Nesten alle jobber har med opplysninger om mennesker å gjøre. En resepsjonist skriver ned navnet til en gjest. En butikkansatt tar imot en leveringsadresse. En saksbehandler leser en journal. Reglene om vern av personopplysninger gjelder derfor deg og ikke bare sjefen din. Samlet kalles de databeskyttelsesreglene (personvernreglene), og ofte sier man bare GDPR.
Reglene i Danmark
- Databeskyttelsesforordningen (EUs personvernforordning) er EU-forordning 2016/679. Den gjelder direkte i Danmark.
- Databeskyttelsesloven (den danske personvernloven, lov nr. 502 av 23. mai 2018, senere endret) utfyller forordningen med danske regler, for eksempel om CPR-nummer, arbeidsforhold og straff.
- Datatilsynet er myndigheten som fører tilsyn med reglene i Danmark.
Forordningen gjelder når personopplysninger behandles helt eller delvis elektronisk. Den gjelder også for papirdokumenter hvis opplysningene inngår i et register, for eksempel en mappe sortert etter navn. Rent private forhold er unntatt, for eksempel din egen telefonbok hjemme.
Hva er en personopplysning?
En personopplysning er enhver opplysning om en identifisert eller identifiserbar fysisk person (forordningens artikkel 4 nr. 1). Det kan være:
- navn, adresse, e-post og telefonnummer
- CPR-nummer, kundenummer og ansattnummer
- bilder og lydopptak der man kan kjenne igjen personen
- IP-adresser og posisjonsdata
- lønn, karakterer, sykefravær og beskrivelser av en ansatts arbeid
Opplysningen trenger ikke å være hemmelig. Selv en e-postadresse som står på en nettside, er en personopplysning. Opplysninger om et selskap er ikke personopplysninger, men opplysninger om personen bak et enkeltpersonforetak er det. Anonyme opplysninger, der ingen kan finne frem til personen, er utenfor reglene. Pseudonymiserte opplysninger er fortsatt personopplysninger.
Hva er behandling?
Behandling er alt man kan gjøre med opplysninger: samle inn, registrere, lagre, lese, søke, sende, endre, dele og slette (artikkel 4 nr. 2). Når du bare ser i et system, behandler du allerede opplysninger.
Hvem er hvem?
- Den registrerte er personen opplysningene handler om: kunden, pasienten, eleven eller kollegaen.
- Den behandlingsansvarlige bestemmer hvorfor og hvordan opplysningene behandles (artikkel 4 nr. 7). Det er som regel arbeidsgiveren din, ikke du personlig.
- Databehandleren behandler opplysninger på vegne av den behandlingsansvarlige, for eksempel et lønnsbyrå eller en leverandør av et IT-system (artikkel 4 nr. 8). Det må finnes en skriftlig databehandleravtale (artikkel 28).
Som ansatt kan du bare behandle opplysninger etter arbeidsgiverens instruks (artikkel 29). Du kan ikke selv bestemme deg for å bruke kundelisten til et nytt formål.
Hvorfor det er viktig
Reglene beskytter menneskers privatliv. Hvis opplysninger havner på avveie, kan en person bli utsatt for svindel, mobbing eller forskjellsbehandling. Feil skader også omdømmet til virksomheten, og de kan føre til sanksjoner.
Husk: Spør deg selv før du bruker opplysninger om en person: Trenger jeg dem i jobben min, og kan jeg bruke dem på denne måten?