Databeskyttelse og beskyttelse af personoplysninger på nettet
EU's regler om databeskyttelse garanterer, at dine personoplysninger beskyttes, uanset hvornår de indsamles – f.eks. hvis du køber noget online, søger job eller ansøger om et banklån. Disse regler gælder både for virksomheder og organisationer (offentlige og private) i EU og dem, som har hjemsted uden for EU, men som tilbyder varer eller tjenesteydelser i EU, f.eks. Facebook og Amazon, når disse virksomheder beder om eller genanvender personoplysninger fra personer i EU.
Det gør ingen forskel, hvilket format disse data har – online på et computersystem eller på papir i en struktureret fil – når der gemmes eller bearbejdes information, som kan bruges til direkte eller indirekte at identificere dig som person, skal din ret til beskyttelse af personoplysninger respekteres.
Hvornår er det tilladt at behandle data?
EU's regler for databeskyttelse, også kendt som den generelle forordning om databeskyttelse, beskriver forskellige situationer, hvor en virksomhed eller organisation må indhente eller genanvende dine personlige oplysninger:
- de har en kontrakt med dig, f.eks. en kontrakt om levering af varer eller tjenesteydelser (som når du køber noget online) eller en ansættelseskontrakt
- de opfylder et juridisk krav – som når det er lovpligtigt at behandle dine data, f.eks. når din arbejdsgiver sender oplysninger om din månedsløn til de sociale sikringsmyndigheder, så du er omfattet af det sociale sikringssystem
- databehandlingen er af afgørende betydning for dig – f.eks. hvis det kan beskytte dit liv
- der skal udføres en offentlig opgave – for det meste drejer det sig om skoler, hospitaler og kommuner
- der er berettigede interesser på spil – f.eks. hvis din bank bruger dine personoplysninger for at tjekke, om du er berettiget til at åbne en opsparingskonto med højere rente
I alle andre tilfælde skal virksomheden eller organisationen bede om din tilladelse (også kaldet "samtykke"), før de kan indhente eller genanvende dine personoplysninger.
Tilladelse til behandling af data – samtykke
Når en virksomhed eller organisation beder om dit samtykke, skal du give en klar tilkendegivelse, f.eks. ved at underskrive en samtykkeerklæring eller vælge "ja" ud fra en tydelig ja/nej-mulighed på en webside.
Det er ikke nok at foretage et fravalg, f.eks. ved at afkrydse et felt, der siger, at du ikke ønsker at modtage reklamemails. Du skal foretage et tilvalg og give dit samtykke til, at dine personoplysninger gemmes og/eller genanvendes til dette formål.
Du skal også have følgende oplysninger, før du beslutter at foretage et tilvalg:
- oplysninger om den virksomhed/organisation, der behandler dine data, herunder deres og en eventuel databeskyttelsesansvarligs kontaktoplysninger
- hvorfor virksomheden/organisationen vil bruge dine personoplysninger
- hvor længe de vil opbevare dine personoplysninger
- oplysninger om andre virksomheder/organisationer, der vil modtage dine personoplysninger
- oplysninger om dine rettigheder i forbindelse med databeskyttelse (adgang, rettelser, sletning, klager, tilbagekald af samtykke)
Alle disse oplysninger skal fremstå klart og forståeligt.
Tilbagekaldelse af samtykke og retten til at fremsætte indvending
Hvis du tidligere har givet en virksomhed eller organisation samtykke til at bruge dine personoplysninger, kan du til enhver tid kontakte den registeransvarlige (den person eller det organ, der håndterer dine personoplysninger) og trække dit samtykke tilbage. Når du har trukket dit samtykke tilbage, må virksomheden eller organisationen ikke længere bruge dine personoplysninger.
Når en organisation behandler dine personoplysninger på grundlag af sine egne legitime interesser eller som led i en opgave i offentlighedens interesse eller på vegne af en officiel myndighed, har du muligvis ret til at gøre indvending. I visse konkrete tilfælde kan offentlighedens interesse veje tungest, og virksomheden eller organisationen kan muligvis fortsætte med at bruge dine personoplysninger. Der kan f.eks. være tale om videnskabelig forskning og statistik, som udføres som led i en offentlig myndigheds officielle opgaver.
