Hjemmel og kilde
Personvernforordningen (GDPR) artikkel 30 om protokoll over behandlingsaktiviteter, gjennomført i norsk rett ved personopplysningsloven.
Hvorfor unntaket ikke hjelper
Artikkel 30 har et unntak for virksomheter med færre enn 250 ansatte, men unntaket faller bort blant annet når behandlingen ikke er leilighetsvis, når den kan medføre risiko for de registrertes rettigheter, eller når den omfatter særlige kategorier av opplysninger. Lønn, timeregistrering, sykefravær og kunderegister er ikke leilighetsvis behandling — det skjer hver måned, hele året.
Konsekvensen er at praktisk talt enhver arbeidsgiver skal ha protokoll. Den trenger ikke være stor, men den skal finnes, og den er som regel det første Datatilsynet ber om når de kontakter en virksomhet.
Hva protokollen skal inneholde
Protokollen skal for hver behandlingsaktivitet vise formålet, hvilke kategorier registrerte og personopplysninger som behandles, hvem opplysningene deles med, eventuell overføring til land utenfor EØS, planlagte slettefrister, og en generell beskrivelse av de tekniske og organisatoriske sikkerhetstiltakene. Kontaktopplysninger til den behandlingsansvarlige skal også med.
For en elektrikerbedrift er listen over aktiviteter ganske forutsigbar, og det er nettopp derfor protokollen er overkommelig å lage. Den er ikke et juridisk dokument — den er en oversikt over hva dere faktisk gjør med opplysninger om folk.
- Kunderegister med kontaktopplysninger og oppdragshistorikk.
- Personalopplysninger: lønn, timer, sykefravær, kompetansebevis.
- Rekruttering: søknader og CV-er.
- Sporing og flåtestyring i servicebilene.
- Bilder fra jobber der personer eller boliger kan identifiseres.
Hvordan holde den i live
Protokollen skal være oppdatert, og den blir utdatert i det øyeblikket dere tar i bruk et nytt system. Knytt derfor oppdateringen til en hendelse dere uansett har: hver gang bedriften tar i bruk en ny leverandør eller et nytt verktøy som håndterer personopplysninger, skal protokollen og listen over databehandlere oppdateres samtidig.
Det er også praktisk å bruke protokollen som utgangspunkt for slettefristene. Har du først skrevet ned hvor lenge hver kategori skal beholdes, har du gjort mesteparten av jobben med sletterutinen også.
Vanlige spørsmål
Må en bedrift med fem ansatte ha behandlingsprotokoll?
I praksis ja. Unntaket for virksomheter under 250 ansatte gjelder ikke når behandlingen ikke er leilighetsvis, og behandling av ansatt- og kundeopplysninger skjer regelmessig.
Hvem skal se protokollen?
Den skal kunne fremlegges for Datatilsynet på forespørsel. Den er ikke et dokument som skal publiseres, men den er heller ikke hemmelig for de ansatte.
Les videre
- Databehandleravtale — hvilke leverandører den gjelder — Leverandørene i protokollen er som regel de du må ha avtale med.
- Sletting av personopplysninger — og de fristene som slår tilbake — Slettefristene i protokollen er utgangspunktet for sletterutinen.
- GPS-sporing av ansatte — lov, men bare på klare vilkår — Sporing i bilene er en behandlingsaktivitet som må stå i protokollen.
- Kursfortegnelse — dokumentet neste elektriker leser først — Innholdet i en kursfortegnelse, og regelen om at den skal oppdateres ved endring.
- Registrering av skader og sykdom — det lille registeret som avslører mønstre — Hva som skal registreres, hvordan personopplysninger håndteres, og hva registeret brukes til.
- Personvern ved AMS — når strømforbruket forteller når du står opp — Hvorfor måledata er personopplysninger, hvem som har tilgang, og hva kunden må samtykke til.
- Kameraovervåking — lov mot tyveri, ikke mot dårlig arbeidsmoral — Saklig formål, drøfting, skilting og sletting — de fire kravene som avgjør lovligheten.
- Taushetsplikt — det du vet om kundens anlegg er ikke ditt å fortelle — Kontrakten, forretningshemmelighetene og personopplysningene — de tre kildene til taushetsplikt.