Personvern

Bruk av cookies reguleres i Norge av ekomloven i tillegg til GDPR. Hovedregelen er at ikke-nødvendige cookies krever aktivt samtykke fra brukeren før de settes.

Dette betyr i praksis:

• Teknisk nødvendige cookies – for eksempel til innlogging og handlekurv, kan settes uten samtykke
• Alle andre cookies, herunder analyse- og markedsføringsverktøy som Google Analytics og Meta Pixel, krever forhåndssamtykke
• Cookie-banneret må gi brukeren et reelt valg: det skal være like enkelt å avslå som å godta
• Forhåndsavhukede bokser er ikke gyldig samtykke
• Brukeren må enkelt kunne trekke tilbake samtykket når som helst

Det er ikke tilstrekkelig å informere om cookies etter at de allerede er satt. Mange norske nettsteder er fortsatt ikke i samsvar med disse kravene, og Datatilsynet har de siste årene vist økt interesse for håndhevelse på dette området.

All behandling av personopplysninger må ha et rettslig grunnlag (behandlingsgrunnlag). Uten et gyldig grunnlag er behandlingen ulovlig. GDPR angir seks mulige grunnlag: samtykke, nødvendig for avtale eller anmodning, rettslig forpliktelse, vitale interesser, allmennhetens interesse og berettiget interesse. Grunnlaget må identifiseres og dokumenteres før behandlingen starter, det er ikke mulig å velge grunnlag i ettertid.

Samtykke er det grunnlaget mange tyr til først, men det er også det mest krevende å bruke riktig. Samtykke er bare gyldig dersom det er:

• Frivillig: den registrerte må ha et reelt valg uten negative konsekvenser for å si nei
• Spesifikt: gitt for et konkret og tydelig definert formål
• Informert: den registrerte må forstå hva de samtykker til og hvem som behandler opplysningene
• Utvetydig: samtykket må være aktivt gitt, for eksempel ved at brukeren selv krysser av en boks. Forhåndsavkryssede bokser gir ugyldige samtykker.

Samtykker kan trekkes tilbake når som helst. Det skal være like enkelt å trekke tilbake som å gi samtykket. I arbeidsforhold er samtykke sjelden et egnet grunnlag, fordi skjevt maktforhold mellom arbeidsgiver og ansatt gjør det vanskelig å si at samtykket er reelt frivillig.

Berettiget interesse er kanskje det mest brukte behandlingsgrunnlaget. Interessen til behandlingsansvarlig må være reell og legitim. Ulempen for personvernet må være liten. Denne balansevurderingen må dokumenteres.

GDPR krever at virksomheten kan dokumentere at den etterlever regelverket, ikke bare at den kjenner til det. Et godt sted å starte er en gap-analyse: en systematisk gjennomgang av hva dere gjør i dag sammenlignet med hva regelverket krever. Gap-analysen avdekker hull og gir et konkret grunnlag for å prioritere det videre arbeidet.

Kjernen i dokumentasjonen er behandlingsprotokollen (også kalt RoPA – Records of Processing Activities). Dette er en oversikt over alle måter virksomheten behandler personopplysninger på, og er lovpålagt for de aller fleste virksomheter etter GDPR artikkel 30. Den skal inneholde formål, kategorier av opplysninger og registrerte, mottakere, lagringstid og sikkerhetstiltak. Behandlingsprotokollen er det første Datatilsynet ber om ved tilsyn.

Et fullstendig internkontrollsystem bør i tillegg inneholde:

• Personvernerklæringer (intern, for ansatte mv.) og ekstern (typisk på websiden)
• Retningslinjer og prosedyrer for de vanligste behandlingssituasjonene
• Sletterutiner og -planer
• Rutiner for databrudd og avvikshåndtering
• Rutiner for håndtering av de registrertes rettigheter
• Opplæringsplan for ansatte

Du må også ha:

• Personvernerklæringer (intern, for ansatte mv.) og ekstern (typisk på websiden)
• Databehandleravtale (med dine underleverandører, som behandler data for deg)

God internkontroll er den beste beskyttelsen mot overtredelsesgebyrer og erstatningsansvar.

En databehandleravtale er påkrevd hver gang din virksomhet lar en annen virksomhet behandle personopplysninger på dine vegne. Typiske eksempler er outsourcing av IT-drift, bruk av lønn- eller faktureringssystemer i skyen, kjøp av HR-tjenester eller bruk av markedsføringsverktøy som håndterer kundedata. Uten en databehandleravtale er behandlingen i utgangspunktet ulovlig, uavhengig av om den i praksis gjennomføres forsvarlig.

