Frequently asked questions

Ábyrgðaraðilar mega eingöngu vinna með persónuupplýsingar við einhverjar eftirfarandi aðstæður:

• með samþykki viðkomandi einstaklinga,
• þegar vinnslan er nauðsynleg til að efna samning (samning milli fyrirtækis þíns og einstaklings),
• til að uppfylla lagaskyldu samkvæmt reglum ESB eða landslaga,
• þegar vinnslan er nauðsynleg til að sinna verkefnum sem framkvæmd eru í almannaþágu samkvæmt reglum ESB eða landslögum,
• til að vernda lífsnauðsynleg hagsmuni einstaklings,
• ef vinnslan er nauðsynleg vegna lögmætra hagsmuna fyrirtækisins – nema réttindi og frelsi einstaklinga gangi framar.

Að auki setur persónuverndarreglugerðin viðbótarskilyrði fyrir vinnslu viðkvæmra persónuupplýsinga.

Frekari upplýsingar:

• Lögmæt vinnsla persónuupplýsinga 

Fyrsta skrefið til að setja upp CCTV er að bera kennsl á tilgang eða tilgang til að gera það. Tilgangurinn með uppsetningu eftirlitsmyndavéla getur verið fjölbreyttur, t.d. að tryggja öryggi húsnæðis, aðstoða við að koma í veg fyrir og greina þjófnað og aðra glæpi eða vernda líf og heilsu starfsmanna vegna eðlis vinnunnar.

Eins og við á um alla vinnslu persónuupplýsinga verður skráning einstaklinga að hafa lagagrundvöll samkvæmt GDPR. Samþykki getur skapað lagagrundvöll fyrir slíka gagnavinnslu. Hins vegar er ólíklegt að þetta eigi við um notkun CCTV í flestum tilvikum, þar sem það verður erfitt að fá frjálst samþykki allra sem líklegt er að skráð sé. Algengasta lagagrundvöllurinn fyrir slíkri vinnslu persónuupplýsinga eru lögmætir hagsmunir. Þegar vinnsla er byggð á lögmætum hagsmunum þarftu að framkvæma jafnvægispróf til að ákvarða hvort lögmætir hagsmunir þínir vegi þyngra en réttindi einstaklingsins.

Þú verður að tilkynna einstaklingum að þeir séu skráðir. Þetta er hægt að gera með því að setja auðvelt að lesa merki á áberandi stöðum. Auk þess ætti að setja skilti þar sem fram kemur tilgangur eftirlitsmyndavélakerfisins og auðkenni og samskiptaupplýsingar ábyrgðaraðila gagna við allar innganga.

Einstaklingar, sem eru skráðir í eftirlitsmyndavélakerfi, skulu fá eftirfarandi upplýsingar:

• deili á ábyrgðaraðila og samskiptaupplýsingum hans,
• tilgang vinnslunnar,
• lagagrundvöllur vinnslunnar (ef um lögmæta hagsmuni er að ræða, sérstakar upplýsingar sem lögmætir hagsmunir tengjast tiltekinni vinnslu og hvaða eining hefur lögmæta hagsmuni að gæta um).
• samskiptaupplýsingar gagnaverndarfulltrúa, gagnaverndarfulltrúa (ef gagnaverndarfulltrúi er til staðar),
• viðtakendur eða flokka viðtakenda gagnanna,
• öryggisfyrirkomulag fyrir upptökur fyrir sjónvarpsmyndavélar,
• varðveislutíma fyrir upptökur úr eftirlitsmyndavélum,
• til staðar eru réttindi einstaklinga samkvæmt GDPR og rétt til að leggja fram kvörtun hjá innlendum gagnaverndaryfirvöldum.

Frekari upplýsingar:

• Vinnsla persónuupplýsinga á lögmætan hátt
• Virða réttindi einstaklinga

Samkvæmt GDPR eru, að jafnaði, tvær helstu leiðir til að flytja persónuupplýsingar til landa utan EES eða alþjóðastofnunar. Framsal getur átt sér stað á grundvelli ákvörðunar um fullnægjandi vernd eða, ef slík ákvörðun liggur ekki fyrir, á grundvelli viðeigandi verndarráðstafana, þ.m.t. framfylgjanleg réttindi og lagaleg úrræði fyrir einstaklinga.

