FRA A TIL Å: HVA DU MÅ VITE OM GDPR

Transkript

1 FRA A TIL Å: HVA DU MÅ VITE OM GDPR Anja Lange og Nils Kristian Einstabland Oslo, 2. mai 2017

2 NY PERSONVERNFORORDNING - GDPR % - EUR RETTEN TIL Å BLI GLEMT PROFILERING PERSONVERNOMBUD STORE ENDRINGER(?)

3 Hvilke personopplysninger kan du som behandlingsansvarlig bruke? Behandlingsansvarlig - ulike roller Arbeidsgiver Selger/leverandør Markedsfører Nettverksplattform Offentlige myndigheter Sikkerhetsleverandør Betalingsleverandør Telekom Osv. Steg 1 Behandlingsformål hva skal opplysningene brukes til Oppfylle avtale HR Behandle Systemovervåkning Markedsføring Utøve offentlig myndighet Gjennomføre Betalingstransaksjon Kommunikasjon Håndtere sikkerhetshendelse Osv. Steg 2 Datakilde hvor finner jeg opplysningene Den registrerte selv Nettbruk Sensorer Datalogger Datamegler Offentlige registre Transaksjonsdata osv. Steg 3 Behandlingsgrunnlag hvilke opplysninger har jeg lov til å bruke Gjennomføre avtale Samtykke Lov Interesseavveining Andre Registrert - ulike roller Ansatt Kunde Potensiell kunde Pasient Nettbruker Osv.

4 Behandling av personopplysninger kan «settes ut» til en databehandler Innenfor EØS Utenfor EØS Behandlingsansvarlig Arbeidsgiver Selger/leverandør Markedsfører Nettverksplattform Offentlige myndigheter Sikkerhetsleverandør Betalingsleverandør Telekom Osv. Databehandler ulike leverandører Skyleverandør Sikkerhetsleverandør Applikasjonsforvalter Hostingleverandør Telekom leverandør Betalingsleverandør Outsourcingleverandør Osv. Underdatabehandler - ulike underleverandører Skyleverandør Sikkerhetsleverandør Applikasjonsforvalter Hostingleverandør Telekom leverandør Betalingsleverandør Outsourcingleverandør Osv. Overføringsgrunnlag hvilke opplysninger er det lov å bruke Databehandleravtale Bindende konsernregler Overføringsgrunnlag hvilke opplysninger er det lov å bruke Databehandleravtale EUs standard kontraktsbestemmelser Bindende konsernregler Tillatelse fra Datatilsynet Privacy Shield

5 GRUNNLEGGENDE KRAV OG PRINSIPPER BESTÅR Krav om rettslig grunnlag/behandlingsgrunnlag Krav om forholdsmessighet mellom inngrepet og formålet Bestemmelser om informasjonsplikter og innsynsrettigheter Formålsbestemthet: spesifisert, eksplisitt og legitimt formål, forbud mot nye uforenlige formål Dataminimalisering: relevant og nødvendig for formålet Krav om at opplysningene skal være korrekte og oppdaterte Krav om sletting (hvis ikke lovpålagt oppbevaring) Krav om informasjonssikkerhet Den behandlingsansvarlige skal dokumentere at prinsippene etterleves

6 NYE PLIKTER FOR VIRKSOMHETEN Krav til dokumentasjon Alle skal ha en klar og forståelig personvernerklæring Nye krav til informasjon til den registrerte Krav til å vurdere risiko og konsekvenser Krav til «innebygd personvern» bl.a. i IKT-løsninger Databehandlere direkte omfattet av nytt regelverk Nye krav til innholdet i databehandleravtaler Alle får nye krav til avvikshåndtering- og rapportering Flere må ha personvernombud

7 NYE RETTIGHETER FOR DEN REGISTRERTE Rett til å få flyttet data mellom tilbydere - dataportabilitet Rett til å nekte profilering og automatiserte avgjørelser Rett til å motsette seg en behandling Rett til å begrense en behandling Retten til å bli glemt styrkes

8 Personvernskompleksitet Hva innebærer de nye kravene for deg og din virksomhet hvor er vi og hvor må vi? Tekniske krav Organisatoriske krav Juridiske krav Personvernforordningen Hvordan dekker vi denne deltaen? Personopplysningsloven Uten rutiner Noen prosedyrer Innarbeidede skriftlige rutiner God personvernforvaltning Optimalisert personvernforvaltning Hvor er du? Organisasjonens personvernmodenhet

