Myter om databeskyttelsesreglerne

Nej - samtykke er et af flere retlige grundlag for at behandle personoplysninger. Grundlaget kan fx også været at opfylde en aftale eller en retlig forpligtelse.

Nej, det vil normalt være helt i orden at have en liste over folks fødselsdage - Datatilsynet har faktisk selv sådan en liste på intranettet! Men hvis en kollega ikke ønsker sin fødselsdato delt med andre, skal man lave en ny vurdering ift. delingen af denne persons oplysninger.

Nej, som udgangspunkt er det helt fint at dele deltagerlister ud til deltagerne. Man skal bare huske oplysningspligten og fx fortælle deltagerne ved tilmeldingen, at man vil dele deres oplysninger med de andre deltagere - så har man også mulighed for at sige fra, hvis man ikke ønsker at optræde på sådan en liste.

Nej, databeskyttelsesreglerne indeholder ingen facitlister for, hvornår man skal slette personoplysninger - slettefrister afhænger altid af en konkret vurdering. Der kan dog være anden lovgivning, der angiver, hvor længe en bestemt type oplysning som minimum skal gemmes.

Ikke som det første, nej. Når du gerne vil bruge dine rettigheder og fx bede en virksomhed slette nogle oplysninger om dig, bør du nemlig som udgangspunkt først kontakte virksomheden og anmode om, at oplysningerne bliver slettet. Imødekommer virksomheden ikke din anmodning, kan du klage til os.

Jo, det vil normalt være helt i orden at have en vagtplan hængende i frokoststuen, hvor det kun er virksomhedens egne medarbejdere, der færdes.

Jo, databeskyttelsesreglerne gælder for behandling af alle typer personoplysninger – både almindelige personoplysninger, som fx navn, adresse og telefonnummer, og følsomme personoplysninger, som fx helbredsoplysninger. Begrebet personoplysning er ret bredt defineret og omfatter enhver form for information, der kan henføres til en bestemt person, også selvom personen kun kan identificeres, hvis oplysningen kombineres med andre oplysninger. Hvis man som organisation behandler sådanne typer af oplysninger, skal man sikre sig, at man gør det i overensstemmelse med loven.

Jo, det må man som udgangspunkt gerne. Oplysninger om navn og adresse er som udgangspunkt hverken følsomme eller fortrolige personoplysninger, og derfor vil risikoen for den registrerede (den der videregives oplysninger om) som regel være forholdsvist lille, hvorfor e-mailen ikke behøver at være krypteret.

Jo, i sådan et tilfælde skal I stadig være opmærksomme på databeskyttelsesreglerne. Reglerne finder nemlig anvendelse, da der stadig er tale om personoplysninger. Selv om oplysninger som et navn eller en adresse er erstattet af en kode, fx AB123, er det stadig en personoplysning, hvis koden kan føres tilbage til den oprindelige personoplysning. Det er tilfældet, så længe der er nogen, der kan gøre oplysningerne læsbare og identificere de personer, det drejer sig om. Oplysninger er kun anonyme, og derved ikke beskyttet af databeskyttelsesreglerne, hvis ingen fysiske personer kan identificeres ud fra oplysningerne eller i kombination med andre oplysninger – og hvis anonymiseringen er uigenkaldelig.

Nej, databeskyttelsesreglerne er også vigtige for dig som borger – det er nemlig dine oplysninger, der er omdrejningspunktet for reglerne. Og selv om du som borger har færre forpligtelser end virksomhederne, har du en række vigtige rettigheder, herunder ret til at få at vide, hvilke oplysninger der behandles om dig, og som udgangspunkt ret til sletning eller berigtigelse.

Nej, databeskyttelsesreglerne gælder for behandling af personoplysninger, uanset størrelsen af den organisation eller virksomhed, der foretager behandlingen.

