Frequently asked questions

Já, viðskiptavinir þínir verða að vera upplýstir, þegar þeir hringja, um tilgang upptökunnar, viðtakendur upptökunnar, um rétt sinn til andmæla og rétt þeirra til að fá aðgang að upptökunum

Frekari upplýsingar:

• Vinnsla persónuupplýsinga á lögmætan hátt

Einstaklingar eiga rétt á að óska eftir eyðingu persónuupplýsinga er varða þá og í því tilviki er ábyrgðaraðila skylt að eyða persónuupplýsingum. Þú ættir að svara án ótilhlýðilegrar tafar og í síðasta lagi innan mánaðar frá móttöku beiðninnar. Þennan frest má framlengja um tvo mánuði ef beiðnin er of flókin og lengri tíma þarf til að verða við beiðninni, að því tilskildu að einstaklingurinn fái upplýsingar um það innan eins mánaðar frá því að beiðnin berst.

Það er mikilvægt að hafa í huga að réttur til eyðingar er ekki alger. Hún gildir ekki þegar viðkomandi gögn eru nauðsynleg fyrir:

• að neyta réttar til tjáningar- og upplýsingafrelsis (t.d. í þágu fréttamennsku),
• að neyta réttar til tjáningar- og upplýsingafrelsis (t.d. í þágu fréttamennsku),
• ástæður sem varða almannahagsmuni á sviði lýðheilsu
• skjalavistun í þágu almannahagsmuna eða rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi, og
• að stofna, hafa uppi eða verja réttarkröfur.

Þegar persónuupplýsingum, sem á að eyða, hefur áður verið miðlað til annarra fyrirtækja verður þú að tilkynna þessum viðtakendum að einstaklingurinn hafi óskað eftir eyðingu, nema það reynist ómögulegt eða myndi krefjast óhóflegrar viðleitni.

Frekari upplýsingar:

• Virða réttindi einstaklinga

Fyrirtæki skulu, þegar um er að ræða beina söfnun persónuupplýsinga frá viðkomandi einstaklingum, veita upplýsingar um vinnsluaðgerðirnar á gagnorðan og gagnsæjan hátt með skiljanlegu, aðgengilegu og skýru og einföldu máli. Þetta er hægt að gera skriflega (t.d. á bakhlið tilboðs) eða með rafrænum hætti (t.d. á vefsetri). Ef viðkomandi óskar eftir því, getur þú einnig veitt þessar upplýsingar munnlega, en þú verður að vera fær um að sanna það síðar.

Jafnvel þegar gögnunum var safnað óbeint, þ.e. ef þú safnar ekki beint persónuupplýsingum frá einstaklingi sjálfum, en til dæmis í gegnum þriðja aðila, verður þú að veita sömu nákvæmar upplýsingar til einstaklinga.

A valid contract between the data controller and data processor is obligatory under the GDPR. An infringement can be subject to an administrative fine up to 10M€ or up to 2% of the total annual turnover of a company, whichever is higher.

To help guide you when setting up a controller-processor agreement, the Danish and Slovenian data protection authorities, as well as the European Commission, have developed template agreements.

More information:

• Data controller or data processor

Processing personal data means any type of activity (processing operation) performed on or with individuals’ personal data. This includes the collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, inquiry, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction of personal data.

Þú ættir að svara án ótilhlýðilegrar tafar og í síðasta lagi innan mánaðar frá móttöku beiðninnar. Þessi frestur getur verið framlengdur um tvo mánuði ef beiðnin er of flókin og lengri tíma þarf til að svara, að því tilskildu að viðkomandi sé upplýstur um það innan mánaðar frá því að beiðnin berst.

Þú verður að gera þetta án endurgjalds.

Frekari upplýsingar:

• Virða réttindi einstaklinga

Nei, vinnsla viðkvæmra gagna er almennt bönnuð nema við sérstakar aðstæður:

