Hva er GDPR?

GDPR (General Data Protection Regulation) er EUs personvernforordning som ble innlemmet i norsk lov gjennom personopplysningsloven i 2018. Svar 'Ja' pa eksamen nar du far sporsmålet om GDPR er en del av personopplysningsloven -- dette har vaert et flervalg-sporsmål. GDPR regulerer hvordan personopplysninger samles inn, lagres og behandles. Personopplysninger er enhver opplysning som kan knyttes til en identifiserbar person -- for eksempel navn, e-post, telefonnummer, IP-adresse, biometriske data, eller helsedata. Sensitive personopplysninger (saerlige kategorier) som helseopplysninger, politisk tilhorighet og religiøs overbevisning har strengere vern.

Sentrale prinsipper i GDPR

GDPR bygger pa seks grunnprinsipper for behandling av personopplysninger (artikkel 5):

Lovlighet, rettferdighet og gjennomsiktighet: Behandlingen ma ha et lovlig grunnlag (f.eks. samtykke eller lovhjemmel) og vaere transparent for den registrerte.
Formålsbegrensning: Data skal kun brukes til det oppgitte formalet. Data samlet inn for ett formal kan ikke uten videre brukes til noe annet.
Dataminimering: Kun nødvendige opplysninger skal samles inn -- ikke samle inn mer enn du trenger.
Riktighet: Opplysningene skal vaere korrekte og oppdaterte. Den registrerte har rett til a fa rettet uriktige opplysninger.
Lagringsbegrensning: Data skal ikke lagres lenger enn nodvendig for formalet. Nar formalet er oppfylt, skal data slettes eller anonymiseres.
Integritet og konfidensialitet: Passende sikkerhetstiltak skal ivaretas for a beskytte mot uautorisert tilgang, tap eller skade.

Samtykke

Samtykke er et av de viktigste rettslige grunnlagene for a behandle personopplysninger. GDPR definerer samtykke som enhver frivillig, spesifikk, informert og utvetydig viljesytring fra den registrerte. Hvert av disse fire kravene er viktige a forsta:

Frivillig: Den registrerte ma ha et reelt valg og ma kunne nekte uten negative konsekvenser. Man kan ikke kreve samtykke som vilkar for en tjeneste dersom samtykket ikke er nodvendig for tjenesten.
Spesifikt: Samtykket ma gjelde et bestemt formal, ikke en generell godkjenning av all mulig databehandling.
Informert: Den registrerte ma fa tydelig informasjon om hvem som behandler data, hvilket formal, hvilke data, og hvilke rettigheter de har.
Utvetydig: Det ma vaere en aktiv handling (f.eks. avkryssing av en boks), ikke passivt samtykke. Forhandsutfylte avkryssingsbokser er IKKE gyldig samtykke.

Det er sanksjoner for brudd pa personopplysningsloven i Norge -- opp til 4% av virksomhetens globale arsomsetning eller 20 millioner EUR, avhengig av hva som er hoyest. Sanksjonene gjelder bade for private bedrifter og offentlige virksomheter.

Roller i GDPR

Behandlingsansvarlig er den organisasjonen som bestemmer formalet med og midlene for behandlingen av personopplysninger. Databehandler er den som behandler personopplysninger pa vegne av den behandlingsansvarlige -- f.eks. en skyleverandor eller et eksternt IT-selskap. Den registrerte er personen opplysningene gjelder og har rettigheter som innsyn, retting og sletting. Datatilsynet er tilsynsmyndigheten i Norge med ansvar for a kontrollere at GDPR folges.

Samtykkeskjema

Et samtykkeskjema for en brukerundersokelse skal inneholde: formal med undersokelsen, hvem som er behandlingsansvarlig (institusjon og kontaktperson), hvilke data som samles inn og hvorfor, hvordan data lagres og beskyttes, hvor lenge data oppbevares for sletting, at deltakelse er helt frivillig og kan trekkes tilbake nar som helst uten begrunnelse, og kontaktopplysninger til ansvarlig person og personvernombud.

Eksempel 1: Samtykke i brukerundersokelse (V2020)

Du planlegger en brukerundersokelse med eldre brukere (75+) om en videotjeneste (Zoom). Samtykket ma vaere frivillig (ingen press om a delta, ingen negative konsekvenser ved a takke nei), spesifikt (klart at det gjelder denne konkrete undersokelsen om videotjenesten), informert (forklart pa et forstaelig sprak hva som skjer med dataene, hvem som har tilgang, og at data slettes etter prosjektets slutt), og utvetydig (skriftlig signatur pa samtykkeskjema). For eldre deltakere er det spesielt viktig at informasjonen er lettlest (stor skrift, enkelt sprak), at det gis tilstrekkelig tid til a lese og forsta, og at man forsikrer seg om at samtykket er informert og ikke gitt under press fra pårørende.

Eksempel 2: Roller i GDPR (V2020)

I en brukerundersokelse utfort av UiO: Behandlingsansvarlig er UiO ved fakultetet (bestemmer formalet med undersokelsen og hva som samles inn). Databehandler kan vaere et eksternt firma som transkriberer intervjuer, en skylagringstjeneste der data lagres, eller et analyseselskap. Det ma foreligge en databehandleravtale mellom UiO og databehandleren. Den registrerte er deltakerne i undersokelsen -- de har rett til innsyn i egne data, retting av feil, og sletting (retten til a bli glemt). Datatilsynet er tilsynsmyndigheten som kan kontrollere at GDPR folges og ilegge sanksjoner ved brudd.

Studieguide: Personvern og GDPR