Frequently Asked Questions

Under the GDPR, certification is conducted by national certification bodies or by the competent national data protection authorities (Art. 42(5) GDPR).

For further information, we recommend contacting the relevant national DPA for your organisation. You can find a overview of all EEA DPAs here.

You can find further information regarding certification in the EDPB guidelines on the topic: Guidelines 1/2018 on certification and identifying certification criteria in accordance with Articles 42 and 43 of the Regulation - version adopted after public consultation

If you believe your data protection rights have been violated you can contact the organisation holding your data, contact your national data protection authority (DPA), or go to a national court.

DPAs can conduct investigations and impose sanctions where necessary. You can find the contact details for all EEA DPAs here.

Controllers should formally submit their EU-wide certification criteria to:

1. the competent data protection authority (DPA) in the EEA country where the scheme owners have their headquarters;
2. the competent data protection authority (DPA) in the EEA country where a certification body operating the certification mechanism have their headquarters, considering the member state in which the most certificates are likely to be issued.

Skylt er að tilnefna gagnaverndarfulltrúa í eftirfarandi þremur tilvikum:

• stofnunin er opinbert yfirvald,
• grunnstarfsemi fyrirtækisins felur í sér reglubundið og kerfisbundið eftirlit með einstaklingum í stórum stíl, t.d. landfræðilegri staðsetningu með farsímaforriti, eða eftirliti með verslunarmiðstöðvum og opinberum rýmum í gegnum CCTV,
• grunnstarfsemi fyrirtækisins felst í umfangsmikilli vinnslu viðkvæmra upplýsinga eða persónuupplýsinga í tengslum við sakfellingar í refsimálum og brot.

Þú getur alltaf tilnefnt DPO að eigin frumkvæði, jafnvel þótt þess sé ekki krafist samkvæmt lögum. Vinsamlegast athugaðu að í því tilviki verður þú að fara að öllum ákvæðum GDPR varðandi verkefni og stöðu persónuverndarfulltrúa.

Frekari upplýsingar:

• Gagnaverndarfulltrúi

Nei, það er ekki nauðsynlegt að gera skrá yfir vinnslu opinberlega. Þú verður þó að geta gert skrána aðgengilega gagnaverndaryfirvöldum sé þess óskað.

Frekari upplýsingar:

• Vera í samræmi við kröfur

Are you asking the EDPB to investigate and take action against an organisation that you consider is infringing EU legislation, including through specific technologies, such as AI, social media, or messaging services?

In the context of data protection rules, you can lodge a complaint with your data protection authority (DPA) (please find a list of them on our website: Our members). Enforcement of data protection rules is the responsibility of the DPAs. You can contact the data protection authority where you live or work, or where the alleged infringement took place, for instance.

Another alternative is to go to national courts where you live or where the controller or processor is established. 

If the GDPR applies in your situation but you're not based in Europe, you can still complain to a DPA in Europe and/or go to court.

The EDPB has no competence to handle specific individual requests or complaints, nor to provide individual consultancy services. The EDPB is not a supranational body that can investigate complaints.

Finally, if you want to complain about how an EU institution, agency or body is using your personal data, you can lodge a complaint with the European Data Protection Supervisor (please see contact details on our website: Our members).

Please note that we do not forward your message to the national DPAs or to the EDPS. Therefore, you should contact them directly.

The dispute resolution mechanism triggered under Art.65.1 (a) and (b) GDPR contributes to the good functioning of the cooperation mechanism by addressing any disagreements Concerned Supervisory Authorities (CSAs) may have in a given case or if there are conflicting views as to which authority is the Lead Supervisory Authority (LSA).
The EDPB will act as a dispute resolution body. It must adopt a decision to address the conflict between the involved Data Protection Authorities (DPAs), which is binding on them (Art. 65 GDPR). The decision is adopted by a two-thirds majority of the members of the Board, and in case a decision cannot be adopted within 2 months, the decision is adopted within the next 2 weeks by a simple majority.

Til að samþykki teljist gilt verður það að vera:

• gefið af frjálsum vilja,
• sértækt,
• upplýst, og
• ótvírætt.

Þetta þýðir að einstaklingar verða að hafa raunverulega frjálst val um hvort þeir séu sammála um vinnslu persónuupplýsinga um sig eða ekki, þeir þurfa nægar upplýsingar til að þeir geti skilið hvaða gögn eru unnin, í hvaða tilgangi og hvernig það er gert; þeir þurfa einnig nægilega korn í samþykki beiðnir.

