Retningslinjer for databeskyttelse

Retningslinjer for behandling af personoplysninger i Saxo Bank A/S

1 Indledning

1.1 For at kunne betjene vores kunder indsamler Saxo Bank A/S (herefter ”Saxo Bank”, ”vi” eller ”os”) personoplysninger om vores kunder og/eller potentielle kunder, kontaktpersoner hos leverandører og/eller andre samarbejdspartnere. Saxo Bank behandler også personoplysninger om medarbejdere med henblik på personaleadministration.

På den baggrund ønsker Saxo Bank at sikre et højt niveau for beskyttelse af personoplysninger, da beskyttelse af personoplysninger er centralt for at vinde og fastholde tilliden hos vores kunder og/eller potentielle kunder, kontaktpersoner hos leverandører og/eller andre samarbejdspartnere og på den måde sikre Saxo Banks fremtidige forretning. Det samme gælder for behandling af vores medarbejderes personoplysninger.

Beskyttelse af personoplysninger kræver blandt andet, at der implementeres passende tekniske og organisatoriske foranstaltninger med henblik på at kunne påvise et højt niveau for beskyttelse af personoplysninger. Saxo Bank har indført en række interne og eksterne politikker om beskyttelse af personoplysninger, som skal overholdes af Saxo Banks medarbejdere.

Saxo Bank overvåger, reviderer og dokumenterer desuden bankens interne overholdelse af politikkerne om beskyttelse af personoplysninger samt gældende lovkrav om beskyttelse af personoplysninger, herunder EU’s generelle forordning om databeskyttelse (”GDPR”).

Saxo Bank træffer derudover alle nødvendige foranstaltninger til at styrke overholdelsen af retningslinjerne for databeskyttelse i organisationen. Dette omfatter bl.a. tildeling af ansvarsområder, oplysning af medarbejdere samt uddannelse af medarbejdere, der er involveret i behandlingsaktiviteter, i databeskyttelse. Bemærk, at disse retningslinjer for databeskyttelse vil blive gennemgået fra tid til anden for at tage højde for eventuelle nye krav. Opbevaring af personoplysninger er omfattet af vores til enhver tid gældende opbevaringspolitik.

Disse retningslinjer for databeskyttelse udgør sammen med retningslinjerne for behandling af personoplysninger det samlede grundlag for behandling af personoplysninger i Saxo Bank.

1.2 ”Personoplysninger” er enhver form for oplysning, der kan henføres til en identificeret eller identificerbar fysisk person (”den registrerede”). Ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som for eksempel navn, lokaliseringsdata, telefonnummer, alder,køn osv. Sådanne personoplysninger kan eksempelvis vedrøre en medarbejder, jobansøger, kunde/potentiel kunde, leverandør eller andre samarbejdspartnere.

1.3 Personoplysninger kan kategoriseres som almindelige ikke-følsomme personoplysninger eller særlige kategorier af personoplysninger (følsomme personoplysninger). Særlige kategorier af personoplysninger er beskrevet udtømmende i GDPR og omfatter personoplysninger, der viser race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske og biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger vedrørende en fysisk persons seksuelle forhold eller seksuelle orientering. Almindelige ikke-følsomme personoplysninger omfatter alle oplysninger, der ikke er kategoriseret som særlige kategorier af personoplysninger (følsomme personoplysninger). Sådanne oplysninger kan være navn, adresse, telefonnummer, medarbejder-id, oplysninger om uddannelse m.v. Visse almindelige ikke-følsomme personoplysninger kan betragtes som fortrolige. Disse kan eksempelvis omfatte oplysninger om indtægt og formue samt oplysninger om interne familieforhold/-anliggender. Fortrolige, almindelige ikke-følsomme oplysninger er normalt underlagt yderligere sikkerhedsforanstaltninger.

Kategorien af personoplysninger har betydning for, hvilket retsgrundlag behandlingen af de pågældende personoplysninger kan baseres på. Der gælder særlige regler for behandling af oplysninger om strafbare handlinger og CPR-numre. De forskellige retsgrundlag er beskrevet nedenfor i punkt 2.

