Datatilsynet: Slik gjør du med nyhetsbrev og distribusjon av fagblader etter ny personvernlov
Datatilsynet: Slik gjør du med nyhetsbrev og distribusjon av fagblader etter ny personvernlov
Etter Fagpressens GDPR-seminar i mars, er det spesielt to saker som mange medlemmer har etterlyst tydeliggjøring av: Det ene er samtykke i forbindelse med nyhetsbrev. Det andre gjelder blader distribuert til fagforeningsmedlemmer på dørmatter. Vi gjengir her svarene fra Datatilsynet. Hvis du fortsatt trenger å oppklare noe, er det bare å ta kontakt med oss i Fagpressen.
Her er svarene fra Datatilsynet:
1. Nyhetsbrev og samtykke
Hvorvidt tidligere innhentet samtykke utgjør tilstrekkelig behandlingsgrunnlag etter ny personvernforordning, må vurderes. Det er ikke slik at den nye personvernforordningen vil ha tilbakevirkende kraft, men man må vurdere om samtykke innhentet etter dagens regelverk vil være gyldig som behandlingsgrunnlag også etter de nye reglene.
Hvorvidt tidligere innhentet samtykke fortsatt vil være gyldig, avhenger derfor av hvordan de samtykkene dere har hentet inn (etter dagens regelverk), er utformet ,og hvilke informasjoner dere har gitt. Dersom disse fraviker de kravene som gjelder etter den nye forordningen, må man innhente samtykke på nytt.
Dere bør derfor sjekke om samtykkene dere har innhentet samsvarer med nytt regelverk. Artikkel 29-gruppen (et samarbeid mellom europeiske datatilsyn) har utarbeidet en veileder om hva som må vurderes. Veileder finner du her (Guidelines on Consent under Regulation 2016-679, wp259). Vi anbefaler også at dere tar en kikk på det danske Datatilsynets veileder om samtykke. Denne finner dere her.
2. Identifisering ved leveranse på dørmatta
(Gjelder for fagforeninger/sensitive data. Red. anm.).
Dersom en høy prosent av dem som mottar bladet også er medlem av fagforeningen, vil nok leveranse på dørmatta være å anse som identifisering. Da er de generelle kravene til informasjonssikkerhet viktig: Alle som behandler personopplysninger, har plikt til å sørge for tilfredsstillende informasjonssikkerhet blant annet med hensyn til konfidensialitet og tilgjengelighet. Dette følger blant annet av personvernforordningen artikkel 5 nr. 1, bokstav f. Hva som anses som tilfredsstillende informasjonssikkerhet, må vurderes konkret basert på risiko og sårbarhet ved behandlingen av personopplysningene. Deretter må det vurderes om eksisterende sikkerhetstiltak er tilfredsstillende.
Formålet bak kravene til informasjonssikkerhet er blant annet å hindre at uvedkommende får tilgang til personopplysningene. Vi gir, som sagt, kun rådgivende veiledning, men i dette tilfellet er vår anbefaling – for å være på den sikre siden – at bladene sendes i lukket konvolutt, uten logo, og at de legges i postkassen.
Les mer om informasjonssikkerhet i Datatilsynets veileder.
Her er Fagpressens veiledningsside med skjemaer for å oppfylle kravene i det kommende nye lovverket.
