EU's generelle EU-forordning om databeskyttelse og Webfleet
Den 25. maj 2018 træder EU's generelle forordning om databeskyttelse (GDPR) i kraft. Den generelle forordning om databeskyttelse erstatter eksisterende lovgivning vedrørende databeskyttelse i EU's 28 medlemslande. Den generelle forordning om databeskyttelse kan opfattes som en opgradering til erstatning af de pågældende love, så den omfatter de nyeste udtalelser og domme fra de forskellige kontrolmyndigheder i hele EU samt de elementer, som er essentielle i den online-verden, vi har i dag. Det betyder helt konkret, at størsteparten af det, der kræves, allerede indgår i lovgivningen. Vi mener derfor, at den generelle forordning om databeskyttelse i bund og grund bør betragtes som "business as usual".*
Nøgleelementer i den generelle forordning om databeskyttelse
Ligesom tidligere databeskyttelseslove og -bestemmelser har den generelle forordning om databeskyttelse til formål at beskytte personers interesser og rettigheder, når deres data anvendes til forskellige formål til at betjene dem, og varetage andres interesser, med henblik på økonomisk gevinst eller i offentlighedens interesse. Det er derfor meget relevant at indtænke den generelle forordning om databeskyttelse på arbejdspladsen.
Vi vil her præsentere et par af de vigtigste nye elementer i den generelle forordning om databeskyttelse, som vores Webfleet-kunder efter vores mening bør være særligt opmærksomme på:
De primære ændringer i den nye forordning, som træder i kraft:
- Personen, også i sin egenskab af en medarbejder, er omdrejningspunktet
At give mennesker beføjelser vedrørende deres data er omdrejningspunktet i den generelle forordning om databeskyttelse. Data fra eller om en person er jo trods alt en refleksion af den pågældendes identitet, adfærd og præferencer: Dataene er os. Den generelle forordning om databeskyttelse stipulerer, at personer skal 100 % informeres om, hvad der sker med deres data: Hvilke data, der anvendes, hvordan de anvendes, hvor længe de anvendes og hvem, der anvender dem. De skal endvidere have indflydelse på dette, f.eks. ved, at de giver tilladelse, ved, at de indgår en kontrakt, eller - med visse begrænsninger - ved, at de kan standse brugen af deres data, hvis de anmoder om det.
- Ansvarlighed og risikobaseret tilgang
Hvis du som virksomhed beslutter, hvad der sker med data fra personer, skal du leve op til det ansvar og skal kunne påvise, at du gør det ordentligt og med respekt for den enkeltes rettigheder samt for den generelle forordning om databeskyttelse. Uanset, hvad du gør med data, skal du indtænke de risici, der måtte være for den pågældende person. Vi mener, at det kræver, at man har dokumentation vedrørende sine aktiviteter med hensyn til data og hvorfor man mener, at de pågældende data skal behandles. Den generelle forordning om databeskyttelse indeholder bestemmelser om ansættelse af en (deltids) databeskyttelsesmedarbejder, som skal holde øje med dette, hvis du opfylder grænseværdien herfor i den generelle forordning om databeskyttelse (f.eks. hvis din kerneaktivitet omfatter overvågning af mennesker i større målestok).
- Kun én kontrolmyndighed
Vi mener, at den generelle forordning om databeskyttelse blev udarbejdet for at samle de tidligere og divergerende databeskyttelseslove, der var i EU-landene. Det kunne anses for at være et plus for multinationale virksomheder, der bruger vores tjenester, især dem, som har køretøjer, der krydser grænser. Det kunne også betyde, at hvis du driver en multinational virksomhed i hele EU, så behøver du kun skulle forholde dig til én kontrolmyndighed: Den i det land, hvor din hovedforretning er placeret. På samme måde kan personer samarbejde med kontrolmyndigheden i deres hjemland.
