GDPR er EU's forordning om beskyttelse af personoplysninger. Den gælder direkte i alle medlemslande og bliver i Danmark suppleret af databeskyttelsesloven, lov nr. 502 af 23. maj 2018. Reglerne rammer hver gang en virksomhed behandler oplysninger om en person, også når behandlingen varer et halvt sekund og resultatet aldrig bliver gemt.
Der skal være et retsgrundlag
Artikel 6, stk. 1 opregner seks grundlag at behandle på: samtykke, kontrakt, retlig forpligtelse, vitale interesser, samfundsinteresse og legitim interesse. Ét af dem skal være valgt, før behandlingen går i gang, ikke fundet frem bagefter når nogen spørger.
Den klassiske fejl på en webshop er at kalde alt for samtykke. Er alderstjekket et lovkrav, fordi varen ikke må sælges til mindreårige, er grundlaget en retlig forpligtelse. Kunden kan ikke sige nej til det og alligevel købe varen, og så er samtykke det forkerte ord at skrive i privatlivspolitikken.
Kun det nødvendige
Dataminimering står i artikel 5, stk. 1, litra c. Oplysningerne skal være begrænset til det, formålet kræver. Det er den bestemmelse, der oftest bliver overtrådt ved aldersverifikation, fordi et flow, som henter fuldt navn og CPR-nummer for at afgøre om nogen er fyldt 18 år, henter meget mere end svaret på spørgsmålet.
Artikel 32 nævner kryptering som en af de tekniske foranstaltninger, man skal overveje. Kravet er risikobaseret, så det afhænger af hvad der behandles og hvad et brud ville betyde.
Bøderne fastsættes af domstolene i Danmark
Forordningen har to bødeniveauer. Artikel 83, stk. 4 går op til 10 mio. euro eller 2 procent af den globale omsætning. Stk. 5 går op til 20 mio. euro eller 4 procent, og dataminimering hører til det høje niveau.
Danmark har ikke administrative bøder på området. Efter databeskyttelseslovens § 41 straffes overtrædelser med bøde eller fængsel indtil 6 måneder, og bøden bliver pålagt af domstolene efter en politianmeldelse fra Datatilsynet.
Når identiteten alligevel skal kendes
Nogle gange kan man ikke nøjes med et ja eller nej. Skal en virksomhed lave kundekendskab efter hvidvaskloven, kræver loven navn og CPR-nummer, og så flytter opgaven sig fra at undgå oplysninger til at beskytte dem. Behandling af CPR-numre har sine egne regler i databeskyttelseslovens § 11, og de gælder oven i forordningen.