Persondatabehandling

Persondatabehandling betegner enhver operation eller række af operationer udført med personoplysninger. Dette omfatter indsamling, registrering, organisering, strukturering, opbevaring, tilpasning, ændring, forespørgsel, videregivelse, tilgængeliggørelse, sletning og destruktion af data. Behandlingen kan have forskellige formål, fra administration af kunder og medarbejdere til analyse, profilering og beslutningsstøtte, og den kan foregå manuelt eller gennem it-systemer.

Under EU-lovgivningen, primært GDPR, samt dansk lovgivning, er persondatabehandling underlagt principper og krav. Vigtige begreber er dataansvarlig og databehandler, der har ansvar for at sikre retlige grundlag, gennemsigtighed og fortrolighed. Behandlingen skal have et sagligt formål, være begrænset til det nødvendige (dataminimering) og opbevares kun så længe som nødvendigt (opbevaringsbegrænsning). Retlige grundlag kan være samtykke, kontrakt, juridisk forpligtelse, vitale interesser, offentlig myndighed eller legitim interesse.

Registrerede personer har rettigheder efter gældende lovgivning, herunder indsigt i egne data, ret til rettelse og sletning (retten til at blive glemt), ret til begrænsning af behandling, ret til dataportabilitet, og ret til at gøre indsigelse ved behandling baseret på legitim interesse eller automatiserede afgørelser. Visse rettigheder kan være begrænsede i bestemte tilfælde, eksempelvis af hensyn til offentlig sikkerhed eller forretningshemmeligheder.

Organisationer skal implementere sikkerhedsforanstaltninger, herunder tekniske løsninger som kryptering og pseudonymisering samt organisatoriske tiltag som adgangskontrol og løbende revision. Dataoverførsler til tredjelande kræver passende beskyttelsesforanstaltninger, typisk via beslutninger om tilstrækkelighed eller standardkontraktsklausuler.

Overvågning og håndhævelse udføres af nationale tilsynsmyndigheder (f.eks. Datatilsynet i Danmark) og under EU-rammen af EDPB og nationale tilsyn. Manglende overholdelse kan medføre bøder og pålæg om ændringer i behandlingen. Registrering af behandlingsaktiviteter (ROPA) og gennemføre DPIA ved højrisiko behandlinger bidrager til ansvarlighed og risikoafvejning.