En personoplysning er information, der kan henføres til en bestemt person. Dette gælder også, hvis personen kun kan identificeres, såfremt oplysningen kombineres med andre oplysninger.

Uanset om du er håndværker, revisor eller andet, så modtager og opbevarer du oplysninger om dine kunder. De oplysninger kan f.eks. være navn, adresse, telefonnummer eller e-mail. Det er alle oplysninger, som er omfattet af persondataforordningen, og som for dig indebærer, at du skal overholde lovgivningen.

Hvad er personoplysninger?
Personoplysninger kan for eksempel være et navn, en e-mail, personnumre, registreringsnumre, et billede, et fingeraftryk, en stemme, lægejournaler eller andet. Der er tale om personoplysninger, når det i praksis er muligt at identificere en person ud fra oplysningerne eller i kombination med andre. Man siger, at oplysningen er “personhenførbar”.

Du er dataansvarlig
Når du registrerer disse oplysninger om dine kunder, så bliver du dataansvarlig i forordningens forstand. Persondataforordningen medfører en række krav og pligter til dig som dataansvarlig.

Som dataansvarlig skal du derfor bl.a. sikre dig, at du:

• overholder persondataforordningen, og at du kan dokumentere dette, herunder ved hjælp af inkorporering af nødvendige tekniske og organisatoriske sikkerhedsforanstaltninger i virksomheden,
• har et behandlingsgrundlag (en behandlingshjemmel), som giver dig lov til at behandle de oplysninger, som du og dine eventuelle databehandlere er i besiddelse af,
• er i stand til at imødekomme og efterleve dine kunders rettigheder som registrerede personer, som f.eks. at du kan opfylde din oplysningspligt, berigtigelsespligt eller give den registrerede indsigt i de oplysninger du opbevarer om personen,
• har gyldige aftaler med klare instruksbeføjelser til eventuelle databehandlere, som du ønsker at gøre brug af,
• får indberettet eventuelle brud på persondatasikkerheden til Datatilsynet inden for 72 timer.

Ovenstående er alene eksempler på nogle af de pligter, du kan være underlagt i Persondataforordningen.

De grundlæggende principper for behandling
Udover at du som dataansvarlig er pålagt nogle krav for behandling af dine kunders personoplysninger, så indeholder databeskyttelsesreglerne videre følgende grundlæggende principper, du som dataansvarlig altid skal overholde:

• Behandlingen skal overholde databeskyttelsesreglerne om lovlighed, rimelighed og gennemsigtighed.
• Det skal ved indsamling være klart, hvilke saglige formål oplysningerne skal anvendes til og en eventuel senere behandling må ikke være uforenelig med det oprindelige formål, som personoplysningerne blev indsamlet til.
• Behandling af oplysningerne, herunder opbevaring, skal begrænses til det, der er nødvendigt for at opfylde formålet.
• Oplysninger skal ajourføres, og konstateres det, at oplysningerne er urigtige skal disse slettes eller berigtiges.
• Oplysningerne må ikke opbevares længere tid end nødvendigt for behandlingen. Når de ikke længere er nødvendige, skal de anonymiseres eller slettes.
• Oplysningerne skal passes godt på. De må ikke komme uvedkommende til kendskab, gå tabt eller blive beskadiget.

De grundlæggende principper for behandling kan findes i forordningens art. 5.

Hvad skal du gøre nu?
Det er vigtigt, at du er compliant med persondataforordningen, og dermed overholder reglerne og kravene som dataansvarlig. De mulige retsmidler, det ansvar og de sanktioner, der kan opstå som følge af manglende overholdelse af forordningen, understreger vigtigheden heraf.

Konsekvensen kan være vidtgående. I Danmark blev det første selskab i marts 2019 således indstillet til en bøde på 1,2 millioner kroner for manglende sletning af personhenførbare kundeoplysninger efter et tilsynsbesøg fra Datatilsynet. Indstillingen understreger, at Datatilsynet ikke tager let på brud med Databeskyttelsesforordningen. Alle afgørelserne kan findes på Datatilsynets hjemmeside.

Har du spørgsmål til persondatareglerne eller vil du vide, om du er compliant, er du meget velkommen til at kontakte ØENS persondataspecialist Lisa Lykke-Kielberg.