Protokoll over behandlingsaktiviteter

Protokollen er virksomhetens oversikt over hvilke personopplysninger den behandler, hvorfor, om hvem, hvem som får dem, og hvor lenge de beholdes. Den kalles ofte ROPA, fra engelsk record of processing activities. Kapitlet er for den som skal opprette eller vedlikeholde en slik oversikt. Det svarer på hva protokollen må inneholde, hvem som må føre den, og om en mindre virksomhet kan la være.

Hva loven krever

Den behandlingsansvarliges protokoll (artikkel 30 nr. 1)

Plikten er generell: hver behandlingsansvarlig «skal føre en protokoll over behandlingsaktiviteter som utføres under deres ansvar»¹. Protokollen skal inneholde:

En tredjestat er et land utenfor EØS. Merk at bokstav f og g er begrenset med «dersom det er mulig»¹. Vår vurdering: det fritar ikke fra å ta stilling. Lagringsbegrensning er et eget prinsipp ², og en protokoll uten slettefrister bør si hvorfor fristen ikke er fastsatt ennå.

Databehandlerens protokoll (artikkel 30 nr. 2)

En databehandler er den som behandler personopplysninger på vegne av en behandlingsansvarlig, for eksempel en driftsleverandør. Også den skal føre protokoll, men en kortere: den skal omfatte «alle kategorier av behandlingsaktiviteter som er utført på vegne av en behandlingsansvarlig»³. Den skal angi «kategoriene av behandling utført på vegne av hver behandlingsansvarlig»³, i tillegg til navn og kontaktopplysninger, eventuelle overføringer til tredjestater og, der det er mulig, en generell beskrivelse av sikkerhetstiltakene ⁴. Formål, registrerte og slettefrister er den behandlingsansvarliges ansvar og står ikke på listen.

Form og innsyn

«Protokollene nevnt i nr. 1 og 2 skal være skriftlige, herunder elektroniske.»⁵ Den behandlingsansvarlige og databehandleren skal «på anmodning gjøre protokollen tilgjengelig for tilsynsmyndigheten»⁶. Protokollen er altså et dokument Datatilsynet kan be om, ikke noe som sendes inn på forhånd.

Unntaket i nr. 5 — og hvorfor det sjelden hjelper

Bestemmelsen lyder i sin helhet:

«5. Forpliktelsene nevnt i nr. 1 og 2 gjelder ikke et foretak eller en organisasjon med færre enn 250 ansatte, med mindre behandlingen det/den utfører, sannsynligvis vil medføre en risiko for de registrertes rettigheter og friheter, behandlingen ikke skjer leilighetsvis eller omfatter særlige kategorier av opplysninger som nevnt i artikkel 9 nr. 1 eller personopplysninger om straffedommer og lovovertredelser nevnt i artikkel 10.»⁷

Unntaket har ett vilkår og tre motunntak. Det gjelder bare for virksomheter med færre enn 250 ansatte, og bare hvis ingen av disse treffer ⁸:

1. behandlingen vil sannsynligvis medføre en risiko — ikke en høy risiko, slik artikkel 35 krever;
2. behandlingen skjer ikke bare leilighetsvis, altså av og til;
3. behandlingen omfatter særlige kategorier (artikkel 9) eller opplysninger om straffedommer (artikkel 10).

Vår vurdering: det andre motunntaket gjør at unntaket sjelden får betydning. En virksomhet som har kunder, ansatte eller et nettsted, behandler personopplysninger løpende — lønn, kunderegister, e-post, logger. Slik behandling skjer ikke leilighetsvis, og for den gjelder protokollplikten uansett størrelse. Det som kan falle utenfor, er enkeltstående behandlinger som virkelig skjer sjelden, har lav risiko og ikke gjelder særlige kategorier. Motunntakene knytter seg dessuten til «behandlingen det/den utfører»⁷, ikke til virksomheten som helhet: én løpende behandling er nok til at den må protokollføres.

Hva Datatilsynet sier

Utgangspunktet er enkelt: «Alle virksomheter som behandler personopplysninger, skal føre en protokoll over behandlingsaktivitetene de har ansvar for.»⁹

Om unntaket skriver tilsynet: «Unntaket er imidlertid snevert og det vil derfor svært sjeldent gjelde som et absolutt unntak fra hele bestemmelsen. Det vil i større grad fungere som et unntak fra en del av artikkel 30»¹⁰. Konklusjonen: «I praksis og nesten uten unntak, skal derfor alle virksomheter føre protokoller over sine behandlingsaktiviteter.»¹¹

Om formen: «Det er ikke noen formkrav til hvordan protokollen skal føres, eller hva slags verktøy som skal benyttes.»¹² Det avgjørende er at de obligatoriske opplysningene samles i «en samlet skriftlig og elektronisk tilgjengelig oversikt»¹².

Tilsynet tilbyr maler i regneark og har med vilje tatt med mer enn loven krever, fordi virksomheten da «lettere kunne besvare forespørsler fra enkeltpersoner som vil vite hva dere har registrert om dem, hvor dere har fått opplysningene fra, og med hvilket rettslig grunnlag dere behandler opplysningene»¹³. Vår vurdering: det er et godt råd. En protokoll som også viser kilde og behandlingsgrunnlag, blir arbeidsredskapet for innsynssvar og for personvernerklæringen.

Tilsynet minner også om sammenhengen med databehandlere: «Husk at den behandlingsansvarlige må inngå en databehandleravtale med hver databehandler.»¹⁴

Protokollen er også utgangspunktet for vurderingen av om en DPIA trengs. I DPIA-veiledningen skriver tilsynet at den behandlingsansvarlige ut fra protokollen skal «avgjøre hvorvidt en høy risiko er sannsynlig, også i de tilfellene der konklusjonen er at det ikke skal gjennomføres en vurdering av personvernkonsekvenser»¹⁵. Se Vurdering av personvernkonsekvenser (DPIA).

En protokoll som beskriver den faktiske behandlingen

Protokollen skal gi en oppdatert oversikt over behandlingsaktiviteter. Opplysninger som bare behandles internt, skal inngå i oversikten på samme måte som opplysninger som vises offentlig. Beskrivelsen av datakategorier, mottakere, overføringer og slettefrister må stemme med det som faktisk skjer. ¹⁶

Protokollen er en del av virksomhetens dokumentasjon og skal kunne gjøres tilgjengelig for tilsynsmyndigheten på forespørsel. Den erstatter ikke informasjonen som skal gis til den registrerte etter artikkel 13 og 14. ¹⁷

For deg som er registrert hos Byggsikt, er personvernerklæringen inngangen til informasjon om behandlingen. Innsynsretten gjelder også personopplysninger som ikke vises på nettsidene. Se rettighetskapitlet.

Kilder

• Personopplysningsloven med personvernforordningen (norsk EØS-tekst) ¹⁸
• Datatilsynet: Føre protokoll ¹⁹
• Datatilsynet: Veiledning om vurdering av personvernkonsekvenser (DPIA), alle sider ²⁰