14/06/2018
GDPR: Persondataforordning om beskyttelse af personlige oplysninger (gældende fra 25/5 2018)
Har du/ styr på hvad forordningen betyder for dig/jer og virksomheden, når det vedr. beskyttelse af persondata? Hvis tvivl, så ret henvendelse til kvalitetskonsulenten og få foretaget en IT-audit for afstemning af aktuelle forhold og hvad der skal iværksættes for at sikre overensstemmelse med forordningen.
Formålet med persondataforordningen, er at ensarte regler om databeskyttelse på hele det europæiske marked. På trods af, at Danmark har en relativ høj beskyttelse som følge af gældende Persondatalov, medfører forordningen yderligere stramninger.
Persondataforordningen gælder alle, der håndterer persondata og der er nu større fokus på, hvordan virksomheder og offentlige institutioner håndterer data, både hvad angår medarbejderdata og klientdata. Dette medfører skærpede krav omkring samtykke og indeholder regler om, at man har ret til at blive ”glemt”, hvilket betyder, at såfremt den enkelte kræver det, skal data i nogle tilfælde kunne slettes.
Den nye Persondataforordning bliver direkte gældende i dansk lovgivning, men indeholder også muligheder for separate Nationale fortolkninger, hvilket i praksis vil medføre, at der er tale om en blanding af forordning, dansk lovgivning og praksis. Endnu har Danmark ikke implementeret alle dele af forordningen, der medfører pligt eller mulighed for supplerende national lovgivning, hvorfor det endelige resultat endnu ikke foreligger.
Af de større ændringer, persondataforordningen medfører, er de skærpede samtykkeregler og at offentlige myndigheder og private virksomheder skal udpege en databeskyttelsesansvarlig. Bødeniveauet for brud mod databeskyttelsesregler er højere end tidligere og der foreligger højere dokumentationskrav for data flow, herunder også at informere relevante myndigheder om evt. brud på datasikkerheden.
Hvad er en personoplysning?
En personoplysning er et overordnet begreb, der omfatter alle oplysninger, som kan henføres til en bestemt fysisk person, som f.eks. navn og alder, men også personfølsomme oplysninger såsom helbredsoplysninger. Det gælder også oplysninger, som først i kombination med andre oplysninger kan henføres til en bestemt fysisk person. Enkeltmandsvirksomheder omfattes også af begrebet, idet oplysninger kan henføres til en ejer.
Hvad er en personfølsom oplysning?
En personfølsom oplysning, er en oplysning om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold og oplysninger om helbredsmæssige og seksuelle forhold. Med den nye forordning omfattes også genetiske og biometriske data.
(Biometriske data er personoplysninger om fysiske karakteristika, som f.eks. ansigtsbillede eller fingeraftryksoplysninger).
Er et navn en personfølsom oplysning?
Nej, et navn er ikke i sig selv en personfølsom oplysning, men en personoplysning. Dog – såfremt navn medfører en identificering af en person, i en personfølsom sammenhæng, dvs. i kombination med andre oplysninger, f.eks. at man kan se, at en navngiven person skal deltage i en psykologisk undersøgelse, skal det behandles med tilstrækkelige sikkerhedsforanstaltninger.
Kan man indhente samtykke fra en klient/person, som skal deltage i en psykologisk undersøgelse ved at man kommunikerer via mail, som er krypteret?
Nej, ansvaret for at personfølsomme data ikke kommer i uvedkommende kendskab ligger hos den dataansvarlige, dvs. i dette tilfælde psykologen og kan ikke samtykkes væk af den, der er i behandling.
Hvad er en dataansvarlig?
En dataansvarlig er en fysisk eller juridisk person*, offentlig myndighed, institution eller andet organ, der alene eller sammen med andre afgøre, til hvilke formål og med hvilke hjælpemidler, der må foretages behandling af oplysninger. Den dataansvarlige er lovens primære pligtsubjekt, hvilket også medfører, at det er den dataansvarlig, som har overordnede ansvar, også for behandling af data, som foretages af tredjemand på vegne af den dataansvarlige.
*Juridisk person: en virksomhed
Hvad er en databehandler?
En databehandler er enhver, som behandler oplysninger på vegne af en dataansvarlig. Som eksempler kan nævnes virksomheder, som varetager drift af kunders IT-systemer, eller hosting-virksomheder som f.eks. tilbyder serverkapacitet til indehavere af hjemmesider.
Skal en privatpraktiserende psykolog tilmelde sig Datatilsynet i forbindelse med behandling af personfølsomme oplysninger?
Nej, en privatpraktiserende psykolog er ikke forpligtet til at tilmelde sig Datatilsynet i forbindelse med behandling af personfølsomme oplysninger. Dette følger af en undtagelsesbestemmelse i persondataloven, som medfører, at autoriserede psykologer, som arbejder inden for sundheds-området, ikke omfattes af kravet om tilmelding, ligesom f.eks. læger heller ikke omfattes.
Er det sikkert, at udføre internetbaseret terapi eller anden rådgivning via Skype eller FaceTime?
Nej, Skype og FaceTime eller lignende internetbaserede telefonkonferenceprogrammer, er ikke sikre nok. Dette skyldes, at data ikke er tilstrækkeligt beskyttet, herunder er f.eks. serverne placeret uden for Europa, hvorfor der ikke gælder samme lovgivning som inden for Europa omkring datasikkerhed.
