Frequently Asked Questions

No. The EDPB does not handle complaints or conduct investigations. If you believe your data protection rights have been violated you can contact the organisation holding your data, contact your national data protection authority (DPA), or go to a national court.

DPAs can conduct investigations and impose sanctions where necessary. Find the contact details for all EEA DPAs 

The European Data Protection Supervisor (EDPS) is the European Union’s (EU) independent data protection authority.

The EDPS is responsible for monitoring the processing of personal data by the EU institutions, bodies, offices and agencies (EUIs) as well as providing advice on policies and legislation that affect privacy and cooperating with similar authorities to ensure consistent data protection.

For more information visit the EDPS website.

As addressees of the EDPB decisions, the relevant Data Protection Authorities (DPAs) that wish to challenge these decisions can bring an action for annulment before the European Court of Justice (CJEU) within two months of being notified.

While Art. 65 (a) and (b) relate to the one-stop-mechanism, Art.65.1 (c) GDPR concerns obligations of Data Protection Authorities (DPAs) stemming from the consistency mechanism.

More specifically, every competent DPA has the duty to request an opinion from the EDPB before adopting national measures pursuant to article 64.1 GDPR. Such measures include lists of processing operations for which a Data Protection Impact Assessment (DPIA) is required, or the approval of a new set of standard clauses. In addition, under Art. 64.2 GDPR, any SA may also request an EDPB consistency opinion on any matter of general application or producing effects in more than one Member State.

If an DPA does not request the opinion of the EDPB for the cases listed under Art. 64.1 GDPR or does not follow the EDPB opinion issued under Art. 64 GDPR, any DPA and the European Commission can launch the dispute resolution procedure of Art. 65.1 (c) GDPR about the matter.

Under the GDPR, you have the right to lodge a complaint with the Data Protection Authority (DPA) in the country of:

• your habitual residence;
• your place of work; or
• the place where the alleged infringement took place.

Find the contact details for all EEA DPAs

The General Data Protection Regulation (GDPR) requires the Data Protection Authority (DPA) of the European Economic Area (EEA) to cooperate closely - under the umbrella of the European Data Protection Board (EDPB) - to ensure the consistent application of the GDPR and the protection of individuals’ data protection rights across the EEA. One of their tasks is to coordinate decision-making in cross-border data processing cases.
A processing is cross-border when:

• data processing takes place in more than one country;
• or it substantially affects or it is likely to substantially affect individuals in more than one country.

Under the so-called one-stop-shop mechanism Art. 60 GDPR, the Lead Supervisory Authority (LSA) acts as the main point of contact for the controller or processor for a given processing, while the Concerned Supervisory Authorities (CSAs) act as the main point of contact for individuals in the territory of their Member State. The LSA is the authority in charge of leading the cooperation process. It will share relevant information with the CSAs, carry out the investigations, prepare the draft decision relating to the case, and cooperate with the other CSAs in an endeavour to reach consensus on this draft decision.

Já, viðskiptavinir þínir verða að vera upplýstir, þegar þeir hringja, um tilgang upptökunnar, viðtakendur upptökunnar, um rétt sinn til andmæla og rétt þeirra til að fá aðgang að upptökunum

Frekari upplýsingar:

• Vinnsla persónuupplýsinga á lögmætan hátt

Einstaklingar eiga rétt á að óska eftir eyðingu persónuupplýsinga er varða þá og í því tilviki er ábyrgðaraðila skylt að eyða persónuupplýsingum. Þú ættir að svara án ótilhlýðilegrar tafar og í síðasta lagi innan mánaðar frá móttöku beiðninnar. Þennan frest má framlengja um tvo mánuði ef beiðnin er of flókin og lengri tíma þarf til að verða við beiðninni, að því tilskildu að einstaklingurinn fái upplýsingar um það innan eins mánaðar frá því að beiðnin berst.

Það er mikilvægt að hafa í huga að réttur til eyðingar er ekki alger. Hún gildir ekki þegar viðkomandi gögn eru nauðsynleg fyrir:

• að neyta réttar til tjáningar- og upplýsingafrelsis (t.d. í þágu fréttamennsku),
• að neyta réttar til tjáningar- og upplýsingafrelsis (t.d. í þágu fréttamennsku),
• ástæður sem varða almannahagsmuni á sviði lýðheilsu
• skjalavistun í þágu almannahagsmuna eða rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi, og
• að stofna, hafa uppi eða verja réttarkröfur.

Þegar persónuupplýsingum, sem á að eyða, hefur áður verið miðlað til annarra fyrirtækja verður þú að tilkynna þessum viðtakendum að einstaklingurinn hafi óskað eftir eyðingu, nema það reynist ómögulegt eða myndi krefjast óhóflegrar viðleitni.

