Prywatność w Norwegii oznacza prawo do życia prywatnego oraz prawo do decydowania o informacjach, które można z Tobą powiązać. To prawo działa zarówno wtedy, gdy dane przetwarza państwo, jak i wtedy, gdy robią to firmy prywatne, szkoły, banki, aplikacje czy media społecznościowe. W cyfrowym społeczeństwie duża część codzienności trafia do rejestrów, logów i śladów. Dlatego prywatność nie jest tylko pojęciem prawnym, ale praktyczną zasadą tego, jak inni mają Cię traktować.
Czym są dane osobowe
Dane osobowe to każda informacja, którą można powiązać z Tobą bezpośrednio albo pośrednio. Może to być imię i nazwisko, adres, numer telefonu, e-mail, numer identyfikacyjny, adres IP, zdjęcie, nagranie audio, historia zakupów, dane lokalizacyjne, logi logowania czy wzór korzystania z aplikacji. Danymi osobowymi mogą być też oceny, profile i rekomendacje, jeśli prowadzą z powrotem do Ciebie.
Niektóre dane mają szczególną ochronę. Informacje o zdrowiu, dane genetyczne, przekonania religijne, poglądy polityczne, przynależność związkowa, orientacja seksualna i cechy biometryczne używane do identyfikacji należą do kategorii szczególnych. Takich danych nie wolno przetwarzać swobodnie. Musi istnieć jasna podstawa prawna, konkretny cel i realna ocena, czy przetwarzanie jest konieczne.
Ważne jest też odróżnienie danych anonimowych od pseudonimizowanych. Dane anonimowe nie powinny dać się odtworzyć do konkretnej osoby. Dane pseudonimizowane są tylko ukryte pod kodami lub kluczami technicznymi, ale nadal pozostają danymi osobowymi, bo ktoś może je znów połączyć z Tobą.
Jakie przepisy obowiązują w Norwegii
Prawo do życia prywatnego wynika z artykułu 8 Europejskiej Konwencji Praw Człowieka oraz z § 102 Konstytucji Norwegii. W praktyce oznacza to, że masz prawo do sfery prywatnej, w której możesz żyć, myśleć, wierzyć, mówić i wybierać bez niepotrzebnej ingerencji. Państwo może ingerować tylko wtedy, gdy ma podstawę w prawie, uzasadniony cel i zachowanie proporcji.
Norweska ustawa o ochronie danych osobowych z 2018 roku wdraża RODO w Norwegii. Zasady te obowiązują, gdy firma, gmina, szkoła, pracodawca, aplikacja lub strona internetowa przetwarza dane osobowe. Datatilsynet nadzoruje system i udziela wskazówek. Oznacza to, że nie masz tylko ogólnej ochrony, ale konkretne prawa, z których możesz korzystać w praktyce.
Najważniejsze prawa to dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw oraz przenoszenie danych. Możesz też pytać, skąd dane pochodzą, komu je przekazano i często w jakim celu zostały zebrane. Jeśli ktoś przetwarza Twoje dane błędnie, możesz zażądać poprawienia. Jeśli nie przestrzega zasad, możesz złożyć skargę do Datatilsynet.
Dane osobowe w rejestrach publicznych
Wiele osób myśli, że „rejestr publiczny” oznacza, że wszystko jest swobodnie dostępne dla każdego. Tak nie jest. Rejestry publiczne mogą zawierać dane osobowe, ale dostęp bywa podzielony na poziomy. Część informacji jest otwarta, część wymaga uzasadnionej potrzeby, a część jest chroniona jako poufna lub szczególnie wrażliwa.
Najlepszym przykładem jest Folkeregisteret, czyli norweski rejestr ludności. Norweski urząd skarbowy opisuje go jako publiczny rejestr wszystkich osób w Norwegii, które otrzymały numer identyfikacyjny lub D-nummer. Rejestr może zawierać imię, nazwisko, adresy, datę urodzenia, miejsce urodzenia, obywatelstwo, stan cywilny, informacje o rodzinie i status. To jednak nie znaczy, że każdy może pobrać wszystko bez ograniczeń. Numery identyfikacyjne są wydawane tylko przy uzasadnionej potrzebie, a adresy chronione i inne dane objęte ochroną mają dodatkowe zabezpieczenia.
Numer D jest szczególnie ważny dla osób, które nie mieszkają w Norwegii na stałe. Taki numer może po pewnym czasie stać się nieaktywny, ale nie jest usuwany tylko dlatego, że jest nieaktywny. Sens jest ten sam: dane identyfikacyjne są potrzebne administracji publicznej, ale nadal są danymi osobowymi i muszą być traktowane ostrożnie.
Rejestr jednostek i rejestr przedsiębiorstw to kolejne miejsca, gdzie dane osobowe pojawiają się publicznie. Brønnøysundregistrene używa tych informacji do ewidencji firm i ról. W otwartych API można znaleźć numer organizacyjny, nazwę, adresy i informacje o rolach. Dla osób pełniących funkcje mogą pojawiać się imię, nazwisko i data urodzenia. Dzięki temu można zobaczyć, kto formalnie stoi za spółką lub stowarzyszeniem, ale dane otwarte nie oznaczają użycia bez żadnych reguł.
