2.3 Personvern og GDPR
Personopplysningsvern, GDPR og individets rettigheter i den digitale tidsalder.
Personvern handlar om retten til å ha kontroll over informasjon om seg sjølv. I den digitale tidsalderen har personvernlovgivinga fått stadig meir å seie.
Personvernforordninga (GDPR) tok til å gjelde i EU/EØS 25. mai 2018 og er gjennomført i norsk rett gjennom personopplysningslova av 2018.
GDPR gjeld for all behandling av personopplysningar i EU/EØS, òg for verksemder utanfor EU som tilbyr tenester til personar i EU, og for både offentleg og privat sektor.
Eikvar opplysning som kan knytast til ein identifiserbar person. Døme: namn, fødselsnummer, e-postadresse, IP-adresse.
Behandling:
Eikvar operasjon som blir gjord med personopplysningar - innsamling, registrering, lagring, bruk, utlevering eller sletting.
Behandlingsansvarleg:
Den som bestemmer føremålet med og midla for behandlinga.
Databehandlar:
Den som behandlar personopplysningar på vegner av den behandlingsansvarlege.
Sensitive personopplysningar:
Opplysningar om helse, etnisitet, religion, politisk oppfatning, seksuell orientering m.m.
GDPR artikkel 5 slår fast sju grunnleggjande prinsipp:
1. Lovlegheit, rettferd og openheit:
Behandlinga må ha rettsleg grunnlag og vere transparent.
2. Føremålsavgrensing:
Opplysningane skal samlast inn for spesifikke, oppgitte føremål.
3. Dataminimering:
Berre nødvendige opplysningar skal samlast inn.
4. Rett:
Opplysningane skal vere korrekte og oppdaterte.
5. Lagringsavgrensing:
Ikkje lagre lenger enn nødvendig.
6. Integritet og konfidensialitet:
Opplysningane skal sikrast mot uautorisert tilgang.
7. Ansvarlegheitsprinsippet:
Den behandlingsansvarlege skal kunne dokumentere at reglane blir følgde.
For å behandle personopplysningar må det liggje føre eit rettsleg grunnlag (GDPR artikkel 6):
1. Samtykke - Den registrerte har samtykt
2. Avtale - Nødvendig for å oppfylle ein avtale
3. Rettsleg plikt - Pålagt ved lov
4. Vitale interesser - Nødvendig for å verne liv eller helse
5. Offentleg myndigheitsutøving - Utøving av offentleg myndigheit
6. Rettkomen interesse - Vareta ei rettkomen interesse
For sensitive personopplysningar gjeld endå strengare reglar.
Ein nettbutikk vil bruke kundedata til marknadsføring. Dei legg inn ein førehandskryssa boks i bestillingsskjemaet med teksten "Eg ønskjer å motta nyhendebrev". Er dette gyldig samtykke?
GDPR krev at samtykke skal vere frivillig, spesifikt, informert og utvetydig gjennom ei aktiv handling.
Er ein førehandskryssa boks gyldig?
Nei. Ein førehandskryssa boks utgjer ikkje ei aktiv handling - den registrerte har ikkje gjort noko aktivt for å samtykkje.
Korrekt løysing:
- Bruk ein tom avkryssingsboks som kunden aktivt må krysse av
- Gi tydeleg informasjon om kva samtykket inneber
- Gjer det enkelt å trekkje samtykket tilbake
Konsekvensar av ugyldig samtykke:
Behandlinga manglar rettsleg grunnlag. Datatilsynet kan gi pålegg og gebyr opp til 4 % av global omsetnad.
GDPR gir den registrerte omfattande rettar:
Rett til informasjon: Krav på informasjon om kven som behandlar opplysningane og føremålet.
Rett til innsyn: Rett til å få vite om opplysningar blir behandla og få tilgang til dei.
Rett til retting: Rett til å få urette opplysningar retta.
Rett til sletting ("retten til å bli gløymd"): Rett til å få opplysningar sletta under visse omstende.
Rett til avgrensing: Rett til å få avgrensa behandlinga i visse situasjonar.
Rett til dataportabilitet: Rett til å få utlevert opplysningane i eit strukturert format.
Rett til å protestere: Rett til å protestere mot behandling basert på rettkomen interesse.
Visse verksemder må ha personvernombod: offentlege styresmakter og verksemder som behandlar sensitive opplysningar i stor skala. Ombodet skal informere, gi råd og kontrollere at reglane blir følgde.
Datatilsynet:
Den uavhengige tilsynsstyresmakta til Noreg for personvern som rettleier om regelverket, fører tilsyn, behandlar klagar og kan gi pålegg og overtredingsgebyr.
Kva for ein av desse er IKKJE ei personopplysning etter GDPR?
Gjer greie for dei seks rettslege grunnlaga for behandling av personopplysningar etter GDPR artikkel 6.
Ein skule ønskjer å installere kameraovervaking i klasserom for å hindre mobbing. Drøft dei personvernrettslege utfordringane.
Forklar kva "retten til å bli gløymd" inneber og under kva vilkår han kan gjerast gjeldande.
Kva er det maksimale overtredingsgebyret etter GDPR for dei mest alvorlege brota?
Drøft utfordringane med å balansere personvernomsyn mot andre viktige samfunnsomsyn som ytringsfridom, tryggleik og innovasjon.