Der findes nogle internetbaserede løsninger, der garanterer sikre forbindelser, men hvis man benytter sig af disse, skal man selv sikre sig, at sikkerheden lever op til lovgivningen.
Ansvaret for at personfølsomme data ikke kommer til uvedkommendes kendskab ligger hos den dataansvarlige. Ansvaret kan – ligesom i forbindelse med at en psykolog mailer med en klient – ikke samtykkes væk af den, der er i behandling.
Er internetservere sikre?
Du kan have en egen server, som er sikret, ellers skal du have databehandleraftaler hele vejen ned til den sidste i databehandlerkæden, som kan dokumentere sikkerheden.
Hvilke krypteringskrav gælder for mail?
Ligesom ved internetbaseret terapi eller anden rådgivning, ligger ansvaret for at personfølsomme data ikke kommer til uvedkommendes kendskab hos den dataansvarlige. Ansvaret kan ikke samtykkes væk af den, der er i behandling. Det er dig som psykolog eller anden rådgiver og behandler, der har ansvar for, at mail og indhold er tilstrækkeligt sikret.
Hvordan kan man udføre sikker kommunikation med klienter og andre interessenter? Må man fx. indkalde til psykologisk undersøgelse via mail?
Indholdet i korrespondance med klienter vil oftest være at betegne som personfølsomme oplysninger og skal derfor sikres. Dette gælder både oplysninger omkring klienter samt indholdet fra behandling.
Såfremt opgaven udføres på vegne af en kommune (en offentlig myndighed), er du som f.eks. psykolog omfatte af sikkerhedsbekendtgørelse, idet du i det tilfælde agerer som databehandler for kommunen. Dette medfører, at du skal sikre informationen med kryptering.
Såfremt du udfører opgaven privat, dvs. ikke på vegne af en offentlig myndighed, skal du stadig følge vilkårene i persondatalovens §41. Der foreligger i den forbindelse ikke et udtalt krav, men en klar anbefaling fra Datatilsynet om, at personfølsomme oplysninger bør krypteres.
Hvornår skal jeg som psykolog sende krypterede mails?
Når en klient kontakter dig via mail, kan du ikke være sikker på, at forbindelsen er krypteret. Ved besvarelse skal du derfor skrive en krypteret mail fra din egne sikre e-mailadresse som svar. Derfor skal du altså ikke svare direkte på den oprindelige mail.
Det anbefales desuden, at du minder klienten om ikke at sende personfølsomme oplysninger til dig via ikke-krypteret e-mail.
Må man modtage betaling via bankoverførsler eller MobilePay?
Ja, det er ethvert pengeinstituts ansvar at sikre, at bankoplysninger behandles fortroligt, og det er derfor ikke noget problem, at klienter betaler via MobilePay eller bankoverførsel.
Må man som psykolog eller anden erhvervsdrivende opbevare data på DropBox?
Nej! Ved at opbevare data på en internetserver gives der adgang til data for tredjeparter. Hvis data ikke opbevares i et europæisk land, er virksomheden ikke omfattet af den europæiske lovgivning for datasikkerhed (se Datatilsynets hjemmeside: https://www.datatilsynet.dk/erhverv/tredjelande/oeverfoersel-til-tredjelande/). Hvilket reelt betyder, at gratistjenester som DropBox ikke kan benyttes.
Er oplysninger i min klientkalender personfølsomme oplysninger?
Ja, det er en personfølsom oplysning, at en klient går til f.eks. en psykolog. Det skal derfor sikres, at dette ikke kan læses ud af din kalender. Har du en elektronisk kalender på den smartphone, iPad eller lignende, skal du derfor sikre dig, at f.eks. synkronisering ikke sker til en u-sikret internetserver, men kun til en sikret internetserver eller sikret computer.
Hvordan sikrer jeg, at indholdet i min kalender overholder regler om beskyttelse af persondata?
En måde at holde kalender på, er ved at skrive initialer, liste-nummer eller lignende i din kalender, og en liste med faktiske navne liggende på et sikkert sted, eksempelvis lokalt på en computer, som kun du har adgang til.
Må jeg bruge min smartphone/iPad/tablet til både arbejde og privat?
Nej. Problemet med smartphones er, at mange apps beder om at få adgang til data på telefonen, hvilket gør, at eksterne aktører kan få fat i det data, der måtte være på telefonen. Til privat brug vil du derfor typisk have flere apps, der kan få adgang til de følsomme oplysninger, som ligger fra dit arbejde.
Må jeg sikkerhedskopiere min smartphone/iPad eller tablet?
Kun hvis du sikkerhedskopierer til en sikret computer eller server. Du må f.eks. altså ikke gemme på en ”cloud”, da denne ikke kan betragtes som sikret. Tilsvarende er DropBox ikke sikret, hvorfor du skal beskytte dine klient data på forsvarlig vis og derfor ikke anvende DropBox til deling af data og anden fortrolig dokumentation.
Må jeg kommunikerer med klienter via sociale medier, f.eks. Facebook?
Nej. Du må ikke kommunikere med dine klienter over sociale medier som Facebook, da al data, som går igennem sådanne sider, tilhører ejerne af siderne. Dette betyder, at alt det, du skriver på Facebook, bliver gemt hos en tredjepart, der kan bruge det, som de har lyst. Dette gælder både private beskeder via sociale medier, samt kommentarer til andres opslag på sociale medier.
