4. Persondataretten Flashcards
Hvad er formålet (balancegangen) i Persondataretten?
At balancere den registreredes rettigheder mod behovet for at behandle og overføre persondata.
Hvad er de 3 etiske problemstillinger ift. persondata?
- Privatliv og ejerskab: Hvem bestemmer hvilke oplysninger, man kan indsamle og hvem ejer oplysningerne?
- Sikkerhed og anonymitet: Hvordan sikrer vi, at data ikke falder i de forkerte hænder?
- Beslutningstagning: Hvilke beslutninger tages på baggrund af informationen, og hvem træffer beslutningen?
Hvad er forskellen på et direktiv og en forordning?
Direktiv: Skal implementeres før direktivet bliver lov i medlemsstater. Plads til lokal fortolkning i medlemsstater.
FORORDNING: Straks lov i medlemsstater. Kræver ikke implementering. Bruges når EU vil sikre, at reglerne er ens i hele EU.
Hvem gælder EUs persondataforordning for?
Persondataforordningen hælder hvis:
- Virksomhed etableret i EU
- Tilbyder varer eller tjenesteydelser til EU-borgere
- Overvåger adfærd af EU-borgere
DERFOR: Omfatter alle, som håndterer EU-borgeres data
Hvad er de 6 principper i GDPR jf. art 5?
- Lovligt, rimeligt og gennemsigtigt
- Formålsbegrænsning
- Dataminimering
- Rigtighed, nøjagtighed
- Opbevaringsbegrænsning
- Integritet og fortrolighed
Hvad betyder “den dataansvarlige”?
En fysisk eller juridisk person, offentlig myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af oplysninger.”
Hvilke 2 etiske udfordringer fra forskellige etiske skoler har vi arbejdet med ift. persondataret?
Nytteetikken (utilitarisme): Utilitarisme er en etisk teori, ifølge hvilken en handling er etisk rigtig, hvis og kun hvis der ikke findes andre handlinger blandt alle mulige handlingsalternativer, der resulterer i en større mængde livskvalitet. Ifølge teorien er det altså alene konsekvenserne af en handling, der er bestemmende for, om handlingen er etisk rigtig eller forkert, nemlig de konsekvenser handlingen har for alle berørte parters livskvalitet.
Pligtetikken (det kategoriske imperativ): Det kategoriske imperativ er filosoffen Immanuel Kants betegnelse for det grundlæggende moralbud, “det ubetingede påbud”, som stiller det krav til os, at vores handlinger skal være bestemt af uselviske motiver.
Hvad dækker lovlighed, rimelighed og gennemsigtighed over?
Lovlighed: Der skal være et retsgrundlag for behandlingen af persondata.
Rimelighed: Betyder, at der kun bør ske behandling af data, hvis formålet med behandlingen af data, hvis formålet med behandlingen ikke kan opnås på en anden måde.
Gennemsigtighed: Dette princip er lidt mere komplekst, men betyder i korte træk, at den registrerede information skal være lettilgængelig og let forståeligt.
Hvad dækker princippet om formålsbegrænsning over?
Formålsbegrænsning betyder, at der kun må ske indsamling af data direkte til det udtrykkeligt angivne formål. Dog er det ikke i strid mod dette princip, at der sker viderebehandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål.
Dog skal der iagttages de fornødne garantier for de registreredes rettigheder.
Hvad dækker princippet om dataminimering over?
I begrebet dataminimering betyder, at der kan indsamles tilstrækkelige og relevante data. Det er således et krav om relevans og proportionalitet samt, at der ikke må indsamles mere data end højst nødvendigt.
Hvad dækker princippet om rigtighed, nøjagtighed over?
Her hentydes der til datakvalitet. Dette princip dikterer, at indsamlet data skal være korrekt og ajourført. Dette betyder også, at den registrerede har ret til at få indsigt i, hvad der er registreret og evt. få dette rettet.
Hvad dækker princippet om opbevaringsbegrænsning om?
Dette princip dikterer, at den registrerede ikke kan identificeres længere, end det er nødvendigt af hensyn til formålet med registreringen. Dette betyder således, at data skal slettes, pseudonymiseres eller anonymiseres, når behovet for identifikation ikke længere er til stede. Dog er dette ofte svært at vurdere, da formålene til data kan variere og dermed kan det være svært at give et meningsfuldt bud på, hvornår data ikke længere er vigtigt.
Hvad dækker princippet om integritet og fortrolighed over?
Dette krav handler om sikkerhed. De indsamlede data skal opbevares på en måde, der sikrer imod uautoriseret og/eller ulovlig behandling(hacking) og mod hændeligt tab, tilintetgørelse eller beskadigelse. Det er således de opbevarede datas integritet, der skal beskyttes.
