Deling av personopplysninger i henhold til GDPR er bare lovlig der organisasjonen som utleverer dataene kan vise til et rettslig grunnlag i henhold til artikkel 6, skriftlig har avgjort om mottakeren er en databehandler eller en behandlingsansvarlig, og har informert de berørte personene om at delingen finner sted. Disse tre vilkårene dekker det meste av det som går galt. Den nederlandske tilsynsmyndigheten, Autoriteit Persoonsgegevens (AP), håndhever GDPR sammen med den nederlandske implementeringsloven, Uitvoeringswet AVG (UAVG), og artikkel 83 i GDPR setter maksimale bøter til det høyeste av et fast tak eller en prosentandel av den globale årlige omsetningen.
Personopplysninger krysser stadig organisasjonsgrenser: til en skyleverandør, et lønnsbyrå, et markedsføringsbyrå, et inkassobyrå, et konsernselskap i utlandet. Hver av disse flytene er en separat behandlingsoperasjon som må begrunnes på sine egne premisser. Denne artikkelen beskriver syv risikoer som gjentar seg i praksis, bestemmelsene de aktiverer, og hva en bedrift i Nederland kan gjøre med hver enkelt før saksøker eller en saksøker reiser spørsmålet.
Deling uten gyldig juridisk grunnlag
Enhver utlevering av personopplysninger krever et rettslig grunnlag i henhold til artikkel 6(1) i GDPR, og en kommersiell grunn er ikke en av dem. De seks grunnlagene er uttømmende: samtykke, oppfyllelse av en kontrakt, en rettslig forpliktelse, vitale interesser, en offentlig oppgave og legitime interesser. Artikkel 5(1)(a) legger til at behandlingen under alle omstendigheter må være lovlig, rettferdig og transparent, slik at et grunnlag som eksisterer på papiret, men aldri ble forklart for noen, fortsatt etterlater et gap.
Berettigede interesser er det grunnlaget som oftest påberopes for deling med partnere og leverandører, og det er det som oftest påberopes feilaktig. Det krever en vurdering i tre trinn: interessen må være berettiget, behandlingen må være nødvendig for å tjene den, og interessen må ikke overstyres av rettighetene og frihetene til de berørte individene. Denne avveiningen må utføres før delingen starter og registreres, fordi artikkel 5(2) legger byrden for å demonstrere samsvar på den behandlingsansvarlige. En vurdering av berettigede interesser som skrives etter at en klage er mottatt, er verdt svært lite.
To ytterligere feller er verdt å nevne. Samtykke innhentet i et arbeidsforhold er sjelden gyldig, fordi maktbalansen betyr at det ikke gis fritt, og en arbeidsgiver som er avhengig av det for datadeling, er vanligvis ikke avhengig av noe. Og formålsbegrensning i henhold til artikkel 5(1)(b) gjelder for delingen like mye som for den opprinnelige innsamlingen: data samlet inn for å levere en tjeneste kan ikke bare overføres til en partner for markedsføring fordi den kommersielle logikken er attraktiv. Der det nye formålet ikke er kompatibelt med det opprinnelige, er det behov for et nytt grunnlag.
Før personopplysninger forlater organisasjonen, identifiser grunnlaget, skriv det ned og sjekk at personvernerklæringen allerede beskriver delingen. Hvis grunnlaget er legitime interesser, hører vurderingen hjemme i filen. Hvis det er samtykke, må samtykket være gitt fritt, spesifikt, informert og utvetydig, og det må være like enkelt å trekke tilbake som det var å gi.
Feil med kontroller- og prosessorrollene
En behandlingsansvarlig bestemmer formålene og midlene for behandlingen; en databehandler handler kun etter den behandlingsansvarliges dokumenterte instruksjoner (artikkel 4(7) og (8) i GDPR). Rollene er ikke et spørsmål om hva kontrakten kaller partene, men om hvem som faktisk bestemmer, og feilklassifisering fører til forpliktelser som ingen oppfyller.
