GDPR artikkel 5: prinsipper for behandling av personopplysninger

Hva artikkel 5 krever, og hvorfor den gjelder alt

Artikkel 5 i GDPR, som begynte å gjelde i 2018, fastsetter de grunnleggende prinsippene for lovlig behandling av personopplysninger, og et krav om at den behandlingsansvarlige må kunne påvise at prinsippene følges. Dette er ikke en engangssjekk dere krysser av før lansering. Kravene gjelder hver gang dere samler inn, bruker, deler eller lagrer opplysninger om noen.

Mange behandler artikkel 5 som en innledning til resten av regelverket. Det er misvisende. Kravene til informasjon, samtykke, databehandleravtaler og sletting er alle konkrete uttrykk for de samme prinsippene. Artikkel 5 er derfor et godt sted å begynne, og den henger tett sammen med resten av regler for nettsider og netthandel: komplett guide for bedrifter.

For en liten virksomhet betyr prinsippene først og fremst praktiske valg: hvilke felt dere har i et skjema, hvor lenge en kunde blir liggende i registeret, hvem som har tilgang til systemene, og hva dere faktisk skriver i personvernerklæringen. Hva som regnes som personopplysninger og behandling er definert i GDPR artikkel 4: definisjoner og personopplysninger.

De seks prinsippene, ett for ett

Lovlighet, rettferdighet og åpenhet. Behandlingen må ha et rettslig grunnlag, være rimelig overfor personen det gjelder, og være åpen. Lovlighetskravet henger direkte sammen med GDPR artikkel 6: behandlingsgrunnlag for personopplysninger. Åpenhet betyr at informasjon og kommunikasjon om behandlingen skal være lett tilgjengelig og lettfattelig, og at språket er klart og enkelt. En personvernerklæring skrevet for å beskytte virksomheten mer enn kunden oppfyller ikke dette.

Formålsbegrensning og dataminimering. Opplysningene skal samles inn for spesifikke, uttrykkelig angitte og berettigede formål, og ikke viderebehandles på en måte som er uforenlig med disse formålene. I praksis betyr det at et kontaktskjema for kundeservice ikke uten videre kan brukes til nyhetsbrev. Dataminimering betyr at dere ikke skal samle inn mer enn det som er nødvendig for formålet. Et fødselsnummer i et enkelt påmeldingsskjema er et typisk tegn på at noen har tatt med et felt for sikkerhets skyld.

Riktighet og lagringsbegrensning. Opplysningene skal være riktige og om nødvendig oppdaterte, og dere skal ha rutiner for å rette eller slette feil. Lagringsbegrensning betyr at opplysningene ikke skal oppbevares i identifiserbar form lenger enn det som er nødvendig for formålet. Det finnes unntak, blant annet for arkivformål i allmennhetens interesse og for vitenskapelig eller historisk forskning, men unntakene må kunne begrunnes. Standardvalget bør være å slette eller anonymisere.

Integritet og konfidensialitet. Opplysningene skal behandles på en måte som sikrer tilstrekkelig sikkerhet, med egnede tekniske og organisatoriske tiltak. Det handler om tilgangsstyring, sikkerhetskopier, oppdaterte systemer og ikke minst om hvem i virksomheten som faktisk har tilgang til hva. Sikkerhet er ikke bare et IT-spørsmål, det er også et spørsmål om arbeidsrutiner.

Ansvarlighet: dere må kunne vise at det er gjort

Det siste kravet i artikkel 5 er at den behandlingsansvarlige skal kunne påvise at prinsippene følges. Det er en forskjell på å mene at dere har orden, og å kunne dokumentere det for en ansatt, en kunde eller en tilsynsmyndighet. Ansvarlighetsprinsippet er grunnen til at dokumentasjon er en del av personvernarbeidet og ikke et administrativt påheng.

For en liten virksomhet kan dokumentasjonen være enkel: en oversikt over hvilke personopplysninger dere behandler og hvorfor, hvilke systemer som brukes, hvem som har tilgang, hvilke databehandlere dere bruker med avtaler, og hvordan sletting faktisk gjøres. Det viktigste er at rutinene er skrevet ned og at de stemmer med det dere gjør i praksis.

Fallgruven er å lage et omfattende dokument som ingen leser og ingen følger. Da har dere dokumentert noe annet enn virkeligheten. Oppdater oversikten når dere tar i bruk et nytt verktøy eller et nytt skjema, og hold den kort nok til at den blir brukt.

