Beskyttelse af personoplysninger – GDPR, brud, sager ved UODO

Siden den 25. maj 2018 har databeskyttelsesforordningen — Europa-Parlamentets og Rådets forordning (EU) 2016/679 (GDPR, på polsk RODO) — fundet anvendelse (art. 99, stk. 2, i GDPR). Den suppleres af den polske lov om beskyttelse af personoplysninger (ustawa o ochronie danych osobowych) af 10. maj 2018 (herefter u.o.d.o.). Tilsynsmyndighed er formanden for det polske datatilsyn (Prezes Urzędu Ochrony Danych Osobowych, Prezes UODO) (art. 34 u.o.d.o.). Generalinspektøren for Beskyttelse af Personoplysninger (Generalny Inspektor Ochrony Danych Osobowych, GIODO) virkede i henhold til den tidligere lov fra 1997 og eksisterer ikke længere, selv om betegnelsen stadig optræder i gamle klausuler og kontrakter — det er et signal om, at dokumentationen skal opdateres.

Vi hjælper virksomheder, skoler, ejerforeninger, organisationer og privatpersoner: Vi implementerer GDPR og bringer orden i dokumentationen, udarbejder databehandleraftaler, fører virksomheder igennem brud på persondatasikkerheden og kontroller og repræsenterer over for Prezes UODO og ved forvaltningsdomstolene samt i erstatningstvister. Nedenfor beskriver vi, hvordan det foregår i praksis.

Hvem forpligtelserne gælder for

GDPR gælder for enhver, der behandler personoplysninger — oplysninger om en identificeret eller identificerbar fysisk person (art. 4, nr. 1, i GDPR): for- og efternavn, e-mailadresse, telefonnummer, PESEL-nummer, en optagelse fra videoovervågning, en nummerplade kombineret med andre oplysninger. Reglerne skelner mellem:

• den dataansvarlige — den, der afgør, til hvilke formål og med hvilke midler der må foretages behandling (f.eks. en netbutik over for sine kunder, en arbejdsgiver over for de ansatte),
• databehandleren — den, der behandler oplysninger på vegne af den dataansvarlige (f.eks. et bogføringsbureau, en udbyder af CRM-system, et hostingfirma, et marketingbureau).

Forpligtelserne og ansvaret afhænger af denne fordeling, og derfor begynder vi med at fastslå, hvilken rolle virksomheden har i hvert forhold til en medkontrahent.

Implementering af GDPR trin for trin

GDPR indeholder ikke et enkelt „overensstemmelsescertifikat”. Forordningen bygger på ansvarlighedsprincippet — den dataansvarlige skal overholde principperne for behandling og kunne påvise det (art. 5, stk. 2, i GDPR). Vi gennemfører normalt implementeringen sådan:

