Denne artikel omhandler alt du skal vide om GDPR for at kunne varetage compliance-opgaver for din virksomhed. 

Artiklen er for dig, der er intern GDPR ansvarlig og har ansvaret for, at din organisation er compliant og efterlever persondataforordringen, der trådte i kraft i 2018.

Ønsket med denne artikel er at give dig et samlet overblik over de begreber og lovkrav, du skal kende til samt tilsikre at din organisation efterlever.

Hvornår må man behandle personoplysninger? 

Når du behandler personoplysninger, er der 7 grundlæggende principper, du altid skal overholde som dataansvarlig. Alle GDPR-krav er baseret på disse principper, hvorfor det er vigtigt at have indsigt i disse. Du skal være opmærksom på, at iagttagelse af disse principper ikke udgør en behandlingshjemmel for din organisations behandlingsaktiviteter. Hjemlen finder du i forordningens øvrige hjemmelsbestemmelser.  

De 7 grundlæggende GDPR-principper (artikel 5): 

1. Lovlighed, rimelighed og gennemsigtighed. 
2. Formålsbegrænsning. 
3. Dataminimering. 
4. Rigtighed. 
5. Opbevaringsbegrænsning. 
6. Integritet og fortrolighed. 
7. Ansvarlighed. 

1. Lovlighed, rimelighed og gennemsigtighed

Behandlingen af personoplysninger skal være lovlig. Din organisation skal derfor have hjemmel (et gyldigt behandlingsgrundlag) i national lov eller EU-lovgivning til at behandle persondata. Et eksempel kan være, at den registrerede har givet samtykke til behandlingen af personoplysninger efter artikel 6(1)(a) eller artikel 9(2)(a). Derudover indeholder lovlighedsprincippet også et krav om, at formålet med behandlingen skal være lovligt.  

Rimelighed betyder, at den registreredes oplysninger skal behandles på rimelig vis. Det er derfor ikke nok, at behandlingen er lovlig, den skal også være rimelig overfor de registrerede. Rimelighed handler om at varetage beskyttelsesinteressen. Dette er et udtryk for den ulovbestemte gode databehandlerskik (eks. er det kun rimeligt at overvåge organisationens computere, hvis de ansatte er informeret herom).  

Gennemsigtighed betyder, at din organisation tydeligt kommunikerer hvad, hvordan og hvorfor, I behandler den registreredes personoplysninger. Den registrerede skal på en transparent og gennemskuelig måde gøres bekendt med risici, rettigheder, regler og garantier ved behandlingen. Det er vigtigt, at der kommunikeres i et simpelt og letforståeligt sprog.

2. Formålsbegrænsning

Når personoplysninger indsamles, skal den dataansvarlige beskrive, hvilke formål oplysningerne indsamles til. Oplysningerne må kun behandles til det angivne formål. Det betyder, at du ikke må viderebehandle personoplysningerne til andre formål end det oprindelige formål, som du brugte til at indsamle oplysningerne med. Formålet med behandlingen skal fastlægges forud for behandlingsaktivitetens påbegyndelse. Formålet skal desuden være sagligt, hvilket betyder, at formålet skal være lovligt og inden for din organisations saglige område. Ved vurderingen af om en eventuel videregivelse af personoplysninger kan rummes i det oprindelige formål, kan 'ikke uforenlighedstesten' efter artikel 6(4) o.e. DBL § 5, stk. 2 foretages.

3. Dataminimering

De indsamlede personoplysninger skal være tilstrækkelige, relevante og begrænsede til formålet med behandlingen. Det er derfor vigtigt, at du ikke har flere oplysninger end nødvendigt for at indfri dit formål.

4. Datakvalitet/rigtighed

Det er vigtigt at sikre, at de personoplysninger, der behandles, er korrekte. Oplysningerne skal om nødvendigt ajourføres, og ukorrekte data skal straks opdateres eller slettes. 

5. Opbevaringsbegrænsning

Personoplysninger skal slettes eller anonymiseres, når det ikke længere er nødvendigt at opbevare disse. Bliver oplysningerne stadig brugt til det oprindelige formål, er det ikke nødvendigt at slette dem.

6. Integritet og fortrolighed

Personoplysninger skal beskyttes mod uautoriseret eller ulovlig behandling. Det skal samtidig sikres, at oplysninger ikke går tabt eller bliver beskadiget. For at sikre dette skal din organisation have implementeret passende organisatoriske og tekniske foranstaltninger.