• Einstaklingurinn hefur veitt afdráttarlaust samþykki sitt fyrir vinnslu viðkvæmra gagna.
• Vinnsla viðkvæmra gagna er nauðsynleg til að ábyrgðaraðili geti uppfyllt skyldur sínar, einkum í tengslum við atvinnu, félagslegt öryggi og félagslega vernd. Til dæmis kann ábyrgðaraðilinn að þurfa að vinna úr viðkvæmum gögnum einstaklings til að geta ákvarðað hvort hann eigi rétt á tilteknum almannatryggingabótum eða atvinnuleysisbótum.
• Vinnsla viðkvæmra gagna er nauðsynleg til að vernda brýna hagsmuni einstaklings ef einstaklingurinn er líkamlega eða lagalega ófær um að veita samþykki sitt. Til dæmis, ef einstaklingur er skilinn eftir meðvitundarlaus vegna slyss og krefst tafarlausrar læknishjálpar, getur verið nauðsynlegt að vinna úr heilsufarsupplýsingum hans fyrir viðeigandi læknishjálp.
• Vinnsla viðkvæmra gagna fer fram í tengslum við lögmæta starfsemi stofnunar, samtaka eða annarra samtaka, sem eru ekki rekin í hagnaðarskyni, með pólitískt, heimspekilegt, trúarlegt eða stéttarfélag, og aðeins til vinnslu persónuupplýsinga félagsmanna sinna, fyrrverandi félagsmanna eða einstaklinga sem hafa reglulega samband við þá.
• Viðkvæm gögn voru greinilega gerð opinber af einstaklingi.
• Vinnsla viðkvæmra upplýsinga er nauðsynleg í tengslum við málarekstur.
• Vinnsla viðkvæmra gagna er nauðsynleg í málum sem varða verulega hagsmuni almennings.
• Vinnsla viðkvæmra gagna er nauðsynleg í tengslum við forvarnar- eða atvinnusjúkdómafræði. Til dæmis getur verið nauðsynlegt að meta viðkvæm gögn einstaklings, s.s. læknisfræðileg gögn, til að ákvarða starfsgetu hans sem starfsmaður.
• Vinnsla viðkvæmra gagna er nauðsynleg vegna lýðheilsumála á grundvelli laga ESB eða landslaga. Til dæmis getur verið nauðsynlegt að vinna úr viðkvæmum gögnum einstaklinga til að tryggja hágæða heilbrigðisþjónustu og hágæða lækningavörur eða til að berjast gegn alvarlegum heilsufarsógnum, s.s. veirum.
• Vinnsla viðkvæmra gagna er nauðsynleg vegna skjalavistunar í þágu almannahagsmuna eða vegna rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi. Til dæmis getur verið nauðsynlegt að vinna viðkvæm gögn til að afla nákvæmra tölfræðilegra upplýsinga um stöðu lands á tilteknu sviði. 

Frekari upplýsingar:

• Vinnsla persónuupplýsinga á lögmætan hátt

Einstaklingar geta spurt þig hvort þú ert að vinna gögn þeirra og hvar það er raunin, þeir hafa rétt til að fá aðgang að þeim gögnum. Svo þegar þetta gerist og ef þú vinnur gögn þeirra, ættir þú, til dæmis að veita afrit af persónuupplýsingum þeirra, án endurgjalds, ásamt öllum nauðsynlegum viðbótarupplýsingum. Ef beiðni er lögð fram rafrænt ætti fyrirtækið/stofnunin að veita tilskildar upplýsingar á rafrænu formi sem almennt er notað, nema einstaklingurinn fari fram á annað.

Frekari upplýsingar:

• Virða réttindi einstaklinga

GDPR á við um notkun fótspora þegar þær eru notaðar til að vinna úr persónuupplýsingum, en það eru einnig sértækari reglur um smákökur fela í sér ePrivacy tilskipun.

Geymsla á köku, eða að fá aðgang að köku sem þegar hefur verið vistuð, í endabúnaði notanda er aðeins heimil með því skilyrði að viðkomandi áskrifandi eða notandi hafi verið nægilega upplýstur (einkum um tilgang vinnslunnar) og hafi gefið samþykki sitt.

Eina undantekningin er tæknilega nauðsynlegar smákökur. Fyrirtæki þurfa ekki að biðja um samþykki þegar tæknilega nauðsynlegar kökur eru notaðar á vefsíðum sínum.

Frekari upplýsingar:

• Vinnsla persónuupplýsinga á lögmætan hátt

Dulnefni felst í því að breyta persónuupplýsingum þannig að ekki sé lengur hægt að rekja það til tiltekins einstaklings án þess að nota viðbótarupplýsingar, að því tilskildu að slíkum viðbótarupplýsingum sé haldið aðskildum og að þær falli undir tæknilegar og skipulagslegar ráðstafanir til að tryggja að persónuupplýsingarnar séu ekki eignaðar einstaklingi. Í reynd getur átt við að skipta út persónuupplýsingum (nafni, eiginnafni, persónunúmeri, símanúmeri o.s.frv.) í gagnasafni þar sem persónuupplýsingar eru auðkenndar óbeint (öðru nafni, raðtölu o.s.frv.). Dulnefnaðar upplýsingar eru enn persónuupplýsingar og falla undir GDPR.

Nafnlaus gögn eru gögn sem hafa verið gerð nafnlaus með þeim hætti að einstaklingurinn er ekki lengur persónugreinanlegur með neinum hætti sem líklegt er að verði notaður. Þegar nafnleyndin er framkvæmd á réttan hátt gildir GDPR ekki lengur um nafnlaus gögn.

