Databeskyttelsesforordning & Persondataforordning
Der er meget vi skal forholde os til i dag. Det er blevet så svært.
Vi kan ikke længere overskue hvad der er rigtigt og hvad der er forkert.
Vi ser os nødsaget til at nedlægge hjemmesiden.
Det er lidt øv, for hjemmesiden er bygget af os som bor på Grankoglen, og ja, så får vi lidt hjælp af en personale (en person skal være valideret af hostmaster.dk)
Nu kan vi ikke længere tage ansvaret for hvad vi uploader til grankoglen.dk
Hvis du ikke forstår hvad vi snakker om, så læs nedenstående om GDPR
Redigeret december 2019
Hvad er databeskyttelse?
Enhver har ret til beskyttelse af sine personoplysninger, og enhver, der behandler personoplysninger om andre i ikke-privat sammenhæng, er forpligtet til at iagttage disse rettigheder og til at beskytte personoplysningerne. Disse rettigheder og forpligtelser går samlet under betegnelsen “databeskyttelse”.
Enhver behandling af andres personoplysninger, der ikke sker i en rent privat sammenhæng, skal ske i overensstemmelse med reglerne på databeskyttelsesområdet.
Personoplysninger er alle oplysninger, der vedrører en identificeret eller identificerbar fysisk person. Du kan læse mere om definitionen og kategoriseringen af personoplysninger under punktet “Hvad er personoplysninger?” og om databeskyttelsesreglerne generelt under punktet “Lovgivning” og “Vejledninger og skabeloner“.
Den, der behandles personoplysninger om, kaldes som regel “den registrerede”, mens den, der behandler personoplysninger om andre, er den “dataansvarlige” eller “databehandleren”, alt efter hvilken rolle vedkommende har i behandlingen. Du kan læse mere om, hvornår man behandler personoplysninger, og hvornår man er dataansvarlig eller databehandler under punktet “Hvornår behandler du personoplysninger?“.
Den registrerede har en række rettigheder over for den dataansvarlige. Det er den registreredes rettigheder, der skal beskyttes, og den dataansvarlige og databehandleren, der har ansvaret for denne beskyttelse. Rettighederne har til formål at gøre det gennemsigtigt for den registrerede, hvornår der behandles oplysninger om vedkommende, og hvilke oplysninger, der behandles. Herudover giver rettighederne den registrerede kontrol over sine egne personoplysninger. Du kan læse mere om den registreredes rettigheder under punktet “Hvad er dine rettigheder?“.
Den dataansvarlige skal sikre sig, at behandlingen af personoplysninger er i overensstemmelse med en række grundprincipper, ligesom der skal være et lovligt grundlag til at behandle oplysningerne. Du kan læse mere om dette under punktet “Hvornår må du behandle personoplysninger?“. Du kan læse mere om den dataansvarliges øvrige forpligtelser under punktet “Hvad er dine forpligtelser?“.
Reglerne på databeskyttelsesområdet indebærer også, at den dataansvarlige skal foretage en række mere generelle vurderinger og overvejelser i forhold til selve beskyttelsen af de oplysninger, der behandles. Under punktet “Hvordan beskytter du personoplysninger?” finder du en beskrivelse af nogle af de overvejelser, som den dataansvarlige kan eller skal gøre sig i den forbindelse .
Når du som registreret stiller spørgsmålstegn ved en behandling af oplysninger om dig, eller du påberåber dig dine rettigheder over for den dataansvarlige, skal den dataansvarlige reagere på henvendelsen. Gør den dataansvarlige ikke det – eller er du ikke tilfreds med den dataansvarliges svar, kan du rette henvendelse til Datatilsynet, der kan vejlede dig yderligere om dine rettigheder, herunder dine muligheder for at klage.
Du kan læse mere om dette under punktet “Klage til Datatilsynet“.
Hvad er personoplysninger?
En personoplysning er enhver form for information, der kan henføres til en bestemt person, også selv om personen kun kan identificeres, hvis oplysningen kombineres med andre oplysninger.
Personoplysninger kan for eksempel være personnumre, registreringsnumre, et billede, et fingeraftryk, en stemme, lægejournaler eller biologisk materiale, når det i praksis er muligt at identificere en person ud fra oplysningerne eller i kombination med andre. Man siger, at oplysningen er “personhenførbar”.
Databeskyttelsesforordningen opdeler personoplysninger i tre typer:
- Almindelige oplysninger,
- Særlige kategorier af oplysninger (følsomme oplysninger) og
- Oplysninger om straffedomme og lovovertrædelser eller tilknyttede sikkerhedsforanstaltninger.
Opdelingen findes, fordi der gælder forskellige betingelser og procedurer for behandling af personoplysninger afhængig af oplysningernes følsomhed. Du kan læse mere om disse behandlingsregler under punktet “Hvornår må du behandle personoplysninger?“.
Almindelige personoplysninger (ikke-følsomme personoplysninger)
Almindelige personoplysninger omfatter alle oplysninger, der ikke er klassificeret som særlige kategorier af oplysninger (følsomme personoplysninger). Det kan for eksempel være identifikationsoplysninger som navn og adresse eller oplysninger om økonomi, skat, gæld, væsentlige sociale problemer, andre rent private forhold, sygedage, tjenstlige forhold, familieforhold, bolig, bil, eksamen, ansøgning, CV, ansættelsesdato og -stilling, arbejdsområde og arbejdstelefon.
