databeskyttelsesreglerne

Databeskyttelsesreglerne refererer til de regler, der beskytter personoplysninger og styrer, hvordan myndigheder og virksomheder må indsamle, opbevare og behandle sådanne data. I EU udgøres de primært af Generel databeskyttelsesforordning (GDPR) sammen med dansk national lovgivning som Databeskyttelsesloven. Formålet er at beskytte enkeltpersoners privatliv og sikre, at behandling af personoplysninger sker sikkert, lovligt og gennemsigtigt.

Kerneprincipperne omfatter lovlighed, rimelighed og gennemsigtighed; formålbegrænsning; dataminimering; nøjagtighed; opbevaringsbegrænsning; integritet og fortrolighed samt ansvarlighed. Data må kun behandles hvis der foreligger et behandlingsgrundlag, og kun i den udstrækning nødvendigt.

Roller og grundlag: Den dataansvarlige bestemmer formålet med behandlingen og de midler, og databehandlere behandler data på vegne af den ansvarlige. Behandlingsgrundlagene spænder fra samtykke og kontrakt til retlig forpligtelse, vitale interesser, offentlig opgave og legitime interesser. Højrisiko-behandling kræver ofte en konsekvensvurdering.

Rettigheder for den registrerede: adgang til egne data, berigtigelse, sletning (retten til at blive glemt), dataportabilitet, indsigelse og begrænsning af behandling. Der er også beskyttelse mod automatiseret beslutningstagning i visse tilfælde.

Sikkerhed og overholdelse: Data beskyttes med passende tekniske og organisatoriske foranstaltninger. Større eller højrisiko-behandlinger kræver en DPIA (Data Protection Impact Assessment). Databrud skal anmeldes til tilsynsmyndigheden og i visse tilfælde de berørte.

Overførsel til tredjeland kræver sikrede rammer såsom godkendt beslutning om tilstrækkelighed eller standard kontraktbestemmelser.

Håndhævelse: Datatilsynet fører tilsyn og kan udstede administrative sanktioner og bøder, op til højst 20 millioner euro eller op til 4% af global omsætning, alt efter hvad der er højst.