Frekari upplýsingar:

• Öruggar persónuupplýsingar

GDPR greinir á milli tveggja meginhlutverka: ábyrgðaraðila gagna og gagnavinnsluaðila. Þessi greinarmunur er mikilvægur þar sem ábyrgðaraðilinn ber meiri ábyrgð og þarf að uppfylla fleiri skyldur en vinnsluaðilinn.

Ábyrgðaraðilar og vinnsluaðilar geta verið einstaklingar eða lögaðilar, til dæmis: lítið eða meðalstórt fyrirtæki, opinbert yfirvald, félag, stofnun, ríkisstofnun, félag o.s.frv.

Ábyrgðaraðili ákvarðar tilgang og aðferðir við vinnsluaðgerð. Með öðrum orðum, stjórnandi ákveður hvernig og hvers vegna vinnslu aðgerð. Vinnsluaðilar vinna persónuupplýsingar fyrir hönd ábyrgðaraðila. Vinnsla vinnsluaðila verður að falla undir samning við ábyrgðaraðila gagna eða aðra réttargerð.

Dæmi um ábyrgðaraðila gagna:

• fyrirtæki sem vinna persónuupplýsingar viðskiptavina sinna til að ljúka sölu;
• fjármálastofnanir sem vinna persónuupplýsingar um viðskiptavini sína,
• samtök sem vinna úr gögnum aðila sinna,
• skólum eða háskólum sem vinna persónuupplýsingar um nemendur og kennara,
• sjúkrahús sem vinna persónuupplýsingar um sjúklinga sína;
• ríkisstofnanir sem vinna með persónuupplýsingar borgara.
   

Dæmi um gagnavinnsluaðila:

• lítið eða meðalstórt fyrirtæki ræður bókhaldsþjónustu til að halda bókhald sitt og skrár, lítið eða meðalstórt fyrirtæki er ábyrgðaraðili gagna og bókhaldsþjónustan gagnavinnsluaðili,
• launafyrirtæki vinnur persónuupplýsingar fyrir lítið eða meðalstórt fyrirtæki. Launafyrirtækið mun starfa sem vinnsluaðili ef það vinnur eingöngu persónuupplýsingar fyrir hönd lítilla og meðalstórra fyrirtækja. Lítil eða meðalstór fyrirtæki ákvarðar tilgang og aðferðir við gagnavinnsluna og er því ábyrgðaraðili gagna.
• lítil og meðalstór fyrirtæki veitir markaðsfyrirtæki umboð til að safna netföngum á vefsíðum þriðja aðila.  Markaðsfyrirtækið gerir þetta í samræmi við skýr fyrirmæli lítilla og meðalstórra fyrirtækja og í eigin þágu lítilla og meðalstórra fyrirtækja. Markaðsfyrirtækið starfar sem örgjörva fyrir þetta safn.

Frekari upplýsingar:

• Ábyrgðaraðili eða vinnsluaðili gagna

Sumar tegundir persónuupplýsinga tilheyra sérstökum flokkum persónuupplýsinga sem þýðir að þær eiga skilið meiri vernd, svokallaðar viðkvæmar upplýsingar. Viðkvæm gögn innihalda gögn sem sýna upplýsingar um:

• heilbrigði einstaklings,
• kynhneigð einstaklingsins;
• kynþáttar eða þjóðernislegs uppruna einstaklings,
• stjórnmálaskoðanir, trúar- eða heimspekilegar skoðanir einstaklings, aðild að stéttarfélagi einstaklings,
• lífkenna og erfðafræðilegar upplýsingar einstaklings.

Vinnsla viðkvæmra gagna einstaklings er almennt bönnuð nema við sérstakar aðstæður réttlæti vinnslu þeirra.

Frekari upplýsingar:

• Grunnatriði gagnaverndar

DPO getur verið núverandi starfsmaður með næga þekkingu á GDPR (ef fagleg verkefni starfsmanns eru í samræmi við verkefni gagnaverndarfulltrúa og það leiðir ekki til hagsmunaárekstra) eða utanaðkomandi aðila. Gagnaverndarfulltrúi ætti að geta sinnt verkefnum sjálfstætt og ætti að geta gefið skýrslu beint til æðstu stjórnenda.

Frekari upplýsingar:

• Gagnaverndarfulltrúi

Persónuupplýsingar eru allar upplýsingar sem tengjast persónugreindum eða persónugreinanlegum einstaklingi. Persónugreinanlegur einstaklingur er sá sem hægt er að bera kennsl á, beint eða óbeint. Mismunandi upplýsingar sem bætt er saman gætu leitt til þess að auðkenna tiltekinn einstakling eru einnig persónuupplýsingar.

