Vertu í samræmi við reglur

Innbyggð og sjálfgefin persónuvernd

Sem ábyrgðaraðili þarftu, bæði þegar þú ákveður og hannar vinnsluaðgerð en einnig við vinnsluna sjálfa, að grípa til viðeigandi verndar- og öryggisráðstafana til að tryggja að farið sé að meginreglum um persónuvernd. Auk þess þarftu að tryggja að sjálfgefið sé að aðeins sé unnið með þær persónuupplýsingar sem nauðsynlegt er miðað við tilgang vinnslunnar hverju sinni (þetta á við um magn, umfang, geymslutíma og aðgengileika gagnanna).

Með öðrum orðum er fyrirtæki, sem innleiðir innbyggða og sjálfgefna persónuvernd, fyrirtæki sem gætir að persónuvernd og tryggir öryggi persónuupplýsinga á öllum sviðum starfsemi sinnar og á öllum stigum vinnslunnar sem og í öllum þeim tækjum sem notuð eru í starfseminni.

Til þess að gera það verður fyrirtækið þitt, áður en vinnsluaðgerðir eru ákveðnar, að taka tillit til:

• eðlis, samhengis og umfangs vinnslunnar sem er fyrirhuguð,
• áhættunnar sem kann að stafa af fyrirhuguðum vinnsluaðgerðum eða annarri starfsemi sem gæti haft áhrif á persónuupplýsingar einstaklinga,
• tæknilegra og skipulagslegra ráðstafana sem gera þarf til að draga úr þeirri áhættu sem greinst hefur og tryggja að persónuupplýsingarnar séu verndaðar með fullnægjandi hætti,
• tæknilegra og skipulagslegra ráðstafana eða verklagsreglna sem gera þarf til að tryggja að vinnsla persónuupplýsinga (þ.m.t. söfnun, geymsla og almenn notkun persónuupplýsinga) takmarkist við það sem er nauðsynlegt miðað við tilgang vinnslunnar.

Dæmi:

• Bókabúð vill auka tekjur sínar með því að selja bækur á netinu. Eigandi bókabúðarinnar vill setja upp staðlað pöntunarform fyrir kaupendur. Til að byrja með gerir eigandinn kaupendum skylt að fylla í alla reiti formsins, þar á meðal fæðingardag, símanúmer og heimilisfang. Þessar upplýsingar eru þó ekki allar nauðsynlegar til að selja og afhenda bækurnar.
  Til dæmis getur viðskiptavinur sem pantar rafbók sótt hana beint í tækið sitt. Þegar þannig háttar til má ekki krefjast upplýsinga um heimilisfang viðskiptavinar. Eigandi netverslunarinnar ákveður því að útbúa tvö pöntunarform: annað með reit fyrir heimilisfang viðskiptavinar sem pantar heimsendar bækur, og hitt formið án reits fyrir heimilisfang fyrir þá viðskiptavini sem panta sér rafbækur. Með því tryggir eigandinn að aðeins þeim persónuupplýsingum sé safnað sem eru nauðsynlegar vegna vinnslunnar.
• Á læknastofu sem rekin er af nokkrum læknum er gögnum um sjúklinga safnað í upplýsingakerfi stofunnar. Mismunandi læknar kunna að þurfa aðgang að sjúkraskrám, til dæmis þegar þeir leysa af annan lækni sem er fjarverandi, til að styðja við ákvarðanatöku varðandi umönnun og meðferð sjúklingsins, og til að skrá allar greiningar, meðferðir og aðgerðir sem framkvæmdar eru. Sjálfgefið er að aðeins þeir læknar sem sinna meðferð viðkomandi sjúklings fái aðgang að gögnum hans.

Það er gagnlegt að halda skrá utan um framkvæmd möt og ráðstafanir til að geta sýnt fram á að farið sé að meginreglum um innbyggða og sjálfgefna persónuvernd. Einnig má nota samþykkt vottunarkerfi sem þátt í að sýna fram á að farið sé að reglum um innbyggða og sjálfgefna persónuvernd.

Skylda til að halda skrár yfir vinnslustarfsemi

Sem fyrirtæki ber þér skylda til að halda skrá yfir vinnslustarfsemi þína. Skrárnar skulu vera skriflegar, þ.m.t. á rafrænu formi.

Þessi skrá veitir þér yfirsýn yfir vinnslustarfsemi þína. Til að búa til slíka skrá þarftu að greina hvaða starfsemi þín krefst vinnslu persónuupplýsinga (t.d. ráðningar, launagreiðslur, þjálfun og aðgangsstjórnun, listi yfir væntanlega viðskiptavini o.s.frv.). Skrá þarf eftirfarandi upplýsingar í vinnsluskrána um hverja og eina vinnsluaðgerð: 

• tilgang vinnslunnar (t.d. tryggð viðskiptavina),
• flokka persónuupplýsinga sem vinnslan tekur til (t.d. fyrir launaskrá: fullt nafn, fæðingardag og -ár, laun o.s.frv.),
• hver hefur aðgang að persónuupplýsingunum (viðtakendur — t.d.: deildin sem ber ábyrgð á ráðningu, upplýsingatækniþjónustan, stjórnendur, þjónustuveitendur, samstarfsaðilar...),
• ef við á, upplýsingar um flutning persónuupplýsinga utan Evrópska efnahagssvæðisins (EES),
• ef mögulegt er, geymslutíma gagna (hversu lengi gögnin eru nauðsynleg út frá rekstrarlegu sjónarhorni og varðveislusjónarmiðum),
• ef mögulegt er, almenna lýsingu á öryggisráðstöfununum.

