Ochrona danych osobowych (norw. personvern) to prawo do decydowania o informacjach na swój temat i do rzetelnego, bezpiecznego traktowania. W pracy z danymi osobowymi masz do czynienia codziennie: na listach klientów, w teczkach osobowych, w poczcie e-mail, ewidencji czasu pracy i systemach.
Jakie przepisy obowiązują?
- Ogólne rozporządzenie o ochronie danych (RODO, ang. GDPR) to wspólne unijne przepisy o ochronie danych. Obowiązuje także w Norwegii, ponieważ zostało włączone do umowy o Europejskim Obszarze Gospodarczym (EOG).
- Ustawa o danych osobowych (personopplysningsloven, ustawa o przetwarzaniu danych osobowych, LOV-2018-06-15-38) czyni z rozporządzenia prawo norweskie. Ustawa zawiera też własne norweskie przepisy, np. o numerze identyfikacyjnym (fødselsnummer, § 12) i o przetwarzaniu danych wrażliwych w stosunku pracy (§ 6).
- Datatilsynet to norweski organ nadzorczy, czyli organ ochrony danych. Udziela wskazówek, prowadzi kontrole i może nakładać administracyjne kary pieniężne.
- W stosunku pracy obowiązuje dodatkowo rozdział 9 ustawy o środowisku pracy (arbeidsmiljøloven) o środkach kontroli i dostępie do poczty e-mail (lekcja 8).
Czym są dane osobowe?
Dane osobowe to wszelkie informacje, które można powiązać z żyjącą osobą, bezpośrednio lub pośrednio. Przykłady:
- imię i nazwisko, adres, numer telefonu, adres e-mail i numer identyfikacyjny (fødselsnummer)
- zdjęcia, nagrania dźwięku i obrazu przedstawiające osoby
- adresy IP, nazwy użytkowników i dane o lokalizacji
- wynagrodzenie, nieobecności, oceny i informacje z CV
Informacje zanonimizowane tak, że nikt nie może ustalić osoby, nie są już danymi osobowymi. Nie wystarczy usunąć imienia i nazwiska, jeśli osobę nadal można rozpoznać po innych informacjach.
Szczególne kategorie
Niektóre informacje są bardziej wrażliwe i podlegają surowszym przepisom. Art. 9 rozporządzenia wymienia informacje o:
- pochodzeniu rasowym lub etnicznym
- poglądach politycznych, religii i światopoglądzie
- przynależności do związków zawodowych
- danych genetycznych i biometrycznych (gdy służą do identyfikacji osoby)
- zdrowiu
- seksualności i orientacji seksualnej
Zasadą jest, że nie wolno ich przetwarzać, chyba że zastosowanie ma jeden z wyjątków z art. 9. W życiu zawodowym typowe przykłady to zwolnienia lekarskie, absencja chorobowa i informacje o związku zawodowym. Obchodź się z nimi ostrożnie i udostępniaj je tylko osobom, które ich potrzebują.
Czym jest „przetwarzanie”?
Przetwarzanie to wszystko, co robisz z danymi osobowymi: zbieranie, rejestrowanie, przechowywanie, odczytywanie, zmienianie, wysyłanie, udostępnianie, ujawnianie, usuwanie i kopiowanie. Przetwarzaniem jest nawet samo oglądanie informacji w systemie.
Kto jest kim?
- Osoba, której dane dotyczą, to osoba, o której są informacje: klient, pacjent, współpracownik, kandydat.
- Administrator (norw. behandlingsansvarlig) to organizacja, która decyduje o celu przetwarzania i o używanych środkach. To ona ponosi główną odpowiedzialność według prawa.
- Podmiot przetwarzający (norw. databehandler) to organizacja, która przetwarza dane w imieniu administratora, np. dostawca usług płacowych lub usługa w chmurze. Musi istnieć pisemna umowa powierzenia przetwarzania danych (art. 28).
- Inspektor ochrony danych (norw. personvernombud) to wewnętrzny lub zewnętrzny doradca, którego muszą mieć niektóre organizacje, m.in. organy publiczne (art. 37).
Zwykły pracownik nie jest sam administratorem. Działasz w imieniu pracodawcy i masz stosować się do jego poleceń. Nie znaczy to jednak, że możesz zrzucić całą odpowiedzialność na innych. Należy znać przepisy dotyczące twojej pracy i zgłaszać, gdy coś jest nie tak.
Co obejmuje kurs?
Kurs jest wprowadzeniem dla pracowników. Nie zastępuje wewnętrznych zasad pracodawcy i nie jest poradą prawną w indywidualnych sprawach.