Seneste nyheder om persondata

Hvordan er reglerne for virksomheders optagelse af telefonsamtaler med kunder? Er apps og hjemmesider med personfølsomme sundhedsdata egentlig sikre, og må man bruge droner til indsamling af persondata?

Optagelse af telefonsamtaler med kunder
Mange virksomheder benytter sig i dag af muligheden for at optage de telefonsamtaler, som virksomhedens medarbejdere fører med kunder. Optagelserne sker ofte dels for at kunne bevise indholdet af samtalen med kunden, dels til brug for stikprøvekontrol og efteruddannelse af medarbejdere.

I en ny afgørelse fra juli 2015 har Datatilsynet udtalt kritik af Natur Energi A/S, fordi der ikke skete en forudgående orientering til kunderne om, at deres samtale ville blive optaget.

Det bemærkes, at det ligeledes er relevant at forholde sig til den medarbejder, som optages, og hvor arbejdsgiveren efterfølgende kan ”kontrollere” medarbejderens adfærd. Også i forhold til medarbejderne skal virksomheden forholde sig til, om der er et sagligt formål med optagelserne, og hvordan optagelserne anvendes samt til den generelle pligt til at orientere herom.

Log-in på hjemmesider og i apps med følsomme persondata
Datatilsynet har af egen drift taget en sag op om sikkerheden i forbindelse med login på en hjemmeside for virksomheden Cure4you, hvor brugerne kunne oprette en personlig helbredsboks med alle personens data, herunder følsomme helbredsdata.

Datatilsynet fandt, at den anvendte løsning med login, baseret på brugernavn og adgangskode, ikke i tilstrækkelig grad lever op til den sikkerhed, som må kræves, når en hjemmeside som denne giver adgang til følsomme personoplysninger på sundhedsområdet.

For at overholde sikkerhedsreglerne vil virksomheder med følsomme data, f.eks. sundhedsdata, således skulle indbygge et ekstra niveau af sikkerhed, f.eks. ved at der fremsendes en sms til brugerens personlige mobiltelefon med en kode, som derefter skal anvendes som log-in.

Nye retningslinjer om brug af droner til at indsamle persondata
Reguleringen af brugen af droner er særdeles aktuel, og tidligere på året blev der i luftfartslovgivningen indført begrænsninger i brugen af droner i det danske luftrum. I juni er der også på EU-plan taget stilling til, hvordan persondatareglerne finder anvendelse i forhold til droner, idet den såkaldte Artikel 29-gruppe (EU’s uafhængige ekspertgruppe) har udtalt sig om, hvordan persondataretten bør forstås og anvendes i relation til droner.

Dronerne anvendes i stigende grad af både virksomheder og myndigheder, f.eks. til sporing, efterforskning, overvågning, kortlægning og opmåling mv. Eksempelvis kan virksomheder såsom forsikringsselskaber, der kan have behov for at overvåge eller ”kontrollere” kunder, tænkes at bruge droner som alternativ til manuel overvågning, ligesom landmålere kan bruge droner til enkel og præcis opmåling.

Artikel 29-gruppen udtaler bl.a., at man ved anvendelse af droner særligt skal forholde sig til følgende, og at man skal gøre dette i en forudgående risikoanalyse:

• Er der et sagligt formål til at anvende droner i det konkrete tilfælde.


• Hvordan sikrer man, at data på sikker vis overføres fra drone til den dataansvarliges server.


• Hvor længe data må opbevares.


• Hvordan man sikrer sig imod uvedkommende adgang til data, opsamlet via droner.


• For så vidt angår producenter og forhandlere af droner angives også, at der skal indtænkes højest mulig grad af sikkerhed fra starten, og at alle standardindstillinger ”by default” skal være på højeste niveau af sikkerhed.

Den fulde udtalelse fra Artikel 29-gruppen kan læses i Working Paper 231 på dette link.

---