Dæmi um persónuupplýsingar eru:

• nafn og kenninafn,
• heimilisfang,
• tölvupóstfang,
• kennivottorðsnúmer,
• staðsetningargögn,
• IP-vistfang (IP-vistfang),
• auðkenni vafrakaka,
• bankareikningar,
• skattskýrslur,
• lífkennaupplýsingar (eins og fingrafar),
• almannatrygginganúmer,
• vegabréfsnúmer,
• niðurstöður úr prófunum,
• einkunnir í skólanum;
• vafrasaga;
• ljósmynd af einstaklingi,
• skráningarnúmer ökutækis o.s.frv.

 Frekari upplýsingar:

• Grunnatriði gagnaverndar

1. Gakktu úr skugga um að gögnum sem þú fékkst hafi verið safnað með lögmætum hætti og að viðkomandi einstaklingar hafi verið upplýstir um vinnslu persónuupplýsinga þeirra.
2. Ef þriðji aðili vinnur persónuupplýsingar fyrir þína hönd skaltu ganga úr skugga um að þú sért með ábyrgðaraðila-vinnslusamning, sem tilgreinir vinnsluaðgerðirnar og leiðir til að vinna úr persónuupplýsingum.

Og að sjálfsögðu, uppfylla allar skyldur ábyrgðaraðila.

Frekari upplýsingar:

• Ábyrgðaraðili eða vinnsluaðili gagna

Að birta nöfn sigurvegara samkeppni á vefsíðunni þinni gæti talist lögmætir hagsmunir, ef þú getur sannað þetta með því að framkvæma jafnvægispróf til að ákvarða hvort lögmætir hagsmunir þínir vega þyngra en rétt einstaklinga.

Góðar starfsvenjur eru að koma á fót innri málsmeðferð þar sem útskýrt er hvaða reglur um birtingu persónuupplýsinga vinningshafa eru útskýrðar.

Þar að auki ætti vinnsla persónuupplýsinga í þessum tilgangi að vera hluti af stefnu keppninnar um friðhelgi einkalífsins þannig að þátttakendur séu upplýstir fyrirfram um hvernig unnið verði með upplýsingar um þá.

Frekari upplýsingar:

• Vinnsla persónuupplýsinga á lögmætan hátt

Nauðsynlegar öryggisráðstafanir geta verið mismunandi eftir eðli þeirra persónuupplýsinga sem þú vinnur með og tengdum áhættum fyrir einstaklinga. Í öllum tilvikum eru nokkrar lágmarksráðstafanir sem þú ættir að gera:

• öruggan aðgang að athafnasvæðinu,
• notaðu reglulega uppfærðan antivirus hugbúnað;
• veldu lykilorðin þín vandlega;
• gera notendur staðfesta sig áður en þeir nota tölvubúnað;
• hafa yfir að ráða stefnu um öryggisafritun og endurheimt gagna ef um óhapp er að ræða.

Að auki eru nokkrar helstu ráðstafanir eins og að læsa skjánum á meðan þú ert í burtu og læsa upp skrifstofu í lok dags eru aldrei út af stað...

Frekari upplýsingar:

• Öruggar persónuupplýsingar

Já, þú getur, en GDPR leggur ákveðnar skyldur á fyrirtæki sem deila persónuupplýsingum. Fyrirtækið þitt verður að upplýsa einstaklinga um að þú munir deila gögnum þeirra með þriðja aðila. Þú verður einnig að tilkynna þeim um tilgang þinn, öryggi, aðgang og varðveisluráðstafanir sem gilda.

Skylt er að tilnefna gagnaverndarfulltrúa í eftirfarandi þremur tilvikum:

• stofnunin er opinbert yfirvald,
• grunnstarfsemi fyrirtækisins felur í sér reglubundið og kerfisbundið eftirlit með einstaklingum í stórum stíl, t.d. landfræðilegri staðsetningu með farsímaforriti, eða eftirliti með verslunarmiðstöðvum og opinberum rýmum í gegnum CCTV,
• grunnstarfsemi fyrirtækisins felst í umfangsmikilli vinnslu viðkvæmra upplýsinga eða persónuupplýsinga í tengslum við sakfellingar í refsimálum og brot.

Þú getur alltaf tilnefnt DPO að eigin frumkvæði, jafnvel þótt þess sé ekki krafist samkvæmt lögum. Vinsamlegast athugaðu að í því tilviki verður þú að fara að öllum ákvæðum GDPR varðandi verkefni og stöðu persónuverndarfulltrúa.

Frekari upplýsingar:

• Gagnaverndarfulltrúi

Nei, það er ekki nauðsynlegt að gera skrá yfir vinnslu opinberlega. Þú verður þó að geta gert skrána aðgengilega gagnaverndaryfirvöldum sé þess óskað.

Frekari upplýsingar:

• Vera í samræmi við kröfur