En konsesjon gitt av Datatilsynet betyr at tilsynet har forhåndsgodkjent den behandling av personopplysninger som er regulert i konsesjonen. Hva som regnes som en behandling er definert i personopplysningsloven § 2 nr. 2. En eventuell konsesjon gis før behandlingen iverksettes. Forhåndsgodkjenningen betyr at Datatilsynet mener at behandlingen den behandlingsansvarlige ønsker å iverksette, oppfyller personopplysningsloven på en tilfredsstillende måte. For å kunne foreta en slik vurdering, er det nødvendig for Datatilsynet å få en forståelse både for hva slags virksomhet den behandlingsansvarlige driver, og for selve den behandlingen det søkes konsesjon for. Dette vil konsesjonssøknadsskjemaet hjelpe til med.
Skjemaet er delt inn i fire hoveddeler. Den første delen skal gi Datatilsynet informasjon om den behandlingsansvarliges virksomhet, og del to gir informasjon om selve behandlingen. Del tre forteller noe om hvordan den behandlingsansvarlige oppfyller enkelte av lovens bestemmelser, og del fire gir opplysninger om informasjonssikkerheten i virksomheten.
Generelt om å fylle ut skjemaet
Alle punkter i skjemaet må alltid fylles ut, med unntak av punkt B som omhandler den behandlingsansvarliges representant. For de punkter hvor opplysningene skal fylles inn som fritekst, kan søker legge ved et eget ark dersom det ikke er plass på skjemaet. Det henstilles da om at vedlegget merkes med det aktuelle punkt i skjemaet.
Til punkt A: Den behandlingsansvarliges virksomhet
Dette er de administrative opplysningene om den behandlingsansvarlige som Datatilsynet trenger for å kunne administrere konsesjonene. Behandlingsansvarlig er den som bestemmer formålet med behandlingen og hvilke hjelpemidler som skal brukes. Som hovedregel er dette virksomheten, representert ved virksomhetens øverste organ.
Dersom skjemaet fylles ut på vegne av den behandlingsansvarlige, for eksempel av et advokatfirma på vegne av en klient, er det likevel den behandlingsansvarliges adresseopplysninger som skal oppgis på skjemaet. Dersom den som fyller inn skjemaet skal motta korrespondansen fra Datatilsynet, må dette presiseres på et eget vedlegg med adresseopplysninger.
Dersom den behandlingsansvarlige er en virksomhet som er etablert i stater utenfor EØS-området, men som benytter seg av hjelpemidler i Norge, skal den behandlingsansvarlige ha en representant her i landet. I så fall må også punkt B fylles ut.
Til punkt B: Den behandlingsansvarliges representant
Dette punktet skal bare fylles inn dersom den behandlingsansvarlige er etablert utenfor EØS-området, men benytter seg av hjelpemidler i Norge. I slike tilfeller bestemmer personopplysningsloven at den behandlingsansvarlige må ha en representant som er etablert i Norge.
Dersom den behandlingsansvarlige bare benytter seg av hjelpemidler i Norge for å kunne overføre personopplysninger via Norge til et annet land, så gjelder ikke denne regelen.
Til punkt C: Daglig ansvar for å oppfylle den behandlingsansvarliges plikter
Den behandlingsansvarlige vil, i lovens forstand, i utgangspunktet være selve virksomheten, ved virksomhetens øverste organ. Ansvaret vil imidlertid i praksis ligge hos en fysisk person, via delegasjon fra dette organet. Det er kun stillingsbetegnelsen til den som er pålagt det daglige behandleransvaret som skal oppgis, ikke vedkommendes navn. I regelen vil ansvaret ligge hos daglig leder for den behandlingsansvarliges virksomhet.
Til punkt D: Benyttes databehandler?
En databehandler er en virksomhet som behandler personopplysninger på vegne av den behandlingsansvarlige. Personopplysningsloven pålegger den behandlingsansvarlige å inngå en skriftlig avtale med databehandleren, se personopplysningsloven § 15 for spesifikasjon av hva avtalen skal inneholde. Benyttes databehandler, må punkt D fylles inn, og kopi av avtalen skal legges ved søknaden.
Til punkt E: Gi en beskrivelse av hva slags virksomhet den behandlingsansvarlige driver i vid forstand
Informasjonen som gis under dette punktet skal gi Datatilsynet en forståelse av hva slags virksomhet den behandlingsansvarlige driver.
Til punkt F: I hvilken del av virksomheten skal behandlingen foretas?
Dersom virksomheten består av flere avdelinger, må det under dette punktet redegjøres for hvilken avdeling det er som skal foreta behandlingen, samt hvilken funksjon denne avdelingen har i den totale virksomheten.
