OM PERSONVERN TRONDHEIM. Mai 2018

Transkript

1 OM PERSONVERN TRONDHEIM Mai 2018

2 HVORFOR ER VI HER? Ny lovgivning Alle snakker om GDPR Rundreise i alle avdelinger Overordnet innføring i regelverket Hva skjer i NHN Hva skjer med Normen

3 OVERSIKT OVER TEMA NHN og personopplysninger hensikten med gjennomgangen Lovsituasjonen Hva er personvern Hva er personopplysninger Hva er behandling av personopplysninger Behandling av personopplysninger i driftsdivisjonen Behandlingsansvarlig og databehandler Prinsipper for behandling av personopplysninger Hva blir nytt i 2018 De registrertes rettigheter

4 LOVSITUASJONEN Før ca juli 2018: Personopplysningsloven + personopplysningsforskriften (2000) Etter ca juli 2018: Ny personopplysningslov som inkluderer EUs forordning (GDPR) GDPR= The General Data Protection Regulation

5 HVA ER PERSONVERN Grunnleggende rettighet i vårt samfunn: Retten til et privatliv og ivaretakelse av personlig integritet, selvbestemmelse og selvutfoldelse. I dette inngår rett til å bestemme over egne personopplysninger. Grunnlovens 102 Enhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin kommunikasjon. Statens myndigheter skal sikre et vern om den personlige integritet. Europeiske menneskerettighetskonvensjonen Artikkel 8: Enhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin korrespondanse. Gjenspeiles i våre regelverk

6 HVA ER PERSONOPPLYSNINGER Enhver opplysning eller vurdering som kan knyttes til en enkeltperson Denne enkeltpersonen kalles ofte «den registrerte». Personopplysninger er f eks navn, id-nummer, lokaliseringsopplysninger, en onlineindikator eller ett eller flere elementer som er spesifikke for nevnte persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sosiale identitet.

7 SÆRLIGE KATEGORIER PERSONOPPLYSNINGER (NÅ: SENSITIVE) Opplysninger som bare kan behandles på visse betingelser: Rasemessig opprinnelse Etnisk opprinnelse Politisk oppfatning Religion Overbevisning Medlemskap i fagforening Genetiske opplysninger Biometriske opplysninger for identifikasjon av fysisk person Helseopplysninger Seksuelle forhold Seksuell orientering

8 SÆRLIGE KATEGORIER PERSONOPPLYSNINGER (NÅ: SENSITIVE) Opplysninger som bare kan behandles av det offentlige: Opplysninger om straff og lovovertredelser

9 HVA ER «BEHANDLING» AV PERSONOPPLYSNINGER Innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring

10 PERSONOPPLYSNINGER I NORSK HELSENETT Opplysninger om egne ansatte = behandling av personopplysninger Drift av tjenester med personopplysninger = behandling av personopplysninger Kundedata = behandling av personopplysninger der dette er med

11 BEHANDLINGSANSVARLIG - DATABEHANDLER Behandlingsansvarlig = den som bestemmer formålet med behandlingen Databehandler = den som behandler opplysninger på vegne av andre

12 HOVEDHENSIKT MED NYTT REGELVERK Hvorfor: Å styrke europeiske borgeres rettigheter Å gjøre det lettere å utveksle personopplysninger over landegrenser Å styrke tilliten til digitale tjenester Å sikre samarbeid mellom personvernmyndigheter Hvordan: Gjennom en felles forordning Begrenset mulighet for nasjonal tilpasning/særregler

13 GRUNNLEGGENDE PRINSIPPER FOR BEHANDLING AV PERSONOPPLYSNINGER Behandlingen skal være lovlig, rettferdig og gjennomsiktig Behandling skal skje for spesifikke formål Mengden data skal begrenses til det nødvendige Opplysningene skal være korrekte Opplysninger skal slettes eller anonymiseres når de ikke lenger er nødvendig for formålet Behandling skal skje sikre integritet og fortrolighet Behandlingsansvarlige skal vise ansvarlighet