Matrikkelen i grunnboken są ważne dla nieruchomości. Kartverket opisuje matrikkelen jako oficjalny rejestr norweskich nieruchomości, z publicznymi informacjami o granicach, budynkach, adresach i własności. Jako właściciel lub dzierżawca możesz zalogować się i sprawdzić dane swojej nieruchomości. W niektórych sytuacjach dane osobowe z matrikkelen mogą być udostępnione, jeśli odbiorca ma do nich prawo. To kolejny dowód, że rejestr może być publiczny w zasadzie, ale nadal ma jasne granice tego, co można pokazać, wyszukiwać i ponownie wykorzystywać.
Publiczne dzienniki korespondencji i narzędzia dostępu, takie jak eInnsyn, też mogą ujawniać dane osobowe. Mogą to być nazwiska, role, numery spraw, daty, nadawcy, odbiorcy czy tematy dokumentów. Jednocześnie dane wrażliwe muszą być usuwane lub zasłaniane. Dzienniki są ważne dla przejrzystości administracji, ale nie są pozwoleniem na publikowanie wszystkiego o wszystkich.
SSB i inne instytucje publiczne często otrzymują dane osobowe, aby tworzyć statystyki, planować usługi i śledzić rozwój społeczeństwa. Gdy dane są publikowane, zwykle są zagregowane albo zanonimizowane. Jest duża różnica między użyciem danych osobowych w administracji publicznej a wystawieniem danych możliwych do identyfikacji opinii publicznej.
Co nie oznacza publiczność danych
Najważniejsza zasada brzmi: fakt, że informacja znajduje się w publicznym rejestrze, nie oznacza automatycznie, że można jej użyć do wszystkiego. Zasady prywatności zawsze pytają: czy cel jest legalny, czy użycie jest konieczne i czy przetwarzanie jest proporcjonalne? Informacja może być publicznie dostępna w jednym zgodnym z prawem kontekście, ale nadal nieodpowiednia do zbierania, przechowywania lub łączenia w innym.
Nawet małe szczegóły mogą stać się wrażliwe, gdy zestawi się je razem. Adres sam w sobie może być niewinny, ale może być groźny, jeśli służy do nękania. Nazwisko może wydawać się zwyczajne, ale ujawniać więcej, gdy połączy się je z informacjami o zdrowiu, wyrokach, finansach lub relacjach rodzinnych. Dlatego argument „to przecież jest w internecie” jest słaby. Liczy się to, dlaczego informacja tam jest, kto ma do niej dostęp i do czego jest używana.
Czego możesz żądać
Możesz zażądać dostępu do danych, które dana organizacja przetwarza o Tobie. Możesz żądać sprostowania, jeśli coś jest błędne. W niektórych sytuacjach możesz żądać usunięcia, na przykład gdy dane nie są już potrzebne do celu. Możesz też żądać ograniczenia, sprzeciwić się pewnym zastosowaniom i poprosić o przeniesienie danych, jeśli spełnione są warunki.
Jeśli nie wiesz, co jest o Tobie zapisane, zacznij od instytucji, która jest właścicielem rejestru. W Skatteetaten możesz sprawdzić lub zamówić dane z Folkeregisteret. W Brønnøysundregistrene możesz zobaczyć dane firm i role. W Kartverket możesz sprawdzić dane nieruchomości. Jeśli uważasz, że coś jest błędne, zwykle najpierw kontaktuje się właśnie z właścicielem rejestru.
Jeśli sprawy nie da się rozwiązać, możesz złożyć skargę do Datatilsynet. Jest to szczególnie ważne, gdy organizacja publikuje dane, łączy zbiory danych albo przechowuje więcej niż potrzebuje. Jesteś w najsilniejszej pozycji, gdy potrafisz wskazać dokładnie, co jest nie tak, którego rejestru to dotyczy i czego oczekujesz.
Jak chronić się w praktyce
Najlepsza ochrona prywatności to zwykle nie jeden wielki krok, ale suma wielu małych decyzji. Udostępniaj jak najmniej, przyznawaj tylko niezbędne uprawnienia i zawsze pytaj, dlaczego instytucja potrzebuje Twoich danych. Aktualizuj telefon, przeglądarkę i aplikacje. Używaj silnych haseł i uwierzytelniania wieloskładnikowego. Uważaj na zrzuty ekranu i przekazywane dalej dokumenty z nazwiskami, adresami, numerami lub datami urodzenia.
W przypadku dzieci, osób starszych i osób objętych ochroną ostrożność jest jeszcze ważniejsza. Zdjęcie, wiadomość ze szkoły, informacja o zmianie adresu czy zrzut ekranu mogą wydawać się nieszkodliwe, ale po dalszym rozpowszechnieniu mogą mieć zupełnie inne skutki. Prywatność nie polega więc na ukrywaniu wszystkiego, lecz na zachowaniu kontroli nad tym, co jest udostępniane, komu i w jakim celu.
Krótko mówiąc: w Norwegii prywatność jest zarówno prawem człowieka, jak i praktyczną codzienną sprawą. Rejestry publiczne mają ważną funkcję, ale nie znoszą szacunku, poufności, ograniczenia celu i kontroli nad własnymi danymi.