GDPR artikkel 28 stiller konkrete krav til innholdet. Avtalen skal som minimum regulere:

• Hva slags personopplysninger som behandles og til hvilke formål
• At databehandleren kun handler etter dokumenterte instrukser fra dere
• Krav til forsvarlig informasjonssikkerhet
• Regler for bruk av underdatabehandlere
• Plikt til å bistå med de registrertes rettigheter
• Varsling ved databrudd
• Hva som skjer med opplysningene når avtalen opphører, sletting eller tilbakelevering
• Rett til revisjon og kontroll

Mange virksomheter har langt flere databehandlerforhold enn de er klar over. En gjennomgang av leverandørporteføljen er derfor et nyttig første steg.

En DPIA (Data Protection Impact Assessment) er lovpålagt dersom det er sannsynlig at en planlagt behandling vil medføre høy risiko for enkeltpersoners personvern. Vurderingen skal gjennomføres før behandlingen starter, ikke i etterkant.

Datatilsynet har publisert en liste over behandlingstyper som alltid utløser krav om DPIA. I tillegg er en DPIA typisk nødvendig dersom behandlingen involverer:

• Systematisk og omfattende profilering som danner grunnlag for automatiserte avgjørelser
• Behandling i stor skala av særlige kategorier av personopplysninger, som helseopplysninger
• Systematisk overvåking av offentlig tilgjengelige områder
• Bruk av ny teknologi der personvernkonsekvensene er usikre
• Behandling av personopplysninger om sårbare grupper, som barn eller ansatte

En DPIA innebærer en systematisk beskrivelse av behandlingen, en vurdering av nødvendighet, proporsjonalitet og risiko, og en konkret plan for tiltak som skal redusere risikoen. Til slutt skal ledelsen godkjenne vurderingen. Dersom risikoen ikke kan reduseres til et akseptabelt nivå, skal Datatilsynet konsulteres før behandlingen igangsettes.

Et databrudd er enhver hendelse som medfører utilsiktet eller ulovlig tilgang til, tap av eller spredning av personopplysninger. Dette omfatter alt fra hackeangrep og ransomware til feilsendt e-post og bortkomne enheter.

Dersom et databrudd sannsynligvis vil medføre risiko for de registrertes rettigheter, skal bruddet meldes til Datatilsynet innen 72 timer etter at det ble oppdaget. Fristen er absolutt. Rekker dere ikke å samle all informasjon innen fristen, meldes det dere vet og suppleres etterpå. Dersom bruddet sannsynligvis vil medføre høy risiko, skal også de berørte personene varsles direkte uten ugrunnet opphold.

For å håndtere databrudd forsvarlig bør virksomheten ha:

• Klare rutiner for hvem som gjør hva når et brudd oppdages
• En intern avvikslogg som dokumenterer alle hendelser, uavhengig av om de meldes til Datatilsynet
• Standardmaler for varsling til Datatilsynet og til de registrerte
• Opplæring av ansatte i å gjenkjenne og rapportere mulige brudd internt

Mange av de mest alvorlige sakene hos Datatilsynet handler ikke om selve bruddet, men om manglende rutiner og for sen varsling.

Personvernombud er obligatorisk for tre kategorier virksomheter:

• Offentlige myndigheter og offentlige organer, med noen unntak for domstoler
• Virksomheter hvis kjerneaktivitet er regelmessig og systematisk overvåking av registrerte i stor skala, for eksempel plattformer som sporer brukeratferd, telekomselskaper eller selskaper som driver med profilering
• Virksomheter hvis kjerneaktivitet er behandling i stor skala av særlige kategorier av personopplysninger, for eksempel helseforetak, forsikringsselskaper og HR-selskaper

Private virksomheter som ikke faller inn under disse kategoriene er ikke pliktige, men mange velger å utpeke et ombud frivillig, særlig dersom de behandler store mengder personopplysninger eller opererer i regulerte bransjer. Et alternativ kan være å utpeke en personvernansvarlig, da utpeking av ombud skjerper pliktene.

