Privatlivspolitik

Persondatapolitik for Møller & Rothe
– vedrørende behandling af personoplysninger.

Indhold:

• 1. Definitioner
• 2. Organisering og ansvar
• 3. Medarbejderinstruks
  • 3.1 Sikring af lovligt grundlag/hjemmel
  • 3.2 Sikring af formål og at data er relevante
  • 3.3 Sikring af oplysningspligt
  • 3.4 Sikring af retten til indsigt
  • 3.5 Sikring af retten til berigtigelse
  • 3.6 Slettepligt og sikring af retten til sletning
  • 3.7 Sikring af retten til begrænset behandling
  • 3.8 Sikring af retten til dataportabilitet
  • 3.9 Sikring af retten til indsigelse
  • 3.10 Databehandleraftaler
  • 3.11 Sikring af dokumentation
  • 3.12 Datasikkerhed
  • 3.13 Fysisk sikkerhed
  • 3.14 Gæster
  • 3.15 Print og dokumenter med personoplysninger
  • 3.16 Sikring af medarbejder awareness
  • 3.17 Notifikation ved brud på datasikkerheden
  • 3.18 Privacy by Design og Privacy by Default
  • 3.19 DPO

Persondatapolitik for Møller & Rothe.
Dette dokument har to formål: Dels at tjene som et praktisk instrument i vores arbejde med beskyttelsen af persondata, dels som en skriftlig dokumentation af vores indsats for at overholde Databeskyttelsesforordningen. Møller & Rothes persondatapolitik er udformet i sammenhæng med vores overordnede strategi, værdier og visioner og er på den måde en integreret del af, hvordan vi arbejder. Politikken er godkendt af ledelsen, og alle medarbejdere er gjort bekendt med den og deres ansvar i forhold til persondata. Hvis der opstår mistanke om, at persondata ikke håndteres korrekt, skal nærmeste leder kontaktes og informeres om problematikken. Persondatapolitikken bliver gennemgået og opdateret hvert år. Ved ansættelse bliver alle nye medarbejdere gjort bekendt med persondatapolitikken og skal ved underskrift på ansættelseskontrakten bekræfte sit kendskab til- og forståelse af politikken.

1. Definitioner
Møller & Rothe behandler persondata i forbindelse med vores virksomhedsdrift og kundeadministration. Nedenfor vil kernebegreber fra lovgivningen blive defineret for at lette forståelsen af persondatapolitikken.

Databeskyttelsesforordningen: Den lovgivning, som pr. 25. maj 2018 regulerer behandlingen af persondata (træder sammen med Databeskyttelsesloven i stedet for Persondataloven)

Personoplysninger: Enhver oplysning om en identificeret eller identificerbar fysisk person, fx navn, adresse, telefonnummer, billede, nummerplade, cpr-nummer eller lignende. Oplysninger om enkeltmandsfirmaer er derfor også personoplysninger.

Følsomme personoplysninger: Eksempelvis helbredsoplysninger, fagforenings-tilhørsforhold, race, etnicitet, politisk overbevisning, oplysninger om strafbare forhold mv.

Registrerede: Alle personer, hvis oplysninger er registreret hos Møller & Rothe, fx kunder, medarbejdere og leverandører.

Behandling af data: Alt hvad virksomheden gør med data, inklusiv opbevaring og sletning.

Dataansvarlig: Den, der beslutter formål, omfang og metoder til behandling af persondata.

Databehandler: Den, der behandler data på vegne af den dataansvarlige, fx et firma, som håndterer løn eller en cloudtjeneste.

2. Organisering og ansvar
Denne persondatapolitik gælder for virksomheden Møller & Rothe. Ansvaret for, at alle medarbejdere overholder persondatapolitikken, påhviler dem selv og ledelsen. Kontrol med overholdelse af persondatapolitik skal dokumenteres skriftligt og opbevares af Jan Gelbjerg-Hansen (CEO). Hvis kontrollen viser, at der har været episoder, hvor persondatapolitikken ikke er blevet overholdt, er det ledelsens opgave at afhjælpe problemet.

3. Medarbejderinstruks
Det følgende er konkrete regler og retningslinjer, som alle medarbejdere i Møller & Rothe skal følge i forbindelse med behandling af persondata. Instruksen er baseret på Databeskyttelsesforordningens og Databeskyttelseslovens krav og vil sammen med øvrig dokumentation og vejledninger sikre efterlevelsen af forordningen. Hvert element i instruksen er delt op i formål (hvorfor gør vi det), procedure (hvordan gør vi det) og kontrol (har vi nu også gjort det).

