Hvad er GDPR?

GDPR er den engelske forkortelse og står for, General Data Protection Regulation, og er en lovgivning, som er indført af EU. Databeskyttelse blev særlig relevant d. 25. maj 2018, da alle virksomheder fra denne dato skulle efterleve GDPR-reglerne. På dansk kaldes forordningen " Databeskyttelsesforordningen". Den kaldes også Persondatafordningen.

Hvad er personoplysninger?

Personoplysninger er informationer, der kan bruges til at identificere en fysisk person fx en bruger, et medlem, en frivillig eller en ansat. Personoplysninger er fx et navn, adresse, telefonnummer, mailadresser, fødselsdato eller et billede. Det kan også være oplysninger om fx helbred, seksuelle forhold, etnisk oprindelse eller fagforeningsmæssigt tilhørsforhold. Persondataforordningen skelner mellem tre typer personoplysninger: Almindelige personoplysninger, følsomme personoplysninger og straffedomme og lovovertrædelser. Typen af personoplysninger har stor betydning for, om og hvordan I skal behandle oplysningerne. 1. Almindelige personoplysninger De personoplysninger, der ikke falder ind under kategorien ”følsomme personoplysninger”, kaldes ”almindelige personoplysninger”. Almindelige personoplysninger er fx navn og adresse, oplysninger om økonomiske forhold, kundeforhold eller andre lignende ikke-følsomme oplysninger. 2. Følsomme personoplysninger Oplysninger om race eller etnisk oprindelse, politisk, religiøs, filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt genetiske og biometriske data, som behandles med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering. Det er kun de nævnte oplysninger, der anses for følsomme oplysninger i persondataforordningen. Det betyder, at selve medlemskabet af en forening fx med fokus på et bestemt handicap kan være en følsom personoplysning. 3. Strafbare forhold og personnummer (CPR-nummer) I må behandle oplysninger om strafbare forhold, hvis:

• Den oplysningerne vedrører (den registrerede) har givet sit samtykke

• Det er nødvendigt for at I kan varetage en berettiget interesse og denne interesse klart overstiger hensynet til den registrerede.

Børneattesten er et eksempel på, at I behandler oplysninger om en persons strafbare forhold. Når I indhenter børneatteser på en frivillig eller en ansat, skal I altid have hans eller hendes samtykke. Denne afgives i personens E-boks i forbindelse med indhentning af børneattesten.

---

Hvem er dataansvarlig?

Den ”dataansvarlige” er den fysiske eller juridiske person, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler, der må foretages behandling af oplysninger. For nogle få kirker eller kirkeplantninger kunne der måske være aktuelt med et fælles dataansvar mellem DDM (kirkesamfundet) og kirken. I tilfælde af fælles dataansvar skal ansvaret for behandlingen fordeles på en gennemsigtig måde. Eksempelvis vil det skulle fastlægges, hvem der skal tage sig af anmodninger om indsigt fra registrerede personer og oplysningspligten. Kontakt Simon Holtti for yderligere information Hvis man vælger at ikke gøre brug af DDMs medlemssystem (Collect) og/eller man vil indsamle flere oplysninger om medlemmer, ansatte, ledere og opbevare det på andre platforme end Collect, så vil det være den enkelte kirke, der er dataansvarlig. Kirkesamfundet (DDM) vil altså være ansvarlig for sin behandling af de indsamlede personoplysninger, mens kirkerne er ansvarlig for deres egen behandling.

Hvad er fælles dataansvar?

I de fleste tilfælde i relationen mellem en kirke og kirkesamfundet er der ikke tale om fælles dataansvar. Ring til vores sekretariat for at få en snak om dette, hvis du er i tvivl. Hvis to eller flere parter i fællesskab bestemmer, hvorfor der skal behandles personoplysnin-ger (formålet), og hvordan der skal behandles personoplysninger (hjælpemidlerne), er de fæl-les dataansvarlige for behandlingen.(jf. databeskyttelsesforordningens artikel 26) Fælles dataansvar kan altså kun komme på tale, hvis du og en eller flere andre parter sammen har ansvaret for en behandling, og hvis I alle har ret til at bruge oplysningerne til egne formål. Der er altså ikke tale om et fælles dataansvar, hvis en behandling kun foretages til dine eller en anden parts formål. Kilde: Datatilsynet

Hvem i kirken er dataansvarlig?