Skrá yfir vinnslustarfsemi er á ábyrgð stjórnanda fyrirtækis þíns. Þessi skrá verður að vera gerð aðgengileg persónuverndarstofnun þess EES-lands þar sem starfsemin fer fram, ef þess er krafist.

Þess er ekki krafist af fyrirtækjum með færri en 250 starfsmenn að skrá starfsemi sem er eingöngu tilfallandi (t.d. persónuupplýsingar sem unnar eru fyrir einstaka viðburði eins og opnun verslunar). 

Hvernig fer mat á áhrifum á persónuvernd (MÁP) fram?

Hvað er MÁP?

Ef líklegt er að vinnsla hafi í för með sér mikla áhættu fyrir réttindi og frelsi einstaklinga verður ábyrgðaraðili að framkvæma mat á áhrifum á persónuvernd (MÁP). MÁP er skriflegt mat á fyrirhugaðri vinnsluaðgerð. Það hjálpar þér við að greina viðeigandi öryggisráðstafanir sem grípa þarf til í þeirri viðleitni að draga úr áhættu fyrir einstaklinga og sýna fram á að farið sé að reglunum.

Hvenær á að framkvæma MÁP?

Þótt ávallt sé æskilegt að meta fyrirfram áhrif fyrirhugaðrar vinnslu hjá fyrirtækinu  með því að framkvæma áhættumat á áhrifum á persónuvernd (MÁP), er það skylt þegar vinnslan er líkleg til að hafa í för með sér mikla áhættu fyrir réttindi og frelsi einstaklinga. 

Nánar tiltekið á þetta einkum við þegar fyrirhuguð vinnsla felur í sér:

• umfangsmikla vinnslu á viðkvæmum persónuupplýsingum og gögnum sem tengjast sakfellingu í refsimálum,
• kerfisbundið og umfangsmikið mat á persónulegum eiginleikum einstaklings sem byggir á sjálfvirkri vinnslu, þar með talið gerð persónusniðs (e. profiling), og sem leiðir til ákvarðana sem hafa lagaleg áhrif á viðkomandi einstakling eða hafa álíka veruleg áhrif á hann,
• kerfisbundið umfangsmikið eftirlit með svæði sem er aðgengilegt almenningi.

Í flestum tilvikum ættu vinnsluaðgerðir, sem uppfylla tvö af eftirfarandi viðmiðum, að fara í mat á áhrifum á persónuvernd (MÁP):

1. mat eða stigagjöf,
2. sjálfvirk ákvarðanataka sem hefur lagaleg eða veruleg  sambærileg áhrif,
3. kerfisbundið eftirlit,
4. viðkvæmar persónuupplýsingar eða upplýsingar viðkvæms eðlis,
5. umfangsmikil vinnsla persónuupplýsinga,
6. samkeyrsla eða sameining gagnasafna,
7. upplýsingar sem varða einstaklinga í viðkvæmri stöðu,
8. nýstárleg notkun eða notkun nýrrar tækni- eða skipulagslausna,
9. þegar vinnslan sjálf kemur í veg fyrir að einstaklingar geti nýtt rétt sinn, þjónustu eða samning.

Góð ráð við framkvæmd MÁP

Hafðu samband við persónuverndarstofnun í því EES-landi þar sem fyrirtækið þitt er staðsett og fáðu upplýsingar um hvort stofnunin hafi gefið út lista yfir þær vinnsluaðgerðir sem krefjast MÁP og þær sem eru undanþegnar slíku mati.

Dæmi um hvenær þörf kann að vera á að framkvæma MÁP:

• vinnsla lífkennaupplýsinga, t.d. skönnun fingrafara eða andlitsgreining til að bera kennsl á sjúklinga,
• notkun persónuupplýsinga einstaklinga í viðkvæmri stöðu til markaðssetningar, 
• t.d. til að spá fyrir um kauphegðun þeirra,
  Farsímaforrit sem rekur staðsetningu einstaklingsins.

Dæmi um hvenær ekki er þörf á að framkvæma MÁP:

• fyrirhuguð vinnsluaðgerð er mjög svipuð annarri vinnslu sem hefur þegar farið í gegnum MÁP,
• vinnslan er á valkvæðum lista persónuverndarstofnunar yfir vinnsluaðgerðir þar sem ekki er gerð krafa um MÁP;
• vinnsluaðgerðin er heimil samkvæmt lögum ESB eða landslögum.

Hvað á MÁP að innihalda?

