7.4 Personvern og GDPR

Personvern og GDPR

Kor mange appar har tilgang til posisjonen din akkurat no? Kven ser at du er online? Kva selskap lagrar søkjehistorikken din, handlemønsteret ditt og helsedata frå smartklokka? I den digitale kvardagen legg vi igjen enorme mengder data om oss sjølve, ofte utan å tenkje over det.

Personvern handlar om retten til å ha kontroll over eigne personopplysningar – kven som samlar dei inn, kva dei blir brukte til, og korleis dei blir verna. I Noreg og EU er denne retten lovfesta gjennom GDPR (General Data Protection Regulation) og den norske personopplysningslova. Desse lovene gir deg sterke rettar og pålegg verksemder strenge krav til behandling av persondata. Som IT-elev er det viktig å forstå dette regelverket, fordi all utvikling av digitale løysingar må ta omsyn til personvern.

Bakgrunn

Før GDPR var personvernreglane i Europa fragmenterte – kvart land hadde sine eigne lover. Den digitale utviklinga med sosiale medium, skylagring, stordata og kunstig intelligens gjorde det nødvendig med eit felles, sterkt regelverk. GDPR erstatta det gamle EU-direktivet frå 1995 og gav innbyggjarane langt sterkare rettar.

Verkeområde

GDPR gjeld for:
- Alle verksemder i EU/EØS som behandlar personopplysningar
- Verksemder utanfor EU/EØS som tilbyr varer eller tenester til personar i EU/EØS
- Verksemder som overvakar åtferda til personar i EU/EØS

Det tyder at sjølv eit amerikansk selskap som Google eller Facebook må følgje GDPR når dei behandlar data om norske og europeiske brukarar.

Grunnleggjande prinsipp

GDPR byggjer på sju grunnleggjande prinsipp for behandling av personopplysningar:

1. Lovlegheit, rettferd og openheit: Behandlinga må ha eit rettsleg grunnlag og vere transparent for den registrerte
2. Formålsavgrensing: Data skal berre samlast inn for spesifikke, uttrykkeleg oppgitte formål
3. Dataminimering: Berre nødvendige opplysningar skal samlast inn – ikkje meir enn det som trengst
4. Rettleik: Opplysningane skal vere korrekte og oppdaterte
5. Lagringsavgrensing: Data skal ikkje lagrast lenger enn nødvendig for formålet
6. Integritet og konfidensialitet: Data skal vernast med passande tryggleikstiltak
7. Ansvarlegheit: Den behandlingsansvarlege skal kunne dokumentere at reglane blir følgde

GDPR gir deg som enkeltperson ei rekkje sterke rettar over dine eigne personopplysningar:

Rett til informasjon

Du har rett til å vite at personopplysningane dine blir behandla, kven som behandlar dei, kva dei blir brukte til, og kor lenge dei blir lagra. Verksemder må ha ei personvernerklæring som forklarar dette i eit klart og forståeleg språk.

Rett til innsyn

Du har rett til å be om ein kopi av alle personopplysningar ei verksemd har om deg. Verksemda må svare innan 30 dagar og utlevere dataa gratis. Du kan til dømes be Google om ein kopi av alle data dei har samla om deg.

Rett til retting

Viss personopplysningane som er lagra om deg er feil eller ufullstendige, har du rett til å krevje at dei blir retta.

Rett til sletting (retten til å bli gløymd)

Du kan krevje at personopplysningane dine blir sletta dersom:
- Dei ikkje lenger er nødvendige for formålet dei vart samla inn for
- Du trekkjer tilbake samtykket
- Opplysningane har blitt behandla ulovleg
- Det finst ingen tungtvegande grunn til å behalde dei

Verksemda er ikkje alltid plikta til å slette – til dømes kan rekneskapslova krevje at transaksjonsdata blir lagra i ei viss tid.

Rett til dataportabilitet

Du har rett til å få utlevert personopplysningane dine i eit maskinlesbart format (t.d. JSON eller CSV) slik at du kan overføre dei til ei anna teneste. Til dømes kan du eksportere dataa dine frå éin plattform for sosiale medium og importere dei til ei anna.

Rett til å protestere

Du kan protestere mot behandling av personopplysningane dine, til dømes mot profilering og direkte marknadsføring. Viss du protesterer mot direkte marknadsføring, pliktar verksemda å stoppe umiddelbart.

Rett til å avgrense behandling

I visse situasjonar kan du krevje at behandlinga av dataa dine blir avgrensa, til dømes medan ein klage blir behandla.

