GDPR-bloggen

Som enkeltpersoner forventer vi at biler testes før ny funksjonalitet blir sluppet, hvorfor skal vi da akseptere nye behandlinger av våre opplysninger før risikoen er ordentlig vurdert.

I GDPRs kapittel 3 om de registrertes rettigheter er det skrevet mye om våre rettigheter til innsyn, retting og sletting. Det som ikke har vært fokusert så mye på er artikkel 19 - underretningsplikten.

For å lykkes med digitale endringsprosesser er det behov for å se prosjektledelse, arkitektur og design i sammenheng med personvern og informasjonssikkerhet.

Er du leverandør av løsninger hvor du, eller noen av dine underleverandører, overfører personopplysninger mellom EU/EØS og USA? Da må du være forberedt på at dine kunder nå vil vurdere om de kan fortsette å bruke deg og dine underleverandører, og om det er mulig å få på plass et alternativt rettslig grunnlag for overføring.

Sandefjord kommune lever opp til sin visjon ”Sammen fremover” også innenfor sine digitale satsninger. Helt fra sammenslåingen med kommunene Andebu og Stokke i 2017 har det vært en tydelig satsing på digitalisering innenfor alle virksomhetsområder.

6,5 millioner portugisere rakk å oppgi sensitive personopplysninger i den obligatoriske folketellingen 2021 før CNPD (National Data Protection Commission) ga INE (National Institute of Statistics) en frist på 12 timer til å få sikkerheten på plass eller stoppe innsamlingen. Personopplysninger fra hele Portugals befolkning sto i fare for å bli overført til USA, eller andre tredjeland, uten et tilsvarende nivå av databeskyttelse som innenfor EU.

Schrems II-dommen har avdekket at det kan være stor forskjell på kart og terreng i forretningsverdenen. Rutiner og rapporter for økonomien følges nitidig opp, mens personvern og personopplysninger ofte er redusert til dokumentasjon som sees over og revideres en gang i året. Innføringen av GDPR var til da EUs kraftigste tiltak for å rydde opp i en stadig mer ruskete holdning til personopplysninger - nå viser Schrems II at det er behov for mye høyere presisjon i håndtering av personvernet enn hva som praktiseres.

Da GDPR ble innført våren 2016 ble det lovet kraftige sanksjoner for de som ikke overholder regelverket. Nå ser vi at dette ikke var tomme løfter. Google, Grindr, British Airways og PWC er bare noen av de internasjonale kjempene som må betale betydelige summer i overtredelsesgebyr. Også her hjemme har flere kommuner og offentlige virksomheter blitt ilagt bøter i millionklassen. Og flere skal det bli. Datatilsynet har varslet en rekke flere bøter i 2021, både til offentlig og privat sektor.

Ved introduksjonen av den nye personvernforordningen brukte virksomheter mye tid på å sette seg inn i regelverket, kartlegge personopplysninger, gjøre risikovurderinger og oppdatere rutinebeskrivelser for å møte kravene. Flere måtte også bytte ut eller oppgradere systemene de bruker til behandling av personopplysninger. Det ble også brukt mye tid på å forhandle databehandleravtaler og innhente dokumentasjon. Nå, over to år senere, har forståelsen av regelverket modnet og det som var ansett som akseptabel dokumentasjon av etterlevelse i 2018, er ikke lenger tilstrekkelig.