Hva er personvern som standard?
Innebygd personvern inkluderer krav om personvern som standard. Artikkelen understreker at alle behandlingsmidler må ha bygget inn standardinnstillinger slik at løsningen alltid skal være mest mulig personvernfremmende og minst mulig inngripende med tanke på de registrertes rettigheter og friheter.
Som standard skal de registrerte kunne håndheve sine rettigheter og friheter på en effektiv måte. Som standard skal behandlingsansvarlige kun samle inn og behandle personopplysninger som er nødvendige og i tråd med det rettslige grunnlaget for behandlingen (åpnes i ny fane).
Eksempel: samtykke i avkrysningsboks
Et eksempel på dette er innsamling av samtykke ved bruk av avkrysningsbokser. Som standardinnstilling må avkrysningsboksen ikke være forhåndsavkrysset for at den registrerte skal selv kunne avgi sitt samtykke ved en aktiv handling, dvs. ved å krysse av for samtykket. Les mer om aktivt samtykke (åpnes i ny fane).
Fokus rettes videre mot dataminimeringsprinsippet, som tilsier at man ikke skal behandle mer personopplysninger enn det som er nødvendig for formålet. Dataminimering skal gjelde ved innsamling av personopplysninger, men også ved antall behandlinger som gjøres på opplysningene, lagringen av opplysningene og eventuell gjenbruk av opplysningene til nye formål. Dataminimeringen skal være standard utgangspunkt ved utforming av alle behandlingsaktiviteter.
Ved bruk av programvare som er ferdig utviklet, må behandlingsansvarlig konfigurere programvaren slik at funksjoner som ikke er strengt nødvendig for behandlingen skrus av før programvaren tas i bruk. Innstillingene som effektivt ivaretar de registrertes rettigheter skrus på.
Kravet om personvern som standard gjelder også for organisatoriske tiltak.
TIPS:
- Test om formålet kan oppnås med de mest personvernfremmende og minst inngripende tiltakene. Funksjonalitet og behandling kan endres etter hvert dersom det viser seg at dette er nødvendig for formålene som er satt og at eventuell økt behandling kan forankres i det rettslige grunnlaget for behandlingen.
- All intern behandling, som for eksempel oppslag, overføring, viderebehandling, osv., må ha rettslig grunnlag og kunne forankres i nødvendighetsprinsippet.
- Ved dynamiske kontrakter plikter den behandlingsansvarlige å påse at personvern som standardinnstilling ivaretas.
- Typer tilgang til personopplysninger baseres på tjenstlig behov.
Under presenterer vi nærmere ulike sider av dataminimeringsprinsippet som er særlig relevante for innebygd personvern som standard.
Innsamling av personopplysninger
Virksomheter skal kun samle inn personopplysninger som er nødvendige for formålet med behandlingen. Det gir økt risiko å samle inn flere personopplysninger både for virksomheten og for den registrerte. Det må derfor foretas en nøye vurdering av hvilke mengder, kategorier, og detaljnivå av personopplysninger som trengs for å oppnå formålet man har satt for behandlingen.
Dersom det samme formålet kan oppnås ved bruk av færre eller mindre inngripende personopplysninger, skal man ikke samle inn tilleggsopplysninger.
TIPS:
- Minimér og begrens mengden av innsamlede og behandlede personopplysninger til det tillatte og kun det som er absolutt nødvendig.
- «Select before you collect»
Behandlingens omfang
Behandlingene som utføres på personopplysningene skal begrenses til det som er nødvendig. Med behandling menes innsamling, lagring, aksessering, og sletting, m.m. Behandlingen kan bestå av flere steg, men man skal begrense antallet behandlinger til det minimale. Eventuell viderebehandling skal være forenlig med opprinnelig formål. Les mer om formålsbegrensning (åpnes i ny fane).
TIPS:
- Minimér og skjul:
- Kan personopplysningene behandles mer granulert, f.eks. som aggregerte eller pseudonymiserte personopplysninger?
- Separér:
- Kan personopplysningene lagres separat slik at man kan unngå urettmessig kobling og lenking mellom ulike datasett?
- Kan personopplysninger separeres og lagres ulikt etter beskyttelsesgrad
Lagringstid
Personopplysninger skal ikke lagres lenger enn det som er nødvendig for formålet. Virksomheter må fastsette hvor lenge personopplysninger kan lagres i henhold til prinsippet om nødvendighet og begrunne lagringstiden i henhold til kravet om ansvarlighet. Standardinnstillinger eller rutiner skal innrettes slik at personopplysninger automatisk eller manuelt slettes etter fastsatt tid.
TIPS:
- Slett personopplysninger når de ikke er lenger er nødvendig for formålet.
- Dette gjelder for all lagring, også i backup, hos databehandlere, o.l.
Anonymisér dersom det fremdeles er behov for opplysningene, uten at disse behøver å være tilknyttet personer. Anonymisering likestilles med sletting av personopplysninger (åpnes i ny fane).
Tilgangsstyring
Tilgang regulerer hvem som skal ha hvilken type tilgang til personopplysninger. Tilgang skal som standard være basert på tjenstlig behov ut ifra en nødvendighetsvurdering. Tilgangsstyringen skal ivaretas i alle ledd av dataflyten.
De registrerte må som standard kunne påvirke eller intervenere dersom personopplysningene gjøres tilgjengelig for et ubegrenset antall personer. Ved slik tilgjengeliggjøring økes risikoen for den registrerte, særlig med hensyn til spredning på internett og via søkemotorer. Det er spesielt viktig når det er snakk om barn og andre sårbare grupper.
Hva som anses som muligheten til å intervenere varierer basert på konteksten av behandlingen. Et eksempel på muligheten til å intervenere kan være å be om samtykke før publisering, et annet er å ha personverninnstillinger der de registrerte selv kan velge ytterligere grad av tilgjengeliggjøring.
TIPS:
- Etablér prosedyrer eller rutiner for hvilke roller som skal ha tilgang til ulike typer personopplysninger og hvilken type tilgang den enkelte har behov for i sitt arbeid.
- Revidér tilgangsstyringen regelmessig
- Sørg for gode prosedyrer og rutiner ved offentliggjøring av personopplysninger, og vurder regelmessig om den registrerte har reell mulighet til intervenering.