Alle regler i databeskyttelsesforordningen bygger på principperne i artikel 5. Kender du dem, kan du vurdere de fleste situationer selv.
1. Lovlighed, rimelighed og gennemsigtighed
Du skal have et gyldigt behandlingsgrundlag (lektion 3). Behandlingen skal være rimelig, og folk skal have at vide, hvad der sker med deres oplysninger. Skjulte registre er ikke tilladt.
2. Formålsbegrænsning
Oplysninger skal indsamles til bestemte, udtrykkeligt angivne og legitime formål. De kan ikke uden videre bruges til noget helt andet.
Eksempel: En kunde oplyser sit telefonnummer for at få en leveringsbesked. Du kan ikke bruge nummeret til markedsføring uden et eget grundlag for det.
3. Dataminimering
Du må kun behandle oplysninger, der er tilstrækkelige, relevante og begrænset til det, der er nødvendigt. Spørg dig selv: Har jeg virkelig brug for dette? En formular, der spørger om fødselsdato, adresse og civilstand, når du kun skal sende en bekræftelse på et nyhedsbrev, bryder princippet.
4. Rigtighed
Oplysningerne skal være rigtige og om nødvendigt ajourførte. Urigtige oplysninger skal rettes eller slettes uden ugrundet ophold. Fejl i en personalemappe eller en kundeprofil kan få store følger for den, det gælder.
5. Opbevaringsbegrænsning
Oplysninger må ikke opbevares længere end nødvendigt for formålet. Når formålet er nået, og ingen lov kræver, at du beholder dem, skal de slettes eller anonymiseres. Mange virksomheder har sletningsfrister for forskellige typer oplysninger. Følg dem. Noget skal opbevares længe, for eksempel regnskabsmateriale efter bokføringsloven (den norske bogføringslov), men det betyder ikke, at alt kan blive liggende for evigt.
6. Integritet og fortrolighed
Oplysningerne skal beskyttes mod uautoriseret adgang, tab og skade med passende tekniske og organisatoriske foranstaltninger. Her kommer din daglige adfærd ind: adgangskoder, låsning af skærm, forsigtighed med e-mail og bilag (lektion 5 og 6).
7. Ansvarlighed
Den dataansvarlige skal kunne påvise, at reglerne overholdes. Det kræver dokumentation: rutiner, aftaler, undervisning, risikovurderinger og en fortegnelse over behandlingsaktiviteter (artikel 30). Datatilsynet kan bede om sådan dokumentation under et tilsyn.
Databeskyttelse gennem design
Efter artikel 25 skal nye systemer og rutiner være bygget, så databeskyttelsen er varetaget fra starten, og så det mest databeskyttelsesvenlige valg er standard. Skal du tage et nyt værktøj i brug, der gemmer personoplysninger, bør det afklares med den, der har ansvaret for databeskyttelse, før du begynder.
Et eksempel fra kontoret
En medarbejder i personaleafdelingen har en gammel liste med navne, fødselsnumre og sygefravær fra et projekt, der blev afsluttet for to år siden. Listen ligger i en privat mappe på skrivebordet. Her brydes flere principper på én gang: formålet er væk (opbevaringsbegrænsning), listen indeholder mere end nødvendigt (dataminimering), den er ikke opdateret (rigtighed), og den ligger uden for de godkendte systemer (integritet og fortrolighed). Den rigtige handling er at spørge, hvem der har ansvaret for sletning, og følge virksomhedens regler for, hvornår sådanne oplysninger skal fjernes.
Tommelfingerregler for hverdagen
- Indsaml kun det, du har brug for.
- Brug oplysningerne kun til det, de blev indsamlet til.
- Hav ikke private kopier og egne lister uden for virksomhedens systemer.
- Slet det, der ikke længere er brug for, i overensstemmelse med virksomhedens rutiner.
- Tænk: Ville personen forvente, at vi gør dette?