Til punkt 1.1: Hvilke typer personopplysninger omfatter behandlingen?
Den behandlingsansvarlige skal krysse av for det som passer best. En behandling kan godt omfatte flere opplysningstyper. Det er viktig å merke seg at dersom sensitive opplysninger behandles, skal det presiseres nærmere hva slags opplysninger det dreier seg om i eget fritekstfelt.
Til punkt 1.2: Hvem skal det behandles opplysninger om?
Den behandlingsansvarlige skal krysse av for det som passer best.
”Tilfeldig utvalgte” er personer det ikke på forhånd er planlagt å behandle personopplysninger om. Et typisk eksempel er personer som tilfeldig blir filmet av et overvåkingskamera.
”Seleksjonsutvalg” er personer som er blitt valgt ut basert på et sett med forhåndsdefinerte kriterier. Typisk vil dette ofte gjelde i forskningsprosjekter.
Til punkt 1.3: Hva er formålet med behandlingen?
I personopplysningsloven § 2, nr. 2, defineres en behandling som enhver bruk av personopplysninger – det nevnes også flere eksempler. All bruk skjer for å oppfylle et formål, og i personopplysningsloven stilles det krav om at dette formålet skal være klart definert og beskrevet før behandlingen tar til.
I tillegg stiller loven krav om at formålet må være uttrykkelig beskrevet. Dette betyr at beskrivelsen skal være så presis at den registrerte forstår nøyaktig hva opplysningene skal brukes til. En klar formålsangivelse er dessuten nødvendig for å kunne vurdere om de personopplysninger som behandles er relevante for den behandlingsansvarlige.
Det er verdt å merke seg at det ikke holder å beskrive formålet som en form for administrasjon av forholdet til den registrerte. Begrepet ”administrasjon” kan i forskjellige sammenhenger inneholde flere mer presise formål. For eksempel vil administrasjon av et kundeforhold kunne dreie seg om så forskjellige ting som levering av varer og fakturering, og oppfølging av kunden (markedsføring) basert på kompliserte personprofiler. Dersom dette er tilfelle, skal slike underformål beskrives. Disse formålene vil kunne avgrense én behandling fra en annen.
Til punkt 1.4: Hvordan samles personopplysningene inn?
Innsamling av personopplysninger kan skje på ulike måter. Det er av interesse for Datatilsynet å få informasjon om hvilken metode virksomheten benytter. Eksempelvis vil elektronisk overføring av sensitive personopplysninger medføre at det stilles strengere krav til informasjonssikkerheten. Med manuell innsamling forstås både muntlig og papirbasert innsamling. Kryss av for det eller de alternativer som passer best.
Til punkt 1.5: Hvordan skal opplysningene brukes?
I personopplysningsloven § 2 nr. 2 er behandling av personopplysninger definert som enhver bruk av personopplysninger. Datatilsynet ønsker informasjon om hva slags bruksmåter som skal skje i søkers virksomhet. Kryss gjerne av for flere alternativer. Bruksmåtene må være i samsvar med det oppgitte formål. Eventuelle nye bruksmåter som ikke er angitt i denne søknaden, vil kunne utløse krav om ny konsesjon.
Til punkt 1.6: Overføring av personopplysninger til utlandet
Personopplysninger kan bare overføres til stater som sikrer en forsvarlig behandling av opplysningene. Stater som har implementert EUs personverndirektiv oppfyller kravet til forsvarlig behandling. Til andre land kan overføring bare skje dersom en konkret vurdering av behandlingens forsvarlighetsnivå tilsier dette, eller dersom et av de alternative vilkårene i personopplysningsloven § 30 er oppfylt. Informasjon om hvilket land opplysningene skal overføres til, gjør det mulig for Datatilsynet å finne ut hvilke personvernregler som gjelder i vedkommende stat, og herunder vurdere om landet oppfyller kravet om en forsvarlig behandling.
Til punkt 1.7: Personopplysningene hentes fra
Dersom opplysningene som skal behandles samles inn fra andre kilder enn den registrerte selv, må kilden/kildene navngis og beskrives.
Til punkt 1.8: Rettslig grunnlag for behandlingen
Personopplysningsloven stiller krav om at ingen kan behandle personopplysninger uten å ha et rettslig grunnlag for at behandlingen skal være tillatt, jf. lovens §§ 8 og 9. Bestemmelsene gir en uttømmende liste over hvilke rettslige grunnlag som kan gi hjemmel for behandling av henholdsvis ikke-sensitive og sensitive opplysninger. I tillegg må behandlingen oppfylle grunnkravene i § 11.
