Frequently asked questions

Til að samþykki teljist gilt verður það að vera:

• gefið af frjálsum vilja,
• sértækt,
• upplýst, og
• ótvírætt.

Þetta þýðir að einstaklingar verða að hafa raunverulega frjálst val um hvort þeir séu sammála um vinnslu persónuupplýsinga um sig eða ekki, þeir þurfa nægar upplýsingar til að þeir geti skilið hvaða gögn eru unnin, í hvaða tilgangi og hvernig það er gert; þeir þurfa einnig nægilega korn í samþykki beiðnir.

Að auki ætti að vera skýr jákvæð aðgerð frá einstaklingnum (án kassa sem eru formerktir og gerðir aðskilið frá gildandi almennum skilyrðum).

Að auki þurfa einstaklingar að geta afturkallað samþykki sitt af fúsum og frjálsum vilja (án neikvæðra afleiðinga) ef þeir skipta um skoðun síðar.

Frekari upplýsingar:

• Vinnsla persónuupplýsinga á lögmætan hátt

Ef fyrirtækið þitt safnar persónuupplýsingum beint frá einstaklingum verður það að veita nauðsynlegar upplýsingar við söfnun.

Ef um er að ræða óbeina söfnun persónuupplýsinga verður fyrirtækið að veita upplýsingarnar eigi síðar en einum mánuði eftir að persónuupplýsingarnar voru upphaflega fengnar. Hægt er að stytta þennan hámarkstíma um einn mánuð:

• ef persónuupplýsingarnar eru notaðar í þeim tilgangi að eiga samskipti við hinn skráða. Í því tilviki verður þú að tilkynna hinum skráða um það í síðasta lagi þegar fyrsta tilkynning til hins skráða fer fram;
• ef upplýsingarnar eru sendar öðrum viðtakanda upplýsir fyrirtækið skráða aðilann um það í síðasta lagi þegar persónuupplýsingarnar eru fluttar. 

Frekari upplýsingar:

• Virða réttindi einstaklinga

Allar stofnanir, óháð stærð eða geira, með staðfestu á Evrópska efnahagssvæðinu (EES) eða bjóða einstaklingum á Evrópska efnahagssvæðinu vörur eða þjónustu, vinna persónuupplýsingar hvort sem þær þurfa að fara eftir GDPR eða ekki. Jafnvel þótt GDPR tengist aðallega sjálfvirkri vinnslu persónuupplýsinga mun vinnsla sem fer fram handvirkt einnig falla undir GDPR frá því að pappírsskrár eru skipulagðar á kerfisbundinn hátt, t.d. raðað í stafrófsröð í skjalaskáp. 

Dæmi um vinnsluaðgerðir eru að safna, skrá, skipuleggja, nota, breyta, geyma, birta, breyta, breyta og eyða persónuupplýsingum einstaklinga.

Engu að síður er beiting GDPR mótuð eftir eðli, samhengi, tilgangi og áhættu vinnsluaðgerða sem framkvæmdar eru. Að því er varðar lítil og meðalstór fyrirtæki þar sem kjarnastarfsemi er ekki vinnsla persónuupplýsinga geta skyldurnar verið vægari en fyrir stórt fyrirtæki.

Frekari upplýsingar:

• Grunnatriði gagnaverndar

Verkefni persónuverndarfulltrúa (PVF) eru meðal annars að:

• upplýsa og veita fyrirtækinu og starfsmönnum þess ráðgjöf varðandi persónuverndarlöggjöfina,
• fylgjast með því að farið sé að reglum um persónuvernd,
• veita ráðgjöf varðandi mat á áhrifum á persónuvernd (MÁP),
• vera tengiliður við persónuverndaryfirvöld og vinna með þeim,
• vera tengiliður við einstaklinga.

Að auki er almennt mælt með því að persónuverndarfulltrúi sé viðstaddur þegar teknar eru ákvarðanir sem hafa áhrif á persónuvernd. Persónuverndarfulltrúi ætti einnig að vera tafarlaust kallaður til ef upp kemur öryggisbrestur eða annað öryggiatvik.

