2.3 Personvern og GDPR
Personopplysningsvern, GDPR og individets rettigheter i den digitale tidsalder.
Personvern handler om retten til å ha kontroll over informasjon om seg selv. I den digitale tidsalder har personvernlovgivningen fått stadig større betydning.
Personvernforordningen (GDPR) trådte i kraft i EU/EØS 25. mai 2018 og er gjennomført i norsk rett gjennom personopplysningsloven av 2018.
GDPR gjelder for all behandling av personopplysninger i EU/EØS, også for virksomheter utenfor EU som tilbyr tjenester til personer i EU, og for både offentlig og privat sektor.
Enhver opplysning som kan knyttes til en identifiserbar person. Eksempler: navn, fødselsnummer, e-postadresse, IP-adresse.
Behandling:
Enhver operasjon som gjøres med personopplysninger - innsamling, registrering, lagring, bruk, utlevering eller sletting.
Behandlingsansvarlig:
Den som bestemmer formålet med og midlene for behandlingen.
Databehandler:
Den som behandler personopplysninger på vegne av den behandlingsansvarlige.
Sensitive personopplysninger:
Opplysninger om helse, etnisitet, religion, politisk oppfatning, seksuell orientering mv.
GDPR artikkel 5 fastslår syv grunnleggende prinsipper:
1. Lovlighet, rettferdighet og åpenhet:
Behandlingen må ha rettslig grunnlag og være transparent.
2. Formålsbegrensning:
Opplysningene skal samles inn for spesifikke, angitte formål.
3. Dataminimering:
Kun nødvendige opplysninger skal samles inn.
4. Riktighet:
Opplysningene skal være korrekte og oppdaterte.
5. Lagringsbegrensning:
Ikke lagre lenger enn nødvendig.
6. Integritet og konfidensialitet:
Opplysningene skal sikres mot uautorisert tilgang.
7. Ansvarlighetsprinsippet:
Den behandlingsansvarlige skal kunne dokumentere etterlevelse.
For å behandle personopplysninger må det foreligge et rettslig grunnlag (GDPR artikkel 6):
1. Samtykke - Den registrerte har samtykket
2. Avtale - Nødvendig for å oppfylle en avtale
3. Rettslig forpliktelse - Pålagt ved lov
4. Vitale interesser - Nødvendig for å verne liv eller helse
5. Offentlig myndighetsutøvelse - Utøvelse av offentlig myndighet
6. Berettiget interesse - Ivareta en berettiget interesse
For sensitive personopplysninger gjelder enda strengere regler.
En nettbutikk vil bruke kundedata til markedsføring. De legger inn en forhåndskrysset boks i bestillingsskjemaet med teksten "Jeg ønsker å motta nyhetsbrev". Er dette gyldig samtykke?
GDPR krever at samtykke skal være frivillig, spesifikt, informert og utvetydig gjennom en aktiv handling.
Er forhåndskrysset boks gyldig?
Nei. En forhåndskrysset boks utgjør ikke en aktiv handling - den registrerte har ikke gjort noe aktivt for å samtykke.
Korrekt løsning:
- Bruk en tom avkrysningsboks som kunden aktivt må krysse av
- Gi tydelig informasjon om hva samtykket innebærer
- Gjør det enkelt å trekke samtykket tilbake
Konsekvenser av ugyldig samtykke:
Behandlingen mangler rettslig grunnlag. Datatilsynet kan gi pålegg og gebyr opptil 4% av global omsetning.
GDPR gir den registrerte omfattende rettigheter:
Rett til informasjon: Krav på informasjon om hvem som behandler opplysningene og formålet.
Rett til innsyn: Rett til å få vite om opplysninger behandles og få tilgang til dem.
Rett til retting: Rett til å få uriktige opplysninger rettet.
Rett til sletting ("retten til å bli glemt"): Rett til å få opplysninger slettet under visse omstendigheter.
Rett til begrensning: Rett til å få begrenset behandlingen i visse situasjoner.
Rett til dataportabilitet: Rett til å få utlevert opplysningene i et strukturert format.
Rett til å protestere: Rett til å protestere mot behandling basert på berettiget interesse.
Visse virksomheter må ha personvernombud: offentlige myndigheter og virksomheter som behandler sensitive opplysninger i stor skala. Ombudet skal informere, gi råd og kontrollere etterlevelse.
Datatilsynet:
Norges uavhengige tilsynsmyndighet for personvern som veileder om regelverket, fører tilsyn, behandler klager og kan gi pålegg og overtredelsesgebyr.
Hvilken av følgende er IKKE en personopplysning etter GDPR?
Gjør rede for de seks rettslige grunnlagene for behandling av personopplysninger etter GDPR artikkel 6.
En skole ønsker å installere kameraovervåking i klasserom for å forhindre mobbing. Drøft de personvernrettslige utfordringene.
Forklar hva "retten til å bli glemt" innebærer og under hvilke vilkår den kan gjøres gjeldende.
Hva er maksimalt overtredelsesgebyr etter GDPR for de mest alvorlige bruddene?
Drøft utfordringene med å balansere personvernhensyn mot andre viktige samfunnshensyn som ytringsfrihet, sikkerhet og innovasjon.