Den vanlige feilen er å stemple hver leverandør som en databehandler. En SaaS-leverandør som bruker kundedata til å forbedre sitt eget produkt, en regnskapsfører bundet av profesjonelle regler, en bank som utfører en betaling, en reklameplattform som bygger sine egne målgruppeprofiler: ingen av disse handler utelukkende på instruksjoner, og hver av dem er behandlingsansvarlige i seg selv for i det minste deler av behandlingen. Der to organisasjoner i fellesskap bestemmer formål og midler, er de felles behandlingsansvarlige i henhold til artikkel 26 i GDPR og må fastsette sine respektive ansvarsområder i en avtale hvis essens er gjort tilgjengelig for de registrerte.
Domstolen har trukket grensen bredt. I Fashion ID (C-40/17) slo den fast at en nettstedsoperatør som bygger inn en tredjeparts sosial plugin var en medbehandlingsansvarlig for innsamling og overføring av besøkendes data, selv om vedkommende ikke hadde tilgang til dataene etterpå og ikke bestemte hva som skjedde videre. Delvis innflytelse over formålene er nok. Den praktiske konsekvensen er medansvar: en organisasjon kan holdes ansvarlig for et brudd den ikke forårsaket og ikke kunne se.
Kartlegg først datastrømmene og spør, for hver enkelt, hvem som bestemmer hvorfor dataene behandles og hvordan. Registrer konklusjonen, og skriv den deretter korrekt ned: en behandlingsavtale i henhold til artikkel 28 for databehandlere, en felles behandlingsansvarligavtale i henhold til artikkel 26 der begge parter bestemmer, og ikke noe mer enn vanlige kontraktsvilkår pluss hver parts egen overholdelse der to uavhengige behandlingsansvarlige utveksler data.
En manglende eller mangelfull databehandleravtale
Der en databehandler håndterer personopplysninger på dine vegne, krever artikkel 28(3) i GDPR en skriftlig kontrakt, og bruddet er fullstendig fra det øyeblikket behandlingen starter uten en. Det trenger ikke å ha oppstått noen skade, og det trenger ikke å ha lekket data. Fraværet av avtalen er i seg selv bruddet, og det er en av de enkleste for en tilsynsmyndighet å fastslå.
Innholdet er foreskrevet snarere enn overlatt til partene. En kompatibel databehandleravtale må angi behandlingens gjenstand og varighet, dens art og formål, typene personopplysninger og kategoriene av registrerte, samt den behandlingsansvarliges forpliktelser og rettigheter. Den må forplikte databehandleren til kun å behandle på dokumenterte instruksjoner, pålegge sine ansatte taushetsplikt, iverksette sikkerhetstiltakene som kreves i artikkel 32, bistå med den registrertes rettigheter og med varsling av brudd, og slette eller returnere dataene ved oppdragets slutt. Den må også gi den behandlingsansvarlige den informasjonen som er nødvendig for å demonstrere samsvar og tillate revisjoner.
Det er ved underdatabehandling som standardmaler oftest mislykkes. Artikkel 28(2) og (4) krever at den behandlingsansvarlige gir forhåndsgodkjenning fra spesifikk eller generell skriftlig autorisasjon for enhver underdatabehandler, og der det gis en generell autorisasjon, må databehandleren informere den behandlingsansvarlige om planlagte endringer og gi denne muligheten til å protestere. En klausul som bare tillater databehandleren å engasjere hvem den vil, oppfyller ikke denne standarden, og det er nettopp klausulen som er viktig når en leverandørkjede viser seg å nå et land ingen har vurdert.
Arbeid ut fra en mal som sporer artikkel 28(3) klausul for klausul, og gjennomgå avtalene som allerede er på plass i stedet for å anta at leverandørens egne vilkår vil være tilstrekkelige. Langvarige forhold er mest sannsynlig udokumenterte, fordi papirarbeidet aldri var en prioritet da forholdet var ungt.