14 HVA BLIR NYTT I 2018 EUs nye personvernforordning blir norsk lov Andre norske lover må tilpasses ny personopplysningslov Felles regler for alle som yter tjenester til borgere i Europa Borgernes rettigheter ift egne personopplysninger styrkes - mer kontroll over egne personopplysninger

15 HVA BLIR NYTT I 2018 forts Krav til samtykke blir strengere. - må være eksplisitt for data som samles inn og til angitt formål - behandlingsansvarlig må kunne bevise at samtykke er ok - samtykke kan alltid trekkes tilbake Personvernkonsekvenser av nye tiltak skal alltid vurderes Økt fokus på risikobasert tilnærming ved valg av tiltak Datatilsynets konsesjon forsvinner - ansvarlighet og internkontroll hos virksomheten fremfor forhåndskontroll fra Datatilsynet

16 HVA BLIR NYTT I 2018 forts Nye plikter for databehandlingsansvarlige og databehandler Databehandlers plikter blir lovregulert: - skal sørge for informasjonssikkerhet - skal umiddelbart varsle den behandlingsansvarlige om avvik - skal opprette personvernombud på lik linje med behandlingsansvarlig - skal varsle behandlingsansvarlige hvis de mener instruksjonene fra behandlingsansvarlige er i strid med forordningen Innebygd personvern skal være standard i utvikling av nye tjenester/ app er/ forretningsmetoder

17 HVA BLIR NYTT I 2018 forts Nye vilkår for behandling av opplysninger om barn: - Samtykke for barn under 13 år må være gitt av barnets foreldre Flere virksomheter skal ha personvernombud Rett til dataportabilitet - krav til lagring i et vanlig og lett eksporterbart format slik at kunden enkelt kan bytte leverandør Hovedregel om frist på 72 timer til å rapportere avvik til Datatilsynet Strengere sanksjoner ved regelbrudd: overtredelsesgebyr med inntil 4 % av bedriftens årlige omsetning

18 DE REGISTRERTES RETTIGHETER RETT TIL INFORMASJON Gamle regler: Rett til informasjon om visse forhold med visse unntak Nye regler: Som før med tillegg av: - Opplysning om behandlingsgrunnlaget (samtykke, avtale, lovhjemmel osv) - Opplysninger om overføring til tredjeland (ut av EU) - Hvor lenge opplysninger lagres - Evt gjenbruk av opplysninger til andre formål - Informasjon om rettigheter Informasjonen skal være klar, enkel og lett tilgjengelig

19 DE REGISTRERTES RETTIGHETER forts Tre aktuelle forhold der informasjonsplikten inntrer: Overfor ansatte - Arbeidsavtale - Personalhåndbok - Informasjon i tilknytning til bruk av tjenester og applikasjoner i arbeidsforhold I kundeforhold - I avtalevilkår Overfor brukere på nett - Personvernerklæring

20 DE REGISTRERTES RETTIGHETER forts RETT TIL RETTING Rett til retting av personopplysninger - Retting av uriktige opplysninger - Komplettering av opplysninger - Plikt til varsling av mottakere av uriktige opplysninger hvis ikke det er umulig eller uforholdsmessig

21 DE REGISTRERTES RETTIGHETER forts SLETTING OG DATAPORTABILITET Rett til sletting - Oppbevaring ikke lenger er nødvendig - Samtykke trekkes tilbake - Uriktige opplysninger - NY regel: Den registrerte motsetter seg behandling Rett til dataportabilitet - NY regel: rett til å få utlevert alle opplysninger man selv har gitt til behandlingsansvarlige - Eksempel: alle spor som er lagt igjen på en pulsklokke

22 DE REGISTRERTES RETTIGHETER forts INNSYNSRETT Gjelder også i dag Rett til kopi hvis det ikke krenker andre personers rettigheter