Den dataansvarlige er den, som juridisk set er ansvarlig for overholdelsen af reglerne. Det er således den dataansvarlige, som fx vil kunne blive pålagt en bøde. I DDMs kirker vil det normalt være menighedsrådet. Det er kirken som sådan, der er dataansvarlig for den behandling af personoplysninger, som foretages af kirken. Det er ikke den eller de personer, som har ansvaret for databeskyttelse i kirken, der er dataansvarlig. Kirken kan dog med fordel vælge en person, der overordnet har opgaven med at holde styr på kirkens behandling af personoplysninger.

Er der specielle krav til kirkers behandling af personoplysninger?

Vi må behandle almindelige personoplysninger, hvis I har en lovlig grund – kaldet hjemmel - til at behandle dem. En hjemmel til at behandle personoplysninger kan fx være:

1. At opfylde en aftale fx en kontrakt i forbindelse med et ansættelsesforhold
2. At en person har givet sit samtykke. Se Datatilsynets vejledning om samtykke (Artikel 6. stk. 1, a.)
3. At I er forpligtet pga. lovkrav – hvis I fx skal indberette oplysninger om en ansat medarbejder til Skat (Artikel 6. stk. 1, c.)
4. At I har en legitim interesse - fx hvis foreningen ønsker at offentliggøre situationsbilleder fra den årlige generalforsamling uden at indhente samtykke fra de deltagere, der optræder på billederne. Her vil Datatilsynet altid veje de afbilledes interesse og rettigheder op imod foreningens interesse (Interesseafvejningsreglen). Ifølge " Justitsministeriets vejledning til foreninger" kan foreninger i langt de fleste tilfælde behandle almindelige personoplysninger på baggrund af interesseafvejningsreglen. (Artikel 6. stk. 1, b-f.)

Hvornår har personoplysninger historisk værdi?

Almindelige personoplysninger kan i udgangspunktet gemmes, når de har historisk værdi. Hvornår, samt hvilke oplysninger, der har historisk værdi, må afgøres konkret ud fra en den enkelte kirkes traditioner. Her tænkes særligt på tillidshverv, ansættelser, bestemte funktioner.

Er e-mails omfattet af persondataforordningen?

Skal e-mails med et medlem, leder eller ansat slettes ved udmeldelse eller ansættelsens ophør? Ja. E-mails, der indeholder medlemsoplysninger, persondata, skal slettes, når der ikke længere er et formål med at have dem liggende.

Skal man have samtykke til udsendelse af nyhedsbreve?

Måske. Kirken skal finde en grund (en hjemmel) i databeskyttelsesreglerne til behandlingen af personoplysninger, hvilket f.eks. kan være et samtykke. Hjemmel vil efter omstændighederne også kunne findes i interesseafvejningsreglen, hvis nyhedsbrevet udsendes i overensstemmelse med foreningens formål. MailChimp kan fx. sættes op så der indhentes et samtykke fra alle modtagere.

Hvad er behandling af personoplysninger?

Behandling af personoplysninger og persondata er en aktivitet eller en række af aktiviteter, som involverer brug af personoplysninger. Det kan være både indsamling, registrering, opbevaring, sletning eller ændring, søgning i, sammenstilling, overladelse eller videregivelse til personer, myndigheder, selskaber mv. uden for kirken.

Er der nye regler for billeder?