Overføring av data utenfor EØS uten sikkerhetstiltak
Kapittel V i GDPR begrenser overføring av personopplysninger til land utenfor EØS. En overføring er tillatt der Europakommisjonen har vedtatt en tilstrekkelighetsbeslutning for mottakeren (artikkel 45), eller der det er på plass nødvendige garantier (artikkel 46), vanligvis Kommisjonens standard kontraktsklausuler eller bindende selskapsregler. Unntakene i artikkel 49, som uttrykkelig samtykke eller nødvendighet for en kontrakt, gjelder for sporadiske situasjoner og kan ikke føre til en strukturell dataflyt.
Bedrifter overser ofte at en overføring skjer når data blir tilgjengelige fra et sted utenfor EØS, ikke bare når de kopieres dit. En kontrakt med en EU-enhet hjelper ikke hvis støttepersonell på et annet kontinent kan åpne databasen, og fjernadministrasjon av et morselskap i utlandet er en overføring selv når serverne forblir i Frankfurt.
Schrems II-dommen (C-311/18) ugyldiggjorde EU-US Privacy Shield og slo fast at standard kontraktsklausuler ikke er tilstrekkelige i seg selv: eksportøren må vurdere om loven i destinasjonslandet undergraver beskyttelsen klausulene lover, og må legge til tilleggstiltak der den gjør det. Denne konsekvensvurderingen av overføringen er fortsatt et krav for enhver overføring som hviler på artikkel 46. For USA har situasjonen siden endret seg på ett punkt: Kommisjonen vedtok en tilstrekkelighetsbeslutning for EU-US Data Privacy Framework i juli 2023, og Førstedomstolen avviste en sak om annullering av den i september 2025. Overføringer til en amerikansk organisasjon som faktisk er sertifisert under rammeverket, for de kategoriene av data som dekkes av sertifiseringen, kan derfor stole på tilstrekkelighet. Overføringer til enhver annen amerikansk mottaker kan ikke, og sertifiseringen må kontrolleres snarere enn antas.
Lag en oversikt over overføringer til tredjeland som er skjult i forsyningskjeden, inkludert underdatabehandlere og støtteordninger. For hver av dem, fastslå om tilstrekkelighet gjelder; hvis ikke, implementer gjeldende versjon av standardkontraktsklausulene, utfør og dokumenter en konsekvensanalyse av overføringer, og registrer de tilleggstiltakene som er benyttet, for eksempel sterk kryptering med nøkler som oppbevares i EØS. AP kan beordre at en overføring skal suspenderes, noe som er et mer forstyrrende utfall enn en bot.
Hoppe over en konsekvensutredning for personvern
Artikkel 35 i GDPR gjør en konsekvensanalyse av personvern (DPIA) obligatorisk der en behandlingsoperasjon sannsynligvis vil føre til høy risiko for enkeltpersoners rettigheter og friheter. Artikkel 35(3) nevner tre tilfeller uttrykkelig: systematisk og omfattende automatisert evaluering av personlige aspekter som avgjørelser med juridiske eller lignende betydelige virkninger er basert på, storskala behandling av spesielle kategorier av data eller av straffedommer, og systematisk overvåking av et offentlig tilgjengelig område i stor skala. AP publiserer en liste over behandlingsoperasjoner der den anser en DPIA som obligatorisk, og denne listen er det første stedet man skal se før et nytt datadelingsprosjekt starter.
Kravet blir rutinemessig undervurdert fordi organisasjoner forbinder DPIA-er med store prosjekter. I praksis vil det ofte være nok å kombinere datasett fra ulike kilder, dele helse- eller biometriske data med en analyseleverandør, implementere profilering eller automatisert beslutningstaking, eller innføre et verktøy som observerer ansatte.
En DPIA er en strukturert øvelse, ikke et skjema. Den må beskrive behandlingen og dens formål, vurdere nødvendighet og proporsjonalitet, identifisere risikoene for de registrerte og angi tiltakene som adresserer dem, inkludert sikkerhetstiltak. Der vurderingen viser en høy gjenværende risiko som den behandlingsansvarlige ikke kan redusere, krever artikkel 36 forhåndskonsultasjon med AP før behandlingen starter. Unnlatelse av å gjennomføre en obligatorisk DPIA er et brudd i seg selv, uansett hva resultatet av behandlingen ville ha vært.