1. Kortlægning af oplysninger. Vi fastslår, hvilke oplysninger virksomheden indsamler, fra hvem, til hvilket formål, hvor de opbevares, hvem de videregives til, og hvor længe de gemmes. Vi taler med de ansvarlige for HR, salg, marketing og IT.
2. Retsgrundlag. Hver behandling skal have et grundlag i art. 6, stk. 1, i GDPR: samtykke, opfyldelse af en kontrakt, en retlig forpligtelse, beskyttelse af vitale interesser, en opgave i samfundets interesse eller den dataansvarliges legitime interesse. En hyppig fejl er at basere alt på samtykke — også hvor det rette grundlag er en kontrakt eller en lovbestemmelse. Samtykke kan til enhver tid trækkes tilbage (art. 7, stk. 3, i GDPR), og den dataansvarlige skal kunne påvise, at det er givet (art. 7, stk. 1, i GDPR).
3. Oplysningspligt. Vi udarbejder oplysningsklausuler i overensstemmelse med art. 13 i GDPR (oplysninger indsamlet hos den registrerede) og art. 14 i GDPR (oplysninger fra en anden kilde) — for kunder, medkontrahenter, jobansøgere, ansatte, personer, der optages af videoovervågning, og brugere af hjemmesiden.
4. Fortegnelse over behandlingsaktiviteter. Fortegnelsen føres skriftligt, herunder elektronisk, og stilles til rådighed for tilsynsmyndigheden på anmodning (art. 30, stk. 3 og 4, i GDPR). Virksomheder med færre end 250 ansatte er kun fritaget for denne forpligtelse, hvis behandlingen er lejlighedsvis, ikke indebærer en risiko og ikke omfatter særlige kategorier af oplysninger eller oplysninger om straffedomme (art. 30, stk. 5, i GDPR). I praksis bør de fleste virksomheder med løbende aktivitet — om ikke andet personale og løn — under alle omstændigheder føre en fortegnelse.
5. Databehandleraftaler. Med hver databehandler indgår den dataansvarlige en kontrakt eller et andet retligt dokument, der fastlægger genstanden for og varigheden af behandlingen, behandlingens karakter og formål, typen af personoplysninger, kategorierne af registrerede samt parternes forpligtelser (art. 28, stk. 3, i GDPR). Vi gennemgår også de aftaler, som leverandørerne foreslår — de overvælter ofte risici på kunden og giver ingen ret til revision.
6. Sikkerhed. Den dataansvarlige og databehandleren gennemfører tekniske og organisatoriske foranstaltninger, der passer til risikoen — f.eks. kryptering, sikkerhedskopier, adgangskontrol og regelmæssige test (art. 32, stk. 1, i GDPR). Risikoanalysen udarbejder vi i samarbejde med IT-afdelingen eller en ekstern IT-specialist.
7. Konsekvensanalyse (DPIA). Når en behandling — navnlig ved brug af nye teknologier — kan indebære en høj risiko for personers rettigheder, skal der foretages en konsekvensanalyse vedrørende databeskyttelse, før behandlingen påbegyndes (art. 35, stk. 1, i GDPR). Det gælder f.eks. omfattende videoovervågning, profilering eller behandling af helbredsoplysninger i stort omfang.
8. Databeskyttelsesrådgiver. Udpegning af en databeskyttelsesrådgiver (DPO, på polsk IOD) er obligatorisk bl.a. for offentlige myndigheder og organer, og når kerneaktiviteten består i regelmæssig og systematisk overvågning af personer i stort omfang eller i behandling i stort omfang af særlige kategorier af oplysninger (art. 37, stk. 1, i GDPR). I andre tilfælde er det frivilligt — vi hjælper med at vurdere, om forpligtelsen foreligger.
9. Procedurer og uddannelse. Databeskyttelsespolitik, procedure for håndtering af anmodninger, procedure for håndtering af brud, autorisationer til medarbejdere, opbevaringsperioder. Vi uddanner medarbejderne med eksempler fra deres daglige arbejde.
10. Hjemmeside og netbutik. Privatlivspolitik, samtykkeløsning for cookies og markedsføring, kontaktformularer, nyhedsbrev. Ved onlinesalg se også reklamationer og forbrugertvister.

Databeskyttelse bør indtænkes allerede ved udformningen af nye processer og systemer (art. 25 i GDPR) — det er billigere at gøre det før implementeringen end efter en kontrol.

Anmodninger fra de registrerede

De registrerede har bl.a. ret til indsigt (art. 15 i GDPR), berigtigelse, sletning (art. 17 i GDPR), begrænsning af behandling, dataportabilitet (art. 20 i GDPR) og indsigelse (art. 21 i GDPR). Over for direkte markedsføring har en indsigelse virkning uden yderligere betingelser (art. 21, stk. 2 og 3, i GDPR).

Den dataansvarlige svarer uden unødig forsinkelse og senest inden for en måned efter modtagelsen af anmodningen. Fristen kan forlænges med yderligere to måneder, hvis det er nødvendigt under hensyntagen til anmodningernes kompleksitet og antal — men forlængelsen skal meddeles inden for den første måned med angivelse af årsagerne (art. 12, stk. 3, i GDPR). Et afslag kræver også svar inden for en måned med oplysning om retten til at klage og til at indbringe sagen for en domstol (art. 12, stk. 4, i GDPR).