1.4 Bemærk, at selv om oplysninger om virksomheder ikke som sådan er personoplysninger, anses oplysninger om kontaktpersoner i de pågældende virksomheder som for eksempel navn, stilling, arbejds-e-mailadresse og arbejdstelefonnummer for at være personoplysninger. Dog betragtes personoplysninger, der vedrører en personligt ejet og drevet virksomhed, som personoplysninger, selvom personoplysningerne vedrører virksomheden. Sådanne personoplysninger betragtes som værende relateret til en identificeret eller identificerbar fysisk person.

1.5 Saxo Bank indsamler og anvender personoplysninger til en lang række legitime forretningsmæssige formål, herunder oprettelse og administration af kunde- og leverandørforhold, indgåelse af indkøbsaftaler, rekruttering og administration af alle aspekter af ansættelsesbetingelser, kommunikation, opfyldelse af retlige forpligtelser og lovkrav, opfyldelse af kontrakter, levering af ydelser til kunder m.v. Ved udførelsen af sådanne behandlingsaktiviteter er første skridt at sikre, at de generelle principper vedrørende behandling af personoplysninger overholdes.

1.6 I henhold til de generelle principper skal personoplysninger altid:

behandles lovligt, rimeligt og gennemsigtigt i forhold til den registrerede (princippet om lovlighed, rimelighed og gennemsigtighed)
indsamles til udtrykkeligt angivne og legitime formål og må ikke viderebehandles på en måde, der er uforenelig med disse formål (princippet om formålsbegrænsning)
være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles (princippet om dataminimering)
være korrekte og om nødvendigt ajourførte; der skal tages ethvert rimeligt skridt til at sikre, at personoplysninger, der er urigtige i forhold til de formål, hvortil de behandles, straks slettes eller berigtiges (princippet om rigtighed)
opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de pågældende personoplysninger behandles (princippet om opbevaringsbegrænsning)
behandles på en måde, der sikrer tilstrækkelig sikkerhed for de pågældende personoplysninger, herunder beskyttelse mod uautoriseret eller ulovlig behandling og mod hændeligt tab, tilintetgørelse eller beskadigelse, under anvendelse af passende tekniske eller organisatoriske foranstaltninger (princippet om integritet og fortrolighed).

1.7 Saxo Bank er ansvarlig for og skal kunne påvise, at ovenstående overholdes (princippet om ansvarlighed). Dette princip er en af årsagerne til, at vi har udarbejdet disse retningslinjer for databeskyttelse, og at det er vigtigt, at du læser dem grundigt.

2. Retsgrundlag for behandling af personoplysninger

2.1 Ud over at de generelle principper for behandling af personoplysninger skal overholdes, skal der også være et retsgrundlag for behandling af personoplysningerne. Retsgrundlaget afhænger af, hvilken kategori af personoplysninger der behandles.

De vigtigste retsgrundlag for behandling af almindelige ikke-følsomme personoplysninger, for eksempel navn, adresse, e-mail, telefonnummer og kreditkortoplysninger, i Saxo Bank er:

opfyldelse af en kontrakt, som den registrerede er part i
en retlig forpligtelse eller et juridisk krav, som Saxo Bank er part i
legitime interesser, som forfølges af Saxo Bank eller en tredjepart.

I visse tilfælde, hvor ingen af ovenstående retsgrundlag kan anvendes, indhenter Saxo Bank den registreredes samtykke til behandlingen.

De vigtigste retsgrundlag for behandling af særlige kategorier af personoplysninger (hvis relevant) i Saxo Bank er:

udtrykkeligt samtykke fra de(n) registrerede til behandling af personoplysningerne til et eller flere specifikke formål
at overholde forpligtelser og udøve Saxo Banks eller den registreredes særlige rettigheder i henhold til arbejdsretten og lovgivningen om social sikring og social beskyttelse
hvis behandlingen er nødvendig for, at retskrav kan fastslås, gøres gældende eller forsvares.

