Personvern - behandlingsgrunnlag etter personopplysningsloven

Transkript

1 ID Nfk Versjon 1.04 Gyldig fra Siste versjon Forfatter May Moursund Verifisert Godkjent Stig Olsen Personvern - behandlingsgrunnlag etter personopplysningsloven Side 1 av 5 Se lenker til relevante rutinebeskrivelser til slutt i dette dokumentet. Se referanser til relevante artikler i personvernforordningen til slutt i dette dokumentet. Personvernforordningens definisjon av «den registrerte»: en identifisert eller identifiserbar fysisk person For hver type behandling må det være et behandlingsgrunnlag (hjemmel) i personopplysningsloven som gjør det lovlig å utføre behandlingen. Fylkeskommunen bør primært bruke behandlingsgrunnlag for myndighetsutøvelse og henvise til en særlovgivning. Behandlinger av personopplysninger til ett formål kan ikke uten videre brukes til andre formål. Lovlig behandling av personopplysninger forutsetter at minst ett av vilkårene i tabellene under er oppfylt: Behandlingsgrunnlag Artikkel i loven Om behandlingsgrunnlaget Samtykke Artikkel 6 nr 1 bokstav a Den registrerte har samtykket til behandlingen. Et samtykke skal være frivillig, informert og uttrykkelig. Overfor fylkeskommunen vil det ofte ikke være frivillig og fylkeskommunen er en «sterkere» part enn den registrerte. Vi kan og skal derfor sjelden bruke samtykke som behandlingsgrunnlag. Samtykke kan være et tillegg hvis det foreligger et annet behandlingsgrunnlag og fylkeskommunen ønsker samtykke for å innhente nødvendig dokumentasjon fra tredjepart. Eksempelvis kan vi bruke samtykke ved en frivillig spørreundersøkelse eller ved påmelding til et nyhetsbrev. oppfylle en avtale med den registrerte Artikkel 6 nr 1 bokstav b Behandlingen er oppfylle en avtale med den registrerte, eller for å gjennomføre tiltak på anmodning fra den registrerte før en avtaleinngåelse. Eksempel er ansettelsesavtaler. Det kan også være andre opplysninger som må behandles for å oppfylle ansettelsesavtalen, for å utbetale lønn f eks.

2 Ver.1.04 Side: 2 av 5 oppfylle en rettslig forpliktelse verne den registrertes eller en annen persons vitale interesser (liv og helse) utføre en oppgave i allmennhetens interesse, eller for å utøve pålagt myndighetsutøvelse Nødvendig for formål knyttet til berettigede interesser (interesseavveining) Artikkel 6 nr 1 bokstav c Artikkel 6 nr 1 bokstav d Artikkel 6 nr 1 bokstav e Artikkel 6 nr 1 bokstav f Dette behandlingsgrunnlaget gjelder bare når behandlingene er genuint nødvendige for å gjennomføre avtalen. Behandlingen er oppfylle en rettslig forpliktelse i en lov eller konvensjon. Henvis til hjemmel i annen lov eller forskrift. Eksempel er regnskapslovens krav. Dersom fylkeskommunen er pålagt å behandle visse bestemte personopplysninger, har den også lov til det. Behandlingen er verne den registrertes vitale interesser. Det er forutsatt at den registrerte er forhindret fra å samtykke, f eks ikke mulig å nå pga alvorlig sykdom eller ved katastrofer. Denne er lite aktuell. Et eksempel er om en gjest besvimer i resepsjonsområdet og vi forsøker å finne opplysninger om vedkommende. Behandlingen er utøve offentlig myndighet som fylkeskommunen er pålagt ved lov. Henvis til hjemmel i en annen særlov eller forskrift. Et eksempel er opplæringsloven. Behandlingen er nødvendig for formål knyttet til de berettigede interesser som forfølges av behandlingsansvarlig. Eksempel: bruk av drone for å filme en grop hvor det utføres gravearbeid ihht kontrakt og oppfølging av kontraktsansvar. Noen kan bli filmet i denne prosessen. Det vil være regler for hvor lenge dette opptaket skal lagres, og hvem som kan se det. Her kan interessen av å følge opp kontrakten veie tyngre enn personvernet til de som blir filmet. Denne avveiningen må dokumenteres. Dette grunnlaget skal ikke brukes for offentlig myndighetsutøvelse. Offentlig myndighetsutøvelse for fylkeskommunen kan være vedtak, tjenester, forvaltning av penger, veg.

3 Ver.1.04 Side: 3 av 5 Behandlingsgrunnlag for særlige kategorier personopplysninger (tidligere «sensitive opplysninger») Personopplysningsloven sier at behandling av særlige kategorier av personopplysninger i utgangspunktet er forbudt. Opplysningskategoriene dette gjelder er: opplysninger om rasemessig eller etnisk opprinnelse opplysninger om politisk oppfatning opplysninger om religion opplysninger om filosofisk overbevisning opplysninger om fagforeningsmedlemskap genetiske opplysninger biometriske opplysninger med det formål å entydig identifisere noen helseopplysninger opplysninger om seksuelle forhold opplysninger om seksuell legning opplysninger om straffedommer opplysninger om lovovertredelser Det er noen unntak fra dette forbudet. Fylkeskommunen bør primært bruke behandlingsgrunnlagene for myndighetsoppgaver eller lovbestemt oppgave som skal utføres. Lovlig behandling av personopplysninger i særlige kategorier forutsetter at minst ett av vilkårene i tabellene under er oppfylt. Mer informasjon om dette kan du finne i artikkel 9. Behandlingsgrunnlag Artikkel i loven Om behandlingsgrunnlaget Samtykke Artikkel 9 nr 2 bokstav a Den registrerte har samtykket til behandlingen. Fylkeskommunen vil ofte være en sterkere part enn den registrerte, slik at samtykke normalt ikke kan brukes. Eksempel kan være lagring av opplysninger om matallergi i forbindelse med et julebord. Rettslige plikter Artikkel 9 nr 2 bokstav b Behandlingen er gjennomføre rettslige plikter (arbeidsrettslige og helse- og sosialrettslige plikter). Det må finnes hjemmel for den aktuelle aktiviteten i lov eller forskrift, eller i en tariffavtale. Eksempler: arbeidsgiver kan behandle helseopplysninger i forbindelse med rehabilitering av en arbeidstaker. Arbeidsgiver kan behandle opplysninger om fagforeningsmedlemsskap ved ansvar for å kreve inn kontingent etter lovhjemmel eller tariffavtale.

