Persondataforordningen: Nye krav til dataansvarlige og databehandlere

EU’s institutioner er nu blevet enige om det samlede indhold i persondataforordningen. Den nye lovgivning indebærer en række nye og skærpede krav til både dataansvarlige og databehandlere.

Set i forhold til den eksisterende persondatalovgivning medfører den kommende persondataforordning, at dataansvarlige og databehandlere skal opfylde en række nye skærpede krav. Lovgiver har understreget et øget fokus på behandling af persondata og ikke mindst dataansvarlige og databehandleres overholdelse af reglerne ved at forhøje bødeniveauet markant i tilfælde af manglende compliance: op til 20 mio. euro eller 4% af virksomhedens/koncernens årlige globale omsætning. De væsentligste krav er:

• Den dataansvarlige skal kunne dokumentere, at behandlingen af personoplysninger sker i overensstemmelse med forordningens bestemmelser, herunder implementere relevante procedurer og politikker.


• Den dataansvarlige skal implementere passende tekniske og organisatoriske foranstaltninger designet til at sikre beskyttelse af personoplysninger (data protection by design), fx pseudonymisering.


• Den dataansvarlige skal anmelde sikkerhedsbrud til Datatilsynet senest 72 timer efter opdagelsen heraf.


• Alle offentlige institutioner skal udpege en data protection officer (DPO).


• Private virksomheder skal i visse tilfælde udpege en data protection officer (DPO), herunder ved behandling af følsomme oplysninger.


• Databehandlere underlægges selvstændige forpligtelser blandt andet i relation til dokumentationskrav.

---