Adgangskontroll og GDPR: slik beskytter du personopplysninger

Hva adgangskontroll og GDPR betyr i praksis

Adgangskontroll behandler personopplysninger når et kort, en kode, en telefon eller en biometrisk metode knytter en person til en bestemt dør, et område eller et tidspunkt. Det er ikke bare selve tilgangen som er relevant. Loggen kan vise bevegelsesmønstre, og den kan kobles mot ansattlister, besøksregistrering eller kamera. Derfor må du vurdere hele systemet, ikke bare låsen.

Start med å avklare hvem som er behandlingsansvarlig. I et borettslag vil styret normalt være det for opplysningene i adgangssystemet. I et næringsbygg med flere leietakere må utleier og leietaker bli enige om roller, formål og hvem som kan se loggene. Uklar rollefordeling er en vanlig feil, og den blir dyr når noen ber om innsyn eller det oppstår en hendelse.

Du trenger et samlet bilde av reglene som gjelder for virksomheten. Regler for nettsider og netthandel: komplett guide for bedrifter gir oversikt over personvern, informasjon og dokumentasjon. For selve definisjonene kan du bruke GDPR artikkel 4: definisjoner og personopplysninger.

Behandlingsgrunnlag og formål: sikkerhet er ikke et blankofullmakt

Sikkerhet og oversikt kan være et godt formål med adgangskontroll. Men formålet må være konkret: hindre uautorisert adgang, beskytte verdier, ivareta brannsikkerhet eller føre oversikt over besøkende. «Vi vil ha kontroll» er for vagt til å begrunne detaljert logging.

Velg behandlingsgrunnlag etter GDPR artikkel 6: behandlingsgrunnlag for personopplysninger. For ansatte er det sjelden heldig å bygge på samtykke, fordi samtykket lett blir mindre frivillig i et arbeidsforhold. Vurder om behandlingen er nødvendig for å oppfylle en avtale, en rettslig forpliktelse eller en legitim interesse, og gjør en konkret vurdering av om inngrepet står i forhold til nytten.

Vurderingen må også omfatte mindre inngripende alternativer. Trenger du både kort og pinkode i loggen, eller holder det med ett av dem? Må alle dører logges, eller bare de kritiske? Kan besøkende få midlertidig tilgang uten å registreres med fullt navn og telefonnummer? Jo mer detaljert loggen er, jo sterkere må begrunnelsen være.

Hvilke opplysninger bør du samle, og hvilke bør du unngå

Samle det du trenger for å administrere tilgang og sikkerhet. Typisk er navn, kortnummer eller brukerid, hvilken dør som er brukt og tidspunkt. Unngå å samle flere opplysninger enn nødvendig, og ikke koble adgangsloggen til lønn, HMS eller kundesystemer uten en klar grunn.

Biometri, som fingeravtrykk eller ansiktsgjenkjenning, er mer inngripende enn et kort eller en kode. Slike opplysninger kan være sensitive, og de kan ikke uten videre erstattes hvis de først er kompromittert. Les mer om hvilke opplysninger som krever særskilt aktsomhet i Sensitive personopplysninger etter GDPR.

Besøksregistrering reiser egne spørsmål. Hvis du ber om telefonnummer for å sende en adgangskode eller varsle om besøk, er det en personopplysning. Se Er telefonnummer personopplysninger etter GDPR? for hvordan du vurderer det. Registrer bare det som trengs for å slippeden inn og for sikkerheten, ikke for markedsføring.

Lagringstid, sletting og tilgang til loggen

Adgangslogger skal ikke ligge for evig. Sett en konkret lagringstid ut fra formålet, og sørg for at sletting skjer automatisk eller etter en dokumentert rutine. En leverandør beskriver 90 dager som et praktisk utgangspunkt for automatisk sletting av passeringsdata. Behandle det som et praktisk eksempel, ikke som en regel som passer alle.

Begrens hvem som kan se loggen. Driftspersonell trenger kanskje tilgang for å løse en sak, men de skal ikke ha fri tilgang til alle bevegelser over tid. Bruk roller, loggføring av oppslag og rutiner for når en leder kan hente ut data. Slett eller anonymiser logger som ikke lenger er nødvendige.

Dokumenter valgene: formål, behandlingsgrunnlag, lagringstid, hvem som har tilgang og hvordan sletting kontrolleres. Dokumentasjonen gjør det lettere å svare på innsynshenvendelser og spørsmål fra ansatte, besøkende eller leietakere.

Informasjon, innsyn og praktiske rutiner

De som registreres, må få forståelig informasjon om hva som logges, hvorfor, hvor lenge og hvem som kan se det. Ansatte bør få dette ved introduksjon, og besøkende bør få det der de registreres. Informasjonen må være konkret, ikke skjult i en lang personvernerklæring.

Ansatte og andre registrerte har rett til innsyn i egne opplysninger. Lag en rutine for hvordan en slik henvendelse besvares, hvem som godkjenner uttrekket og hvordan du unngår å lekke andre personers opplysninger. En adgangslogg kan lett avsløre andres bevegelser hvis den sendes ut uten maskering.

Bruk en databehandleravtale med leverandøren av adgangssystemet når leverandøren behandler opplysninger for dere. Avtal hvilke data som kan brukes, hvor de lagres, hvordan sletting skjer og hvordan hendelser varsles. Sikkerhet i selve systemet er en del av bildet, på samme måte som på nettsiden. Se Sikker nettside: slik beskytter du bedriften for grunnleggende sikkerhetsrutiner.

Lag en enkel oversikt over alle steder der adgang registreres: hoveddør, sideinngang, parkering, lager, serverrom og besøksmottak. Noter hvilket system som brukes, hvem som eier det, hvilke data som lagres og hvor lenge. Ta med både kort, koder, apper og eventuell biometri. Deretter går du gjennom hvert formål og spør om loggingen er nødvendig. Fjern det som ikke har en klar funksjon, og reduser detaljnivået der det er mulig. Sett lagringstid, tilgangsroller og sletting i systemet, og test at det faktisk virker.

Vanlige spørsmål

Er adgangskontroll behandling av personopplysninger?

Ja, når et kort, en kode, en telefon eller biometri knytter en person til en dør og et tidspunkt. Også en enkel besøksliste kan være behandling av personopplysninger. Vurder derfor formål, lagringstid og tilgang også for små systemer.

Kan arbeidsgiver loggføre når ansatte går inn og ut?

Det kan være lovlig med en saklig begrunnelse, for eksempel sikkerhet eller brannsikkerhet, men loggingen må være forholdsmessig og ikke brukes til generell kontroll. Begrens tilgangen til loggen, informer de ansatte og slett data som ikke lenger er nødvendige.

Hvor lenge kan vi lagre adgangslogger?

Det finnes ingen generell fast periode som passer alle. Ta utgangspunkt i formålet, velg en kort lagringstid og dokumenter hvorfor den er valgt. En leverandør kan beskrive 90 dager som et praktisk utgangspunkt, men vurder selv om perioden passer formålet deres.

Kan vi bruke fingeravtrykk i adgangskontrollen?

Bruk biometri bare hvis det er nødvendig og mindre inngripende alternativer ikke er tilstrekkelige. Biometriske opplysninger kan være sensitive, og de krever særskilt aktsomhet. Et kort eller en kode er ofte enklere å erstatte hvis noe går galt.

Må vi ha databehandleravtale med låseleverandøren?

Hvis leverandøren behandler personopplysninger for dere, bør dere ha en databehandleravtale. Avtal lagring, sletting, tilgang og varsling ved hendelser. Sjekk også hvem som er behandlingsansvarlig hvis flere virksomheter deler systemet.