Kravet om fortrolighed stilles til alle i den datansvarliges og databhandlerens organisationer, hvortil kommer et krav om eliminering af fortrolighedsbrist forårsaget af udefrakommende og kræver således passende tekniske og organisatoriske foranstaltninger.
Hvad dækker begrebet “databehandleren” over?
Databehandleren er “den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der behandler oplysninger på den dataansvarliges vegne”. Dette kan således være en 3. person i en IT-virksomhed, som behandler data på vegne af den dataansvarlige.
Hvilke regler er der for en databehandler?
Ifølge artikel 28 stk 1, kan man kun være databehandler, hvis man kan stille garantier for, at man vil gennemføre passende tekniske og organisatoriske foranstaltninger for at opfylde kravene i GDPR.
En databehandler må heller ikke overlade data til behandling hos en anden databehandler uden forudgående godkendelse fra den dataansvarlige. Databehandleren kan således ikke udlicitere sit ansvar til andre.
Hvad er konkrete eksempler på databehandling?
- Indsamling
- Opbevaring
- Brug
- Ændring
- Overdragelse
- Offentliggørelse
- Sletning
Hvordan håndteres den etiske problemstilling “privatliv og ejerskab” i GDPR?
Hjemlen, art 6: “Al databehandling skal have hjemmel - dvs. nævner forordningen ikke specifikt, at data må behandles, så er det ulovligt.”
Der er således disse fem trin, der skal opfyldes:
- Samtykke til behandling
- Nødvendighed for opfyldelse af kontrakt
- Dataansvarlige er retlig forpligtet til at behandle oplysninger.
- Nødvendighed for opgaver i samfundets interesse/offentligt pålagte opgaver
- Interesseafvejning når legitime interesser forfølges.
Hvordan håndteres den etiske problemstilling “sikkerhed og anonymitet” i GDPR?
Ligger i reglerne for den dataansvarlige og databehandleren.
“Den dataansvarlige skal gennemføre tekniske og organisatoriske foranstaltninger, som sikrer personoplysninger.”
Hvad er den dataansvarliges pligter?
- Gennemføre tekniske og organisatoriske foranstaltninger, som sikrer personoplysninger
- Vedtage passende interne databeskyttelsespolitikker
- Dokumentation for pligtmæssig kommunikation med den registrerede
- Privacy by design - Privacy by default
- Fortegnelse over persondatabehandlinger
- Sikkerhedsvurdering - risikoanalyse og
konsekvensanalyse - Orientere om sikkerhedsbrud
Hvad er en risikovurdering og en konsekvensanalyse?
En risikovurdering skal foretages af den dataansvarlige. Denne vurdering skal under hensyn til behandlingens karakter, omfang, sammenhæng og formål afklare diverse risici for den registreredes frihedsrettigheder og rettigheder efter GDPR.
Konsekvensanalysen skal udarbejdes af den dataansvarlige, hvis risikovurdering munder ud i, at en handling vil medføre høj risiko for de registreredes rettigheder.
Hvad er en Data Protection Officer (DPO)?
En DPO SKAL (jf. Art. 37-39) udpeges når:
- Behandling foretages af offentlige myndigheder
- Regelmæssig og systematisk overvågning af registrerede i stort omfang
- Behandling af et stort omfang af personfølsomme data
Hvad er strafferammen for en virksomhed, der bryder GDPR-lovgivningen?
- Op til det €20.000.000 eller 4 % af den globale omsætning
- Bøderne skal være EFFEKTIVE og have AFSKRÆKKENDE virkning. De skal dog også være RIMELIGE i forhold til overtrædelsen
Hvad er Datatilsynet og hvad er dets formål?
Datatilsynet er en tilsynsmyndighed, der fører tilsyn på, om virksomheder lever op til GDPR-lovgivningen.
Undersøgelsesbeføjelser: De kan bede om at få enhver oplysning udleveret. De kan kræve adgang til lokaler og alt udstyr hos den dataansvarlige.
Korrigerende beføjelser:
* Udstede advarsler
* Påbud om at bringe opførsel til ophør
* Kan kræve certificeringer tilbage.
* Kan kræve behandling stoppet.
* Kan udstede bøder
Hvad betyder “profilering” ift. GDPR?
”enhver form for automatisk behandling af personlige oplysninger, der har til formål at vurdere bestemte personlige forhold vedrørende en fysisk person eller analysere eller forudsige navnlig den fysiske persons
erhvervsevne, økonomiske situation, opholdssted, sundhed, personlige præferencer, pålidelighed eller adfærd”.
Betydning: Ingen afgørelse, der alene er baseret på automatisk
behandling, herunder profilering, som har retsvirkning eller på tilsvarende vis betydeligt påvirker de pågældende.
KORT: Menneskelig medvirken til beslutninger.
