Alla regler i dataskyddsförordningen bygger på principerna i artikel 5. Känner du till dem kan du bedöma de flesta situationer själv.
1. Laglighet, korrekthet och öppenhet
Du måste ha en giltig rättslig grund (lektion 3). Behandlingen ska vara korrekt, och människor ska få veta vad som händer med deras uppgifter. Dolda register är inte tillåtna.
2. Ändamålsbegränsning
Uppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål. De kan inte utan vidare användas till något helt annat.
Exempel: En kund lämnar sitt telefonnummer för att få ett leveransmeddelande. Du kan inte använda numret till marknadsföring utan en egen grund för det.
3. Uppgiftsminimering
Du får bara behandla uppgifter som är adekvata, relevanta och begränsade till vad som är nödvändigt. Fråga dig själv: Behöver jag verkligen det här? Ett formulär som frågar efter födelsedatum, adress och civilstånd när du bara ska skicka en bekräftelse på ett nyhetsbrev bryter mot principen.
4. Korrekthet
Uppgifterna ska vara riktiga och om nödvändigt aktuella. Felaktiga uppgifter ska rättas eller raderas utan dröjsmål. Fel i en personalpärm eller en kundprofil kan få stora följder för den det gäller.
5. Lagringsminimering
Uppgifter ska inte lagras längre än nödvändigt för ändamålet. När ändamålet är uppnått och ingen lag kräver att du behåller dem ska de raderas eller anonymiseras. Många verksamheter har gallringsfrister för olika slags uppgifter. Följ dem. Vissa uppgifter måste sparas länge, till exempel räkenskapsmaterial enligt bokføringsloven (den norska bokföringslagen), men det betyder inte att allt kan ligga kvar för alltid.
6. Integritet och konfidentialitet
Uppgifterna ska skyddas mot obehörig åtkomst, förlust och skada med lämpliga tekniska och organisatoriska åtgärder. Här kommer ditt dagliga beteende in: lösenord, att låsa skärmen, försiktighet med e-post och bilagor (lektion 5 och 6).
7. Ansvarsskyldighet
Den personuppgiftsansvarige ska kunna visa att reglerna följs. Det kräver dokumentation: rutiner, avtal, utbildning, riskbedömningar och ett register över behandlingar (artikel 30). Datatilsynet kan begära sådan dokumentation vid en tillsyn.
Inbyggt dataskydd
Enligt artikel 25 ska nya system och rutiner byggas så att dataskyddet tillgodoses från början, och så att det mest dataskyddsvänliga valet är standard. Ska du börja använda ett nytt verktyg som lagrar personuppgifter bör det klaras ut med den som ansvarar för dataskydd innan du börjar.
Ett exempel från kontoret
En anställd på personalavdelningen har en gammal lista med namn, fødselsnummer och sjukfrånvaro från ett projekt som avslutades för två år sedan. Listan ligger i en privat mapp på skrivbordet. Här bryts flera principer samtidigt: ändamålet är borta (lagringsminimering), listan innehåller mer än nödvändigt (uppgiftsminimering), den är inte uppdaterad (korrekthet) och den ligger utanför de godkända systemen (integritet och konfidentialitet). Rätt agerande är att fråga vem som ansvarar för radering och följa verksamhetens regler för när sådana uppgifter ska tas bort.
Tumregler för vardagen
- Samla bara in det du behöver.
- Använd uppgifterna bara till det de samlades in för.
- Ha inga privata kopior och egna listor utanför verksamhetens system.
- Radera det som inte längre behövs, i enlighet med verksamhetens rutiner.
- Fundera: Skulle personen förvänta sig att vi gör det här?