Frekari upplýsingar:

• Persónuverndarfulltrúi

GDPR leggur skyldur á öll fyrirtæki sem vinna persónuupplýsingar, óháð því hvort um er að ræða ábyrgðaraðila gagna eða vinnsluaðila.

Einkum ættir þú að:

• Spyrja sjálfan þig hvort tilgangurinn með söfnun persónuupplýsinga sé réttlætanlegur og að safna aðeins persónuupplýsingum sem eru nauðsynlegar í þeim tiltekna tilgangi sem fyrirhugað er að nota,
• Halda persónuupplýsingum einstaklinga nákvæmum og uppfærðum og eyða þeim þegar þær eru ekki lengur nauðsynlegar,
• Virða réttindi einstaklinga með því að upplýsa þá um hvernig og hvers vegna gögn þeirra eru unnin og leyfa þeim að neyta réttar síns;
• Athugaðu hvort þú hafir viðeigandi lagagrundvöll fyrir vinnslu persónuupplýsinga. Ef þú ætlar að reiða þig á samþykki einstaklinga skaltu biðja um samþykki þeirra áður en þú vinnur persónuupplýsingar þeirra;
• Tryggja að persónuupplýsingar einstaklinga séu meðhöndlaðar á öruggan hátt,
• Halda skrá yfir vinnsluaðgerðir.

Gagnavinnsluaðilar verða að fylgja þeim ábyrgðum sem settar eru fram í ábyrgðaraðila-örgjörva samningnum, og þeir mega ekki vinna gögnin á annan hátt en samkvæmt leiðbeiningum ábyrgðaraðila.

Frekari upplýsingar:

• Vera í samræmi við kröfur
• Ábyrgðaraðili eða vinnsluaðili gagna
• Grunnatriði gagnaverndar

• Öll vinnsla persónuupplýsinga þarf að vera lögmæt, sanngjörn og gagnsæ.
• Aðeins má safna persónuupplýsingum í tilgreindum, skýrum og lögmætum tilgangi. Vinnslan verður að takmarkast við þann tilgang sem upphaflega var skilgreindur og má ekki nýta gögnin síðar í öðrum og ósamrýmanlegum tilgangi.
• Aðeins má   vinna með þær persónuupplýsingar sem eru nægjanlegar og viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar.
• Allar persónuupplýsingar sem unnið er með þurfa að vera réttar og uppfærðar. Röngum upplýsingum skal eyða eða leiðrétta.
• Varðveisla persónuupplýsinga skal takmarkast við þann tíma sem nauðsynlegur er miðað við tilganginn með upphaflegri söfnun og vinnslu upplýsinganna. Þegar þær eru ekki lengur nauðsynlegar skal eyða þeim eða gera þær ópersónugreinanlegar.
• Vinnsla persónuupplýsinga verður að fara fram á öruggan hátt. Í því skyni þarf að innleiða öflugar netöryggisráðstafanir til að tryggja að persónuupplýsingar einstaklinga séu nægilega varðar.

Að lokum ber ábyrgðaraðilinn ábyrgðina. Þetta þýðir að hann er ábyrgur fyrir því að farið sé að framangreindum meginreglum og skal geta sýnt fram á það.

Frekari upplýsingar:

• Grundvallaratriði persónuverndar

Ekki er hægt að geyma persónuupplýsingar að eilífu.

Að jafnaði er einungis hægt að geyma persónuupplýsingar eins lengi og nauðsynlegt er í ljósi tilgangs vinnslu persónuupplýsinga.

Í sumum tilvikum er hægt að ákvarða geymslutímabilið með sérstökum lögum, t.d. að vinnureglur ákvarða geymslutíma fyrir launaskrár.

Fyrirtæki/stofnanir ættu að setja reglur um varðveislu gagna til að tryggja að persónuupplýsingar séu ekki geymdar lengur en nauðsynlegt er. Eyða skal persónuupplýsingum einstaklinga eða gera þær nafnlausar þegar þær eru ekki lengur nauðsynlegar í þeim tilgangi sem unnið var með þær. 