Vi hjælper med at besvare anmodninger, især dem, der fremsættes i forbindelse med en tvist — f.eks. fra en tidligere ansat eller en kunde, der kræver „alle oplysninger” for at forberede et søgsmål. I sådanne sager skal pligten til at give oplysninger afvejes mod beskyttelsen af forretningshemmeligheder og andre personers oplysninger.

Brud på persondatasikkerheden — de første 72 timer

Læk af en kundedatabase, en e-mail sendt med en liste over adresser i feltet „Til”, en mistet ukrypteret bærbar computer, et ransomware-angreb, dokumenter smidt i en almindelig skraldespand — det er alt sammen brud på persondatasikkerheden. Fremgangsmåden er:

1. Begrænsning af situationen — sikring af systemerne, afbrydelse af adgang, forsøg på at genskabe oplysningerne (f.eks. en anmodning til modtageren af en fejlforsendelse om at slette beskeden).
2. Risikovurdering — hvilke oplysninger, hvor mange personer, om de kan misbruges (f.eks. til identitetstyveri), om oplysningerne var krypteret.
3. Anmeldelse til Prezes UODO — uden unødig forsinkelse og om muligt senest 72 timer efter, at bruddet er konstateret, medmindre det er usandsynligt, at bruddet indebærer en risiko for personers rettigheder eller frihedsrettigheder. En anmeldelse efter fristen skal ledsages af en begrundelse for forsinkelsen (art. 33, stk. 1, i GDPR). Anmeldelsens minimumsindhold fremgår af art. 33, stk. 3, i GDPR.
4. Underretning af de registrerede — hvis bruddet kan indebære en høj risiko, underretter den dataansvarlige uden unødig forsinkelse de registrerede i et klart og enkelt sprog (art. 34, stk. 1 og 2, i GDPR).
5. Dokumentation — ethvert brud, også et, der ikke anmeldes, skal dokumenteres: omstændighederne, virkningerne og de trufne afhjælpende foranstaltninger (art. 33, stk. 5, i GDPR).

En databehandler, der konstaterer et brud, underretter den dataansvarlige uden unødig forsinkelse (art. 33, stk. 2, i GDPR) — det er en god idé, at databehandleraftalen præciserer denne frist i timer. Når bruddet er forbundet med en forbrydelse (f.eks. indbrud i et system, en medarbejders tyveri af oplysninger), hjælper vi også med anmeldelsen til de forfølgende myndigheder — se strafferet.

Fristen på 72 timer regnes fra konstateringen af bruddet, også i weekenden. Derfor er det klogt at have proceduren og kontaktoplysningerne på den beslutningstagende person klar på forhånd.

Kontrol fra Prezes UODO

Prezes UODO kontrollerer overholdelsen af reglerne i henhold til en kontrolplan eller på grundlag af modtagne oplysninger, f.eks. en klage (art. 78 u.o.d.o.). Kontrollanten har ret til at få adgang til lokalerne mellem kl. 6:00 og 22:00, til at gennemse dokumenter, besigtige systemer, kræve forklaringer og afhøre medarbejdere som vidner (art. 84, stk. 1, og art. 86 u.o.d.o.). Den kontrollerede angiver skriftligt en person, der er bemyndiget til at repræsentere den under kontrollen (art. 83, stk. 2, u.o.d.o.). Kontrollen varer som udgangspunkt højst 30 dage (art. 89, stk. 1, u.o.d.o.). Det er strafbart at hindre en kontrol (art. 108, stk. 1, u.o.d.o.).

Vi deltager i kontrollen, hjælper med at forberede dokumenter og fremsætte indsigelser til protokollen. Hvis kontrollen afslører en mulig overtrædelse, indleder Prezes UODO en forvaltningssag (art. 90 u.o.d.o.).