Nedenfor følger en mere detaljeret beskrivelse af retsgrundlagene.

2.2 Opfyldelse af en kontrakt

2.2.1 Det er legitimt at indsamle og behandle personoplysninger, der er relevante for opfyldelsen af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelsen af foranstaltninger på den registreredes anmodning forud for indgåelse af en kontrakt. Dette gælder alle kontraktlige forpligtelser og aftaler, der er indgået med Saxo Bank, herunder i perioden forud for indgåelsen af en kontrakt, uanset udfaldet af kontraktforhandlingerne.

2.3 Overholdelse af en retlig forpligtelse

2.3.1 Saxo Bank skal overholde en række retlige forpligtelser og lovkrav i henhold til EU-retten eller medlemsstaternes nationale ret. De retlige forpligtelser, som Saxo Bank er underlagt, kan være tilstrækkelige som retsgrundlag for behandling af personoplysninger.

2.3.2 De retlige forpligtelser omfatter også en forpligtelse til at indsamle, registrere og/eller give adgang til visse typer oplysninger om medarbejdere, kunder m.v. De retlige forpligtelser udgør derefter vores retsgrundlag for at behandle personoplysningerne. Det er dog vigtigt at være opmærksom på, om de bestemmelser, der tillader eller kræver, at Saxo Bank behandler visse personoplysninger, også fastsætter krav med hensyn til opbevaring, videregivelse og sletning.

2.4 Legitime interesser

2.4.1 Personoplysninger behandles kun, hvis det er nødvendigt for, at Saxo Bank kan forfølge sine legitime interesser, og disse interesser eller grundlæggende rettigheder tilsidesættes ikke af den registreredes interesser. Når Saxo Bank beslutter at behandle personoplysninger, sikrer banken, at dens legitime interesser ikke tilsidesætter den pågældendes interesser og rettigheder, og at behandlingen ikke medfører uberettiget skade. Et eksempel på Saxo Banks legitime interesse er behandling af personoplysninger om potentielle kunder med det formål at udvide forretningen og udvikle nye forretningsforbindelser. Den registrerede skal oplyses om den specifikke legitime interesse, der forfølges af Saxo Bank, hvis behandling baseres på dette retsgrundlag, jf. punkt 4.1 nedenfor.

2.5 Samtykke

2.5.1 Hvis indsamlingen, registreringen og viderebehandlingen af personoplysninger om kunder, leverandører, andre forretningsforbindelser samt medarbejdere er baseret på den pågældende persons samtykke til behandling af personoplysninger til et eller flere specifikke formål, skal Saxo Bank kunne påvise, at den registrerede har givet samtykke til behandling af dennes personoplysninger.

2.5.2 Et samtykke skal være en frivillig, specifik, informeret og utvetydig indikation af den registreredes ønsker.
Den registrerede skal ved erklæring eller klar bekræftelse give aktivt samtykke til behandling af sine personoplysninger.

2.5.3 En anmodning om samtykke skal forelægges på en måde, der klart kan skelnes fra andre forhold, i en letforståelig og lettilgængelig form og i et klart og enkelt sprog.

2.5.4 For at behandle særlige kategorier af personoplysninger (følsomme personoplysninger) skal samtykket desuden være udtrykkeligt.

2.5.5 Den registrerede har til enhver tid ret til at trække sit samtykke tilbage. Efter tilbagetrækning af samtykke ophører vi med at indsamle og/eller behandle personoplysninger om den pågældende person, medmindre vi er forpligtet eller berettiget til dette baseret på et andet retsgrundlag.

2.6 Saxo Banks forpligtelser samt udøvelse af Saxo Banks eller den registreredes særlige rettigheder

2.6.1 Dette retsgrundlag vil i de fleste tilfælde kun være relevant, hvis Saxo Bank behandler helbredsoplysninger om medarbejdere for at overholde reglerne i arbejdsretten eller kollektive overenskomster, for eksempel refusion af sygedagpenge.

