Når virksomheten får personopplysninger fra en samarbeidspartner, et offentlig register eller en kjøpt kontaktliste, har personen vanligvis ikke sett innsamlingsskjemaet deres. Informasjonsplikten etter artikkel 14 skal gjøre denne behandlingen synlig. Et praktisk resultat er derfor en liste over datakilder, en beslutning om når hver person skal informeres, og en melding som forklarer hva virksomheten faktisk gjør.
Personvernforordningen artikkel 14 regulerer informasjon når opplysningene ikke er samlet inn fra den registrerte. Arbeidsgruppens retningslinjer om åpenhet, WP260 rev.01, utdyper hvordan informasjonen kan gis forståelig og tilgjengelig. Retningslinjene er tolkningshjelp; de erstatter ikke vurderingen av den konkrete behandlingen.
Avgrens hvilke innhentinger som omfattes
Start med en oversikt over opplysninger dere mottar uten at personen selv gir dem direkte til dere. Det kan være kontaktinformasjon fra en organisasjon, opplysninger om en jobbsøker fra en referanse, eller en ny kontaktperson hentet fra arbeidsgiverens nettsted. At opplysningen ligger offentlig tilgjengelig, fritar ikke automatisk fra informasjonsplikten. Offentlig tilgjengelighet er heller ikke et selvstendig behandlingsgrunnlag.
Skillet mellom artikkel 13 og 14 følger innsamlingen. Når en person selv fyller ut deres skjema, vil artikkel 13 normalt være utgangspunktet. Når dere mottar personopplysninger om vedkommende fra andre, må artikkel 14 vurderes. En virksomhet kan derfor trenge begge løp for samme tjeneste. Kundeprofilen kan inneholde både opplysninger fra kunden og opplysninger fra andre kilder.
Kontroller samtidig hvem som er ansvarlig for informasjonen. En databehandler som importerer data etter instruks, overtar ikke automatisk kundens ansvar for å informere. Bruk rolleavklaringen mellom behandlingsansvarlig og databehandler når flere aktører er involvert. Avtalen bør gjøre det tydelig hvem som utfører utsendelsen og dokumenterer resultatet.
Lag en kildeliste med første faktiske bruk
En liste over databaser er utilstrekkelig dersom ingen kjenner den første kontakten eller utleveringen. Legg derfor tidsstyringen nær den operative prosessen. Importansvarlig registrerer mottaksdato, mens den som starter kontakt eller utlevering, må kunne se om informasjon allerede er gitt.
Et tenkt rådgivningsfirma kan fylle ut følgende oversikt:
| Tilførsel | Opplysninger | Planlagt bruk | Informasjonshendelse |
|---|---|---|---|
| Kunden oppgir en kontakt hos underleverandøren | Navn, jobbtelefon og rolle | Avtale et avklaringsmøte | Ved første e-post torsdag |
| Fagregister lastes ned mandag | Navn og yrkesopplysninger | Kontrollere kvalifikasjoner | Innen en begrunnet rimelig periode, senest én måned |
| En partner sender deltakere til et felles arrangement | Navn og e-post | Sende praktiske opplysninger | Ved første melding, dersom denne kommer først |
Tabellen avgjør ikke om behandlingene er lovlige. Den synliggjør hvilke vurderinger som må være ferdige før bruk. Dokumenter formål og behandlingsgrunnlag etter artikkel 6 separat, og sørg for at mottatte opplysninger ikke automatisk blir tilgjengelige for andre formål i CRM-systemet.
Bruk den tidligste relevante fristen
Hovedregelen er informasjon innen en rimelig periode etter innsamlingen, senest innen én måned. Hva som er rimelig, avhenger av behandlingens konkrete forhold. Én måned er en yttergrense, og ikke en standard ventetid virksomheten alltid kan bruke.
To hendelser kan utløse en tidligere plikt. Skal opplysningene brukes til å kommunisere med personen, skal informasjonen gis senest ved den første kommunikasjonen. Dersom utlevering til en annen mottaker er planlagt, skal informasjonen gis senest når opplysningene første gang utleveres. Planen må ta hensyn til både hovedfristen og disse hendelsene.
I eksemplet ovenfor mottas kontaktinformasjonen mandag og brukes i en e-post torsdag. Informasjonen skal da følge den første kommunikasjonen torsdag. Virksomheten kan ikke vente til måneden er gått. Om første planlagte kontakt ligger to måneder frem i tid, utsetter det heller ikke den ordinære yttergrensen på én måned.
Legg en kontroll før kontaktlister eksporteres til en partner. En løsning som først sender informasjon etter eksporten, kan være for sen dersom utleveringsregelen gjelder. Bruk en intern kortere arbeidsfrist der det gir mening, men merk den som virksomhetens egen styringsfrist.
Beskriv det personen trenger å forstå
Informasjonen må identifisere den behandlingsansvarlige og kontaktopplysninger, samt representanten og personvernombudet når det er relevant. Den må forklare formål og behandlingsgrunnlag, kategoriene av personopplysninger, mottakere eller mottakerkategorier og relevante overføringer til tredjeland eller internasjonale organisasjoner med opplysningene regelverket krever om vern og tilgang til garantier.
