Brug for erhvervsjuridisk hjælp?
Bestil en gratis opringning fra en af vores erhvervsjurister.
Persondata (GDPR)
Persondata (og GDPR) er en vigtig del af din virksomheds ansvar, og overholdelse af reglerne er afgørende for at undgå bøder og beskytte dine kunders data. Hos Raadgiver.dk tilbyder vores GDPR-jurist omfattende GDPR-rådgivning, så din virksomhed kan blive fuldt compliant med både juridiske og tekniske krav.
Persondata (GDPR)
General Data Protection Regulation (også kendt som ”persondataforordningen”) er den EU-forordning, som afløser det direktiv, der førhen regulerede den måde, vi som virksomheder og organisationer håndterede personhenførbare data på.
Vi har efterhånden alle modtaget en del e-mails, som forklarer, hvordan vores persondata behandles, hvilke rettigheder vi har, og hvem der er dataansvarlig for behandlingen. Derudover kan vi efterhånden ikke gå ind på en hjemmeside, uden vi skal give samtykke til, hvordan hjemmesiden behandler vores data.
Du kan passende stille dig selv følgende spørgsmål: “Er din virksomhed helt klar over reglerne, og overholder I dem? Har I både en datapolitik internt og eksternt? Hvad meddeler I jobansøgere, når det kommer til behandlingen af den persondata, som ansøgeren har i sin ansøgning?”
Dette er alle svar, som I kan få ved at henvende jer til vores GDPR-jurist hos Raadgiver.dk. Vi har igennem flere år foretaget GDPR- rådgivning og udarbejdet mange løsninger og gjort mange selskabet GDPR-compliant. Derfor har vi gode forudsætninger til at hjælpe dig.
Raadgiver.dk har et samarbejde med en IT-virksomhed samt et forsikringsselskab, så vi ikke blot kan rådgive indenfor juraen, men vi kan også rådgive indenfor IT-løsninger og forsikringer, så du får den bedste sparring og hjælp 360 grader rundt om din virksomhed. Så er du sikret, at I overholder alle juridiske og tekniske krav, som forordningen, persondataloven og cookie-loven bringer med sig. Vi har været med til at stifte Danmarks DPO-forening, som er foreningen for databeskyttelsesrådgivere – ligesom vi selv fungerer som DPO. Desuden holder Raadgiver.dk sig altid opdateret på de nationale datatilsyns vejledninger og afgørelser.
Eksempler hvor Raadgiver.dk har rådgivet inden for persondataloven (GDPR)
Igennem tiden har vi udarbejdet GDPR- vejledning samt GDPR- rådgivning for mange klienter. Vi har for eksempel rådgivet følgende klienter, som begge er anonymiserede:
Selskab C ApS:
Et selskab henvendte sig mange måneder efter, at GDPR trådte i kraft. Selskabet måtte erkende, at de ikke havde gjort sig nogle overvejelser om de nye regler. Dette kunne ikke gå længere, og derfor ønskede de en fuld gennemarbejdet løsning, som kunne implementeres direkte i deres virksomhed. Raadgiver.dk arbejder i tæt samarbejde med vores kunder, og derfor kunne vi hurtigt danne os et overblik over behovet, og efterfølgende kunne vi gøre selskabet compliant overfor alle gældende regler i løbet af meget kort tid.
Selskab D ApS:
Et andet selskab ringede en eftermiddag, da de akut havde brug for en databehandleraftale. De frygtede, at de kunne ende med at miste deres kunde, da kunden efterspurgte databehandleraftalen hurtigst muligt. I samarbejde fik vi hurtigt skabt et overblik over behovet, omfanget og kravene til aftalen, og allerede næste morgen modtog vores klient en færdig databehandleraftale. Vores klients kunde opdagede aldrig, at klienten ikke oprindeligt havde en databehandleraftale, og klienten havde en rigtig god oplevelse, da Raadgiver.dk var agil og løsningsorienteret, og skabte hvad der var behov for, med det samme.
Hvorfor vælge Raadgiver.dk til persondata (GDPR)?
Håndtering af persondata er ikke kun et lovkrav – det er en tillidssag. Hos Raadgiver.dk hjælper vi din virksomhed med at overholde GDPR og skabe sikre rammer for behandling af personoplysninger. Vi sikrer, at dine processer er juridisk korrekte, praktiske og tilpasset din forretning, så du undgår bøder og beskytter dine kunders og medarbejderes data.
Vi tilbyder rådgivning, der gør komplekse regler enkle. Fra gennemgang af eksisterende procedurer til udarbejdelse af politikker og databehandleraftaler – vi sørger for, at din virksomhed er compliant og samtidig effektiv i sin håndtering af persondata.
Ofte stillede spørgsmål om Persondata (GDPR)
GDPR-grundlag og grundlæggende regler
Hvornår må en virksomhed behandle personoplysninger?
