GDPR. The General Data Protection Regulation. Ny personvernlov i Norge basert på EUs direktivet vedtatt 2016

Transkript

1 GDPR The General Data Protection Regulation Ny personvernlov i Norge basert på EUs direktivet vedtatt 2016

2 Personloven basert på 1995 vs 2016 Eus direktiv Det har skjedd mye innen teknologien på 20 år, Det samme som før, men fler rettigheter og plikter, og mye strengere sanksjoner Generell lov med relevans for alle virksomheter Hva gjelder for din virksomhet Loven gjelder ved behandling av personpplysninger i jobb sammenheng

3 13 hovedpunkter Personopplysninger kartlegging og bruk Sensitive opplysninger Rutiner / systemer for å slette personopplysninger Kommunikasjons / informasjon ansatte og kunder forståelig personvernerklæring Tilgangsbegrensninger Systemer Ansvar overholdelse av personvernreglene Personvernombud Vurdere risiko og personkonsekvenser Overføring av personopplysninger til tredjeland Bruk av databehandlere Krav til avvikshåndtering Borgernes rettigheter «til å bli glemt», kreve begrensinger av behandling Dokumentasjon

4 Personopplysning: Definisjon Enhver opplysning om en identifisert eller identifiserbar fysisk person Behandleransvarlig Virksomheten som har personopplysningene Databehandler Den som behandler data på vegne av andre Den registrerte kunde, ansatt, leverandør

5 Personopplysninger Kartlegging og bruk Artikkel 30, 13 og 14 Har vi oversikt over hvilke typer personopplysninger vi bruker/lagrer hos oss, hvem disse opplysningene gjelder, og hvorfor vi har dem? Har vi allerede en personvernerklæring vi kan oppdatere eller må vi utarbeide en? Bruker vi flere personopplysninger enn det som er nødvendig, kunne vi klart oss med færre? Bruker vi opplysningene til annet enn de de er samlet inn for?

6 Personopplysninger Kartlegging og bruk Artikkel 30, 13 og 14 Hvis personopplysningene ikke er samlet inn fra den registrerte skal behandlingsansvarlig opplyse om hva opplysningene skal brukes til Kan den registrerte ha innvendinger mot det vi gjør? Hvordan kan vi da eventuelt innhente samtykke?

7 Sensitive personopplysninger Artikkel 9 og 13 Ved behandling av sensitive personopplysninger er det regelverket strengt Rasemessig etnisk opprinnelse, politisk oppfatning, religion livssyn, fagforeningsmedlemskap, helseopplysninger, seksuelle forhold orientering Det skal gis informasjon om formål med behandlingen samt rettslig grunnlag

8 Rutiner / Systemer for å slette personopplysninger Artikkel 14 og 15 Det skal gis informasjon til den registrerte hvis opplysningene som er samlet inn ikke kommer fra den registrerte. Den registrerte har rett til innsyn, korrigering og sletting Hva slags rutiner og systemer har virksomheten din for å kunne følge opp dette?

9 Kommunisere informasjon ansatte og kunder forståelig personvernerklæring Artikkel 12 Informasjonsskriv til kunder og ansatte Har vi en personvernerklæring? Kortfattet, forståelig, klart og enkelt språk

10 Sikkerhet ved behandlingen Artikkel 32 Tilgangsbegrensninger Internkontroll, risikovurdering av personopplysninger og IT

11 Plassering av ansvar Ansvar Overholdelse av personvernreglene Artikkel 24

12 Personvernombud Artikkel 37 Trenger virksomheten å utnevne et personvernombud? 1. Er virksomheten offentlig? 2. Driver din virksomhet med en eller flere av disse? Regelmessig eller systematisk monitorering av personer Behandler sensitive opplysninger Behandler opplysninger om straffbare forhold 3. Er behandlingen beskrevet ovenfor en del av hovedvirksomheten? 4. Behandler dere personopplysningene nevnt i tidligere steg i stor skala

13 Vurdere risiko og personkonsekvenser Artikkel 35 Risiko for at det skjer noe med personopplysningene Sikkerhetstiltak Innebygd personvern

14 Overføring av personopplysninger til utlandet Artikkel 3 Sendes det personopplysninger til land utenfor EU/EØS? Eksempeler: En outsourcet IT avdeling Et data system hvor support har tilgang til systemet fra et tredjeland

15 Bruk av databehandlere Artikkel 28, 32 og 33 Firmaer som hjelper oss å behandler personopplysninger på våre vegne Databehandler avtaler

16 Krav til avvikshåndtering Artikkel 33 Avvik er brudd på personopplysningssikkerheten I virksomhetens allerede eksisterende avvikssystem må det opprettes system for personopplysninger. Artikkel 33 punkt 1-5 med underpunkter Arten av bruddet og antall personopplysninger Personvernombudet eller annet kontaktperson Beskrivelse av konsekvenser Beskrive tiltak

17 Rett til å bli slettet Artikkel 17 og 16 Når en personopplysning ikke lenger er nødvendig for formålet Retten til å bli glemt Retten til å kreve begrensning

18 Dokumentasjon Artikkel 30 Dokumentere at virksomheten overholder loven Hva gjøres med personopplysningene Hva er formålet med behandlingen Hvem har tilgang Rutiner og prosedyrer

19 Prosess Behandlingsansvarlig Delegert ansvar til (prosesseier) Formål med behandlingen Videoovervåkning Utvikling.org Sikkerhetssjef Sikkerhet, forebygge straffbare handlinger Behandlingsgrunnlag (hjemmel for hver kategori) GDPR artikkel 6f (ny lov om kameraovervåkning) Hvilke personopplysninger samles inn? Er noen personopplysninger særlige kategorier Type behandling Opptak fra kamera, Kan være avhengig av Lagring, analyse, ev. metadata opptakene Utlevering til politiet ved anmeldelse Annen bruk av personopplysningen e; aggregert, statistikk, metadata, logg. Kameraene samler inn noe metadata, analyse brukes ikke Ansettelse Utvikling.org Daglig leder Samle opplysninger om søkere, for å kunne gjøre utvelgelse. Personal Utvikling.org Daglig leder Lønn, ulykker, arbeidskontrakt Medarbeidersamtale Utvikling.org Daglig leder Utvikling av den ansatte og den sitt ansettelses forhold i selskapet. Dokumentsjon Epost adresse Nei Telefonnummer Fullt navn Tidligere ansettelser, gjennomført utdanning og kurs, private interesser, familieforhold (partner/barn) privat bostedsadresse. Navn, adresse, Nei kommune, telefon, nærmeste pårørende, lønn, personnummer, bankforbindelse, kontonummer Den ansattes og Nei leders samlede oppfatning av den ansattes og leders prestasjon. Gjennomført utvikling og oppnåelse av egne Evaluering under ansettelsesprosessen. Deretter sletting. Lønnsutbetaling, ved ulykke kontakte pårørende. Vis arbeidskontrakt til myndighetene. Medarbeidersamtale forberedelser og selve samtalen, samt oppfølging igjennom året og ny samtale for neste periode. Aggregeres for hver periode for å se historikk. Lagres på Daglig leders område i skyen.