Oppgi lagringstid eller kriteriene som bestemmer den. Beskriv aktuelle rettigheter, klageadgangen til tilsynsmyndigheten og retten til å trekke tilbake samtykke når behandlingen bygger på samtykke. Ved berettiget interesse må interessene oppgis. Der relevante automatiserte avgjørelser forekommer, kreves også informasjonen om logikk, betydning og forventede konsekvenser som artikkel 14 angir.
En særlig viktig forskjell fra direkte innsamling er informasjon om hvor opplysningene kommer fra, og om kilden var offentlig tilgjengelig. «Eksterne kilder» forteller lite når virksomheten kjenner den konkrete kilden. Gi en presis forklaring som personen kan bruke til å forstå eller undersøke dataflyten. Kontroller samtidig at beskrivelsen ikke røper andre personers opplysninger uten vurdering.
I interne varslingssaker må denne avklaringen også samordnes med undersøkelsen og en konkret vurdering av eventuelle lovlige begrensninger i informasjon og innsyn.
Et utfylt eksempel på første melding
For et avgrenset møteformål kan begynnelsen på en melding se slik ut:
Vi har fått navnet ditt, stillingstittelen og jobb-e-postadressen din fra kontaktpersonen vår hos Fjordprosjekt, som opplyste at du koordinerer leveransen fra deres underleverandør. Vi bruker opplysningene for å avtale og følge opp avklaringsmøtet om leveransen. Behandlingsansvarlig er vårt rådgivningsfirma. Vi har vurdert vår berettigede interesse i nødvendig leverandørkoordinering som grunnlag for denne kontakten. Se informasjonen nedenfor om lagring, mottakere, rettigheter og hvordan du kontakter oss.
Dette er et illustrerende utdrag, ikke en ferdig erklæring for alle virksomheter. Den fullstendige meldingen eller et tydelig informasjonssjikt må dekke resten av opplysningene som gjelder. Bytt ut navn og fakta med verifiserte forhold. Dersom grunnlaget ikke er berettiget interesse, skal teksten endres og beslutningen dokumenteres.
En kort melding kan lede til mer detaljert informasjon, men vesentlige eller overraskende forhold bør ikke gjemmes bak flere klikk. Lenken må være tilgjengelig uten at personen oppretter konto eller godtar markedsføring. Informasjon om behandling er ingen forespørsel om et generelt samtykke til alt virksomheten ønsker å gjøre.
Vurder unntak enkeltvis og skriftlig
Artikkel 14 nr. 5 har fire typer unntak. Personen kan allerede ha informasjonen. Det kan være umulig eller innebære uforholdsmessig stor innsats å gi den, under vilkårene i bestemmelsen. Innhenting eller utlevering kan være uttrykkelig fastsatt i relevant lov med egnede vernetiltak. Opplysningene kan også være omfattet av lovregulert taushetsplikt som angitt der.
Ved «allerede informert» må virksomheten undersøke hvilken informasjon personen faktisk har. En partners generelle personvernerklæring dokumenterer ikke nødvendigvis at deres identitet, formål og databruk er forklart. Be om versjonen og leveringsmåten, og vurder om den dekker deres behandling.
Unntaket om umulighet eller uforholdsmessig innsats er ingen automatisk adgang for store databaser. Bestemmelsen fremhever blant annet arkivformål i allmennhetens interesse, forskning og statistikk under relevante vilkår, og tilfeller der informasjon sannsynligvis vil gjøre formålet umulig eller alvorlig hindre det. Den ansvarlige må treffe egnede tiltak for å beskytte rettigheter og interesser, herunder gjøre informasjon offentlig tilgjengelig. Dokumenter de konkrete forholdene, vurder alternative kontaktmåter og forklar hvorfor tiltakene er tilstrekkelige.
Hold informasjonen koblet til senere endringer
Hvis dere vil behandle opplysningene videre for et annet formål, krever artikkel 14 nr. 4 informasjon om det nye formålet og relevante ytterligere opplysninger før viderebehandlingen. Dette kommer i tillegg til vurderingen av om viderebruk er tillatt. Bruk arbeidsarket for formålsbegrensning før et prosjekt tar eksisterende kontaktdata inn i en ny analyse.
En person som protesterer mot direkte markedsføring, skal heller ikke bli stående i en kampanje fordi informasjonsmeldingen allerede er sendt. Knytt informasjonsløpet til rutinen for markedsføringsprotester. Hvis personen påpeker feil kilde eller feil stillingstittel, bør saken gå videre til kontrollen for riktige personopplysninger.
Avslutt hver import med et kort kontrollspor: kilden, mottaksdatoen, gjeldende informasjonsversjon, tidspunktet informasjonen ble gitt og eventuelle begrunnede unntak. Unngå å lagre hele meldingsinnholdet flere steder dersom en versjonsreferanse og leveringslogg dekker behovet. Da kan virksomheten vise hva som skjedde, samtidig som dokumentasjonen holdes avgrenset.