Gjennomgå alle nye datadelingsordninger mot kriteriene i artikkel 35(3) og AP-listen, involver personvernombudet dersom en slik er utnevnt, og behold vurderingen som et levende dokument som gjennomgås på nytt når behandlingen endres. Der svaret er genuint uklart, er det billigere å gjennomføre DPIA enn å forsvare avgjørelsen om ikke å gjøre det.
For lite informasjon om delingen av dataene som er registrert
Åpenhet er en frittstående forpliktelse, og et brudd på den gjelder fortsatt selv der selve delingen var helt lovlig. Artikkel 13 i GDPR regulerer data samlet inn fra den enkelte og data innhentet fra en annen kilde i henhold til artikkel 14, og begge krever at den behandlingsansvarlige oppgir formålene og det juridiske grunnlaget for behandlingen samt mottakerne eller kategoriene av mottakere av personopplysningene.
Personvernerklæringer svikter på dette punktet på en forutsigbar måte. En setning som sier at data kan deles med betrodde partnere identifiserer ingenting; varselet må navngi kategoriene av mottakere konkret, for eksempel hostingleverandører, lønnsadministratorer eller kredittreferansebyråer, og der delingen skjer med en spesifikk navngitt organisasjon er det vanligvis tydeligere å navngi den. Der data overføres utenfor EØS, krever artikkel 13(1)(f) og 14(1)(f) at varselet sier dette og identifiserer hvilket sikkerhetstiltak som benyttes og hvordan en kopi av det kan innhentes.
Artikkel 14 går lenger der data ikke ble innhentet fra den enkelte: varselet må også angi hvilke kategorier av personopplysninger det gjelder og kilden de kommer fra, og det må gis innen rimelig tid og under alle omstendigheter innen én måned, eller senest ved første kommunikasjon med den enkelte hvis det skjer tidligere. Å kjøpe en markedsføringsliste og bruke den uten å fortelle personene på den er et av de klareste bruddene som er tilgjengelige. Vår veiledning om utarbeidelse av en personvernerklæring i Nederland angir hva varselet må inneholde i sin helhet.
Gjennomgå varselet hver gang en ny mottaker legges til, og oppdater det før delingen begynner, i stedet for ved neste årlige gjennomgang. Varsler må også være konsise, forståelige og i et klart og enkelt språk i henhold til artikkel 12(1), som utelukker at problemet kan løses ved å liste opp alle tenkelige mottakere i et dokument ingen kan lese.
Behandling av pseudonymiserte data som anonyme
Pseudonymiserte data er personopplysninger. Artikkel 4(5) i GDPR definerer pseudonymisering som behandling av personopplysninger slik at de ikke lenger kan tilskrives en bestemt person uten ytterligere informasjon, som oppbevares separat og underlagt sikkerhetstiltak. Definisjonen forutsetter at tilskrivningen fortsatt er mulig; det er det som skiller den fra anonymisering, og betraktning 26 bekrefter at data som fortsatt kan tilskrives en person ved bruk av ytterligere informasjon fortsatt faller inn under forordningens virkeområde.
Risikoen oppstår når pseudonymisering behandles som en lisens til fritt deling. Å erstatte navn med kundenumre fjerner ikke behovet for et juridisk grunnlag, en behandlingsavtale, en overføringsgaranti eller en personvernerklæring. Det er av stor betydning hvem som har nøkkelen og hvilke andre datasett mottakeren har: et sett med pseudonymiserte poster kombinert med et postnummer, en fødselsdato og en transaksjonshistorikk er ofte gjenidentifiserbart, og vurderingen må ta hensyn til midlene som med rimelighet kan forventes å bli brukt av mottakeren, ikke bare av deg.
Ekte anonymisering, der reidentifisering ikke lenger er mulig på noen måte som med rimelighet kan forventes brukt, tar data utenfor GDPR. Det er også virkelig vanskelig å oppnå og lett å kreve. Aggregering av små grupper, unike kombinasjoner av attributter og rike atferdsdata motvirker dette. Behandle data som pseudonymiserte, og derfor som personopplysninger, med mindre en dokumentert og teknisk forsvarlig anonymiseringsprosess sier noe annet, og registrer de tekniske og organisatoriske tiltakene som holder nøkkelen atskilt.