JA. Efter Datatilsynets opfattelse har afgrænsningen mellem "situations- og portrætbilleder", vist sig at være uklar. ( Læs nyhed her) Datatilsynet skelner derfor ikke længere mellem situations- og portrætbilleder og hvorvidt et billede må offentliggøres på internettet – uden samtykke fra den berørte person – vil bero på en helhedsvurdering af billedet og formålet med offentliggørelsen. Det påhviler derfor den dataansvarlige – som ved enhver behandling af personoplysninger – at vurdere, på hvilket behandlingsgrundlag et billede af en identificerbar person kan offentliggøres. Den teknologiske og samfundsmæssige udvikling, der har været siden 2002, har endvidere medført et markant skift i anvendelsen af internettet. Billeder af identificerbare personer offentliggøres således i dag i vidt omfang på hjemmesider og sociale medier som f.eks. Facebook og Instagram. Mange mennesker opfatter dette som værende ganske uproblematisk, så længe der er tale om, at der sker offentliggørelse af helt harmløse billeder af dem på internettet. Læs mere i Datatilsynets tekst om offentliggørelse af billeder på internettet. I skal som regel altid være forsigtige med at lægge billeder af frivillige, medlemmer, ledere – og særligt af børn – på nettet. Når det skal vurderes, om offentliggørelsen af et billede med børn og unge er lovlig, skal man tænke på, at børn efter databeskyttelsesretten har en særlig beskyttelse, fordi de er mindre bevidste om de risici og konsekvenser, der kan være forbundet med behandling af personoplysninger. Vi opfordrer vores kirker at indhente samtykke, før man offentliggør portrætbilleder, herunder gruppebilleder, hvilket er baggrunden for den samtykkeerklæring-skabelon du kan hente fra vores gdpr side. " Samtykke billeder"

Hvad er et situationsbillede?

Situationsbilleder kan normalt offentliggøres uden, at dem på billedet har givet samtykke til det. Udgangspunktet er, at situationsbilleder kan offentliggøres uden samtykke med hjemmel i interesseafvejningsreglen i persondataforordningens § 6, stk 1,f. Efter Datatilsynets opfattelse har afgrænsningen mellem "situations- og portrætbilleder", vist sig at være uklar. Læs mere under spørgsmålet: " Er der nye regler for billeder?"

Hvad er et portrætbillede?

Portrætbilleder er billeder, hvor formålet er at afbilde en eller flere bestemte personer, der som følge af billedets karakter er let genkendelige. Det kan f.eks. være et opstillet gruppebillede eller et holdbillede. Det kræver normalt altid samtykke at offentliggøre portrætbilleder. Efter Datatilsynets opfattelse har afgrænsningen mellem "situations- og portrætbilleder", vist sig at være uklar. Læs mere under spørgsmålet: " Er der nye regler for billeder?"

Må man dele billeder fra arrangementer o. lign. i menighedsblade eller på en lukket side på internettet?

Om billeder kan videregives uden samtykke i et menighedsblad eller på en lukket side på internettet afhænger af en konkret afvejning af formålet med videregivelsen over for den registreredes interesse i, at der ikke videregives oplysninger. Kirken kan – som det er tilfældet for offentliggørelse af billeder på internettet – eksempelvis lægge vægt på, om der er tale om situationsbilleder eller portrætbilleder, samt hvor tungtvejende et formål videregivelsen af billederne har. Kirken kan også lægge vægt på, at deling internt i foreningen normalt vil være en mindre indgribende behandling end offentliggørelse på internettet. Kilde: Justitsministeriets vejledning om frivillige foreningers behandling af personoplysninger.

Hvor lang tid må billeder være tilgængelige på eksempelvis kirkens hjemmeside?

Behandling af personoplysninger skal ske til saglige formål og må ikke finde sted i længere tid, end det er nødvendigt i forhold til de formål, som kirken vil opnå med behandlingen. I skal overveje, om grunden til at billederne er på hjemmesiden vejer tungere end den registreredes interesse i, at de ikke er på hjemmesiden. Kirker kan i den forbindelse f.eks. overveje, hvilken interesse bl.a. kirkens medlemmer har i, at gamle billeder fortsat er tilgængelige. På den anden side kan kirken overveje, hvilken interesse de afbildede kan have i, under hensyntagen til billedernes karakter, at billederne slettes. Hvis offentliggørelsen af et billede er baseret på et samtykke fra den registrerede person, og det trækkes tilbage i henhold til muligheden herfor, skal billedet slettes.