3.1 Sikring af lovligt grundlag/hjemmel
Formål: Lovligt grundlag for at behandle data.
Procedure: Før en databehandling påbegyndes, skal der ske en afklaring af den lovlige hjemmel. Dette gøres af ejeren af processen. Som hovedregel vil vi i forbindelse med kunder og leverandører anvende hjemlen opfyldelse af kontrakt og ved vores medarbejdere henvise til et gyldigt indhentet samtykke, interesseafvejning eller en retlig forpligtelse.

3.2 Sikring af formål og at data er relevante
Formål: Oplysninger som indsamles, er baseret på et klart formål og omfatter ikke mere, end hvad der kræves til opfyldelse af formålet med behandlingen.
Procedure: For hver behandlingsaktivitet defineres hvilke personoplysninger, som er relevante for formålet, og det sikres, at der ikke indsamles flere oplysninger end nødvendigt for at understøtte dette formål.

3.3 Sikring af oplysningspligt
Formål: Sikre gennemsigtigheden af vores behandling af personoplysninger, samt de registreredes viden om deres rettigheder.
Procedure: Ved ansættelse bliver alle medarbejdere via deres ansættelseskontrakt informeret om: hvem der er dataansvarlig og dennes kontaktoplysninger, formålet med behandling af data, hjemmel for behandling, samt vores legitime interesser heri, eventuelle andre modtagere af data, herunder overførsel til tredjelande, opbevaringsperiode for data, den registreredes rettigheder i forhold til data (indsigt, berigtigelse, sletning, begrænset behandling og dataportabilitet), retten til at tilbagekalde et eventuelt afgivet samtykke, retten til at klage til Datatilsynet, at der er pligt til at afgive oplysninger og konsekvenser ved ikke at gøre det, hvor oplysningerne er indhentet, hvis dette ikke er fra den registrerede selv, omfanget af automatiske afgørelser, herunder profilering og logikken bag.

3.4 Sikring af retten til indsigt
Formål: Sikre at den registrerede kan få indsigt i egne oplysninger.
Procedure: Ved henvendelse skal den registrerede, uden unødigt ophold, på en let forståelig måde have indsigt i de oplysninger, som er registreret om den pågældende, herunder formålet med behandling af data, hvilke kategorier af oplysninger, som behandles, eventuelle andre modtagere af data, herunder overførsel til tredjelande, opbevaringsperiode for data, den registreredes rettigheder i forhold til data (indsigt, berigtigelse, sletning, begrænset behandling og dataportabilitet), retten til at klage til datatilsynet, hvor oplysningerne er indhentet, hvis dette ikke er fra den registrerede selv, omfanget af automatiske afgørelser, herunder profilering og logikken bag.

3.5 Sikring af retten til berigtigelse
Formål: Sikre, at de registrerede kan få berigtiget deres oplysninger.
Procedure: Ved henvendelse fra den registrerede skal vi berigtige/rette eventuelle forkerte eller vildledende oplysninger om den pågældende.

3.6 Slettepligt og sikring af retten til sletning
Formål: Oplysninger slettes, når de ikke længere er nødvendige for formålet med behandlingen.
Procedure: I ”Fortegnelsen over behandlingsaktiviteter” er der taget stilling til opbevaringsperioder for hver behandlingsaktivitet. Personoplysninger opbevares centralt på dertil indrettede drev og systemer for at mindske spredning af personoplysninger i organisationen og effektivisere sletteprocessen. Hvis medarbejderne har behov for midlertidigt at have personoplysninger liggende lokalt på deres maskiner eller skriveborde, skal disse fjernes, så snart arbejdet er udført.

3.7 Sikring af retten til begrænset behandling
Formål: Begrænse behandlingen af personoplysninger til kun opbevaring.
Procedure: Når en registreret henvender sig og fremsætter ønske om, at behandlingen af vedkommendes oplysninger begrænses, skal Jan Gelbjerg-Hansen (CEO) straks oplyses herom. Behandlingen af personoplysningerne begrænses til blot at opbevare oplysningerne, indtil forholdet som er grundlag for den begrænsede behandling, løses.

3.8 Sikring af retten til dataportabilitet
Formål: At personoplysninger som behandles automatisk kan udleveres eller overføres i et struktureret, almindeligt anvendt og maskinlæsbart format.
Procedure: Når en registreret henvender sig med et ønske om at få udleveret eller overført personoplysninger, rettes der straks henvendelse til Jan Gelbjerg-Hansen (CEO), som er ansvarlig for dataportabilitet, og baseret på den registrerede ønske enten udleverer materialet i et struktureret, almindeligt anvendt, maskinlæsbart format eller, hvis teknisk muligt, overfører oplysningerne til en ny dataansvarlig, ønsket af den registrerede.