2.7 Juridiske krav

2.7.1 Dette retsgrundlag vil være relevant, hvis det er nødvendigt for Saxo Bank at behandle personoplysninger, for at retskrav kan fastslås, gøres gældende eller forsvares over for en tredjepart, for eksempel en kunde eller en medarbejder.

3. Behandling og overførsel af personoplysninger

3.1 Saxo Bank som dataansvarlig

3.1.1 Saxo Bank behandler i de fleste tilfælde personoplysninger som dataansvarlig, da Saxo Bank afgør formålet med og metoderne til behandling af personoplysninger, for eksempel når behandlingen vedrører Saxo Banks kunder, andre samarbejdspartnere og medarbejdere.

3.2 Brug af databehandlere

3.2.1 En ekstern databehandler er en virksomhed, der behandler personoplysninger på vegne af Saxo Bank og i henhold til Saxo Banks dokumenterede anvisninger, herunder til Saxo Banks formål og med metoder fastlagt af Saxo Bank, for eksempel i relation til leverandører af HR-systemer og tredjepartsleverandører af IT. Hvis Saxo Bank outsourcer behandlingen af personoplysninger til databehandlere, sikrer banken, at den pågældende virksomhed som minimum implementerer det samme niveau af sikkerhedsforanstaltninger til beskyttelse af personoplysninger som Saxo Bank. Hvis dette ikke kan garanteres, vælger Saxo Bank en anden databehandler. En databehandlers behandling er underlagt en databehandleraftale.

3.3 Databehandleraftaler

3.3.1 Inden overførsel af personoplysninger til databehandleren skal Saxo Bank vurdere, om databehandleren giver tilstrækkelige garantier til at implementere passende tekniske og organisatoriske foranstaltninger på en sådan måde, at behandlingen opfylder kravene i GDPR og sikrer beskyttelsen af de registreredes rettigheder. Når vurderingen er foretaget, og det er konstateret, at databehandleren opfylder kravene, indgår Saxo Bank en skriftlig databehandleraftale med databehandleren. Databehandleraftalen sikrer, at Saxo Bank kontrollerer den behandling af personoplysninger, der finder sted uden for Saxo Bank og som Saxo Bank er den dataansvarlige for.

3.3.2 Hvis databehandleren/underdatabehandleren er etableret uden for EU/EØF,
gælder betingelserne i punkt 3.4.2 nedenfor.

3.4 Videregivelse af personoplysninger til andre uafhængige dataansvarlige

3.4.1 Før videregivelse af personoplysninger til andre, eksempelvis andre uafhængige dataansvarlige, er det Saxo Banks ansvar at sikre, at de generelle principper for behandling af personoplysninger overholdes. Derudover er det Saxo Banks ansvar at sikre, at der er et retsgrundlag for videregivelsen af personoplysninger.

3.4.2 Hvis tredjepartsmodtageren er etableret uden for EU/EØF i et tredjeland, der ikke sikrer et tilstrækkeligt niveau for beskyttelse af personoplysninger, må overførslen kun finde sted, hvis Saxo Bank sørger for passende sikkerhedsforanstaltninger. Dette gøres ved, at Saxo Bank og tredjeparten indgår en overførselsaftale. Overførselsaftalen skal være baseret på EU’s standardkontraktbestemmelser.

4. De registreredes rettigheder

De registrerede har følgende rettigheder, som er underlagt en række forskellige vilkår og betingelser samt undtagelser:

4.1 Underretningspligt, når personoplysninger indhentes fra den registrerede.

4.1.1 Når Saxo Bank behandler, herunder indsamler og registrerer personoplysninger om registrerede, er banken forpligtet til at underrette de pågældende personer om følgende:

