GDPR-reglerne forklaret: hvad de kræver, og hvor de står

Hvad er GDPR-reglerne?

GDPR-reglerne er den fælles EU-lovgivning om behandling af personoplysninger. Grundteksten er databeskyttelsesforordningen, forordning (EU) 2016/679, som har været gældende i alle EU-lande siden den 25. maj 2018. En forordning gælder direkte: den skulle ikke først skrives ind i dansk lov for at have virkning, og dens krav er de samme i Danmark som i resten af EU.

Danmark har derudover databeskyttelsesloven, som supplerer forordningen på de punkter, hvor EU-landene selv måtte vælge. Det gælder for eksempel behandling af CPR-numre og aldersgrænsen for børns samtykke til informationssamfundstjenester. Når man i daglig tale siger »GDPR-reglerne«, mener man i praksis begge dele: forordningen som fundament og den danske lov som supplement.

Reglerne handler om personoplysninger: enhver information, der kan knyttes til en identificerbar person. Det er mere, end de fleste regner med: navne og mailadresser, men også kundenumre, IP-adresser og cookie-ID'er. Hvis du er i tvivl om selve grundbegreberne, så start med Hvad er GDPR?, som gennemgår dem i klart sprog.

Reglerne gælder for behandling af personoplysninger, og også dét begreb er bredt: indsamling, registrering, opbevaring, ændring, søgning, videregivelse og sletning tæller alt sammen som behandling. At en kundemail ligger urørt i indbakken, er en behandling. Det er derfor, næsten ingen virksomhed falder uden for reglerne. Det kræver reelt, at man hverken har kunder, ansatte eller en hjemmeside.

Hvem har ansvaret: dataansvarlig og databehandler

Forordningen fordeler ansvaret mellem to roller, og hele regelsættet giver først mening, når man ved, hvilken rolle man har i en given behandling.

Den dataansvarlige afgør, til hvilke formål og med hvilke hjælpemidler der må behandles personoplysninger. Det er virksomheden selv, når det gælder egne kunder, egne ansatte og egne besøgende. Ansvaret for at overholde principperne (og for at kunne påvise det) ligger her.

Databehandleren behandler oplysninger på den dataansvarliges vegne og efter instruks: mailplatformen, regnskabssystemet, hostingleverandøren. Databehandleren har sine egne selvstændige pligter efter forordningen, men bestemmer ikke selv formålet. Relationen mellem de to skal være reguleret i en skriftlig aftale. Det vender vi tilbage til under dokumentationskravene.

I praksis er de fleste virksomheder dataansvarlige i nogle behandlinger og kunder hos databehandlere i mange andre. Første skridt i alt GDPR-arbejde er derfor at få overblik over, hvilke behandlinger der foregår, og hvem der har hvilken rolle i hver enkelt.

De syv principper (artikel 5)

Alt i forordningen hviler på principperne i artikel 5. De er formuleret generelt, men de bliver meget konkrete, når man holder dem op mod en almindelig hjemmeside eller kundedatabase:

Lovlighed, rimelighed og gennemsigtighed. Behandlingen skal have et lovligt grundlag (mere om det nedenfor), og den registrerede skal kunne forstå, hvad der foregår. Det er dette princip, en privatlivspolitik udmønter: den fortæller åbent, hvad der indsamles og hvorfor. Gennemsigtighed er også grunden til, at en politik kopieret fra en anden virksomhed er et problem i sig selv. Den beskriver typisk behandlinger, der ikke sker, og udelader dem, der gør.

Formålsbegrænsning. Oplysninger skal indsamles til udtrykkeligt angivne formål og må ikke senere bruges til noget uforeneligt. En mailadresse indsamlet til ordrebekræftelser er ikke automatisk en markedsføringsliste. Dét spring kræver sit eget grundlag, typisk et samtykke.

Dataminimering. Man må kun behandle de oplysninger, der er nødvendige for formålet. Et tilmeldingsfelt, der kræver fødselsdato for at sende et nyhedsbrev, er det klassiske modeksempel. På en hjemmeside er det her, cookies og tracking-scripts bliver relevante: hvert script, der indsamler besøgsdata, er en behandling, som skal kunne begrundes i et formål.

Rigtighed. Oplysningerne skal være korrekte og ajourførte, og urigtige oplysninger skal rettes eller slettes. Princippet hænger direkte sammen med retten til berigtigelse nedenfor.

Opbevaringsbegrænsning. Oplysninger må ikke gemmes længere, end formålet kræver. Det er princippet bag slettefrister og retention-politikker. Holdningen »vi gemmer alt for en sikkerheds skyld« er det modsatte af, hvad artiklen beskriver. Bemærk at anden lovgivning kan kræve opbevaring i en periode; bogføringsmateriale er det typiske eksempel. Slettefristen skal altså fastlægges pr. formål, ikke som ét tal for hele virksomheden.

Integritet og fortrolighed. Oplysningerne skal beskyttes mod uautoriseret adgang og hændeligt tab med passende tekniske og organisatoriske foranstaltninger. HTTPS, adgangsstyring, sikkerhedsopdateringer og backup er typiske eksempler på den tekniske del; »organisatorisk« dækker fx hvem der har adgang til hvad, og hvad en medarbejder må sende i en mail.