Fordelene er reelle: Artikkel 32 lister opp pseudonymisering som et passende sikkerhetstiltak, og det teller i organisasjonens favør når et sikkerhetsbrudd vurderes. Det reduserer konsekvensene av en lekkasje. Det reduserer ikke samsvarsforpliktelsene som gjelder før lekkasjen.
Slik ser håndheving ut i Nederland
AP fører tilsyn med overholdelsen av GDPR og UAVG og kan undersøke på eget initiativ eller etter en klage. Fullmaktene i henhold til artikkel 58 i GDPR strekker seg fra en advarsel og en irettesettelse via et pålegg om å bringe behandlingen i samsvar, til et midlertidig eller definitivt forbud mot behandling og et pålegg om å stanse dataflyt til en mottaker i et tredjeland. En administrativ bot er bare ett av virkemidlene, og for en virksomhet som er avhengig av en bestemt dataflyt er det sjelden det mest skadelige.
Artikkel 83 setter to nivåer for maksimale bøter: det lavere nivået gjelder brudd på forpliktelser som de i artikkel 25 til 39, inkludert fravær av en databehandleravtale eller en DPIA, og det høyere nivået gjelder brudd på de grunnleggende prinsippene, det rettslige grunnlaget, den registrertes rettigheter og reglene for internasjonale overføringer. Hvert nivå uttrykkes som et fast tak eller en prosentandel av den totale globale årlige omsetningen i foregående regnskapsår, avhengig av hva som er høyest, så for en gruppe selskaper er det vanligvis prosentandelen snarere enn taket som er det operative tallet. Artikkel 83(2) lister opp faktorene som bestemmer beløpet, inkludert overtredelsens art og varighet, om den var forsettlig eller uaktsom, tiltakene som er truffet for å redusere skaden og graden av samarbeid med myndigheten.
Reguleringstiltak er ikke den eneste eksponeringen. Artikkel 82 i GDPR gir enhver person som har lidt materiell eller ikke-materiell skade rett til erstatning fra den behandlingsansvarlige eller databehandleren, og i Nederland blir slike krav i økende grad fremmet kollektivt under Wet ontwikkeling massaschade in collectieve actie (WAMCA) av stiftelser som opptrer på vegne av store grupper. En avgjørelse fra AP, når den er publisert, er et praktisk utgangspunkt for et slikt krav.
Et brudd på personopplysninger forårsaket av ulovlig deling har sin egen tidsplan. Artikkel 33 krever at AP varsles uten unødig forsinkelse, og der det er mulig, innen 72 timer etter at man blir oppmerksom på bruddet, med mindre det er usannsynlig at det vil medføre en risiko for enkeltpersoner. Artikkel 34 krever at de berørte personene informeres uten unødig forsinkelse der bruddet sannsynligvis vil medføre en høy risiko for dem. Alle brudd må dokumenteres internt, inkludert de som ikke varsles, og begrunnelsen for ikke å varsle er en del av denne registreringen.
Å få orden på en datadelingsordning
De sju risikoene ovenfor har én felles årsak: deling ordnes operativt av teamet som trenger at dataene flyttes, og dokumenteres etterpå, eller ikke i det hele tatt. Løsningen er like praktisk. Start med en gjeldende oversikt over behandlingsaktiviteter i henhold til artikkel 30, som allerede må eksistere og som tvinger hver mottaker til å bli navngitt. For hver mottaker, etabler rollen, det juridiske grunnlaget, kontraktsinstrumentet, overføringsposisjonen og hva personvernerklæringen sier. De fleste organisasjoner finner to eller tre strømmer som ingen kan redegjøre for.
