Hvad GDPR er, hvem den gælder for, hvilke principper og rettigheder den bygger på, og hvad du skal gøre. Et praktisk overblik i et letforståeligt sprog for virksomheder i Danmark, holdt opdateret.
Databeskyttelsesforordningen (GDPR) er forordning (EU) 2016/679. Den har været gældende siden 25. maj 2018 og gælder direkte i Danmark, suppleret af den danske databeskyttelseslov.
Forordningen regulerer al behandling af personoplysninger, altså enhver oplysning om en identificeret eller identificerbar fysisk person. Den gælder både virksomheder, der bestemmer formål og midler med behandlingen (dataansvarlige), og virksomheder, der behandler oplysninger på andres vegne (databehandlere), og den gælder uanset virksomhedens størrelse.
Kernen er, at behandling af personoplysninger skal have et lovligt grundlag, ske gennemsigtigt og med respekt for den enkeltes rettigheder, og at du som virksomhed skal kunne dokumentere, at du overholder reglerne. At vide hvilke oplysninger du behandler, og på hvilket grundlag, er det første reelle skridt.
Al behandling af personoplysninger skal leve op til disse principper. Det sidste, ansvarlighed, betyder at du skal kunne bevise de øvrige seks.
Behandling skal have et lovligt grundlag og være gennemskuelig for den registrerede.
Oplysninger må kun indsamles til udtrykkelige, legitime formål og ikke bruges til uforenelige formål.
Indsaml kun de oplysninger, der er nødvendige for formålet, ikke mere.
Oplysninger skal være korrekte og ajourførte, og forkerte oplysninger skal rettes eller slettes.
Oplysninger må ikke opbevares længere, end formålet kræver.
Oplysninger skal beskyttes mod uautoriseret adgang, tab og ændring med passende sikkerhed.
Den dataansvarlige skal kunne påvise, at de øvrige principper overholdes.
Enhver behandling kræver et af de seks grundlag i art. 6 (fx samtykke, aftale, retlig forpligtelse eller legitim interesse). Følsomme oplysninger kræver desuden en undtagelse i art. 9.
De registrerede har en række rettigheder (artikel 12 til 23), og du skal som udgangspunkt svare inden for en måned.
Ret til at få oplyst, hvordan og hvorfor personoplysningerne behandles, allerede når de indsamles.
Ret til at få at vide, om og hvordan du behandler personens oplysninger, og til en kopi.
Ret til at få urigtige oplysninger rettet og ufuldstændige oplysninger suppleret.
Retten til at blive glemt: at få oplysninger slettet, når de ikke længere er nødvendige.
Ret til at få behandlingen sat på pause i visse situationer.
Ret til at få egne oplysninger udleveret i et maskinlæsbart format eller overført.
Ret til at gøre indsigelse mod behandling, herunder mod direkte markedsføring.
Ret til ikke at være genstand for en afgørelse, der alene bygger på automatisk behandling, herunder profilering, med væsentlig virkning.
Du skal træffe passende tekniske og organisatoriske foranstaltninger i forhold til risikoen, fx adgangsstyring, kryptering, backup og løbende test.
Et brud skal som udgangspunkt anmeldes til Datatilsynet uden unødig forsinkelse og inden 72 timer. Ved høj risiko skal de berørte personer også underrettes.
Ved behandling med sandsynlig høj risiko skal du forinden lave en konsekvensanalyse vedrørende databeskyttelse.
Visse virksomheder skal udpege en DPO, fx offentlige myndigheder og virksomheder med systematisk overvågning i stor skala.
Databehandleraftale (artikel 28): Bruger du en databehandler (fx en cloud- eller it-leverandør), skal der være en skriftlig databehandleraftale, og du skal føre en fortegnelse over dine behandlinger (artikel 30).
Datatilsynet er den danske tilsynsmyndighed. De vejleder, behandler klager og fører tilsyn med, at reglerne overholdes.
Alvorlige overtrædelser kan efter artikel 83 straffes med bøder op til 20 mio. euro eller 4 % af den samlede globale årsomsætning, alt efter hvad der er højest.
Datatilsynet offentliggør løbende sine afgørelser. Se de nyeste sager i Datatilsynets afgørelsesdatabase, og find praktisk vejledning under Regler og vejledning. Forordningen suppleres i Danmark af databeskyttelsesloven, som du kan læse i fuld længde i et læsevenligt format på danskret.dk.
Du behøver ikke løse alt på én gang, men du skal vide, hvor du står.
Det mange overser: dokumentationspligten. Efter ansvarlighedsprincippet (art. 5, stk. 2) er det ikke nok at overholde reglerne, du skal kunne påvise det. Ved et tilsyn beder Datatilsynet typisk først om din fortegnelse over behandlingsaktiviteter (art. 30). Kan du ikke fremvise en opdateret fortegnelse, står du svagt fra start.
Del af samme familie af letforståelige oversigter over love og regler, vedligeholdt af CisScan.
EU's regler for kunstig intelligens: hvem de gælder for, de fire sæt af pligter og de vigtigste frister.
Forbud mod forskelsbehandling på arbejdsmarkedet: beskyttede kriterier og arbejdsgiverens pligter.
Dokumentation for databehandleres efterlevelse af databeskyttelsesforordningen, klar til den dataansvarlige.
CisScan gør dokumentationspligten nem. Værktøjet holder din fortegnelse over behandlingsaktiviteter (art. 30) og din øvrige GDPR-dokumentation løbende opdateret og revisionsklar, så du altid kan påvise din efterlevelse, sammen med NIS2, ISO 27001 og mere, fra ét sted.
Det gratis tjek viser, hvilke EU-regler der gælder for din virksomhed, ud fra offentlige data.