Hjemmel og kilde
Personvernforordningen artikkel 13 og 14 om informasjonsplikt, og artikkel 12 om at informasjonen skal være lett tilgjengelig og forståelig.
Hva den må inneholde
Hvem er behandlingsansvarlig, hvilke opplysninger behandles, til hvilke formål, med hvilket behandlingsgrunnlag, hvem opplysningene deles med, hvor lenge de lagres, og hvilke rettigheter den registrerte har — innsyn, retting, sletting, klage til Datatilsynet.
Språket skal være forståelig. En erklæring full av juridiske formuleringer oppfyller ikke kravet om at informasjonen skal være lett å forstå, og den er dessuten ubrukelig for kundene dine.
De ansatte skal også informeres
Punktet som oftest glemmes er de ansatte. Bedriften behandler mengder av personopplysninger om dem: lønn, fravær, timeregistrering, posisjonsdata hvis det brukes, bilder, kontaktopplysninger og pårørende.
De har krav på den samme informasjonen. En egen erklæring for ansatte, eller et kapittel i personalhåndboken, dekker dette — og den bør beskrive kontrolltiltak som er innført, slik at informasjonsplikten etter arbeidsmiljøloven også oppfylles.
- Én erklæring for kunder og besøkende.
- Én for ansatte, med kontrolltiltakene beskrevet.
- Oppdater ved nye systemer eller nye formål.
- Skriv den slik at en vanlig leser forstår den.
Malen må tilpasses virkeligheten
En nedlastet mal beskriver som regel behandlinger du ikke har, og mangler dem du faktisk har. Har du en app som samler posisjon, en kundeportal, kameraovervåking på lageret eller et system som lagrer bilder fra kundens hjem, må det stå der.
Start derfor med en enkel oversikt over hvilke systemer bedriften faktisk bruker og hva de inneholder. Den oversikten trenger du uansett — den er også grunnlaget for protokollen over behandlingsaktiviteter og for databehandleravtalene.
Vanlige spørsmål
Holder det å ha erklæringen på nettsiden?
For kunder og besøkende er en lett tilgjengelig erklæring på nettsiden normalt tilstrekkelig. Ansatte bør få informasjonen direkte, ikke bare via nettsiden.
Må vi ha personvernombud?
Personvernombud kreves i bestemte tilfeller etter forordningen, typisk ved omfattende behandling av sensitive opplysninger eller systematisk overvåking i stor skala. Vanlig elektrikerdrift utløser normalt ikke kravet.
Må vi ha protokoll over behandlingsaktiviteter?
Plikten har unntak for mindre virksomheter, men unntaket er snevrere enn mange tror. En enkel oversikt er uansett nyttig, og den koster lite å lage.
Les videre
- Hva gjør jeg når noen ber om innsyn? — Erklæringen lover rettigheter du må kunne oppfylle i praksis.
- Må jeg ha databehandleravtale med systemleverandøren? — Samme systemoversikt ligger til grunn for begge deler.
- Sluttkontroll og internkontroll: hva er forskjellen? — Én kontroll gjelder anlegget, den andre gjelder bedriften. Begge kan bli sjekket.
- Hvem må ha yrkesskadeforsikring? — Alle arbeidsgivere, fra første ansatte — og uten forsikring hefter bedriften selv.
- Kan jeg lese de ansattes jobbepost? — Bare ved driftsnødvendighet eller begrunnet mistanke om grovt pliktbrudd — med varsel.