Databeskyttelse handler om retten til at bestemme over oplysninger om sig selv og til at blive behandlet på en retfærdig og sikker måde. På jobbet møder du personoplysninger hver dag: i kundelister, personalemapper, e-mails, timesedler og systemer.
Hvilke regler gælder?
- Databeskyttelsesforordningen (GDPR) er EU's fælles databeskyttelsesregler. Den gælder også i Norge, fordi den er taget ind i EØS-aftalen (aftalen om Det Europæiske Økonomiske Samarbejdsområde).
- Personopplysningsloven (den norske lov om behandling af personoplysninger, LOV-2018-06-15-38) gør forordningen til norsk lov. Loven har også egne norske regler, for eksempel om fødselsnummer (§ 12) og om behandling af følsomme oplysninger i ansættelsesforhold (§ 6).
- Datatilsynet er den norske tilsynsmyndighed. Den vejleder, fører tilsyn og kan pålægge overtredelsesgebyr (administrativ bøde).
- I ansættelsesforhold gælder desuden arbeidsmiljøloven kapitel 9 (den norske arbejdsmiljølov) om kontrolforanstaltninger og indsigt i e-mail (lektion 8).
Hvad er en personoplysning?
En personoplysning er enhver oplysning, der kan knyttes til en levende person, direkte eller indirekte. Eksempler:
- navn, adresse, telefonnummer, e-mailadresse og fødselsnummer
- billeder, lydoptagelser og videooptagelser af personer
- IP-adresser, brugernavne og positionsdata
- løn, fravær, vurderinger og oplysninger i et CV
Oplysninger, der er anonymiseret, så ingen kan finde frem til personen, er ikke længere personoplysninger. Det er ikke nok at fjerne navnet, hvis personen stadig kan genkendes ud fra andre oplysninger.
Særlige kategorier
Nogle oplysninger er mere sårbare, og de har strengere regler. Forordningens artikel 9 nævner oplysninger om:
- race eller etnisk oprindelse
- politiske holdninger, religion og livsanskuelse
- fagforeningsmedlemskab
- genetiske og biometriske oplysninger (når de bruges til at identificere en person)
- helbredsoplysninger
- seksuelle forhold og seksuel orientering
Hovedreglen er, at disse ikke må behandles, medmindre en af undtagelserne i artikel 9 gælder. I arbejdslivet er sygefravær, sygemeldinger og oplysninger om fagforening typiske eksempler. Behandl dem varsomt, og del dem kun med dem, der har brug for dem.
Hvad er »behandling«?
Behandling er alt, hvad du gør med personoplysninger: indsamle, registrere, opbevare, læse, ændre, sende, dele, videregive, slette og kopiere. Selv at se på en oplysning i et system er behandling.
Hvem er hvem?
- Den registrerede er den person, oplysningerne handler om: kunde, patient, kollega, ansøger.
- Dataansvarlig (på norsk »behandlingsansvarlig«) er den virksomhed, der bestemmer formålet med behandlingen og hvilke midler der bruges. Det er den, der har hovedansvaret efter loven.
- Databehandler er en virksomhed, der behandler oplysninger på vegne af den dataansvarlige, for eksempel en lønleverandør eller en skytjeneste. Der skal være en skriftlig databehandleraftale (artikel 28).
- Databeskyttelsesrådgiver (på norsk »personvernombud«) er en intern eller ekstern rådgiver, som nogle virksomheder skal have, blandt andet offentlige myndigheder (artikel 37).
Som almindelig medarbejder er du ikke selv dataansvarlig. Du handler på vegne af arbejdsgiveren og skal følge arbejdsgiverens instrukser. Det betyder ikke, at du kan overlade alt ansvar til andre. Du skal kende de regler, der gælder i dit job, og du skal sige til, når noget er galt.
Hvad dækker kurset?
Kurset er en introduktion for medarbejdere. Det erstatter ikke arbejdsgiverens egne retningslinjer, og det giver ikke juridisk rådgivning i enkeltsager.