Að auki ætti að vera skýr jákvæð aðgerð frá einstaklingnum (án kassa sem eru formerktir og gerðir aðskilið frá gildandi almennum skilyrðum).

Að auki þurfa einstaklingar að geta afturkallað samþykki sitt af fúsum og frjálsum vilja (án neikvæðra afleiðinga) ef þeir skipta um skoðun síðar.

Frekari upplýsingar:

• Vinnsla persónuupplýsinga á lögmætan hátt

The European Data Protection Supervisor (EDPS) is a Member of the European Data Protection Board. In addition, the EDPS provides the EDPB Secretariat. The Secretariat offers administrative and logistic support to the EDPB, performs analytical work and contributes to the EDPB’s tasks.

Although staff at the Secretariat is employed by the EDPS, staff members only work under the instructions of the Chair of the EDPB.

The terms of cooperation between the EDPB and the EDPS are established by the Memorandum of Understanding.

Ef fyrirtækið þitt safnar persónuupplýsingum beint frá einstaklingum verður það að veita nauðsynlegar upplýsingar við söfnun.

Ef um er að ræða óbeina söfnun persónuupplýsinga verður fyrirtækið að veita upplýsingarnar eigi síðar en einum mánuði eftir að persónuupplýsingarnar voru upphaflega fengnar. Hægt er að stytta þennan hámarkstíma um einn mánuð:

• ef persónuupplýsingarnar eru notaðar í þeim tilgangi að eiga samskipti við hinn skráða. Í því tilviki verður þú að tilkynna hinum skráða um það í síðasta lagi þegar fyrsta tilkynning til hins skráða fer fram;
• ef upplýsingarnar eru sendar öðrum viðtakanda upplýsir fyrirtækið skráða aðilann um það í síðasta lagi þegar persónuupplýsingarnar eru fluttar. 

Frekari upplýsingar:

• Virða réttindi einstaklinga

Allar stofnanir, óháð stærð eða geira, með staðfestu á Evrópska efnahagssvæðinu (EES) eða bjóða einstaklingum á Evrópska efnahagssvæðinu vörur eða þjónustu, vinna persónuupplýsingar hvort sem þær þurfa að fara eftir GDPR eða ekki. Jafnvel þótt GDPR tengist aðallega sjálfvirkri vinnslu persónuupplýsinga mun vinnsla sem fer fram handvirkt einnig falla undir GDPR frá því að pappírsskrár eru skipulagðar á kerfisbundinn hátt, t.d. raðað í stafrófsröð í skjalaskáp. 

Dæmi um vinnsluaðgerðir eru að safna, skrá, skipuleggja, nota, breyta, geyma, birta, breyta, breyta og eyða persónuupplýsingum einstaklinga.

Engu að síður er beiting GDPR mótuð eftir eðli, samhengi, tilgangi og áhættu vinnsluaðgerða sem framkvæmdar eru. Að því er varðar lítil og meðalstór fyrirtæki þar sem kjarnastarfsemi er ekki vinnsla persónuupplýsinga geta skyldurnar verið vægari en fyrir stórt fyrirtæki.

Frekari upplýsingar:

• Grunnatriði gagnaverndar

Verkefni persónuverndarfulltrúa (PVF) eru meðal annars að:

• upplýsa og veita fyrirtækinu og starfsmönnum þess ráðgjöf varðandi persónuverndarlöggjöfina,
• fylgjast með því að farið sé að reglum um persónuvernd,
• veita ráðgjöf varðandi mat á áhrifum á persónuvernd (MÁP),
• vera tengiliður við persónuverndaryfirvöld og vinna með þeim,
• vera tengiliður við einstaklinga.

Að auki er almennt mælt með því að persónuverndarfulltrúi sé viðstaddur þegar teknar eru ákvarðanir sem hafa áhrif á persónuvernd. Persónuverndarfulltrúi ætti einnig að vera tafarlaust kallaður til ef upp kemur öryggisbrestur eða annað öryggiatvik.

Frekari upplýsingar:

• Persónuverndarfulltrúi

GDPR leggur skyldur á öll fyrirtæki sem vinna persónuupplýsingar, óháð því hvort um er að ræða ábyrgðaraðila gagna eða vinnsluaðila.

