Dataskydd handlar om rätten att bestämma över uppgifter om sig själv och att bli behandlad på ett rättvist och tryggt sätt. I jobbet möter du personuppgifter varje dag: i kundlistor, personalpärmar, e-post, tidrapporter och system.
Vilka regler gäller?
- Dataskyddsförordningen (GDPR) är EU:s gemensamma dataskyddsregler. Den gäller också i Norge, eftersom den har tagits in i EES-avtalet (avtalet om Europeiska ekonomiska samarbetsområdet).
- Personopplysningsloven (den norska lagen om behandling av personuppgifter, LOV-2018-06-15-38) gör förordningen till norsk lag. Lagen har också egna norska regler, till exempel om fødselsnummer (§ 12) och om behandling av känsliga uppgifter i anställningsförhållanden (§ 6).
- Datatilsynet är den norska tillsynsmyndigheten. Den vägleder, utövar tillsyn och kan besluta om sanktionsavgift.
- I anställningsförhållanden gäller dessutom arbeidsmiljøloven kapitel 9 (den norska arbetsmiljölagen) om kontrollåtgärder och insyn i e-post (lektion 8).
Vad är en personuppgift?
En personuppgift är all information som kan knytas till en levande person, direkt eller indirekt. Exempel:
- namn, adress, telefonnummer, e-postadress och fødselsnummer
- bilder, ljudinspelningar och videoinspelningar av personer
- IP-adresser, användarnamn och positionsdata
- lön, frånvaro, bedömningar och uppgifter i ett CV
Uppgifter som är anonymiserade så att ingen kan ta reda på vem det gäller är inte längre personuppgifter. Det räcker inte att ta bort namnet om personen fortfarande kan kännas igen på andra uppgifter.
Särskilda kategorier
Vissa uppgifter är mer känsliga, och för dem gäller strängare regler. Förordningens artikel 9 nämner uppgifter om:
- ras eller etniskt ursprung
- politiska åsikter, religion och livsåskådning
- medlemskap i fackförening
- genetiska och biometriska uppgifter (när de används för att identifiera en person)
- hälsa
- sexualliv och sexuell läggning
Huvudregeln är att dessa inte får behandlas, om inte något av undantagen i artikel 9 gäller. I arbetslivet är sjukfrånvaro, sjukskrivningar och uppgifter om fackförening typiska exempel. Behandla dem varsamt och dela dem bara med dem som behöver dem.
Vad är ”behandling”?
Behandling är allt du gör med personuppgifter: samla in, registrera, lagra, läsa, ändra, skicka, dela, lämna ut, radera och kopiera. Även att titta på en uppgift i ett system är behandling.
Vem är vem?
- Den registrerade är den person uppgifterna gäller: kund, patient, kollega, sökande.
- Personuppgiftsansvarig (på norska ”behandlingsansvarlig”) är den verksamhet som bestämmer ändamålet med behandlingen och vilka medel som används. Det är den som har huvudansvaret enligt lagen.
- Personuppgiftsbiträde är en verksamhet som behandlar uppgifter för den personuppgiftsansvariges räkning, till exempel en lönetjänst eller en molntjänst. Det måste finnas ett skriftligt personuppgiftsbiträdesavtal (artikel 28).
- Dataskyddsombud (på norska ”personvernombud”) är en intern eller inhyrd rådgivare som vissa verksamheter måste ha, bland annat offentliga myndigheter (artikel 37).
Som vanlig anställd är du inte själv personuppgiftsansvarig. Du agerar för arbetsgivarens räkning och ska följa arbetsgivarens instruktioner. Det betyder inte att du kan lämna allt ansvar åt andra. Du ska känna till de regler som gäller i ditt jobb, och du ska säga ifrån när något är fel.
Vad täcker kursen?
Kursen är en introduktion för anställda. Den ersätter inte arbetsgivarens egna riktlinjer, och den ger inte juridisk rådgivning i enskilda ärenden.