Noen ganger må personopplysninger gis til en annen. Da gjelder noen regler du bør kjenne til.
Å gi opplysninger internt i organisasjonen
Bare de som trenger opplysningene for jobben sin, skal ha tilgang. Tilgangen din i et system er en del av arbeidsgiverens beskyttelse. At du kan se en opplysning, betyr ikke at du har lov til å se på den. Å slå opp en bekjent, en nabo eller en kjent person uten arbeidsmessig grunn er uautorisert tilgang, selv om ingen andre merker det. Systemene logger ofte tilgang, og den som ser uten grunn, kan få arbeidsrettslige konsekvenser.
Å gi opplysninger til noen utenfor
Før du sender opplysninger til en utenforstående, spør:
- Hvem er mottakeren, og hva skal vedkommende bruke opplysningene til?
- Har organisasjonen et behandlingsgrunnlag og et formål som dekker utleveringen?
- Har mottakeren rett til å få dem? Kontroller hvem personen er.
- Finnes det en databehandleravtale, hvis mottakeren jobber for dere?
Ikke gi ut opplysninger på telefon til noen du ikke kan identifisere. Be heller om å få komme tilbake, og ring tilbake på et nummer du selv har.
Databehandlere
Når en leverandør behandler opplysninger på vegne av arbeidsgiveren, for eksempel et lønnsbyrå eller en skytjeneste, kreves det en skriftlig databehandleravtale (artikkel 28). Avtalen regulerer blant annet hvilke opplysninger leverandøren kan behandle, hvordan de beskyttes og hva som gjelder når avtalen opphører. Du skal ikke selv begynne å bruke en ny tjeneste med personopplysninger uten at det er avklart.
Utenfor EU og EØS
Personopplysninger kan flyttes fritt innenfor EU og EØS. Overføring til et land utenfor krever ekstra beskyttelse etter kapittel V i GDPR. Det kan være en beslutning fra EU-kommisjonen om at landet har et tilstrekkelig beskyttelsesnivå, eller standard personvernbestemmelser. Noen skytjenester har servere eller support utenfor EU. Det er arbeidsgiveren som må vurdere dette, men du skal spørre før du begynner å bruke en ny tjeneste.
Offentlighetsprinsippet og GDPR
Hvis du jobber i en myndighet, en kommune eller en region, gjelder et særskilt system.
- Offentlighetsprinsippet er forankret i tryckfrihetsförordningen (den svenske grunnloven om trykkefrihet). Alle har rett til å ta del i allmänna handlingar (offentlige dokumenter) hos myndigheter. Et dokument er offentlig hvis det oppbevares hos myndigheten og har kommet inn dit eller er opprettet der.
- Offentlighets- och sekretesslagen (2009:400) (lov om offentlighet og sekretess) avgjør hvilke opplysninger som er underlagt sekretess og derfor ikke kan gis ut.
- Etter 1 kap. 7 § dataskyddslagen gjelder ikke personvernreglene i den utstrekning det ville stride mot tryckfrihetsförordningen. GDPR er derfor ingen grunn til å nekte utlevering av et offentlig dokument som ikke er underlagt sekretess.
Noen viktige punkter:
- Spørsmålet om utlevering vurderes etter sekretessreglene. Et dokument som ikke er hemmelig, gis ut, selv om det inneholder personopplysninger.
- Myndigheten kan som hovedregel ikke spørre hvorfor noen vil se et dokument eller hvem personen er, annet enn når det er nødvendig for sekretessvurderingen (tryckfrihetsförordningen 2 kap. 18 §).
- Personvernreglene gjelder derimot for hvordan myndigheten samler inn, lagrer, beskytter og sletter opplysninger i sine egne systemer.
Begge regelverkene gjelder altså samtidig, og de utfyller hverandre. Er du usikker på om noe kan gis ut, spør den som har ansvaret for det, for eksempel registratoren, en jurist eller personvernombudet.
Markedsføring
Folk har en absolutt rett til å protestere mot direkte markedsføring (artikkel 21.3). Hvis noen sier «slutt å sende reklame til meg», skal du føre det videre med en gang. Regler om markedsføring via e-post og sms finnes også i marknadsföringslagen (den svenske markedsføringsloven), og reglene om informasjonskapsler på nettsteder finnes i lagen om elektronisk kommunikation (den svenske loven om elektronisk kommunikasjon). Spør den ansvarlige før du sender ut noe.