Alla regler om personuppgifter bygger på några grundläggande principer. De står i artikel 5 i dataskyddsförordningen. Om du kan dem klarar du de flesta situationer i vardagen, också sådana som ingen har skrivit regler för.
1. Laglighet, korrekthet och öppenhet
Behandlingen måste ha en giltig grund (se nästa lektion), vara rimlig mot personen och vara öppen. Människor ska kunna förstå vad som händer med deras uppgifter. Därför måste företaget ge information, till exempel i en integritetspolicy.
2. Ändamålsbegränsning
Uppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål. De får inte senare användas på ett sätt som är oförenligt med det ändamålet. Om en kund har lämnat sin e-postadress för att få ett kvitto får du inte utan vidare använda den till ett nyhetsbrev.
3. Uppgiftsminimering
Uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till vad som är nödvändigt. Fråga bara efter det du behöver. Du behöver inte kundens födelsedatum för att skicka ett paket.
4. Korrekthet
Uppgifterna ska vara korrekta och om nödvändigt uppdaterade. Felaktiga uppgifter ska rättas eller raderas utan onödigt dröjsmål. En felaktig adress kan skicka en räkning eller ett svar från läkaren till en främling.
5. Lagringsminimering
Uppgifter får inte lagras längre än vad som är nödvändigt för ändamålet. När ändamålet är uppfyllt och ingen lag kräver att du sparar dem ska de raderas eller anonymiseras. Vissa regler kräver tvärtom att man sparar, till exempel ska räkenskapsmaterial bevaras i 5 år efter utgången av det räkenskapsår som materialet avser (bogføringsloven § 12, den danska bokföringslagen). Företaget bör ha fasta gallringstider, och du ska följa dem.
6. Integritet och konfidentialitet
Uppgifter ska skyddas mot obehörig eller otillåten behandling och mot oavsiktlig förlust, förstöring eller skada. Det kräver lämpliga tekniska och organisatoriska åtgärder. De flesta av dem hör till ditt dagliga arbete: låst skärm, starka lösenord, rätt mottagare på e-postmeddelandet.
7. Ansvarsskyldighet
Den personuppgiftsansvariga ska inte bara följa principerna utan också kunna visa det (artikel 5.2). Därför skriver företaget riktlinjer, för register och dokumenterar sina val. Du hjälper till genom att följa rutinerna och genom att säga till när något inte fungerar i praktiken.
Inbyggt dataskydd
Artikel 25 kräver inbyggt dataskydd och dataskydd som standard. Nya system och processer ska från början utformas så att de bara använder de uppgifter som är nödvändiga. Om du är med och väljer ett nytt verktyg eller ett nytt formulär, tänk på det.
Exempel från vardagen
En anställd i en förening har en medlemslista för att skicka ut avgiftskrav. En kollega ber om listan för att bjuda in till ett privat evenemang. Ändamålsbegränsningen säger nej: Listan samlades in för att kräva in avgifter. Uppgiftsminimeringen säger att en inbjudan till ett möte bara kräver namn och e-postadress, inte adress och födelsedatum. Och lagringsminimeringen säger att listan över tidigare medlemmar inte ska sparas för alltid.
Tumregel: Spara och dela bara de uppgifter du behöver. Använd dem bara till det de samlades in för. Radera dem när de inte behövs längre.