Frekari upplýsingar:

• Grunnatriði gagnaverndar

Almennt séð ættu allar stofnanir að halda skrá yfir vinnslustarfsemi sína. Þetta er skrá yfir allar vinnsluaðgerðir og getur hjálpað þér að gera réttar forsendur um ábyrgð þína samkvæmt GDPR og hugsanlega áhættu.

Lýsa skal hverri þessara vinnsluaðgerða í skránni með eftirfarandi upplýsingum:

• tilgangur vinnslunnar (t.d. tryggð viðskiptavina),
• flokkar gagna sem unnin eru (t.d. fyrir launaskrá: nafn, eiginnafn, fæðingardagur og -ár, laun o.s.frv.),
• hver hefur aðgang að gögnunum (viðtakendur — t.d.: deildin sem ber ábyrgð á ráðningu, upplýsingatækniþjónustu, stjórnun, þjónustuveitendum, samstarfsaðilum...);
• eftir atvikum, upplýsingar sem tengjast flutningi persónuupplýsinga út fyrir Evrópska efnahagssvæðið (EES),
• ef unnt er, geymslutímabilið (tímabilið sem gögnin eru gagnleg frá rekstrarlegu sjónarmiði og frá sjónarhóli skjalavistunar).
• ef unnt er, almenn lýsing á verndarráðstöfununum.

Skrá yfir vinnslustarfsemi er á ábyrgð stjórnanda fyrirtækis þíns.

Þessi skrá verður að vera aðgengileg gagnaverndaryfirvöldum þess EES-lands þar sem þú starfar, sé þess óskað.

Þess er ekki krafist að fyrirtæki, sem hafa færri en 250 starfsmenn hjá færri en 250 starfsmönnum, komi eingöngu fram í skrá sinni (t.d. gögn sem unnin eru fyrir einstaka viðburði, s.s. opnun verslunar).

Frekari upplýsingar:

• Vera í samræmi við kröfur

GDPR kveður á um sérstök réttindi fyrir einstaklinga sem þarf að virða. Þú getur gert þetta með því að:

• upplýsa einstaklinga sem þú vinnur úr um vinnsluaðgerðir þínar og tilgang vinnslunnar þegar þú safnar gögnum þeirra, t.d. með yfirlýsingu um persónuvernd á vefsíðunni þinni;
• með því að bregðast við beiðnum einstaklinga um að neyta réttar síns, s.s. aðgangs, leiðréttingar, andmæla, eyðingar eða flutningshæfisbeiðna.

Fyrirtæki sem eru gagnsæ um notkun þeirra á persónuupplýsingum og sem virða réttindi einstaklinga eru ólíklegri til að verða fyrir kvörtunum.

Frekari upplýsingar:

• Virða réttindi einstaklinga

Öryggisbrestur við meðferð persónuupplýsinga er öryggisbrestur sem leiðir til óviljandi eða ólögmætrar eyðingar, glötunar, breytinga, miðlunar eða aðgangs að persónuupplýsingum í leyfisleysi.

• Ef brotið hefur í för með sér áhættu fyrir viðkomandi einstaklinga verður þú að tilkynna það viðkomandi gagnaverndaryfirvöldum innan 72 klukkustunda.
• Ef líklegt er að brotið hafi í för með sér mikla áhættu fyrir einstaklinga þarftu einnig að tilkynna viðkomandi einstaklingum um brotið án ótilhlýðilegrar tafar.

Í öllum tilvikum, fyrir öll brot — jafnvel þau sem ekki eru tilkynnt til persónuverndaryfirvalda, verður þú að skrá a.m.k. grunnupplýsingar um brotið, mat á því, áhrif þess og þær ráðstafanir sem gerðar hafa verið til að bregðast við.

Frekari upplýsingar:

• Brot á gögnum

Persónuverndarfulltrúar geta sinnt öðrum verkefnum innan fyrirtækisins en það má ekki leiða til hagsmunaárekstra. Þetta felur í sér að persónuverndarfulltrúinn má ekki taka þátt í að ákveða tilgang og aðferðir við vinnslu persónuupplýsinganna. Ósamrýmanlegar stöður innan fyrirtækisins eru aðallega stjórnunarstöður (forstjóri, framkvæmdastjóri, fjármálastjóri og yfirmaður upplýsingatæknimála) en geta einnig verið önnur störf ef þau leiða til ákvörðunar um tilgang og aðferðir við vinnslu persónuupplýsinga.