Frekari upplýsingar:

• Alþjóðlegar tilfærslur

Já, vinnsluaðilar (þ.e. einstaklingar eða aðilar sem vinna úr gögnum fyrir hönd ábyrgðaraðila gagna) hafa skyldur samkvæmt GDPR. Hins vegar er einhver munur á ábyrgð ábyrgðaraðila gagna og vinnsluaðila.

Gagnavinnsluaðilar verða að fylgja þeim ábyrgðum sem settar eru fram í verksamningi ábyrgðaraðila, þar sem gerð er grein fyrir vinnsluaðgerðum og leiðum til að vinna úr persónuupplýsingum. Vinnsluaðilinn verður t.d. að framkvæma vinnsluaðgerðirnar með viðeigandi tæknilegum og skipulagslegum ráðstöfunum samkvæmt fyrirmælum ábyrgðaraðila. Í því skyni aðstoðar vinnsluaðilinn ábyrgðaraðila við að fara eftir GDPR.

Frekari upplýsingar:

• Ábyrgðaraðili eða vinnsluaðili gagna

DPO getur ekki borið ábyrgð á því að ekki sé farið að GDPR. Reglufylgni við GDPR er á ábyrgð stofnunarinnar sem tilnefndi DPO.

Frekari upplýsingar:

• Gagnaverndarfulltrúi

Í samningi milli ábyrgðaraðila og vinnsluaðila verður að kveða á um að gagnavinnsluaðilinn:

• vinnur persónuupplýsingarnar eingöngu samkvæmt fyrirmælum ábyrgðaraðila, þ.m.t. með tilliti til flutnings persónuupplýsinga til lands utan EES;
• tryggi að þeir einstaklingar, sem hafa heimild til að vinna gögnin, hafi skuldbundið sig til trúnaðar eða séu háðir viðeigandi lögboðnum trúnaðarkvöðum,
• tryggir öryggi vinnslunnar,
• skulu ekki ráða annan gagnavinnsluaðila nema fyrir liggi sérstök eða almenn skrifleg heimild ábyrgðaraðila gagna,
• aðstoðar ábyrgðaraðila gagna við að uppfylla skyldur ábyrgðaraðila um að bregðast við beiðnum einstaklings um að neyta réttar síns,
• aðstoðar ábyrgðaraðila gagna við að tryggja vinnslu, tilkynna gögn brot, og framkvæma DPIAs;
• að vali ábyrgðaraðila gagna, eyðir eða skilar öllum persónuupplýsingum til ábyrgðaraðila gagna eftir að þjónustustarfsemi lýkur,
• geri ábyrgðaraðila gagna aðgengilegar öllum nauðsynlegum upplýsingum til að sýna fram á að skyldur samkvæmt GDPR séu uppfylltar,
• gerir ráð fyrir og stuðlar að úttektum, þ.m.t. skoðunum sem ábyrgðaraðili gagna framkvæmir eða annar endurskoðandi sem ábyrgðaraðili gagna hefur gefið fyrirmæli um.

Að auki skal gagnavinnsluaðilinn þegar í stað upplýsa ábyrgðaraðila gagna ef, að hans mati, fyrirmæli brjóta í bága við GDPR eða önnur ákvæði ESB eða lands um gagnavernd.

Frekari upplýsingar:

• Ábyrgðaraðili eða vinnsluaðili gagna

Persónuverndaryfirvöld í hverju landi (persónuverndarstofnanir) hafa eftirlit með því að farið sé að persónuverndarreglugerðinni. Persónuverndaryfirvöld geta framkvæmt rannsóknir og beitt viðurlögum eftir þörfum. Þau hafa ýmis úrræði, þar á meðal sektir allt að 20 milljónum evra eða 4% af árlegri heimsveltu fyrirtækisins sem í hlut á – hvort heldur er hærra. Þá geta þau veitt áminningar og mælt fyrir um tímabundið eða varanlegt bann við vinnslu. 

YHægt er að finna tengiliðaupplýsingar allra persónuverndarstofnana innan EES á vefsíðu Evrópska persónuverndarráðsins (e. European Data Protection Board (EDPB)).