Et personvernombud skal ha dybdekompetanse, være faglig uavhengig og kan ikke instrueres i sitt tilsynsarbeid. Ombudet kan være en intern ansatt eller en ekstern tjenesteleverandør. Ekstern DPO-tjeneste gir tilgang til dyp fagkompetanse uten kostnadene ved fast ansettelse, og er et fleksibelt alternativ for mange virksomheter.

En personvernerklæring er dokumentasjon på hvordan virksomheten behandler personopplysninger. Den skal gi de registrerte (kunder, brukere, ansatte eller andre) tilstrekkelig informasjon til å forstå hva som skjer med opplysningene deres. Erklæringen er en lovpålagt informasjonsplikt, ikke et valgfritt dokument.

En personvernerklæring skal minst inneholde:

• Hvem som er behandlingsansvarlig og hvordan de kontaktes
• Hvilke personopplysninger som behandles og til hvilke formål
• Behandlingsgrunnlaget for hver behandlingsaktivitet
• Hvem opplysningene eventuelt deles med
• Om opplysninger overføres til land utenfor EØS og på hvilket grunnlag
• Hvor lenge opplysningene lagres
• De registrertes rettigheter: innsyn, retting, sletting, dataportabilitet og klagerett

Erklæringen skal være skrevet på et klart og forståelig språk (ikke i juridisk sjargong) og skal være lett tilgjengelig, typisk via en lenke i bunnteksten på nettsiden (for eksterne personvernerklæringer). Interne personvernerklæringer må være lett tilgjengelig for ansatte og innleide. Erklæringene må oppdateres ved endringer i behandlingspraksis.

GDPR opererer med to nivåer av overtredelsesgebyrer:

• Inntil 10 millioner euro, eller 2 % av global årsomsetning for brudd på krav til internkontroll, databehandleravtaler og meldeplikt ved databrudd
• Inntil 20 millioner euro, eller 4 % av global årsomsetning for de mest alvorlige bruddene, som behandling uten gyldig behandlingsgrunnlag, manglende informasjon (personvernerklæring), nektet innsyn og retting, ulovlig profilering,brudd på andre grunnprinsipper for personvern og ulovlige overføringer til tredjeland

Det høyeste av de to beløpene legges til grunn. I Norge har Datatilsynet blant annet ilagt Grindr et gebyr på 65 millioner kroner. Datatilsynet kan i tillegg gi pålegg om retting og forbud mot behandling.

I tillegg kan dere bli erstatningsansvarlige overfor de registrerte, for økonomiske og ikke-økonomiske tap. Hvis personvernbruddet omfatter mange personer, kan beløpene blir store. I verste fall kan virksomheten din utsettes for et gruppesøksmål.

Ansvaret for etterlevelse ligger hos virksomheten som juridisk person, men styret og øverste ledelse har et klart overordnet ansvar. Styret bør ha oversikt over virksomhetens vesentligste behandlingsaktiviteter og risikoer, godkjenne personvernstrategien, sikre tilstrekkelige ressurser til etterlevelse og bli holdt orientert om alvorlige avvik og tilsynssaker. Manglende ledelsesforankring er en skjerpende omstendighet i Datatilsynets gebyrfastsettelse, og kan aktualisere personlig erstatningsansvar for styremedlemmer ved uaktsomhet (etter aksjelovene – styreansvaret).

Alle fysiske personer hvis personopplysninger dere behandler har etter GDPR en rekke rettigheter:

• Rett til innsyn: de har rett til å vite hvilke opplysninger dere har om dem og hva de brukes til
• Rett til retting: unøyaktige eller ufullstendige opplysninger skal korrigeres
• Rett til sletting: i visse tilfeller har den registrerte rett til å kreve at opplysningene slettes
• Rett til begrensning: i noen situasjoner kan behandlingen midlertidig stanses eller gjøres mindre
• Rett til dataportabilitet: opplysninger gitt med samtykke eller for oppfyllelse av avtale skal kunne utleveres i et maskinlesbart format
• Rett til å protestere: den registrerte kan protestere mot behandling basert på berettiget interesse, og alltid mot direkte markedsføring

Ved en innsynsforespørsel plikter dere å svare innen én måned. Fristen kan forlenges med ytterligere to måneder ved komplekse forespørsler, men den registrerte må da varsles innen den første måneden. Svaret skal som regel gis gratis. Virksomheten bør ha klare rutiner for mottak og håndtering av slike forespørsler. Dette er et av de områdene Datatilsynet mottar flest klager på.