GDPR pålegger virksomheter å tenke personvern allerede når systemer og rutiner utformes.
Innebygd personvern (privacy by design) – GDPR artikkel 25:
Den behandlingsansvarlige skal innarbeide personvern i selve utformingen av tjenester og systemer, ikke som et tillegg i ettertid. Eksempler er pseudonymisering, kryptering og minimering av datainnsamling.
Personvern som standardinnstilling (privacy by default):
Standardinnstillingene skal være mest mulig personvernvennlige. For eksempel skal en app ikke samle inn mer data enn nødvendig med mindre brukeren aktivt velger det.
Personvernkonsekvensvurdering (DPIA) – artikkel 35:
Når en behandling sannsynligvis medfører høy risiko for de registrertes rettigheter, må det gjennomføres en vurdering av personvernkonsekvensene før behandlingen starter. Dette gjelder typisk ved:
- Systematisk og omfattende profilering
- Storskala behandling av sensitive opplysninger
- Systematisk overvåking av offentlig tilgjengelige områder
Dersom vurderingen viser høy risiko som ikke kan reduseres, må Datatilsynet rådføres på forhånd.
GDPR setter strenge krav til overføring av personopplysninger til land utenfor EU/EØS (tredjeland). Formålet er at vernet ikke skal svekkes når data flyttes ut av EØS-området.
Lovlige overføringsgrunnlag (kapittel V):
- Tilstrekkelighetsbeslutning: EU-kommisjonen har fastslått at landet har et tilfredsstillende beskyttelsesnivå
- Standard personvernbestemmelser (SCC): Standardiserte avtaleklausuler godkjent av Kommisjonen
- Bindende virksomhetsregler (BCR) for konsern
Schrems-dommene:
EU-domstolen har i to viktige dommer (Schrems I i 2015 og Schrems II i 2020) underkjent avtaler om dataoverføring til USA fordi amerikansk overvåkingslovgivning ikke ga europeiske borgere tilstrekkelig vern. Dommene innebar at virksomheter må vurdere konkret om mottakerlandet faktisk gir et likeverdig vern, og eventuelt iverksette tilleggstiltak som kryptering.
Sakene viser hvor sterkt EU/EØS vektlegger personvern, og hvordan globale datastrømmer møter europeiske grunnrettigheter. For norske virksomheter som bruker skytjenester med servere i utlandet, er dette en høyst praktisk problemstilling.
En norsk kommune vil ta i bruk en amerikansk skytjeneste for å lagre opplysninger om elever, inkludert helseopplysninger om enkelte elever. Hvilke personvernrettslige vurderinger må gjøres?
1. Sensitive opplysninger:
Helseopplysninger er en særlig kategori personopplysninger (art. 9). Det kreves et særskilt behandlingsgrunnlag i tillegg til art. 6, og høy grad av sikkerhet.
2. Overføring til tredjeland:
Lagring hos en amerikansk leverandør kan innebære overføring til USA. Etter Schrems II må kommunen vurdere om det foreligger et gyldig overføringsgrunnlag (f.eks. SCC) og om amerikansk rett gir tilstrekkelig vern.
3. Tilleggstiltak:
Kommunen bør vurdere kryptering der nøkkelen kontrolleres i EØS, slik at leverandøren ikke får tilgang til klartekst.
4. DPIA:
Storskala behandling av sensitive opplysninger om barn utløser plikt til personvernkonsekvensvurdering (art. 35).
Konklusjon:
Kommunen kan ikke uten videre ta i bruk tjenesten. Det må gjennomføres en DPIA, sikres gyldig overføringsgrunnlag og iverksettes tilleggstiltak. Barns særlige vern og helseopplysningenes sensitivitet skjerper kravene ytterligere.
Når må det gjennomføres en personvernkonsekvensvurdering (DPIA) etter GDPR artikkel 35?
Forklar hva Schrems II-dommen innebar for overføring av personopplysninger til USA, og drøft hvilke utfordringer dette skaper for virksomheter som bruker skytjenester.
Oppsummering
I dette kapittelet har du lært:
- Personvern og GDPR: Retten til kontroll over egne opplysninger; GDPR gjelder i Norge fra 2018.
- Sentrale begreper: Personopplysning og behandling.
- GDPRs prinsipper og rettslig grunnlag: Sju prinsipper (art. 5) og krav om rettslig grunnlag (art. 6), f.eks. samtykke eller avtale.
- Den registrertes rettigheter og tilsyn: Innsyn, retting og sletting; Datatilsynet fører tilsyn og virksomheter kan trenge personvernombud.
Nøkkelbegreper
| Begrep | Forklaring |
|---|---|
| Personopplysning | Opplysning knyttet til en identifiserbar person |
| Behandling | Enhver operasjon med personopplysninger |
| Rettslig grunnlag | Lovlig hjemmel for behandling (art. 6) |
| Datatilsynet | Norges tilsynsmyndighet for personvern |
Dette kapitlet er skrevet av Anthropics toppmodeller (Claude Opus og Claude Fable) og er foreløpig ikke manuelt gjennomgått — kvalitetskontrollen gjøres av uavhengige KI-agenter, og innmeldte feil rettes fortløpende. Funnet en feil? Meld fra, så retter vi den. Les mer om hvordan innholdet lages.