9 NOEN STEG I RIKTIG RETNING Steg 1: Styring og ledelse Steg 2: GAP analyse Steg 3: Etabler og oppdater rutiner/avtaler Steg 4: Operasjonaliser Steg 5: Implementer Steg 6: Etterlev Strategi Forankring Personvernteam (HR, marked, IT mv.) Kartlegg og analyser I tråd med dagens regelverk? Ytterligere tiltak for å være i tråd med GDPR? Internkontroll Samtykkeerklæringer Privacy policy Registrertes rettigheter Avviksbrudd Risiko- og konsekvensanalyser Databehandleravtaler Informasjonssikkerhet Innebygd personvern Avvikshåndtering Informasjon og opplæring Ekstern kommunikasjon med avtaleparter Revisjon og oppfølgning

10 Takk for oss! Anja Lange Nils Kristian Einstabland fast advokat Anja Lange bistår selskaper med arbeidsrettslig rådgivning og personvernspørsmål. Anja er spesialisert innen personvern. Hun bistår selskaper innenfor alle områder og har særlig kompetanse på behandling av personopplysninger i kunde og ansettelsesforhold og bistår med utarbeidelse av dokumentasjon, retningslinjer og personvernrettslige compliance programmer. Anja har bred erfaring med spørsmål knyttet til overføring av data, samt at hun bistår selskaper med meldinger og utarbeidelse av konsesjonssøknader til Datatilsynet. Anja er også spesialisert innen arbeidsrett. Hun bistår blant annet med utarbeidelse av arbeidsavtaler på alle nivåer og løpende rådgivning i arbeidsforhold. Hun har særlig erfaring med spørsmål som oppstår i forbindelse med transaksjoner og virksomhetsoverdragelser, omstillings- og nedbemanningsprosesser, arbeidsrettslig due diligence, og avslutning av arbeidsforhold, herunder forhandling av sluttavtaler. Anja har også erfaring med forhandling av tariffavtaler på vegne av arbeidsgivere. I tillegg er Anja ekspert på reglene om ansattes rett til styrerepresentasjon. partner, advokat nke@selmer.no Nils Kristian Einstabland er spesialist på rettslige spørsmål knyttet til media, telekom og teknologi. Etter å ha jobbet tett med disse bransjene siden tidlig på 1990-tallet har han meget god innsikt i både de regulatoriske og politiske rammebetingelsene, og er en av Norges mest erfarne advokater innen sitt felt. Han er kjent for sin evne til å finne innovative løsninger på bransjerelaterte problemstillinger som det verken finnes klare rettslige eller kommersielle svar på, og har god kompetanse på forretningsutvikling og strategiske prosesser. Nils Kristians rådgivning omfatter bistand med immaterialrett, personvern, tjenesteutsetting, lisensiering og distribusjon. Han har også betydelig erfaring med etablering av strategiske allianser og fellesforetak, i tillegg til virksomhetsoverdragelser og strukturelle transaksjoner, både i Norge og internasjonalt. Han jobber også jevnlig med aktører innen biotech- og energibransjen, og yter forretningsjuridisk rådgivning i større internasjonale prosjekter. I følge det internasjonale ratingbyrået Chambers Europe har Nils Kristian "a strategic mind and cuts through the case to focus on the important details." Nils Kristian holder jevnlig foredrag innenfor sine kompetanseområder, blant annet på kursene til Juristenes Utdanningssenter (JUS). Han er også styremedlem i den internasjonale interesseorganisasjonen Licensing Executives Society's skandinaviske avdeling. Nils Kristian innehar styreverv i både nyoppstartede og etablerte medie- og teknologiforetak.

11 KONTAKTINFO Oslo Advokatfirmaet Selmer DA Postboks 1324 Vika 0112 Oslo Besøksadresse: Tjuvholmen allé 1 T: Trondheim Advokatfirmaet Selmer DA Postboks Trondheim Besøksadresse: Kjøpmannsgata 52 T: E: selmer@selmer.no W: selmer.no

12 NOEN SENTRALE PERSONVERNBEGREPER Personopplysning En eller flere opplysninger som hver for seg eller samlet kan knyttes til en enkeltperson - herunder ved bruk av dataprosessering eller andre tilgjengelige metoder Sensitive personopplysninger Registrert Behandling av personopplysninger Behandlingsansvarlig Opplysninger om rasemessig eller etnisk bakgrunn, eller politisk, filosofisk eller religiøs oppfatning, at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling, helseforhold, seksuelle forhold eller medlemskap i fagforeninger. Den fysiske personen en eller flere opplysninger kan knyttes til Enhver befatning/bruk av personopplysninger, f.eks innsamling, registrering, sammenstilling, lagring og utlevering Den som bestemmer formålet med behandlingen Databehandler En som behandler personopplysninger på vegne av behandlingsansvarlig kan ikke gå utenfor instruksene fra behandlingsansvarlig Databehandleravtale Avtale som skal foreligge mellom den behandlingsansvarlige og databehandleren senest når databehandlerens behandling begynner. Fastlegger formålet med behandlingen, rettigheter, plikter og begrensninger