Persónuverndarfulltrúinn verður að geta sinnt skyldum sínum og verkefnum með sjálfstæðum og óháðum hætti. Þetta þýðir að fyrirtæki þitt:

• má ekki gefa persónuverndarfulltrúanum fyrirmæli um framkvæmd skyldustarfa sinna sem persónuverndarfulltrúa,
• má ekki refsa persónuverndarfulltrúanum eða reka hann úr starfi fyrir það að sinna skyldustörfum sínum.

Frekari upplýsingar:

• Persónuverndarfulltrúi

EDPB birtir reglulega fréttatilkynningar, fréttir, blogg og annað efni á EDPB vefsíðunni og samfélagsmiðlum þess (twitter: @EU_EDPB, LinkedIn: Evrópska persónuverndarráðið) til að halda gagnaverndarsamfélaginu og 

The EDPB website hefur einnig tvær RSS straumar, sem þú getur gerst áskrifandi að sjálfvirkum uppfærslum á EDPB fréttum og nýjustu útgáfum EDPB er.

Persónuverndarreglugerðin eða almenna persónuverndarreglugerðin skapar samræmdar reglur sem gilda um alla vinnslu persónuupplýsinga hjá stofnunum (opinberum eða einkaaðilum, óháð stærð þeirra) sem komið er á fót á Evrópska efnahagssvæðinu (EES) eða beinast að einstaklingum innan ESB. Meginmarkmið GDPR er að tryggja að persónuupplýsingar njóti sömu verndar alls staðar á Evrópska efnahagssvæðinu, auka réttarvissu fyrir bæði einstaklinga og stofnanir sem vinna úr gögnum og veita einstaklingum víðtæka vernd.

Reglugerðin tók gildi 24. maí 2016 og gildir frá 25. maí 2018.

Já, GDPR á við ef persónuupplýsingar eru geymdar eða er ætlað að vera í skráningarkerfi. Þetta þýðir að GDPR á einnig við um pappírsskrár en ekki eingöngu um sjálfvirka vinnslu persónuupplýsinga.

Frekari upplýsingar:

• Grunnatriði gagnaverndar

Já, en til þess að gera þetta þarftu fyrst að ákvarða lagagrundvöll fyrir vinnslu þessarar tegundar persónuupplýsinga. Til dæmis gæti vinnslan talist lögmætra hagsmuna fyrir fyrirtæki þitt. Þegar unnið er með persónuupplýsingar á grundvelli lögmætra hagsmuna er ávallt nauðsynlegt að framkvæma jafnvægispróf til að ákvarða hvort lögmætir hagsmunir þínir vegi þyngra en réttindi einstaklinga, sérstaklega ef börn eiga hlut að máli.

Annar mögulegur lagagrundvöllur fyrir slíkri vinnslu gæti verið samþykki. Einstaklingar ættu alltaf að vera upplýstir fyrirfram um að viðburðurinn sé ljósmyndaður eða tekinn upp.

Frekari upplýsingar:

• Vinnsla persónuupplýsinga á lögmætan hátt

Samþykki gæti í raun verið gildur lagagrundvöllur til að geyma ferilskrár umsækjenda. Annar mögulegur lagagrundvöllur gæti verið lögmætir hagsmunir. Í því tilviki þarftu að framkvæma jafnvægispróf til að sanna að lögmætir hagsmunir fyrirtækisins vegi þyngra en réttindi umsækjenda.

Hvenær sem er verður þú að tilkynna frambjóðendum að þú ætlar að geyma gögn þeirra og í hvaða tilgangi.

Frekari upplýsingar:

• Vinnsla persónuupplýsinga á lögmætan hátt

Þegar tveir eða fleiri ábyrgðaraðilar gagna ákveða sameiginlega tilgang og aðferðir við vinnslu teljast þeir sameiginlegir ábyrgðaraðilar. Þeir ákveða saman að vinna persónuupplýsingar í sameiginlegum tilgangi. Sameiginleg ábyrgð getur verið á marga vegu og þátttaka mismunandi ábyrgðaraðila getur verið ójöfn. Sameiginlegir ábyrgðaraðilar verða því að ákveða ábyrgð sína á því að farið sé að GDPR.