3.9 Sikring af retten til indsigelse
Formål: Imødekomme den registreredes ret til indsigelse mod profilering og direkte markedsføring.
Procedure: Når en registreret oplyser, at denne ikke ønsker at vedkommendes oplysninger benyttes til profilering eller direkte markedsføring, skal der straks rettes henvendelse til Jan Gelbjerg-Hansen (CEO), som er ansvarlig for profilering og direkte markedsføring, og som derefter sørger for, at behandlingen af oplysningerne i forbindelse med profilering og direkte markedsføring stoppes.

3.10 Databehandleraftaler
Formål: Sikring af, at der etableres databehandleraftaler med de, der behandler personoplysninger på vegne af os.
Procedure: Der er indgået databehandleraftaler med de, der behandler personoplysninger på vegne af os. Hver gang der indgås en ny aftale med en samarbejdspartner, vurderes det, om ydelsen involverer behandling af personoplysninger på vegne af os. Hvis dette er tilfældet, indgås der en databehandleraftale.

3.11 Sikring af dokumentation
Formål: Imødekomme Databeskyttelsesforordningens krav om fortegnelse over behandlingsaktiviteter og konsekvensanalyse.
Procedure: Vi har etableret en fortegnelse over behandlingsaktiviteter, som kan findes hos Jan Gelbjerg-Hansen (CEO). Fortegnelsen opdateres løbende, når der sker ændringer i virksomhedens behandlingsaktiviteter.

3.12 Datasikkerhed
Formål: Der er etableret fornødne organisatoriske og tekniske foranstaltninger mod at personoplysninger kommer til uvedkommendes kendskab eller går tabt.
Procedure: Begrænsning af adgangen til elektronisk persondata. Alle systemer/drev, der indeholder personoplysninger, er omfattet af begrænset adgang, således at det kun er de medarbejdere, der har behov for adgangen til at udføre deres arbejde, der har adgang til systemer/drev med personoplysninger.

3.13 Fysisk sikkerhed
Formål: Der er forholdsregler, der sikrer mod uvedkommendes adgang til lokaler, hvor der foregår behandling af personoplysninger.
Procedure: Områder med adgang til personoplysninger sikres således, at uvedkommende ikke kan få adgang til disse. Det sker ved at opbevare personoplysninger i aflåste skabe, når lokalet ikke er under opsyn. Alle medarbejdere skal låse deres PC, når arbejdsstationen forlades.

3.14 Gæster
Formål: Gæster skal håndteres sikkert.
Procedure: Gæster, der skal opholde sig i længere tid eller alene i lokalerne, skal registreres, og må ikke færdes alene. Gæster som opholder sig i lokaler, hvor der håndteres personoplysninger, skal informeres om deres tavshedspligt og evt. udfylde en tavshedserklæring, som opbevares.

3.15 Print og dokumenter med personoplysninger
Formål: Personlige oplysninger må ikke ligge frit tilgængelige i papirform.
Procedure: Print med personoplysninger må ikke efterlades i printerrummet. Papirdokumenter, der indeholder personoplysninger, må i arbejdstiden ikke opbevares uden opsyn af en medarbejder. Alle henvendelser (breve i papirformat, print af e-mails, papirlapper m.v.), som indeholder personoplysninger skal efter endt brug smides ud i en særlig aflåst papircontainer, som står i kopirummet eller makuleres. Indholdet af papircontainer bliver makuleret, når containeren er fyldt.

3.16 Sikring af medarbejder awareness
Formål: Demonstrere at medarbejdere er bekendt med reglerne for behandling af persondata.
Procedure: Samtlige nye medarbejdere skal underskrive en tavshedserklæring ved deres ansættelse. Alle nye medarbejdere skal i forbindelse med deres ansættelse gøres bekendt med regler for behandling af personoplysninger og IT-sikkerhed.

3.17 Notifikation ved brud på datasikkerheden
Formål: Datatilsynet, og under visse omstændigheder, den registrerede, bliver ved brud på datasikkerheden notificeret om muligt indenfor 72 timer efter et brud er konstateret.
Procedure: Brud på datasikkerheden er defineret som en hændelse, der resulterer i, at der sandsynligvis er en risiko for, at personoplysninger er blevet udsat for uautoriseret adgang eller er gået tabt.

3.18 Privacy by Design og Privacy by Default
Formål: Imødekommelse af Databeskyttelsesforordningens krav om Privacy by design and default.
Procedure: Ved udvikling eller anskaffelse af nye it-systemer er virksomheden opmærksom på, at systemerne er sikre, og at de understøtter opdeling af adgangsrettigheder, således at personoplysninger kan beskyttes mod uautoriseret adgang og tab.

3.19 DPO
Formål: Vurdering af, om det er et krav, at virksomheden har en DPO.
Procedure: Det vurderes årligt, hvorvidt virksomheden har behov for en DPO, baseret på Databeskyttelsesforordningens kriterier for krav om DPO. Det er ved indførelsen af nærværende retningslinjer maj 2018 vurderet, at Møller/Rothe ikke har brug
for en DPO.