Gælder GDPR for min virksomhed?

GDPR og gyldighed

GDPR er et sæt databeskyttelseslove, der gælder for virksomheder og organisationer, der opererer inden for Den Europæiske Union (EU). Det gælder også for virksomheder baseret uden for EU, hvis de tilbyder varer eller tjenester til EU-borgere eller overvåger deres adfærd.

Forordningen søger at beskytte enkeltpersoners personoplysninger og sikre, at virksomheder håndterer disse data på en gennemsigtig og ansvarlig måde. Det pålægger virksomheder forskellige forpligtelser, herunder indhentning af samtykke til databehandling, adgang til enkeltpersoners data og indberetning af databrud.

Ja – hvis I indsamler oplysninger om EU-borgere og -indbyggere, betragtes jeres lille eller mellemstore virksomhed som dataansvarlig. Som sådan skal den overholde GDPR. I mange henseender vil man være lige så ansvarlig som store virksomheder for, hvordan personoplysninger håndteres.

Hvis jeres virksomhed har færre end 250 ansatte, kan I dog få nogle undtagelser. I behøver f.eks. ikke nødvendigvis at ansætte en dataansvarlig (DPO). Kravene til bogføring vil ikke være så omfattede. Hvis jeres databehandlingsaktiviteter ikke er omfattende, behøver I heller ikke altid at foretage konsekvensanalyser til databeskyttelse.

Uanset jeres virksomheds størrelse skal I, hvis I opbevarer følsomme data, der kan betegnes som “følsomme data af særlig kategori”, føre fuldstændige optegnelser over, hvordan de behandles. I bør beskytte alle personlige data, I indsamler med tekniske foranstaltninger som f.eks. kryptering og adgangskodekontrol.

Ja – ligesom alle andre, lige fra små virksomheder til store virksomheder, gælder GDPR, hvis du behandler oplysninger om EU-borgere og indbyggere.

Da din virksomhed har færre end 250 ansatte, gælder visse undtagelser. Du behøver ikke at ansætte en DPO. Dine krav til bogføring vil ikke være så krævende. Hvis dine databehandlingsaktiviteter ikke er omfattende, behøver du desuden ikke altid at lave konsekvensanalyser til at beskytte data.

GDPR gælder for alle organisationer, der tilbyder varer eller tjenester til EU-borgere eller indbyggere i EU eller indsamler personlige oplysninger fra EU-borgere.

GDPR gælder for nonprofitorganisationer og foreninger i følgende tilfælde:

• Almennyttige organisationer: Hvis du modtager donationer fra borgere eller indbyggere i EU.
• Associationer: Hvis du har medlemmer i EU.

Ja – kravene afhænger ikke af, hvor jeres virksomhed er fysisk placeret eller registreret. Hvis I har kunder eller medarbejdere, der er EU-borgere eller bosiddende i EU, eller hvis I planlægger at markedsføre til dem i fremtiden, skal I overholde GDPR.

Hvis I flytter kundedata ud af EØS, er der faktisk særlige krav til sikkerhed og beskyttelse af personlige oplysninger, som I skal tage hensyn til. Kravene til registrering af grænseoverskridende overførsler vil også blive strammere.

Ja, det gør det. I starten af rekrutteringsprocessen indsamles en masse oplysninger om ansøgerne. Dette omfatter følsomme oplysninger. I bedes indhente samtykke, før I indsamler oplysninger som CV, straffeattester, vaccinationsoplysninger osv.

Ligesom andre samtykker skal I gøre dette klart, udtrykkeligt og aktivt. I må ikke blande samtykke sammen med andre klausuler eller gemme det i kontrakter. I kan også offentliggøre en meddelelse om behandling af medarbejderdata. Den skal fortælle medarbejderne, at I indsamler deres data og forklare hvorfor.