- Skærpede sikkerhedskrav
Den generelle forordning om databeskyttelse stipulerer, at data skal beskyttes mod alle former for uautoriseret brug baseret på en vurdering af dataenes følsomhed. Positionsdata anses for at være følsomme, da de kan afsløre en hel del om en person. Alt dette kræver implementering af tekniske og organisatoriske sikkerhedsforanstaltninger for at afbøde risiciene. Hvis de pågældende foranstaltninger svigter og der opstår en sikkerhedshændelse, stipulerer den generelle forordning om databeskyttelse, at myndighederne afhængigt af alvoren skal informeres inden for 72 timer, og alle berørte datapersoner, hvis den kan have væsentlige konsekvenser for dem.
- Bøder
Den generelle forordning om databeskyttelse giver kontrolmyndigheder med ansvar for databeskyttelse forskellige midler til håndhævelse. Et af disse midler er muligheden for at udstede bøder ved manglende overholdelse. Den generelle forordning om databeskyttelse giver mulighed for bøder på helt op til 4 % af den globale årlige omsætning pr. hændelse, alt efter hvor alvorlig overtrædelsen af den generelle forordning om databeskyttelse var.
Bredere elementer i den generelle forordning om databeskyttelse, som er tilbage fra tidligere lovgivning.
Den generelle forordning om databeskyttelse definerer data som persondata for mennesker i EU, og påvirker brugen af termen "behandling", som omfatter indsamling, opbevaring, overførsel eller brug.
Vores holdning til et par af hovedprincipperne i den generelle forordning om databeskyttelse, som er tilbage fra tidligere lovgivning:
- Personlige data
Særdeles vigtigt i den generelle forordning om databeskyttelse er begrebet personlige data. Det er i bund og grund alle data, som kan eller som måske kan relateres til et identificerbart menneske. Det omfatter data, som kan udtrækkes med unikke identifikatorer, f.eks. nummerplader, stelnummer (VIN) og/eller andre enhedsidentifikatorer. Vi mener, at det er vigtigt at indtænke, at i henhold til den generelle forordning om databeskyttelse har det ingen betydning, hvem der faktisk er i stand til at identificere/foretage en identifikation. Hvis en eller anden kan identificere en person baseret på dataene, skal dataene opfattes som personlige data, også selvom den faktiske identifikation ikke udføres. Vi mener, at det ikke er nødvendigt at kende en persons navn, før at data om personen vil blive opfattet som personlige data. Det er vigtigt at bemærke, at det, at man har personlige data, ikke betyder, at de ikke må bruges. Det betyder blot, at den generelle forordning om databeskyttelse finder anvendelse, og at visse betingelser skal være opfyldt.
- Kun foruddefinerede, specifikke formål
Den generelle forordning om databeskyttelse stipulerer, at personlige data skal anvendes til ét eller flere foruddefinerede formål. Disse skal være specifikke og tydeligt beskrevet. Personen skal være i stand til at forstå, hvad et formål betyder. En person skal være i stand til at svare på spørgsmålet: Er det korrekt, at denne brug passer til formålet?
- Egnet til formål og art, mængde- og tidsbegrænsninger
Den generelle forordning om databeskyttelse stipulerer, at personlige data skal være "proportionale" med hensyn til art, mængde og hvor længe, de opbevares, baseret på det definerede formål. "Proportionale" betyder, at man kun behandler det, som er strengt nødvendigt, intet andet og ikke længere.
- Forståelig forklaring på forhånd
Vi mener, at behandling af personlige data kræver en godt skrevet og brugervenlig forklaring. Ligesom en vejledning, ikke som en kontrakt. Forklaringen skal naturligvis gøres tilgængelig for en person, inden du begynder at bruge vedkommendes data, og personen skal også have fortsat adgang til den.
- Betingelserne for lovlig behandling skal være opfyldt
For at kunne behandle personlige data på en lovlig måde kræver den generelle forordning om databeskyttelse et validt juridisk grundlag herfor. Der er seks eksisterende juridiske grundlag for behandling.
- Samtykke, hvor personen giver udtrykkelig tilladelse vedrørende et bestemt emne
- Opfyldelse af en kontrakt
- Overholdelse af juridiske forpligtelser
- Beskyttelse af personens eller en andens persons vitale interesser
- Påkrævet for at udføre en opgave i offentlighedens eller en officiel myndigheds interesse
- Behandling er nødvendigt med henblik på de legitime interesser, som kontrolenheden tilstræber.
