Artikel 5 i GDPR indeholder de grundregler, som alle andre regler bygger på. Hvis du kender dem, kan du ofte selv vurdere, om noget er rimeligt.
De seks principper
- Lovlighed, rimelighed og gennemsigtighed. Der skal være et behandlingsgrundlag (lektion 3). Oplysningerne skal behandles på en rimelig måde, og folk skal have at vide, hvad der sker.
- Formålsbegrænsning. Oplysningerne skal indsamles til specifikke, udtrykkeligt angivne og legitime formål. De må ikke senere bruges på en måde, der er uforenelig med det oprindelige formål.
- Dataminimering. Indsaml kun det, der er tilstrækkeligt, relevant og nødvendigt. Spørg dig selv: har jeg virkelig brug for denne oplysning?
- Rigtighed. Oplysningerne skal være korrekte og ajourførte. Urigtige oplysninger skal berigtiges eller slettes uden forsinkelse.
- Opbevaringsbegrænsning. Gem ikke oplysninger længere, end de er nødvendige. Når formålet er opfyldt, skal oplysningerne slettes, anonymiseres eller, hvis loven kræver det, opbevares efter lovens regler.
- Integritet og fortrolighed. Oplysningerne skal beskyttes mod uautoriseret adgang, tab og ødelæggelse. Det kræver tekniske og organisatoriske foranstaltninger.
Ansvarlighed
Efter artikel 5.2 skal den dataansvarlige kunne påvise, at principperne overholdes. Det er altså ikke nok at gøre det rigtige. Organisationen skal også kunne dokumentere, at den gør det, for eksempel gennem procedurer, fortegnelser og uddannelse.
Eksempler fra hverdagen
- Formål. En butik indsamler telefonnumre for at kunne meddele, at en bestilling er klar. Nummeret må ikke uden videre bruges til reklame.
- Minimering. En webformular til et nyhedsbrev behøver en e-mailadresse. Den behøver ikke fødselsdato eller hjemmeadresse.
- Rigtighed. En kunde er flyttet og har sagt det. Så skal adressen ændres overalt, hvor den bruges.
- Opbevaring. Ansøgningsdokumenter fra en afsluttet rekruttering skal ikke blive liggende for evigt. Arbejdsgiveren fastsætter sletningsfrister (på svensk gallringstider), og du følger dem.
- Sikkerhed. En liste med kundeoplysninger skal ikke ligge åbent på et delt skrivebord eller sendes til den forkerte modtager.
Databeskyttelse gennem design
Artikel 25 kræver databeskyttelse gennem design og databeskyttelse som standardindstilling. Det betyder, at systemer og procedurer skal udformes, så principperne overholdes fra begyndelsen. Som standard skal kun de oplysninger, der er nødvendige for hvert formål, behandles, og kun de personer, der har brug for dem, skal have adgang.
Din rolle
- Brug kun oplysninger til det, arbejdet kræver.
- Tag ikke mere med dig, end du har brug for, og gem ikke egne kopier i private filer.
- Ret fejl, du finder, eller sig det til den, der har ansvaret for oplysningen.
- Følg sletteregler og procedurer. Spørg, hvis noget er uklart.
- Tænk på principperne, også når noget føles smidigt: det, der er nemt, er ikke altid lovligt.
Et eksempel, der viser alle principperne
En kollega i personaleafdelingen får en liste over alle ansattes sygefravær for at planlægge bemandingen. Formålet er bemanding, så listen skal ikke bruges til at vurdere, hvem der "er syg for ofte", i en lønsag. Hun har kun brug for datoer og antal dage, ikke diagnoser. Listen skal være korrekt, beskyttes med adgangsstyring og slettes, når den ikke er nødvendig længere. Sådan virker principperne sammen.