En virksomhed må kun behandle personoplysninger, hvis der findes et lovligt behandlingsgrundlag efter GDPR. Det kan eksempelvis være nødvendigt for at opfylde en kontrakt, overholde en retlig forpligtelse, beskytte en persons vitale interesser, udføre en opgave i samfundets interesse eller forfølge en legitim interesse.
I nogle tilfælde kan behandlingen også baseres på samtykke fra den registrerede. Virksomheden skal altid kunne dokumentere, hvorfor personoplysningerne behandles, og sikre, at behandlingen sker lovligt, rimeligt og gennemsigtigt.
Hvad er forskellen på en dataansvarlig og en databehandler?
Den dataansvarlige er typisk den virksomhed eller organisation, der bestemmer formålet med behandlingen af personoplysninger og beslutter, hvordan oplysningerne skal anvendes. Databehandleren behandler derimod personoplysninger på vegne af den dataansvarlige og efter dennes instrukser.
Eksempelvis vil en virksomhed typisk være dataansvarlig for sine medarbejder- og kundedata, mens et lønsystem, et CRM-system eller en cloudleverandør ofte fungerer som databehandler. Fordelingen af roller og ansvar er vigtig for at sikre overholdelse af GDPR.
Hvordan får en virksomhed styr på GDPR for medarbejder-, kunde- og leverandørdata?
Det første skridt er at skabe overblik over, hvilke personoplysninger virksomheden behandler, hvorfor oplysningerne behandles, og hvem der har adgang til dem. Herefter bør virksomheden sikre, at der findes de nødvendige privatlivspolitikker, fortegnelser, databehandleraftaler og interne procedurer.
Derudover bør virksomheden løbende arbejde med informationssikkerhed, håndtering af registreredes rettigheder og procedurer for databrud. En struktureret GDPR-gennemgang kan hjælpe med at identificere mangler og sikre, at virksomheden lever op til lovgivningens krav.
Registreredes rettigheder og klager:
Hvordan får jeg slettet mine personoplysninger hos en virksomhed eller tidligere arbejdsgiver?
Du har i visse tilfælde ret til at få dine personoplysninger slettet efter GDPR. Det kræver typisk, at oplysningerne ikke længere er nødvendige til det formål, de blev indsamlet til, eller at virksomheden ikke længere har et lovligt grundlag for at opbevare dem.
Retten til sletning er dog ikke absolut. En virksomhed eller tidligere arbejdsgiver kan være forpligtet til at opbevare visse oplysninger af hensyn til eksempelvis bogføringsregler, ansættelsesretlige krav eller andre lovbestemte forpligtelser.
Hvordan laver jeg en klage til Datatilsynet?
Hvis du mener, at en virksomhed eller myndighed behandler dine personoplysninger i strid med GDPR, kan du indgive en klage til Datatilsynet. Det anbefales som udgangspunkt først at kontakte den dataansvarlige virksomhed for at få afklaret forholdet.
En klage kan indsendes via Datatilsynets hjemmeside, hvor du skal beskrive sagen og vedlægge relevant dokumentation. Datatilsynet vurderer herefter, om der er grundlag for at behandle klagen nærmere.
Må en virksomhed nægte at oplyse navnet på en medarbejder med henvisning til GDPR?
Ikke nødvendigvis. GDPR forhindrer ikke automatisk en virksomhed i at oplyse navnet på en medarbejder. Om oplysningerne kan udleveres afhænger af formålet, medarbejderens rolle og de konkrete omstændigheder.
Navne på medarbejdere med kundekontakt eller ledelsesansvar vil ofte kunne oplyses som led i virksomhedens almindelige drift. GDPR kan derfor ikke anvendes som en generel begrundelse for at undlade at oplyse navnet på en medarbejder.
Må en udlejer dele oplysninger om mig med andre, og hvilke rettigheder har jeg?
En udlejer må kun dele dine personoplysninger, hvis der findes et lovligt grundlag for det. Oplysninger kan eksempelvis deles med offentlige myndigheder, administratorer, håndværkere eller rådgivere, når det er nødvendigt og lovligt.
Hvis oplysninger deles uden et gyldigt grundlag, kan det være i strid med GDPR. Som lejer har du blandt andet ret til indsigt i, hvilke oplysninger der behandles om dig, og i visse tilfælde ret til berigtigelse, begrænsning af behandling eller sletning af oplysninger. Hvis du mener, at dine rettigheder er blevet krænket, kan du klage til Datatilsynet.
Databehandleraftaler og dataansvar:
Hvornår skal en virksomhed have en databehandleraftale, og hvad skal den indeholde?
En virksomhed skal have en databehandleraftale, når en ekstern leverandør behandler personoplysninger på virksomhedens vegne. Det kan eksempelvis være et lønsystem, et CRM-system, en cloudleverandør eller en IT-supportleverandør.
Databehandleraftalen skal blandt andet beskrive formålet med behandlingen, hvilke typer personoplysninger der behandles, sikkerhedsforanstaltningerne, databehandlerens forpligtelser og reglerne for brug af eventuelle underdatabehandlere. Aftalen er et lovkrav efter GDPR og skal sikre, at personoplysninger behandles forsvarligt og i overensstemmelse med den dataansvarliges instrukser.
