EU GDPR

Bøter kan beløpe seg til 4% av den årlige globale omsetningen for brudd på GDPR eller €20 millioner. Dette er den maksimale boten som kan ilegges for de mest alvorlige bruddene, f.eks. ikke å ha tilstrekkelig kundesamtykke til å behandle data eller bryte kjernekonseptene «Privacy by Design».

Personopplysninger er enhver informasjon som kan brukes til å direkte eller indirekte identifisere personen, for eksempel navn, foto, e-postadresse, bankdetaljer, innlegg på sosiale nettverkssider, medisinsk informasjon eller en datamaskins IP-adresse.

Samtykke må gis i en forståelig og lett tilgjengelig form med formålet med databehandlingen knyttet til det samtykket. Det må være entydig, lett gjenkjennelig og bruke klart og lett forståelig språk. Det må også være like enkelt å trekke tilbake samtykke som å gi det. Ved behandling av sensitive personopplysninger er ingenting mindre enn «opt-in» tilstrekkelig.

Hvis datapersonen er under 16 år, kreves foreldresamtykke for å behandle barnets personopplysninger. Medlemsstater kan senke alderen for foreldresamtykke, men ikke under 13 år.

Personvernansvarlige må oppnevnes i tilfelle (a) offentlige myndigheter, (b) organisasjoner som driver omfattende eller storskalastisk systematisk overvåking, eller (c) organisasjoner som deltar i massiv behandling av sensitive personopplysninger (artikkel 37). Hvis organisasjonen din ikke faller inn under en av disse kategoriene, trenger du ikke å oppnevne en personvernansvarlig.

Meldeplikt ved brudd

Under GDPR blir meldeplikt ved brudd obligatorisk i alle medlemsstater der et databrudd sannsynligvis «vil resultere i en risiko for individers rettigheter og friheter». Melding må skje innen 72 timer etter at bruddet blir kjent. Databehandlere vil også være pålagt å melde kontrollanter «uten unødig forsinkelse» etter første gang de blir klar over et databrudd.

Rett til innsyn

Datapersoner har rett til å få bekreftet fra datakontrollanten hvorvidt eller ikke personopplysninger om dem blir behandlet, hvor og for hvilket formål. Datakontrollanten skal gi en kopi av personopplysningene gratis i elektronisk format.

Rett til å bli glemt

Kjent som dataSlettig, retten til å bli glemt gir datapersonen rett til å la datakontrollanten slette personopplysningene deres, stanse videre spredning av dataene, og potensielt få tredjepart til å stanse behandlingen av dataene. Dataene må ikke lenger være relevante til de opprinnelige formålene med behandlingen eller når en dataperson trekker tilbake samtykke. Det bør også bemerkes at denne retten krever at kontrollanter sammenligner personens rettigheter med «den offentlige interessen i tilgjengeligheten av dataene» når de vurderer slike forespørsler.

Dataportabilitet

Datapersonen kan motta personopplysningene som gjelder dem, som de tidligere har gitt i et «vanlig brukt og maskinlesbart format» og har rett til å overføre disse dataene til en annen kontrollant.

Personvern fra design

Datapersonvern må være kjernen i teknologisystemene som kontrollanter og behandlere bruker for å håndtere datapersonenes informasjon, ikke bare som et tillegg.

Informasjonen som må gjøres tilgjengelig for en dataperson når data samles inn, er nøye definert og inkluderer:

• Identiteten og kontaktdetaljene til kontrollanten og personvernansvarlig
• Formålene med behandlingen som personopplysningene er beregnet på
• Det juridiske grunnlaget for behandlingen
• Der det er relevant, interessene som forfølges av kontrollanten eller en tredjepart
• Der det er relevant, mottakerne eller kategorier av mottakere av personopplysningene
• Perioden som personopplysningene vil bli lagret, eller hvis dette ikke er mulig, kriteriene som brukes til å bestemme denne perioden
• Eksistensen av retten til innsyn, rettelse eller sletting av personopplysningene
• Retten til dataportabilitet
• Retten til å trekke tilbake samtykke når som helst
• Retten til å sende klage til en tilsynsmyndighet

Det er viktig å merke seg at når dataene ikke har blitt oppnådd direkte fra datapersonen (kanskje ved hjelp av en tredjeparts liste), varierer listen og inkluderer hvilken kilde personopplysningene kommer fra:

• Eksistensen av eventuelle profiler og meningsfull informasjon om logikken involvert samt betydningen og forventede konsekvenser av slik behandling for datapersonen.
• GDPR representerer et betydelig problem for markedsførere som får data fra tredjeparts lister.

1. Implementer en proaktiv plan for GDPR-samsvar.
2. Gjennomgå personvernvarslinger og retningslinjer, og sikre at de oppfyller GDPR-samsvarkrav.
3. Forbered en plan i tilfelle et sikkerhetsbrud.
4. Revidér dine samtykker.
5. Gjør markedsføringssamt sikkerhetskke opt-in.
6. Gjennomgå den legitime interesse-delen av direktivet med ditt juridiske team for å sikre at det dekker organisasjonen din for bruken av kjøperens data til å behandle og administrere den bestillingen.
7. Gjør språket ditt om samtykke lett å finne og les om bruken av personopplysninger.
8. Opprett en handlingsplan for datapersonens forespørsler til organisasjonen din om bruken av dataene deres.
9. Bli ansvarlig for ditt samsvar.
10. Tren dine ansatte.
11. Ha klare prosesser på plass, skrevne og reviderte.
12. Oppnevn en personvernansvarlig der det er påkrevd.
13. Sikre at kontrollanten/behandlingspartnerne dine er i samsvar.

GDPR gjelder for organisasjoner, kontrollanter og behandlere plassert innenfor og utenfor EU, som tilbyr varer eller tjenester til EU-datapersoner. GDPR gjelder også organisasjoner, som markedsføringsorganisasjoner eller de som leverer eller bruker data som overvåker oppførselen til EU-fag.

En kontrollant bestemmer formålene, betingelsene og midlene for behandlingen av personopplysninger, mens behandleren behandler personopplysningene på vegne av kontrollanten.