Bygg inn vurderingen i anskaffelsesprosessen slik at en leverandør ikke kan bli onboardet uten en behandlingsavtale, en overføringsanalyse og en DPIA-screening, og gi noen myndighet til å stoppe en onboarding som mislykkes. Gjennomgå situasjonen når ordningen endres: en ny underdatabehandler, et nytt formål, et nytt land eller et oppkjøp som bringer andres datastrømmer inn i konsernet. Forpliktelsen i henhold til artikkel 5(2) er å kunne demonstrere samsvar, og det er en forpliktelse om registre like mye som om oppførsel. For kontrakter med IT-leverandører spesifikt, beskriver vår IT-rettspraksis hvordan personvernvilkårene samhandler med de kommersielle.
Ofte stilte spørsmål
Når er datadeling tillatt under GDPR?
Datadeling er bare lovlig hvis du har et gyldig rettslig grunnlag i henhold til artikkel 6 i GDPR. De seks rettslige grunnlagene er: samtykke, kontraktsmessig nødvendighet, rettslig forpliktelse, vitale interesser, offentlig oppgave og legitime interesser. Du må også overholde prinsippene om lovlighet, rettferdighet, åpenhet, formålsbegrensning, dataminimering, nøyaktighet, lagringsbegrensning, integritet og konfidensialitet (artikkel 5 i GDPR). I praksis betyr dette å tydelig dokumentere hvorfor du deler data, sørge for at formålet samsvarer med hvorfor du opprinnelig samlet dem inn, og informere de registrerte om delingen.
Hva er forskjellen mellom en kontroller og en prosessor?
En behandlingsansvarlig bestemmer formålene og midlene for behandling av personopplysninger. En databehandler behandler data på vegne av den behandlingsansvarlige i henhold til spesifikke instruksjoner. Dette skillet er viktig fordi behandlingsansvarlige primært er ansvarlige for samsvar med GDPR, mens databehandlere har mer begrensede forpliktelser (hovedsakelig å sikre sikkerhet og konfidensialitet). Hvis du deler data med en leverandør som behandler dem etter dine instruksjoner – for eksempel en lønnsleverandør eller skylagringstjeneste – er de vanligvis en databehandler. Hvis de også bestemmer hvordan de skal bruke dataene til sine egne formål, kan de være en (felles) behandlingsansvarlig. Feilaktig identifisering av roller kan føre til hull i ansvarlighet og felles ansvar for brudd.
Når er en databehandleravtale (DPA) obligatorisk?
En databehandleravtale er obligatorisk når du engasjerer en databehandler til å håndtere personopplysninger på dine vegne (artikkel 28 i GDPR). Dette gjelder uavhengig av størrelsen på organisasjonen din eller mengden data som er involvert. Databehandleravtalen må være skriftlig og inneholde spesifikke obligatoriske klausuler, for eksempel behandlingens innhold og varighet, art og formål, datatyper og kategorier av registrerte, og begge parters forpliktelser angående sikkerhet, varsling av brudd og underbehandling. Uten en kompatibel databehandleravtale er du i brudd fra det øyeblikket databehandleren begynner behandlingen, selv om det ikke oppstår noen skade.
Kan jeg dele kundedata med en part utenfor EU?
Ja, men bare hvis strenge vilkår er oppfylt. I henhold til artikkel 44–49 i GDPR kan du overføre data til et tredjeland hvis: (a) EU-kommisjonen har truffet en tilstrekkelighetsbeslutning for det landet, eller (b) du har innført passende garantier, for eksempel standard kontraktsklausuler (SCC-er). Etter Schrems II -dommen må du også gjennomføre en konsekvensanalyse av overføringer (TIA) for å vurdere om destinasjonslandets lover (f.eks. statlig overvåking) undergraver beskyttelsen som er garantert av SCC-ene. Hvis risikoen vedvarer, må du iverksette tilleggstiltak, for eksempel kryptering eller dataminimering. Overføringer uten tilstrekkelige garantier kan føre til håndhevingstiltak fra AP, inkludert suspensjon av overføringen.
Når er en DPIA nødvendig for datadeling?