Sagen ved Prezes UODO

Sagen om overtrædelse af reglerne føres af Prezes UODO (art. 60 u.o.d.o.), som i spørgsmål, der ikke er reguleret i loven, anvender den polske forvaltningslov (Kodeks postępowania administracyjnego). Sagen behandles i én instans (art. 7, stk. 1 og 2, u.o.d.o.) — der er ingen klageadgang til en myndighed i anden instans. Afgørelsen indbringes ved søgsmål for den regionale forvaltningsdomstol (wojewódzki sąd administracyjny) inden for 30 dage fra forkyndelsen via Prezes UODO (art. 53 § 1 og art. 54 § 1 i loven om sagsbehandling ved forvaltningsdomstolene (Prawo o postępowaniu przed sądami administracyjnymi, p.p.s.a.)). Kompetent er den domstol, der svarer til myndighedens hjemsted (art. 13 § 2 p.p.s.a.). Indgivelse af søgsmålet har opsættende virkning for afgørelsen for så vidt angår den administrative bøde (art. 74 u.o.d.o.).

Vigtige elementer, som vi sørger for i sagen:

• forbehold om forretningshemmeligheder i de indleverede dokumenter — med pligt til at fremlægge en offentlig version, ellers er forbeholdet uden virkning (art. 65, stk. 1 og 2, u.o.d.o.),
• påvisning af formildende omstændigheder efter art. 83, stk. 2, i GDPR — Prezes UODO skal angive dem i begrundelsen for bødeafgørelsen (art. 72 u.o.d.o.),
• reaktion på en beslutning om begrænsning af behandlingen, som kan træffes under sagen (art. 70 u.o.d.o.).

Prezes UODO kan offentliggøre oplysninger om afgørelsen i Den Offentlige Informationsbulletin (Biuletyn Informacji Publicznej), hvis den offentlige interesse taler for det (art. 73, stk. 1, u.o.d.o.) — omdømmekonsekvenserne kan være lige så mærkbare for virksomheden som selve bøden.

Administrative bøder

Bøder pålægges afhængigt af sagens omstændigheder under hensyntagen til bl.a. overtrædelsens karakter, grovhed og varighed, om den er forsætlig, de foranstaltninger, der er truffet for at begrænse skaden, tidligere overtrædelser og graden af samarbejde med myndigheden (art. 83, stk. 2, i GDPR). De øvre grænser:

• op til 10 000 000 EUR eller, for en virksomhed, op til 2 % af den samlede globale årlige omsætning i det foregående regnskabsår, alt efter hvilket beløb der er højest — bl.a. for overtrædelse af forpligtelserne i art. 25–39 i GDPR (sikkerhed, fortegnelse, anmeldelse af brud, databehandleraftaler, DPO) — art. 83, stk. 4, i GDPR,
• op til 20 000 000 EUR eller op til 4 % af omsætningen — bl.a. for overtrædelse af de grundlæggende principper for behandling og betingelserne for samtykke (art. 5, 6, 7 og 9 i GDPR) og de registreredes rettigheder (art. 12–22 i GDPR) — art. 83, stk. 5, i GDPR.

Beløb i euro omregnes efter Polens Nationalbanks (NBP) gennemsnitskurs pr. 28. januar i det pågældende år (art. 103 u.o.d.o.). Enheder i den offentlige finanssektor kan pålægges bøder på op til 100 000 zł, og nogle af dem — op til 10 000 zł (art. 102 u.o.d.o.).

Uafhængigt af de administrative bøder er behandling af oplysninger uden hjemmel, eller når behandlingen ikke er tilladt, en forbrydelse, der kan straffes med bøde, frihedsbegrænsning eller fængsel i op til to år (art. 107, stk. 1, u.o.d.o.).

