Voldsom stigning i bødeniveau for persondataovertrædelser
Danmark er i dag et af de billigste EU-lande i forhold til sanktionsniveauet for overtrædelser af beskyttelse af persondata
Del artiklen påAf Dan Bjerring
Christiansborg
EU’s databeskyttelsesforordning, der træder i kraft den 25. maj 2018, ændrer en række regler, der gælder for virksomhedernes behandling af personoplysninger.
Den hidtil gældende databeskyttelseslovgivning krævede, at indsamling og behandling af personoplysninger i visse situationer skulle anmeldes til Datatilsynet, og den skulle blandt andet indeholde en optegnelse over de behandlingsaktiviteter, der anmeldtes.
Persondataforordningen erstatter anmeldelseskravet med et internt dokumentationskrav, herunder et krav om at føre behandlingsfortegnelser. Kravet gælder som noget nyt også for databehandlere.
Ingen belastning
Ifølge Justitsministeriet er forordningen ikke tiltænkt som 'belastning' for den dataansvarlige eller databehandleren og medfører ikke i sig selv et krav om udarbejdelse af større analyser eller datastrømme.
Virksomheder eller organisationer, der beskæftiger under 250 ansatte, er ikke underlagt pligten til at føre fortegnelser, medmindre behandlingen medfører høj risiko eller omfatter følsomme data.
Det er dog uklart, hvor mange små og mellemstore virksomheder, der vil være omfattet af undtagelsesbestemmelsen. Justitsministeriet vurderer, at den i praksis vil få et snævert anvendelsesområde.
Risikoanalyse
Forordningen kræver blandt andet, at den dataansvarlige foretager en risikoanalyse, hver gang persondata behandles, for at fastsætte ’et passende niveau af teknisk og organisatorisk sikkerhed’.
Er der tale om behandling af personoplysninger med høj risiko for de registreredes rettigheder, SKAL den dataansvarlige gennemføre en konsekvensanalyse.
En konsekvensanalyse skal altid foretages, hvis:
- Der er tale om profiling - systematisk og omfattende vurdering af personlige forhold ved brug af automatiseret behandling
- Behandling af helbredsoplysninger med henblik på at træffe foranstaltninger eller beslutninger vedrørende bestemte grupper
- Overvågning af offentligt tilgængelige områder, navnlig ved omfattende brug af videoovervågning
To bødeniveauer
Det hidtil gældende databeskyttelsesdirektiv har kun meget overordnet reguleret brugen af sanktioner, hvilket har resulteret i et meget forskelligt bødeniveau i EU-medlemslandene.
Forordningen indfører to bødeniveauer, hvor det maksimale bødeniveau er 10 millioner euro eller op til to procent af sidste års verdensomsætning.
Det gælder blandt andet følgende overtrædelser,
- Overtrædelse af reglerne om børns samtykke ved brug af informationssamfundstjenester
- Overtrædelse af sikkerhedskrav
- Overtrædelse om krav om konsekvensanalyse
- Overtrædelse om krav om databeskyttelsesrådgiver
Op til 20 millioner euro
For de alvorligste overtrædelser, kan bødeniveauet gå op til 20 million euro eller fire procent af virksomhedens årlige verdensomsætning.
Denne sanktion gælder for overtrædelsen af de grundlæggende principper og behandlingsprincipper, såsom:
- Rettighedsreglerne
- Reglerne om dataoverførsler
- Tilsynets påbud eller pligten til at give adgang ved inspektioner.
De i forordningen nævnte bøder er maksima, og lavere bøder kan anvendes.
Justitsministeriet vurderer dog, at bestemmelsen vil betyde en væsentlig forøgelse af bødestørrelsen i forhold til, hvad overtrædelser af persondataloven i dag takseres til.
Samtidig konstateres det dog, at Danmark i dag er et af de billigste lande i forhold til sanktionsniveauet.