Nej. Det er en udbredt misforståelse, at det er cloud-tjenestens udbyder – og ikke den enkelte virksomhed – der skal opfylde reglerne om databeskyttelse.

Når man som dataansvarlig virksomhed lagrer data hos en cloud-tjeneste, er det virksomhedens pligt at efterleve reglerne og herudover instruere cloud-tjenestens udbyder i, hvordan data skal behandles – ellers kan det medføre en bøde.

Nej. Man skal altid have et retligt grundlag – også kaldet en hjemmel, når man som dataansvarlig behandler personoplysninger. Derudover skal nogle grundlæggende principper altid være opfyldt, når der er tale om en behandling under databeskyttelsesreglerne.

Nej. Der er som udgangspunkt ikke noget i vejen med at modtage ansøgninger på mail, men man skal huske at håndtere ansøgningerne forsvarligt, når man først har modtaget dem.

Jo, et samtykke kan til enhver tid tilbagekaldes. Det betyder, at hvis man som eksempelvis borger eller kunde har givet samtykke til brug af ens personoplysninger, kan man uden videre henvende sig og sige, at man trækker samtykket tilbage igen.

Og hvis man som dataansvarlig baserer sin behandling af personoplysninger på et samtykke, skal behandlingen ophøre, når samtykket bliver tilbagekaldt.

Det er ganske rigtigt en dårlig idé at registrere, hvilke medarbejdere der er muslimer eller ikke kan tåle skaldyr. Men der er intet galt i at spørge, om der er noget, folk ikke spiser - så kan det dække over både tro, helbred og det, at man virkelig bare ikke bryder sig om sild.

Nej, det behøver man ikke - databeskyttelsesreglerne gør sig ikke gældende i rent private sammenhænge.

Nej, databeskyttelsesreglerne handler kun om, hvornår fx en organisation kan og må behandle personoplysninger. Reglerne fastslår ikke, hvornår en offentlig myndighed, privat virksomhed e.l. har krav på at få oplysninger om dig. Det kan dog sagtens følge af anden lovgivning, at du har pligt til at udlevere oplysninger om dig selv.

Nej - Datatilsynet besvarer mange tusind spørgsmål skriftligt og telefonisk hvert år, og vores vejledningsindsats handler i udgangspunktet om at hjælpe folk med at få svar på deres spørgsmål. Det vigtigste for os er jo, at reglerne bliver overholdt, og derfor skal man trygt kunne ringe til os og få hjælp til at forstå reglerne. Og vi arbejder på at blive endnu bedre til at give svar, der er så konkrete som muligt, og hjælpe folk videre i processen.

Ja og nej. CPR-nummeret er ikke defineret som en følsom oplysning - en kategori, der ellers rummer oplysninger om bl.a. seksualitet, religion og politisk overbevisning.

Når det er sagt, er der stadig god grund til at passe på sit CPR-nummer, og Datatilsynet råder generelt til, at man tænker sig om, før man deler det med andre. Det skyldes bl.a. risikoen for identitetstyveri.

Nej, det behøver man ikke. Det er som regel ikke i strid med databeskyttelsesreglerne, at virksomheder og myndigheder sender oplysninger til borgeres almindelige mail, da transmissionen i langt de fleste tilfælde vil være krypteret.

Datatilsynet modtager ofte klager fra borgere, der modtager oplysninger på deres almindelige mail - typisk fordi det vedrører følsomme personoplysninger.

Det er også rigtigt nok, at Datatilsynet kræver, at følsomme oplysninger sendes krypteret. Men almindelige private mailkonti - fx Gmail, Outlook og ProtonMail - kan også modtage krypterede mails.

De myndigheder og virksomheder, der har mulighed for at sende oplysningerne som Digital Post ved anvendelse af MitID bør gøre dette - men mindre virksomheder o.l. kan sagtens sende til almindelige mailservices, hvis bare de sørger for at kryptere med det, der hedder TLS, og de sikrer sig, at de modtages krypteret.