Hvad er GDPR? Forordningen forklaret i klart sprog

Det korte svar

GDPR er EU's fælles lov om behandling af personoplysninger: databeskyttelsesforordningen, forordning (EU) 2016/679. Den har været gældende i alle EU-lande siden den 25. maj 2018 og stiller krav til enhver virksomhed, myndighed og forening, der behandler oplysninger om identificerbare personer: behandlingen skal have et formål og et lovligt grundlag, den skal være gennemsigtig for de berørte, og den skal kunne dokumenteres.

Forkortelsen står for General Data Protection Regulation. På dansk hedder den databeskyttelsesforordningen, og den suppleres herhjemme af databeskyttelsesloven på de punkter, hvor EU-landene selv måtte vælge.

Resten af denne side gennemgår begreberne, der bærer det korte svar: hvad personoplysninger er, hvem reglerne gælder for, og hvad de betyder i hverdagen.

Hvorfor findes GDPR?

Før 2018 havde hvert EU-land sin egen databeskyttelseslov bygget over et direktiv fra 1995, en tid før smartphones, sociale medier og adfærdsbaseret annoncering. Reglerne var uens fra land til land, og de var skrevet til en verden, hvor persondata lå i arkivskabe og lokale databaser, ikke i globale cloud-tjenester.

Forordningen løste to problemer på én gang. Den harmoniserede reglerne, så en virksomhed møder samme krav i hele EU, og den opdaterede dem til den digitale virkelighed: online-identifikatorer blev udtrykkeligt omfattet, kravene til samtykke blev strammet, og de registrerede fik stærkere og mere praktisk anvendelige rettigheder. Samtidig fik tilsynsmyndighederne mærkbart stærkere sanktionsmuligheder, hvilket er grunden til, at GDPR (i modsætning til 1995-reglerne) faktisk ændrede adfærd i virksomhederne.

Det bærende princip er, at personoplysninger tilhører personen, ikke den virksomhed, der har indsamlet dem. Virksomheden låner oplysningerne til et formål og skal kunne gøre rede for lånet.

Hvad tæller som personoplysninger?

En personoplysning er enhver information om en identificeret eller identificerbar person (forordningens artikel 4, nr. 1). »Identificerbar« er nøgleordet: oplysningen behøver ikke indeholde et navn, hvis den kan føres tilbage til en person, direkte eller i kombination med andre oplysninger.

Almindelige eksempler fra en virksomheds hverdag:

• Navn, adresse, telefonnummer og mailadresse (også arbejdsmail som fornavn@firma.dk).
• Kundenumre, ordrehistorik og supportsager, der kan knyttes til en person.
• Billeder og video, hvor personer kan genkendes.
• Online-identifikatorer: IP-adresser og cookie-ID'er. Forordningens betragtning 30 nævner dem udtrykkeligt som spor, der (især i kombination) kan bruges til at identificere en person. Det er grunden til, at cookies og tracking-scripts på en hjemmeside overhovedet er et GDPR-emne.

Oven på de almindelige oplysninger ligger de følsomme (artikel 9): helbred, religion, politisk overbevisning, fagforeningsforhold, seksualitet og biometriske data til identifikation. De må som udgangspunkt ikke behandles, medmindre en af artiklens særlige undtagelser gælder, og kravene omkring dem er markant strengere. CPR-nummeret er ikke »følsomt« i forordningens forstand, men har sine egne danske regler i databeskyttelsesloven.

Hvem gælder GDPR for?

Reglerne gælder for den, der behandler personoplysninger, og »behandler« dækker stort set alt, man kan gøre med data: indsamle, gemme, læse, ændre, videregive og slette. Forordningen fordeler rollerne sådan:

Den dataansvarlige bestemmer formål og midler. Det er bageren med et kundekartotek, webshoppen med ordrer og nyhedsbrev, foreningen med et medlemsregister, uanset størrelse. GDPR har ingen bagatelgrænse for virksomheder: en enkeltmandsvirksomhed med én kundeliste er omfattet på samme måde som en koncern. Forskellen ligger i omfanget af behandlingerne, ikke i om reglerne gælder.

Databehandleren behandler på den dataansvarliges vegne: mailsystemet, bogholderiprogrammet, hostingleverandøren. Bruger din virksomhed den slags leverandører (og det gør stort set alle), kræver forordningen en skriftlig databehandleraftale med hver af dem.

Geografisk gælder forordningen for virksomheder etableret i EU, og desuden for virksomheder uden for EU, der tilbyder varer eller tjenester til personer i EU eller overvåger deres adfærd (artikel 3). En amerikansk tjeneste med danske kunder er altså også omfattet. Det er baggrunden for meget af diskussionen om amerikanske tjenester og Schrems II.

Privatpersoner er undtaget for »rent personlige eller familiemæssige aktiviteter« (artikel 2). Din private kontaktliste og dine feriebilleder er ikke et GDPR-anliggende. Grænsen går der, hvor aktiviteten rækker ud over det private: foreningsarbejde, erhverv eller offentlig publicering.

