Hvordan udfylder jeg en kundes privatlivsspørgeskema?

Spørgeskemaet spørger om det, du allerede dokumenterer i dit register over behandlingsaktiviteter

Et privatlivsspørgeskema fra en dataansvarlig handler som regel om de samme emner som registeret over behandlingsaktiviteter: hvilke personoplysninger der behandles, til hvilket formål, hvor længe de gemmes, hvem der har adgang til dem, og om en databehandler er involveret. Hvis du allerede har dette register i orden, kan du svare på de fleste spørgsmål direkte ud fra det. Spørgsmål om sikkerhed — kryptering, adgangskontrol, sikkerhedskopier — hører under de tekniske og organisatoriske foranstaltninger, som den dataansvarlige ønsker at se, før han deler oplysninger med dig.

En del af spørgeskemaet handler ofte om organisationen omkring det: er der udpeget en databeskyttelsesansvarlig, findes der en procedure for brud på datasikkerheden, og hvem skal det anmeldes til. Det sidste varierer fra land til land: i Danmark går det til Datatilsynet, i Tyskland til tilsynsmyndigheden i den delstat, hvor virksomheden er beliggende. Pligten til selv at udpege en databeskyttelsesansvarlig har i Danmark ingen tærskel baseret på medarbejdertal — det følger af artikel 37 i GDPR — mens Tyskland med § 38 BDSG godt bruger antallet af medarbejdere som grænse. For en læser, der er aktiv i flere lande, er det derfor vigtig at se per virksomhedssted, hvilket niveau der gælder, i stedet for at give et svar for hele organisationen.

Begrundelse: ansvarlighed efter artikel 5 i GDPR

At en dataansvarlig stiller denne slags spørgsmål, og at du kan besvare dem, følger af ansvarlighiedspligten i artikel 5 i GDPR: en organisation skal ikke blot overholde forordningens principper, men også kunne påvise det. Et spørgeskema er i virkeligheden, at den dataansvarlige parcellerer sin egen ansvarlighed delvis over på dig. Datatilsynet udgiver generel vejledning om disse principper, uden at det medfører et format for et kundespørgeskema — hver dataansvarlig udfylder det selv.