Personvernforordningen Hva kommer og hva risikerer virksomhetene?

Transkript

1 Personvernforordningen Hva kommer og hva risikerer virksomhetene? Emilie Veggeland Knudsen Advokatfullmektig Advokatfullmektig Advokat Kjersti Lyster Ryen Advokat

2 Nye personvernregler i norsk rett EUs personvernforordning (GDPR) EUs forordning for personvern (GDPR) trer i kraft fra 25. mai 2018 Någjeldende personopplysningslov med tilhørende personopplysningsforskrift vil bli opphevet Ny personopplysningslov er under utarbeidelse 2

3 Kort om grunnleggende begreper Loven gjelder enhver «behandling» av «personopplysninger» Unntak når rent personlig (=ikke i jobb) Unntak når ikke «automatisert» (håndnotater ) I praksis: - Gjelder det meste man gjør i jobben med mobil eller PC... og er man innenfor utløses en rekke plikter Hva er «behandling»? Enhver operasjon som gjøres med personopplysninger Innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensninger, sletting eller tilintetgjøring. 3

4 Hva er en «personopplysning»? Definisjonen: «enhver opplysning om en identifisert eller identifiserbar fysisk person» - Konkrete faktiske opplysninger - Oppfatninger og preferanser - Uttalelser - Adferd og adferdsmønster - Prestasjoner og vurderinger - «Negative» opplysninger (f.eks. har ikke kjøpt ny bil) - Personopplysninger som inngår i andre opplysninger Anonymiserte og pseudonymiserte opplysninger Sensitive personopplysninger Særlig relevant i arbeidslivet: opplysninger om fagforeningsmedlemskap og helseopplysninger 4

5 Og når loven først får anvendelse Grunnleggende krav til behandling av personopplysninger - Rettslig grunnlag - Formålsangivelse - Oppbevaring av personopplysninger Dokumentasjonskrav/internkontroll - Kartlegge bedriftens behandling av personopplysninger - Formålsangivelser - Informasjon til registrerte - Sikkerhetstiltak/avvikshåndtering - Risikovurderinger - Samtykkeerklæringer - Avtaler med databehandlere - Avtaler om overføring til utlandet Rutiner for de registrertes rettigheter - Innsynsrett, krav på sletting, retting, dataportabilitet, osv. 5

6 De ulike rollene videreføres i det nye regelverket Behandlingsansvarlig (arbeidsgiver) Databehandler Underdatabehandler Den registrerte (jobbsøker/arbeidstaker) Datatilsynet (tilsyn og ombud) 6

7 Hovedintensjonene med det nye regelverket Etablere en felles forståelse av rettigheter og plikter for personvern i hele EU/EØS-området De teknologiske endringene gir behov for nye regler som møter dagens utfordringer Gi den enkelte borger bedre kontroll over hvordan personopplysninger om han/henne brukes 7

8 Alle norske virksomheter får nye plikter 8

9 Hva blir nytt? Hovedtrekkene Forordningen viderefører i stor grad dagens grunnprinsipper Innføring av strengere sanksjoner: Opp til 20 millioner Euro eller 4 % av årlig omsetning Mer detaljregulering og tilstramminger Noen nye prinsipper Privacy by design og default Mer ansvar for databehandler Dataportabilitet Rett til «menneskelig inngripen» ved automatiserte avgjørelser Påbud om personvernombud i flere bedrifter Melde- og konsesjonsplikten bortfaller 9

10 Personvern på arbeidsplassen Relevant for enhver enten som arbeidsgiver eller arbeidstaker Arbeidsgiver er behandlingsansvarlig Arbeidstaker har rettigheter som en registrert Personopplysningslovens generelle regler må overholdes I tillegg enkelte særnorske regler som gjelder i arbeidsforhold 10

11 Særlig problemstillinger knyttet til personvern på arbeidsplassen hva må man tenke på: Ved ansettelse? Under ansettelsesforholdet? Ved opphør av ansettelsesforholdet? 11

12 Fase 1: Hvilken informasjon kan innhentes i forbindelse med ansettelse? Jobbsøkeren har rettigheter som en registrert Informasjonskrav, behandlingsgrunnlag, formålsangivelse, oppbevaring Rett til «menneskelig inngripen» ved automatiserte avgjørelser Arbeidsgiver bør være særlig oppmerksom på: bakgrunnssjekk personlighetstester innhenting av helseopplysninger innhenting av politiattest og kredittopplysninger oppbevaring av CV og søknadspapirer 12

13 Fase 2: Behandling av ansattes personopplysninger Behandlingsgrunnlag: begrenset bruk av samtykke Informasjon til de ansatte Hva kan og bør lagres i personalmappen? Kontroll og overvåkning på arbeidsplassen Innsyn i epostkasse 13

14 Fase 3: Opphør av arbeidsforholdet Sletting av epostkasse Sletting av innhold i personalmappe 14

15 Hva kan AdeB bidra med? Rådgivning om dagens regelverk og endringene som kommer Utarbeide rutiner, avtaler og annen dokumentasjon for behandling av personopplysninger Personvernhåndbok Veileder for hva man skal lete etter og hva man skal kartlegge Godt utgangspunkt for prinsipper, tiltak og rutiner som kan implementeres Fungerer som dokumentasjon på overholdelse av regelverket 15

16 Kontaktpersoner Emilie Veggeland Knudsen ADVOKATFULLMEKTIG Mobil: E-post: Kjersti Lyster Ryen FAST ADVOKAT Mobil: E-post: 16