Artikkel 5 i GDPR inneholder de grunnreglene som alle andre regler bygger på. Hvis du kan dem, kan du ofte selv vurdere om noe er rimelig.
De seks prinsippene
- Lovlighet, rettferdighet og åpenhet. Det må finnes et behandlingsgrunnlag (leksjon 3). Opplysningene skal behandles på en rettferdig måte, og folk skal få vite hva som skjer.
- Formålsbegrensning. Opplysningene skal samles inn for bestemte, uttrykkelig angitte og berettigede formål. De kan ikke senere brukes på en måte som er uforenlig med det opprinnelige formålet.
- Dataminimering. Samle bare inn det som er tilstrekkelig, relevant og nødvendig. Spør deg selv: trenger jeg virkelig denne opplysningen?
- Riktighet. Opplysningene skal være korrekte og oppdaterte. Uriktige opplysninger skal rettes eller slettes uten opphold.
- Lagringsbegrensning. Ikke oppbevar opplysninger lenger enn de trengs. Når formålet er oppfylt, skal opplysningene slettes, anonymiseres eller, hvis loven krever det, oppbevares etter lovens regler.
- Integritet og konfidensialitet. Opplysningene skal beskyttes mot uautorisert tilgang, tap og ødeleggelse. Det krever tekniske og organisatoriske tiltak.
Ansvarlighet
Etter artikkel 5.2 skal den behandlingsansvarlige kunne vise at prinsippene følges. Det er altså ikke nok å gjøre det riktige. Organisasjonen skal også kunne dokumentere at den gjør det, for eksempel gjennom rutiner, oversikter og opplæring.
Eksempler fra hverdagen
- Formål. En butikk samler inn telefonnumre for å kunne melde at en bestilling er klar. Nummeret kan ikke uten videre brukes til reklame.
- Minimering. Et nettskjema for abonnement på et nyhetsbrev trenger en e-postadresse. Det trenger ikke fødselsdato eller hjemmeadresse.
- Riktighet. En kunde har flyttet og sagt fra om det. Da skal adressen endres overalt der den brukes.
- Lagring. Søknadsdokumenter fra en avsluttet rekruttering skal ikke ligge igjen for alltid. Arbeidsgiveren bestemmer slettefrister (på svensk kalt gallringstider), og du følger dem.
- Sikkerhet. En liste med kundeopplysninger skal ikke ligge åpent på et delt skrivebord eller sendes til feil mottaker.
Innebygd personvern
Artikkel 25 krever innebygd personvern og personvern som standard. Det betyr at systemer og rutiner skal utformes slik at prinsippene følges fra begynnelsen. Som standard skal bare de opplysningene som trengs for hvert formål behandles, og bare de som trenger dem, skal ha tilgang.
Din rolle
- Bruk opplysninger bare til det arbeidet krever.
- Ta ikke med deg mer enn du trenger, og lagre ikke egne kopier i private filer.
- Rett feil du finner, eller si fra til den som er ansvarlig for opplysningen.
- Følg slettereglene og rutinene. Spør hvis noe er uklart.
- Tenk på prinsippene også når noe føles smidig: det som er enkelt, er ikke alltid lovlig.
Et eksempel som viser alle prinsippene
En kollega i personalavdelingen får en liste over alle ansattes sykefravær for å planlegge bemanningen. Formålet er bemanning, så listen skal ikke brukes til å vurdere hvem som «er syk for ofte» i en lønnssak. Hun trenger bare datoer og antall dager, ikke diagnoser. Listen skal være riktig, beskyttes med tilgangsstyring og slettes når den ikke trengs lenger. Slik virker prinsippene sammen.