9. Persondataret Flashcards
Hvad er Datatilsynet?
Datatilsynet er den administrative myndighed, som i Danmark fører tilsyn med enhver behandling omfatter af GDRP eller databeskyttelsesloven.
Er Datatilsynets afgørelser endelige?
Ja, de kan ikke indbriges for andre administrative myndigheder, men der er mulighed for indbringelse for de almindelige domstole.
Hvad er formålet med GDRP?
At sikre fysiske personers grundlæggende rettigheder samt frihedsrettigheder, skabe ensartede regler i EU samt tillige gøre det nemmere for EU-landene at overføre personoplysninger imellem dem.
Hvilket område er specifikt undtager fra GDRP, og hvorfor laves en lov?
Statens sikkerhed er specifikt undtaget fra forordningen. Der laves en databeskyttelseslov, da forordningen på visse områder tildeler medlemslandene en række frihedsgrader.
Hvad finder GDRP anvendelse for?
Behandling af personoplysninger, som helt eller delvist foretages digitalt. Loven gælder tillige for oplysninger, der er eller vil blive indeholdt i et register.
Hvem omfatter GDRP?
Både private og offentlige dataansvarlige.
Hvad er GDRP’s territoriale anvendelsesområde?
Forordningen gælder for behandling af personoplysninger, som foretages som led i aktiviteter, der udføres af både dataansvarlige og databehandlere, som er etableret i EU, uanset om behandlingen finder sted i EU eller ej.
Dataansvarlige og databehandlere, som ikke er etableret i EU, er omfattet af forordningen, når der behandler personplysninger om registrerede, der befinder sig i EU, når behandlingsaktiviterne vedrører udbud af varer eller tjenesteydelser, eller hvis de pågældendes adfærd i EU overvåges.
Disse dataansvarlige og -behandlere er tillige forpligtet til at udpege en repræsentant i EU - og om muligt også en DPO, hvis påkrævet.
Kan private behandle personoplysninger?
Private personer kan frit behandle personoplysninger, så længe de ikke videregives til offentligheden.
Hvad er en dataansvarlig?
Den dataansvarlige er den, som fastlægger det formål , som personoplysningerne skal behandles i forhold til, samt beslutter hvilke hjælpemidler, der skal anvendes til behandlingen.
En dataansvarlig kan være både en privat og juridisk person, en offentlig myndighed, en institution m.v.
Hvad er en databehandler?
Databehandleren behandler personoplysninger på vegne af den dataansvarlige.
En databehandler kan være både en privat og juridisk person, en offentlig myndighed, en institution m.v.
Hvad indebærer princippet om ansvarlighed?
At den ansvarlige er ansvarlig for overholdelsen af grundlæggende behandlingsprincipper, og at den ansvarlige skal kunne påvise overholdelsen heraf.
At den dataansvarlige skal tilrettelægge sikkerhedsforanstaltningerne ud fra den konkrete behandlings karakter, omfang, sammenhæng og formål og være i stand til at dokumentere at behandlingen sker i overensstemmelse med GDRP.
Overlades behandlingen til en databehandler, er den dataansvarlige forpligtet til kun at anvende databehandlere, der kan garantere, at GDRP overholdes.
Hvad regulerer forholdet mellem databehandleren og den dataansvarlige?
Den indgåede databehandleraftale eller et andet retligt bindende dokument (aftale).
Aftalen regulerer bl.a. formålet med behandlingen, typer af registrerede, typen af personoplysninger, rettigheder og forpligtelser m.v.
Hvilke muligheder har databehandleren for at anvende en underdatabehandler?
Dette kræver enten specifik eller generel godkendelse fra den dataansvarlige.
Databehandleren skal underrette den dataansvarlige om planlagt outsourcing og udskiftning af underdatabehandlere m.v., så den dataansvarlige har mulighed for at gøre indsigelser imod dette.
Hvad gælder om dataansvarlige og -behandleres (uden for EU) pligt til at udpege en repræsentant i EU?
