Man kan ikke behandle personopplysninger bare fordi man har tilgang til dem. Det må alltid finnes et behandlingsgrunnlag. De alminnelige grunnlagene står i artikkel 6 nr. 1, og i Danmark gjentar databeskyttelseslovens § 6 dem.
De seks grunnlagene
Behandling er lovlig hvis minst ett av disse er oppfylt:
- a) Samtykke fra den registrerte.
- b) Avtale: behandlingen er nødvendig for å oppfylle en avtale med personen, for eksempel å levere en vare eller betale lønn.
- c) Rettslig forpliktelse: loven krever det, for eksempel å lagre bilag eller rapportere lønn til skattemyndighetene.
- d) Vitale interesser: behandlingen er nødvendig for å beskytte noens liv.
- e) Allmennhetens interesse eller offentlig myndighetsutøvelse. Dette brukes særlig av myndigheter.
- f) Berettiget interesse: virksomheten har en berettiget interesse, og den veier tyngre enn personens interesser og rettigheter. Det krever en konkret interesseavveining. Offentlige myndigheter kan ikke bruke dette grunnlaget i sine oppgaver.
Samtykke må være ekte
Et samtykke må være frivillig, spesifikt, informert og utvetydig (artikkel 4 nr. 11 og artikkel 7). Det krever en aktiv handling. En forhåndsavkrysset rute er ikke et samtykke. Personen kan trekke samtykket tilbake når som helst, og det skal være like lett å trekke det tilbake som å gi det. Virksomheten må kunne påvise at samtykket er gitt.
I arbeidsforhold er samtykke ofte et svakt grunnlag. Den ansatte er avhengig av arbeidsgiveren og kan føle seg presset, og da er ikke samtykket frivillig. Loven tillater likevel samtykke i arbeidsforhold (§ 12, stk. 3), så det avhenger av situasjonen.
Barn: Når en informasjonssamfunnstjeneste, for eksempel et sosialt medium eller en app, bruker samtykke som grunnlag, kan et barn selv gi det fra 15 år i Danmark (§ 6, stk. 2). Er barnet yngre, kreves samtykke fra den som har foreldreansvaret. Grensen ble hevet fra 13 til 15 år 1. januar 2024.
Sensitive opplysninger
Artikkel 9 kaller noen opplysninger særlige kategorier. I dansk språkbruk sier man ofte følsomme oplysninger (sensitive opplysninger). Det er opplysninger om:
- rasemessig eller etnisk opprinnelse
- politisk, religiøs eller filosofisk overbevisning
- fagforeningsmedlemskap
- genetiske opplysninger og biometriske opplysninger når de brukes til å identifisere en person
- helseforhold
- seksuelle forhold eller seksuell orientering
Utgangspunktet er at disse opplysningene ikke kan behandles. Det finnes unntak, for eksempel uttrykkelig samtykke, eller at det er nødvendig for å oppfylle forpliktelser og rettigheter på arbeidsrettens område. Databeskyttelsesloven (§ 7, stk. 2 og § 12) gir arbeidsgivere mulighet til det hvis behandlingen er nødvendig.
I praksis
- Skriv ikke diagnoser, religion eller fagforeningsforhold i fritekstfelt, med mindre det er din oppgave å registrere dem.
- Når en ansatt melder seg syk, er det en helseopplysning. Arbeidsgiveren kan registrere fraværet, men trenger sjelden å kjenne til diagnosen.
- Er du i tvil om hvilket grunnlag som dekker det du skal gjøre, spør den som har ansvaret for personvern hos dere.
Regel: Uten grunnlag, ingen behandling. Jo mer sensitiv opplysningen er, jo strengere er kravene.