I tilfælde af e-mails med direkte markedsføring, der reklamerer for bestemte mærker eller produkter, skal virksomheden have din forudgående tilladelse. Men hvis du allerede er kunde hos en bestemt virksomhed, må de sende dig e-mails med direkte markedsføring af deres egne lignende produkter eller tjenester. Du har altid ret til at gøre indvending mod at modtage direkte markedsføring, og virksomheden skal omgående holde op med at bruge dine oplysninger.
Under alle omstændigheder bør du altid oplyses om retten til at gøre indvending mod brugen af dine personoplysninger, når en virksomhed eller organisation kontakter dig for første gang.
Sagseksempel
Du kan gøre indvending mod, at dine oplysninger bruges til direkte markedsføring
Anatolios købte to billetter online for at komme til koncert med sit yndlingsband. Efter Anatolios havde købt billetterne, begyndte der at komme e-mails med reklamer for koncerter og events, han ikke var interesseret i. Han kontaktede onlinebilletfirmaet og bad dem holde op med at sende disse reklamemails. Virksomheden fjernede ham omgående fra deres direkte mailinglister. Anatolios var glad for at slippe for at få flere reklamemails fra firmaet.
Særlige regler for børn
Hvis dine børn vil bruge onlinetjenester, f.eks. sociale medier eller downloading af musik eller spil, skal de ofte have tilladelse fra dig som forælder eller formynder, fordi disse tjenester bruger børnenes personoplysninger. Dine børn behøver ikke længere forældresamtykke, når de er fyldt 16 år (i visse EU-lande kan denne aldersgrænse gå helt ned til 13 år). Der skal være effektiv kontrol med forældrenes samtykke, f.eks. ved at der sendes en mail til forældrene, så de kan bekræfte deres samtykke.
Adgang til dine personoplysninger
Du kan bede om at få adgang til de personoplysninger, som en virksomhed eller organisation har om dig, og du har ret til gratis at få en kopi af dem i et tilgængeligt format. De skal svare dig inden for en måned og give dig en kopi af dine personoplysninger og alle andre relevante informationer om, hvad dine oplysninger er blevet brugt til eller bruges til nu.
Sagseksempel
Du har krav på at få at vide, hvilke oplysninger der opbevares om dig, og hvordan de bruges
Maciej fra Polen meldte sig for nylig til sit lokale supermarkeds bonusordning. Kort efter han havde tilsluttet sig ordningen, bemærkede han, at han begyndte at få bedre rabatkuponer for sine indkøb. Han tænkte på, om det kunne have noget at gøre med bonusordningen og spurgte derfor supermarkedets databeskyttelsesansvarlige, hvilke oplysninger om ham der blev opbevaret, og hvordan de blev brugt. Maciej fandt ud af, at supermarkedet registrerede, hvilke produkter han købte hver uge, og derfor kunne tilbyde ham rabat på de bestemte produkter, han foretrak.
Rettelser i dine personoplysninger
Hvis en virksomhed eller organisation gemmer data om dig, som er forkerte eller mangelfulde, kan du bede om at få dem rettet eller opdateret.
Sagseksempel
Du skal kunne få rettet forkerte oplysninger om dig selv
Alison ville købe nyt hus i Irland og søgte om et boliglån i banken. Da hun udfyldte formularen, lavede hun en fejl i fødselsdatoen, og banken registrerede hendes alder forkert i sit system.
Da Alison fik tilbud om det nye boliglån og den tilknyttede livsforsikring, gik fejlen op for hende, fordi den nye forsikringspræmie var meget højere end den eksisterende. Hun kontaktede banken og bad dem rette hendes personoplysninger i deres system. Derefter modtog hun et nyt forsikringstilbud med den rigtige fødselsdato.
Overførsel af dine personoplysninger (dataportabilitet)
Under visse omstændigheder kan du bede en virksomhed eller organisation om at sende dine data tilbage til dig eller sende dem direkte til en anden virksomhed, hvis det er teknisk muligt. Det kaldes "dataportabilitet". Du kan for eksempel bruge denne ret, hvis du udskifter en tjenesteydelse med en lignende ydelse – f.eks. hvis du flytter fra et socialt medie til et andet – og du gerne vil have dine personlige oplysninger flyttet let og hurtigt til den nye tjeneste.
