GDPR

1. GDPR og hvordan regelverket gjelder i Norge

EUs personvernforordning (forordning (EU) 2016/679), ofte kalt GDPR, fastsetter felles regler for beskyttelse av personopplysninger. I Norge er GDPR gjennomført gjennom personopplysningsloven og gjelder som en del av norsk rett.

GDPR krever at behandling av personopplysninger har et gyldig rettslig grunnlag og følger prinsipper som åpenhet, rettferdighet og nødvendighet. Forordningen gir også enkeltpersoner flere rettigheter knyttet til egne personopplysninger og stiller krav til at de som behandler opplysningene, respekterer og ivaretar disse rettighetene.

2. Prinsipper for behandling av personopplysninger

Etter GDPR artikkel 5 skal behandling av personopplysninger følge disse grunnleggende prinsippene:

Lovlighet, rettferdighet og åpenhet

Behandling av personopplysninger skal ha et gyldig rettslig grunnlag og skje på en rettferdig, tydelig og åpen måte.

Formålsbegrensning

Personopplysninger skal samles inn og behandles for uttrykkelige, spesifikke og legitime formål. De skal ikke brukes til andre formål som er uforenlige med det opprinnelige formålet.

Dataminimering

Behandlingen skal begrenses til personopplysninger som er nødvendige for det aktuelle formålet. Opplysninger som ikke er nødvendige, skal ikke samles inn eller behandles.

Riktighet

Personopplysninger skal være korrekte og oppdateres når det er nødvendig. Feilaktige eller ufullstendige opplysninger skal rettes eller suppleres når det er relevant.

Lagringsbegrensning

Personopplysninger skal ikke oppbevares lenger enn det som er nødvendig for formålet med behandlingen, med mindre loven eller et annet relevant unntak tillater det.

Integritet og konfidensialitet

Personopplysninger skal beskyttes med egnede tiltak for å redusere risikoen for uautorisert tilgang, utilsiktet tap, skade eller annen urettmessig behandling.

Ansvarlighet

Den som er ansvarlig for behandlingen, skal kunne dokumentere at behandlingen følger gjeldende personvernregler.

3. Rettslig grunnlag for behandling av personopplysninger

Etter GDPR artikkel 6 må hver behandling av personopplysninger ha et gyldig rettslig grunnlag. Hvilket grunnlag som gjelder, avhenger av formålet og den konkrete behandlingen. Samtykke er ikke det eneste mulige grunnlaget.

Vanlige rettslige grunnlag omfatter:

Personopplysninger kan behandles når en person frivillig og tydelig har samtykket til et bestemt formål, innenfor rammene av et gyldig samtykke. Personen kan når som helst trekke samtykket tilbake.

Nødvendig for å oppfylle en avtale

Behandling kan være tillatt når den er nødvendig for å oppfylle en avtale som personen er part i, eller for å gjennomføre nødvendige tiltak før en avtale inngås, etter personens anmodning.

Rettslig forpliktelse

Personopplysninger kan behandles når dette er nødvendig for å oppfylle en rettslig forpliktelse som gjelder for den behandlingsansvarlige.

Berettiget interesse

Behandling kan skje når den er nødvendig for å ivareta en berettiget interesse hos den behandlingsansvarlige eller en tredjepart, forutsatt at personens rettigheter og friheter ikke veier tyngre.

I andre situasjoner som er omfattet av loven, kan det også finnes andre rettslige grunnlag, for eksempel når behandlingen er nødvendig for å beskytte vitale interesser eller utføre en oppgave i allmennhetens interesse.

Det må vurderes hvilket rettslig grunnlag som passer for hvert enkelt formål. Denne siden fastslår ikke hvilket konkret behandlingsgrunnlag som brukes for nettstedets ulike behandlingsaktiviteter.

4. Dine rettigheter etter GDPR

Etter GDPR har du følgende rettigheter når vilkårene i regelverket er oppfylt:

Rett til informasjon

Du har rett til å få informasjon om behandlingen av personopplysningene dine, blant annet formålene med behandlingen, behandlingsgrunnlaget og andre opplysninger som regelverket krever at du får. Du finner nærmere informasjon om nettstedets faktiske behandling i personvernerklæringen.

Rett til innsyn

Du kan be om bekreftelse på om personopplysninger om deg behandles. Når vilkårene er oppfylt, kan du også få en kopi av opplysningene og informasjonen du har krav på etter regelverket.

Rett til retting

Hvis personopplysninger om deg er uriktige, kan du be om at de blir rettet. Dersom opplysningene er ufullstendige, kan du også be om at de suppleres når det er relevant.

Rett til sletting

Du kan be om at personopplysninger om deg slettes når vilkårene i GDPR er oppfylt. Retten til sletting gjelder ikke uten unntak. Lovpålagte oppbevaringsplikter og andre unntak etter regelverket kan begrense retten til sletting.

Rett til begrensning av behandling

I bestemte situasjoner etter GDPR kan du be om at behandlingen av personopplysningene dine begrenses midlertidig. Dette kan for eksempel være aktuelt mens riktigheten av opplysningene kontrolleres, eller i andre situasjoner som omfattes av regelverket.

