Frequently Asked Questions

The Coordination Supervision Committee (‘CSC’) - which exists within the EDPB - coordinates the supervision of the processing of personal data in the Schengen Information System (‘SIS’). The relevant EU laws are Regulation (EU) No 2018/1862 (in particular Article 71), and Regulation (EU) No. 2018/1861 (in particular Article 57).

For personal data included in the SIS, you have rights of access, rectification, and erasure. These rights include:

• The right to know if information relating to you is processed in the SIS;
• The right of access to that data;
• The right to correction of inaccurate data or deletion relating when that data have been unlawfully stored; and
• The right to take action with courts, your data protection authority and/or competent authorities, as appropriate, to correct or delete data relating to you or to obtain compensation.

To exercise your rights, please contact your national competent authority, in the Schengen country of your choice. For more information on the national competent authorities and on the data protection authority in each Schengen country, please consult the “Guide for exercising data subjects’ rights”, available on our website. There you can also find model letters to assist you with the exercise of your rights. 

Please note that the EDPB does not have the competence to handle individual complaints or requests. Besides, the EDPB does not have access to the content of these information systems and databases.

More details on how to exercise your rights is available on our website.

GDPR kveður á um sérstök réttindi fyrir einstaklinga sem þarf að virða. Þú getur gert þetta með því að:

• upplýsa einstaklinga sem þú vinnur úr um vinnsluaðgerðir þínar og tilgang vinnslunnar þegar þú safnar gögnum þeirra, t.d. með yfirlýsingu um persónuvernd á vefsíðunni þinni;
• með því að bregðast við beiðnum einstaklinga um að neyta réttar síns, s.s. aðgangs, leiðréttingar, andmæla, eyðingar eða flutningshæfisbeiðna.

Fyrirtæki sem eru gagnsæ um notkun þeirra á persónuupplýsingum og sem virða réttindi einstaklinga eru ólíklegri til að verða fyrir kvörtunum.

Frekari upplýsingar:

• Virða réttindi einstaklinga

Öryggisbrestur við meðferð persónuupplýsinga er öryggisbrestur sem leiðir til óviljandi eða ólögmætrar eyðingar, glötunar, breytinga, miðlunar eða aðgangs að persónuupplýsingum í leyfisleysi.

• Ef brotið hefur í för með sér áhættu fyrir viðkomandi einstaklinga verður þú að tilkynna það viðkomandi gagnaverndaryfirvöldum innan 72 klukkustunda.
• Ef líklegt er að brotið hafi í för með sér mikla áhættu fyrir einstaklinga þarftu einnig að tilkynna viðkomandi einstaklingum um brotið án ótilhlýðilegrar tafar.

Í öllum tilvikum, fyrir öll brot — jafnvel þau sem ekki eru tilkynnt til persónuverndaryfirvalda, verður þú að skrá a.m.k. grunnupplýsingar um brotið, mat á því, áhrif þess og þær ráðstafanir sem gerðar hafa verið til að bregðast við.

Frekari upplýsingar:

• Brot á gögnum

EDPB birtir reglulega fréttatilkynningar, fréttir, blogg og annað efni á EDPB vefsíðunni og samfélagsmiðlum þess (twitter: @EU_EDPB, LinkedIn: Evrópska persónuverndarráðið) til að halda gagnaverndarsamfélaginu og 

The EDPB website hefur einnig tvær RSS straumar, sem þú getur gerst áskrifandi að sjálfvirkum uppfærslum á EDPB fréttum og nýjustu útgáfum EDPB er.

Persónuverndarreglugerðin eða almenna persónuverndarreglugerðin skapar samræmdar reglur sem gilda um alla vinnslu persónuupplýsinga hjá stofnunum (opinberum eða einkaaðilum, óháð stærð þeirra) sem komið er á fót á Evrópska efnahagssvæðinu (EES) eða beinast að einstaklingum innan ESB. Meginmarkmið GDPR er að tryggja að persónuupplýsingar njóti sömu verndar alls staðar á Evrópska efnahagssvæðinu, auka réttarvissu fyrir bæði einstaklinga og stofnanir sem vinna úr gögnum og veita einstaklingum víðtæka vernd.

Reglugerðin tók gildi 24. maí 2016 og gildir frá 25. maí 2018.

All individuals residing in the European Economic Area (EEA) have the right to the protection of their personal data.