Gå til indholdVi mener, at fire ud af seks af disse juridiske grundlag er relevante for virksomheder - et juridisk grundlag for behandling af data for Webfleet kunne f.eks. være udtrykkelig tilladelse. Du skal være opmærksom på, at den generelle forordning om databeskyttelse ikke kræver tilladelse i alle tilfælde, og det er heller ikke ønskeligt, især i ansættelsesforhold. Den generelle forordning om databeskyttelse stipulerer, at personlige data kan bruges uden samtykke, i det omfang det er nødvendigt for at opfylde en kontrakt med modparten. Det kunne også være, at der er en bestemt lov, som kræver brug af personlige data. I så fald er det ikke påkrævet at bede om tilladelse.
I henhold til punkt 6 herover stipulerer den generelle forordning om databeskyttelse også, at personlige data kan behandles uden at bede om samtykke, hvis man har et legitimt formål hermed. Det vil typisk dreje sig om efterforskning af snyd, misbrug, sikkerhedsproblemer og forretningsanalyse. Det kan også gælde for arbejdspladsen og vedrøre situationer, som ikke er omfattet af ansættelsesaftalen, f.eks. de forskellige formål, for hvilke der anvendes køretøjstelematik. Vi mener dog, at man i sådanne tilfælde kun bør indsamle så få data som muligt til formålet (for at minimere konsekvenserne for personens ret til fortrolighed), og man bør sikre, at det er klart, at den pågældende dataindsamlingen sker i overensstemmelse med den generelle forordning om databeskyttelse.
- Personers ret til at se, rette, klage over, slette og downloade/overføre
Den generelle forordning om databeskyttelse giver personer visse rettigheder, når deres data behandles. Den generelle forordning om databeskyttelse stipulerer, at personer skal have ret til at se dataene og få udleveret en kopi. Hvis dataene ikke er korrekte, kan personen bede om at få dem rettet. Sådanne personer har endvidere ret til at få en maskinlæsbar kopi af dataene samt til at få slettet deres data, hvis de blev indsamlet og blev brugt baseret på samtykke eller i forbindelse med opfyldelsen af en kontrakt.
- Beskyttelse af fortrolighed, integritet og tilgængelighed med gode sikkerhedsforanstaltninger
Personlige data skal opbevares sikkert i overensstemmelse med den generelle forordning om databeskyttelse. Det betyder ordentligt beskyttet mod uautoriseret og ulovlig åbning, brug og tab. I henhold til den generelle forordning om databeskyttelse skal det ske på baggrund af en risikovurdering, som udmønter sig i egnede tekniske og organisatoriske tiltag på løbende basis. Dette er de tekniske og organisatoriske tiltag, som man skal implementere og vedligeholde til dette formål.
De roller, som databehandleren og den dataansvarlige har i henhold til den generelle forordning om databeskyttelse.
Hos Webfleet, hjælper vi vores kunder med at komme tættere på deres chauffører.
Som databehandler handler vi i overensstemmelse med kundernes anvisninger omkring indsamling af køretøjs- og chaufførrelaterede oplysninger, når vi leverer vores flådestyringstjeneste via vores hardware, vi behandler dataene, og vi viser dem via vores apps, webbaserede brugergrænseflader og API'er.
Formålet med at behandle data som krævet af den generelle forordning om databeskyttelse.
- Vores kunder bruger vores produkter til flådeoptimering - nogle eksempler på brug/formål er som følger:
- Sporing af køretøjer
- Køreadfærd og brændstofbesparelse
- Chaufførkommunikation
- Oplysninger om fartskriver og resterende køretid
- Omfattende administrationsrapportering til forretningsoptimering
- Integration med tredjepartsløsninger
- Hvilke data indsamler og behandler vi på vegne af vores kunder?
- Transaktionsdata: Data, som oprettes under brug af vores produkter, især enheder.
- Brugeradministrerede data og oprettet indhold: Data, som oprettes af brugere af Webfleet-produkter.
- Samlede data: Data, der afledes fra transaktionsdata via anvendelse af statistisk analyse.
Til kommunikation med vores kunder - personlige data indsamles f.eks. på vores websted - Webfleet er dataansvarlig for disse data.