formålene med den behandling, der påtænkes foretaget, samt retsgrundlaget for behandlingen
kategorier af berørte personoplysninger
de legitime interesser, Saxo Bank forfølger, hvis behandlingen er baseret på interesseafvejning
modtagerne eller kategorierne af modtagere af personoplysningerne
hvis relevant, det forhold, at Saxo Bank har til hensigt at overføre personoplysninger til et tredjeland, samt retsgrundlaget for denne overførsel
det tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum
eksistensen af retten til at anmode Saxo Bank om adgang til samt berigtigelse eller sletning af personoplysninger eller begrænsning af behandling af personoplysninger vedrørende den registrerede eller retten til at gøre indsigelse mod behandling eller retten til dataportabilitet
hvis behandlingen er baseret på den registreredes samtykke, eksistensen af retten til at trække samtykket tilbage til enhver tid, dog uden påvirkning af lovligheden af behandling, der er baseret på samtykke inden tilbagetrækning heraf
retten til at indgive en klage til Saxo Bank ved at følge den korrekte procedure eller til en tilsynsmyndighed
hvorvidt meddelelse af personoplysninger er lovpligtigt eller et krav i henhold til en kontrakt, eller et krav, der skal være opfyldt for at indgå en kontrakt, samt om den registrerede er forpligtet til at afgive personoplysninger og de eventuelle konsekvenser af ikke at afgive de pågældende personoplysninger
forekomsten af automatiske afgørelser, herunder profilering, og væsentlige oplysninger om logikken heri samt betydningen og de forventede konsekvenser af sådan behandling for den registrerede.

4.1.2 Saxo Bank har udarbejdet en erklæring om beskyttelse af personoplysninger, der indeholder en mere detaljeret beskrivelse af ovennævnte underretningsforpligtelse.

4.1.3 Hvis personoplysningerne ikke indhentes fra den registrerede, skal han/hun informeres om den kilde, hvorfra personoplysningerne stammer, og hvis relevant, om de stammer fra offentligt tilgængelige kilder.

4.2 Ret til indsigt

4.2.1 Enhver person, hvis personoplysninger Saxo Bank behandler, herunder men ikke begrænset til, Saxo Bank-medarbejdere, jobansøgere, eksterne leverandører, kunder, potentielle kunder, kontaktpersoner ansat hos samarbejdspartnere m.v. har ret til at indhente Saxo Banks bekræftelse af, hvorvidt der behandles personoplysninger om vedkommende, og hvis det er tilfældet, anmode om indsigt i de personoplysninger om den pågældende, som Saxo Bank behandler, foruden de oplysninger, der er beskrevet i punkt 4.1.1 ovenfor.

4.3 Ret til berigtigelse

4.3.1 Den registrerede har ret til at få urigtige personoplysninger om sig selv berigtiget af Saxo Bank uden unødig forsinkelse.

4.4 Ret til sletning (retten til at blive glemt)

4.4.1 Den registrerede har ret til at få personoplysninger om sig selv slettet af Saxo Bank, og Saxo Bank er forpligtet til at slette personoplysninger uden unødig forsinkelse, medmindre finansielle tilsynsmyndigheder eller skattemyndigheder i henhold til lovgivningen kræver, at oplysningerne skal opbevares i et fastsat tidsrum.

4.5 Ret til begrænsning af behandling

4.5.1 Den registrerede har ret til fra Saxo Bank at opnå begrænsning af behandling, hvis relevant.

4.6 Ret til dataportabilitet

4.6.1 Den registrerede har ret til i et struktureret, almindeligt anvendt og maskinlæsbart format at modtage de registrerede personoplysninger.

4.7 Ret til indsigelse

4.7.1 Den registrerede har til enhver tid ret til af grunde, der vedrører den pågældendes særlige situation, at gøre indsigelse mod behandling af sine personoplysninger baseret på interesseafvejning, herunder profilering.

4.8 Enhver anmodning fra en registreret om udøvelse af rettighederne i dette punkt vil blive besvaret så hurtigt som muligt og senest 30 dage efter modtagelsen. Anmodninger fremsendes omgående til Saxo Banks servicecenter. Servicecentret understøttes af Saxo Banks databeskyttelsesrådgiver i forbindelse med behandling af anmodningen inden for svarfristen.

