Reglene for behandling av personopplysninger bygger på noen grunnleggende prinsipper. Alle som behandler personopplysninger må opptre i samsvar med disse prinsippene. Denne veilederen er en utredning av personvernprinsippene slik de er beskrevet i personvernforordningens artikkel 5. Veilederen baserer seg også på artikkel 6 og 9 i forordningen.
Det må finnes et rettslig grunnlag for den behandlingen en virksomhet ønsker å gjøre. Forordningens artikkel 6 regulerer i hvilke tilfeller det skal anses lovlig å behandle personopplysninger. Minst ett av vilkårene i denne bestemmelsen må være oppfylt for at behandlingen er tillatt. Dersom det behandles sensitive personopplysninger må i tillegg minst ett av vilkårene i artikkel 9 være oppfylt.
Eksempler på tiltak som kan etableres for å oppnå dette er:
De følgende personopplysningene kan medlemmet fritt gi eller trekke tilbake samtykke til uten at det har noen følger for medlemskapet. Samtykke kan gis i søknadsskjema og senere endres av medlemmet når innlogget på nettside eller ved skriftlig henvendelse (e-post eller brev).
Behandling av personopplysninger skal være oversiktlig og forutsigbar for den registrerte. Den det behandles opplysninger om skal være informert om dette. Gjennomsiktighet bidrar til å skape tillit og det setter den registrerte i stand til å bruke sine rettigheter og ivareta sine interesser.
Ethvert formål med behandling av personopplysninger skal identifiseres og beskrives presist.Alle formål skal være forklart på en måte som gjør at alle berørte har samme entydige forståelse av hva personopplysningene skal brukes til. At formålet skal være legitimt innebærer at det i tillegg til å ha et rettslig grunnlag også skal være i samsvar med øvrige etiske og rettslige samfunnsnormer.
Hvis personopplysninger skal gjenbrukes må behandlingen enten være lovfestet eller det må innhentes nytt samtykke. Sentrale momenter i vurderingen av om en behandling er uforenelig med det opprinnelige formål er:
Merk: Gjenbruk av personopplysninger til arkivformål i allmenhetens interesse, vitenskapelige eller historiske forskningsformål eller til statistiske formål er ikke uforenelig med opprinnelig formål dersom behandlingen er underlagt nødvendige garantier.
Prinsippet om dataminimering innebærer å begrense mengden innsamlede personopplysninger til det som er nødvendig for å realisere innsamlingsformålet. Dersom identitets opplysninger eller personopplysninger ikke er nødvendige for å oppnå formålet, taler dataminimalitetsprinsippet i retning av å ikke samle dem inn. Dataminimalitetsprinsippet kan også være relevant i vurderingen av hvor stort antall personer som skal registreres i et datasett.
Personopplysninger som behandles skal være korrekte. Opplysningene skal også oppdateres hvis det er nødvendig. Dette betyr at behandlingsansvarlig må sørge for å straks slette eller rette personopplysninger som er uriktige med hensyn til de formål de behandles for.
Prinsippet om lagringsbegrensning innebærer at personopplysninger skal lagres slik at de slettes eller anonymiseres når de ikke lengre er nødvendige for formålet de ble innhentet for.
«Retten til å bli glemt» er et viktig prinsipp i den nye loven. Samtidig må dette ikke gå ut over krav andre lover stiller, så vi kan ikke slette personer fra timebestillingssystemet da dette vil bryte bokføringslovgivningen. Dersom noen ønsker å få slettet sin journal, vil dette kunne gjøre at ansvarforsikringen ikke lengre gjelder for vedkommende. Minimum lagringstid er 5 år. Vi vil komme med tilbake med klare råd på dette området etter hvert.
Personopplysninger skal behandles slik at opplysningenes integritet og konfidensialitet beskyttes.
Prinsippet om ansvarlighet understreker den behandlingsansvarliges ansvar for å opptre i samsvar med reglene for behandling av personopplysninger. Deter ikke nok å bare ha ansvaret – man må vise at man tar ansvaret. Den behandlingsansvarlige må opptre proaktivt og etablere alle nødvendige organisatoriske og tekniske tiltak for å sikre at regelverket etterleves til enhver tid. Virksomheten må også kunne vise at den faktisk opptrer i samsvar med reglene.