For å lovleg behandle personopplysningar treng verksemda eit rettsleg grunnlag. Dei vanlegaste grunnlaga i GDPR er:

1. Samtykke

Den registrerte har gitt sitt uttrykkelege samtykke. Samtykke under GDPR må vere:

- Frivillig: Ingen negative konsekvensar av å seie nei
- Spesifikt: Samtykke til eitt bestemt formål, ikkje ei generell blankofullmakt
- Informert: Personen må vite kva dei samtykkjer til
- Utvetydig: Krev ei aktiv handling (t.d. avkryssing av boks)
- Dokumenterbart: Verksemda må kunne bevise at samtykke vart gitt
- Tilbakekallbart: Like enkelt å trekkje tilbake som å gi

2. Avtale

Behandlinga er nødvendig for å oppfylle ein avtale med den registrerte. Døme: ein nettbutikk treng leveringsadressa di for å sende varene.

3. Rettsleg plikt

Behandlinga er nødvendig for å oppfylle ei lovpålagd plikt. Døme: arbeidsgivaren rapporterer lønsdata til Skatteetaten.

4. Rettkomen interesse

Verksemda har ei rettkomen interesse som veg tyngre enn personvernet til den registrerte. Døme: ein nettbutikk sender ut nyheitsbrev til eksisterande kundar om liknande produkt. Den registrerte har rett til å protestere.

5. Vitale interesser

Behandlinga er nødvendig for å verne livet eller helsa til nokon. Døme: eit sjukehus behandlar pasientdata i ein nødsituasjon.

6. Offentleg myndigheitsutøving

Behandlinga er nødvendig for å utføre ei oppgåve i interessa til allmenta. Døme: Folkehelseinstituttet brukar helsedata for smittesporing.

Når ei verksemd brukar ein ekstern leverandør til å behandle personopplysningar, må det inngåast ein databehandlaravtale. Denne avtalen regulerer forholdet mellom den behandlingsansvarlege og databehandlaren.

Kva er ein databehandlar?

Ein databehandlar er ei verksemd som behandlar personopplysningar på vegner av den behandlingsansvarlege. Døme:

- Ein skule (behandlingsansvarleg) brukar Microsoft 365 (databehandlar) for e-post og dokument
- Ein nettbutikk (behandlingsansvarleg) brukar ein betalingsleverandør (databehandlar) for å handtere transaksjonar
- Ein kommune (behandlingsansvarleg) brukar ei skyteneste (databehandlar) for å lagre innbyggjardata

Kva skal ein databehandlaravtale innehalde?

- Formål: Kva databehandlaren skal gjere med opplysningane
- Varigheit: Kor lenge behandlinga varer
- Type opplysningar: Kva personopplysningar som blir behandla
- Kategoriar av registrerte: Kven opplysningane gjeld (tilsette, kundar, elevar)
- Tryggleikstiltak: Kva tekniske og organisatoriske tiltak som skal verne dataa
- Underdatabehandlarar: Om databehandlaren brukar underleverandørar, og vilkåra for det
- Sletting: Kva som skjer med dataa når avtalen opphøyrer
- Revisjon: Retten til den behandlingsansvarlege til å kontrollere at avtalen blir halden

Overføring til land utanfor EU/EØS

GDPR avgrensar overføring av personopplysningar til land utanfor EU/EØS som ikkje har eit tilstrekkeleg vernenivå. For å overføre data til til dømes USA, må det finnast eit gyldig overføringsgrunnlag som standardkontraktsklausular (SCC) eller det nye EU-US Data Privacy Framework. Dette er eit komplekst juridisk område som stadig er i utvikling.

- Fører tilsyn med verksemder og pålegg retting ved brot
- Kan ileggje overtredingsgebyr (bøter) ved brot på regelverket
- Rettleier verksemder og privatpersonar om personvern
- Behandlar klagar frå registrerte som meiner rettane deira er brotne
- Deltek i samarbeid med andre europeiske datatilsynsmyndigheiter

Konsekvensar av brot

Brot på GDPR kan gi alvorlege konsekvensar:

- Overtredingsgebyr: Opptil 20 millionar euro eller 4 % av global årsomsetning (den høgaste av dei to)
- Pålegg om endring: Datatilsynet kan påleggje verksemda å endre praksis
- Forbod mot behandling: I alvorlege tilfelle kan behandlinga forbydast heilt
- Omdømmeskade: Offentlegheit rundt personvernbrot kan skade omdømmet til verksemda
- Erstatningskrav: Registrerte kan krevje erstatning for skade som følgje av brot

Nokre døme på store GDPR-bøter i Europa:
- Amazon: 746 millionar euro (Luxembourg, 2021)
- WhatsApp: 225 millionar euro (Irland, 2021)
- Google: 150 millionar euro (Frankrike, 2022)
- Grindr: 65 millionar kroner (Noreg, 2021) – for ulovleg deling av brukardata med reklameselskap

Oppsummering

I dette kapittelet har du lært:

- Personopplysning: info som kan knytast til ein person.
- GDPR: personvernforordninga til EU.
- Rettar: innsyn, retting, sletting og dataportabilitet.
- Behandlingsgrunnlag: samtykke, avtale, rettsleg plikt m.fl.
- Databehandlaravtale: regulerer behandling av personopplysningar.

Nøkkelomgrep