More specifically, under the GDPR, you have several rights

• Right to be informed
• Right of access
• Right to rectification
• Right to restriction of processing
• Right to data portability
• Right to object
• Right not be subject to a decision based solely on automated processing.

For more information on your rights, please consult our leaflet The GDPR and your rights or the EDPB Data Protection Guide for small business.

The European Commission can decide whether a country outside Europe (or an international organisation) offers an ‘adequate’ level of data protection, which facilitates the data flows between Europe and this country. 

The EDPB is in charge of issuing opinions on the draft adequacy decisions, before the decision of the European Commission. The opinions are not binding on the European Commission but are usually useful for the other organisations which are consulted in this framework, such as the EU Member States.

Further, the European Commission is the one competent to monitor developments in non-European countries that could affect adequacy decisions. Some adequacy decisions provide for a specific regularity for the review of the decision and may refer to the possibility for EDPB representatives to take part in the review process organised by the European Commission.

Please also note that European Data Protection Authorities may protect individuals with respect with data transfers made within the context of adequacy decision (please find a list of them on our website: Our members).

If you believe that an existing adequacy decision is not in line with your fundamental rights of the individual to privacy and data protection, you may initiate a complaint to your DPA which may bring those objections before a national court which may be required to make a reference for a preliminary ruling to the Court of Justice (See Article 58(5) GDPR and ECJ Schrems judgment (Case C-362/14)).

For additional information, please see: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en

Já, GDPR á við ef persónuupplýsingar eru geymdar eða er ætlað að vera í skráningarkerfi. Þetta þýðir að GDPR á einnig við um pappírsskrár en ekki eingöngu um sjálfvirka vinnslu persónuupplýsinga.

Frekari upplýsingar:

• Grunnatriði gagnaverndar

Já, en til þess að gera þetta þarftu fyrst að ákvarða lagagrundvöll fyrir vinnslu þessarar tegundar persónuupplýsinga. Til dæmis gæti vinnslan talist lögmætra hagsmuna fyrir fyrirtæki þitt. Þegar unnið er með persónuupplýsingar á grundvelli lögmætra hagsmuna er ávallt nauðsynlegt að framkvæma jafnvægispróf til að ákvarða hvort lögmætir hagsmunir þínir vegi þyngra en réttindi einstaklinga, sérstaklega ef börn eiga hlut að máli.

Annar mögulegur lagagrundvöllur fyrir slíkri vinnslu gæti verið samþykki. Einstaklingar ættu alltaf að vera upplýstir fyrirfram um að viðburðurinn sé ljósmyndaður eða tekinn upp.

Frekari upplýsingar:

• Vinnsla persónuupplýsinga á lögmætan hátt

Samþykki gæti í raun verið gildur lagagrundvöllur til að geyma ferilskrár umsækjenda. Annar mögulegur lagagrundvöllur gæti verið lögmætir hagsmunir. Í því tilviki þarftu að framkvæma jafnvægispróf til að sanna að lögmætir hagsmunir fyrirtækisins vegi þyngra en réttindi umsækjenda.

Hvenær sem er verður þú að tilkynna frambjóðendum að þú ætlar að geyma gögn þeirra og í hvaða tilgangi.

Frekari upplýsingar:

• Vinnsla persónuupplýsinga á lögmætan hátt

Þegar tveir eða fleiri ábyrgðaraðilar gagna ákveða sameiginlega tilgang og aðferðir við vinnslu teljast þeir sameiginlegir ábyrgðaraðilar. Þeir ákveða saman að vinna persónuupplýsingar í sameiginlegum tilgangi. Sameiginleg ábyrgð getur verið á marga vegu og þátttaka mismunandi ábyrgðaraðila getur verið ójöfn. Sameiginlegir ábyrgðaraðilar verða því að ákveða ábyrgð sína á því að farið sé að GDPR.

Mikilvægt er að hafa í huga að sameiginleg ábyrgðaraðili leiðir til sameiginlegrar ábyrgðar á vinnslustarfsemi.

