Personvern

Personvernforordningen (General Data Protection Regulation (GDPR)) styrker europeiske borgeres kontroll over egne personopplysninger og stiller krav til virksomheter om å styrke personvernet og databeskyttelse gjennom en systematisk og helhetlig tilnærming til behandlingen. I Norge er forordningen håndhevet av Datatilsynet, og tilsynet er gitt omfattende kompetanse hva gjelder å fastsette sanksjoner. Personvernforordningen vedrører ikke bare alle virksomheter i EU og EØS, men også virksomheter utenfor EU som behandler personopplysninger om europeiske borgere. Det vil si at for eksempel store amerikanske virksomheter som Facebook, Google og Microsoft også må forholde seg til GDPR.

Regelverket stiller strenge krav til når det er tillatt å behandle personopplysninger og hvordan disse personopplysningene skal behandles. De registrerte (de som personopplysningene gjelder) gis rettigheter som virksomhetene må oppfylle. I tillegg pålegges virksomhetene en rekke plikter knyttet til blant annet bruk av eksterne leverandører (databehandlere) som skytjenester, leverandører av datasystem, eksport av data ut av EU/EØS, internkontroll, informasjonsplikter og krav til informasjonssikkerhet.

De regulatoriske forholdene er under rask utvikling. Norske virksomheter er ofte dårlig beredt til å bevise at man etterlever regelverket, og det er ikke uvanlig at noen gjemmer seg bak unnskyldninger om at regelverket er vanskelig tilgjengelig, eller at regelverkets anvendelsesområde eller omfang er tilstrekkelig forstått.

SANDS’ personverngruppe består av 6 advokater som hjelper norske og internasjonale klienter med tilpasningen til det nye regelverket og gir løpende oppfølgning rundt alle forhold knyttet til regelverk om behandling av personopplysninger. Vi bistår bl.a. med utarbeidelse og forhandling av databehandleravtaler, vurdering og etablering av behandlingsgrunnlag, utarbeidelse av personvernerklæringer/privacy policies, etablering av overføringsgrunnlag ved overføring av personopplysninger til land utenfor EU/EØS, sletterutiner, konsekvensutredninger, risikovurderinger, profilering, intern opplæring i personopplysningsregelverket, etablering av rutiner og internkontroll, myndighetskontakt, spørsmål om big data, analytics, prediktive analyser og alle personvernsaspekter ved skytjenester m.m.