Særlige kategorier af personoplysninger (følsomme personoplysninger)
Følsomme personoplysninger er udtrykkelig afgrænset i databeskyttelsesforordningen, og adgangen til at behandle sådanne oplysninger er snævrere end ved almindelige personoplysninger.
Følsomme oplysninger er oplysninger om:
- Race og etnisk oprindelse
- Politisk overbevisning
- Religiøs eller filosofisk overbevisning
- Fagforeningsmæssige tilhørsforhold
- Genetiske data
- Biometriske data med henblik på entydig identifikation
- Helbredsoplysninger
- Seksuelle forhold eller seksuel orientering.
Kun de oplysninger, der er nævnt ovenfor, er følsomme personoplysninger.
Oplysninger om strafbare forhold – artikel 10 i databeskyttelsesforordningen og § 8 i databeskyttelsesloven
Oplysninger om strafbare forhold anses efter databeskyttelsesforordningen for almindelige personoplysninger og er særskilt reguleret i databeskyttelsesloven.
Der skal anlægges en ganske vid forståelse af begrebet strafbare forhold. Begrebet omfatter således ikke kun oplysninger om overtrædelse af lovgivning, uden at det har udløst eller kan udløse et egentligt strafansvar, men også eventuelle andre sanktioner, som f.eks. rettighedsfrakendelse.
Det er imidlertid ikke enhver oplysning om et muligt strafbart forhold, herunder enhver anmeldelse til politiet, der kan anses for omfattet. En anmeldelsen til politiet må således i en eller anden form antages at være underbygget, førend der er tale om oplysninger om strafbare forhold.
Fortrolige oplysninger – straffelovens § 152 sammenholdt med forvaltningslovens § 27
Fortrolige oplysninger er en særlig kategori af oplysninger, der ikke nævnes udtrykkeligt i databeskyttelsesreglerne, men hvor særlige beskyttelsesbehov kan have betydning ved anvendelsen af databeskyttelsesreglerne. Fortrolige oplysninger vil endvidere ofte være underlagt særregulering i anden lovgivning. Personnummer (CPR-nummer) er en fortrolig oplysning, der er særskilt reguleret i databeskyttelsesloven.
Det afgørende for, om en oplysning skal anses for fortrolig, vil være en vurdering af, om oplysningen efter den almindelige opfattelse i samfundet bør kunne forlanges unddraget offentlighedens kendskab, jf. straffelovens § 152 sammenholdt med forvaltningslovens § 27. Følsomme personoplysninger vil utvivlsomt være fortrolige oplysninger. Omvendt er en fortrolig oplysning ikke altid følsom.
Ikke-følsomme personoplysninger kan i visse situationer være fortrolige. Det gælder efter omstændighederne oplysninger om indtægts- og formueforhold, arbejds-, uddannelses- og ansættelsesmæssige forhold. Det samme gælder oplysninger om interne familieforhold, herunder for oplysninger om for eksempel selvmordsforsøg og ulykkestilfælde. Oplysninger, der kan henføres til bestemte personer, og som ikke kan nægtes udleveret efter offentlighedsloven, vil ikke være af fortrolig karakter. Det gælder f.eks. oplysninger af rent objektiv karakter, såsom oplysninger om udstedelse af pas, kørekort, jagttegn osv.
Pseudonymisering og anonymisering af personoplysninger
Selv om oplysninger som et navn eller en adresse er erstattet af en kode, som for eksempel AB123, er det stadig en personoplysning, hvis koden kan føres tilbage til den oprindelige personoplysning. Det er tilfældet, så længe der er nogen, der kan gøre oplysningerne læsbare og identificere de personer, det drejer sig om. Dette kaldes ofte pseudonymiserede oplysninger, og sådanne oplysninger er fortsat omfattet af databeskyttelsesreglerne.
Begrebet pseudonymisering er i databeskyttelsesforordningen defineret som behandling af personoplysninger på en sådan måde, at personoplysningerne ikke længere kan henføres til en bestemt registreret uden brug af supplerende oplysninger, forudsat at sådanne supplerende oplysninger opbevares separat og er underlagt tekniske og organisatoriske foranstaltninger for at sikre, at personoplysningerne ikke henføres til en identificeret eller identificerbar fysisk person.
På samme måde er summarisk behandling af oplysninger om flere individer, som er blevet samlet og kombineret uden fokus på det enkelte individ kun anonyme, hvis der ikke er nogen der kan genkende personerne ud fra oplysningerne eller ved kombination med andre oplysninger. Dette kaldes ofte aggregerede oplysninger, og det vil afhænge af en konkret vurdering, om sådanne oplysninger er omfattet af databeskyttelsesreglerne.
Oplysninger, der er gjort anonyme, sådan at ingen fysiske personer kan identificeres ud fra oplysningerne eller i kombination med andre oplysninger, er ikke længere beskyttet af databeskyttelsesreglerne. Det skyldes, at databeskyttelsesreglerne kun finder anvendelse, så længe oplysningerne kan føres tilbage til en identificerbar eller identificeret fysisk person. Det er en betingelse, at anonymiseringen er uigenkaldelig.
Der er ikke tale om en absolut grænse mellem anonymiserede oplysninger og personoplysninger. Det skal vurderes konkret, om en anonymisering er tilstrækkelig, eller om personen stadig er identificerbar. I denne vurdering, skal man tage alle hjælpemidler, der med rimelighed kan tænkes bragt i anvendelse for at identificere den pågældende person, i betragtning. Man skal også have for øje, om andre er i besiddelse af oplysninger, der gør det muligt at identificere den enkelte.