• Dæmi um sameiginlega ábyrgð:  Fyrirtæki A og B hafa sett af stað sameiginlega vöru og vilja skipuleggja viðburð til að kynna þessa vöru. Í því skyni ákveða þeir að deila gögnum úr viðkomandi viðskiptavina- og væntanlegum gagnagrunnum viðskiptavina og ákveða lista yfir boð á viðburðinn á þessum grundvelli. They also agree on the modalities for sending the invitations to the event, how to collect feedback during the event and follow-up marketing actions. Fyrirtæki A og B geta talist sameiginlegir ábyrgðaraðilar við vinnslu persónuupplýsinga sem tengjast skipulagningu kynningarviðburðarins þegar þau ákveða sameiginlegan tilgang og nauðsynlegar aðferðir við gagnavinnslu í þessu samhengi.

Frekari upplýsingar:

• Ábyrgðaraðili eða vinnsluaðili gagna

Unfortunately, the EDPB cannot consider late contributions as part of the public consultation.

Data controllers can only process personal data in one of the following circumstances:

• with the consent of the individuals concerned;
• where processing is necessary for the performance of a contract (a contract between your organisation and an individual);
• to meet a legal obligation under EU or national legislation;
• where processing is necessary for the performance of a task carried out in the public interest under EU or national legislation;
• to protect the vital interests of an individual;
• for your organisation’s legitimate interests - except where they are overridden by the rights and freedoms of individuals.

In addition, the GDPR establishes additional conditions for the processing of sensitive data.

More information:

• Process personal data lawfully

Vinnsla persónuupplýsinga er heimil ef lagagrundvöllur er fyrir hendi. Til viðbótar við ókeypis, sértækt, upplýst og ótvíræð samþykki, er hægt að nota aðrar lagagrundvöll fyrir vinnslu.
Með öðrum orðum, samþykki er nauðsynlegt þegar ekkert af öðrum lagagrundvelli gildir.

Frekari upplýsingar:

• Vinnsla persónuupplýsinga á lögmætan hátt

Nei, þú þarft ekki að vera staðfest til að verða DPO.

Persónuverndarfulltrúar verða þó að geta sýnt fram á að þeir hafi nauðsynlega menntun og hæfi sem krafist er í GDPR, s.s. sérfræðiþekkingu á lögum og venjum um gagnavernd.

Frekari upplýsingar:

• Gagnaverndarfulltrúi

A Data Protection Impact Assessment eða DPIA er skriflegt mat sem fyrirtæki þitt ætti að gera til að meta áhrif fyrirhugaðrar vinnsluaðgerðar. Það hjálpar þér að bera kennsl á viðeigandi ráðstafanir til að takast á við áhættuna og til að sýna fram á að farið sé að ákvæðum.

Þó að það sé alltaf æskilegt að gera ráð fyrir áhrifum fyrirhugaðra vinnsluaðgerða fyrirtækis þíns með því að gera DPIA, er skylt að framkvæma DPIA þegar vinnslan er líkleg til að leiða til mikillar áhættu fyrir réttindi og frelsi einstaklinga.

Þetta á sérstaklega við þegar fyrirhuguð vinnsla felur í sér:

• vinnslu — í umfangsmiklum, viðkvæmum persónuupplýsingum eða gögnum sem tengjast sakfellingu í refsimálum,  
• kerfisbundið og ítarlegt mat á persónulegum þáttum einstaklings sem byggist á sjálfvirkri vinnslu, þ.m.t. gerð persónusniðs, og sem ákvarðanir eru byggðar á sem hafa réttaráhrif á einstaklinginn í spurningum eða haft sambærileg áhrif á einstaklinga,
• kerfisbundið eftirlit með stóru svæði sem er aðgengilegt almenningi.

EDPB hefur þróað viðmiðunarreglur sem telja upp þær viðmiðanir sem þú þarft að taka tillit til við mat á því hvort DPIA er skyldubundin eða ekki. Gagnaverndaryfirvöld hafa einnig birt skrár yfir vinnsluaðgerðir sem falla undir gagnavernd. Auk þess hafa nokkrir persónuverndaryfirvöld þróað leiðbeiningar, hugbúnað eða sjálfsmatsverkfæri til að hjálpa þér við mat þitt.

Frekari upplýsingar:

• Vera í samræmi við kröfur

Information about career opportunities can be found on our website: Career opportunities.

Please contact edps-selections@edps.europa.eu if you want more information or would like to make a spontaneous application. If you wish to make an application, please mention that you are applying for a post in the EDPB Secretariat. Spontaneous application sent directly to the EDPB are deleted without forwarding.