Frekari upplýsingar:

• Persónuvernd og þú

Vafrakökur eru litlar skrár sem eru geymdar á tæki, svo sem tölvu, fartæki eða annað tæki sem getur geymt upplýsingar. Vafrakökur þjóna fjölda mikilvægra aðgerða, þar á meðal að muna notendur og fyrri samskipti þeirra við vefsíðu. Þeir geta verið notaðir til að halda utan um hluti í innkaupakörfu á netinu eða til að halda utan um upplýsingar þegar upplýsingar eru settar inn í umsóknareyðublað á netinu.

Auðkenningarkökur eru einnig mikilvægar til að bera kennsl á notendur þegar þeir skrá sig inn í bankaþjónustu og aðra netþjónustu. Upplýsingarnar sem geymdar eru í smákökum geta innihaldið persónuupplýsingar, svo sem IP-tölu, notandanafn, einkvæmt auðkenni eða netfang.

GDPR veitir einstaklingum stjórn á vinnslu persónuupplýsinga sinna. Til þess að gera það er gagnsæi lykilatriði. Þetta þýðir að þú verður að upplýsa einstaklinga um hvaða gögn þú vinnur um vinnslu þína og tilganginn. Með öðrum orðum, þú þarft að útskýra hver vinnur gögn þeirra, en einnig hvernig og hvers vegna. Aðeins ef notkun persónuupplýsinga er "gagnsæ" fyrir þá sem hlut eiga að máli, geta þeir metið hugsanlega áhættu og tekið ákvarðanir um persónuupplýsingar sínar.

Samkvæmt GDPR ber þér skylda til að deila eftirfarandi upplýsingum með einstaklingum:

• deili á ábyrgðaraðila og samskiptaupplýsingum hans,
• tilgang vinnslunnar,
• lagagrundvöllur vinnslunnar (ef um lögmæta hagsmuni er að ræða, sérstakar upplýsingar um hvaða lögmætir hagsmunir tengjast tiltekinni vinnslu og hvaða eining stundar hverja lögmæta hagsmuni.)
• samskiptaupplýsingar ábyrgðaraðilans,
• samskiptaupplýsingar gagnaverndarfulltrúa (ef gagnaverndarfulltrúi er til staðar),
• viðtakendur eða flokka viðtakenda gagnanna,
• Upplýsingar um hvort gögnin verði flutt utan Evrópska efnahagssvæðisins (EES) (eftir atvikum: hvort ákvörðun um fullnægjandi vernd sé fyrir hendi eða ekki eða tilvísun í viðeigandi verndarráðstafanir og hvernig hægt er að gera þessar upplýsingar aðgengilegar skráðum aðilum,
• flokkar persónuupplýsinga sem unnið er með þegar upplýsingarnar eru ekki fengnar frá einstaklingi.

Að auki krefst GDPR þess að fyrirtækið þitt veiti eftirfarandi upplýsingar til að tryggja sanngjarna og gagnsæja vinnslu:

• varðveislutíma eða, ef það er ekki mögulegt, viðmiðanir sem notaðar eru til að ákvarða þetta tímabil,
• rétt til að óska eftir aðgangi, eyðingu, leiðréttingu, takmörkun, andmælum og flytjanleika persónuupplýsinga,
• réttinn til að leggja fram kvörtun hjá gagnaverndaryfirvaldi,
• ef lagagrundvöllur vinnslunnar er samþykki: rétt til að afturkalla samþykki hvenær sem er,
• ef um er að ræða sjálfvirka ákvarðanatöku, viðeigandi upplýsingar um undirliggjandi rökfræði og fyrirhugaðar afleiðingar vinnslunnar fyrir skráða aðilann,
• uppruni persónuupplýsinga (ef þú fékkst þær ekki beint frá viðkomandi einstaklingi,
• hvort einstaklingur er skylt að veita persónuupplýsingar (samkvæmt lögum eða samningi eða til að gera samning) og hvaða afleiðingar af því að neita að veita upplýsingarnar eru.

Frekari upplýsingar:

• Virða réttindi einstaklinga