5. Databeskyttelse gennem design og standardindstillinger

5.1 Nye produkter, tjenester, tekniske løsninger osv. skal designes på en måde, så de lever op til principperne for databeskyttelse gennem design og standardindstillinger, hvorfor Saxo Bank har implementeret følgende principper inden for vores organisation:

1. Databeskyttelser som standardindstilling
Med formålet at sikre, at persondata automatisk er beskyttet i alle vores respektive IT systemer og virksomhedsprocesser.

2. Databeskyttelse indbygget i design
Dækning af virksomhedsproces – software, design og udvikling. Databeskyttelse er en essentiel grundsten i vores ydelser, som opretholdes uden at mindske funktionaliteten.

3. Sikkerhed fra start til slut – beskyttelse af data som en livscyklus
Sikrer at persondata automatisk beskyttes i alle vores IT systemer og forretningsprocesser, ved brug af kryptering og adgangsgodkendelse indtil data igen slettes.

4. Respekt for kunders privatliv – kunden i fokus
Brugerne ejer egen data. Forbrugeren har ret til at lave korrektioner, samt gøre brug af ”retten til at blive glemt”.

som informerer og bakker op om måden, hvorpå Saxo Bank honorerer sit ansvar for at sikre kundernes databeskyttelsesrettigheder.

5.1.2 Databeskyttelse gennem design betyder, at der i forbindelse med design af nye produkter eller tjenester skal tages behørigt hensyn til principperne om databeskyttelse.

Saxo Bank tager hensyn til følgende faktorer ved erhvervelse eller udvikling af nye produkter, tjenester, tekniske løsninger osv.: Det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder, som behandlingen af personoplysninger indebærer.

Saxo Bank gennemfører, både på tidspunktet for fastlæggelse af midlerne til behandling og på tidspunktet for selve behandlingen, passende tekniske og organisatoriske foranstaltninger, herunder blandt andet, hvis det er relevant, pseudonymisering, som er designet med henblik på effektiv implementering af databeskyttelsesprincipper, såsom dataminimering, og med henblik på integrering af de fornødne garantier i behandlingen for at opfylde databeskyttelseskravene og beskytte de registreredes rettigheder og frihedsrettigheder. Dette er beskrevet yderligere i punkt 8 nedenfor.

5.1.3 Databeskyttelse gennem standardindstillinger kræver, at der implementeres relevante dataminimeringsteknikker.

Saxo Bank implementerer passende tekniske og organisatoriske foranstaltninger med henblik på gennem standardindstillinger at sikre, at der kun behandles personoplysninger, som er nødvendige til hvert specifikt formål med behandlingen.
Denne minimeringsforpligtelse gælder den mængde personoplysninger, der indsamles, og omfanget af deres behandling samt deres opbevaringsperiode og tilgængelighed.
Sådanne foranstaltninger skal sikre, at personoplysninger som standard ikke gøres tilgængelige, uden at der ligger nøje overvejelser til grund.

6. Fortegnelser over behandlingsaktiviteter

6.1 Saxo Bank skal som dataansvarlig føre fortegnelser over behandlingsaktiviteter under Saxo Banks ansvar. Disse fortegnelser skal omfatte følgende oplysninger:

navn og kontaktoplysninger
formålene med behandlingen
en beskrivelse af kategorierne af registrerede og kategorierne af personoplysninger
de modtagere, som personoplysningerne er eller vil blive videregivet til, herunder modtagere i tredjelande eller internationale organisationer
hvor det er relevant, overførsler af personoplysninger til et tredjeland, herunder angivelse af dette tredjeland, og, hvis relevant, dokumentation for passende garantier
hvis muligt, de forventede tidsfrister for sletning af de forskellige kategorier af oplysninger
hvis muligt, en generel beskrivelse af de anvendte tekniske og organisatoriske sikkerhedsforanstaltninger.

6.1.1 Saxo Bank stiller efter anmodning fortegnelserne over behandlingsaktiviteter til rådighed for relevante tilsynsmyndigheder. Saxo Bank har udarbejdet adskillige sådanne fortegnelser.

7. Sletning af personoplysninger

7.1 Personoplysninger vil blive slettet, når Saxo Bank ikke længere har et legitimt formål med fortsat at opbevare eller på anden vis behandle dem, eller når der ikke længere gælder en retlig forpligtelse til at opbevare dem.

