Enhver forklaring af databeskyttelsesforordningen begynder hos den registrerede. En softwarevirksomhed møder den fra den anden side: som den part, der ligger inde med andres oplysninger, i to roller på én gang, med et sæt forpligtelser, der tændes og slukkes med virksomhedens størrelse og oplysningernes art. Dette er læsningen fra den side, bestemmelse for bestemmelse, for en virksomhed, der leverer eller driver software i Unionen. Den gratis bestemmelse stiller ni spørgsmål og skriver den samme læsning ned for jeres tilfælde.
To roller, pr. behandling, ikke pr. virksomhed
Artikel 4, nr. 7, gør jer til dataansvarlig for enhver behandling, hvis formål og hjælpemidler I afgør. Jeres kunderelationsdata, jeres emneliste, jeres personalesager, analysen på jeres egen hjemmeside: I bestemmer hvorfor og hvordan, så I er den dataansvarlige, uanset hvad jeres produkt gør.
Artikel 4, nr. 8, gør jer til databehandler for den behandling, I udfører på vegne af en dataansvarlig. En SaaS, der opbevarer sine kunders slutbrugerdata, en hostet API, der modtager personoplysninger for at returnere et resultat, en managed service, der administrerer en kundes systemer: for de oplysninger bestemmer kunden, og I behandler efter dennes instruks. De fleste softwarevirksomheder er derfor begge dele, og rollerne knytter sig til behandlingen, ikke til virksomheden. Kataloget bag GDPR-siden bærer rækkerne for hver rolle, og bestemmelsen lister databehandlerrækkerne særskilt.
Databehandlerrollen bringer en kontrakt med sig. Artikel 28, stk. 3, kræver, at behandlingen er reguleret af en kontrakt, der fastsætter genstand, varighed, karakter og formål, typen af oplysninger og kategorierne af registrerede, og otte vilkår: behandling kun efter dokumenteret instruks, fortrolighed hos de autoriserede personer, sikkerhedsforanstaltningerne i artikel 32, betingelserne for at gøre brug af en anden databehandler, bistand til de registreredes rettigheder, bistand til artikel 32 til 36, sletning eller tilbagelevering ved ophør, og de oplysninger, der er nødvendige for at påvise overholdelse, revisioner inklusive. En bankkunde under DORA sender sine egne klausuler ovenpå; de to sæt står side om side i den samme aftale.
Fortegnelsen over behandlingsaktiviteter, og hvorfor undtagelsen ved 250 personer aldrig fritager et produkt i brug
Artikel 30, stk. 1, kræver, at hver dataansvarlig fører en fortegnelse over behandlingsaktiviteter: navn og kontaktoplysninger på den dataansvarlige, den fælles dataansvarlige, repræsentanten og rådgiveren, hvor der er en; formålene; kategorierne af registrerede og af personoplysninger; kategorierne af modtagere; overførsler til tredjelande med dokumentation for garantierne, hvor artikel 49, stk. 1, påberåbes; hvis muligt fristerne for sletning; og hvis muligt en generel beskrivelse af sikkerhedsforanstaltningerne i artikel 32, stk. 1. Artikel 30, stk. 2, kræver, at hver databehandler fører spejlfortegnelsen over de behandlinger, der udføres for hver dataansvarlig.
Artikel 30, stk. 5, siger, at forpligtelsen ikke gælder for en virksomhed, der beskæftiger under 250 personer, og tager det tilbage i samme sætning: medmindre behandlingen sandsynligvis vil medføre en risiko for de registreredes rettigheder og frihedsrettigheder, behandlingen ikke er lejlighedsvis, eller behandlingen omfatter særlige kategorier af oplysninger eller oplysninger om straffedomme. Et produkt i brug behandler personoplysninger hver dag i året. Den behandling er ikke lejlighedsvis, så undtagelsen er væk, før virksomhedens størrelse tælles. Fortegnelsen er en forpligtelse i enhver størrelse for enhver softwarevirksomhed med et kørende produkt, og den er det dokument, enhver anden forpligtelse i denne artikel henviser tilbage til.
Databeskyttelsesrådgiveren
Artikel 37, stk. 1, kræver en databeskyttelsesrådgiver i tre tilfælde, hvoraf to når en privat virksomhed: hvor kerneaktiviteterne består af behandlingsaktiviteter, der i medfør af deres karakter, omfang eller formål kræver regelmæssig og systematisk overvågning af registrerede i stort omfang (litra b), og hvor kerneaktiviteterne består af behandling i stort omfang af særlige kategorier af oplysninger efter artikel 9 eller af oplysninger om straffedomme og lovovertrædelser efter artikel 10 (litra c).
"Kerneaktiviteter" er den test, der afgør de fleste tilfælde. En virksomhed, hvis produkt er adfærdsanalyse, ad-tech, lokationssporing eller medarbejderovervågning, overvåger mennesker som forretning; en virksomhed, der driver et faktureringsprodukt, gør det ikke, uanset hvor mange registreringer den ligger inde med. Rådgiveren kan være en medarbejder eller en ekstern (artikel 37, stk. 6), udpeges på grundlag af faglige kvalifikationer og ekspertise inden for databeskyttelsesret (artikel 37, stk. 5), og kontaktoplysningerne offentliggøres og meddeles tilsynsmyndigheden (artikel 37, stk. 7).
Hvor artikel 37, stk. 1, ikke kræver en, kan en medlemsstats ret gøre det (artikel 37, stk. 4). Tyskland gør det: § 38 BDSG kræver en rådgiver fra 20 personer, der er fast beskæftiget med automatisk behandling af personoplysninger. En virksomhed, der sælger til Tyskland fra et andet sted, rammes ikke af den regel; en virksomhed, der er etableret der, gør.
