I mai neste år kommer EU-direktivet som kalles GDPR. Da innføres strengere regler for personvern, kommenterer Ståle Raa, administrerende direktør for Låssenteret AS.


Når en elektronisk dørlås betjenes med adgangskort og pinkode, registrerer adgangssystemet hvem som passerer hvor. Dette gir mulighet for overvåking, og da finnes det spilleregler du som systemeier må følge. Med de kommende personvernreglene blir disse reglene tydeligere.

Ståle Raa, adm.dir i Låssenteret AS

Du har kanskje allerede oppdaget hvor mye informasjon som er å finne i adgangssystemets logg. Hver gang noen bruker adgangskortet til å låse opp en dør, lagres passeringen. Sikkerhetsnivået avgjør hvor mye data som lagres:

Passering kun med bruk av adgangskort?
– Fanger opp hvilket kort som er brukt når.

Passering med bruk av adgangskort og kode?
– Fanger opp at det faktisk er eieren av kortet som har passert hvor på gitt tidspunkt, gitt at du har fulgt sikkerhetsreglene og ikke oppgitt koden din til andre.

Kort og kode

Personvernreglene om bruk av slike loggdata gjelder i første rekke kombinasjonen av kort og kode.

Ett av de viktigste punktene er at passeringene ikke skal benyttes til overvåking av enkeltpersoner.

Se for deg at en ansatt sniker seg ut på lageret for en «power nap». Som systemeier og arbeidsgiver har du ikke lov til å bruke adgangssystemet til å overvåke og avsløre den typen unnasluntring.

Ulovlig kobling

Loggen til et adgangssystem kan heller ikke kobles til et timeregistreringssystem. De to skal være lagret i to separate databaser og fungere som to separate systemer. Årsaken er blant annet at en arbeidsgiver ikke skal kunne kartlegge ansattes atferd på jobb.

Et tenkt eksempel kan være at noen setter opp kortlesere over alt, inkludert inn til toalettene, for å kunne registrere tiden ansatte bruker til slike formål – og trekke dem i lønn for det.

Lagring

Loggen med oversikt over kort- og kode-bruk kan du ta vare på i maksimalt 90 dager. Det er ingen juridiske krav til en maksimal lagringstid, men en sterk anbefaling fra Datatilsynet. Da skal informasjonen slettes.

For passeringer uten bruk av kode har du ikke lov til å lagre en logg. Og i praksis har det ikke annen nytte enn å ta opp lagringsplass. Systemeier har nemlig ikke lov til å bruke slik informasjon til noe.

Flere adgangssystemer registrerer heller ikke hvilket kort som er brukt ved passering uten kode.

Misbruk

Likevel er det lett å forestille seg tilfeller av misbruk, som å:

  • gi en ansatt beskjed om å finne seg ny jobb «fordi jeg ser at du har mye ugyldig fravær fra plassen din».
  • registrere at ansatte beveger seg på irrelevante steder på arbeidsplassen og spørre «hvorfor gjør du det?»

Du kan som arbeidsgiver og systemeier ikke gjøre sånt, men vi kan nok ikke se bort fra at det likevel foregår.

Forklaringen er at det er en enkel operasjon å hente ut informasjon om brukernes atferd. Hendelsesloggen til et adgangssystem viser fullt navn hvis adgangskortene er registrert på brukernes navn.

En legitim handling er at politiet får tilgang til loggen for å spore opp mistenkte ved et tyveri i virksomheten.

Innsyn

Ansvarlig databehandler kan ikke gi enhver innsyn i loggen. Hvis du er sjef, kan du ikke beordre innsyn bare fordi du er sjef.

Det er politiet som beordrer slikt innsyn, så det skal med andre ord være et reelt behov for å gå gjennom oversikten over hvem som har vært hvor i bygget på ulike tidspunkter.

Det finnes dispensasjoner for å kunne sjekke loggen selv om det er brukt adgangskort uten kode. Enkelte bedrifter som har stor eksplosjonsfare i sin virksomhet, har behov for en oversikt over hvor alle medarbeiderne befinner seg til enhver tid. Det handler om sikkerheten til både de ansatte og brannmannskaper ved en hendelse. Da unngår man at brannvesenet rykker inn i et område hvor det ikke oppholder seg mennesker.

GDPR

Neste år får vi nye personvernregler gjennom EU-forordningen General Data Protection Regulation (GDPR). Her vil prinsippet om transparens bli enda tydeligere enn den retten brukerne i dag har til innsyn i trafikkdata fra loggen.

Du må legge til rette for at brukerne enkelt får innsyn i egne passeringsdata, hensikten med lagringen og hvor lenge informasjonen blir liggende på serveren.

Et kjernepunkt i GDPR blir brukernes samtykke til lagring og bruk av data. Adgangssystemer havner derimot i en klasse for seg.

Jeg vil komme tilbake med detaljer om hvilke konsekvenser den europeiske personvernforordningen vil få for deg som systemeier.

Følg med!