici
  • Behandling af sårbare personer
  • Sammenstilling af store datasæt

En konsekvensanalyse skal beskrive behandlingen, nødvendigheden, risiciene og de planlagte foranstaltninger.

Informationssikkerhed

GDPR kræver et sikkerhedsniveau, der passer til risikoen.

Relevante foranstaltninger kan blandt andet være:

  • Adgangsstyring efter arbejdsbetinget behov
  • Multifaktorgodkendelse
  • Kryptering
  • Sikker backup
  • Logning og overvågning
  • Opdatering og sårbarhedshåndtering
  • Segmentering af netværk
  • Sikre procedurer for e-mail og dokumentdeling
  • Test af beredskab og gendannelse
  • Uddannelse af medarbejdere
  • Kontrol med databehandlere og underdatabehandlere

GDPR kræver ikke én bestemt teknologi eller et bestemt certifikat. Foranstaltningerne skal vælges på grundlag af en konkret risikovurdering.

Brud på persondatasikkerheden

Et brud på persondatasikkerheden kan blandt andet være:

  • Uautoriseret adgang
  • Fejlforsendelse af e-mail eller dokumenter
  • Tab eller tyveri af udstyr
  • Ransomware
  • Utilsigtet offentliggørelse
  • Ulovlig ændring eller sletning
  • Manglende adgang til nødvendige oplysninger

Den dataansvarlige skal dokumentere alle persondatasikkerhedsbrud.

Hvis bruddet sandsynligvis indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder, skal det som udgangspunkt anmeldes til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer efter, at den dataansvarlige er blevet bekendt med bruddet.

Hvis der er sandsynlighed for en høj risiko, kan de berørte personer også skulle underrettes.

Overførsel til lande uden for EU og EØS

En overførsel til et tredjeland kræver både et almindeligt behandlingsgrundlag og et gyldigt overførselsgrundlag.

Overførselsgrundlaget kan blandt andet være:

  • En tilstrækkelighedsafgørelse fra EU-Kommissionen
  • EU-Kommissionens standardkontraktbestemmelser
  • Bindende virksomhedsregler
  • En særlig undtagelse efter GDPR artikel 49

Ved brug af standardkontraktbestemmelser kan virksomheden skulle vurdere lovgivningen og praksis i modtagerlandet og indføre supplerende foranstaltninger.

Brug af en cloudtjeneste kan indebære en tredjelandsoverførsel, selv om virksomheden selv tilgår systemet fra Danmark.

Cookies og sporing

GDPR og cookiereglerne er beslægtede, men ikke identiske.

Lagring af eller adgang til oplysninger på brugerens udstyr reguleres af cookiereglerne. Den efterfølgende behandling af personoplysninger reguleres af GDPR.

Ikke-nødvendige cookies og lignende sporingsteknologier kræver som udgangspunkt et gyldigt samtykke, før de aktiveres.

Et cookie-banner bør gøre det muligt at:

  • Afvise valgfrie cookies lige så let som at acceptere dem
  • Vælge mellem relevante kategorier
  • Få oplysninger om formål, udbydere og opbevaring
  • Tilbagekalde eller ændre samtykket

En generel accept af handelsbetingelser kan ikke erstatte et særskilt og gyldigt cookiesamtykke.

Markedsføring og nyhedsbreve

Elektronisk markedsføring reguleres både af databeskyttelsesreglerne og markedsføringsloven.

Virksomheden skal blandt andet kunne dokumentere:

  • Hvem der har tilmeldt sig
  • Hvornår tilmeldingen skete
  • Hvilken information og samtykketekst der blev vist
  • Hvordan samtykket kan tilbagekaldes
  • Hvornår en afmelding er gennemført

Et nyhedsbrev skal indeholde en enkel og fungerende afmeldingsmulighed.

Medarbejderoplysninger

Arbejdsgivere behandler typisk oplysninger om:

  • Rekruttering
  • Ansættelseskontrakter
  • Løn og pension
  • Fravær
  • Udvikling og uddannelse
  • Adgangsrettigheder
  • Kontrolforanstaltninger
  • Fratrædelse

Også medarbejderbehandlinger kræver et klart formål, et behandlingsgrundlag, passende information, sikkerhed og slettefrister.

Samtykke skal anvendes med forsigtighed i ansættelsesforhold, fordi forholdet mellem arbejdsgiver og medarbejder kan gøre frivilligheden tvivlsom.

