7.4 Personopplysningsloven og GDPR

Personvern i sikkerhetsbransjen

Sikkerhetsbransjen behandler store mengder personopplysninger: kameraovervåking, adgangskontrollsystemer, besoksregistrering og hendelsesrapporter. Alt dette er regulert av personopplysningsloven og EUs personvernforordning (GDPR). Brudd på personvernreglene kan medføre store boter og alvorlig omdommeskade.

I dette kapittelet skal du lare:
- Hva personopplysninger er og hva behandling innebarer
- De viktigste prinsippene i GDPR
- Krav til samtykke og andre behandlingsgrunnlag
- De registrertes rettigheter
- Personvern i praksis for vektere

GDPR - de grunnleggende prinsippene

GDPR (General Data Protection Regulation) er EUs personvernforordning som gjelder i Norge gjennom EOS-avtalen. Den bygger på syv grunnprinsipper:

1. Lovlighet, rettferdighet og åpenhet:
- Behandlingen må ha et lovlig grunnlag
- Den må vare rettferdig overfor den registrerte
- Det må vare åpenhet om hva som gjores med opplysningene

2. Formålsbegrensning:
- Personopplysninger skal samles inn for spesifikke, uttrykkelig angitte formål
- De skal ikke brukes til andre formål enn det opprinnelige

3. Dataminimering:
- Kun de opplysningene som er nodvendige for formålet skal samles inn
- Ikke samle inn mer enn du trenger

4. Riktighet:
- Opplysningene skal vare korrekte og oppdaterte
- Uriktige opplysninger skal rettes eller slettes

5. Lagringsbegrensning:
- Opplysninger skal ikke lagres lenger enn nodvendig
- Det skal fastsettes slettefrister

6. Integritet og konfidensialitet:
- Opplysningene skal beskyttes mot uautorisert tilgang
- Tilstrekkelig sikkerhet skal ivaretas

7. Ansvarlighet:
- Den behandlingsansvarlige skal kunne dokumentere at reglene folges

Behandlingsgrunnlag for sikkerhetsbransjen

I sikkerhetsbransjen er folgende behandlingsgrunnlag mest relevante:

Berettiget interesse (artikkel 6(1)(f)):
- Mest brukt for kameraovervåking i naeringsbygg
- Formålet (sikkerhet) må veie tyngre enn personvernet til de som overvåkes
- Det skal gjennomfores en interesseavveining
- Eksempel: Kameraovervåking av en bankfilial for å forebygge ran

Samtykke (artikkel 6(1)(a)):
- Den registrerte gir frivillig, informert og uttrykkelig samtykke
- Samtykket kan trekkes tilbake når som helst
- Eksempel: En ansatt samtykker til bruk av fingeravtrykk i adgangskontroll

Rettslig forpliktelse (artikkel 6(1)(c)):
- Behandlingen er påkrevd for å oppfylle en lovpålagt plikt
- Eksempel: Oppbevaring av vaktjournaler som påkrevd av vaktvirksomhetsloven

Krav til samtykke:
- Det må vare frivillig - ingen negative konsekvenser ved å si nei
- Det må vare informert - den registrerte vet hva de samtykker til
- Det må vare utvetydig - klart og tydelig uttrykt
- Det må vare spesifikt - for et bestemt formål
- Det kan trekkes tilbake når som helst

De registrertes rettigheter

GDPR gir personer en rekke rettigheter over sine personopplysninger:

Rett til informasjon:
- Den registrerte skal vite hvem som behandler opplysningene og hvorfor
- Det skal vare synlig informasjon om kameraovervåking (skilting)
- Personvernerklaring skal vare tilgjengelig

Rett til innsyn:
- Enhver kan be om innsyn i hvilke opplysninger som er lagret om dem
- Henvendelsen skal besvares innen 30 dager
- Innsynet er som hovedregel gratis

Rett til retting og sletting:
- Uriktige opplysninger skal rettes
- Opplysninger som ikke lenger er nodvendige skal slettes
- "Retten til å bli glemt" gir rett til å kreve sletting

Rett til å protestere:
- Den registrerte kan protestere mot behandling basert på berettiget interesse
- Protesten skal vurderes og besvares

Rett til dataportabilitet:
- Den registrerte kan kreve å få sine opplysninger i et maskinlesbart format
- Opplysningene kan overføres til en annen behandlingsansvarlig

Personvern i vekterens hverdag

Som vekter behandler du personopplysninger daglig:

Kameraovervåking:
- Du har tilgang til sanntids kamerabilder og opptak
- Du skal kun se på kameraer som er relevante for oppdraget
- Du skal ikke kopiere, fotografere eller dele opptak
- Opptak skal slettes i henhold til fastsatte slettefrister

Adgangskontroll:
- Du registrerer hvem som går inn og ut
- Disse opplysningene er personopplysninger
- De skal kun brukes til sikkerhetsformål

Hendelsesrapporter:
- Rapporter inneholder ofte personopplysninger
- Beskriv hendelsen saklig uten unodvendige personopplysninger
- Rapporter skal oppbevares sikkert

Praktiske råd:
- Aldri diskuter hendelser med utenforstående
- Lås skjermen når du forlater vaktrommet
- Sørg for at besokslogger oppbevares forsvarlig
- Si fra til leder dersom du oppdager personvernbrudd

Konsekvenser ved brudd

Brudd på personvernregelverket kan få alvorlige konsekvenser:

Boter:
- GDPR åpner for boter på opptil 20 millioner euro eller 4 prosent av global omsetning
- Datatilsynet har ilagt norske virksomheter boter på flere millioner kroner
- Eksempler: Ulovlig kameraovervåking, manglende sletting, utilstrekkelig sikkerhet

Omdommeskade:
- Personvernbrudd genererer negativ medieoppmerksomhet
- Tap av kundetillit kan vare langvarig
- Offentlige virksomheter risikerer politisk press

Erstatningsansvar:
- Den registrerte kan kreve erstatning for skade
- Både materielle og immaterielle skader kan erstattes

Straff:
- Grove eller forsettlige brudd kan medføre straffeansvar
- Strafferammen er boter eller fengsel

Oppsummering

I dette kapittelet har du lært:

- Personopplysninger er enhver opplysning som kan knyttes til en identifiserbar person
- GDPR bygger på syv grunnprinsipper for behandling av personopplysninger
- Behandlingsgrunnlag er påkrevd for all behandling - samtykke og berettiget interesse er vanligst i sikkerhetsbransjen
- De registrerte har rett til informasjon, innsyn, retting, sletting og å protestere
- Vektere behandler daglig personopplysninger og har ansvar for å ivareta personvernet

Nokkelbegreper