Vera í samræmi við kröfur

Gagnavernd eftir hönnun og sjálfgefið 

Sem ábyrgðaraðili, bæði þegar þú hannar vinnsluaðgerð og við vinnslu, verður þú að gera viðeigandi ráðstafanir og verndarráðstafanir til að tryggja að farið sé að meginreglum um persónuvernd. Þú verður einnig að tryggja að sjálfgefið sé aðeins unnið úr persónuupplýsingum sem eru nauðsynlegar fyrir hvern tiltekinn tilgang (þetta á við um magn gagna, umfang vinnslunnar, geymslutakmörkunina og aðgengileika þeirra).

Með öðrum orðum er fyrirtæki, sem beitir gagnavernd og sjálfgefið, fyrirtæki sem tekur til athugunar og felur í sér gagnavernd og friðhelgi einkalífs einstaklinga á öllum sviðum og á öllum stigum vinnsluaðgerða sinna, í þeim verkfærum sem notuð eru eða annarri atvinnustarfsemi.

Til þess að gera það, áður en þú setur upp vinnsluaðgerðir, verður fyrirtækið þitt að taka tillit til:

• eðli, samhengi og umfangi vinnsluaðgerðarinnar sem er fyrirhuguð,
• áhættu sem kann að stafa af fyrirhuguðum vinnsluaðgerðum eða annarri starfsemi sem gæti haft áhrif á persónuupplýsingar einstaklinga,
• tæknilegar og skipulagslegar ráðstafanir sem ætti að gera til að draga úr þeirri áhættu sem greinst hefur og tryggja þegar persónuupplýsingar einstaklinga eru verndaðar með fullnægjandi hætti,
• tæknilegar og skipulagslegar ráðstafanir eða verklagsreglur sem gera skal til að tryggja að vinnsla persónuupplýsinga (þ.m.t. einkum söfnun, geymsla og heildarnotkun gagna einstaklinga) takmarkist við það sem nauðsynlegt er í ljósi markmiðanna sem stefnt er að.

Í raun

• Bókabúð vill auka tekjur sínar með því að selja bækur á netinu. Eigandi bókabúðarinnar vill setja upp staðlað form fyrir pöntunarferlið. Í fyrsta lagi gerir eigandinn alla reitina skyldubundna, þar á meðal fæðingardag viðskiptavinarins, símanúmer og heimilisfang. Hins vegar eru ekki allir reitir í formi nauðsynleg til að selja og afhenda bækurnar.
  Til dæmis, þegar þú pantar eBook, getur viðskiptavinurinn sótt vöruna beint í tækið sitt. Sem slík er ekki hægt að krefjast þessara reita á vefnum til að panta bækur. Eigandi vefverslunarinnar ákveður því að búa til tvö vefform: einn til að panta bækur, með reit fyrir heimilisfang viðskiptavinarins og eitt vefeyðublað til að panta bækur án reits fyrir heimilisfang viðskiptavinarins. Með því tryggir eigandinn að aðeins þeim gögnum sem nauðsynleg eru til vinnslunnar sé safnað.
• Læknir sem starfar hjá nokkrum læknum safnar gögnum um sjúklinga sína í upplýsingakerfi sínu. Mismunandi læknar geta þurft að fá aðgang að sjúkraskrám, t.d. þegar annar læknir er fjarverandi, til að upplýsa um ákvarðanir sínar varðandi umönnun og meðferð sjúklinganna og um gögn um allar greiningar-, umönnunar- og meðferðaraðgerðir sem gripið hefur verið til. Sjálfgefið er að aðgangur sé veittur aðeins þeim læknum sem úthlutað er til meðferðar viðkomandi sjúklings.

Gagnlegt er að halda skrár yfir þessi möt og ráðstafanir til að geta sýnt fram á að þú fylgir meginreglunum um gagnavernd eftir hönnun og sjálfgefið. Einnig má nota samþykkt vottunarkerfi sem þátt til að sýna fram á að farið sé að gagnavernd eftir hönnun og sjálfgefið.

Skylda til að halda skrár yfir gagnavinnslu

Sem stofnun ber þér skylda til að halda skrá yfir gagnavinnslu þína. Þessar skrár skulu vera skriflegar, þ.m.t. á rafrænu formi.

Þessi skrá gefur þér yfirlit yfir vinnsluaðgerðir þínar. Til þess að búa til slíka skrá ættir þú að greina hver starfsemi þín krefst vinnslu persónuupplýsinga (dæmi fela í sér ráðningu, launastjórnun, þjálfun, merki og aðgangsstjórnun, lista yfir tilvonandi viðskiptavini o.s.frv.). Lýsa skal hverri þessara vinnsluaðgerða í skránni með eftirfarandi upplýsingum:

• tilgangur vinnslunnar (t.d. tryggð viðskiptavina),
• flokkar gagna sem unnin eru (t.d. fyrir launaskrá: nafn, eiginnafn, fæðingardagur og -ár, laun o.s.frv.),
• hver hefur aðgang að gögnunum (viðtakendur — t.d.: deildin sem ber ábyrgð á ráðningu, upplýsingatækniþjónustu, stjórnun, þjónustuveitendum, samstarfsaðilum...);
• eftir atvikum, upplýsingar sem tengjast flutningi persónuupplýsinga út fyrir Evrópska efnahagssvæðið (EES),
• ef unnt er, geymslutímabil (tímabilið sem gögnin eru gagnleg frá rekstrarlegu sjónarmiði og frá sjónarhóli skjalavistunar),
• ef unnt er, almenn lýsing á verndarráðstöfununum.

