Sporbarhet og arkivering eller lagring og sletting.. Kim Ellertsen, avdelingsdirektør, juridisk avdeling Datatilsynet Atea 29. September 2009.

Transkript

1 Sporbarhet og arkivering eller lagring og sletting.. Kim Ellertsen, avdelingsdirektør, juridisk avdeling Datatilsynet Atea 29. September 2009.

2 Disposisjon 1) Innledning a) Kort om Datatilsynets oppgaver og administrasjon b) Personopplysningsloven hva er hensikten 2) Avgrensning til personopplysninger og personvern vs. Sporbarhet og arkivering 3) Utfordringer med lagring (arkivering) og sporbarhet (rettigheter og plikter) Side 2

3 Innledning Om Datatilsynet Uavhengig forvaltningsorgan Etablert i 1980 Kan ikke instrueres av Kongen eller departementet Administrativt underlagt FAD Direktør Georg Apenes 33 medarbeidere - Fire avdelinger Håndhever personopplysningsloven, helseregisterloven Tilsynsmyndighet etter esignaturloven og SIS-loven Vedtak kan påklages til Personvernnemnda Faglig uavhengig Beslutningene er endelige og kan bare omgjøres gjennom søksmål Side 3

4 Personopplysningsloven Overtok for personregisterloven av 1978 Bygger på EUs personverndirektiv (95/46/EF) I kraft fra Personopplysningsforskriften Konsesjoner gitt etter personregisterloven er ikke lenger gyldige Side 4

5 Formål - 1 Beskytte den enkelte mot at personvernet blir krenket gjennom behandling av personopplysninger Side 5

6 Hva er personvern? Personlig integritet Privatlivets fred Retten til bestemme over opplysninger om seg selv Retten til å være i fred Side 6

7 Definisjoner - 2 Personopplysninger Kan knyttes til en enkeltperson ( 2 nr. 1) Behandling av personopplysninger Enhver bruk av personopplysninger ( 2 nr. 2) Personregister Opplysningene er lagret systematisk slik at de lett kan finnes igjen (2 nr. 3) Side 7

8 Virkeområde Behandling av personopplysninger - som helt eller delvis skjer elektronisk ELLER - når opplysningene inngår eller skal inngå i et personregister Unntak: Private formål Kunstneriske, litterære eller journalistiske formål Side 8

9 Forholdet til andre lover Bestemmelsene i loven gjelder for behandling av personopplysninger om ikke annet følger av en særskilt lov som regulerer behandlingsmåten. ( 5) For eksempel arkivloven, offentleglova, regnskapsloven, sosialtjenesteloven, Side 9

10 Sporbarhet og arkivering Utfordring I Hva er det nødvendig å ta vare på og hvorfor. Utfordring II Hvem skal ha tilgang og hvorfor Utfordring III Følger det noen plikter og/eller rettigheter med oppbevaring av personopplysninger

11 Hva er det nødvendig å ta vare på og hvorfor. Følger av lov eller forskrift (pol 5) Grense mot regnskapslovgivning og arkivlov. Knyttet til formål som er utrykkelig knyttet til formål som er saklig begrunnet i virksomheten. (pol 11) og behandlingsgrunnlag ( 8 og 9) Formålet med innhenting og bruk av opplysningene definerer og begrenser hva de senere kan benyttes til. Skal ikke lagres lenger enn nødvendig (pol 28) Dette bestemmes igjen ut fra formålet

12 Vilkår for behandlingen - 8 Hjemmel i lov Behandlingen må være forutsatt eller nødvendig for gjennomføringen av loven Mange/følsomme opplysninger = krav til klar hjemmel Samtykke - 2 nr. 7 Eller behandlingen er nødvendig for å oppfylle avtale med den registrerte oppfylle en rettslig forpliktelse ivareta den registrertes vitale interesser utføre oppgave av allmenn interesse utøve offentlig myndighet ivareta en berettiget interesse Side 12

13 Samtykke - 2 nr. 7 - frivillig, - uttrykkelig og - informert - erklæring fra den registrerte om at han eller hun godtar behandling av opplysninger om seg selv. Konkludent adferd er ikke tilstrekkelig Passivitet kan ikke tolkes som et ja Side 13

14 Interesseavveiningen etter 8 f Den behandlingsansvarliges berettigede interesse Hensynet til den registrertes personvern Berettiget interesse Side 14

