Det er offisielt: Billetto oppfyller kravene i GDPR.
Men hva innebærer det, egentlig? La oss se på de viktigste delene.
Hva er GDPR?
«GDPR» er en forkortelse for General Data Protection Regulation (personvernforordningen), og den er utformet for å effektivisere og forbedre datavernlovgivningen i Europa. GDPR trer i kraft 25. mai 2018.
Kort fortalt krever GDPR at selskaper (som Billetto) sørger for sikker lagring og behandling av personopplysninger om borgere i EU og EØS, og at ethvert formål med slik behandling av personopplysninger skal være legitimt.
I tillegg skal GDPR gi forbrukerne større vern og økte rettigheter for hvordan personlige data behandles og brukes.
Hvem gjelder GDPR for?
Stort sett alle som har noe å gjøre med personopplysninger om borgere i EU og EØS. GDPR gjelder for deg hvis du er borger i EU/EØS eller hvis du behandler personopplysninger om borgere i EU/EØS. Enkelt, ikke sant?
Hva er nytt?
GDPR er absolutt ikke den første bestemmelsen som beskytter personlige data. Så hva er annerledes nå? Kort fortalt:
- EU/EØS-borgere ...
- ... får rett til å få tilgang til data som bedrifter lagrer om dem.
- ... får rett til å kreve at bedrifter endrer, oppdater eller sletter dataene.
- Bedrifter ...
- ... får mer ansvar for å lagre og behandle personopplysninger på en sikker måte.
- ... skal informere bestemte myndigheter (som Datatilsynet) ved databrudd.
- ... skal innhente samtykke fra deg før behandling av visse personopplysninger.
- ... skal betale bøter dersom ovennevnte punkter ikke overholdes.
Hva gjør Billetto?
Dette gjør vi for å oppfylle kravene:
- Vi har iverksatt tiltak for å beskytte personopplysninger som vi innhenter og bruker.
- Vi har etablert prosesser for å sikre at Billettos eventarrangører og samarbeidspartnere oppfyller kravene i GDPR.
- Vi er i ferd med å utarbeide oppgraderinger og redskaper for å hjelpe eventarrangører på Billetto med å leve opp til kravene i GDPR. Ting som bedre samtykkeskjemaer, mulighet for enkel opplasting av egne retningslinjer for personvern og tilbakebetaling mv.
- Vi har laget en "My Data" side som gjør det kjempelett for alle å se nøyaktig hvilke opplysninger vi har om dem ... og hvordan de skal gå frem for å slette disse opplysningene, dersom de ønsker det.
- Vi har oppdatert en haug med juridiske dokumenter.
Billettos databehandlingsrolle
GDPR definerer to «roller» i forbindelse med behandling av personopplysninger:
- Behandlingsansvarlig bestemmer hvordan og til hvilket formål persondataene samles inn og brukes.
- Databehandleren behandler dataene på vegne av den behandlingsansvarlige.
Når Billetto samler inn persondata fra arrangører og deltakere som registrerer seg for våre tjenester, er vi behandlingsansvarlig. Vi kan bruke slike data i analyser, for å forbedre plattformen vår og anbefale arrangementer.
Når Billetto samler inn data på vegne av arrangører, som når de stiller ekstra spørsmål under billettkjøp, er vi databehandleren.
Fordi vi kan behandle samme data for våre egne og arrangørens behov, kan vi ha en dobbeltrolle (og forskjellige forpliktelser) som både behandlingsansvarlig og databehandler.
Hva skal arrangører gjøre?
Hvis du bruker Billetto for å opprette og administrere arrangementer, er det et par ting du må vite om.
Du er en behandlingsansvarlig
I situasjoner hvor du bestemmer hvilke data som skal samles inn om deltakerne dine og hvordan du skal bruke disse, er du behandlingsansvarlig. I slike tilfeller er Billetto databehandleren. Vi samler inn og behandler dataene på dine vegne.
Som behandlingsansvarlig, må du overholde GDPR når du samler inn og bruker slike data. Mer spesifikt...
Seks grunnleggende prinsipper for personvern
Opplysninger som du samler inn fra deltakere via Billetto, bør følge disse prinsippene:
1. Lovlig, rettferdig og gjennomsiktig. Sørg for å ha et rettslig grunnlag for innsamling av opplysningene (f.eks. at det blir gitt et klart, velinformert samtykke fra personen). Vær veldig tydelig på hvilke data du samler inn og hvorfor (dette kan f.eks. inkluderes i personvernpolitikken).
2. Formålsbegrensning. Opplysningene skal kun brukes for uttrykkelige og angitte formål og ingenting annet.
3. Dataminimering. Du kan kun samle inn den mengden personopplysninger som er absolutt nødvendig.
4. Riktighet. Sørg for at personopplysningene er korrekte og til enhver tid oppdaterte. Sørg for straks å slette eller rette personopplysninger som er uriktige.
5. Lagringsbegrensning. Personopplysninger som ikke lenger er nødvendige for formålet de ble innhentet for, skal ikke lagres.
6. Integritet og fortrolighet. Personopplysninger skal lagres på en trygg måte og slik at misbruk unngås.
Hvilke rettigheter har eventdeltakere?
EU/EØS-borgere som bruker Billetto for å få delta i eventer, har rett til å be Billetto (eller arrangøren) om:
- Innsyn i egne personopplysninger.
- Korrigering av personopplysninger.
- Sletting av personopplysninger («retten til å bli glemt»).
Billetto og eventarrangører må vise deg disse opplysningene senest én måned etter din første henvendelse.
Hvis du er registrert bruker, kan du også gå inn på "My Data" siden for straks å se noen av opplysningene vi lagrer, og slette disse direkte.
Ansvarsfraskrivelse (eller «Vi er ikke advokater»-delen)
Ovennevnte er skrevet for å hjelpe alle som bruker Billetto, til en bedre forståelse av hvilken betydning GDPR får. Dette innholdet er ikke ment som juridisk rådgivning, men bare som informasjon.