Kommunikasjon
Behandle personopplysninger på nettsteder
Det er vanlig for bedrifter å behandle personopplysninger på nettsteder.
Kan bedrifter publisere bilder av sine ansatte på nettstedet?
Dette avhenger av. Arbeidsgivers offentliggjøring av et bilde av en ansatt kan oppfattes som et brudd på arbeidstakerens personvern. Derfor kan det være nyttig for arbeidsgiveren å først analysere behovet for behandlingen. I noen bransjer er det en standard, og det er derfor vanligvis ikke et spørsmål om forakt for å utføre behandlingen. For eksempel meglere i et meglerbyrå. I tillegg kan visse roller i et selskap bety at det kan være hensiktsmessig å publisere bildet og teksten til personen på nettstedet.
Rettslig grunnlag for å støtte behandlingen ved publisering av bilder av ansatte
Berettiget interesse
Berettiget interesse kan være et hensiktsmessig rettslig grunnlag for å støtte behandlingen, dersom yrket eller jobbrollen er en som dette kan forventes på. For eksempel personer i kontakt med eksterne relasjoner.
Kontrakt med den registrerte
Hvis det er nødvendig for den ansatte å ha et bilde på nettstedet for utførelsen av hans / hennes oppgaver. Vær oppmerksom på at det er nyttig å gjøre dette klart i kontrakten med den ansatte.
Samtykke er ikke tilstrekkelig
Samtykke er vanligvis et uhensiktsmessig rettslig grunnlag å bruke når maktforholdet mellom partene er ulikt, slik det er mellom arbeidsgivere og arbeidstakere. Samtykke bør derfor ikke brukes til å støtte behandlingen knyttet til publisering av bilder av ansatte. På den annen side kan det være nyttig å spørre den ansatte, men i slike tilfeller er det viktig å ha et annet rettslig grunnlag for behandlingen.
Hvis bilde eller tekst utgjør sensitive personopplysninger
I noen tilfeller kan bilder og/eller tekst utgjøre sensitive personopplysninger. Behandling kan tillates, men reglene er strengere.
Behandling av personopplysninger på nettsteder for journalistiske formål
Hvis behandlingen av personopplysninger på nettstedet utføres for journalistiske formål, gjelder spesifikke regler. I dette tilfellet kan det være tillatt å behandle bilder, lydfiler, tekster og lignende i arkiver.
Informasjonen på nettstedet kan være dekket av en grunnleggende lov om ytringsfrihet
Hvis det er en grunnleggende lov om ytringsfrihet som regulerer innholdet på et nettsted, gjelder ikke GDPR i disse delene, da den grunnleggende loven er over GDPR. For eksempel er et medieselskap ofte beskyttet av den grunnleggende loven om ytringsfrihet. Det samme gjelder dersom et selskap har mottatt utstedelsesbevis fra vedkommende myndighet.
Personvernerklæringen skal være tilgjengelig og publisert på nettstedet
Selskapene skal informere de registrerte om behandlingen av deres personopplysninger. Dette tar vanligvis form av en personvernerklæring, som skal publiseres på nettstedet. I en personvernerklæring må selskapene blant annet gi informasjon om formålet med behandlingen, varigheten av behandlingen, rettighetene til de registrerte osv. i samsvar med artikkel 13 til 14 i GDPR.
En vanlig feil mange selskaper gjør på sine nettsteder
Mange bedrifter har en meldingsfunksjon på nettstedet der besøkende enkelt kan sende inn spørsmål eller bestillinger. For eksempel et kontaktskjema. For å sende meldingen må nettstedets besøkende vanligvis fylle ut hans / hennes personlige data, for eksempel navn og e-postadresse, for at selskapet skal kunne svare på meldingen. En vanlig feil er å ikke informere om behandlingen av personopplysningene når den besøkende på nettstedet sender meldingen. Opplysningene om behandlingen bør, der det er mulig, gis før innsamlingen av personopplysningene.
For eksempel kan selskapet skrive følgende tekst i kontaktskjemaet, plassere den før «send» -knappen, og lenke til personvernerklæringen: ”Vi behandler dine personopplysninger i henhold til vår personvernerklæring.”
Er informasjonskapsler personopplysninger?
Ja, informasjonskapsler er personopplysninger, og derfor gjelder reglene i GDPR for bruk av informasjonskapsler.
Aktivt samtykke kreves for frivillige informasjonskapsler
Bruken av ikke-essensielle informasjonskapsler på nettstedet krever samtykke fra nettstedets besøkende. Det må være aktivt samtykke, noe som blant annet betyr at den besøkende selv skal krysse av samtykkeboksen. Den bør med andre ord ikke forhåndsmerkes. På den annen side har selskaper lov til å behandle de nødvendige informasjonskapslene uten samtykke.
Mer om GDPR
Sende personopplysninger via e-post
Det er vanlig for bedrifter å bruke e-post som et kommunikasjonsmiddel. Det innebærer behandling av personopplysninger dersom e-postadressen eller meldingsinnholdet inneholder personopplysninger. I slike tilfeller gjelder GDPR. Vær oppmerksom på at ukrypterte e-poster ikke anses som tilstrekkelig sikre ved behandling av personvernsensitive personopplysninger, for eksempel sensitive personopplysninger. Arbeidsgiver skal for eksempel ikke sende lønnsslipp med opplysninger om sykefravær via ukryptert e-post.