Frekari upplýsingar:

• Virða réttindi einstaklinga

Fyrirtæki skulu, þegar um er að ræða beina söfnun persónuupplýsinga frá viðkomandi einstaklingum, veita upplýsingar um vinnsluaðgerðirnar á gagnorðan og gagnsæjan hátt með skiljanlegu, aðgengilegu og skýru og einföldu máli. Þetta er hægt að gera skriflega (t.d. á bakhlið tilboðs) eða með rafrænum hætti (t.d. á vefsetri). Ef viðkomandi óskar eftir því, getur þú einnig veitt þessar upplýsingar munnlega, en þú verður að vera fær um að sanna það síðar.

Jafnvel þegar gögnunum var safnað óbeint, þ.e. ef þú safnar ekki beint persónuupplýsingum frá einstaklingi sjálfum, en til dæmis í gegnum þriðja aðila, verður þú að veita sömu nákvæmar upplýsingar til einstaklinga.

Once the EDPB has adopted a binding decision, the EDPB Chair notifies the binding decision to the relevant national Data Protection Authorities (DPAs) without undue delay.

Prior to the notification, the binding decision is translated into the languages of the relevant national DPAs that have to adopt a final decision or take measures at national level on the basis of the binding decision¹. Translation and proofreading can take a few weeks. In any case, the English version of the decision is the only authentic language version.

Next step for the relevant  Data Protection Authorities (DPAs)

Once the relevant SAs have been notified of the binding decision, a decision has to be adopted at national level to implement the content of the binding decision. This decision will be adopted without undue delay and at the latest one month after the EDPB has notified its decision.
For cross-border cases where no consensus was found (Art. 65.1 (a) GDPR), the final decision will be addressed to the controller or processor and, where relevant, to the complainant.

1. Please see paragraphs 6 and 7 of Art. 11 of the EDPB Rules of Procedure. In exceptional cases, other Concerned Supervisory Authority (CSAs) can request, providing the reasons, an urgent translation in their official EU language(s) no later than at the moment of adoption of the binding decision.

Within one month from the referral of the subject matter, the EDPB must adopt a decision by a two-thirds majority. 

The one-month deadline to adopt this binding decision can be extended by another month, if the case is complex. When the EDPB is not able to reach a decision within the abovementioned period, the decision must be adopted by a simple majority within two additional weeks. Should the members of the EDPB be split, the decision will be adopted by the vote of the EDPB Chair.

We take note of your suggestion to the EDPB to consider this matter for future guidance. You may consult the topics currently included in the EDPB's Work Programme on our website.

Please note that the EDPB does not contact individuals, via phone or other means of communication, to inform them of such matters.

Therefore, it could be that the call you received represents a phishing attack targeting you abusing our name.

A valid contract between the data controller and data processor is obligatory under the GDPR. An infringement can be subject to an administrative fine up to 10M€ or up to 2% of the total annual turnover of a company, whichever is higher.

To help guide you when setting up a controller-processor agreement, the Danish and Slovenian data protection authorities, as well as the European Commission, have developed template agreements.

More information:

• Data controller or data processor

Processing personal data means any type of activity (processing operation) performed on or with individuals’ personal data. This includes the collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, inquiry, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction of personal data.

Þú ættir að svara án ótilhlýðilegrar tafar og í síðasta lagi innan mánaðar frá móttöku beiðninnar. Þessi frestur getur verið framlengdur um tvo mánuði ef beiðnin er of flókin og lengri tíma þarf til að svara, að því tilskildu að viðkomandi sé upplýstur um það innan mánaðar frá því að beiðnin berst.

Þú verður að gera þetta án endurgjalds.

Frekari upplýsingar:

• Virða réttindi einstaklinga

Nei, vinnsla viðkvæmra gagna er almennt bönnuð nema við sérstakar aðstæður:

