FaceBook er DIT ansvar
Hvis du har en FaceBook-side for din virksomhed eller forening, er der dårligt nyt. En spritny EU-dom fra Schleswig-Holstein slår fast, at ejere af FaceBook-sider også bærer ansvar for, hvad FaceBook gør ved de persondata, som de høster fra besøgende.

Datatilsynet i Danmark offentliggjorde i går deres fortolkning af dommen og præciserede det således:

Du er sammen med Facebook fælles ansvarlig for at overholde reglerne i databeskyttelsesforordningen (i forhold til den pågældende Facebook-side)

Du skal sikre, at besøgende på siden (uanset om de er Facebook-brugere eller ej) får information om persondatapolitikken og, i det omfang det er krævet, også giver samtykke til behandlingen

Personer, der bliver registreret som følge af besøg på din side kan udøve deres rettigheder overfor dig. Det gælder f.eks. retten til indsigt, retten til at gøre indsigelse eller retten til sletning

I forhold til et eventuelt erstatningsansvar i forbindelse med behandlingen af personoplysningerne hæfter du og Facebook solidarisk

I Datatilsynet er vi naturligvis opmærksomme på, at ovennævnte kræver, at Facebook medvirker til en løsning, hvilket vi forventer og i europæisk sammenhæng sammen med bl.a. Datatilsynet i Irland vil følge op på, at Facebook gør. I det omfang reglerne ikke efterleves, risikerer begge parter imidlertid at blive pålagt sanktioner.

Da FaceBook endnu ikke anerkender, at de er databehandlere for ejerne af FaceBook-sider, betyder det, at du IKKE kan lave en databehandleraftale med dem. Du kan sandsynligvis heller ikke leve op til de ovenstående krav, da du vil få svært ved at få oplysninger fra FaceBook.

Ydermere har FaceBook netop afleveret svar til den amerikanske kongres, hvor de informerer om nogle af de oplysninger, der indsamles om besøgende på en FaceBook-side.

Citat fra Version2:
Facebook gemmer dine musebevægelser, og bruger dem til at bedømme, om du er et ægte menneske.

Facebook holder øje med, om Facebook-vinduet er i fokus, også for at vurdere om du er et menneske

Facebook samler store mængder data om din enhed, så som batteriniveau, signalstyrke og lagerplads

Facebook undersøger hvilket mobilselskab du har, din internetudbyder, din IP-adresse, informationer om dine cookies, tidszone og hvor hurtigt dit internet er.

Nogle gange overvåger Facebook hvilke andre enheder, der er på samme netværk

Signaler fra omkringliggende wifi-netværk, mobilmaster og BlueTooth-enheder overvåges også af Facebook

Facebook har adgang til din GPS-position, kameradata og billeder, hvis ikke indstillingerne er sat til at forhindre det.

Facebook samler også data om hvad du laver online og offline, og hvad du køber fra tredje parter, inklusive din brug af spil og andre apps

Stort set alle de ovenstående dataopsamlinger er i strid med persondataforordningen. Da det bliver mere end svært, at få FaceBook til at lade være med at registrere brugerne, og du er medansvarlig for deres ekstravagante dataindsamling, kan jeg kun give et eneste råd:

Luk din firma- eller forenings-FaceBook-side ned! I hvert fald indtil FaceBook retter ind efter europæisk lovgivning.

Du kan læse Datatilsynets fortolkning her:
https://www.datatilsynet.dk/presse-og-nyheder/nyhedsarkiv/2018/jun/datatilsynet-fortolker-eu-dom-om-facebook/



Blev du færdig med GDPR?
Mange af os, havde travlt med at blive klar til d. 25. maj, hvor persondataforordningen trådte i kraft. De fleste fokuserede nok mest på de udadvente aktiviteter og databehandleraftaler. Men nåede du det hele? Der er nok enkelte, der mangler at få lidt på plads hist og her. Jeg ridser lige de nødvendige tiltag op her:

Persondata skal opbevares på betryggende vis:
Harddiske og backups bør krypteres.

Persondata må ikke forsvinde:
Der skal være backup.

Kun personer med behov skal have adgang til data:
Lad være med at lade persondata ligge og flyde og del ikke adgangskoder med andre.

Du skal have samtykke fra dem du behandler data om. Det kan f.eks. være samtykke til at lave markedsføring. Men laver du en opgave for andre, hvor der behandles persondata, skal du også indhente samtykke.

Du skal have en fortegnelse over dine databehandlingsaktiviteter. Det er et dokument, som beskriver hvorfor, hvor, hvornår, hvorlænge og hvordan du laver databehandling med persondata.

Du skal have databehandleraftale med eventuelle leverandører.


Jamen jeg behandler jo ikke persondata!
Det er en bemærkning, jeg har hørt flere gange i den sidste tid, og desværre er svaret: Jo du gør!

Lad mig give et par eksempler:
Hvis du har designet et visitkort for en kunde, behandler du persondata.

Hvis du tager fotografier med mennesker på, behandler du persondata.

Hvis du har en gammel laset notesbog, hvori du skriver bestillinger, navne og telefonnumre, behandler du persondata.

Hvis du har en adressebog på din telefon med kunders og leverandørers telefonnumre, behandler du persondata.

Hvis du er med i en forening gælder samme regler som for virksomheder.

Hvis du arbejder med rekruttering, jobansøgninger eller lign., skal du være opmærksom på, at du skal leve op til væsentligt strengere regler, da du behandler følsomme oplysninger.



Suk ... jamen hvordan gør jeg?
Datatilsynet har en stribe gode vejledninger, som kan findes her:
https://www.datatilsynet.dk/generelt-om-databeskyttelse

Men hvis du ikke har tid til at studere vejledninger, er jeg ved at lave en "GDPR-pakke", bestående af et system med tjeklister og formularer. Jeg kan så bookes til at komme forbi og gennemgå
din/jeres IT-løsning, finde de områder, hvor der er persondata og få lavet de nødvendige dokumenter.
Jeg forventer at have systemet klar i løbet af sommeren.


GDPR er træls at efterleve, men allerede nu kan vi se en effekt. Der er kommet meget mere fokus på, at vores persondata er en eftertragtet handelsvare. Ligeså er der kommet en større forståelse for, at persondata er vigtigt at passe på. Jeg tror på, at GDPR på langt sigt vil være noget vi bare har med i vores hverdag ... og måske ligefrem kommer til at holde af.

Nu er det heldigvis snart sommerferie og jeg vil ønske alle en god og fornøjelig sommer.

Mange hilsner
Per