4 Ver.1.04 Side: 4 av 5 Verne vitale interesser (liv og helse) Artikkel 9 nr 2 bokstav c Behandlingen er beskytte den registrertes eller en anne persons vitale interesser (liv og helse) dersom den registrerte ikke er i stand til å gi samtykke. Utføres av stiftelse, sammenslutning eller ideellt organ Artikkel 9 nr 2 bokstav d Behandlingen utføres av en stiftelse, sammenslutning eller ideelt organ som har mål av politisk, religiøs eller fagforeningsmessig art, så lenge det er snakk om personopplysninger om medlemmer og liknende, og opplysningene ikke utleveres uten samtykke. Opplysninger som allerede åpenbart er offentliggjort Artikkel 9 nr 2 bokstav e Behandlingen gjelder personopplysninger som den registrerte åpenbart har offentliggjort. Denne bestemmelsen må benyttes med varsomhet. Straffesak Artikkel 9 nr 2 bokstav f Behandlingen er nødvendig for Viktige allmenne interesser (lovpålagt) Artikkel 9 nr 2 bokstav g rettslig behandling. Behandlingen er nødvendig av hensyn til viktige allmenne interesser, for å gjennomføre en oppgave i samfunnets interesse i norsk lov. Forebyggende helse Artikkel 9 nr 2 bokstav h Behandlingen er nødvendig for forebyggende medisin eller arbeidsmedisin for å vurdere en arbeidstakers arbeidskapasitet i forbindelse med diagnostikk, yting av helse- eller sosialtjenester og helsesystemer i henhold til lov eller avtale med helsepersonell. Folkehelsehensyn Artikkel 9 nr 2 bokstav i Behandlingen er nødvendig av allmenne folkehelsehensyn, f eks vern mot alvorlige grenseoverskridende helsetrusler eller for å sikre høye kvalitets- og sikkerhetsstandarder for helsetjenester og legemidler eller medisinsk utstyr. Arkivformål Artikkel 9 nr 2 bokstav j Behandlingen er nødvendig for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål. Behandlingsgrunnlag for straffedommer og lovovertredelser Loven begrenser også behandling av personopplysninger relatert til straffedommer og lovovertredelser. Behandling skal bare utføres under en offentlig myndighetskontroll eller hvis det finnes en klar hjemmel for dette, f.eks. stilles det i barnehageloven krav til at det innhentes politiattest før ansettelse. I slike tilfeller er kravene til hvilke tiltak som må

5 Ver.1.04 Side: 5 av 5 iverksettes å sikre informasjonen skjerpet. Dette stiller ekstra krav til tilgangskontroll, tekniske tiltak m.m. Mer informasjon om dette kan du finne i artikkel 10. Når rettsgrunnlag for særlige kategorier skal registreres eller oppgis, skal først rettslig grunnlag fra artikkel 6 oppgis, så riktig grunnlag for særlige kategorier. Tilleggskrav til samtykke i forbindelse med tjenester til barn Hovedregelen er at fra fylte 15 år kan den mindreårige selv samtykke til innhenting og bruk av egne personopplysninger. Før fylte 15 år må foresatte samtykke på vegne av barnet. Dersom det er snakk om behandling av særlige kategorier av personopplysninger kreves samtykke fra foresatte. Dersom samtykke brukes som behandlingsgrunnlag i forbindelse med tilbud om informasjonssamfunnstjenester direkte til et barn, er behandling av et barns personopplysninger lovlig dersom barnet er minst 13 år. Dersom barnet er under 13 år, er behandling lovlig bare dersom samtykke er gitt eller godkjent av den som har foreldreansvar for barnet. Dette gjelder når barna kontaktes direkte med tilbud om tjenester via internett. Dette kan f.eks. være aktuelt hvis barn gis mulighet til å ta i bruk internettbaserte tjenester fra fylkeskommunen på skole, (UKM) etc. En informasjonssamfunnstjeneste er a) enhver tjeneste som vanligvis ytes mot vederlag og som formidles elektronisk, over avstand og etter individuell anmodning fra en tjenestemottaker, samt b) enhver tjeneste som består i å gi tilgang til, eller overføre informasjon over, et elektronisk kommunikasjonsnett, eller i å være nettverk for data som leveres av tjenestemottakeren. Mer informasjon om informasjonssamfunnstjenester kan du finne i artikkel 8. Referanser til relevante artikler i personvernforordningen: Artikkel 6: Behandlingens lovlighet Artikkel 7: Vilkår for samtykke Artikkel 8: Vilkår for barns samtykke i forbindelse med informasjonstjenester Artikkel 9: Behandling av særlige kategorier av personopplysninger Artikkel 10: Behandling av personopplysninger om straffedommer og lovovertredelser Interne referanser Personvern - samtykke Eksterne referanser