GDPR og ny lov om personvern

Transkript

1 GDPR og ny lov om personvern

2 Personvern?

3 EU General Data Protection Regulation Gjelder fra mai 2018 Strengere krav ved behandling av persondata Alle behandlingsaktivitetene må dokumenteres Enkeltindividet vil ha større råderett over egne data Tilsynsmyndigheter er gitt all rett for tilsyn og pålegg om bøter ved brudd på personvern

4 Personvern i Accountor Godkjente rutiner for personvern Prosjekter og tiltak på gruppenivå og pr land Identifisering av nødvendige aktiviteter og tiltak på system nivå Forberede og oppdatere nødvendig dokumentasjon Nye prosesser og rutiner Niklas Sonkin COO: The cost of privacy violations is high both in reputation and money. The privacy of our customers and their information as well as the privacy of our own personnel is essential in all our activities.

5 Definisjoner Person data Informasjon relater direkte til personen Bred tolkning Eksempelvis: bruker ID, bankkontonummer E.g. user-id, bank account number, Persondata som gjelder våre kunders ansatte Data behandling Både aktivt og passivt Inklusivt lagring og tilgang til data Enhver operasjon utført ved bruk av personopplysninger eller datasett

6 Definisjoner - roller Behandlingsansvarlig Den som bestemmer formålet med personopplysninger, og hvilke hjelpemidler som kan brukes. Dette er ofte en virksomhet kunden vår Data behandler Den som behandler personopplysninger på vegne av behandlingsansvarlig Forpliktet til å behandle persondata I henhold til avtale med behandlingsansvarlig Accountor har rollen som databehandler I oppgavene vi utfører for våre kunder

7 Enkeltindividets rettigheter Eksempel på rettigheter: Tilgang og innsyn til personlig data som er lagret Motta transparent informasjon om behandlingen av dataene Retten til å motsettes seg eller begrense databehandling dataportabilitet Men, noen begrensninger til rettighetene Rettigheten avhenger av juridisk grunnlag for behandling av persondata, hvilke personopplysninger er lagret og formålet Behandlingsansvarlig vurderer om rettigheten er i henhold til eks nasjonale lover

8 Informasjonssikkerhet Implementeringen av hensiktsmessige tekniske og organisatoriske tiltak Teknologi, kostnader, type databehandlig og risiko for individet må vurderes Gjelder for alle typer behandlig, ikke kun IT systmer Eksempel : persondata må sikres også ved overføring av lønnsslipper (de som bruker Visma Lønn, skal bruke Visma.net Payslip) Aktiv og profesjonell implementering av tjenester og systemer

9 Brudd i håndtering av personopplysninger Tap av tilgang til data på grunn av uhell, ulovlig ødeleggelse, endring av data eller tilgang til data for ikke autorisert personell Meldeplikt Til datatilsynet dersom bruddet sannsynligvis vil medføre risiko for enkeltpersoner Til individet dersom bruddet sannsynligvis vil medføre risiko for individet Til databehandleransvarlig

10 Andre nye krav til bedriftene Personvern, konsekvensanalyse Der databehandlig trolig vil medføre høy risiko for individets rettigheter Ansvarliggjøring Må kunne vise at bedriften handler i tråd med forskriften Dokumentasjon Kontinuerlig vurdering og forbedring av databehandlig som kan innebære en risiko

11 Hva innebærer GDPR for meg? Lese og følge de relevante instruksjonene Vurdere om nødvendig personvern- og datasikkerhets tiltak er implementer i ditt daglige arbeide Sørge for at du kjenner til prosesser og arbeidsmetoder som er nødvendig for deg i ditt arbeide Taushetsplikten gjelder Fokus på hvor person data lagres og hvordan persondata beskyttes ved overføring Lagre persondata i egen mailmappe FEIL Lagre persondata i forhåndsdefinerte systemer RIKTIG Bruk av Extranet eller andre sikre media for datautveksling med kunde RIKTIG

12 Nesten i mål Test dine kunnskaper og forståelse