Webfleet, Databeskyttelse og den generelle forordning om databeskyttelse.
Hos Webfleet har vi undersøgt konsekvensen af den generelle forordning om databeskyttelse siden 2012, da de første udkast blev offentliggjort. Vi har gjort det til en integreret del af den måde, hvorpå vi har udviklet vores Telematics-produktportefølje til vores kunder i de senere år. For os er den generelle forordning om databeskyttelse en evolution, ikke en revolution. Vi har fastlagt 5 primære designprincipper som hjælp til at gøre tingene korrekt:
Designprincipper for databehandling for Webfleet:
- Webfleet-kunden sidder i førersædet
Webfleet betjenes altid som anvist af Webfleet-kunden. Dataene vedrører kun kunden, kunden har styringen. Det betyder, at vi tilbyder kunden en ekstremt konfigurérbar løsning. Selvom vi foreslår forskellige formål, som de kan bruges til, tager Webfleet-kunden de endelige beslutninger om de formål, de anvendes til, og hvor detaljeret, du konfigurerer og betjener systemet.
- Respekt for interessenternes interesser
Vores system kan konfigureres til at genkende mange forskellige interessenter med forskellige roller, ansvarsområder og kompetencer i forskellige situationer. Webfleet-kunder kan f.eks. tillade chauffører at skelne mellem erhvervsmæssige og private ture, og chaufførers ledere kan begrænses i, hvad de kan se og gøre. Vi understøtter også Webfleet-kunden i forhold til at efterkomme de rettigheder, personerne har, f.eks. med hensyn til at tilgå og slette deres data.
- Data, som er egnet til formålet - hverken mere eller mindre
Webfleet-kunder kan på forskellige måder konfigurere, hvilke data der indsamles og hvor længe, de opbevares. For at gøre det nemmere for Webfleet-kunder har vi inkluderet rimelige standardindstillinger, som vedrører forskellige use cases, som vores flådekunder typisk har, men Webfleet-kunder kan vælge at afvige fra disse standardindstillinger.
- Hvis du ikke kan forklare det, så lad være med at gøre det
Vi slår på tromme for, at man sikrer, at alle har forstået, hvordan deres data anvendes, ved at sørge for forklarende materialer, herunder online-vejledninger og undervisningsmaterialer, i et enkelt sprog, som er til at forstå.
- Registrering og beskyttelse mod misbrug
Informationssikkerhed er essentielt hos Webfleet, som verificeres og certificeres eksternt hvert år. Det siger sig selv, at den bedste måde at håndtere databrud på er helt at undgå dem. Uheld kan dog ske, og det er derfor, at Webfleet bestræber sig på at have udarbejdet en grundig plan for, hvordan man håndterer hændelser, herunder at give dig omgående besked og samarbejde med dig om at finde en løsning.
Download Databeskyttelsesforordningen - Guide til best practice for telematik
Din omfattende vejledning om best practice vedrørende Databeskyttelsesforordningen og telematik med en praktisk handlingsplan for at hjælpe dig med at opfylde kravene.
Yderligere oplysninger om den generelle forordning om databeskyttelse.
Hvis du har yderligere spørgsmål om den generelle forordning om databeskyttelse, kan du kontakte os her.
Se mere om den generelle forordning om databeskyttelse fra EU-Kommissionen og Information Commissioner's Office (ICO) ved hjælp af følgende links:
Flere oplysninger om Webfleet, databeskyttelse, -sikkerhed og -fortrolighed.
Hos Webfleet, er vi engagerede i informationssikkerhed og datafortrolighed. Vi investerer løbende i vores tekniske arbejde, gennemprøvede teknologier, processer og mennesker for at sikre, at vi altid kan give dig den mest pålidelige Telematics-tjeneste på markedet.
Som en af verdens største leverandører af Telematics-tjenester er det vigtigt med løbende investering i vores tjeneste. For at sikre os, at vi er den bedste partner for din virksomhed – nu og i fremtiden – arbejder vi hele tiden på at forbedre os. Se flere oplysninger om datasikkerhed og datafortrolighed for Webfleet-tjenesteplatformen her.
