Ny persondataforordning: Hvilke konsekvenser får den for IT-virksomheder?

PERSONDATAFORORDNINGEN ER LANGT OM LÆNGE VEDTAGET

Torsdag den 14. april 2016 vedtog Europa-Parlamentet forordningen om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger. Den forventes at træde i kraft i maj 2018, men den præcise dato afhænger af forordningens publiceringsdato i EU-Tidende. Den seneste

dansksprogede udgave af forordningen findes her, og den engelske version kan findes her.

Forordningen har til formål at ensarte reglerne om persondata på tværs af EU, og den vil være umiddelbart gældende i alle EU-medlemsstater. Der opnås dog ikke en fuldstændig harmonisering af reglerne, da der vil være en række bestemmelser, der overlader den konkrete ordlyd til de enkelte medlemsstater.

I forhold til den gældende danske persondatalov, der bygger på et EU-direktiv fra 1995, stiller forordningen strengere krav til indholdet af databehandleraftaler, sikkerhedsbestemmelser, overholdelse af registreredes grundlæggende rettigheder m.m., ligesom forordningen også indeholder et skærpet ansvar for både dataansvarlige og databehandlere.

DE 5 MEST MARKANTE ÆNDRINGER FOR IT-VIRKSOMHEDER

De 5 væsentligste ændringer, som forordningen vil betyde for IT-virksomheder - både for IT-kunder som dataansvarlige og IT-leverandører som databehandlere - vil være:

1. Forordningens anvendelsesområde: Alle virksomheder, der behandler persondata, er omfattet af forordningen. Virksomheder uden for EU vil også være omfattet, hvis de tilbyder tjenester i EU og dermed behandler persondata om EU-borgere.
2. Øget ansvarspligt: Som noget nyt kan databehandlere nu blive pålagt et selvstændigt persondataretligt ansvar, blive underlagt inspektioner og tildelt bøder. De dataansvarlige vil bl.a. være underlagt et øget dokumentationskrav om at foretage risikovurderinger forbundet med konkrete databehandlinger, træning af medarbejdere og at have de nødvendige politikker på plads.
3. Bødeniveau: Virksomheder kan af de nationale tilsynsmyndigheder blive tildelt bøder for overtrædelse af forordningen på op til 4 % af den globale årlige koncernomsætning. Der er tale om fælles ansvar hos dataansvarlig og databehandler for eventuelle overtrædelser.
4. Datasikkerhedsbrud: Databehandlere skal hurtigst muligt underrette den dataansvarlige om alvorlige brud på datasikkerheden, og den dataansvarlige er forpligtet til inden for 72 timer at underrette de nationale tilsynsmyndigheder.
5. One stop shop-mekanisme: Virksomheder skal alene have kontakt med én enkelt tilsynsmyndighed. Til gengæld skal tilsynsmyndighederne inden for EU samarbejde i væsentlig højere grad, og dette vil blive afspejlet i afgørelserne, som forventes at blive mere ensartede.

IT-VIRKSOMHEDER BØR NU…

Selvom forordningen først træder i kraft fra omkring 1. kvartal af 2018, bør IT-virksomheder allerede nu overveje, hvilke konkrete tiltag, der er nødvendige for at kunne efterleve de nye regler i 2018, herunder:

• Sikre klarhed over dataflows: IT-virksomheder bør få klarhed over deres nuværende dataflows, dvs. typer af data, dataenes opbevaringssted, interne regelsæt/politikker for databehandling, sikkerhedsbestemmelser m.m.
• Evt. opdatere databehandleraftaler: IT-virksomheder bør gå i gang med at opdatere deres indgåede databehandleraftaler og overveje deres fremadrettede ordlyd - særligt ved længerevarende aftaler. Databehandleraftalerne skal nemlig fremadrettet blandt andet indeholde regler om den dataansvarliges eksplicitte samtykke til brug af underdatabehandlere, krav om den dataansvarliges valgmulighed mellem tilbagegang eller sletning af data, databehandleres dokumentation af overholdelse af forordningens regler, krav om autoriseret personale hos databehandlere, øgede krav til datasikkerhed og databehandleres forpligtelse til at bidrage til inspektioner.