Innan någon behandlar personuppgifter måste det finnas en rättslig grund i dataskyddsförordningens artikel 6. Det finns sex:
- Samtycke från den registrerade.
- Avtal: behandlingen är nödvändig för att fullgöra ett avtal med personen, eller för att vidta något på hennes begäran innan avtalet ingås.
- Rättslig förpliktelse: lagen kräver behandlingen, till exempel löneuppgifter till skattemyndigheten.
- Skydd av grundläggande intressen: för att skydda liv och hälsa, när det är nödvändigt.
- Uppgift av allmänt intresse eller myndighetsutövning.
- Berättigat intresse: verksamheten eller en tredje part har ett berättigat intresse, och personens intressen och rättigheter väger inte tyngre än detta intresse. Offentliga organ kan inte använda den här grunden i sina uppgifter.
Det är arbetsgivaren som väljer och dokumenterar grunden. Du bör ändå veta vad som gäller för dina arbetsuppgifter.
Samtycke: vad krävs?
Ett samtycke enligt artikel 4 och 7 måste vara:
- frivilligt: personen har ett verkligt val
- specifikt: det gäller ett bestämt ändamål
- informerat: personen vet vad hon säger ja till
- otvetydigt: en aktiv handling, inte en förbockad ruta eller tystnad
Du måste kunna dokumentera att samtycket har getts. Personen kan också återkalla samtycket när som helst, och det ska vara lika enkelt att återkalla det som att ge det.
Samtycke i anställningsförhållanden
Den anställde är i ett beroendeförhållande till arbetsgivaren. Därför är samtycke sällan en trygg grund mellan arbetsgivare och anställd, eftersom det kan vara svårt att säga nej. Arbetsgivaren bör hellre använda en annan grund, till exempel avtalet (anställningsavtalet), en rättslig förpliktelse eller berättigat intresse. Samtycke kan fungera för något som är verkligt frivilligt, till exempel att en bild på dig läggs ut på webbplatsen. Då måste du kunna säga nej utan att det får följder.
Särskilda kategorier
För hälsouppgifter och andra särskilda kategorier krävs ett undantag i artikel 9 utöver en grund i artikel 6. För anställningsförhållanden finns egna regler i personopplysningsloven § 6. Fråga alltid hur du ska hantera sådana uppgifter, och dela dem inte ”för säkerhets skull”.
Informationsplikten
Personer har rätt att få veta vad som händer med deras uppgifter (artikel 13 och 14). Verksamheten måste bland annat informera om:
- vem som är personuppgiftsansvarig
- ändamålet och grunden
- vilka som får uppgifterna
- hur länge de lagras
- vilka rättigheter personen har
Det sker vanligtvis genom en integritetspolicy eller ett informationsbrev. Anställda ska få sådan information om hur verksamheten behandlar deras egna uppgifter.
Barn
Norge har satt åldersgränsen för barns eget samtycke till 13 år när det gäller informationssamhällets tjänster (personopplysningsloven § 5). För yngre barn krävs samtycke från föräldrar eller vårdnadshavare. Barns personuppgifter förtjänar extra aktsamhet.
Du ska följa arbetsgivarens instruktioner
Enligt artikel 29 och 32.4 får personer som har tillgång till personuppgifter bara behandla dem på instruktion från den personuppgiftsansvarige. Att slå upp en kändis, en granne eller en tidigare partner i ett system du har tillgång till ingår inte i jobbet, och det är obehörig åtkomst även om du inte delar något vidare.