Persondatameddelelse

Som dataansvarlig er jeg, grundet databeskyttelsesforordningen (GDPR), artikel 13 og 14, forpligtet til at iagttage oplysningspligten😳.

Ja, jeg ved godt, at det lyder KNASTØRT.

Men det betyder blot, at jeg skal oplyse dig om, hvordan jeg behandler dine persondata, så godt som det nu er muligt. Sådanne oplysninger kaldes ofte for persondata- eller privatlivspolitik. Underligt nok - for det er ikke en politik, der er tale om, men faktuelle forhold (så jeg kalder det for en persondatameddelelse).

Det er lidt ligesom at en pakke rugbrød (og andre fødevarer), skal indeholde en varedeklaration, der beskriver fakta.

Uanset hvad vi kalder barnet, så er formålet at skabe gennemsigtighed, hvilket er en af grundprincipperne i GDPR (artikel 5, 1, a).

Bemærk at det er temmelig tosset at kopiere andres persondatameddelelse/persondatapolitik, for det er altid resultatet af et dybdegående stykke arbejde, hvilket jeg har forsøgt at forklare i dette indlæg på LinkedIn.

Den dataansvarlige

Den dataansvarlige er Gotvedpr, hvilket er det samme som mig, Thorleif Trust Gotved (og nej, mit mellemnavn er ikke et klamt forsøg på at virke tillidsvækkende - det er min hustrus oprindelige efternavn).

CVR: 39167816

Erik Bøghs Alle 8

2860 Søborg

Telefon: 28 73 99 77

Mail: [email protected]

Hvorfor jeg behandler dine oplysninger - og de juridiske årsager

Jeg behandler dine personoplysninger til følgende formål:

Kundehåndtering - hvis du enten som privatperson eller på vegne af en virksomhed indgår i et kundeforhold med Gotvedpr.
Salg og markedsføring. Hvis du eksempelvis tilmelder dig Gotvedprs nyhedsbrev eller ved at bruge LinkedIn (delt dataansvar med LinkedIn).
Samarbejdspartner. Hvis du er i proces med, eller indleder en form for samarbejde med, Gotvedpr.

Den gyldige juridiske grund (behandlingshjemmel) der benyttes for at behandle dine oplysninger, er Databeskyttelsesforordningens:

artikel 6, stk. 1, litra a, hvis det drejer sig om samtykke (tilmelding til nyhedsbrev eller brug af eksempelvis foto i særlige situationer).
artikel 6, stk. 1, litra b, hvis formålet med behandlingen er at opfylde en kontrakt/aftale.
artikel 6, stk. 1, litra c, hvis der er tale om en retslig forpligtelse, som Gotvedpr er underlagt, eksempelvis bogføringsloven.
artikel 6, stk. 1, litra f, hvis der gøres brug af legitim interesse, eksempelvis direkte markedsføring.

Hvem videregiver jeg (måske) dine data til?

Jeg videregiver i visse situationer dine personoplysninger til følgende modtagere:

I forbindelse med kurser/LinkedIn-forløb, hvor jeg er dataansvarlig, videregiver jeg dit navn og eventuelle kontaktoplysninger til de øvrige deltagere.
I særlige situationer tager og offentliggør jeg billeder/video fra for eksempel kurser eller oplæg. Du vil som minimum altid blive informeret om dette forud for offentliggørelsen, og jeg indhenter et samtykke, hvis jeg konkret har vurderet, at det er påkrævet, eksempelvis fordi brugen sker i forbindelse med markedsføring på sociale medier.
I forbindelse med karriererådgivning (outplacementforløb) hvor det er arbejdsgiveren, der betaler, videregiver jeg dit navn og relevante kontaktoplysninger til din arbejdsgiver i forbindelse med fakturering.

Overførsel til modtagere i tredjelande

"Hvad er et tredjeland?" tænker du sikkert. Det er lande udenfor EU (og EØS). Nogle af dem bliver betegnet som sikre, og andre som usikre - alt afhængigt af hvordan EU har vurderet, at landene beskytter persondata. Begrebet "overførsel" dækker over, at for eksempel en databehandler får adgang til mine data, men på en måde så de stadig behandles på min instruks som databehandler.

Jeg benytter Mailchimp (The Rocket Science Group LLC) til udsendelse af nyhedsbreve.

Mailchimp opbevarer persondata i USA, som er et usikkert 3. land. Det var sådan set fint nok, indtil en EU-domstol i 2020 (kaldet Schrems ll dommen) underkendte den såkaldte Privacy Shield-aftale, som Mailchimp var certificeret i forhold til.

Som en konsekvens af domstolens afgørelse skal der indgås nye standardkontrakter, og laves supplerende foranstaltninger for at sikre beskyttelse af persondata. Mailchimp har inkorpereret de nye standardkontrakter, men det er usikkert, om de supplerende foranstaltninger er nok, og det er dermed tvivlsomt, om overførselsgrundlaget er juridisk holdbart.

Jeg bruger også Microsoft/Outlook, og selvom Microsoft opbevarer persondata i EU, så er der tale om en amerikansk virksomhed, og der er derfor adgang til mine data fra USA. Dermed er problematikken i princippet det samme, som når jeg benytter Mailchimp. Microsoft har også tiltrådt den nye standardkontrakt.

Dommen fra 2020 har efterladt langt flere spørgsmål end svar, og jeg har valgt en pragmatisk løsning. Indtil videre er løsningen at fortsætte brugen af amerikanske leverandører, og så ellers se tiden an.

Denne beslutning skal særligt ses i lyset at typen (ikke-følsomme/fortrolige personoplysninger) og omfanget (meget få) af persondata, jeg håndterer i min virksomhed, Gotvedpr.