Sletning af personoplysninger (retten til at blive glemt)
Hvis dine personoplysninger ikke længere skal bruges, eller hvis de bruges ulovligt, kan du bede om at få dem slettet. Det kaldes "retten til at blive glemt".
Disse regler gælder også for søgemaskiner som f.eks. Google, fordi de også betragtes som registeransvarlige. Du kan bede om at få fjernet links til websider med dit navn fra søgemaskineresultater, hvis oplysningerne er forkerte, utilstrækkelige, irrelevante eller overdrevne.
Hvis en virksomhed har stillet dine personoplysninger til rådighed online, og du beder om at få dem slettet, skal virksomheden også fortælle eventuelle andre websites, hvor oplysningerne er blevet delt, at du har bedt om at få slettet dine oplysninger og links dine oplysninger.
For at beskytte andre rettigheder, f.eks. ytringsfriheden, slettes ikke alle data automatisk. For eksempel slettes kontroversielle udtalelser fra folk i offentlighedens søgelys muligvis ikke, hvis det er i samfundets interesse, at de forbliver online.
Sagseksempel
Du kan bede om at få dine personoplysninger slettet og fjernet fra andre websites
Alfredo besluttede, at han ikke længere ønskede at bruge sociale medier, så han slettede sin profil på de sites, han brugte. Et par uger senere opdagede han, at hans gamle profilbilleder fra hans sociale mediekonti stadig fandtes, når han søgte på sit navn i en søgemaskine. Alfredo kontaktede de sociale medieselskaber og bad dem sørge for, at disse billeder blev fjernet. Da han tjekkede en måned senere, var billederne fjernet, og de optrådte ikke længere i søgemaskineresultaterne.
Uautoriseret adgang til dine oplysninger (brud på datasikkerheden)
Hvis dine personoplysninger bliver stjålet eller går tabt, eller nogen får uautoriseret adgang til dem – det kaldes " brud på datasikkerheden" – skal den registeransvarlige (den person eller det organ, der håndterer dine personoplysninger) indberette det til den nationale databeskyttelsesmyndighed. Den registeransvarlige skal også kontakte dig direkte, hvis dette brud medfører en alvorlig risiko for dine personoplysninger eller dit privatliv.
Klage
Hvis du mener, at der er sket et brud på din ret til at få dine oplysninger beskyttet, kan du klage direkte til din nationale databeskyttelsesmyndighed, som undersøger din klage og svarer dig inden for tre måneder.
Du kan også vælge at rejse en retssag mod den pågældende virksomhed eller organisation i stedet for først at gå til din nationale databeskyttelsesmyndighed.
Du kan have ret til erstatning, hvis du lider materiel skade, f.eks. et finansielt tab, eller immateriel skade som psykologiske lidelser, fordi en virksomhed eller organisation ikke overholder EU's regler for beskyttelse af personoplysninger.
Hvad med cookies?
Cookies er små tekstfiler, som et website beder din browser om at gemme på din computer eller mobile enhed. Cookies bruges i høj grad til at få websites til at fungere mere effektivt ved at gemme dine indstillinger. De bruges også til at følge dig på nettet, når du browser og opretter brugerprofiler, så du derefter får vist målrettede reklamer ud fra dine præferencer.
Alle websites, som ønsker at bruge cookies, skal have din accept, før de må installere en cookie på din computer eller mobile enhed. Et website må ikke nøjes med at informere dig om, at de bruger cookies, eller forklare dig, hvordan du kan slå dem fra.
Websites skal fortælle dig, hvad cookieoplysningerne bruges til. Du skal også have mulighed for at trække din accept tilbage. Hvis du vælger at gøre det, skal websitet stadig yde dig et minimum af service, f.eks. adgang til en del af websitet.
Ikke alle cookies kræver accept. Cookies, som alene bruges med det formål at overføre kommunikation, kræver ikke accept. Det gælder f.eks. cookies, som bruges til "lastbalancering" (som gør det muligt at fordele behandlingen af webserveropgaver på en serverpool i stedet for blot en enkelt server). Cookies, som er strengt nødvendige for at levere en onlinetjeneste, som du udtrykkeligt har anmodet om, kræver heller ikke accept. Det gælder f.eks. de cookies, der bruges, når du udfylder en onlineformular, eller når du bruger en indkøbskurv i en netbutik.
Se også
Det Europæiske Databeskyttelsesråd