Konsekvensanalysen
Artikel 35, stk. 1, kræver en konsekvensanalyse vedrørende databeskyttelse før enhver behandling, der sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, navnlig ved brug af nye teknologier. Artikel 35, stk. 3, nævner tre tilfælde, hvor den under alle omstændigheder er påkrævet: en systematisk og omfattende vurdering af personlige forhold baseret på automatisk behandling, herunder profilering, som ligger til grund for afgørelser med retsvirkning eller tilsvarende betydelig virkning; behandling i stort omfang af særlige kategorier eller strafferetlige oplysninger; og systematisk overvågning af et offentligt tilgængeligt område i stort omfang. Tilsynsmyndighederne offentliggør yderligere lister efter artikel 35, stk. 4.
Indholdet er artikel 35, stk. 7: en systematisk beskrivelse af behandlingen og dens formål, en vurdering af nødvendigheden og proportionaliteten, en vurdering af risiciene og de foranstaltninger, der påtænkes for at imødegå dem. Forbliver restrisikoen høj, kræver artikel 36, stk. 1, forudgående høring af tilsynsmyndigheden, før behandlingen begynder. For en softwarevirksomhed er det første tilfælde det, man skal holde øje med: en scoring-, ranking- eller screeningfunktion, der frembringer afgørelser om mennesker, er en systematisk og omfattende vurdering, uanset om nogen kalder den profilering.
Repræsentanten, for en virksomhed uden for Unionen
Artikel 3, stk. 2, anvender forordningen på en dataansvarlig eller databehandler, der ikke er etableret i Unionen, hvor behandlingen vedrører udbud af varer eller tjenester til registrerede i Unionen eller overvågning af deres adfærd dér. Hvor den gælder, kræver artikel 27, stk. 1, en skriftligt udpeget repræsentant i Unionen. Artikel 27, stk. 2, litra a, undtager behandling, der er lejlighedsvis, ikke omfatter særlige kategorier i stort omfang og sandsynligvis ikke indebærer en risiko. Et produkt, der udbydes til personer i Unionen, er ikke lejlighedsvis behandling, så en virksomhed uden for Unionen med kunder i den har normalt brug for repræsentanten; undtagelsen er skrevet til den virksomhed, der møder forordningen ved et tilfælde, ikke til en, der sælger ind i Unionen.
Overførsler, og de grundlag en cloudkontrakt skal nævne
Artikel 44 tillader kun en overførsel til et tredjeland på betingelserne i kapitel V, videreoverførsler inklusive. Grundlagene er tre: en afgørelse fra Kommissionen om tilstrækkeligheden af beskyttelsesniveauet efter artikel 45, for USA afgørelsen om Data Privacy Framework af 10. juli 2023, som kun dækker de virksomheder, der er certificeret under den; fornødne garantier efter artikel 46, i praksis de standardkontraktbestemmelser, Kommissionen vedtog den 4. juni 2021; og undtagelserne i artikel 49 for særlige situationer, som ikke er grundlag for en kørende tjeneste. En cloududbyder med europæiske regioner er stadig et overførselsspørgsmål den dag, support, backup eller telemetri når uden for EØS, og fortegnelsen efter artikel 30 er stedet, hvor grundlaget for hver overførsel skrives ned.
De to frister
Artikel 33, stk. 1, kræver, at den dataansvarlige anmelder et brud på persondatasikkerheden til tilsynsmyndigheden uden unødig forsinkelse og om muligt senest 72 timer efter at være blevet bekendt med det; en senere anmeldelse ledsages af begrundelsen for forsinkelsen. Artikel 33, stk. 2, kræver, at databehandleren underretter den dataansvarlige uden unødig forsinkelse efter at være blevet bekendt med det, hvilket for en SaaS betyder, at kundens frist begynder med jeres besked. Artikel 34, stk. 1, tilføjer underretningen af de registrerede, hvor bruddet sandsynligvis vil indebære en høj risiko for dem.
Artikel 12, stk. 3, sætter den anden frist: oplysninger om de foranstaltninger, der er truffet på en registrerets anmodning, gives uden unødig forsinkelse og under alle omstændigheder inden for en måned efter modtagelsen, med mulighed for forlængelse med to yderligere måneder, hvor det er nødvendigt under hensyn til anmodningernes kompleksitet og antal. Begge frister løber fra en hændelse, ikke fra en dato, og derfor hører de hjemme i hændelses- og anmodningsregistrene og ikke i en kalender; NIS2 og CRA lader deres løbe på samme måde, fra kendskab.
Hvad ISO 27701 giver jer, og hvad den ikke giver
ISO/IEC 27701 udvider et ISO 27001-ledelsessystem til privatliv: bilag A lister foranstaltningerne for en dataansvarlig, bilag B dem for en databehandler, og kataloget bag bestemmelsen nævner for hver forpligtelse den foranstaltning, hvis registrering er dokumentationen i StandardOS' læsning. Fortegnelsen over behandlingsaktiviteter, databehandlerkontraktens vilkår, brudproceduren, overførselsregistret og håndteringen af de registreredes anmodninger har alle en foranstaltning bag sig. Forordningen nævner ingen standard og giver ingen formodning om overensstemmelse: et certifikat er dokumentation for, at processen findes, og tilsynsmyndigheden læser processen op mod teksten. Artikel 83 sætter lofterne for at gøre det forkert til EUR 10 millioner eller 2 % af den samlede globale årlige omsætning for forpligtelserne i artikel 25 til 39 og EUR 20 millioner eller 4 % for principperne, retsgrundlagene, de registreredes rettigheder og overførslerne.
Ni svar afgør, hvilke af disse forpligtelser der gælder for jeres virksomhed. Bestemmelsen skriver dem ned med bestemmelsen bag hver linje, på jeres sprog, til at kopiere eller downloade.