Personvern og GDPR – Lovpålagt styring, risikovurdering og databehandleransvar

Etterlevelse av GDPR og personopplysningsloven

For å sikre etterlevelse kreves det en systematisk tilnærming til hvordan data flyter gjennom organisasjonen. Dette inkluderer:

• Protokoll over behandlingsaktiviteter: Full oversikt over hvilke personopplysninger som behandles, hvorfor og med hvilket rettslig grunnlag.
• Risikovurderinger (DPIA): Vurdering av personvernkonsekvenser ved bruk av ny teknologi eller omfattende behandling av data. Bruk GDPR-Avviks-Sjekken™ PRO for å sjekke meldeplikt ved personvernbrudd.
• Informasjonssikkerhet: Sikre konfidensialitet, integritet og tilgjengelighet gjennom robuste IT-instrukser og tilgangsstyring.
• Innebygd personvern: Sikre at personvernhensyn ivaretas helt fra planleggingsfasen av nye systemer og prosesser.

Tillit gjennom åpenhet

Godt personvernarbeid handler i stor grad om å bygge tillit hos kunder, ansatte og samarbeidspartnere. En tydelig personvernerklæring og gode rutiner for håndtering av de registrertes rettigheter er avgjørende for virksomhetens omdømme og for å unngå sanksjoner fra Datatilsynet.

Samtykke eller rettslig grunnlag

Samtykke er nødvendig når det ikke finnes et annet rettslig grunnlag for behandlingen. Samtykket må være frivillig, spesifikt, informert og utvetydig. Som alternativ til samtykke kan personopplysninger behandles dersom:

• Behandlingen er nødvendig for å oppfylle en avtale med den registrerte
• Behandlingen er nødvendig for å oppfylle en rettslig forpliktelse
• Behandlingen er nødvendig for å beskytte vitale interesser
• Behandlingen er nødvendig for å utføre en oppgave av allmenn interesse
• Behandlingen er nødvendig for å ivareta berettigede interesser, og disse veier tyngre enn hensynet til den registrertes personvern

Personopplysninger

Personopplysninger er enhver opplysning som kan knyttes til en identifisert eller identifiserbar fysisk person. Eksempler inkluderer navn, adresse, telefonnummer, e-postadresse, fødselsnummer, bilder, IP-adresser, lokaliseringsdata og informasjon om atferdsmønstre og arbeidsforhold.

Sensitive personopplysninger

Særlige kategorier personopplysninger som krever ekstra beskyttelse inkluderer rasemessig eller etnisk opprinnelse, politisk oppfatning, religiøs overbevisning, fagforeningsmedlemskap, helseopplysninger, seksuelle forhold, genetiske opplysninger og biometriske opplysninger. Behandling av slike opplysninger er i utgangspunktet forbudt uten et særskilt rettslig grunnlag.

Risikovurdering av personopplysningsbehandling

En systematisk risikovurdering følger disse trinnene – og bør gjennomføres med GDPR-Avviks-Sjekken™ PRO som støtteverktøy:

• 1. Identifiser behandlingen: Kartlegg hvilke personopplysninger som behandles, hvor de kommer fra og hvordan de brukes. Dokumenter formål og rettslig grunnlag.
• 2. Vurder risiko: Identifiser potensielle risikoer for de registrertes rettigheter og friheter. Vurder sannsynlighet og konsekvens, særlig for brudd på konfidensialitet, integritet og tilgjengelighet. Se Risikovurdering™ PRO for strukturert gjennomføring.
• 3. Implementer tiltak: Iverksett tekniske tiltak (f.eks. kryptering) og organisatoriske tiltak (f.eks. opplæring og tilgangsstyring). Revidér berørte instrukser med Instruks-Sjekken™ PRO.
• 4. Dokumenter og evaluer: Dokumenter risikovurderingen og iverksatte tiltak. Evaluer jevnlig og oppdater ved behov.

Behandlingsansvarlig og databehandler

Behandlingsansvarlig er den som bestemmer formålet med behandlingen og hvilke midler som skal brukes. Har det overordnede ansvaret for etterlevelse, inkludert å fastsette formål, velge rettslig grunnlag, ivareta de registrertes rettigheter, velge databehandler og inngå databehandleravtale.

Databehandler er den som behandler personopplysninger på vegne av den behandlingsansvarlige og handler etter instruks. Ansvar inkluderer å sikre konfidensialitet og sikkerhet, bistå behandlingsansvarlig og melde fra om brudd. Bruk GDPR-Avviks-Sjekken™ PRO for å avgjøre meldeplikt ved personvernbrudd.

Den registrertes rettigheter

• Rett til informasjon: Klart og tydelig om hvordan data behandles
• Rett til innsyn: Se egne opplysninger og bekrefte behandling
• Rett til retting: Kreve at uriktige data korrigeres
• Rett til sletting: «Retten til å bli glemt» når data ikke lenger er nødvendig
• Rett til begrensning: Kreve at behandlingen begrenses i visse tilfeller
• Rett til dataportabilitet: Motta data i maskinlesbart format
• Rett til å protestere: Motsette seg uønsket behandling, f.eks. markedsføring
• Automatiserte avgjørelser: Rett til ikke å bli gjenstand for beslutninger utelukkende basert på automatisering

Styringsdokumentasjon – nødvendige instrukser

For å imøtekomme personvernregelverket må virksomheter etablere følgende instrukser – og disse bør revideres jevnlig med Instruks-Sjekken™ PRO:

• Instrukser for innsamling og behandling: Formålsbeskrivelse, rettslig grunnlag, dataminimering og informasjon til de registrerte
• Instrukser for sikkerhet ved behandling: Tilgangskontroll, kryptering, sikkerhetskopiering og hendelseshåndtering
• Instrukser for de registrertes rettigheter: Rutiner for innsyn, retting, sletting og dataportabilitet
• Instrukser for databehandlere: Rutiner for databehandleravtale og oppfølging av leverandører
• Instrukser for risikovurdering og DPIA: Hvordan og når vurderinger skal gjennomføres og dokumenteres

Personopplysningsbehandling og internkontroll

Personopplysningsarbeidet står sentralt i enhver virksomhets internkontrollarbeid og styringssystem. Dette er et krav som følger av GDPR artikkel 24 og Internkontrollforskriften.

• Risikobasert tilnærming: Personvernrisikoer må integreres i virksomhetens risikostyringssystem. Se Samsvarsmatrisen™ PRO for å kartlegge juridiske gap.
• Dokumentasjon og ansvarlighet: Sikre at ansvar er tydelig plassert og at nødvendig dokumentasjon er tilgjengelig
• Kontinuerlig forbedring: Personvern må evalueres og forbedres jevnlig som en del av den faste styringssyklusen. Bruk Styrets Etterlevelse-Monitor™ PRO for styrets compliance-rapportering.

Øvrig relevant regelverk

Følgende regelverk kan også sette rammer for personopplysningsbehandlingen: Arbeidsmiljøloven, Forvaltningsloven, Arkivloven, Politiregisterloven, Helsepersonelloven, Pasientjournalloven og Helseregisterloven. Datasikkerhetsloven (NIS2) stiller i tillegg strengere krav til risikovurdering og hendelseshåndtering for samfunnskritiske tjenester. For virksomheter med innleide ressurser bør også Innleie-Kontroll™ PRO gjennomgås – personvernkravene gjelder også for innleid arbeidskraft.