Hvis en dataansvarlig eller databehandling, som er etableret uden for EU, udbyder varer eller tjensteydelser inden for EU eller overvåger registreredes adfærd inden for EU, er de forpligtede til at udpege en repræsentant inden for EU. Kravet gælder ikke, hvis der alene er tale om lejlighedsvis behandling.
Repræsentanten skal befinde sig i et af de lande, hvori der udbydes varer/tjenesteydelser eller som overvåges.
Kravet gælder ikke offentlige myndigheder.
Hvad er fælles dataansvar?
Situationen, hvor to eller flere dataansvarlige i fællesskab fastlægger formål og hjælpemidler.
Alle registrere kan da udøve deres rettigheder over for alle dataansvarlige.
Hvad gælder der om fortegnelser over behandlingsaktiviter?
Dataansvarlige og databehandlere skal selv føre fortegnelser over deres behandlingsaktiviteter.
Fortegnelsen skal være skriftlig.
Fortegnelsen skal anvende navn på databehandler. evt. fælles dataansvar, evt. DPO, formål med behandlingen, kategori af personoplysninger, kategori af registrerede samt kategori over dem, som oplysningerne evt. videregives til, samt evt. tidsfrister.
Ved overførsel til tredjeland skal vedlægges information herom samt retligt grundlag herfor.
Hvis databehandler, skal oplyses om den dataansvarlige.
Hvad er en DPO, og hvad er en DPO’s opgaver?
En data protection officer.
Forpligtelsen til at udpege en DPO gælder alle offentlige myndigheder og private ansvarlige og databehandlere, hvis kerneaktivitet består i behandling af personoplysninger, som i medfør af omfang eller karakter kræver en systematisk eller regelmæssig overvågning.
Titlen som DPO kræver, at forordningens DPO krav er opfyldt.
DPO’en kan være ansat eller en ekstern konsulent. Kontaktoplysninger skal offentliggøres og meddeles Datatilsynet.
DPO’en skal inddrages tilstrækkeligt og rettidigt i forhold til spørgsmål vedrørende beskyttelse af personoplysninger. DPO’en opgave er at rådgive den dataansvarlige om dennes forpligtelse i henhold til forordningen samt overvåge overholdelsen af disse forpligtelser.
Skal databehandleren udpege en DPO, hvis den dataansvarlige skal?
Ikke nødvendigvis - det afhænger af omfanget af de behandlinger, som databehandleren selv foretager.
Hvad er en personoplysning?
En personoplysning er enhver form for information om en identificeret eller identificerbar fysisk person.
Er en dynamisk IP-adresse en personoplysning?
Oplysninger i form af dynamiske IP-adresser er oplysninger om en identificerbar person, jf. Breyer-dommen. Dette er også tilfældet, selvom hjemmesideejeren er nødt til at knytte IP-adressen med internetoperatørens oplysninger i form af f.eks. navn og adresse m.v.
Hvad er følsomme oplysninger?
Følsomme oplysninger afgrænset negativt de almindelige oplysninger.
Følsomme oplysninger er nedenstående:
Personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering - GDRP art. 9.
Hvad er en helbredsoplysning?
Oplysninger om en persons fysiske eller mentale helbred.
Hvad er genetiske data?
Oplysninger vedrørende en persons fysisk arvede eller erhvervede genetiske karakteristika, som giver en entydig information om den fysiske persons fysiologi eller helbred.
Hvad er biometriske data?
Personoplysninger, der som følge af en specifik teknisk behandling vedrørende den fysiske persons fysiske, fysiologiske eller adfærdsmæssige karakteristika giver en entydig identifikation af den pågældende.
Hvad er almindelige personoplysninger?
Oplysninger, som ikke er følsomme.
Er oplysninger om straffedomme og lovovertrædelser samt sociale problemer følsomme oplysninger?
Oplysninger om straffedomme og lovovertrædelser samt sociale problemer er ikke omfattet af forordningens definition på følsomme oplysninger, hvorfor de skal anses for værende almindelige personoplysninger (modsat den gamle persondatalov, hvor de var karakteriseret som semi-følsomme oplysninger).
Behandling af disse oplysninger kan dog kun ske under kontrol af en offentlig myndighed, eller hvis det er fastsat i lovgivningen.
