Datatilsynets avviksrapporter viser at personopplysninger på avveie ofte skyldes svikt i interne rutiner og kontroller – også når opplysningene skal slettes. Jo større bedrift, desto større blir følgene ved en slik hendelse. Derfor bør du ha god kontroll på hva som skjer med ‘datasøppelet’ etter det kastes.
De fleste bedrifter og organisasjoner har på ulike tidspunkt behov for å samle inn og behandle personopplysninger knyttet til enkeltpersoner, som:
Større virksomheter håndterer enorme mengder personopplysninger. Feilaktig eller mangelfull sletting av slike data kan få alvorlige konsekvenser, inkludert millionbøter og omdømmetap.
Personopplysningsloven regulerer innsamling og behandling av personopplysninger, enten det er på papirdokumenter eller digitalt. Det er regler om blant annet:
Når dataene slettes, kan ikke du som daglig leder overlate datasøppelets skjebne til tilfeldighetene. Du har et juridisk ansvar for at all håndtering og sletting av personopplysninger skjer i tråd med regelverket. Sørg for at du har klare rutiner for sikker makulering og datasletting – og en pålitelig samarbeidspartner som sikrer at alt håndteres korrekt og miljøvennlig.
I tillegg til personopplysningsloven finnes det regler for hvordan sensitiv eller gradert informasjon skal slettes i sikkerhetsloven og beskyttelsesinstruksen.
Det samme gjelder opplysninger om adferdsmønstre, blant annet informasjon om:
Behandling av sensitive personopplysninger er underlagt strenge regler og trenger særlig vern. Ved behandling av slik informasjon krever loven som hovedregel konsesjon fra Datatilsynet. Loven inneholder også bestemmelser om kameraovervåking.
Loven betegner følgende opplysningskategorier som sensitive:
Les også: Lederansvar: Feil behandling av personopplysninger kan gi omdømmetap
Virksomheten kan kun samle inn, registrere og behandle opplysninger om personer som har gitt sitt samtykke. Videre gjelder det bare innsamling for bestemte og lovlige formål. Det skal ikke registreres flere opplysninger enn strengt nødvendig, og de skal kun brukes til det de i utgangspunktet ble samlet inn for. Opplysningene må også sikres slik at uautoriserte personer ikke får tilgang.
Loven beskytter den enkelte slik at personlige opplysninger blir behandlet på en forsvarlig måte. Den enkelte skal ha bestemmelsesrett som blant annet innebærer rett til innsyn i registrerte opplysninger og rett til å kreve at feil eller unøyaktigheter rettes opp.
Når en virksomhet samler inn personopplysninger, må det også etableres et internkontrollsystem med rutiner som viser hvordan kravene i personopplysningsloven etterleves. Avvik skal meldes inn til Datatilsynet.
Den behandlingsansvarlige skal ikke lagre informasjon lenger enn det som er strengt nødvendig for å gjennomføre formålet med behandlingen. Hvis opplysningene ikke skal oppbevares videre, i henhold til arkivloven eller annen lovgivning, skal de slettes. Både sikkerhetsloven, beskyttelsesinstruksen og personopplysningsloven stiller krav til sikker sletting av gradert eller sensitiv informasjon.
Personopplysningsloven med tilhørende forskrifter stiller ingen krav til hvordan en virksomhet sletter og destruerer personopplysninger. Hvis det derimot dreier seg om sikkerhetsgradert informasjon, er det klare regler for hvordan sikkerhetsmakulering skal utføres. Dette er hjemlet i sikkerhetsloven. Lov og forskrift forvaltes av Nasjonal sikkerhetsmyndighet (NSM), og du finner dem på Lovdata.
Finn ut mer om sikker sletting av bedriftens data
Mange større bedrifter har fortsatt en fragmentert tilnærming til å kvitte seg med sensitive data og personopplysninger:
En makuleringsbeholder bør være selvsagt inventar i enhver virksomhet som håndterer dokumenter med personopplysninger. Likevel bør du være obs på at destruksjonsmetoden for makulering av informasjon varierer med hvilken type lagringsmedium som skal makuleres.
I tillegg gjelder det å etablere rutiner for hvordan de forskjellige lagringsmediene skal destrueres og påse at alle ansatte er kjent med rutiner for:
Husk at det ikke er tilstrekkelig å tømme harddisken før du kvitter deg med PC-en eller telefonen. Du må sørge for sikker og bærekraftig sletting av data.
Ansvarlig datasletting og makulering er ikke bare en teknisk oppgave – det er en strategisk beslutning som beskytter bedriften din. NG Secure bidrar med helhetlige løsninger som sikrer full sporbarhet, lovlig håndtering og bærekraftig gjenvinning.