• Einstaklingurinn hefur veitt afdráttarlaust samþykki sitt fyrir vinnslu viðkvæmra gagna.
• Vinnsla viðkvæmra gagna er nauðsynleg til að ábyrgðaraðili geti uppfyllt skyldur sínar, einkum í tengslum við atvinnu, félagslegt öryggi og félagslega vernd. Til dæmis kann ábyrgðaraðilinn að þurfa að vinna úr viðkvæmum gögnum einstaklings til að geta ákvarðað hvort hann eigi rétt á tilteknum almannatryggingabótum eða atvinnuleysisbótum.
• Vinnsla viðkvæmra gagna er nauðsynleg til að vernda brýna hagsmuni einstaklings ef einstaklingurinn er líkamlega eða lagalega ófær um að veita samþykki sitt. Til dæmis, ef einstaklingur er skilinn eftir meðvitundarlaus vegna slyss og krefst tafarlausrar læknishjálpar, getur verið nauðsynlegt að vinna úr heilsufarsupplýsingum hans fyrir viðeigandi læknishjálp.
• Vinnsla viðkvæmra gagna fer fram í tengslum við lögmæta starfsemi stofnunar, samtaka eða annarra samtaka, sem eru ekki rekin í hagnaðarskyni, með pólitískt, heimspekilegt, trúarlegt eða stéttarfélag, og aðeins til vinnslu persónuupplýsinga félagsmanna sinna, fyrrverandi félagsmanna eða einstaklinga sem hafa reglulega samband við þá.
• Viðkvæm gögn voru greinilega gerð opinber af einstaklingi.
• Vinnsla viðkvæmra upplýsinga er nauðsynleg í tengslum við málarekstur.
• Vinnsla viðkvæmra gagna er nauðsynleg í málum sem varða verulega hagsmuni almennings.
• Vinnsla viðkvæmra gagna er nauðsynleg í tengslum við forvarnar- eða atvinnusjúkdómafræði. Til dæmis getur verið nauðsynlegt að meta viðkvæm gögn einstaklings, s.s. læknisfræðileg gögn, til að ákvarða starfsgetu hans sem starfsmaður.
• Vinnsla viðkvæmra gagna er nauðsynleg vegna lýðheilsumála á grundvelli laga ESB eða landslaga. Til dæmis getur verið nauðsynlegt að vinna úr viðkvæmum gögnum einstaklinga til að tryggja hágæða heilbrigðisþjónustu og hágæða lækningavörur eða til að berjast gegn alvarlegum heilsufarsógnum, s.s. veirum.
• Vinnsla viðkvæmra gagna er nauðsynleg vegna skjalavistunar í þágu almannahagsmuna eða vegna rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi. Til dæmis getur verið nauðsynlegt að vinna viðkvæm gögn til að afla nákvæmra tölfræðilegra upplýsinga um stöðu lands á tilteknu sviði. 

Frekari upplýsingar:

• Vinnsla persónuupplýsinga á lögmætan hátt

Einstaklingar geta spurt þig hvort þú ert að vinna gögn þeirra og hvar það er raunin, þeir hafa rétt til að fá aðgang að þeim gögnum. Svo þegar þetta gerist og ef þú vinnur gögn þeirra, ættir þú, til dæmis að veita afrit af persónuupplýsingum þeirra, án endurgjalds, ásamt öllum nauðsynlegum viðbótarupplýsingum. Ef beiðni er lögð fram rafrænt ætti fyrirtækið/stofnunin að veita tilskildar upplýsingar á rafrænu formi sem almennt er notað, nema einstaklingurinn fari fram á annað.

Frekari upplýsingar:

• Virða réttindi einstaklinga

GDPR á við um notkun fótspora þegar þær eru notaðar til að vinna úr persónuupplýsingum, en það eru einnig sértækari reglur um smákökur fela í sér ePrivacy tilskipun.

Geymsla á köku, eða að fá aðgang að köku sem þegar hefur verið vistuð, í endabúnaði notanda er aðeins heimil með því skilyrði að viðkomandi áskrifandi eða notandi hafi verið nægilega upplýstur (einkum um tilgang vinnslunnar) og hafi gefið samþykki sitt.

Eina undantekningin er tæknilega nauðsynlegar smákökur. Fyrirtæki þurfa ekki að biðja um samþykki þegar tæknilega nauðsynlegar kökur eru notaðar á vefsíðum sínum.

Frekari upplýsingar:

• Vinnsla persónuupplýsinga á lögmætan hátt

Dulnefni felst í því að breyta persónuupplýsingum þannig að ekki sé lengur hægt að rekja það til tiltekins einstaklings án þess að nota viðbótarupplýsingar, að því tilskildu að slíkum viðbótarupplýsingum sé haldið aðskildum og að þær falli undir tæknilegar og skipulagslegar ráðstafanir til að tryggja að persónuupplýsingarnar séu ekki eignaðar einstaklingi. Í reynd getur átt við að skipta út persónuupplýsingum (nafni, eiginnafni, persónunúmeri, símanúmeri o.s.frv.) í gagnasafni þar sem persónuupplýsingar eru auðkenndar óbeint (öðru nafni, raðtölu o.s.frv.). Dulnefnaðar upplýsingar eru enn persónuupplýsingar og falla undir GDPR.

Nafnlaus gögn eru gögn sem hafa verið gerð nafnlaus með þeim hætti að einstaklingurinn er ekki lengur persónugreinanlegur með neinum hætti sem líklegt er að verði notaður. Þegar nafnleyndin er framkvæmd á réttan hátt gildir GDPR ekki lengur um nafnlaus gögn.

Frekari upplýsingar:

• Öruggar persónuupplýsingar