Retshåndhævelsesloven § 20

Det fremgår af persondatalovens § 41, stk. 3, at den dataansvarlige skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med loven. Tilsvarende gælder for databehandlere.

Det foreslås i stk. 1, at den dataansvarlige skal gennemføre og om nødvendigt ajourføre og revidere de fornødne tekniske og organisatoriske foranstaltninger for at sikre og for at være i stand til at påvise, at behandling er i overensstemmelse med loven. Står det i rimeligt forhold til behandlingsaktiviteterne, skal den dataansvarlige tillige gennemføre de fornødne databeskyttelsespolitikker.

Med den foreslåede bestemmelse understreges den dataansvarliges forpligtelser. Forpligtelserne efter denne bestemmelse må imidlertid i praksis anses for at være dækket af den foreslåede § 27 om behandlingssikkerhed.

Der henvises i øvrigt til pkt. 2.5.3.1 i lovforslagets almindelige bemærkninger.

Persondataloven indeholder ikke bestemmelser, som specifikt kræver databeskyttelse gennem design eller databeskyttelse gennem standardindstillinger.

Persondatalovens § 41, stk. 3, forpligter imidlertid den dataansvarlige og databehandleren til at beskytte mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med persondataloven.

Persondataloven fastsætter ingen nærmere tidsmæssig ramme for, hvornår foranstaltningerne skal være truffet. Foranstaltningerne vil imidlertid skulle forberedes eller implementeres forud for, at behandlingen påbegyndes. Datatilsynets praksis indeholder eksempler på, at persondatalovens behandlingsbetingelser og sikkerhedskrav skal iagttages ved indretningen af digitale løsninger.

Det foreslås i stk. 2, at det præciseres, at foranstaltninger efter stk. 1 omfatter databeskyttelse gennem design og gennem standardindstillinger.

Et eksempel på, at der kan opnås databeskyttelse gennem design, er en teknisk foranstaltning, som pseudonymiserer personoplysningerne, dvs. at personoplysninger behandles på en sådan måde, at oplysningerne ikke længere kan henføres til en bestemt registreret uden brug af supplerende oplysninger.

Pseudonymisering skal forstås som behandling af personoplysninger på en sådan måde, at personoplysningerne ikke længere kan henføres til en bestemt registreret uden brug af supplerende oplysninger, forudsat at sådanne supplerende oplysninger opbevares separat og er underlagt tekniske og organisatoriske foranstaltninger for at sikre, at personoplysningerne ikke henføres til en identificeret eller identificerbar fysisk person, jf. direktivets artikel 3, nr. 5.

Pseudonymisering indebærer således, at enkelte direkte identificerende parametre, f.eks. navn eller personnummer, i oplysningerne erstattes med koder. Koderne opbevares på en særskilt liste, hvor man kan genfinde koblingen mellem oplysningerne og den person, som de vedrører.

Et eksempel på, at der kan opnås databeskyttelse gennem standardindstillinger, er indstillinger, som begrænser adgangen til de pågældende oplysninger eller fastsætter særlige opbevaringsperioder.

Kravet om databeskyttelse gennem design og standardindstillinger stiller ikke krav om, at eksisterende systemer skal redesignes. Kravene er således relevante i forhold til udvikling og design af fremtidige systemer samt i forhold til væsentlige ændringer i behandlingen af oplysninger i eksisterende systemer.

Der henvises i øvrigt til pkt. 2.5.3.1 i lovforslagets almindelige bemærkninger.