Ansvarlighed. Artikel 5, stk. 2 samler det hele: den dataansvarlige skal kunne påvise, at principperne overholdes. Det er derfor, dokumentation fylder så meget i GDPR-arbejdet. Det er ikke nok at gøre det rigtige, man skal også kunne vise det.

Hvornår må man behandle personoplysninger? (artikel 6)

Enhver behandling af almindelige personoplysninger kræver mindst ét af de seks grundlag i artikel 6:

1. Samtykke: den registrerede har sagt ja til behandlingen til et eller flere konkrete formål.
2. Kontrakt: behandlingen er nødvendig for at opfylde en aftale med den registrerede, fx at levere en ordre.
3. Retlig forpligtelse: loven kræver behandlingen, fx bogføringsreglernes krav om at gemme regnskabsmateriale.
4. Vitale interesser: behandlingen er nødvendig for at beskytte liv eller helbred.
5. Samfundsinteresse eller offentlig myndighedsudøvelse.
6. Legitim interesse: virksomhedens interesse i behandlingen vejer tungere end den registreredes interesser og rettigheder efter en konkret afvejning.

En webshop bruger typisk flere af dem på én gang: kontrakt til ordrehåndtering, retlig forpligtelse til bogføringen, samtykke til nyhedsbrevet og legitim interesse til fx svindelbekæmpelse. Pointen er, at grundlaget vælges pr. formål, og at valget har konsekvenser. Samtykke kan altid trækkes tilbage; en behandling baseret på legitim interesse skal kunne bestå en dokumenteret afvejning og tåle en indsigelse.

For en typisk virksomhed er samtykke og legitim interesse de to grundlag, der oftest giver anledning til spørgsmål, særligt på hjemmesiden, hvor cookiereglerne stiller deres egne krav til samtykke, før der overhovedet må lagres eller læses data på den besøgendes udstyr. Valget af grundlag afhænger af den konkrete behandling, og Datatilsynets vejledninger gennemgår afvejningerne område for område. Et gyldigt samtykke skal være frivilligt, specifikt, informeret og utvetydigt (artikel 4, nr. 11 og artikel 7). Vores guide om samtykke til nyhedsbreve beskriver kravene praktisk.

Vær opmærksom på, at følsomme oplysninger som helbred, religion og fagforeningsforhold (artikel 9) som udgangspunkt slet ikke må behandles, medmindre en af artiklens særlige undtagelser gælder. Kravene er markant strengere end for almindelige oplysninger, og en virksomhed, der behandler helbredsoplysninger (en klinik, en behandler, et forsikringsagentur), bør læse artikel 9 og Datatilsynets vejledning på området, før den læser noget som helst andet.

De registreredes rettigheder (kapitel 3)

Forordningens kapitel 3 giver de personer, hvis oplysninger du behandler, en række rettigheder, som du skal kunne håndtere i praksis:

• Oplysningspligt (artikel 13-14): du skal af egen drift fortælle, hvad du indsamler, hvorfor, og hvor længe det gemmes, typisk i privatlivspolitikken.
• Indsigt (artikel 15): personen kan bede om at se, hvilke oplysninger du har.
• Berigtigelse (artikel 16): urigtige oplysninger skal rettes.
• Sletning (artikel 17): »retten til at blive glemt«, med undtagelser, fx hvor anden lovgivning kræver opbevaring.
• Begrænsning (artikel 18): i visse situationer kan personen kræve, at behandlingen sættes på pause, mens fx en indsigelse afklares.
• Dataportabilitet (artikel 20): i visse tilfælde ret til at få oplysningerne udleveret i et maskinlæsbart format.
• Indsigelse (artikel 21): personen kan gøre indsigelse mod behandling baseret på legitim interesse (og mod direkte markedsføring altid).

Artikel 12 sætter rammen om dem alle: anmodninger skal besvares »uden unødig forsinkelse og senest en måned efter modtagelsen«. Fristen kan forlænges i komplekse sager, men så skal personen have besked inden for den første måned.

Det praktiske råd er at have en fast procedure, før den første anmodning kommer: hvem modtager den, hvordan bekræfter I personens identitet, hvilke systemer skal der slås op i, og hvem godkender svaret. En indsigtsanmodning, der skal opfindes fra bunden med fristen løbende, bliver både dyr og dårlig.

Dokumentationskravene

Tre pligter udgør rygraden i den dokumentation, ansvarlighedsprincippet kræver:

Fortegnelsen (artikel 30). En oversigt over virksomhedens behandlinger: hvilke oplysninger, til hvilke formål, hvem de deles med, og hvornår de slettes. Forordningen har en undtagelse for organisationer med under 250 ansatte, men den gælder ikke, hvis behandlingen er regelmæssig, og det er kunde- og medarbejderdata i praksis. Regn derfor med, at fortegnelsen også gælder dig. Den behøver til gengæld ikke være kompliceret: for en lille virksomhed er et struktureret regneark med én række pr. behandling en helt almindelig løsning, og Datatilsynets univers for små virksomheder har skabeloner og eksempler.

