Sporbarhet og arkivering eller lagring og sletting.. Kim Ellertsen, avdelingsdirektør, juridisk avdeling Datatilsynet Atea 29. September 2009.
Disposisjon 1) Innledning a) Kort om Datatilsynets oppgaver og administrasjon b) Personopplysningsloven hva er hensikten 2) Avgrensning til personopplysninger og personvern vs. Sporbarhet og arkivering 3) Utfordringer med lagring (arkivering) og sporbarhet (rettigheter og plikter) 01.10.2009 Side 2
Innledning Om Datatilsynet Uavhengig forvaltningsorgan Etablert i 1980 Kan ikke instrueres av Kongen eller departementet Administrativt underlagt FAD Direktør Georg Apenes 33 medarbeidere - Fire avdelinger Håndhever personopplysningsloven, helseregisterloven Tilsynsmyndighet etter esignaturloven og SIS-loven Vedtak kan påklages til Personvernnemnda Faglig uavhengig Beslutningene er endelige og kan bare omgjøres gjennom søksmål 01.10.2009 Side 3
Personopplysningsloven Overtok for personregisterloven av 1978 Bygger på EUs personverndirektiv (95/46/EF) I kraft fra 01.01.2001 Personopplysningsforskriften Konsesjoner gitt etter personregisterloven er ikke lenger gyldige 01.10.2009 Side 4
Formål - 1 Beskytte den enkelte mot at personvernet blir krenket gjennom behandling av personopplysninger 01.10.2009 Side 5
Hva er personvern? Personlig integritet Privatlivets fred Retten til bestemme over opplysninger om seg selv Retten til å være i fred 01.10.2009 Side 6
Definisjoner - 2 Personopplysninger Kan knyttes til en enkeltperson ( 2 nr. 1) Behandling av personopplysninger Enhver bruk av personopplysninger ( 2 nr. 2) Personregister Opplysningene er lagret systematisk slik at de lett kan finnes igjen (2 nr. 3) 01.10.2009 Side 7
Virkeområde Behandling av personopplysninger - som helt eller delvis skjer elektronisk ELLER - når opplysningene inngår eller skal inngå i et personregister Unntak: Private formål Kunstneriske, litterære eller journalistiske formål 01.10.2009 Side 8
Forholdet til andre lover Bestemmelsene i loven gjelder for behandling av personopplysninger om ikke annet følger av en særskilt lov som regulerer behandlingsmåten. ( 5) For eksempel arkivloven, offentleglova, regnskapsloven, sosialtjenesteloven, 01.10.2009 Side 9
Sporbarhet og arkivering Utfordring I Hva er det nødvendig å ta vare på og hvorfor. Utfordring II Hvem skal ha tilgang og hvorfor Utfordring III Følger det noen plikter og/eller rettigheter med oppbevaring av personopplysninger
Hva er det nødvendig å ta vare på og hvorfor. Følger av lov eller forskrift (pol 5) Grense mot regnskapslovgivning og arkivlov. Knyttet til formål som er utrykkelig knyttet til formål som er saklig begrunnet i virksomheten. (pol 11) og behandlingsgrunnlag ( 8 og 9) Formålet med innhenting og bruk av opplysningene definerer og begrenser hva de senere kan benyttes til. Skal ikke lagres lenger enn nødvendig (pol 28) Dette bestemmes igjen ut fra formålet
Vilkår for behandlingen - 8 Hjemmel i lov Behandlingen må være forutsatt eller nødvendig for gjennomføringen av loven Mange/følsomme opplysninger = krav til klar hjemmel Samtykke - 2 nr. 7 Eller behandlingen er nødvendig for å oppfylle avtale med den registrerte oppfylle en rettslig forpliktelse ivareta den registrertes vitale interesser utføre oppgave av allmenn interesse utøve offentlig myndighet ivareta en berettiget interesse 01.10.2009 Side 12
Samtykke - 2 nr. 7 - frivillig, - uttrykkelig og - informert - erklæring fra den registrerte om at han eller hun godtar behandling av opplysninger om seg selv. Konkludent adferd er ikke tilstrekkelig Passivitet kan ikke tolkes som et ja 01.10.2009 Side 13
Interesseavveiningen etter 8 f Den behandlingsansvarliges berettigede interesse Hensynet til den registrertes personvern Berettiget interesse 01.10.2009 Side 14
Fødselsnummer - 12 Ikke en sensitiv personopplysning Kan bare nyttes når det er 1. Saklig behov for sikker identifisering og 2. Metoden er nødvendig for å oppnå slik identifisering Må ikke fremkomme av postsendinger eller telekommunikasjon slik at det er tilgjengelig for andre enn adressaten (POF 9-2) ikke utenpå konvolutt eller i åpent kort Bare unntaksvis som KID eller medlemsnummer på regning kryptering ved bruk i Internettløsninger sladding av dokumenter før de legges ut på Internett NB! Selv om en virksomhet har rett til å bruke fødselsnummer i visse sammenhenger, betyr det ikke at det kan og skal brukes i ALLE sammenhenger 01.10.2009 Side 15