Rett til dataportabilitet

Når behandlingen bygger på samtykke eller avtale og utføres automatisk, og de øvrige vilkårene i GDPR er oppfylt, kan du ha rett til å motta personopplysninger du selv har gitt, i et strukturert, alminnelig brukt og maskinlesbart format. Du kan også ha rett til å overføre opplysningene til en annen behandlingsansvarlig når regelverket tillater det. Denne retten gjelder ikke alle typer personopplysninger eller alle behandlingsaktiviteter.

Rett til å protestere

Du kan protestere mot behandling som bygger på bestemte rettslige grunnlag, blant annet berettiget interesse eller utførelse av en oppgave i allmennhetens interesse, når vilkårene i GDPR er oppfylt.

Du har også rett til når som helst å protestere mot behandling av personopplysninger som brukes til direkte markedsføring. Etter en slik protest skal opplysningene ikke lenger behandles for direkte markedsføringsformål.

Rett til å trekke tilbake samtykke

Hvis behandlingen bygger på samtykket ditt, kan du når som helst trekke det tilbake. Tilbaketrekking påvirker ikke lovligheten av behandlingen som fant sted før samtykket ble trukket tilbake.

Rettigheter ved automatiserte avgjørelser

Når GDPR artikkel 22 gjelder, har du rett til ikke å være gjenstand for avgjørelser som utelukkende bygger på automatisert behandling, inkludert profilering, og som har rettsvirkning for deg eller på tilsvarende måte påvirker deg i betydelig grad. Det finnes unntak i regelverket. Når bestemmelsen gjelder, kan du også ha rett til menneskelig inngripen, til å uttrykke synspunktene dine og til å bestride avgjørelsen.

Rettighetene ovenfor gjelder på de vilkårene som følger av GDPR. Om en bestemt rettighet kan brukes, avhenger blant annet av den aktuelle behandlingen og behandlingsgrunnlaget.

5. Hvordan du kan utøve dine rettigheter

Hvis du ønsker å utøve rettighetene dine etter GDPR, kan du sende en forespørsel til oss på følgende e-postadresse:

team@kavaloren.com

For at vi skal kunne forstå og behandle forespørselen din, anbefaler vi at du oppgir:

Hvilken konkret personvernrettighet du ønsker å bruke, for eksempel innsyn, retting, sletting eller begrensning av behandling.
Nødvendig informasjon om hva forespørselen gjelder.
Egnede opplysninger som gjør det mulig å kontrollere identiteten din på en rimelig måte.

Hvis det er nødvendig, kan vi be om ytterligere informasjon for å bekrefte identiteten din. Omfanget av kontrollen skal stå i forhold til forespørselens art og risiko. Vi ber ikke om fullstendige kortopplysninger, kontopassord eller andre unødvendige sensitive opplysninger bare for å bekrefte identiteten din.

Etter GDPR artikkel 12 skal vi som hovedregel informere deg om hvilke tiltak som er truffet eller hvordan forespørselen er behandlet, innen én måned etter at vi mottok den.

Hvis forespørselen er kompleks eller det foreligger mange forespørsler, kan fristen forlenges med inntil ytterligere to måneder når vilkårene i regelverket er oppfylt. Hvis fristen forlenges, skal du få beskjed innen én måned etter at vi mottok forespørselen, sammen med en forklaring på årsaken til forsinkelsen.

Hvis vi ikke kan etterkomme forespørselen eller avslår den, skal vi informere deg om årsaken i samsvar med regelverket og opplyse om retten til å klage til tilsynsmyndigheten eller benytte andre relevante rettsmidler.

6. Rett til å klage

Hvis du mener at personvernrettighetene dine er krenket, eller at behandlingen av personopplysninger bryter med gjeldende personvernregler, har du rett til å klage til den kompetente tilsynsmyndigheten.

I Norge er tilsynsmyndigheten:

Nettsted: https://www.datatilsynet.no/

Du kan bruke Datatilsynets nettsted til å finne informasjon om personvernreglene i Norge og hvordan du kan sende inn en klage etter gjeldende fremgangsmåte. Du kan kontakte tilsynsmyndigheten direkte dersom du mener det er nødvendig. Datatilsynet anbefaler at du, når det er hensiktsmessig, først kontakter den som behandler personopplysningene, for å forsøke å løse saken.

7. Ansvar for personvern

GDPR krever at den behandlingsansvarlige, som bestemmer formålene med og midlene for behandlingen av personopplysninger, tar ansvar for at behandlingen følger gjeldende regler og kan dokumentere dette.

Databehandlere skal også oppfylle de pliktene som gjelder for deres rolle etter regelverket.

Ansvaret omfatter blant annet å følge personvernprinsippene, fastsette et egnet rettslig grunnlag, ivareta de registrertes rettigheter og gjennomføre egnede organisatoriske og tekniske tiltak i samsvar med loven.

Denne siden innebærer ingen påstand om sertifisering, myndighetsgodkjenning eller bestemte sikkerhetstiltak som ikke er bekreftet.

8. Kontakt oss

Hvis du har spørsmål om GDPR, personvernrettighetene dine eller hvordan du sender inn en forespørsel, kan du kontakte oss på følgende måter:

Adresse: 370 Saint Regis Dr, Merritt Island, FL 32953, USA
Telefon: +1 (321) 588-4073
E-post: team@kavaloren.com
Kundeservice: Mandag til fredag, kl. 09.00–18.00 (sentraleuropeisk tid, CET)