Hvad står GDPR for? General Data Protection Regulation forklaret

De fleste af os støder på GDPR hver dag, uden at vi tænker nærmere over det. Når du handler online, tilmelder dig et nyhedsbrev eller deler en selfie, er der regler på spil. GDPR beskytter dine personoplysninger – og det er værd at forstå, præcis hvad det betyder for dig som borger og for de virksomheder, der håndterer dine data.

Står for: General Data Protection Regulation · Dansk navn: Databeskyttelsesforordningen · Trådt i kraft: 25. maj 2018 · Gælder i: EU og EØS-lande · Myndighed i DK: Datatilsynet

Tabellen nedenfor sammenfatter de vigtigste fakta om GDPR.

Hvad er GDPR?

GDPR står for General Data Protection Regulation, som på dansk kaldes Databeskyttelsesforordningen eller persondataforordningen. Det er en EU-retsakt, der trådte i kraft den 25. maj 2018. (Wired Relations) Forordningen gælder direkte i alle EU-lande uden behov for national lovgivning, men suppleres i Danmark af databeskyttelsesloven.

Historie og baggrund

GDPR blev vedtaget af EU i 2016 og erstattede det gamle EU-direktiv om databeskyttelse fra 1995. (Meo.io) Formålet var at skabe en ensartet databeskyttelse i hele EU, så borgerne får de samme rettigheder uanset hvilket land de bor i. For virksomheder betød det, at de kun skulle forholde sig til én lovgivning på tværs af medlemslandene.

Dansk oversættelse

Selvom GDPR er en EU-forordning, har Danmark valgt at kalde den Databeskyttelsesforordningen i daglig tale. (Meo.io) Databeskyttelsesloven supplerer forordningen, særligt når det gælder behandling af oplysninger om straffedomme, som reguleres i § 8.

Hvorfor er GDPR vigtigt?

GDPR styrker beskyttelsen af personoplysninger markant sammenlignet med den tidligere danske persondatalov. (Datatilsynet) Forordningen gælder alle virksomheder og organisationer, der behandler personoplysninger – uanset størrelse. Det betyder, at både store koncerner og små virksomheder skal overholde reglerne.

Beskyttelse af personoplysninger

En personoplysning er ifølge Datatilsynet enhver form for information, der kan henføres til en bestemt person. (Datatilsynet) Det inkluderer både direkte identificerbare oplysninger som navn og CPR-nummer og indirecte oplysninger som IP-adresser, lokaliseringsdata og forbrugsmønstre.

Bødeeksempler

De potentielle bøder under GDPR er enorme: op til 4% af en virksomheds globale årsomsætning eller 20 millioner euro – alt efter hvad der er højest. (Legal Desk) I praksis har Datatilsynet udmøntet bøder i Danmark, og sager om brud på personoplysninger bliver taget alvorligt.

Hvilke 3 typer personoplysninger findes der ifølge GDPR?

GDPR opdeler personoplysninger i tre overordnede kategorier: almindelige personoplysninger, særlige kategorier (følsomme oplysninger) og oplysninger om straffedomme. (Datatilsynet) Denne opdeling er afgørende, fordi de forskellige typer har vidt forskellige regler for behandling.

Almindelige personoplysninger

Almindelige personoplysninger dækker over standardidentifikationsoplysninger som navn, adresse, e-mail, telefonnummer og alder. (GDPR.DK’s vejledning om personoplysninger) Det omfatter også økonomiske forhold som skatteoplysninger, gæld og økonomisk historik samt uddannelsesmæssige baggrund. Disse oplysninger må som udgangspunkt behandles, hvis der er et lovligt grundlag.

Følsomme data

Særlige kategorier af personoplysninger – også kaldet følsomme data – omfatter otte typer af særligt beskyttelsesværdige oplysninger. (Datatilsynet) Det drejer sig om race og etnisk oprindelse, politisk overbevisning, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, genetiske data, biometriske data, helbredsoplysninger og oplysninger om seksuelle forhold eller orientering. Behandling af disse kræver som udgangspunkt eksplicit samtykke eller en anden lovlig undtagelse.

Biometriske oplysninger

Biometriske data – såsom fingeraftryk, ansigtsgenkendelse og stemmeoptagelser – er underlagt de strenge regler for særlige kategorier. (Datatilsynet) Datatilsynet fastslår, at fingeraftryk og andre biometriske data kun må behandles, hvis det er nødvendigt for et specifikt formål, og kun med fornødent samtykke.

Et telefonnummer er absolut en personoplysning, fordi det kan henføres til en bestemt person. (GDPR.DK’s vejledning om personoplysninger) Det samme gælder IP-adresser, der i mange sammenhænge kan identificere en bruger.

Hvad er forskellen på GDPR og Persondataloven?

Persondataloven var den danske implementering af det gamle EU-direktiv om databeskyttelse. Da GDPR trådte i kraft, overtog denne forordning direkte som gældende ret i Danmark. (Legal Desk) Den væsentligste forskel er, at en EU-forordning ikke kræver national lovgivning for at være gyldig – den gælder direkte.

Overgang til EU-forordning

GDPR blev vedtaget i 2016 og trådte i kraft den 25. maj 2018. (Meo.io’s blog om GDPR) I denne overgangsfase blev den danske persondatalov delvist erstattet, men visse områder krævede stadig national regulering.

Nuværende status

I dag supplerer databeskyttelsesloven GDPR, særligt når det gælder behandling af oplysninger om straffedomme og lovovertrædelser, der reguleres i § 8. (Datatilsynet) Databeskyttelsesloven har derfor ikke erstattet GDPR – de to regelsæt arbejder sammen.

I hvilke lande gælder GDPR?

GDPR gælder i alle EU’s medlemslande, og den gælder også i EØS-landene Norge, Island og Liechtenstein. (Legal Desk) Det betyder, at i alt 31 lande er omfattet af de samme grundlæggende databeskyttelsesregler.

EU og EØS

I EU og EØS er GDPR direkte gældende ret. (Legal Desk) Det skaber en ensartet beskyttelse for borgere i alle disse lande, og virksomheder kan operere under de samme regler på tværs af grænserne.

Ekstraterritorial effekt

En af de mest betydningsfulde aspekter ved GDPR er dens ekstraterritoriale effekt: loven gælder også for virksomheder uden for EU, hvis de behandler personoplysninger om EU-borgere. (Legal Desk) Det betyder, at en amerikansk webshop, der sælger til danske kunder, skal overholde GDPR.

En personoplysning er enhver form for information, der kan henføres til en bestemt person. — Datatilsynet

Følsomme oplysninger er oplysninger om race og etnisk oprindelse, politisk overbevisning mv. — Meo.io’s blog om GDPR

Relateret læsning: Hvad er People Data Labs? B2B-dataleverandør med 3 mia.+ profiler · People Data Labs API – Funktioner, priser og integration

GDPR deler mange principper med den britiske Data Protection Act 2018, hvis Data Protection Act 2018-principperforskelle og detaljer er værd at kende for grænseoverskridende virksomheder.

Ofte stillede spørgsmål

For virksomheder i Danmark er konklusionen klar: GDPR kræver systematisk arbejde med personoplysninger, tydelig dokumentation af behandlingsaktiviteter og klare processer for at håndtere borgernes rettigheder. Datatilsynet står klar til at hjælpe med vejledning – og til at sanktionere, hvis reglerne ignoreres.