Skrá yfir vinnslustarfsemi er á ábyrgð stjórnanda fyrirtækis þíns. Þessi skrá verður að vera aðgengileg gagnaverndaryfirvöldum þess EES-lands þar sem þú starfar, sé þess óskað.

Þess er ekki krafist að fyrirtæki, sem hafa færri en 250 starfsmenn hjá færri en 250 starfsmönnum, komi eingöngu fram í skrá sinni (t.d. gögn sem unnin eru fyrir einstaka viðburði, s.s. opnun verslunar.

Hvernig á að framkvæma mat á áhrifum á persónuvernd (DPIA)?

Hvað er DPIA?

Ef líklegt er að vinnsla hafi í för með sér mikla áhættu fyrir réttindi og frelsi einstaklinga verður ábyrgðaraðili að framkvæma mat á áhrifum á persónuvernd (DPIA). DPIA er skriflegt mat á fyrirhugaðri vinnsluaðgerð. Það hjálpar þér að bera kennsl á viðeigandi verndarráðstafanir til að draga úr áhættunni og sýna fram á að farið sé að ákvæðum.

Hvenær á að gera DPIA?

Þó að það sé alltaf æskilegt að gera ráð fyrir áhrifum fyrirhugaðra vinnsluaðgerða fyrirtækis þíns með því að gera DPIA, er skylt að framkvæma slíka DPIA þegar vinnslan er líkleg til að leiða til mikillar áhættu fyrir réttindi og frelsi einstaklinga.

Þetta á sérstaklega við þegar fyrirhuguð vinnsla felur í sér:

• umfangsmikil vinnsla viðkvæmra persónuupplýsinga og gagna sem tengjast sakfellingu í refsimálum,
• kerfisbundið og ítarlegt mat á persónulegum þáttum einstaklings sem byggist á sjálfvirkri vinnslu, þ.m.t. gerð persónusniðs, og þar sem ákvarðanir eru byggðar sem hafa réttaráhrif á einstaklinginn sem um ræðir eða hafa sambærileg áhrif á einstaklinga,
• kerfisbundið eftirlit með stóru svæði sem er aðgengilegt almenningi.

Í flestum tilvikum ætti að meta vinnsluaðgerðir, sem uppfylla tvær af eftirfarandi viðmiðunum, út frá DPIA:

1. mat eða stigagjöf,
2. asjálfvirk ákvarðanataka sem hefur lagaleg eða svipuð veruleg áhrif,
3. kerfisbundið eftirlit,
4. viðkvæmar upplýsingar eða gögn sem eru mjög persónulegs eðlis,
5. gögn sem unnin eru í stórum stíl:
6. að para eða sameina gagnasöfn,
7. upplýsingar um viðkvæma skráða einstaklinga,
8. nýskapandi notkun eða notkun nýrra tækni- eða skipulagslausna,
9. Þegar vinnslan kemur í veg fyrir að einstaklingar neyti réttar síns eða noti þjónustu eða samning.

Top DPIA þjórfé

Þú ættir að hafa samband við gagnaverndaryfirvöld þess EES-lands þar sem fyrirtækið þitt er staðsett til að komast að því hvort það sé með skjal sem er aðgengilegt almenningi þar sem fram kemur hvaða skilyrði vinnsluaðgerðir þurfa DPIA og hvaða vinnsluaðgerð þarf ekki DPIA.

Dæmi um hvenær þörf kann að vera á DPIA:

• vinnsla lífkennaupplýsinga, t.d. að skanna fingraför eða andlitsþætti til að bera kennsl á sjúklinga,
• að nota gögn um viðkvæma einstaklinga til markaðssetningar, t.d. til að spá fyrir um kaup þeirra,
• Mobile app mælingar staðsetningu einstaklingsins.

Dæmi um hvenær ekki er þörf á DPIA

• fyrirhuguð vinnsluaðgerð er mjög svipuð vinnslu sem fellur undir DPIA,
• vinnslan er innifalin í valfrjálsum lista yfir vinnsluaðgerðir (sem landsbundið gagnaverndaryfirvald hefur komið á) sem fellur ekki undir DPIA;
• vinnsluaðgerðin er heimiluð samkvæmt lögum ESB eða landslögum.

Hvað á að fela í sér DPIA?

