Personvern

Personopplysning
Personopplysninger er definert som ”opplysninger og vurderinger som kan knyttes til en enkeltperson”. Dette er regler som berører enhver virksomhet, både i forholdet til egne ansatte og virksomhetens kunder og forbindelser.

Behandling av personopplysning
Personopplysningsloven regulerer når man lovlig kan innsamle, registrere og bruke personopplysninger. Hovedregelen er at det kreves samtykke eller lovhjemmel.

Loven, med tilhørende forskrifter, har også regler om den registrertes innsynsrett og informasjonsplikt om behandlingen av opplysningene. Loven stiller krav om retting, sletting, sperring og komplettering av opplysninger, samt sikkerhetsrutiner og internkontroll av virksomhetens behandling av personopplysninger. Loven regulerer også spørsmålet om eventuell melde- eller konsesjonsplikt.

Datatilsynet
Datatilsynet er organet som er opprettet for å ha tilsyn med at personopplysningsloven følges. Datatilsynet er både tilsynsorgan og ombud for loven. Datatilsynet avgjørelser kan klages inn for personvernnemnda.

Utlevering av personopplysninger
Den som behandler personopplysninger har ansvar for at opplysningene ikke kommer på å avveie, verken internt eller eksternt. Personopplysninger kan som utgangspunkt ikke utleveres til tredjepersoner.

Den som det behandles personopplysninger om har krav på innsyn i egne personopplysninger slik de er registrert.

Melding eller konsesjon til Datatilsynet
Behandling av personopplysninger er som hovedregelen meldepliktig, mens behandling av sensitive personopplysninger er konsesjonspliktig. Det er imidlertid unntak. Meldinger og konsesjonssøknader skal sende Datatilsynet.

Opplysninger om ansatte
Bedrifter lagrer opplysninger om sine ansatte. Hvilke opplysninger som kan registreres og lagres, hvordan opplysningene skal lagres, hvordan man kan gjøre seg bruk av opplysningene, kvaliteten på opplysningene og om opplysningene kan overføres, er regulert i personopplysningsloven.

Opplysninger om eksisterende og potensielle kunder
De fleste bedrifter lagrer kundeopplysninger og opplysninger om potensielle kunder. Personopplysningsloven regulerer når opplysninger kan lagres, hvilke opplysninger som kan lagres og hvordan opplysningene kan brukes, for eksempel til markedsføring er noe mange bedrifter lurer på.

Overvåkning av ansatte
Et økende antall bedrifter er involvert i en eller annen form for elektronisk overvåkning, for eksempel ved videokameraer. Hva som kreves for å iversette slik overvåkning følger av personopplysningsloven. Overvåkning vil regelmessig være meldepliktig.

Innsyn i e-post
De fleste bedrifter vil kunne ha behov for å lese ansattes e-post. Et praktisk spørsmål som ofte dukker opp er dersom en ansatt er borte og e-posten inneholder informasjon bedriften har behov for i sin virksomhet. Spørsmålet om innsyn dukker også ofte opp i forbindelse med saker hvor det er spørsmål om arbeidstaker har opptrådt illojalt.

For å avklare tvil om når bedriften kan lese ansattes e-post, bør dette reguleres i arbeidsinstruks eller personalhåndbok. Vår erfaring er at det er betydelige mangler på kunnskap og rutiner på slike spørsmål.

Vårt råd er at instrukser for innsyn bør gjelde ikke bare for e-post, men for all bruk av bedriftens datasystemer, også med hensyn til bruk av Internett, nedlasting og lagring av filer på bedriftens utstyr.

Personprofil
Når en virksomhet kombinerer opplysninger og ut i fra disse knytter antagelser om for eksempel adferd, evner, preferanser eller behov, kalles dette en personprofil. For eksempel vil opplysninger om navn, adresse, inntekt, varegruppekjøp, pris på vare og tidspunkt for kjøp sammen kunne danne grunnlaget for en personprofil.

Det følger av personvernloven at den som bruker personvernprofiler må gi ekstra informasjon hver gang man tar kontakt med en kunde på bakgrunn av en personvernprofil. Det må opplyses om hvem som er behandlingsansvarlig, hvilke opplysningstyper som er anvendt og hvor opplysningene er hentet fra.

Informasjonssikkerhet
Det følger av personopplysningsloven § 13 at den behandlingsansvarlige plikter å sørge
for tilfredsstillende informasjonssikkerhet ved behandling av personopplysninger. Plikten omfatter både sikring mot at uvedkommende får tilgang og en plikt til å sørge for at personopplysingene som lagres er korrekte.
 

Det må foretas en konkret vurdering av om privatlivets fred er krenket. Faktorer som kan spille inn ved bedømmelsen er hvor nærgående og intim opplysningen er, om opplysningen er negativ eller positiv for den som omtales, om den er riktig, og om den fremtrer som sjikanøs. Hensynet til ytringsfriheten spiller inn ved bedømmelsen av om privatlivets fred er krenket slik at de hensyn som begrunner at det er en krenkelse må veies opp mot de konsekvenser dette medfører for ytringsfriheten.

Det er visse unntak fra kravet om samtykke. For det første kan et bilde gjengis offentlig uten samtykke dersom avbildningen har aktuell og allmenn interesse. Videre er det gjort unntak der avbildningen av personen er mindre viktig enn hovedinnholdet i bildet. Det er også gjort unntak for bilder som gjengir forsamlinger, folketog i friluft eller forhold eller hendelser som har allmenn interesse.

Dersom en som er avbildet kan nedlegge forbud mot at bildet blir brukt i strid med Åndsverkslovens § 45c). Det kan i verste fall være svært kostbart å måtte trekke tilbake en markedsføringskampanje fordi et bilde ikke er klarert. Det vil da være en god investering å ha investert i en gjennomgang av avtalene på forhånd.