Set med de firkantede, juridiske briller er min løsning ikke perfekt.

Men hellere lidt skidt i krogene end et rent helvede.

Hvor har jeg hittet dine persondata?

De persondata jeg har om dig, har du som oftest selv givet mig.

Det kan også være, at jeg har fået dem fra en samarbejdpartner, eksempelvis hvis jeg skal undervise for en anden organisation. I forbindelse med for eksempel outplacement kan det være, at jeg får oplysninger om dig fra din (snart forhenværende) arbejdsplads.

Sidst men ikke mindst kan det hænde, at jeg henter oplysninger fra offentlige kilder, eksempelvis LinkedIn.

Hvor lang tid gemmer jeg dine persondata?

Det er lidt forskelligt, hvor lang tid jeg gemmer dine data.

Kunde. Så længe du er kunde (eller kontaktperson på vegne af en organisation), så gemmer jeg dine kontaktoplysninger. Diverse fakturaer gemmer jeg i minimum 5 år - det er jeg nemlig forpligtet til pga. bogføringsloven.
Potentiel kunde. Hvis jeg vurderer, at du (eller den organisation du repræsenterer) er en potentiel kunde, så ryger dit navn sandsynligvis i mit CRM-system (Pipedrive), og her slettet jeg dig fra, når jeg vurderer, at du, af helt og aldeles uforklarlige grunde, ikke vil lege med mig. Typisk sletter jeg efter 2-3 år (af uforklarlige grunde har Pipedrive en automatiseret sletteproces efter eksempelvis 2 års inaktivitet).
Nyhedsbrevsmodtager. Du vælger selv, hvornår du ikke længere ønsker at modtage mit nyhedsbrev, og dermed hvornår dine data slettes.
Modtager af e-mails. Hvis vi sender e-mail til hinanden, så gemmer jeg i sagens natur dine kontaktoplysninger. Som minimum din e-mailadresse. Jeg har imidlertid sat mit system op således, at e-mails automatisk bliver slettet, når de er 4 år gamle, da jeg har vurderet, at når en e-mail er så gammel, så kan den lige så godt blive slettet.
Deltagerlister. Har jeg modtaget dine kontaktoplysninger, i forbindelse med et kursus du deltager i, og hvor jeg for eksempel underviser, så er jeg ret hysterisk med at få slettet dine data straks efter kurset. Det vil sige, at ting som mails og excel ark ryger i den virtuelle skraldespand, som automatisk tømmes en gang om måneden.
Andet. Jeg gør generelt en dyd ud af at slette persondata, så snart de har tjent deres formål.

Har du givet mig samtykke - og fortrudt?

Såfremt du har afgivet samtykke, kan du til enhver tid trække dit samtykke tilbage. Dette kan du gøre ved at kontakte mig via de kontaktoplysninger, der fremgår ovenfor i punkt 1.

Er samtykket givet i forbindelse med tilmelding til et nyhedsbrev, er det muligt i hvert enkelt nyhedsbrev at tilbagekalde samtykket og afmelde nyhedsbrevet.

Hvis du vælger at trække dit samtykke tilbage, påvirker det ikke lovligheden af min behandling af dine personoplysninger på baggrund af dit tidligere meddelte samtykke, og op til tidspunktet for tilbagetrækningen. Hvis du tilbagetrækker dit samtykke, har det derfor først virkning fra dette tidspunkt.

Dine rettigheder - hele smøren

Du har ifølge databeskyttelsesforordningen en række rettigheder i forhold til vores behandling af oplysninger om dig.

Hvis du vil gøre brug af dine rettigheder, skal du kontakte mig.

Ret til at se oplysninger (indsigtsret)

Du har ret til at få indsigt i de oplysninger, som jeg behandler om dig samt en række yderligere oplysninger.

Ret til berigtigelse (rettelse)

Du har ret til at få urigtige oplysninger om dig selv rettet.

Ret til sletning

I særlige tilfælde har du ret til at få slettet oplysninger om dig, inden tidspunktet for min almindelige, generelle sletning indtræffer.

Ret til begrænsning af behandling

Du har visse tilfælde ret til at få behandlingen af dine personoplysninger begrænset. Hvis du har ret til at få begrænset behandlingen, må jeg fremover kun behandle oplysningerne – bortset fra opbevaring – med dit samtykke, eller med henblik på at retskrav kan fastlægges, gøres gældende eller forsvares, eller for at beskytte en person eller vigtige samfundsinteresser.

Ret til indsigelse

Du har i visse tilfælde ret til at gøre indsigelse mod min ellers lovlige behandling af dine personoplysninger. Du kan også gøre indsigelse mod behandling af dine oplysninger til direkte markedsføring.

Ret til at transmittere oplysninger (dataportabilitet)

Du har i visse tilfælde ret til at modtage dine personoplysninger i et struktureret, almindeligt anvendt og maskinlæsbart format samt at få overført disse personoplysninger fra én dataansvarlig til en anden uden hindring.

Du kan læse mere om dine rettigheder i Datatilsynets vejledning om de registreredes rettigheder, som du finder på www.datatilsynet.dk.

Sådan klager du!

Hvis du mener, at jeg er en sjuft, og sjofler dine personlige oplysninger, kan du klage til Datatilsynet. Jeg vil dog klart anbefale dig (særligt hvis du vil stå stærkest muligt med din klage), at du lige kontakter mig først, så vi forhåbentlig kan rage kastanjerne ud af ilden sammen.

Hvis ikke det er muligt, så kontakt da Datatilsynet. Vær sikker på at give udtrykkeligt udtryk for, at du vil klage, da jeg har oplevet eksempler på klager, som af Datatilsynet ikke blev betragtet som en rigtig klage www.datatilsynet.dk.