Persondata og de registreredes rettigheder
Skal min lille virksomhed have en fortegnelse over behandlingsaktiviteter?
Sidst efterset . Vi forklarer reglerne, som vi læser dem; det er ikke juridisk rådgivning.
Som udgangspunkt ja. Alle, der behandler personoplysninger, skal føre en fortegnelse. Undtagelsen for under 250 ansatte falder næsten altid bort, fordi kundedata og løn ikke er lejlighedsvis. Listen skal kunne udleveres til Datatilsynet.
Sådan gør du
- Skriv de behandlinger I har: kunder, ansatte, ansøgere, nyhedsbrev, website.
- For hver behandling: formål, hvem oplysningerne handler om, hvilke data, og hvem der får dem.
- Notér slettefrister og de sikkerhedstiltag, I faktisk har.
- Tilføj overførsler ud af EU, hvis I bruger leverandører uden for EU.
- Hold listen opdateret, når I tager et nyt system i brug.
Tjekliste
Det kræver loven
GDPR artikel 30 kræver som hovedregel, at alle der behandler personoplysninger, fører en fortegnelse. Undtagelsen i artikel 30, stk. 5 for under 250 ansatte bortfalder, når behandlingen ikke er lejlighedsvis, indebærer særlig risiko eller omfatter følsomme oplysninger. Løbende kundedata og løn gør behandlingen ikke-lejlighedsvis. Fortegnelsen skal indeholde formål, kategorier, modtagere, eventuelle tredjelandsoverførsler, slettefrister og sikkerhedsforanstaltninger, og den skal udleveres til Datatilsynet på forlangende.
Gælder det mig?
- Frisørsalon med kundekartotek
- Løbende kundedata er ikke lejlighedsvis, så undtagelsen for under 250 ansatte falder bort. En simpel liste over behandlinger er nok.
- IT-konsulent uden ansatte
- Ja, hvis I fakturerer navngivne kunder eller har et nyhedsbrev. Fortegnelsen kan være et kort ark; den skal kunne udleveres til Datatilsynet.
- Fysioterapeut med journaler
- Ja, og den skal medtage helbred. Følsomme oplysninger fjerner tvivlen om undtagelsen, og slettefrister og leverandører skal stå på listen.
Typiske fejl
- At tro, at under 250 ansatte er nok til at springe listen over.
- At have politikken på sitet, men ingen intern oversigt over behandlinger.
- At glemme ansatte og ansøgere, fordi I tænker kun på kunder.
- At lade listen blive forældet, når I skifter system.
Ordbog og definitioner
- Fortegnelse
- Den interne liste over jeres behandlinger af personoplysninger, som GDPR artikel 30 kræver, og som tilsynet kan bede om.
- Lejlighedsvis behandling
- En sjælden, enkeltstående behandling, hvor løbende kunder, løn og ansøgere ikke tæller med.
- Tredjelandsoverførsel
- Når personoplysninger sendes til et land uden for EU, for eksempel via en sky-leverandør i USA.