MÁP ætti að innihalda:

• lýsingu á fyrirhugaðri vinnsluaðgerð og tilgangi hennar,
• mat á nauðsyn og meðalhófi, 
• greiningu áhættu sem vinnsluaðgerðin kann að hafa í för með sér,
• ráðstafanir til að bregðast við áhættunni.

Fyrirframsamráð á meðan á MÁP stendur

Þegar ábyrgðaraðili getur ekki gert nægar ráðstafanir til að draga úr áhættu þannig að hún verði ásættanleg (þ.e. áhættan fyrir hendi er enn mikil) er þörf á að hafa samráð við persónuverndaryfirvöld. Þegar haft er samband við persónuverndarstofnunina þarf  ábyrgðaraðilinn að veita eftirfarandi upplýsingar:

• upplýsingar um ábyrgðarsvið ábyrgðaraðila, sameiginlegra ábyrgðaraðila og vinnsluaðila sem koma að  vinnslunni,
• upplýsingar um tilgang vinnslunnar og framkvæmd hennar,
• ráðstafanir sem fyrirhugaðar eru til að vernda persónuupplýsingar einstaklinga,
• ráðstafanir sem fyrirhugaðar eru til að tryggja öryggi persónuupplýsinganna,
  samskiptaupplýsingar persónuverndarfulltrúa fyrirtækis þíns, ef við á,
• um er að ræða DPIA.

Þegar  MÁP hefur verið framkvæmt þarftu að prófa það, bæta og sannreyna!

Þegar drög að MÁP liggja fyrir verður þú að prófa það, bæta það ef nauðsyn krefur og framkvæma viðkomandi vinnsluaðgerð. Að því búnu þarftu að endurmeta hvort MÁP taki nægt tillit til vinnslunnar og eftirlitsins.

Hátternisreglur

Eftir því hvar fyrirtækið þitt er staðsett á EES-svæðinu gætu verið samtök eða aðrir aðilar sem koma fram fyrir hönd ábyrgðaraðila eða vinnsluaðila. Slík samtök eða aðilar geta útbúið hátternisreglur, þ.m.t. persónuverndarúrræði, sem ábyrgðaraðilar og vinnsluaðilar fylgja til að stuðla að öryggi persónuupplýsinga einstaklinga í samræmi við persónuverndarreglugerðina.

Nánar tiltekið eru hátternisreglur settar til að tryggja meðal annars:

• að persónuupplýsingar séu unnar með sanngjörnum og gagnsæjum hætti,
• að tilgangurinn með vinnslu persónuupplýsinga einstaklinga sé lögmætur,
• hvernig nota skuli gerviauðkenni;
• að hinum skráðu séu veittar gagnsæjar upplýsingar,
• að samþykki fyrir vinnslu persónuupplýsinga einstaklinga sé aflað með réttmætum hætti, einkum þegar börn eiga í hlut,
• að gripið sé til allra tæknilegra og skipulagslegra ráðstafana til að tryggja örugga vinnslu persónuupplýsinga,
• að verklagsreglum um tilkynningar á öryggisbrestum sé fylgt,
• að verklagsreglum sé fylgt varðar verndarráðstafanir sem grípa skuli til, við miðlun persónuupplýsinga til landa utan EES-svæðisins,
• að verklagsreglum  varðandi rekstur dómsmála og úrlausn deilumála sé fylgt.

Mikilvæg ábending

Þú ættir að hafa samband við þau samtök eða aðila sem útbúa hátternisreglur byggðar á persónuverndarreglugerðinni, þar sem þau geta hjálpað þér við að framfylgja reglunum.

Vottun

Hvað er persónuverndarreglugerðarvottun?

Stofnun sem fær persónuverndarreglugerðarvottun getur notað vottunina til að sýna fram að vinnslustarfsemi hennar sé í samræmi við persónuverndarreglugerðina.

Persónuverndarstofnanir á EES-svæðinu geta t.d.:

• gefið út persónuverndarreglugerðarvottun samkvæmt eigin vottunarkerfi;
• gefið út eigin vottun samkvæmt eigin vottunarkerfi, en framselt þriðja aðila matsferlið, í heild eða að hluta,
• komið á fót eigin vottunarkerfi og falið tilteknum aðilum að gefa út vottanirnar,
• hvatt aðila á markaði til að þróa vottunarfyrirkomulag,
• metið vottunarkerfi vottunaraðila.

Vottunaraðila er falið að gefa út, endurskoða og afturkalla vottanir á grundvelli vottunarfyrirkomulags og samþykktra viðmiða.

Vottunaraðilar verða að skjalfesta mat sitt á vinnslustarfsemi fyrirtækis sem óskar eftir persónuverndarreglugerðarvottun.

Fyrirtækið mitt hefur fengið persónuverndarreglugerðarvottun - hvað svo?

Persónuverndarreglugerðarvottun á vinnslustarfsemi fyrirtækis gildir að hámarki í þrjú ár, en hægt er að endurnýja hana eða afturkalla. Til að viðhalda vottuninni verður fyrirtækið þitt stöðugt og með reglulegum hætti að gera ráðstafanir varðandi persónuverndina sem var vottuð.