GDPR

GDPR (General Data Protection Regulation) er EU's forordning om beskyttelse af personoplysninger. Den trådte i kraft 25. maj 2018 og stiller krav til, hvordan virksomheder indsamler, opbevarer og behandler persondata. Alle virksomheder, der behandler data om personer i EU, skal overholde den.

Tilbage til ordbog

Hvad er GDPR?

GDPR står for General Data Protection Regulation, og på dansk kalder vi den Persondataforordningen eller Databeskyttelsesforordningen (EU-forordning 2016/679). Den erstattede det gamle EU-direktiv fra 1995 og satte en fælles standard for databeskyttelse i hele EU.

Formålet er enkelt: at give borgere kontrol over deres egne personoplysninger og sikre, at virksomheder behandler dem ansvarligt. I praksis betyder det, at din virksomhed skal kunne dokumentere, at I har styr på jeres databehandling.

GDPR's syv principper

Hele forordningen hviler på syv grundlæggende principper (artikel 5). De er rammen for alt, hvad du gør med persondata:

Lovlighed, rimelighed og gennemsigtighed: Du skal have et lovligt grundlag, og de registrerede skal vide, hvad du gør.
Formålsbegrænsning: Du må kun bruge data til det formål, du har oplyst.
Dataminimering: Indsaml kun det, der er nødvendigt.
Rigtighed: Data skal være korrekte og ajourførte.
Opbevaringsbegrænsning: Slet data, når du ikke længere har brug for dem.
Integritet og fortrolighed: Beskyt data med passende sikkerhedsforanstaltninger.
Ansvarlighed: Du skal kunne dokumentere, at du overholder principperne.

Hvem skal overholde GDPR?

Kort sagt: alle der behandler personoplysninger om personer i EU. Det gælder:

Virksomheder og organisationer i EU, uanset størrelse
Virksomheder uden for EU, der tilbyder varer eller tjenester til personer i EU
Virksomheder, der overvåger adfærden hos personer i EU (fx tracking på hjemmesider)

Gælder også små virksomheder: Der er ingen minimumsgrænse. En enkeltmandsvirksomhed med en kundeliste skal også overholde GDPR. Kravene kan dog være proportionelle med omfanget af databehandlingen.

De vigtigste krav i praksis

GDPR indeholder mange artikler, men her er de krav, de fleste virksomheder skal forholde sig til:

Behandlingsgrundlag: Du skal have et lovligt grundlag for al behandling af persondata.
Oplysningspligt: Informér de registrerede om, hvordan du bruger deres data.
Artikel 30 fortegnelse: Dokumentér alle dine behandlingsaktiviteter.
Databehandleraftaler: Indgå aftaler med alle leverandører, der behandler data for dig.
Registreredes rettigheder: Hav procedurer for indsigt, sletning, berigtigelse mv.
DPIA: Lav konsekvensanalyser for højrisikobehandlinger.
Brud på persondatasikkerheden: Anmeld til Datatilsynet inden 72 timer.

Bøder og håndhævelse

Overtrædelser kan resultere i bøder på op til 20 mio. EUR eller 4% af den globale årsomsætning, alt efter hvad der er højest. I praksis varierer bøderne, og Datatilsynet i Danmark har typisk udstedt mindre bøder og påbud.

Men bøder er kun en del af billedet. Manglende GDPR-compliance kan også betyde tab af kundetillid, negativ omtale og tabte forretningsaftaler, særligt med større virksomheder der stiller krav til leverandørers compliance.

Ofte stillede spørgsmål om gdpr

Hvad står GDPR for?

GDPR står for General Data Protection Regulation, på dansk kaldet Persondataforordningen eller Databeskyttelsesforordningen. Det er EU-forordning 2016/679.

Hvem skal overholde GDPR?

Alle virksomheder og organisationer, der behandler personoplysninger om personer i EU. Det gælder også virksomheder uden for EU, hvis de tilbyder varer eller tjenester til personer i EU, eller overvåger deres adfærd.

Hvad er straffen for at bryde GDPR?

Bøder kan gå op til 20 mio. EUR eller 4% af den globale årsomsætning, alt efter hvad der er højest. I praksis varierer bøderne, og Datatilsynet i Danmark udsteder typisk mindre bøder til danske virksomheder.

Hvad er de 7 principper i GDPR?

De syv principper er: lovlighed, rimelighed og gennemsigtighed, formålsbegrænsning, dataminimering, rigtighed, opbevaringsbegrænsning, integritet og fortrolighed, samt ansvarlighed (accountability).

Gælder GDPR for små virksomheder?

Ja. Der er ingen minimumsgrænse for størrelse. Enhver organisation, der behandler personoplysninger om personer i EU, skal overholde GDPR, selvom kravene kan tilpasses omfanget af behandlingen.