Hva er GDPR?

GDPR (General Data Protection Regulation) er EUs personvernforordning som ble innlemmet i norsk lov gjennom personopplysningsloven i 2018. Svar 'Ja' på eksamen når du får sporsmålet om GDPR er en del av personopplysningsloven -- dette har vært et flervalg-sporsmål. GDPR regulerer hvordan personopplysninger samles inn, lagres og behandles. Personopplysninger er enhver opplysning som kan knyttes til en identifiserbar person -- for eksempel navn, e-post, telefonnummer, IP-adresse, biometriske data, eller helsedata. Sensitive personopplysninger (særlige kategorier) som helseopplysninger, politisk tilhørighet og religiøs overbevisning har strengere vern.

Sentrale prinsipper i GDPR

GDPR bygger på seks grunnprinsipper for behandling av personopplysninger (artikkel 5):

Lovlighet, rettferdighet og gjennomsiktighet: Behandlingen må ha et lovlig grunnlag (f.eks. samtykke eller lovhjemmel) og være transparent for den registrerte.
Formålsbegrensning: Data skal kun brukes til det oppgitte formålet. Data samlet inn for ett formål kan ikke uten videre brukes til noe annet.
Dataminimering: Kun nødvendige opplysninger skal samles inn -- ikke samle inn mer enn du trenger.
Riktighet: Opplysningene skal være korrekte og oppdaterte. Den registrerte har rett til å få rettet uriktige opplysninger.
Lagringsbegrensning: Data skal ikke lagres lenger enn nødvendig for formålet. Når formålet er oppfylt, skal data slettes eller anonymiseres.
Integritet og konfidensialitet: Passende sikkerhetstiltak skal ivaretas for å beskytte mot uautorisert tilgang, tap eller skade.

Samtykke

Samtykke er et av de viktigste rettslige grunnlagene for å behandle personopplysninger. GDPR definerer samtykke som enhver frivillig, spesifikk, informert og utvetydig viljesytring fra den registrerte. Hvert av disse fire kravene er viktige å forstå:

Frivillig: Den registrerte må ha et reelt valg og må kunne nekte uten negative konsekvenser. Man kan ikke kreve samtykke som vilkar for en tjeneste dersom samtykket ikke er nødvendig for tjenesten.
Spesifikt: Samtykket må gjelde et bestemt formål, ikke en generell godkjenning av all mulig databehandling.
Informert: Den registrerte må få tydelig informasjon om hvem som behandler data, hvilket formål, hvilke data, og hvilke rettigheter de har.
Utvetydig: Det må være en aktiv handling (f.eks. avkryssing av en boks), ikke passivt samtykke. Forhandsutfylte avkryssingsbokser er IKKE gyldig samtykke.

Det er sanksjoner for brudd på personopplysningsloven i Norge -- opp til 4% av virksomhetens globale arsomsetning eller 20 millioner EUR, avhengig av hva som er høyest. Sanksjonene gjelder både for private bedrifter og offentlige virksomheter.

Roller i GDPR

Behandlingsansvarlig er den organisasjonen som bestemmer formålet med og midlene for behandlingen av personopplysninger. Databehandler er den som behandler personopplysninger på vegne av den behandlingsansvarlige -- f.eks. en skyleverandor eller et eksternt IT-selskap. Den registrerte er personen opplysningene gjelder og har rettigheter som innsyn, retting og sletting. Datatilsynet er tilsynsmyndigheten i Norge med ansvar for å kontrollere at GDPR følges.

Samtykkeskjema

Et samtykkeskjema for en brukerundersokelse skal inneholde: formål med undersokelsen, hvem som er behandlingsansvarlig (institusjon og kontaktperson), hvilke data som samles inn og hvorfor, hvordan data lagres og beskyttes, hvor lenge data oppbevares for sletting, at deltakelse er helt frivillig og kan trekkes tilbake når som helst uten begrunnelse, og kontaktopplysninger til ansvarlig person og personvernombud.

Eksempel 1: Samtykke i brukerundersokelse (V2020)

Du planlegger en brukerundersokelse med eldre brukere (75+) om en videotjeneste (Zoom). Samtykket må være frivillig (ingen press om å delta, ingen negative konsekvenser ved å takke nei), spesifikt (klart at det gjelder denne konkrete undersokelsen om videotjenesten), informert (forklart på et forstælig språk hva som skjer med dataene, hvem som har tilgang, og at data slettes etter prosjektets slutt), og utvetydig (skriftlig signatur på samtykkeskjema). For eldre deltakere er det spesielt viktig at informasjonen er lettlest (stor skrift, enkelt språk), at det gis tilstrekkelig tid til å lese og forstå, og at man forsikrer seg om at samtykket er informert og ikke gitt under press fra pårørende.

Eksempel 2: Roller i GDPR (V2020)

I en brukerundersokelse utført av UiO: Behandlingsansvarlig er UiO ved fakultetet (bestemmer formålet med undersokelsen og hva som samles inn). Databehandler kan være et eksternt firma som transkriberer intervjuer, en skylagringstjeneste der data lagres, eller et analyseselskap. Det må foreligge en databehandleravtale mellom UiO og databehandleren. Den registrerte er deltakerne i undersokelsen -- de har rett til innsyn i egne data, retting av feil, og sletting (retten til å bli glemt). Datatilsynet er tilsynsmyndigheten som kan kontrollere at GDPR følges og ilegge sanksjoner ved brudd.

Studieguide: Personvern og GDPR

Studieguide: Personvern og GDPR