Personvern: rettighetene dine på nett og GDPR

Hva er personopplysninger?

En personopplysning er enhver opplysning om en identifiserbar person. Det kan være navnet ditt, adressen din, et bilde av deg, e-postadressen din eller IP-adressen enheten din får når du går på nettet. Selv opplysninger som ikke navngir deg direkte, kan være personopplysninger hvis de kan brukes til å peke ut akkurat deg.

Når en virksomhet samler inn og bruker slike opplysninger, kalles det behandling. Virksomheten som bestemmer hvordan og hvorfor opplysningene behandles, er behandlingsansvarlig. Du – personen det gjelder – kalles registrert.

Hvordan henger GDPR og personopplysningsloven sammen?

GDPR (personvernforordningen) er en EU-forordning som gjelder i alle EU- og EØS-land. Norge er med i EØS-samarbeidet, og forordningen er derfor innarbeidet i norsk rett gjennom personopplysningsloven av 15. juni 2018. Bakgrunnen er EØS-avtalen og hva den betyr for Norge, som gjør at denne typen EU-regler også gjelder her i landet.

Dersom norsk lov og forordningen kommer i konflikt, går forordningen foran. Alle norske regler om personopplysninger må passe inn i GDPR-systemet, slik EØS-loven bestemmer. Dette er et godt eksempel på at Norge er bundet av EU-regler selv om vi ikke er medlem – se også hvordan EU er bygd opp og fungerer.

Reglene gjelder også virksomheter utenfor EU/EØS. En amerikansk netthandel som selger varer til personer i Norge og sporer adferden deres, må følge reglene og utpeke en representant i EU/EØS.

Hvilke rettigheter har du?

GDPR gir deg flere konkrete rettigheter overfor den som behandler opplysningene dine. Virksomheter skal som hovedregel oppfylle rettighetene uten kostnad for deg, og innen en måned.

Opplysninger skal også slettes når de ikke lenger er nødvendige for formålet de ble samlet inn for. Dette prinsippet kalles lagringsbegrensning.

Er retten til sletting absolutt?

Nei. «Retten til å bli glemt» har grenser. Du kan kreve sletting, men virksomheten må ikke alltid etterkomme kravet. Den kan nekte hvis et unntak gjelder, for eksempel at den er pålagt å oppbevare opplysningene av rettslige grunner eller har en opplysningsplikt. Det er også derfor spillselskaper krever ID-verifisering før de betaler ut gevinster – se denne forklaringen av hvordan verifisering hos spillselskaper fungerer.

Ved en sletteforespørsel skal virksomheten svare uten ugrunnet opphold, og senest innen en måned – i enkelte tilfeller kan fristen forlenges med inntil to måneder. Er du under 18 år og bruker sosiale medier, kan du be om sletting av opplysninger du la ut da du var yngre – se også sosiale medier, påvirkning og algoritmer.

Hva krever loven av virksomheter?

Behandlingen skal være gjennomsiktig, forståelig og ikke skje på fordekte eller manipulerende måter. Dette er de grunnleggende personvernprinsippene. Samtykke – et frivillig, konkret og informert ja som kan trekkes tilbake – er ett av flere lovgrunnlag for behandling. Hvordan et gyldig samtykke skal se ut, er forklart i samtykke og loven.

Skal en virksomhet bruke informasjonskapsler (cookies) på nettsiden sin, må den innhente ditt samtykke på forhånd, i tillegg til å informere deg om behandlingen, gjerne i en personvernerklæring. Informasjonen skal gis kortfattet, åpent og lett tilgjengelig – særlig når den er rettet mot et barn.

Gjelder loven overalt?

Nei, det finnes unntak. Behandling du gjør i helt private sammenhenger – som å ha en adressebok på mobilen eller kameraovervåking av eget hus – omfattes ikke. Men den samme kameraovervåkingen i en butikk er omfattet, fordi butikken er en virksomhet.

Myndigheter som behandler opplysninger for å forebygge, etterforske eller forfølge straffbare forhold, følger heller politiregisterloven. Her spiller hensynet til å oppklare kriminalitet sammen med personvernet, et spenningsforhold som er forklart nærmere i artiklene om rettsstaten og kriminalitet i Norge.

Hvem fører tilsyn i Norge?

Datatilsynet er norsk tilsynsmyndighet for personvern. Myndigheten forvalter personopplysningsloven og GDPR i Norge, og du kan klage til Datatilsynet hvis du mener en virksomhet bryter reglene. Personvern henger også tett sammen med menneskerettighetene, særlig retten til et privatliv.

For råd om å ta vare på det digitale fotsporet ditt, se nettvett og regler for trygg nettbruk.