Fyrsta skrefið til að setja upp CCTV er að bera kennsl á tilgang eða tilgang til að gera það. Tilgangurinn með uppsetningu eftirlitsmyndavéla getur verið fjölbreyttur, t.d. að tryggja öryggi húsnæðis, aðstoða við að koma í veg fyrir og greina þjófnað og aðra glæpi eða vernda líf og heilsu starfsmanna vegna eðlis vinnunnar.

Eins og við á um alla vinnslu persónuupplýsinga verður skráning einstaklinga að hafa lagagrundvöll samkvæmt GDPR. Samþykki getur skapað lagagrundvöll fyrir slíka gagnavinnslu. Hins vegar er ólíklegt að þetta eigi við um notkun CCTV í flestum tilvikum, þar sem það verður erfitt að fá frjálst samþykki allra sem líklegt er að skráð sé. Algengasta lagagrundvöllurinn fyrir slíkri vinnslu persónuupplýsinga eru lögmætir hagsmunir. Þegar vinnsla er byggð á lögmætum hagsmunum þarftu að framkvæma jafnvægispróf til að ákvarða hvort lögmætir hagsmunir þínir vegi þyngra en réttindi einstaklingsins.

Þú verður að tilkynna einstaklingum að þeir séu skráðir. Þetta er hægt að gera með því að setja auðvelt að lesa merki á áberandi stöðum. Auk þess ætti að setja skilti þar sem fram kemur tilgangur eftirlitsmyndavélakerfisins og auðkenni og samskiptaupplýsingar ábyrgðaraðila gagna við allar innganga.

Einstaklingar, sem eru skráðir í eftirlitsmyndavélakerfi, skulu fá eftirfarandi upplýsingar:

• deili á ábyrgðaraðila og samskiptaupplýsingum hans,
• tilgang vinnslunnar,
• lagagrundvöllur vinnslunnar (ef um lögmæta hagsmuni er að ræða, sérstakar upplýsingar sem lögmætir hagsmunir tengjast tiltekinni vinnslu og hvaða eining hefur lögmæta hagsmuni að gæta um).
• samskiptaupplýsingar gagnaverndarfulltrúa, gagnaverndarfulltrúa (ef gagnaverndarfulltrúi er til staðar),
• viðtakendur eða flokka viðtakenda gagnanna,
• öryggisfyrirkomulag fyrir upptökur fyrir sjónvarpsmyndavélar,
• varðveislutíma fyrir upptökur úr eftirlitsmyndavélum,
• til staðar eru réttindi einstaklinga samkvæmt GDPR og rétt til að leggja fram kvörtun hjá innlendum gagnaverndaryfirvöldum.

Frekari upplýsingar:

• Vinnsla persónuupplýsinga á lögmætan hátt
• Virða réttindi einstaklinga

Samkvæmt GDPR eru, að jafnaði, tvær helstu leiðir til að flytja persónuupplýsingar til landa utan EES eða alþjóðastofnunar. Framsal getur átt sér stað á grundvelli ákvörðunar um fullnægjandi vernd eða, ef slík ákvörðun liggur ekki fyrir, á grundvelli viðeigandi verndarráðstafana, þ.m.t. framfylgjanleg réttindi og lagaleg úrræði fyrir einstaklinga.

Frekari upplýsingar:

• Alþjóðlegar tilfærslur

Já, vinnsluaðilar (þ.e. einstaklingar eða aðilar sem vinna úr gögnum fyrir hönd ábyrgðaraðila gagna) hafa skyldur samkvæmt GDPR. Hins vegar er einhver munur á ábyrgð ábyrgðaraðila gagna og vinnsluaðila.

Gagnavinnsluaðilar verða að fylgja þeim ábyrgðum sem settar eru fram í verksamningi ábyrgðaraðila, þar sem gerð er grein fyrir vinnsluaðgerðum og leiðum til að vinna úr persónuupplýsingum. Vinnsluaðilinn verður t.d. að framkvæma vinnsluaðgerðirnar með viðeigandi tæknilegum og skipulagslegum ráðstöfunum samkvæmt fyrirmælum ábyrgðaraðila. Í því skyni aðstoðar vinnsluaðilinn ábyrgðaraðila við að fara eftir GDPR.

Frekari upplýsingar:

• Ábyrgðaraðili eða vinnsluaðili gagna