Før nogen behandler personoplysninger, skal der findes et behandlingsgrundlag i databeskyttelsesforordningens artikel 6. Der findes seks:
- Samtykke fra den registrerede.
- Aftale: behandlingen er nødvendig for at opfylde en aftale med personen eller for at gøre noget på vedkommendes anmodning, før aftalen indgås.
- Retlig forpligtelse: loven kræver behandlingen, for eksempel lønoplysninger til skattemyndighederne.
- Vitale interesser: for at beskytte liv og sundhed, når det er nødvendigt.
- Opgave i samfundets interesse eller udøvelse af offentlig myndighed.
- Legitim interesse: virksomheden eller en tredjepart har en legitim interesse, og personens interesser og rettigheder går ikke forud for denne interesse. Offentlige myndigheder kan ikke bruge dette grundlag i deres opgaver.
Det er arbejdsgiveren, der vælger og dokumenterer grundlaget. Du bør alligevel vide, hvad der gælder for dine opgaver.
Samtykke: hvad kræves?
Et samtykke efter artikel 4 og 7 skal være:
- frivilligt: personen har et reelt valg
- specifikt: det gælder et bestemt formål
- informeret: personen ved, hvad vedkommende siger ja til
- utvetydigt: en aktiv handling, ikke et forhåndsafkrydset felt eller tavshed
Du skal kunne dokumentere, at samtykket er givet. Personen kan også trække samtykket tilbage når som helst, og det skal være lige så nemt at trække det tilbage som at give det.
Samtykke i ansættelsesforhold
Medarbejderen er i et afhængighedsforhold til arbejdsgiveren. Derfor er samtykke sjældent et sikkert grundlag mellem arbejdsgiver og medarbejder, da det kan være svært at sige nej. Arbejdsgiveren bør hellere bruge et andet grundlag, for eksempel aftalen (ansættelseskontrakten), en retlig forpligtelse eller legitim interesse. Samtykke kan fungere til noget, der er reelt frivilligt, for eksempel at et billede af dig lægges på hjemmesiden. Så skal du kunne sige nej, uden at det får følger.
Særlige kategorier
For helbredsoplysninger og andre særlige kategorier kræves en undtagelse i artikel 9 ud over et grundlag i artikel 6. For ansættelsesforhold findes egne regler i personopplysningsloven § 6. Spørg altid, hvordan du skal håndtere sådanne oplysninger, og del dem ikke »for en sikkerheds skyld«.
Oplysningspligten
Personer har ret til at vide, hvad der sker med deres oplysninger (artikel 13 og 14). Virksomheden skal blandt andet oplyse om:
- hvem der er dataansvarlig
- formålet og grundlaget
- hvem der får oplysningerne
- hvor længe de opbevares
- hvilke rettigheder personen har
Det sker normalt gennem en privatlivspolitik eller en informationsskrivelse. Medarbejdere skal have sådan information om, hvordan virksomheden behandler deres egne oplysninger.
Børn
Norge har sat aldersgrænsen for børns eget samtykke til 13 år for informationssamfundstjenester (personopplysningsloven § 5). For yngre børn kræves samtykke fra forældre eller værger. Børns personoplysninger fortjener ekstra omhu.
Du skal følge arbejdsgiverens instrukser
Efter artikel 29 og 32, stk. 4 må personer, der har adgang til personoplysninger, kun behandle dem efter instruks fra den dataansvarlige. At slå en kendis, en nabo eller en tidligere kæreste op i et system, du har adgang til, er ikke en del af jobbet, og det er uautoriseret adgang, selv om du ikke deler noget videre.