Rettigheter og plikter Informasjonsplikt - 19 og 20 Formålet er å gjøre den enkelte i stand til å benytte sine rettigheter etter loven Før innhenting fra den registrerte selv ( 19) Etter innhenting fra andre enn den registrerte selv eller eventuelt før utlevering til andre ( 20) Ved henvendelse eller beslutninger fattet på bakgrunn av personprofiler ( 21) og ved automatiserte avgjørelser ( 22) 30 dagers frist ( 16), gratis ( 17) og skriftlig ( 24) Brudd på informasjonsplikten er straffsanksjonert ( 48 ) 01.10.2009 Side 16
Rett til innsyn - 18 Enhver har rett til grunninformasjon om behandlingen Hva slags behandling av personopplysninger Navn og adresse på den behandlingsansvarlige Hvem som har daglig ansvar for behandlingene Formålet med behandlingen Hvilke typer personopplysninger som behandles Om eventuell utlevering til andre I tillegg kan den registrete kreve å få vite Hva er registrert om meg? Sikkerhetstiltak? Utdypning av informasjonen som gis til enhver Unntak: 18 siste ledd og 23 01.10.2009 Side 17
Retting av uriktige eller mangelfulle opplysninger - 27 Av eget tiltak eller på begjæring Skadereduksjon varsle mottakere av opplysningene Retting skal skje ved markering og supplering sperring eller sletting NB! Særlovgivning kan ha bestemmelser om metoden for retting (f. eks. arkivloven) 01.10.2009 Side 18
Sletting - 28 Sletting skal skje når opplysningene ikke lenger er nødvendig for å gjennomføre formålet Arkivloven kan medføre fortsatt lagring Sletting kan skje når opplysningene er sterkt belastende og Sletting ikke strider mot annen lov og Sletting er forsvarlig ut fra en samlet vurdering Datatilsynet kan vedta sletting av opplysninger som ellers skulle arkiveres jf. arkivloven 9 og 18 Riksarkivaren skal høres først «Mange foretak bryr seg ikke om å sette av ressurser til sletting og opprydding i datalagrene.» Leif Aanensen, Datatilsynet 01.10.2009 Side 19
Lagringstid for personopplysninger Utgangspunkt: nødvendig for formålet ( 28) For en del opplysninger innebærer dette lagring i svært lang tid Regnskapslov, skattelovgivning, arkivlov Arbeidsforhold så lenge arbeidsforholdet varer og i noen tid etterpå Bedriftshistorie hvem var ansatt når og i hvilken stilling Adresselister for pensjonistforeningen og andre velferdstiltak med samtykke Rettssaker til rettskraftig avgjørelse foreligger evt. til foreldelse inntreffer 01.10.2009 Side 20
Informasjonssikkerhet og Internkontroll 13 og 14 Formålet er å sørge for tilfredsstillende sikkerhet Konfidensialitet Integritet Tilgjengelighet Skape og dokumentere rutiner som sikrer at man oppfyller kravene i personopplysningsloven (og helseregisterloven) NB! Brudd på bestemmelsene om informasjonssikkerhet er straffsanksjonert Og det er i hovedsak disse dokumentene Datatilsynet ser på ved eventuelt tilsyn 01.10.2009 Side 21
Oppsummering Formålet med loven er å styrke personvernet Behandling av personopplysninger må ha saklig begrunnelse og være formålsbestemt Behandlingen kan skje på bakgrunn av lov, samtykke eller oppfyllelse av konkrete nødvendighetskriterier Sensitive personopplysninger skal behandles med særlig varsomhet En rettighetslov som gir den enkelte øket kontroll med opplysninger om seg selv Loven krever dokumenterte rutiner for behandling av personopplysninger 01.10.2009 Side 22
Personopplysningsloven vs. Offentlighetsloven Personopplysningsloven begrenser ikke innsynsrett etter offentleglova, forvaltningsloven eller annen lovbestemt rett til innsyn i personopplysninger. (POL 6, 1. ledd) Hva innebærer det? Innsynsrett = der det ikke foreligger unntak fra offentlighet Ved KAN bestemmelser eller utøvelse av meroffentlighet skal man ta hensyn til personvernkonsekvensene 01.10.2009 Side 23
Kontaktopplysninger Informasjon på www.datatilsynet.no Juridisk: juridisk@datatilsynet.no Sikkerhet: sikkerhet@datatilsynet.no 01.10.2009 Side 24