Behandlingsprotokoll og behandlingsgrunnlag

Transkript

1 Behandlingsprotokoll og behandlingsgrunnlag Et lite dykk ned i jussen 1 Kort om oss Marianne Seim Personvernombud for Hordaland og Sogn- og Fjordane (Vestland) Christina Mendicino Grønli Personvernombud for Akershus, Buskerud og Østfold (Viken) 2 1

2 Agenda Et overordnet blikk Kravene til behandlingsgrunnlag og protokoll Eksempler på hvordan vi kan arbeide med kravene i praksis 3 Bilde: 4 2

3 5 Hva er et behandlingsgrunnlag? Konkretisering av vår rett til å behandle personopplysninger Forordningen gir en uttømmende liste av hva som er lovlige behandlingsgrunnlag Kravet: All behandling av personopplysninger må ha et rettslig grunnlag for å være lov Dette bildet av Ukjent forfatter er lisensiert under CC BY-SA 6 3

4 Lovlige behandlingsgrunnlag Samtykke Må være gitt frivillig, spesifikt, informert, utvetydig, gjennom aktiv handling, dokumenterbart og mulig å trekke tilbake like lett som det ble gitt Nødvendig for å oppfylle en avtale Nødvendig for å oppfylle en rettslig plikt Nødvendig for å beskytte vitale interesser Nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet Nødvendig for å ivareta legitime interesser - interesseavveiing Gjelder for behandling av personopplysninger som faktisk og logisk er nødvendig for å oppfylle en avtale, eller utføre en tjeneste den enkelte har etterspurt Gjelder for pålegg fylkeskommunen er underlagt gjennom lov. Loven må være klart nok formulert Gjelder behandling av personopplysninger i forbindelse med liv og død eller fare for helsen Gjelder behandlinger som er fastsatt i en lov som fylkeskommunen er underlagt Må være lovlig, klart definert på forhånd, reell og saklig begrunnet i virksomheten. Ikke et aktuelt behandlingsgrunnlag når det offentlige utøver offentlig myndighet 7 Nærmere om tilleggsgrunnlag I noen behandlingsgrunnlag stilles det krav til at behandlingen i tillegg er fastsatt i unionsretten eller nasjonal rett Gjelder når behandlingen er nødvendig for å utføre en oppgave i allmenhetens interesse, utøvelse av offentlig myndighet og oppfyllelse av en rettslig forpliktelse Kan et Stortingsvedtak være et tilstrekkelig tilleggsgrunnlag, eller må den nasjonale forankringen være lov eller forskrift? 8 4

5 Lovlige behandlingsgrunnlag når opplysningene er sensitive (et utdrag) Samtykke Behandlingen er nødvendig for at den behandlingsansvarlige eller den registrerte skal kunne oppfylle og utøve sine arbeidsrettslige, trygderettslige og sosialrettslige plikter og rettigheter Behandlingen er nødvendig for å verne den registrertes eller en annen persons vitale interesser hvis den registrerte ikke er i stand til å gi samtykke Behandlingen gjelder opplysninger som den registrerte selv åpenbart har offentliggjort Behandlingen er nødvendig for å fastsette, gjøre gjeldende eller forsvare et rettskrav Behandlingen er nødvendig av hensyn til viktige allmenne interesser og har hjemmel i lov Behandlingen er nødvendig for arkivformål i allmenhetens interesse, formål knyttet til historisk forskning eller statistiske formål (krever tilleggsgrunnlag og tiltak for å beskytte de registrertes interesser) 9 Hva er en behandlingsprotokoll? Gir oversikt over de behandlinger virksomheten skal iverksette (og har iverksatt) Dokumentasjon på at vi overholder forordningens krav i behandlingene vi er ansvarlige for Forordningen stiller minimumskrav til innhold i protokollen Kravet: Når vi behandler personopplysninger, skal vi føre en protokoll over alle behandlingsaktiviteter som utføres under vårt ansvar. 10 5

6 Noen utvalgte tema i behandlingsprotokollen Formål med behandlingen Kategorier av registrerte og kategorier av personopplysninger Tidsfrister for sletting Databehandleravtale Forhold til andre aktører; foreligger det to behandlingsansvarlige, felles behandlingsansvar eller en avtale mellom en behandlingsansvarlig og en databehandler (databehandleravtale)? Tilgangsstyring/deling

7 13 7