7.2 Nærmere oplysninger om opbevaringsperioder for forskellige kategorier af personoplysninger findes i Saxo Banks politik for opbevaring af personoplysninger og udveksling af oplysninger.

8. Behandlingssikkerhed (risikovurderinger)

8.1 Saxo Bank implementerer passende tekniske og organisatoriske foranstaltninger for at sikre et passende sikkerhedsniveau i forhold til risikoen, herunder blandt andet, hvis relevant:

pseudonymisering og kryptering af personoplysninger
muligheden for at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed med hensyn til behandlingssystemer og tjenester
muligheden for rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af en fysisk eller teknisk hændelse
en proces til løbende at teste, vurdere og evaluere effektiviteten af tekniske og organisatoriske foranstaltninger til sikring af behandlingssikkerheden.

8.2 Ved vurdering af det passende sikkerhedsniveau skal der navnlig tages højde for de risici, der udgøres af behandlingen, særligt ved hændelig eller ulovlig ødelæggelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der sendes, opbevares eller på anden måde behandles. Saxo Bank har udarbejdet skriftlige risikovurderinger med hensyn til behandlingsaktiviteterne.

9. Konsekvensanalyse vedrørende databeskyttelse

9.1 Hvis Saxo Bank behandler personoplysninger, der sandsynligvis medfører en høj risiko for de personer, hvis personoplysninger behandles, foretages en konsekvensanalyse vedrørende databeskyttelse.

9.1.1 En konsekvensanalyse vedrørende databeskyttelse indebærer, at Saxo Bank, under hensyntagen til behandlingsaktiviteters karakter, omfang, sammenhæng og formål samt risiciene for fysiske personers rettigheder og frihedsrettigheder, af varierende sandsynlighed og alvor, implementerer passende tekniske og organisatoriske foranstaltninger for at sikre og kunne påvise, at behandlingsaktiviteterne overholder databeskyttelseskravene.

9.2 De tekniske og organisatoriske foranstaltninger skal revideres og ajourføres efter behov og mindst hvert halve år.

9.2.1 Overholdelse af godkendte adfærdskodekser eller godkendte certificeringsmekanismer kan bruges som et element til at påvise overholdelse af forpligtelserne med hensyn til relevante tekniske og organisatoriske foranstaltninger i henhold til dette punkt.

10. Profilering

10.1 I henhold til GDPR defineres profilering som "enhver form for automatisk behandling af personoplysninger, der evaluerer de personlige forhold vedrørende en fysisk person, navnlig for at analysere eller forudsige forhold vedrørende den registreredes arbejdsindsats, økonomiske situation, helbred, personlige præferencer eller interesser, pålidelighed eller adfærd eller geografiske position eller bevægelser".

10.2 ”Profilering” i forbindelse med disse retningslinjer for databeskyttelse er brug af en automatisk proces til at analysere personoplysninger for at vurdere eller forudsige forhold vedrørende en registrerets adfærd. Saxo Bank kan anvende profilering i følgende tilfælde:

som hjælp til at opspore potentielle tilfælde af økonomisk kriminalitet
for at give kunder og kundeemner oplysning om Saxo Banks produkter og tjenester, der kunne være af interesse for dem

til at vurdere kreditværdighed.

11. Nationale krav

11.1 Saxo Bank overholder både GDPR og national lovgivning om beskyttelse af personoplysninger.

11.2 Hvis national lovgivning stiller krav om et højere niveau for beskyttelse af personoplysninger end GDPR, skal sådanne strengere krav overholdes. Hvis Saxo Banks politikker/retningslinjer er strengere end den lokale lovgivning, skal vores politikker/retningslinjer overholdes.

12. Kontakt

12.1 Hvis du har spørgsmål vedrørende indholdet af disse retningslinjer for databeskyttelse, eller hvis du ønsker at indsende en klage vedrørende Saxo Banks behandlingsaktiviteter, kan du kontakte Saxo Bank på privacy@saxobank.com.