Slik ser prinsippene ut i en liten bedrift

Kontaktskjema på nettsiden. Bestem formålet med skjemaet før dere bygger det, og ta bare med felt dere faktisk trenger for å svare på henvendelsen. Skriv kort hva opplysningene brukes til, og sett en rutine for når henvendelser og opplysninger skal ryddes bort. Legg merke til at en henvendelse som besvares ikke automatisk gir grunnlag for markedsføring i etterkant.

Nettbutikk og kunderegister. Ordreopplysninger må dere beholde så lenge dere har en plikt til det, men markedsføring mot eksisterende kunder er et eget spørsmål med egne vilkår. Ha en tydelig praksis for hvem som kan slå opp i kunderegisteret, og hvorfor. Mange små nettbutikker har god nytte av å se på hvordan nettsiden er satt opp, fordi skjemaer, informasjonskapsler og vilkår henger sammen i ett og samme kundeløp.

Informasjonskapsler og sporing. Først når du vet hvilke verktøy som faktisk kjører på siden, kan du vurdere om behandlingen er lovlig og åpen. Mange oppdager at det ligger sporing fra gamle kampanjer som ingen har ryddet i. Les mer om hva som gjelder i informasjonskapsler på nettsiden: dette sier reglene.

Sletting og tilgang. Prinsippene blir først virkelige når noen har ansvaret. Sett av en fast rutine for å fjerne gamle kunder, henvendelser og kontoer, og gå gjennom tilgangene minst en gang i året. Slå av kontoer når folk slutter.

Vanlige fallgruver som koster mest

Å samle inn alt for sikkerhets skyld. Ekstra felt i skjemaer og ekstra kolonner i regneark skaper risiko uten å gi verdi. Hvert felt dere ikke trenger, er et felt dere må beskytte, rydde og svare på spørsmål om.

Å lagre for alltid. Mange virksomheter har data liggende fra tiden før de hadde noen rutine. En gjennomgang av gamle kundelister, e-postmapper og backuper er ofte det tiltaket som gir mest effekt for minst arbeid.

Å gjenbruke opplysninger til nye formål. En e-postadresse gitt for å få en ordrebekreftelse, er ikke det samme som et samtykke til markedsføring. Når formålet endres, må grunnlaget vurderes på nytt.

Sensitive opplysninger i fritekstfelt. Helseopplysninger eller andre særlige kategorier kan havne i et kommentarfelt uten at noen har tenkt over det. Da må dere både vurdere grunnlaget og hvordan feltet utformes. Se GDPR artikkel 9: særlige kategorier av personopplysninger.

Manglende rutine for retting og sletting. Riktighet og lagringsbegrensning er krav, ikke anbefalinger. Uten en navngitt ansvarlig og en fast fremgangsmåte blir sletting noe som skjer når noen husker det. Vil dere ha hjelp til å få skjemaer, informasjonskapsler og personvernerklæring til å henge sammen, kan dere book en demo med Nettsaga.

Vanlige spørsmål

Hva sier GDPR artikkel 5?

Artikkel 5 fastsetter prinsippene for behandling av personopplysninger: lovlighet, rettferdighet og åpenhet, formålsbegrensning, dataminimering, riktighet, lagringsbegrensning og integritet og konfidensialitet. I tillegg kreves det at den behandlingsansvarlige kan påvise at prinsippene følges.

Hvor mange prinsipper er det i artikkel 5?

Det er seks prinsipper for selve behandlingen, pluss ansvarlighetsprinsippet som sier at dere må kunne dokumentere at kravene er oppfylt.

Hva betyr dataminimering i praksis?

At dere bare samler inn de opplysningene som er nødvendige for formålet. Hvert ekstra felt i et skjema er noe dere må beskytte, holde oppdatert og slette.

Må jeg ha et rettslig grunnlag selv om jeg bare lagrer en henvendelse?

Ja. All behandling av personopplysninger krever et behandlingsgrunnlag etter artikkel 6, også når dere bare svarer på en henvendelse fra en kunde.

Gjelder artikkel 5 også for små bedrifter?

Ja. Prinsippene gjelder alle som behandler personopplysninger, uavhengig av størrelse. Omfanget av dokumentasjon kan tilpasses virksomheten, men kravene til behandlingen endres ikke.