Einkum ættir þú að:

• Spyrja sjálfan þig hvort tilgangurinn með söfnun persónuupplýsinga sé réttlætanlegur og að safna aðeins persónuupplýsingum sem eru nauðsynlegar í þeim tiltekna tilgangi sem fyrirhugað er að nota,
• Halda persónuupplýsingum einstaklinga nákvæmum og uppfærðum og eyða þeim þegar þær eru ekki lengur nauðsynlegar,
• Virða réttindi einstaklinga með því að upplýsa þá um hvernig og hvers vegna gögn þeirra eru unnin og leyfa þeim að neyta réttar síns;
• Athugaðu hvort þú hafir viðeigandi lagagrundvöll fyrir vinnslu persónuupplýsinga. Ef þú ætlar að reiða þig á samþykki einstaklinga skaltu biðja um samþykki þeirra áður en þú vinnur persónuupplýsingar þeirra;
• Tryggja að persónuupplýsingar einstaklinga séu meðhöndlaðar á öruggan hátt,
• Halda skrá yfir vinnsluaðgerðir.

Gagnavinnsluaðilar verða að fylgja þeim ábyrgðum sem settar eru fram í ábyrgðaraðila-örgjörva samningnum, og þeir mega ekki vinna gögnin á annan hátt en samkvæmt leiðbeiningum ábyrgðaraðila.

Frekari upplýsingar:

• Vera í samræmi við kröfur
• Ábyrgðaraðili eða vinnsluaðili gagna
• Grunnatriði gagnaverndar

• Öll vinnsla persónuupplýsinga þarf að vera lögmæt, sanngjörn og gagnsæ.
• Aðeins má safna persónuupplýsingum í tilgreindum, skýrum og lögmætum tilgangi. Vinnslan verður að takmarkast við þann tilgang sem upphaflega var skilgreindur og má ekki nýta gögnin síðar í öðrum og ósamrýmanlegum tilgangi.
• Aðeins má   vinna með þær persónuupplýsingar sem eru nægjanlegar og viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar.
• Allar persónuupplýsingar sem unnið er með þurfa að vera réttar og uppfærðar. Röngum upplýsingum skal eyða eða leiðrétta.
• Varðveisla persónuupplýsinga skal takmarkast við þann tíma sem nauðsynlegur er miðað við tilganginn með upphaflegri söfnun og vinnslu upplýsinganna. Þegar þær eru ekki lengur nauðsynlegar skal eyða þeim eða gera þær ópersónugreinanlegar.
• Vinnsla persónuupplýsinga verður að fara fram á öruggan hátt. Í því skyni þarf að innleiða öflugar netöryggisráðstafanir til að tryggja að persónuupplýsingar einstaklinga séu nægilega varðar.

Að lokum ber ábyrgðaraðilinn ábyrgðina. Þetta þýðir að hann er ábyrgur fyrir því að farið sé að framangreindum meginreglum og skal geta sýnt fram á það.

Frekari upplýsingar:

• Grundvallaratriði persónuverndar

The EDPB brings together the EU DPAs and the European Data Protection Supervisor (EDPS). The EEA EFTA countries (Iceland, Liechtenstein and Norway) are also members with regard to GDPR-related matters and without the rights to vote and to be elected as chair or deputy chair. The European Commission and - with regard to GDPR-related matters - the EFTA Surveillance Authority have the right to participate in the activities and meetings of the Board without voting rights.

You can find an overview of the EEA DPAs here.

The EDPB does not have the competence to exercise oversight over the DPAs activities at the request of individuals.

Please note that the competence to issue general guidance cannot be understood as a mechanism for the EDPB to exercise oversight on how DPAs handle your individual case.

If you believe that GDPR has been infringed and you are not satisfied with the DPA’s response, the remaining solution is for you to initiate legal proceedings.

Ekki er hægt að geyma persónuupplýsingar að eilífu.

Að jafnaði er einungis hægt að geyma persónuupplýsingar eins lengi og nauðsynlegt er í ljósi tilgangs vinnslu persónuupplýsinga.

Í sumum tilvikum er hægt að ákvarða geymslutímabilið með sérstökum lögum, t.d. að vinnureglur ákvarða geymslutíma fyrir launaskrár.

Fyrirtæki/stofnanir ættu að setja reglur um varðveislu gagna til að tryggja að persónuupplýsingar séu ekki geymdar lengur en nauðsynlegt er. Eyða skal persónuupplýsingum einstaklinga eða gera þær nafnlausar þegar þær eru ekki lengur nauðsynlegar í þeim tilgangi sem unnið var með þær. 

