04.12.2014

Sjusk med persondata i virksomheder kan udløse sanktioner i millionklassen

Når en EU-forordning om kort tid giver en væsentlig stramning af persondataloven, vil det ramme danske virksomheder hårdt, lyder vurderingen fra ekspert.

En væsentlig stramning af reglerne for, hvordan persondata behandles og opbevares, er på trapperne fra EU. Med den vil danske virksomheder blive stillet over for skrappe krav om bl.a. nedskrevne procedurer for behandling af persondata – og sanktionerne vil være i millionklassen, hvis reglerne ikke efterleves. En brat opvågning for rigtig mange virksomheder, vurderer ekspert i persondataloven Karina Lind Bertelsen fra ADVODAN. Hun peger på, at mange danske virksomheder ikke engang kender den nuværende lovgivning og derfor risikerer at blive hårdt ramt af de skærpede krav.

”Det er min klare oplevelse, at en lang række virksomheder famler noget i blinde i forhold til, hvordan de skal håndtere personoplysninger om deres medarbejdere, kunder m.v. Persondataloven gælder hver gang, du registrerer personlige oplysninger enten elektronisk eller manuelt fx i et arkivsystem eller en mappe, og du har som dataansvarlig en lang række forpligtelser over for de personer, du registrerer oplysninger om – bl.a. det at indhente samtykke. Du har i en række tilfælde også pligt til at oplyse Datatilsynet om de registreringer, du foretager. Og det er der ikke mange, der er klar over,” siger advokat Karina Lind Bertelsen.

Kom på forkant nu

Når EU's kommende forordning om behandlingen af persondata formentlig bliver vedtaget i slutningen af 2014 eller i starten af 2015, går der to år, før den træder endeligt i kraft. Det giver de danske virksomheder lidt tid at løbe på, men den klare anbefaling er at komme i gang med at se alvorligt på både de nuværende regler og de kommende krav. Det tager tid at indrette sine procedurer i en travl hverdag, og det er en udfordring for især de små og mellemstore virksomheder.

”Få styr på hvad der gælder nu, inden de nye regler kommer. For de bliver så markant skrappere, at det er en stor fordel at være på forkant nu,” lyder rådet fra Karina Lind Bertelsen.

Virksomheder mangler viden

Hun har i øjeblikket travlt med at holde oplæg for danske virksomheder om både den nuværende og den kommende lovgivning for behandling af persondata, og hun er ikke i tvivl om, at der mangler viden på området.

”De virksomheder, vi taler med, viser stor interesse for at få styr på deres egne procedurer. Nogle af de typiske fejl, virksomhederne begår, er at undlade at anmelde lovpligtige oplysninger til Datatilsynet, indhente nødvendige samtykker fra de personer, der behandles oplysninger om, slette oplysninger, der ikke længere er nødvendige og sikre skriftlige aftaler med såkaldte databehandlere, der behandler persondata på vegne af virksomheden fx leverandører, der styrer løn og it. Med de kommende bødekrav kan det give meget ubehagelige overraskelser,” siger Karina Lind Bertelsen.

Fakta om den nuværende persondatalov:

• Loven trådte i kraft den 1. juli 2000
• Persondataloven omfatter både offentlige myndigheder, private virksomheder, foreninger m.v.
• Loven gælder al elektronisk behandling af personoplysninger og manuel behandling af personoplysninger, når oplysningerne er indeholdt i et register
• Det overordnede formål med loven er at sikre, at den enkelte borgers retsbeskyttelse og integritet ikke krænkes i forbindelse med behandling af personoplysninger

Kilde: Advodan