Kunstig intelligens og personoplysninger

Brug af kunstig intelligens fritager ikke virksomheden fra GDPR.

Før personoplysninger anvendes i en AI-tjeneste, bør virksomheden blandt andet afklare:

  • Formålet og behandlingsgrundlaget
  • Om dataminimering er mulig
  • Om leverandøren anvender oplysningerne til egne formål
  • Hvor oplysningerne behandles og opbevares
  • Om der sker tredjelandsoverførsel
  • Hvordan oplysninger slettes
  • Om der er behov for en konsekvensanalyse
  • Hvordan fejl, skævheder og automatiske afgørelser kontrolleres

Fortrolige kundeoplysninger og følsomme personoplysninger bør ikke indtastes i åbne AI-tjenester uden et tilstrækkeligt retligt, sikkerhedsmæssigt og kontraktuelt grundlag.

Databeskyttelsesrådgiver

Det er ikke alle private virksomheder, der skal udpege en databeskyttelsesrådgiver, også kaldet en DPO.

Pligten gælder navnlig, når kerneaktiviteterne består i:

  • Regelmæssig og systematisk overvågning af personer i stort omfang
  • Behandling i stort omfang af følsomme oplysninger
  • Behandling i stort omfang af oplysninger om strafbare forhold

Offentlige myndigheder og organer er som udgangspunkt også omfattet af pligten.

En frivilligt udpeget DPO skal opfylde de samme krav til faglighed, uafhængighed og rapportering som en lovpligtig DPO.

Tilsyn og bøder

Datatilsynet fører tilsyn med databeskyttelsesreglerne i Danmark.

Myndigheden kan blandt andet:

  • Kræve oplysninger og dokumentation
  • Gennemføre undersøgelser
  • Udstede kritik og påbud
  • Begrænse eller forbyde behandling
  • Indstille til bøde eller anvende de sanktionsmuligheder, der følger af dansk ret

GDPR indeholder to overordnede bødeniveauer med maksimum på henholdsvis 10 mio. euro eller 2 procent og 20 mio. euro eller 4 procent af den samlede globale årlige omsætning, alt efter hvilket beløb der er højest. Den konkrete sanktion afhænger af en samlet vurdering af overtrædelsen.

Det højeste maksimum er ikke en automatisk standardbøde.

Praktisk GDPR-arbejde

En opdateret GDPR-indsats kan blandt andet omfatte:

  • Kortlægning af personoplysninger og dataflow
  • Fortegnelse over behandlingsaktiviteter
  • Fastlæggelse af behandlingsgrundlag
  • Privatlivs- og oplysningspolitikker
  • Slette- og opbevaringspolitik
  • Databehandleraftaler
  • Kontrol med underdatabehandlere
  • Risiko- og konsekvensanalyser
  • Procedure for registreredes rettigheder
  • Procedure for sikkerhedsbrud
  • Kontrol med tredjelandsoverførsler
  • Uddannelse af medarbejdere
  • Løbende revision og opdatering

Dokumenterne skal svare til virksomhedens faktiske behandlinger. Standardtekster kan være et udgangspunkt, men kan ikke erstatte en konkret kortlægning.

Kontakt og konkret rådgivning

Den konkrete vurdering afhænger blandt andet af virksomhedens systemer, kunder, medarbejdere, leverandører, behandlingsformål og internationale dataoverførsler.

Der bør derfor foretages en særskilt vurdering, før virksomheden ændrer behandlingsgrundlag, indfører overvågning, anvender AI, flytter data til et tredjeland eller behandler store mængder følsomme oplysninger.

Metropol Internationals privatlivs- og cookiepolitik kan læses her:

Kilde: Datatilsynet, EUR-Lex og Retsinformation, Morten Jensen, Advokat og Revisor Samvirket, AORS.DK
Fotokredit: stock.adobe.com
Personer/Firmaer/Emner/#: #GDPR, #Persondataforordningen, #Persondatalovgivning, #Databeskyttelse, #Personoplysninger, #Datatilsynet, #Databehandler, #Dataansvarlig, #Informationssikkerhed, #Cookies, #KunstigIntelligens, #DPO, #Databrud
Copyrights: Ⓒ 2026 Copyright by https://AORS.DK – kan deles ved aktivt link til denne artikel.