Frekari upplýsingar:

• Grunnatriði gagnaverndar

When a Lead Supervisory Authority (LSA) issues a draft decision, it consults the Concerned Supervisory Authorities (CSAs), which can express their disagreement with the draft decision by submitting relevant and reasoned objections (RRO) within a period of four weeks (Art. 60.4 GDPR).
When none of the CSAs objects, the LSA may proceed to adopt the decision.

In case at least one of the CSAs has expressed an RRO, and if the LSA intends to follow the objection, it shall submit a revised draft decision to all the CSAs. The CSAs then have a period of two weeks (Art. 60.5 GDPR) to express their RROs to the revised draft decision.

However, if the LSA does not intend to follow the objection(s), since no consensus can be reached, the consistency mechanism is triggered. This means that the LSA is obliged to refer the case to the European Data Protection Board (EDPB) and the dispute resolution role of the EDPB is activated (Art. 65.1(a) GDPR).

The dispute resolution mechanism can be triggered in two further cases:

• there is a disagreement as to which authority is the LSA (Art. 65.1(b) GDPR);
• an SA does not seek the opinion of the EDPB as obliged under Art. 64.1 GDPR or does not follow such an opinion (Art. 64.1 - 2 GDPR) (Art. 65.1(c) GDPR).

Almennt séð ættu allar stofnanir að halda skrá yfir vinnslustarfsemi sína. Þetta er skrá yfir allar vinnsluaðgerðir og getur hjálpað þér að gera réttar forsendur um ábyrgð þína samkvæmt GDPR og hugsanlega áhættu.

Lýsa skal hverri þessara vinnsluaðgerða í skránni með eftirfarandi upplýsingum:

• tilgangur vinnslunnar (t.d. tryggð viðskiptavina),
• flokkar gagna sem unnin eru (t.d. fyrir launaskrá: nafn, eiginnafn, fæðingardagur og -ár, laun o.s.frv.),
• hver hefur aðgang að gögnunum (viðtakendur — t.d.: deildin sem ber ábyrgð á ráðningu, upplýsingatækniþjónustu, stjórnun, þjónustuveitendum, samstarfsaðilum...);
• eftir atvikum, upplýsingar sem tengjast flutningi persónuupplýsinga út fyrir Evrópska efnahagssvæðið (EES),
• ef unnt er, geymslutímabilið (tímabilið sem gögnin eru gagnleg frá rekstrarlegu sjónarmiði og frá sjónarhóli skjalavistunar).
• ef unnt er, almenn lýsing á verndarráðstöfununum.

Skrá yfir vinnslustarfsemi er á ábyrgð stjórnanda fyrirtækis þíns.

Þessi skrá verður að vera aðgengileg gagnaverndaryfirvöldum þess EES-lands þar sem þú starfar, sé þess óskað.

Þess er ekki krafist að fyrirtæki, sem hafa færri en 250 starfsmenn hjá færri en 250 starfsmönnum, komi eingöngu fram í skrá sinni (t.d. gögn sem unnin eru fyrir einstaka viðburði, s.s. opnun verslunar).

Frekari upplýsingar:

• Vera í samræmi við kröfur

Persónuverndarfulltrúar geta sinnt öðrum verkefnum innan fyrirtækisins en það má ekki leiða til hagsmunaárekstra. Þetta felur í sér að persónuverndarfulltrúinn má ekki taka þátt í að ákveða tilgang og aðferðir við vinnslu persónuupplýsinganna. Ósamrýmanlegar stöður innan fyrirtækisins eru aðallega stjórnunarstöður (forstjóri, framkvæmdastjóri, fjármálastjóri og yfirmaður upplýsingatæknimála) en geta einnig verið önnur störf ef þau leiða til ákvörðunar um tilgang og aðferðir við vinnslu persónuupplýsinga.

Persónuverndarfulltrúinn verður að geta sinnt skyldum sínum og verkefnum með sjálfstæðum og óháðum hætti. Þetta þýðir að fyrirtæki þitt:

• má ekki gefa persónuverndarfulltrúanum fyrirmæli um framkvæmd skyldustarfa sinna sem persónuverndarfulltrúa,
• má ekki refsa persónuverndarfulltrúanum eða reka hann úr starfi fyrir það að sinna skyldustörfum sínum.

Frekari upplýsingar:

• Persónuverndarfulltrúi