Hva gjør man når en tjeneste lagrer sensitive opplysninger som legning?

Når en tjeneste lagrer sensitive opplysninger som legning, er det klare rådet å søke juridisk bistand — for eksempel via en husadvokat — for å sikre at lagringen og behandlingen er i samsvar med GDPR. Dette er ikke et område du bør gjette deg frem på, fordi feil kan gi store bøter og tap av brukernes tillit.

GDPR (General Data Protection Regulation, på norsk personvernforordningen) er EU/EØS-regelverket som styrer hvordan virksomheter samler inn, lagrer og bruker personopplysninger. Det gjelder i Norge gjennom personopplysningsloven. Hovedprinsippene er at du bare skal samle inn det du faktisk trenger (dataminimering), ha et lovlig grunnlag for behandlingen, være åpen om hva du gjør, og sikre dataene godt.

Legning regnes som en 'særlig kategori av personopplysninger' (også kalt sensitive personopplysninger). Slike data — som omfatter blant annet helse, religion, etnisitet, politisk oppfatning og seksuell legning — har et ekstra strengt vern. Som hovedregel er behandling av dem forbudt med mindre du har et særskilt grunnlag, og det vanligste for en startup vil være uttrykkelig samtykke fra brukeren.

Et 'husadvokat' betyr her en fast juridisk rådgiver tilknyttet virksomheten eller miljøet ditt. Som student via Spark* eller NTNU kan du ofte få tilgang til gratis eller rimelig juridisk veiledning — spør Spark*-veilederne om hva som finnes. Konkrete steg å ta opp med advokaten: hva er behandlingsgrunnlaget, hvordan innhentes gyldig samtykke, hvor lenge lagres dataene, hvordan krypteres og sikres de, og trengs en personvernerklæring og en vurdering av personvernkonsekvenser (DPIA). Fallgruve å unngå: ikke lagre sensitive data 'bare i tilfelle' — samle inn minst mulig, og avklar alltid jussen før lansering.