Syttisju skuffer: hva et personvernombud faktisk arkiverer, og hvorfor trettién ikke holdt

Hvor det kommer fra

Et arkiv med trettién skuffer virker komplett helt til man bruker det på en ekte sak. Da ser man at innhentede samtykker havner i «Andre dokumenter», at avtalen med de tillitsvalgte om kameraovervåking ikke har egen plass, og at konsekvensvurderingen av overføringer — den som etter Schrems II følger hver standard personvernbestemmelse — ikke er noe sted. «Andre dokumenter» er skuffen der alt som utformeren ikke forutså, går til grunne.

De fire som veide tyngst

• Automatiserte avgjørelser og profilering (artikkel 22). Med scoring, CV-filtre og systemer mot svindel er det overalt, og gebyret på åtte hundre og tjuefem millioner som ble ilagt i Nederland disse dagene gjelder nettopp dette. Det hadde ingen skuff.
• Behandling av biometriske opplysninger. Krever egen vurdering og havnet i «Sikkerhetstiltak», der ingen leter etter den.
• Register over tilganger og logger. Det er det første beviset som kreves når urettmessig tilgang bestrides, og samtidig plikten som ligger på systemadministratorene.
• Anonymisering og pseudonymisering. Nesten alltid hevdet, nesten aldri dokumentert: punktet der tilsynsmyndighetene har demontert flest forsvar de siste to årene.

Og så resten

Avtaler med tillitsvalgte og tillatelser til kontroll — uten dem er kameraovervåking og posisjonering ulovlige i utgangspunktet, før forordningen i det hele tatt kommer inn. Register over brudd etter artikkel 33 nr. 5, en selvstendig plikt som ikke uttømmes av å håndtere én hendelse. Personvernombudets ressurser og uavhengighet etter artikkel 38, det første spørsmålet i enhver gjennomgang av rollen. Innhentede samtykker og tilbaketrekkinger som beviset artikkel 7 nr. 1 krever. Og videre: informasjon til kandidater, barn, varslere; systemadministratorer; representant i Unionen; kart over dataflyt; klassifisering av data; sårbarhetstester; innebygd personvern i prosjekter; beredskapsplan for hendelser; underretning etter artikkel 34; cyberforsikring; personvernombudets periodiske rapport.

Hvorfor siden ble bygget på nytt

Syttisju fliser i et rutenett er en vegg, ikke en liste. Områdene ligger nå i seks familier som svarer til de seks tingene en behandlingsansvarlig må kunne dokumentere, og over hver av dem er det en mosaikk: én flis per område, fylt når det ligger dokumenter der. Det er ikke en illustrasjon hentet fra et bildebibliotek, men portrettet av den kunden, og det endrer seg mens du arbeider. Et arkivbilde ville vært likt for alle og sagt ingenting.

Hvilken familie som står dårligst, velger ikke vi: det gjør koden ut fra dekningen, og den løfter seg til toppen med full farge og en knapp som åpner det første tomme området direkte. De fem andre forblir bevisst monokrome. Seks farger for seks familier var seks farger som ikke sa noe; fargen brukes av én ting per skjerm, og derfor ses den.