Databehandleraftaler (artikel 28). Når en leverandør behandler personoplysninger på dine vegne (mailsystem, regnskabsprogram, hosting), skal der ligge en skriftlig aftale, der binder leverandøren til kun at behandle efter din instruks. Vores guide til databehandleraftaler gennemgår hvornår, med hvem og hvad aftalen skal indeholde. Fortegnelsen og databehandleraftalerne hænger sammen: listen over leverandører i fortegnelsen er samtidig listen over de aftaler, der skal findes.

Brud på persondatasikkerheden (artikel 33-34). Et brud skal anmeldes til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer efter, at du er blevet bekendt med det, medmindre bruddet næppe indebærer en risiko for de berørte. Ved høj risiko skal de berørte personer også underrettes. Alle brud skal dokumenteres internt, også dem, der ikke anmeldes. Et »brud« er bredere end et hackerangreb: en mail med kundeliste sendt til den forkerte modtager, en mistet bærbar uden kryptering eller en fejlkonfigureret adgang tæller også.

Hvad reglerne ikke kræver

GDPR-arbejdet bliver lettere, når man også ved, hvad forordningen ikke forlanger. Tre udbredte misforståelser:

Alle virksomheder skal have en DPO. Nej. Kravet om en databeskyttelsesrådgiver (artikel 37) gælder offentlige myndigheder og virksomheder, hvis kerneaktivitet er omfattende overvågning eller omfattende behandling af følsomme oplysninger. En almindelig SMB er typisk ikke omfattet, men skal stadig kunne løfte de øvrige pligter.

Samtykke er altid nødvendigt. Nej. Samtykke er ét af seks grundlag, og ofte det forkerte. En ordre behandles på kontraktgrundlaget; et bogføringsbilag på retlig forpligtelse. Samtykke skal bruges dér, hvor det er kravet (fx ved markedsføringshenvendelser og ved ikke-nødvendige cookies), ikke som standardsvar på alt.

GDPR forbyder at gemme data. Nej. Forordningen kræver, at opbevaring har et formål og en frist. Den forbyder heller ikke amerikanske leverandører eller cloud-tjenester som sådan; den stiller krav til overførselsgrundlaget, når data forlader EU/EØS. Den diskussion har sin egen guide: Schrems II og amerikanske tjenester.

GDPR og din hjemmeside konkret

For mange virksomheder er hjemmesiden det sted, hvor reglerne og virkeligheden først mødes, og det er også der, en udefrakommende (en kunde, en konkurrent eller en tilsynsmyndighed) lettest kan se, hvordan I arbejder. De typiske behandlingssituationer på et website er:

• Cookies, der lagres i den besøgendes browser, og cookiereglernes krav om samtykke, før ikke-nødvendige cookies sættes.
• Tracking-scripts fra analytics- og marketingværktøjer, der indsamler besøgsdata.
• Tracking-pixels, som rapporterer besøg og hændelser til tredjeparter, også uden en synlig cookie.
• Indlejret indhold som videoer, kort og chat-widgets, der henter data hjem fra tredjeparts servere, i det øjeblik siden vises.
• Web-fonts fra CDN, hvor selve skrifttype-opslaget sender den besøgendes IP-adresse til en ekstern server, ofte en amerikansk.

Hver af de fem sider forklarer mekanikken og henviser til de relevante regler og vejledninger, så du kan holde din egen løsning op mod dem.

En fornuftig rækkefølge at arbejde i

Reglerne stiller ingen krav om rækkefølge, men i praksis bygger pligterne oven på hinanden. En rækkefølge, der virker for de fleste mindre virksomheder:

1. Kortlæg behandlingerne. Hvilke persondata findes hvor, til hvilke formål, og hvem er leverandørerne? Det er råmaterialet til alt det følgende.
2. Skriv fortegnelsen ud fra kortlægningen, og notér slettefrister pr. formål.
3. Indgå de manglende databehandleraftaler: listen står i fortegnelsen.
4. Opdatér privatlivspolitikken, så den beskriver de behandlinger, der faktisk sker, ikke dem, der stod i skabelonen.
5. Gennemgå hjemmesiden: hvilke cookies, scripts og tredjeparts-forbindelser er der reelt, og passer cookie-banneret til dem?
6. Læg en procedure for indsigts- og sletteanmodninger og for brud, før den første sag kommer.

Punkt 5 er det eneste, en udenforstående kan måle direkte, og derfor typisk der, en klage eller en henvendelse starter. Vores guide GDPR for små virksomheder folder hele rækkefølgen ud med konkrete anvisninger pr. punkt.

Hvor står reglerne?

Alt ovenfor er sammendrag. Det forpligtende er de officielle tekster. Kildelisten nederst på siden linker til forordningen i dansk udgave på EUR-Lex, databeskyttelsesloven på Retsinformation og Datatilsynets vejledningsunivers. Tilsynsmyndigheden bag vejledningerne (hvem de er, hvad de laver, og hvornår en virksomhed typisk møder dem) har sin egen side: Datatilsynet.