7. Ansvarlighed

Den dataansvarlige er ansvarlig for at ovenstående GDPR-principper overholdes. Det er desuden vigtigt, at du kan påvise, at din organisation efterlever principperne. Det er dog ikke angivet i forordningen, hvordan du skal dokumentere, at I efterlever disse. Dog findes der i forordningen nogle formkrav til visse dokumentationer, f.eks. i artikel 28(9) hvoraf det fremgår, at databehandleraftaler skal være skriftlige og elektroniske. Det samme krav gør sig gældende for fortegnelser efter artikel 30.

Hvad er personoplysninger?

En personoplysning er enhver form for information, der kan føres tilbage til en bestemt person. 

Eksempelvis er følgende oplysninger identificerbare:

• Personnumre. 
• Fingeraftryk. 
• Lokaliseringsdata.  
• Betalingsoplysninger. 
• Lægejournaler. 

Når det i praksis er muligt at identificere en person ud fra oplysningerne eller i kombination med andre oplysninger, kan oplysningen karakteriseres som “personhenførbar”.  

Der skelnes mellem tre kategorier af personoplysninger i persondataforordningen:

• Almindelige personoplysninger (ikke-følsomme oplysninger). 
• Særlige kategorier af personoplysninger (følsomme oplysninger). 
• Straffedomme og lovovertrædelser. 

Almindelige personoplysninger (ikke-følsomme oplysninger) 

Almindelige personoplysninger er alle oplysninger, der ikke er klassificeret som følsomme personoplysninger. Det kan for eksempel være: 

• Identifikationsoplysninger som navn, adresse, alder og uddannelse. 
• Økonomiske forhold. 
• Familieforhold.  
• Bolig. 
• Sociale problemer.  
• Ansøgning og CV. 

Særlige kategorier af personoplysninger (følsomme oplysninger) 

De særlige kategorier af personoplysninger er udtrykkeligt afgrænset i databeskyttelsesforordningen, og det er oplysninger om: 

• Race og etnisk oprindelse. 
• Politisk overbevisning. 
• Religiøs eller filosofisk overbevisning. 
• Fagforeningsmæssige tilhørsforhold. 
• Genetiske data. 
• Biometriske data med henblik på entydig identifikation. 
• Helbredsoplysninger. 
• Seksuelle forhold eller seksuel orientering. 

Kun de oplysninger, som er nævnt ovenfor, er særlige kategorier af personoplysninger. 

Straffedomme og lovovertrædelser 

Oplysninger om strafbare forhold er særskilt reguleret i databeskyttelsesloven. Det kan eksempelvis være en oplysning om, at en person har begået en bestemt lovovertrædelse. 

GDPR-forordningen henviser til, at man skal finde hjemmel for behandlingen af disse oplysninger i national lovgivning som f.eks. den danske databeskyttelseslov. 

Nationalt identifikationsnummer   

• CPR nr. 

GDPR-forordningen henviser til, at man skal finde hjemmel for behandlingen af disse oplysninger i national lovgivning som f.eks. den danske databeskyttelseslov. 

Hvad er en behandlingsaktivitet?

Eksempler på interne behandlingsaktiviteter:  

• Lønudbetaling. 
• Rekruttering og ansøgninger. 
• HR-administration. 

Eksempler på eksterne behandlingsaktiviteter:  

• Udsendelse af nyhedsbreve. 
• Kunde-administration.  
• Cookie samtykke. 

Der kan både være tale om behandling af almindelige og følsomme personoplysninger samt interne oplysninger på medarbejdere og eksterne oplysninger på eksempelvis kunder og leverandører. 

Dokumentation af behandlingsaktiviteter

Et af de vigtigste krav i persondataforordningen er, at hvis jeres virksomhed behandler persondata, skal I dokumentere jeres behandlingsaktiviteter. En behandlingsaktivitet kan ses som en "arbejdsproces hvori der behandles persondata". 

Dokumentationen af jeres behandlingsaktiviteter har bl.a. til formål at leve op til "Principper for behandling af persondata", "Føre en fortegnelse over behandlingsaktiviteter", "Risikovurdere behandlinger". Behandlingsaktiviteterne kan derfor anses som fundamentet for jeres videre arbejde med GDPR.

Registrering af behandlingsaktiviteter

Registrering af behandlingsaktivitet kan ske i et statisk dokument, eller i en cloud baseret platform, hvor der er mulighed for at arbejde dynamisk med de indtastede informationer.