Hvornår er der tale om fælles dataansvar, og hvordan udarbejdes en aftale om fælles dataansvar?
Der er tale om fælles dataansvar, når to eller flere virksomheder eller organisationer i fællesskab fastlægger formålene med og midlerne til behandlingen af personoplysninger. Det ses eksempelvis ved fælles markedsføringsaktiviteter, samarbejdsprojekter eller digitale platforme, hvor flere parter har indflydelse på behandlingen.
Ved fælles dataansvar skal parterne indgå en aftale, der klart beskriver deres respektive ansvar for overholdelse af GDPR. Aftalen bør blandt andet regulere håndteringen af registreredes rettigheder, informationspligt, sikkerhed, databrud og kontakten til tilsynsmyndigheder. En klar ansvarsfordeling er vigtig for at minimere risikoen for tvister og manglende overholdelse af reglerne.
Datasikkerhed og databrud:
Hvordan håndterer man et brud på persondatasikkerheden?
Et brud på persondatasikkerheden opstår, når personoplysninger utilsigtet eller ulovligt går tabt, ændres, videregives eller bliver tilgængelige for uvedkommende. Det kan eksempelvis skyldes fejludsendte e-mails, mistede enheder, systemfejl eller hackerangreb.
Når et databrud opdages, bør virksomheden straks undersøge hændelsen, begrænse skaden og dokumentere, hvad der er sket. Herefter skal virksomheden vurdere, hvilke personoplysninger der er berørt, hvilke risici hændelsen medfører for de registrerede, og om der er pligt til at underrette Datatilsynet eller de berørte personer. En klar beredskabsplan kan være afgørende for at håndtere databrud effektivt og i overensstemmelse med GDPR.
Hvornår skal et databrud eller hackerangreb anmeldes til Datatilsynet?
Et databrud skal anmeldes til Datatilsynet, hvis det sandsynligvis indebærer en risiko for de berørte personers rettigheder eller frihedsrettigheder. Dette kan eksempelvis være tilfældet ved tab af personoplysninger, uautoriseret adgang til systemer eller hackerangreb, hvor persondata er blevet kompromitteret.
Anmeldelsen skal som udgangspunkt ske uden unødig forsinkelse og senest 72 timer efter, at virksomheden er blevet bekendt med bruddet. Hvis databruddet medfører en høj risiko for de berørte personer, kan virksomheden også være forpligtet til at informere dem direkte om hændelsen. Det er derfor vigtigt hurtigt at foretage en juridisk og sikkerhedsmæssig vurdering af hændelsens omfang og konsekvenser.
Samtykke, markedsføring og særlige situationer:
Hvordan sikrer man et gyldigt samtykke til brug af billeder og personoplysninger?
Et samtykke skal være frivilligt, specifikt, informeret og utvetydigt for at være gyldigt efter GDPR. Den registrerede skal vide, hvilke oplysninger der behandles, til hvilket formål og have mulighed for at trække samtykket tilbage på et senere tidspunkt.
Ved brug af billeder bør virksomheder, foreninger og organisationer være særligt opmærksomme på, om billederne bruges til markedsføring, sociale medier eller andre offentlige formål. Hvis der er tale om børn, gælder der skærpede krav til information og indhentelse af samtykke fra forældremyndighedsindehaveren, når det er nødvendigt.
Hvad skal en franchisevirksomhed have styr på i forhold til GDPR og cookies?
En franchisevirksomhed skal blandt andet have klarhed over, hvem der er dataansvarlig for de forskellige behandlinger af personoplysninger, og om der i visse situationer er tale om fælles dataansvar mellem franchisegiver og franchisetagere.
Derudover skal virksomheden sikre lovlige privatlivspolitikker, databehandleraftaler, procedurer for håndtering af personoplysninger og overholdelse af reglerne om cookies og elektronisk markedsføring. Hvis hjemmesider eller apps anvender ikke-nødvendige cookies, skal der som udgangspunkt indhentes et gyldigt samtykke, før disse aktiveres.
Hvordan håndteres GDPR i forbindelse med medarbejderundersøgelser og trivselsmålinger?
Medarbejderundersøgelser og trivselsmålinger indebærer ofte behandling af personoplysninger og skal derfor planlægges i overensstemmelse med GDPR. Virksomheden bør blandt andet tage stilling til formålet med undersøgelsen, hvilke oplysninger der indsamles, og hvem der får adgang til resultaterne.
I mange tilfælde vil det være relevant at anonymisere eller pseudonymisere besvarelserne for at beskytte medarbejdernes privatliv. Virksomheden skal samtidig sikre, at medarbejderne informeres om behandlingen af deres oplysninger, og at undersøgelsen gennemføres på en måde, der skaber tillid og fortrolighed omkring besvarelserne.
Kontakt en specialist
Brug for rådgivning inden for Persondata (GDPR)?