Erstatning og godtgørelse for overtrædelse af GDPR

Enhver, der har lidt materiel eller immateriel skade som følge af en overtrædelse af GDPR, har ret til erstatning fra den dataansvarlige eller databehandleren (art. 82, stk. 1, i GDPR). I spørgsmål, der ikke er reguleret i GDPR, finder den polske civillov (Kodeks cywilny) anvendelse (art. 92 u.o.d.o.).

• Kompetent domstol — i første instans regionalretten (sąd okręgowy), uanset sagsgenstandens værdi (art. 93 u.o.d.o. og art. 17, nr. 4⁵, i den polske retsplejelov (Kodeks postępowania cywilnego, k.p.c.)).
• Forholdet til sagen ved UODO — retten udsætter sagen, hvis der er indledt en sag om samme overtrædelse ved Prezes UODO (art. 95 u.o.d.o.), og en endelig afgørelse, der fastslår overtrædelsen, er bindende for retten med hensyn til, at overtrædelsen har fundet sted (art. 97 u.o.d.o.).
• Hvad der skal påvises — overtrædelsen af reglerne, skaden (også immateriel, f.eks. stress eller tab af kontrol over oplysningerne) og årsagssammenhængen. Selve overtrædelsen af reglerne er uden påvisning af skade normalt ikke tilstrækkelig.

Vi repræsenterer både personer, der gør krav gældende, og sagsøgte virksomheder — se også retssager.

Hjælp til privatpersoner

Hvis du mener, at nogen behandler dine oplysninger i strid med loven — f.eks. et inkassofirma, en arbejdsgiver, en ejerforening eller en butik, der sender uønsket markedsføring — kan du:

1. fremsætte en anmodning over for den dataansvarlige (indsigt, sletning, indsigelse) — det er ofte den hurtigste vej,
2. indgive en klage til Prezes UODO (art. 77, stk. 1, i GDPR); hvis myndigheden ikke behandler klagen eller ikke underretter om forløbet inden for tre måneder, har du adgang til retsmidler ved en domstol (art. 78, stk. 2, i GDPR),
3. anlægge sag ved retten med krav om ophør af overtrædelserne og om erstatning (art. 79 og 82 i GDPR).

Vi hjælper med at vælge den rette vej og udarbejde skrivelserne. Ikke alle situationer er omfattet af GDPR — f.eks. er en fysisk persons behandling af oplysninger som led i rent personlige eller familiemæssige aktiviteter undtaget (art. 2, stk. 2, litra c, i GDPR); i så fald kommer beskyttelsen af personlighedsrettigheder (dobra osobiste) efter civilloven på tale.

Hvad du skal forberede til det første møde

• den nuværende GDPR-dokumentation (politikker, fortegnelse, klausuler, databehandleraftaler) — også selv om den er forældet,
• en liste over systemer og leverandører (bogføring, HR, CRM, hosting, e-mail, marketing),
• ved et brud: en kronologi over hændelserne med klokkeslæt, oplysninger om typen og antallet af oplysninger, korrespondance,
• ved en kontrol eller sag: bemyndigelsen til kontrol, protokollen, skrivelser fra UODO,
• ved en tvist: anmodninger, svar, beviser for skaden.

Typiske fejl

• at kopiere færdige skabeloner fra internettet, som ikke svarer til virksomhedens faktiske processer,
• henvisninger til GIODO og den ophævede lov fra 1997 i klausuler og kontrakter,
• manglende databehandleraftaler med bogføringsbureauet, softwareleverandøren eller IT-firmaet,
• at indhente samtykker, hvor grundlaget er en kontrakt eller en lovbestemmelse, og så stå med et problem, når personen trækker samtykket tilbage,
• at „vente et brud ud” og regne med, at ingen opdager det — ved fastsættelsen af bøden tager myndigheden hensyn til, om og i hvilket omfang den dataansvarlige selv har anmeldt bruddet (art. 83, stk. 2, litra h, i GDPR),
• at opbevare oplysninger „for evigt” uden opbevaringsperioder.