De vigtigste pligter i hverdagen

Pligterne er foldet ud i GDPR-reglerne forklaret. Her er de fem, der fylder mest i en mindre virksomheds hverdag, i kort form:

1. Hav et grundlag for hver behandling. Samtykke er ét af seks mulige grundlag. Kontrakt, retlig forpligtelse og legitim interesse er de andre, man oftest møder. Grundlaget vælges pr. formål.
2. Fortæl åbent, hvad der sker. Privatlivspolitikken skal beskrive de behandlinger, der faktisk foregår: hvilke data, hvorfor, hvor længe, og hvem der er leverandører.
3. Før en fortegnelse. En struktureret oversigt over behandlingerne er både en pligt (artikel 30) og det praktiske fundament for resten.
4. Hav databehandleraftaler med de leverandører, der behandler persondata for dig.
5. Kunne håndtere henvendelser og brud. Indsigt og sletning skal besvares inden for en måned; et brud på persondatasikkerheden skal vurderes og efter omstændighederne anmeldes til Datatilsynet inden for 72 timer.

Tilsynet med det hele ligger i Danmark hos Datatilsynet, som også udgiver de vejledninger, der oversætter kravene til konkrete situationer. Deres univers for små virksomheder er skrevet til netop den målgruppe.

Et konkret eksempel: en lille webshop

Tag en webshop med to ansatte, der sælger kaffeudstyr. Uden at tænke over det behandler den personoplysninger i mindst fem systemer:

• Ordresystemet har navne, adresser og ordrehistorik. Grundlag: kontrakten med kunden. Slettefrist: styret af bogføringsreglerne for bilagenes vedkommende.
• Nyhedsbrevsplatformen har mailadresser og åbningsstatistik. Grundlag: samtykke, som skal kunne dokumenteres og til enhver tid trækkes tilbage.
• Kundeservice-indbakken har alt muligt, kunderne selv skriver: adresser, ordrenumre, af og til mere personligt indhold. Den glemmes oftest i kortlægningen.
• Hjemmesiden sætter cookies og indlæser scripts fra analyse- og marketingværktøjer. Det er behandling af besøgsdata, som kræver samtykke via cookie-banneret, før de ikke-nødvendige dele går i gang.
• Lønsystemet har medarbejdernes oplysninger, inklusive CPR-numre, som de danske særregler gælder for.

Hvert system har en leverandør, og hver leverandør, der behandler oplysningerne på webshoppens vegne, skal have en databehandleraftale. Fortegnelsen er i praksis listen ovenfor skrevet ned i struktureret form: system, oplysninger, formål, grundlag, leverandør, slettefrist. Det er ikke mere eksotisk end det, men det skal være gjort, og det skal passe med virkeligheden.

Eksemplet viser også, hvorfor hjemmesiden fylder så meget i GDPR-diskussionen: den er det eneste af de fem systemer, en udenforstående kan undersøge direkte udefra.

GDPR på din hjemmeside

Hjemmesiden er for de fleste virksomheder den mest synlige behandling af personoplysninger og den eneste, en udenforstående kan undersøge direkte. Fire mekanikker går igen:

• Cookies lagres i den besøgendes browser og kan identificere den samme browser både på tværs af besøg og på tværs af sites.
• Tracking-scripts og tracking-pixels sender besøgsdata til analyse- og marketingplatforme.
• Indlejret indhold (videoer, kort, chat-widgets) henter data fra tredjeparts servere, i det øjeblik siden vises.
• Web-fonts fra CDN sender den besøgendes IP-adresse til skrifttype-leverandøren ved hvert sidebesøg.

Her mødes GDPR med cookiereglerne: den danske cookiebekendtgørelse (implementeringen af ePrivacy-direktivet) kræver informeret samtykke, før der lagres eller læses data på den besøgendes udstyr, med en snæver undtagelse for det strengt nødvendige. De to regelsæt supplerer hinanden: cookiebekendtgørelsen regulerer adgangen til udstyret, GDPR den efterfølgende behandling af oplysningerne.

Ordliste

Samtykke: en frivillig, specifik, informeret og utvetydig viljestilkendegivelse. Tavshed eller forudafkrydsede felter tæller ikke.

Behandlingsgrundlag: den lovlige begrundelse (artikel 6) for en given behandling. Det kan være samtykke, kontrakt, retlig forpligtelse, vitale interesser, samfundsinteresse eller legitim interesse.

Dataansvarlig: den, der bestemmer formål og midler for behandlingen.

Databehandler: den, der behandler på den dataansvarliges vegne og efter instruks.

Den registrerede: personen, oplysningerne handler om, altså kunden, medarbejderen eller den besøgende.

Tilsynsmyndighed: den nationale myndighed, der fører tilsyn med reglerne. I Danmark er det Datatilsynet.

Tredjelandsoverførsel: overførsel af personoplysninger til lande uden for EU/EØS, som kræver et særligt overførselsgrundlag (forordningens kapitel 5).