7.4 Personopplysningsloven og GDPR

Personvern i tryggleiksbransjen

Tryggleiksbransjen behandlar store mengder personopplysningar: kameraovervaking, tilgangskontrollsystem, besøksregistrering og hendingsrapportar. Alt dette er regulert av personopplysningslova og personvernforordninga til EU (GDPR). Brot på personvernreglane kan medføre store bøter og alvorleg omdømmeskade.

I dette kapittelet skal du lære:
- Kva personopplysningar er og kva behandling inneber
- Dei viktigaste prinsippa i GDPR
- Krav til samtykke og andre behandlingsgrunnlag
- Rettane til dei registrerte
- Personvern i praksis for vektarar

GDPR - dei grunnleggjande prinsippa

GDPR (General Data Protection Regulation) er personvernforordninga til EU som gjeld i Noreg gjennom EØS-avtalen. Ho byggjer på sju grunnprinsipp:

1. Lovlegheit, rettferd og openheit:
- Behandlinga må ha eit lovleg grunnlag
- Ho må vere rettferdig overfor den registrerte
- Det må vere openheit om kva som blir gjort med opplysningane

2. Formålsavgrensing:
- Personopplysningar skal samlast inn for spesifikke, uttrykkeleg oppgitte formål
- Dei skal ikkje brukast til andre formål enn det opphavlege

3. Dataminimering:
- Berre dei opplysningane som er nødvendige for formålet skal samlast inn
- Ikkje samle inn meir enn du treng

4. Rett innhald:
- Opplysningane skal vere korrekte og oppdaterte
- Urette opplysningar skal rettast eller slettast

5. Lagringsavgrensing:
- Opplysningar skal ikkje lagrast lenger enn nødvendig
- Det skal fastsetjast slettefristar

6. Integritet og konfidensialitet:
- Opplysningane skal vernast mot uautorisert tilgang
- Tilstrekkeleg tryggleik skal takast vare på

7. Ansvar:
- Den behandlingsansvarlege skal kunne dokumentere at reglane blir følgde

Behandlingsgrunnlag for tryggleiksbransjen

I tryggleiksbransjen er følgjande behandlingsgrunnlag mest relevante:

Rettkomen interesse (artikkel 6(1)(f)):
- Mest brukt for kameraovervaking i næringsbygg
- Formålet (tryggleik) må vege tyngre enn personvernet til dei som blir overvaka
- Det skal gjennomførast ei interesseavveging
- Døme: Kameraovervaking av ein bankfilial for å førebyggje ran

Samtykke (artikkel 6(1)(a)):
- Den registrerte gir frivillig, informert og uttrykkeleg samtykke
- Samtykket kan trekkjast tilbake når som helst
- Døme: Ein tilsett samtykkjer til bruk av fingeravtrykk i tilgangskontroll

Rettsleg forplikting (artikkel 6(1)(c)):
- Behandlinga er påkravd for å oppfylle ei lovpålagd plikt
- Døme: Oppbevaring av vaktjournalar som påkravd av vaktverksemdslova

Krav til samtykke:
- Det må vere frivillig - ingen negative konsekvensar ved å seie nei
- Det må vere informert - den registrerte veit kva dei samtykkjer til
- Det må vere utvetydig - klart og tydeleg uttrykt
- Det må vere spesifikt - for eit bestemt formål
- Det kan trekkjast tilbake når som helst

Rettane til dei registrerte

GDPR gir personar ei rekkje rettar over personopplysningane sine:

Rett til informasjon:
- Den registrerte skal vite kven som behandlar opplysningane og kvifor
- Det skal vere synleg informasjon om kameraovervaking (skilting)
- Personvernerklæring skal vere tilgjengeleg

Rett til innsyn:
- Kvar einaste person kan be om innsyn i kva opplysningar som er lagra om dei
- Førespurnaden skal svarast på innan 30 dagar
- Innsynet er som hovudregel gratis

Rett til retting og sletting:
- Urette opplysningar skal rettast
- Opplysningar som ikkje lenger er nødvendige skal slettast
- "Retten til å bli gløymd" gir rett til å krevje sletting

Rett til å protestere:
- Den registrerte kan protestere mot behandling basert på rettkomen interesse
- Protesten skal vurderast og svarast på

Rett til dataportabilitet:
- Den registrerte kan krevje å få opplysningane sine i eit maskinlesbart format
- Opplysningane kan overførast til ein annan behandlingsansvarleg

Personvern i kvardagen til vektaren

Som vektar behandlar du personopplysningar dagleg:

Kameraovervaking:
- Du har tilgang til sanntids kamerabilete og opptak
- Du skal berre sjå på kamera som er relevante for oppdraget
- Du skal ikkje kopiere, fotografere eller dele opptak
- Opptak skal slettast i samsvar med fastsette slettefristar

Tilgangskontroll:
- Du registrerer kven som går inn og ut
- Desse opplysningane er personopplysningar
- Dei skal berre brukast til tryggleiksformål

Hendingsrapportar:
- Rapportar inneheld ofte personopplysningar
- Skildre hendinga sakleg utan unødvendige personopplysningar
- Rapportar skal oppbevarast trygt

Praktiske råd:
- Aldri diskuter hendingar med utanforståande
- Lås skjermen når du forlèt vaktrommet
- Sørg for at besøkslogger blir oppbevart forsvarleg
- Sei frå til leiar dersom du oppdagar personvernbrot

Konsekvensar ved brot

Brot på personvernregelverket kan få alvorlege konsekvensar:

Bøter:
- GDPR opnar for bøter på opptil 20 millionar euro eller 4 prosent av global omsetnad
- Datatilsynet har ilagt norske verksemder bøter på fleire millionar kroner
- Døme: Ulovleg kameraovervaking, manglande sletting, utilstrekkeleg tryggleik

Omdømmeskade:
- Personvernbrot genererer negativ merksemd i media
- Tap av kundetillit kan vere langvarig
- Offentlege verksemder risikerer politisk press

Erstatningsansvar:
- Den registrerte kan krevje erstatning for skade
- Både materielle og immaterielle skadar kan erstattast

Straff:
- Grove eller forsettlege brot kan medføre straffeansvar
- Strafferamma er bøter eller fengsel

Oppsummering

I dette kapittelet har du lært:

- Personopplysningar er kvar opplysning som kan knytast til ein identifiserbar person
- GDPR byggjer på sju grunnprinsipp for behandling av personopplysningar
- Behandlingsgrunnlag er påkravd for all behandling - samtykke og rettkomen interesse er vanlegast i tryggleiksbransjen
- Dei registrerte har rett til informasjon, innsyn, retting, sletting og å protestere
- Vektarar behandlar dagleg personopplysningar og har ansvar for å ta vare på personvernet

Nøkkelomgrep