Persondataloven

Persondataloven var en dansk lov om beskyttelse af personoplysninger, som blev erstattet af EU’s GDPR i 2018. EU’s regler forud for GDPR var et direktiv, som ikke var juridisk bindende for medlemslandene. Det var derfor op til de enkelte lande selv at indføre nationale regler. I Danmark skete det med Persondataloven, der blev vedtaget i år 2000.

Med indførelsen af en forordning, der gælder i hele EU, blev reglerne ensartede på tværs af medlemslandene. Det har reduceret bureaukrati for virksomheder, der opererer på tværs af grænser, og samtidig gjort det mere gennemsigtigt for forbrugerne at forstå, hvordan deres oplysninger bliver brugt.

Persondataloven og GDPR

‍Persondataloven og GDPR indeholder mange af de samme elementer, da begge bygger på principper for god databehandling. GDPR er dog mere omfattende og skærpet på en række områder.

Et eksempel er samtykkereglerne. Samtykke skal nu gives aktivt, hvilket betyder, at forudafkrydsede felter ikke længere er gyldige. Samtidig er der skærpede krav til, hvilke informationer der skal gives ved indsamling af personoplysninger. Når det gælder følsomme oplysninger, kræves der udtrykkeligt samtykke – der må ikke kunne herske tvivl om, at personen forstår, hvordan data bliver anvendt.

Derudover er der indført nye rettigheder. GDPR har fastslået retten til anonymitet og indsigt, men har også introduceret retten til dataportabilitet. Det betyder, at borgere kan kræve at få deres data udleveret i et digitalt format, så de kan overføres til en ny databehandler – for eksempel mellem to banker. Hvor man tidligere i Danmark kunne få data slettet gennem Datatilsynet, skal det nu være muligt direkte hos den virksomhed, der behandler oplysningerne.

Et andet nyt element er Privacy by design. Virksomheder skal indarbejde hensyn til databeskyttelse i deres designprocesser, når de udvikler nye digitale produkter. Kravene er formuleret relativt bredt, men sætter fokus på at tænke sikkerhed ind fra starten.

De vigtigste nye krav er dog dokumentationskravene. Virksomheder skal nu kunne dokumentere, at de arbejder systematisk og organiseret med databeskyttelse. Det indebærer databehandleraftaler, bestyrelsesbeslutninger og fortegnelser over behandlingsaktiviteter. Grundlæggende skal det kunne bevises, at de indsamlede data har et legitimt formål og kun behandles i overensstemmelse med dette formål.

‍