DPIA þinn ætti að fela í sér:

• lýsingu á fyrirhugaðri vinnsluaðgerð og tilgangi hennar,
• nauðsynlegt mat og meðalhófsmat, 
• áhættuna sem vinnsluaðgerðin kann að hafa í för með sér,
• ráðstafanir til að bregðast við áhættunni..

Fyrirframsamráð á meðan á DPIA stendur

Í hvert sinn sem ábyrgðaraðili gagna getur ekki fundið fullnægjandi ráðstafanir til að draga úr áhættu að viðunandi marki (þ.e. enn er enn mikil áhætta sem enn er fyrir hendi) er þörf á samráði við gagnaverndaryfirvöld. Í því tilviki verður ábyrgðaraðili gagna að veita eftirfarandi upplýsingar:

• ábyrgðarsvið ábyrgðaraðila, sameiginlegra ábyrgðaraðila og vinnsluaðila sem taka þátt í vinnslunni,
• tilgang vinnsluaðgerðarinnar og hvernig vinnsluaðgerðin verður framkvæmd,
• ráðstafanir sem fyrirhugaðar eru til að vernda persónuupplýsingar einstaklinga,
• samskiptaupplýsingar persónuverndarfulltrúa fyrirtækis þíns, ef við á,
• um er að ræða DPIA.

Eftir DPIA — Prófaðu það, bæta það, athuga það!

Þegar DPIA þinn er saminn, verður þú að prófa það; bæta hana ef nauðsyn krefur, framkvæmdu vinnsluaðgerðina þína; endurmeta hvort DPIA þinn passar við vinnsluaðgerðina; og eftirlitið.

Siðareglur

Það fer eftir því hvar fyrirtækið þitt er staðsett á EES, það geta verið samtök eða aðrir aðilar sem eru fulltrúar ábyrgðaraðila eða vinnsluaðila gagna. Þessi samtök og stofnanir geta útbúið siðareglur, þ.m.t. persónuverndaraðferðir, sem ábyrgðaraðilar og vinnsluaðilar geta fylgt til að hjálpa til við að tryggja að persónuupplýsingar einstaklinga séu virtar samkvæmt GDPR.

Nánar tiltekið eru þessar siðareglur settar til að tryggja, til dæmis:

• að persónuupplýsingar séu unnar á sanngjarnan og gagnsæjan hátt,
• að tilgangurinn með vinnslu persónuupplýsinga einstaklinga sé lögmætur,
• hvernig á að dulnefna persónuupplýsingar;
• að gagnsæjar upplýsingar séu veittar einstaklingum þar sem persónuupplýsingar eru unnar,
• að óskað sé eftir samþykki fyrir vinnslu gagna einstaklinga, einkum persónuupplýsinga sem tengjast börnum,
• að gerðar séu allar tæknilegar og skipulagslegar ráðstafanir til að tryggja örugga vinnslu gagna einstaklinga,
• að verklagsreglum um tilkynningar um brot er varða persónuupplýsingar sé fylgt,
• að verklagsreglum, þ.m.t. verndarráðstöfunum, sé fylgt í tengslum við miðlun persónuupplýsinga til landa og stofnana utan EES,
• að fylgt sé málsmeðferð í tengslum við dómsmál og úrlausn deilumála.

Toppur þjórfé

Þú ættir að hafa samband við viðkomandi samtök eða stofnun sem undirbýr GDPR siðareglur, þar sem þær geta hjálpað þér með GDPR reglufylgni þína.

Vottun

Hvað er GDPR vottun?

Stofnun sem fær GDPR vottun getur notað þessa vottun til að sýna fram á samræmi við vinnsluaðgerðir sínar við GDPR.

Gagnaverndaryfirvöld EES geta t.d.:

• gefa út GDPR vottun að því er varðar sitt eigið vottunarkerfi;
• gefa út sjálf vottun, að því er varðar sitt eigið vottunarkerfi, en framselur þriðja aðila allt eða hluta matsferlisins;
• koma á fót eigin vottunarkerfi og fela tilteknum aðilum að gefa út þessar vottanir,
• hvetja markaðinn til að þróa vottunarfyrirkomulag,
• meta vottunarkerfi vottunaraðila.

Vottunaraðila er falið að gefa út, endurskoða og afturkalla vottorð á grundvelli vottunarfyrirkomulags og samþykktra viðmiðana.

Vottunaraðilar verða að skjalfesta mat sitt á vinnsluaðgerðum fyrirtækisins þar sem hægt er að gefa út GDPR vottun fyrir.

Fyrirtækið mitt hefur fengið GDPR vottun, hvað er næst?

GDPR vottun vinnsluaðgerðarinnar sem stofnunin þín framkvæmir gildir að hámarki í 3 ár, en hægt er að endurnýja hana eða afturkalla. Til að halda þessari vottun verður fyrirtækið þitt stöðugt og stöðugt að gera ráðstafanir í kringum gagnaverndaraðgerðina sem var vottuð.