En DPIA er obligatorisk i henhold til artikkel 35 i GDPR når behandling sannsynligvis vil føre til høy risiko for enkeltpersoners rettigheter og friheter. Dette inkluderer: storskala behandling av spesielle kategorier av data (f.eks. helse-, biometriske og genetiske data), systematisk overvåking av offentlig tilgjengelige områder, automatisert beslutningstaking med juridiske eller lignende betydelige virkninger, og bruk av ny teknologi. Ved deling av data er en DPIA ofte nødvendig hvis du kombinerer datasett, deler sensitiv informasjon eller bruker dataene til profilering eller AI-drevet analyse. AP har publisert en liste over behandlingsoperasjoner som krever en DPIA. Hvis du er i tvil, gjennomfør en – det er bedre å være føre var.
Hvilke bøter kan bedrifter få for brudd på GDPR?
GDPR har to nivåer av bøter. Det lavere nivået – opptil 10 millioner euro eller 2 % av den globale årlige omsetningen – gjelder brudd som å ikke implementere passende sikkerhetstiltak eller ikke gjennomføre en DPIA når det er nødvendig. Det høyere nivået – opptil 20 millioner euro eller 4 % av den globale årlige omsetningen – gjelder mer alvorlige brudd, inkludert mangel på lovlig grunnlag for behandling, ulovlige internasjonale overføringer eller brudd på registrertes rettigheter. AP fastsetter botbeløpet basert på faktorer som bruddets art og alvorlighetsgrad, om det var forsettlig eller uaktsomt, antall berørte individer og eventuelle avbøtende tiltak som er iverksatt. Nylig håndheving viser at AP er villig til å ilegge betydelige bøter, spesielt for systematiske eller bevisste brudd.
Er det alltid trygt å dele pseudonymiserte data?
Nei. Pseudonymisering reduserer risikoen, men eliminerer den ikke. I henhold til artikkel 4(5) i GDPR betyr pseudonymisering å erstatte direkte identifikatorer (som navn) med koder eller pseudonymer. Men hvis dataene fortsatt kan knyttes tilbake til en person – for eksempel ved å bruke tilleggsinformasjon som du eller mottakeren har – forblir de personopplysninger og er fullt ut underlagt GDPR. Dette betyr at du fortsatt trenger et juridisk grunnlag, må informere de registrerte og må sørge for tilstrekkelig sikkerhet. Bare ekte anonymisering – der reidentifisering ikke lenger er mulig på noen rimelig måte – fjerner data fra GDPRs virkeområde. I praksis er det vanskelig å oppnå ekte anonymisering og krever ekspertvalidering.
Hva bør jeg gjøre hvis bedriften min opplever et datainnbrudd på grunn av ulovlig datadeling?
Hvis du oppdager et brudd på personopplysninger – inkludert et brudd forårsaket av ulovlig datadeling – har du 72 timer på deg til å varsle AP i henhold til artikkel 33 i GDPR (med mindre bruddet sannsynligvis ikke vil medføre en risiko for enkeltpersoners rettigheter og friheter). Du må også varsle berørte personer uten unødig forsinkelse dersom bruddet sannsynligvis vil medføre en høy risiko for dem (artikkel 34 i GDPR). Umiddelbare tiltak inkluderer: å begrense bruddet, vurdere omfanget og virkningen, dokumentere hva som skjedde og hva du gjør med det, og varsle AP via deres nettportal. Unnlatelse av å varsle kan føre til en separat bot. AP vil vurdere om håndhevingstiltak er berettiget basert på alvorlighetsgraden av bruddet og din reaksjon.
Juridisk rådgivning om datadeling og GDPR
Law & More gir råd til bedrifter i Nederland om den juridiske siden av datadeling: fastsettelse av behandlingsansvarliges og databehandlerroller, utarbeidelse og forhandling av behandlingsavtaler og felles behandlingsansvarligeordninger, vurdering av overføringer utenfor EØS, gjennomføring av konsekvensanalyser for personvern og oppdatering av personvernerklæringer. Vi bistår også organisasjoner som er gjenstand for en AP-etterforskning eller som må varsle om brudd på personopplysninger innen en løpende frist.
Hvis du er usikker på om en bestemt dataflyt kan berettiges, eller du inngår en avtale der personopplysninger skal overføres mellom organisasjoner, er du velkommen til å kontakte oss for å diskutere situasjonen før delingen starter.