Mikilvægt er að hafa í huga að sameiginleg ábyrgðaraðili leiðir til sameiginlegrar ábyrgðar á vinnslustarfsemi.

• Dæmi um sameiginlega ábyrgð:  Fyrirtæki A og B hafa sett af stað sameiginlega vöru og vilja skipuleggja viðburð til að kynna þessa vöru. Í því skyni ákveða þeir að deila gögnum úr viðkomandi viðskiptavina- og væntanlegum gagnagrunnum viðskiptavina og ákveða lista yfir boð á viðburðinn á þessum grundvelli. They also agree on the modalities for sending the invitations to the event, how to collect feedback during the event and follow-up marketing actions. Fyrirtæki A og B geta talist sameiginlegir ábyrgðaraðilar við vinnslu persónuupplýsinga sem tengjast skipulagningu kynningarviðburðarins þegar þau ákveða sameiginlegan tilgang og nauðsynlegar aðferðir við gagnavinnslu í þessu samhengi.

Frekari upplýsingar:

• Ábyrgðaraðili eða vinnsluaðili gagna

Vinnsla persónuupplýsinga er heimil ef lagagrundvöllur er fyrir hendi. Til viðbótar við ókeypis, sértækt, upplýst og ótvíræð samþykki, er hægt að nota aðrar lagagrundvöll fyrir vinnslu.
Með öðrum orðum, samþykki er nauðsynlegt þegar ekkert af öðrum lagagrundvelli gildir.

Frekari upplýsingar:

• Vinnsla persónuupplýsinga á lögmætan hátt

Nei, þú þarft ekki að vera staðfest til að verða DPO.

Persónuverndarfulltrúar verða þó að geta sýnt fram á að þeir hafi nauðsynlega menntun og hæfi sem krafist er í GDPR, s.s. sérfræðiþekkingu á lögum og venjum um gagnavernd.

Frekari upplýsingar:

• Gagnaverndarfulltrúi

A Data Protection Impact Assessment eða DPIA er skriflegt mat sem fyrirtæki þitt ætti að gera til að meta áhrif fyrirhugaðrar vinnsluaðgerðar. Það hjálpar þér að bera kennsl á viðeigandi ráðstafanir til að takast á við áhættuna og til að sýna fram á að farið sé að ákvæðum.

Þó að það sé alltaf æskilegt að gera ráð fyrir áhrifum fyrirhugaðra vinnsluaðgerða fyrirtækis þíns með því að gera DPIA, er skylt að framkvæma DPIA þegar vinnslan er líkleg til að leiða til mikillar áhættu fyrir réttindi og frelsi einstaklinga.

Þetta á sérstaklega við þegar fyrirhuguð vinnsla felur í sér:

• vinnslu — í umfangsmiklum, viðkvæmum persónuupplýsingum eða gögnum sem tengjast sakfellingu í refsimálum,  
• kerfisbundið og ítarlegt mat á persónulegum þáttum einstaklings sem byggist á sjálfvirkri vinnslu, þ.m.t. gerð persónusniðs, og sem ákvarðanir eru byggðar á sem hafa réttaráhrif á einstaklinginn í spurningum eða haft sambærileg áhrif á einstaklinga,
• kerfisbundið eftirlit með stóru svæði sem er aðgengilegt almenningi.

EDPB hefur þróað viðmiðunarreglur sem telja upp þær viðmiðanir sem þú þarft að taka tillit til við mat á því hvort DPIA er skyldubundin eða ekki. Gagnaverndaryfirvöld hafa einnig birt skrár yfir vinnsluaðgerðir sem falla undir gagnavernd. Auk þess hafa nokkrir persónuverndaryfirvöld þróað leiðbeiningar, hugbúnað eða sjálfsmatsverkfæri til að hjálpa þér við mat þitt.

Frekari upplýsingar:

• Vera í samræmi við kröfur