7.4 Personvern og GDPR

Hvor mange apper ser deg akkurat nå?

Hvor mange apper har tilgang til posisjonen din i dette øyeblikket? Hvilke selskaper lagrer søkehistorikken, handlemønsteret og helsedata fra smartklokka di? I den digitale hverdagen legger vi igjen enorme mengder data om oss selv, ofte uten å tenke over det.

Personvern handler om retten til å ha kontroll over egne personopplysninger – hvem som samler dem inn, hva de brukes til, og hvordan de beskyttes. I Norge og EU er denne retten lovfestet gjennom GDPR (General Data Protection Regulation) og den norske personopplysningsloven. Men hva er egentlig en personopplysning? Det er enhver opplysning som direkte eller indirekte kan knyttes til en identifiserbar person. Direkte identifiserende er navn, personnummer og fingeravtrykk. Indirekte identifiserende er IP-adresse, e-postadresse, lokasjonsdata og cookie-ID. Og særlige kategorier – sensitive opplysninger som helse, etnisitet, politisk tilhørighet, religion og seksuell orientering – har ekstra streng beskyttelse og krever som regel eksplisitt samtykke.

GDPR har vært gjeldende siden 25. mai 2018, og i Norge gjelder den gjennom personopplysningsloven. Før GDPR var reglene fragmenterte med ulike lover i hvert land; den digitale utviklingen med sosiale medier og stordata gjorde et felles, sterkt regelverk nødvendig. GDPR gjelder bredt: alle virksomheter i EU/EØS, men også selskaper utenfor som tilbyr tjenester til personer i EU/EØS. Derfor må selv Google og Facebook følge GDPR for europeiske brukere.

Prinsippene og dine rettigheter

GDPR bygger på syv grunnprinsipper for behandling av personopplysninger. Behandlingen må være lovlig, rettferdig og åpen. Den må følge formålsbegrensning (data samles bare inn til spesifikke formål) og dataminimering (bare nødvendige opplysninger samles inn, ikke mer enn det som trengs). Opplysningene skal være riktige og oppdaterte, og lagringsbegrensning betyr at de ikke lagres lenger enn nødvendig. Til slutt kommer integritet og konfidensialitet (data skal sikres) og ansvarlighet (den behandlingsansvarlige må kunne dokumentere at reglene følges).

Disse prinsippene gir deg som enkeltperson sterke rettigheter. Du har rett til informasjon om at dataene dine behandles, formidlet i en personvernerklæring. Du har rett til innsyn – du kan be om en kopi av alt en virksomhet har om deg, gratis, innen 30 dager. Du har rett til retting av feil, og rett til sletting (retten til å bli glemt) når dataene ikke lenger trengs eller du trekker samtykket. Men slettingsretten er ikke absolutt: hvis kunden ber en nettbutikk slette alt, må du slette det som ikke trengs, men beholde det regnskapsloven krever at du lagrer en viss tid. Videre har du rett til dataportabilitet (få dataene i et maskinlesbart format som JSON eller CSV for å flytte dem til en annen tjeneste), rett til å protestere mot for eksempel direkte markedsføring, og rett til å begrense behandlingen.

Grunnlag, avtaler og en streng vaktbikkje

For å lovlig behandle personopplysninger trenger en virksomhet et rettslig grunnlag. Det vanligste er samtykke, men under GDPR må samtykke være frivillig, spesifikt, informert og utvetydig – det krever en aktiv handling, så en forhåndsavkrysset boks holder ikke. Samtykket må også være dokumenterbart og like lett å trekke tilbake som å gi. Andre grunnlag er avtale (nettbutikken trenger leveringsadressen din), rettslig forpliktelse (arbeidsgiver rapporterer lønn til Skatteetaten), berettiget interesse (nyhetsbrev til eksisterende kunder, der du kan protestere), vitale interesser (sykehuset behandler pasientdata i en nødsituasjon) og offentlig myndighetsutøvelse.

Når en virksomhet bruker en ekstern leverandør til å behandle persondata, må det inngås en databehandleravtale. En databehandler behandler data på vegne av den behandlingsansvarlige – som når en skole bruker Microsoft 365, eller en kommune bruker en skytjeneste. Avtalen regulerer formål, varighet, hvilke data og kategorier av registrerte som behandles, sikkerhetstiltak, eventuelle underleverandører, og hva som skjer med dataene når avtalen opphører. Overføring av data til land utenfor EU/EØS, som USA, krever et eget gyldig overføringsgrunnlag.

Den som passer på at alt dette følges, er Datatilsynet – det norske tilsynsorganet som fører tilsyn, veileder, behandler klager og kan ilegge bøter. Og bøtene er reelle: opptil 20 millioner euro eller 4 % av global årsomsetning, det høyeste av de to. Eksempler er Amazon (746 millioner euro i 2021) og det norske Grindr (65 millioner kroner i 2021 for ulovlig deling av brukerdata).

Oppsummering

I en hverdag der vi konstant legger igjen data, gir personvern oss kontroll. En personopplysning er alt som kan knyttes til en person, og sensitive «særlige kategorier» har ekstra vern. GDPR bygger på syv prinsipper – blant dem formålsbegrensning, dataminimering og lagringsbegrensning – og gir deg sterke rettigheter til informasjon, innsyn, retting, sletting og dataportabilitet.

For å behandle data lovlig trengs et rettslig grunnlag som samtykke (frivillig, spesifikt, informert, utvetydig) eller avtale, og bruk av eksterne leverandører krever en databehandleravtale. Datatilsynet håndhever reglene og kan gi bøter på opptil 20 millioner euro eller 4 % av omsetningen. For en IT-utvikler betyr alt dette én ting: personvern må tenkes inn fra starten av enhver digital løsning.