På nesten alle arbeidsplasser håndteres det opplysninger om mennesker. En kassemedarbeider ser navnene til kundene. En resepsjonist skriver ned besøkende. En sykepleier leser en journal. En lærer har en klasseliste. Reglene for slike opplysninger finnes i personvernreglene, og de gjelder deg like mye som arbeidsgiveren din.
Lovene i Sverige
- Personvernforordningen, ofte kalt GDPR (EU 2016/679), er det viktigste regelverket. Den gjelder direkte i alle EU-land.
- Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (lov med utfyllende bestemmelser til EUs personvernforordning), ofte kalt dataskyddslagen, fyller ut det hvert land selv kan bestemme. Det gjelder for eksempel personnummer og opplysninger om lovbrudd.
- Mange bransjer har egne lover med regler om personopplysninger, for eksempel i helsevesenet, skolen og i myndigheter.
Tilsynsmyndigheten er Integritetsskyddsmyndigheten (IMY), den svenske personvernmyndigheten. IMY gir veiledning, tar imot klager og varsler om avvik, gjennomfører tilsyn og kan vedta sanksjonsavgifter.
Personopplysning
En personopplysning er all informasjon som kan knyttes til en levende person. Opplysningen trenger ikke å være hemmelig. Eksempler:
- navn, adresse, e-postadresse og telefonnummer
- personnummer og ansattnummer
- foto, videoopptak fra kamera og lydopptak
- et notat om hva en person har sagt eller gjort
- IP-adresse og andre nettidentiteter
Hvis du kan forstå hvem opplysningen gjelder, også ved å sette sammen flere opplysninger, er det en personopplysning. Opplysninger om en avdød person omfattes ikke. Rene bedriftsopplysninger, for eksempel omsetningen til et selskap, er heller ikke personopplysninger, men navnet og e-postadressen til en kontaktperson er det.
Behandling
Å behandle personopplysninger betyr nesten alt man kan gjøre med dem: samle inn, lagre, lese, endre, sende, sammenstille, slette. Allerede det å åpne en journal på skjermen er en behandling.
Reglene gjelder når opplysningene håndteres digitalt. De gjelder også for papirregistre som er ordnet slik at man kan søke fram opplysninger om personer, for eksempel en perm sortert etter navn. Rent private opplysninger i hjemmet omfattes ikke.
Hvem er hvem?
- Behandlingsansvarlig bestemmer hvorfor og hvordan opplysningene skal behandles. Arbeidsgiveren din er som regel behandlingsansvarlig.
- Databehandler behandler opplysninger på vegne av den behandlingsansvarlige og etter dennes instruksjoner. Eksempler er et lønnsbyrå eller en skytjeneste.
- Registrert er personen opplysningene handler om: kunder, pasienter, elever, kolleger og jobbsøkere.
- Personvernombud må finnes i myndigheter og i enkelte andre virksomheter. Ombudet gir råd, kontrollerer at reglene følges og er kontaktpunkt for IMY. Du kan henvende deg dit med spørsmål.
Den behandlingsansvarlige har hovedansvaret etter loven. Du som ansatt jobber for arbeidsgiveren, følger arbeidsgiverens regler og behandler opplysninger bare for arbeidets skyld.
Dette kan du forvente
Arbeidsgiveren skal ha egne retningslinjer, en protokoll over behandlingsaktivitetene sine og instruksjoner for systemene dere bruker. Dette kurset gir deg grunnlaget, men det kan ikke erstatte dem. I siste leksjon går vi gjennom hva som er arbeidsgiverens oppgave.