Gælder reglerne for cookies og behandling af personoplysninger i B2B-forhold?

Når du handler med andre erhvervsdrivende, behandler du typisk også personoplysninger. Det kan være oplysninger om din kontaktperson eller andre medarbejdere i den virksomhed, du handler med. Oplysninger om en enkeltmandsvirksomhed er også omfattet af reglerne. Derimod er oplysning om selskaber ikke personoplysninger. Du behandler personoplysninger, når du fx registrerer kontaktoplysninger på virksomhedens sælgere, når du registrer leads, som du har samlet ind på en konference, eller når en medarbejder hos virksomheden signer op til dit nyhedsbrev med sin personlige virksomhedsmail.

Du skal overholde de samme regler, som når du behandler oplysninger om kunder, som er forbrugere.

Her er en stærkt forsimplet oversigt over, hvad du skal gøre for at overholde reglerne i Databeskyttelsesforordningen (GDPR).

• Du skal overholde GDPR’s almindelige principper for behandling af persondata. Det vil bl.a. sige., at du kun må behandle oplysninger til saglige formål, du må ikke behandle flere oplysninger end nødvendigt, og du skal slette oplysningerne, når de ikke længere er nødvendige. Art. 5 i GDPR. Du skal kunne dokumentere, at du overholder principperne.
• Du skal have et juridisk grundlag for at behandle personoplysninger. Art 6 og art. 9. Et juridisk grundlag kan fx være samtykke, opfyldelse af kontrakten, lovkrav eller interesseafvejningsreglen.
• Du skal være særligt opmærksom på, om du fører personoplysninger ud til et land uden for EU og EØS. Det kræver et særligt overførselsgrundlag.
• Du skal give den registrerede en række oplysninger om din behandling af persondata, og om den registreredes rettigheder, når du indsamler oplysninger om den registrerede. Art 13 og 14.
• Du skal opfylde krav om indsigt, sletning mv. fra den registrerede inden en måned og senest tre måneder efter modtagelse af anmodningen, hvis det er kompliceret at give indsigt. Art. 12.
• Du skal have databehandleraftaler med dine databehandlere. Art. 28.
• Du skal føre en fortegnelse over behandlingsaktiviteter. Art 30.
• Du skal lave en risikovurdering.
• Du skal anmelde brud på persondatasikkerheden og evt. underrette den registrerede. Art. 33 og 34.

Du kan finde en række vejledninger om, hvad du skal være opmærksom på, på Datatilsynets hjemmeside.

https://www.datatilsynet.dk/generelt-om-databeskyttelse/vejledninger/

Du behandler også personoplysninger om dine egne medarbejdere. Det kan i nogle tilfælde være følsomme oplysninger, så som oplysninger om helbredsforhold og fagforeningsforhold. Datatilsynet har lavet en vejledning om behandling af HR-oplysninger, der kan hjælpe dig godt på vej til at gøre det rigtigt. Vejledningen hedder ”Databeskyttelse i forbindelse med ansættelsesforhold.” https://www.datatilsynet.dk/media/6931/databeskyttelse-i-forbindelse-med-ansaettelsesforhold.pdf

Cookies

Cookiereglerne skal overholdes, uanset om din side henvender sig til forbrugere eller erhvervsdrivende.

• Du skal indhente samtykke til, at der sættes cookies eller opnås adgang til cookies.
• Det skal være muligt at sige ”ja til cookies” og ”nej til cookies”.
• Det skal være muligt at give samtykke til forskellige formål.
• Du skal kunne holde cookies tilbage, indtil der er givet samtykke,
• I selve cookiebanneret skal du oplyse de overordnede formål med, at der sættes cookies.
• du skal (et klik væk på en separat side) oplyse, hvem der sætter cookies, til hvilke formål, og hvilken udløbsdato cookies har, samt hvordan de slettes.
• Der skal være vedvarende adgang til din cookieinformation – fx via et link i footeren.

Artiklen blev oprindeligt publiceret på fdih.dk