Personvernprinsippene og sensitive opplysninger

Når du behandler personopplysninger er det noen grunnprinsipper som alltid må tas hensyn til. Av og til må disse veies opp mot hverandre. Hva er viktigst i den konkrete situasjonen?

La oss gå kjapt gjennom disse personvernprinsippene.

Personvernprinsippene

Lovlighet

Behandlingen må være i samsvar med loven, det vil si Grunnloven, GDPR og andre relevante lover, og man må ha et behandlingsgrunnlag.

Rettferdighet

Behandlingen må være forutsigbar og forventet; den kan ikke være urimelig eller utgjøre vesentlig risiko for den registrerte. Du kan forvente at medisinske opplysninger fra legen blir delt med et sykehus, men du skal ikke oppleve at de finner veien til kommersielle aktører som sender deg reklame for medikamenter.

Åpenhet

Vi skal alltid informeres om hvilke personopplysninger som behandles, hvorfor, av hvem, hvor lenge, hvem som får tilgang og på hvilket behandlingsgrunnlag.

Formålsbegrensing

Formålet for en behandling må være klart definert før behandlingen begynner. Du kan ikke bare samle inn personopplysninger og se an hva du vil bruke dem til. Når du først definerer et formål, vet du hvilke personopplysninger du trenger for å oppnå dette formålet.

Dataminimering

Dataminimering betyr at vi ikke har lov å behandle flere opplysninger enn det som er nødvendig for å oppnå formålet.

Riktighet

Riktighet vil rett og slett si at personopplysninger må være korrekte. Om nødvendig må de holdes oppdaterte, og hvis det finnes feil må de rettes.

Lagringsbegrensning

Det er ikke lov å lagre opplysningene lengre enn det er nødvendig for å oppnå formålet. Det kan riktignok finnes unntak. For eksempel hvis du kjøper et par sko på nettet, må bedriften som selger skoene blant annet innhente din adresse og mobilnummer for å sende deg varene. Så snart kjøpet er gjennomført kan man tenke seg at formålet er oppnådd og at bedriften skal slette personopplysningene. Men det er fortsatt en mulighet for at du vil klage eller ønsker å returnere varene. Det vil si at butikken må oppbevare opplysningene til klagefristen og returretten er utløpt.

Integritet og konfidensialitet

Det siste prinsippet er at den behandlingsansvarlige må sørge for tilstrekkelig informasjonssikkerhet. Det betyr at du må ta nødvendige grep for å minimere risikoen for uriktige endringer, tap av eller urettmessig tilgang til personopplysninger.

Sensitive opplysninger

Det er aldri fritt frem for å behandle personopplysninger, men noen personopplysninger har et særskilt vern. Det gjelder følgende kategorier:

opplysninger om rasemessig eller etnisk opprinnelse
opplysninger om politisk oppfatning
opplysninger om religion
opplysninger om filosofisk overbevisning
opplysninger om fagforeningsmedlemskap
genetiske opplysninger
biometriske opplysninger (når behandlingsformålet er å entydig identifisere noen)
helseopplysninger
opplysninger om seksuelle forhold
opplysninger om seksuell legning

Dette er det vi uformelt kaller sensitive opplysninger. I loven kalles det «særlige kategorier av personopplysninger». Som hovedregel skal ikke slike opplysninger behandles i det hele tatt. Det finnes imidlertid flere unntak – som når du har et eksplisitt og gyldig samtykke, eller det følger av lov at det er viktig at de behandles.

Det finnes også andre unntak – alt fra at den registrerte selv har offentliggjort opplysningene, til at behandlingen kan være i allmennhetens interesse, for eksempel politiske synspunkt i forbindelse med valg.

Hvis virksomheten din er i en situasjon der dere trenger å behandle sensitive opplysninger, er det viktig å sette seg spesielt inn i regelverket og undersøke om det finnes et unntak dere kan bruke som gjør behandlingen lovlig.

Ta informasjonssikkerhet på alvor!

Husk at sikkerhet – og spesielt informasjonssikkerhet – også er svært viktig i GDPR-sammenheng.

Hvis personopplysninger (og i verste fall sensitive opplysninger) kommer på avveie – grunnet for eksempel datainnbrudd, manglende kryptering eller sviktende rutiner – vil ikke dette kun berøre de registrerte, men også behandlingsansvarlig, som i verste fall risikerer store bøter.

Hva som er lov – og hva som er greit

I tillegg til å følge lover og regler, kan og bør du foreta etiske vurderinger rundt de teknologiske løsningene dere vurderer å ta i bruk. Det kan være en forskjell mellom hva som er lov og hva som er etisk.

En konkret måte å vurdere en teknologisk løsning etisk, er å stille tre spørsmål:

Hva slags teknologi brukes og hvordan brukes den? Dette spørsmålet krever ikke at du er en ekspert på teknologi, men at du stiller spørsmål til løsningen. Hvordan samles data inn, når, og så videre. Dette er det du lærer generelt i kurset.
Hvilke konsekvenser kan bruken ha? Dette spørsmålet handler om å identifisere hvilke verdier som står på spill, for eksempel overvåking mot privatliv, som igjen handler om å vurdere trygghet og frihet. For å få tak i hvilke verdier som du må velge mellom kan du se på mulige konsekvenser. Hva kan løsningen gjøre for enkeltindivider og for samfunnet? Hva kan effekten være over tid? Husk også å vurdere miljømessige konsekvenser. Her er det viktig å identifisere både positive og negative effekter.
Vil jeg bruke denne løsningen, og eventuelt hvordan? Det er først når du har vurdert spørsmål 1 og 2 at du egentlig kan vurdere om løsningen virker etisk forsvarlig.

Alle disse tre spørsmålene kan du stille til deg selv, men de er også godt egnet for diskusjon. Det kan være diskusjoner med kolleger eller sjefen, og selvfølgelig med brukere av løsningen.

Det er en fordel at samtalene er med noen som har annen kunnskap og erfaring enn deg. Digital teknologi er kompleks, og virkningene er vanskelige å få oversikt over. Vi kan ikke spå, men jo flere vinkler som er vurdert, og jo flere perspektiver som er diskutert, desto større er sjansen for å treffe gode og velbegrunnede avgjørelser.