Alle regler om personopplysninger bygger på noen grunnleggende prinsipper. De står i artikkel 5 i databeskyttelsesforordningen. Hvis du kjenner dem, kan du finne ut av de fleste situasjoner i hverdagen, også de ingen har skrevet regler for.
1. Lovlighet, rettferdighet og åpenhet
Behandlingen må ha et gyldig grunnlag (se neste leksjon), være rimelig overfor personen og være åpen. Folk skal kunne forstå hva som skjer med opplysningene deres. Derfor må virksomheten gi informasjon, for eksempel i en personvernerklæring.
2. Formålsbegrensning
Opplysninger skal samles inn til uttrykkelig angitte og legitime formål. De kan ikke senere brukes på en måte som er uforenlig med dette formålet. Hvis en kunde har oppgitt e-posten sin for å få en kvittering, kan du ikke uten videre bruke den til et nyhetsbrev.
3. Dataminimering
Opplysningene skal være tilstrekkelige, relevante og begrenset til det som er nødvendig. Spør bare om det du trenger. Du trenger ikke kundens fødselsdato for å sende en pakke.
4. Riktighet
Opplysningene skal være korrekte og om nødvendig oppdaterte. Uriktige opplysninger skal rettes eller slettes uten unødig opphold. En feil adresse kan sende en regning eller et svar fra legen til en fremmed.
5. Lagringsbegrensning
Opplysninger kan ikke oppbevares lenger enn det som er nødvendig for formålet. Når formålet er oppfylt og ingen lov krever at du lagrer dem, skal de slettes eller anonymiseres. Noen regler krever tvert imot lagring, for eksempel skal regnskapsmateriale oppbevares i 5 år etter utgangen av det regnskapsåret materialet gjelder (bogføringsloven § 12, den danske bokføringsloven). Virksomheten bør ha faste slettefrister, og du må følge dem.
6. Integritet og konfidensialitet
Opplysninger skal beskyttes mot uautorisert eller ulovlig behandling og mot utilsiktet tap, ødeleggelse eller skade. Det krever egnede tekniske og organisatoriske tiltak. De fleste av dem er din daglige jobb: låst skjerm, sterke passord, riktig mottaker på e-posten.
7. Ansvarlighet
Den behandlingsansvarlige skal ikke bare overholde prinsippene, men også kunne påvise det (artikkel 5 nr. 2). Derfor skriver virksomheten retningslinjer, fører protokoller og dokumenterer valgene sine. Du hjelper til ved å følge rutinene og ved å si fra når noe ikke fungerer i praksis.
Innebygd personvern
Artikkel 25 krever innebygd personvern og personvern som standard. Nye systemer og prosesser skal fra starten utformes slik at de bare bruker de opplysningene som er nødvendige. Hvis du er med på å velge et nytt verktøy eller et nytt skjema, tenk over dette.
Eksempel fra hverdagen
En ansatt i en forening har en medlemsliste til å sende ut kontingentkrav. En kollega ber om listen for å invitere til et privat arrangement. Formålsbegrensningen sier nei: Listen er samlet inn for innkreving. Dataminimeringen sier at en invitasjon til et møte bare krever navn og e-post, ikke adresse og fødselsdato. Og lagringsbegrensningen sier at listen over tidligere medlemmer ikke skal lagres for alltid.
Tommelfingerregel: Lagre og del bare de opplysningene du trenger. Bruk dem bare til det de ble samlet inn for. Slett dem når de ikke trengs lenger.