Personopplysningsloven, GDPR og Datatilsynet.
Når sikkerhet møter personvern
Hver gang et kamera filmer noen, et adgangssystem logger en bevegelse, eller et besøksregister lagrer et navn, behandles personopplysninger. Og personopplysninger er strengt regulert. Som sikkerhetsmedarbeider kan du ikke bare gjøre det du synes er lurt -- du må gjøre det innenfor lovens rammer.
En personopplysning er enhver opplysning som kan knyttes til en identifiserbar person: navn, fødselsnummer, bilder, video, fingeravtrykk, IP-adresser, adgangskortdata. I dette kapittelet skal vi se på regelverket som styrer alt dette -- personopplysningsloven og GDPR, reglene for kameraovervåking, Datatilsynets rolle, og dine egne plikter som sikkerhetsmedarbeider. Her ligger noen av de vanligste fellene i hele faget, så følg godt med.
GDPR -- seks prinsipper og et behandlingsgrunnlag
Personopplysningsloven er den norske loven som regulerer behandling av persondata, og den gjennomfører EUs personvernforordning GDPR i norsk rett. GDPR gir enkeltpersoner sterke rettigheter, stiller strenge krav til virksomheter, og brudd kan gi svært høye bøter.
GDPR bygger på seks grunnleggende prinsipper. Lovlighet, rettferdighet og åpenhet -- behandlingen må ha lovlig grunnlag, og folk må informeres. Formålsbestemmelse -- opplysninger samles inn for spesifikke formål og kan ikke brukes til andre formål. Dataminimering -- bare samle inn det som er nødvendig. Riktighet -- opplysningene skal være korrekte. Lagringsbegrensning -- ikke lagre lenger enn nødvendig. Og integritet og konfidensialitet -- beskytte opplysningene mot uautorisert tilgang.
For å behandle persondata trenger du et behandlingsgrunnlag -- et rettslig grunnlag. GDPR har seks mulige: samtykke, avtale, rettslig forpliktelse, vitale interesser, allmennhetens interesse, eller berettiget interesse. I sikkerhetsarbeid er de vanligste berettiget interesse (som å beskytte eiendom) og rettslig forpliktelse (lovpålagte krav). Uten et gyldig behandlingsgrunnlag er behandlingen rett og slett ulovlig.
Kameraregler, Datatilsynet og dine plikter
Kameraovervåking er strengt regulert. Den er bare tillatt når det foreligger et saklig behov -- som å forebygge kriminalitet, ivareta ansattes sikkerhet eller beskytte eiendom mot hærverk. Det kreves tydelig skilting som er synlig før du kommer inn i området, med opplysning om hvem som er behandlingsansvarlig. Opptak skal normalt slettes etter syv dager, og bare lagres lenger ved en konkret hendelse. Lydopptak er generelt ikke tillatt, og noen områder kan aldri overvåkes -- garderober, toaletter og ansattes pauserom.
Her kommer en klassisk felle. En kollega ber deg sjekke gårsdagens opptak fordi han vil se om en bestemt ansatt faktisk var på jobb. Er det lov? Nei. Kameraene er installert med ett bestemt formål -- å forebygge kriminalitet og ivareta sikkerhet. Å bruke opptak til å kontrollere en ansatts arbeidsmønster er et helt annet formål og bryter prinsippet om formålsbestemmelse. Du skal avvise forespørselen og eventuelt varsle din leder. Den samme regelen gjelder adgangslogger -- de er personopplysninger og skal ikke brukes til å overvåke ansattes arbeidstider.
Datatilsynet er Norges uavhengige tilsynsorgan for personvern. De fører tilsyn, behandler klager, gir veiledning og ilegger sanksjoner. Ved alvorlige brudd på personopplysningssikkerheten plikter virksomheter å melde fra innen 72 timer. Sanksjonene spenner fra advarsel og pålegg til overtredelsesgebyr -- og for de alvorligste GDPR-bruddene kan bøtene bli opp til 20 millioner euro eller 4 prosent av global omsetning. Dine egne plikter er klare: du har taushetsplikt om personopplysninger du får tilgang til, også etter at arbeidsforholdet er avsluttet. Husk også at de registrerte har rettigheter -- innsyn i egne opplysninger, korrigering, sletting og rett til å protestere. Ber en besøkende om innsyn i opptak av seg selv, har vedkommende rett til det, men du henviser til behandlingsansvarlig, og andre personer i opptaket må sladdes.
Oppsummering
Sikkerhetsarbeid behandler personopplysninger og må skje innenfor personopplysningsloven og GDPR. GDPR bygger på seks prinsipper -- blant annet formålsbestemmelse, dataminimering og lagringsbegrensning -- og krever et behandlingsgrunnlag, oftest berettiget interesse i sikkerhetsarbeid.
Kameraovervåking krever saklig behov, tydelig skilting og sletting normalt etter syv dager, og opptak kan ikke brukes til å kontrollere ansattes arbeidsmønster -- det bryter formålsbestemmelsen. Datatilsynet fører tilsyn og kan gi bøter opp til 20 millioner euro eller 4 prosent av global omsetning. Som sikkerhetsmedarbeider har du taushetsplikt, og du må respektere de registrertes rettigheter til innsyn, korrigering og sletting.
Dette kapitlet er skrevet av Anthropics toppmodeller (Claude Opus og Claude Fable) og er foreløpig ikke manuelt gjennomgått — kvalitetskontrollen gjøres av uavhengige KI-agenter, og innmeldte feil rettes fortløpende. Funnet en feil? Meld fra, så retter vi den. Les mer om hvordan innholdet lages.