GDPR pålegg verksemder å tenkje personvern allereie når system og rutinar blir utforma.
Innebygd personvern (privacy by design) – GDPR artikkel 25:
Den behandlingsansvarlege skal arbeide personvern inn i sjølve utforminga av tenester og system, ikkje som eit tillegg i etterkant. Døme er pseudonymisering, kryptering og minimering av datainnsamling.
Personvern som standardinnstilling (privacy by default):
Standardinnstillingane skal vere mest mogleg personvernvenlege. Til dømes skal ein app ikkje samle inn meir data enn nødvendig med mindre brukaren aktivt vel det.
Personvernkonsekvensvurdering (DPIA) – artikkel 35:
Når ei behandling truleg medfører høg risiko for rettane til dei registrerte, må det gjennomførast ei vurdering av personvernkonsekvensane før behandlinga startar. Dette gjeld typisk ved:
- Systematisk og omfattande profilering
- Storskala behandling av sensitive opplysningar
- Systematisk overvaking av offentleg tilgjengelege område
Dersom vurderinga viser høg risiko som ikkje kan reduserast, må Datatilsynet rådførast på førehand.
GDPR set strenge krav til overføring av personopplysningar til land utanfor EU/EØS (tredjeland). Føremålet er at vernet ikkje skal svekkjast når data blir flytta ut av EØS-området.
Lovlege overføringsgrunnlag (kapittel V):
- Tilstrekkelegheitsavgjerd: EU-kommisjonen har slått fast at landet har eit tilfredsstillande vernenivå
- Standard personvernføresegner (SCC): Standardiserte avtaleklausular godkjende av Kommisjonen
- Bindande verksemdsreglar (BCR) for konsern
Schrems-dommane:
EU-domstolen har i to viktige dommar (Schrems I i 2015 og Schrems II i 2020) underkjent avtalar om dataoverføring til USA fordi amerikansk overvakingslovgiving ikkje gav europeiske borgarar tilstrekkeleg vern. Dommane innebar at verksemder må vurdere konkret om mottakarlandet faktisk gir eit likeverdig vern, og eventuelt setje i verk tilleggstiltak som kryptering.
Sakene viser kor sterkt EU/EØS vektlegg personvern, og korleis globale datastraumar møter europeiske grunnrettar. For norske verksemder som brukar skytenester med serverar i utlandet, er dette ei høgst praktisk problemstilling.
Ein norsk kommune vil ta i bruk ei amerikansk skyteneste for å lagre opplysningar om elevar, medrekna helseopplysningar om enkelte elevar. Kva personvernrettslege vurderingar må gjerast?
1. Sensitive opplysningar:
Helseopplysningar er ein særleg kategori personopplysningar (art. 9). Det krevst eit særskilt behandlingsgrunnlag i tillegg til art. 6, og høg grad av tryggleik.
2. Overføring til tredjeland:
Lagring hos ein amerikansk leverandør kan innebere overføring til USA. Etter Schrems II må kommunen vurdere om det ligg føre eit gyldig overføringsgrunnlag (t.d. SCC) og om amerikansk rett gir tilstrekkeleg vern.
3. Tilleggstiltak:
Kommunen bør vurdere kryptering der nøkkelen blir kontrollert i EØS, slik at leverandøren ikkje får tilgang til klartekst.
4. DPIA:
Storskala behandling av sensitive opplysningar om barn utløyser plikt til personvernkonsekvensvurdering (art. 35).
Konklusjon:
Kommunen kan ikkje utan vidare ta i bruk tenesta. Det må gjennomførast ein DPIA, sikrast gyldig overføringsgrunnlag og setjast i verk tilleggstiltak. Det særlege vernet til barn og kor sensitive helseopplysningane er skjerpar krava endå meir.
Når må det gjennomførast ei personvernkonsekvensvurdering (DPIA) etter GDPR artikkel 35?
Forklar kva Schrems II-dommen innebar for overføring av personopplysningar til USA, og drøft kva utfordringar dette skaper for verksemder som brukar skytenester.
Oppsummering
I dette kapittelet har du lært:
- Personvern og GDPR: Retten til kontroll over eigne opplysningar; GDPR gjeld i Noreg frå 2018.
- Sentrale omgrep: Personopplysning og behandling.
- Prinsippa og det rettslege grunnlaget i GDPR: Sju prinsipp (art. 5) og krav om rettsleg grunnlag (art. 6), t.d. samtykke eller avtale.
- Rettane til den registrerte og tilsyn: Innsyn, retting og sletting; Datatilsynet fører tilsyn og verksemder kan trenge personvernombod.
Nøkkelomgrep
| Omgrep | Forklaring |
|---|---|
| Personopplysning | Opplysning knytt til ein identifiserbar person |
| Behandling | Eikvar operasjon med personopplysningar |
| Rettsleg grunnlag | Lovleg heimel for behandling (art. 6) |
| Datatilsynet | Tilsynsstyresmakta til Noreg for personvern |
Dette kapitlet er skrevet av Anthropics toppmodeller (Claude Opus og Claude Fable) og er foreløpig ikke manuelt gjennomgått — kvalitetskontrollen gjøres av uavhengige KI-agenter, og innmeldte feil rettes fortløpende. Funnet en feil? Meld fra, så retter vi den. Les mer om hvordan innholdet lages.