15 Fødselsnummer - 12 Ikke en sensitiv personopplysning Kan bare nyttes når det er 1. Saklig behov for sikker identifisering og 2. Metoden er nødvendig for å oppnå slik identifisering Må ikke fremkomme av postsendinger eller telekommunikasjon slik at det er tilgjengelig for andre enn adressaten (POF 9-2) ikke utenpå konvolutt eller i åpent kort Bare unntaksvis som KID eller medlemsnummer på regning kryptering ved bruk i Internettløsninger sladding av dokumenter før de legges ut på Internett NB! Selv om en virksomhet har rett til å bruke fødselsnummer i visse sammenhenger, betyr det ikke at det kan og skal brukes i ALLE sammenhenger Side 15

16 Rettigheter og plikter Informasjonsplikt - 19 og 20 Formålet er å gjøre den enkelte i stand til å benytte sine rettigheter etter loven Før innhenting fra den registrerte selv ( 19) Etter innhenting fra andre enn den registrerte selv eller eventuelt før utlevering til andre ( 20) Ved henvendelse eller beslutninger fattet på bakgrunn av personprofiler ( 21) og ved automatiserte avgjørelser ( 22) 30 dagers frist ( 16), gratis ( 17) og skriftlig ( 24) Brudd på informasjonsplikten er straffsanksjonert ( 48 ) Side 16

17 Rett til innsyn - 18 Enhver har rett til grunninformasjon om behandlingen Hva slags behandling av personopplysninger Navn og adresse på den behandlingsansvarlige Hvem som har daglig ansvar for behandlingene Formålet med behandlingen Hvilke typer personopplysninger som behandles Om eventuell utlevering til andre I tillegg kan den registrete kreve å få vite Hva er registrert om meg? Sikkerhetstiltak? Utdypning av informasjonen som gis til enhver Unntak: 18 siste ledd og Side 17

18 Retting av uriktige eller mangelfulle opplysninger - 27 Av eget tiltak eller på begjæring Skadereduksjon varsle mottakere av opplysningene Retting skal skje ved markering og supplering sperring eller sletting NB! Særlovgivning kan ha bestemmelser om metoden for retting (f. eks. arkivloven) Side 18

19 Sletting - 28 Sletting skal skje når opplysningene ikke lenger er nødvendig for å gjennomføre formålet Arkivloven kan medføre fortsatt lagring Sletting kan skje når opplysningene er sterkt belastende og Sletting ikke strider mot annen lov og Sletting er forsvarlig ut fra en samlet vurdering Datatilsynet kan vedta sletting av opplysninger som ellers skulle arkiveres jf. arkivloven 9 og 18 Riksarkivaren skal høres først «Mange foretak bryr seg ikke om å sette av ressurser til sletting og opprydding i datalagrene.» Leif Aanensen, Datatilsynet Side 19

20 Lagringstid for personopplysninger Utgangspunkt: nødvendig for formålet ( 28) For en del opplysninger innebærer dette lagring i svært lang tid Regnskapslov, skattelovgivning, arkivlov Arbeidsforhold så lenge arbeidsforholdet varer og i noen tid etterpå Bedriftshistorie hvem var ansatt når og i hvilken stilling Adresselister for pensjonistforeningen og andre velferdstiltak med samtykke Rettssaker til rettskraftig avgjørelse foreligger evt. til foreldelse inntreffer Side 20

21 Informasjonssikkerhet og Internkontroll 13 og 14 Formålet er å sørge for tilfredsstillende sikkerhet Konfidensialitet Integritet Tilgjengelighet Skape og dokumentere rutiner som sikrer at man oppfyller kravene i personopplysningsloven (og helseregisterloven) NB! Brudd på bestemmelsene om informasjonssikkerhet er straffsanksjonert Og det er i hovedsak disse dokumentene Datatilsynet ser på ved eventuelt tilsyn Side 21

22 Oppsummering Formålet med loven er å styrke personvernet Behandling av personopplysninger må ha saklig begrunnelse og være formålsbestemt Behandlingen kan skje på bakgrunn av lov, samtykke eller oppfyllelse av konkrete nødvendighetskriterier Sensitive personopplysninger skal behandles med særlig varsomhet En rettighetslov som gir den enkelte øket kontroll med opplysninger om seg selv Loven krever dokumenterte rutiner for behandling av personopplysninger Side 22

23 Personopplysningsloven vs. Offentlighetsloven Personopplysningsloven begrenser ikke innsynsrett etter offentleglova, forvaltningsloven eller annen lovbestemt rett til innsyn i personopplysninger. (POL 6, 1. ledd) Hva innebærer det? Innsynsrett = der det ikke foreligger unntak fra offentlighet Ved KAN bestemmelser eller utøvelse av meroffentlighet skal man ta hensyn til personvernkonsekvensene Side 23

24 Kontaktopplysninger Informasjon på Juridisk: Sikkerhet: Side 24