Sådan forløber samarbejdet

1. Samtale — vi fastlægger målet: implementering, audit, et akut brud, en kontrol, en tvist.
2. Analyse — gennemgang af dokumenter og samtaler med de procesansvarlige.
3. Rapport — en liste over risici og anbefalinger med prioriteter, uden unødvendig dokumentation „til hylden”.
4. Dokumenter og implementering — vi udarbejder dokumenterne og uddanner medarbejderne.
5. Løbende bistand — vi besvarer løbende spørgsmål, opdaterer dokumenter og reagerer på brud og anmodninger.

I hastesager — et brud, en varslet kontrol — bestræber vi os på at reagere samme dag. Uddannelsesinstitutioner hjælper vi også inden for rammerne af uddannelsesretten.

Kunstig intelligens i virksomheden — GDPR og AI Act

En virksomhed, der blot bruger et færdigt værktøj — en chatbot på hjemmesiden, en kundeserviceassistent, en tekstgenerator — er idriftsætter (deployer) i AI Acts forstand (forordning (EU) 2024/1689) og har selvstændige forpligtelser. I juli 2026 blev AI Act ændret ved forordning (EU) 2026/1744 (den såkaldte Digital Omnibus). Siden den 2. februar 2025 har art. 4 om AI-færdigheder været gældende — efter ændringen skal der træffes foranstaltninger, der støtter udviklingen af personalets kompetencer, uden pligt til at sikre et bestemt niveau. Siden den 2. august 2026 har gennemsigtighedsforpligtelserne i art. 50 fundet anvendelse: udbyderen skal sikre, at brugeren ved, at vedkommende interagerer med AI, og mærke genereret indhold (stk. 1 og 2; for generative systemer bragt i omsætning tidligere — senest den 2. december 2026), mens idriftsætteren bl.a. skal oplyse om deepfakes (stk. 4). Forpligtelserne for højrisikosystemer er udskudt til den 2. december 2027 (bilag III, f.eks. rekruttering) og den 2. august 2028 (systemer indbygget i regulerede produkter).

Den polske lov om systemer med kunstig intelligens (ustawa o systemach sztucznej inteligencji, Dz.U. 2026 pos. 1003) har været i kraft siden den 11. august 2026, og dens bestemmelser om kontrol, sagsbehandling og sanktioner gælder fra den 28. oktober 2026 (art. 127, nr. 2). Markedsovervågningsmyndighed er Kommissionen for Udvikling og Sikkerhed inden for Kunstig Intelligens (Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, KRiBSI) (art. 5, stk. 1). Kommissionen kontrollerer overholdelsen af AI Act og loven, træffer afgørelser i sager om overtrædelser, opretter reguleringsmæssige sandkasser og afgiver individuelle udtalelser (opinie indywidualne) (art. 6), og i Bulletinen for Offentlig Information (Biuletyn Informacji Publicznej) offentliggør den en liste over AI-systemer, for hvilke der er truffet afgørelse om pålæggelse af en bøde (art. 66, stk. 2).

KRiBSI erstatter ikke Prezes UODO. Hvis et AI-værktøj behandler personoplysninger, gælder GDPR fortsat. Man skal fastlægge formål og retsgrundlag (art. 6, stk. 1, i GDPR), vurdere, om der er behov for en konsekvensanalyse vedrørende databeskyttelse (art. 35 i GDPR), indgå en databehandleraftale med udbyderen (art. 28 i GDPR) — med en udtrykkelig bestemmelse om, hvorvidt oplysningerne må bruges til at træne modellen — og kontrollere, hvor oplysningerne behandles: overførsel uden for Det Europæiske Økonomiske Samarbejdsområde (EØS) kræver et grundlag i kapitel V i GDPR. Et typisk problem: en medarbejder indsætter ansøgeres cv'er i et offentligt AI-værktøj — uden aftale med udbyderen og uden information til ansøgerne.

Det hjælper vi med:

• aftaler med AI-udbydere — klassificering af systemet, gennemsigtighed, databehandleraftale, fortrolighed, rettigheder til resultaterne, ansvar; se også kontrakter og aftaler,
• politik for brug af AI — tilladte værktøjer, oplysninger, der ikke må indtastes, dokumenteret uddannelse af personalet (art. 4 i AI Act),
• konsekvensanalyse — DPIA ved indførelse af AI og analyse af, om anvendelsen kan udgøre et højrisikosystem,
• gennemsigtighedsforpligtelser — information til kunder og ansøgere, oplysning om genereret indhold (art. 50 i AI Act),
• kontroller — forberedelse af dokumentation, deltagelse i kontrol fra KRiBSI eller Prezes UODO og repræsentation i sagen.

Vi begynder med en kortlægning — de fleste virksomheder ved ikke, hvor mange AI-værktøjer medarbejderne faktisk bruger.

Hvor vi arbejder

Advokatfirmaet ligger i Gdańsk på al. Grunwaldzka 87/91 lok. 10. Vi bistår virksomheder og institutioner fra hele Trójmiasto — Gdańsk, Gdynia og Sopot — samt fra Pruszcz Gdański, Rumia, Reda, Wejherowo, Kartuzy, Żukowo, Kościerzyna, Tczew, Starogard Gdański og Malbork. Implementeringer, audits og repræsentation over for Prezes UODO varetager vi også på afstand for klienter fra hele Polen. Kontakt os.

Ofte stillede spørgsmål

Skal en lille virksomhed føre en fortegnelse over behandlingsaktiviteter?

Fritagelsen for virksomheder med færre end 250 ansatte gælder ikke, hvis behandlingen ikke er lejlighedsvis, kan indebære en risiko eller omfatter særlige kategorier af oplysninger (art. 30, stk. 5, i GDPR). Løbende kundebetjening eller personaleadministration er regelmæssig behandling, så i praksis bør de fleste virksomheder føre en fortegnelse.

Skal ethvert brud anmeldes til UODO?

Nej. Et brud, hvor det er usandsynligt, at det indebærer en risiko for personers rettigheder eller frihedsrettigheder, skal ikke anmeldes (art. 33, stk. 1, i GDPR). Ethvert brud skal dog dokumenteres internt (art. 33, stk. 5, i GDPR), og det er en god idé at nedskrive risikovurderingen, fordi myndigheden kan efterprøve den.

Skal jeg have en databeskyttelsesrådgiver?

Kun i de tilfælde, der er nævnt i art. 37, stk. 1, i GDPR — bl.a. hos offentlige myndigheder og organer, og når kerneaktiviteten består i overvågning af personer eller behandling af særlige kategorier af oplysninger i stort omfang. I andre virksomheder er udpegning af en DPO frivillig.

Kan man klage over en afgørelse fra Prezes UODO?

Ikke til en myndighed i anden instans — sagen behandles i én instans (art. 7, stk. 2, u.o.d.o.). Der kan anlægges søgsmål ved den regionale forvaltningsdomstol inden for 30 dage fra forkyndelsen af afgørelsen.

Hvor lang tid har jeg til at besvare en anmodning om indsigt?

En måned fra modtagelsen af anmodningen med mulighed for forlængelse med to måneder i komplicerede sager eller ved et stort antal anmodninger — forlængelsen skal meddeles inden udløbet af den første måned (art. 12, stk. 3, i GDPR).

Hvor sagsøger jeg en virksomhed for læk af mine oplysninger?

Ved regionalretten — den er kompetent i sager om krav som følge af overtrædelse af reglerne om beskyttelse af personoplysninger, uanset sagsgenstandens værdi (art. 93 u.o.d.o.). Du skal påvise overtrædelsen, skaden og årsagssammenhængen.

Eksisterer GIODO stadig?

Nej. Siden den 25. maj 2018 har tilsynsmyndigheden været formanden for det polske datatilsyn (Prezes Urzędu Ochrony Danych Osobowych). Hvis dine dokumenter henviser til GIODO, skal de højst sandsynligt opdateres.