Under punkt 1.8 skal behandlingsansvarlig krysse av for hva som er grunnlaget for behandlingen. For behandling av ikke-sensitive personopplysninger er det tilstrekkelig at det foreligger ett grunnlag. Behandling av sensitive opplysninger må oppfylle ett av vilkårene i § 8 og et av vilkårene i § 9.
Samtykke
Behandling av personopplysninger bør i størst mulig utstrekning basere seg på samtykke fra den registrerte. Samtykket må være frivillig, uttrykkelig og informert, jf. § 2 nr. 7. Loven stiller ingen formkrav til samtykket, men Datatilsynet anbefaler at det innhentes skriftlig i den grad det er praktisk mulig. Skriftlighet vil lette bevisproblemer i situasjoner hvor det reises tvil om hva den registrerte har samtykket til. Det bes om at eventuelt informasjonsskriv som blant annet forklarer behandlingens innhold og varighet, og samtykkeerklæring, vedlegges konsesjonssøknaden.
Andre rettslige grunnlag
Uavhengig av om den registrerte har samtykket, kan behandling skje dersom den er hjemlet i lov.
Videre kan personopplysninger behandles dersom det er nødvendig, og et av vilkårene i § 8 bokstav a-f er oppfylt.
Krav om særlig hjemmel i § 9 ved behandling av sensitive opplysninger
I tillegg til at ett av vilkårene i § 8 må være oppfylt, må behandlingen også oppfylle ett av vilkårene i § 9.
Til punkt 1.9: Informasjonsplikten
Personopplysningsloven §§ 19 og 20 pålegger den behandlingsansvarlige å informere den registrerte om behandlingen. Informasjon skal gis av eget tiltak, uten at den registrerte krever det, og uten kostnader for den registrerte, jf. personopplysningsloven § 17. Når det gjelder det nærmere innholdet i informasjonsplikten vises det til loven.
Dersom informasjon gis skriftlig, ønsker Datatilsynet at en kopi av informasjonsskrivet oversendes sammen med konsesjonssøknaden. Dette gir tilsynet grunnlag for å vurdere om informasjonen er tilstrekkelig i henhold til lovens krav. Det minnes om at dersom behandlingen bygger på samtykke fra den registrerte, er utformingen av informasjonsskrivet spesielt viktig.
Til punkt 1.10: Har virksomheten utarbeidet et internkontrollsystem?
Personopplysningsloven § 14 pålegger den behandlingsansvarlige å utarbeide et internkontrollsystem. Utarbeidelse av et internkontrollsystem innebærer at den behandlingsansvarlige skal planlegge og dokumentere tiltak som gjør ham i stand til å oppfylle lovens krav, herunder rutiner i forhold til krav fra den registrerte om innsyn, retting eller sletting (se også pkt. 2.1, 2.2 og 2.3).
Dersom den behandlingsansvarlige ikke kan svare ja på spørsmålet i dette punktet, kan Datatilsynet vanskelig utstede en konsesjon.
Til punkt 2.1: Kravet om tilstrekkelighet og relevans
Personopplysningsloven § 11 første ledd bokstav d pålegger den behandlingsansvarlige å sørge for at de personopplysninger som behandles er tilstrekkelige og relevante for formålet med behandlingen. Kravet til relevans trekker opp en ytre grense for hvilke personopplysninger som kan tas med i behandlingen. Det påpekes at dette kravet ikke kan fravikes gjennom samtykke fra den registrerte. Opplysninger som er uvedkommende eller unødvendige skal holdes utenfor, og i utgangspunktet slettes, jf. lovens § 28. Kravet til tilstrekkelighet stiller krav om at man har nok opplysninger for å kunne ivareta formålet med behandlingen.
Som nevnt, skal den behandlingsansvarlige i medhold av § 14 planlegge og dokumentere tiltak som gjør ham i stand til å oppfylle lovens krav. Datatilsynet ber derfor om at dokumentasjon på at kravet om tilstrekkelighet og relevans vil bli oppfylt, vedlegges.
Til punkt 2.2: Kravet om korrekte og oppdaterte personopplysninger
Det er den behandlingsansvarliges lovpålagte plikt å sørge for at opplysningene er så korrekte og oppdaterte som mulig i forhold til formålet med behandlingen. Den behandlingsansvarlige må derfor sørge for å lage rutiner som skal sikre at loven blir oppfylt på dette punkt.
Dersom opplysningene innhentes direkte fra den registrerte, regnes opplysningene for å være så korrekte som mulige. De er imidlertid, avhengig av hvilke typer personopplysninger det er tale om, bare oppdaterte for en viss periode.
Jevnlig registervask mot andre registre, og oppdatering direkte fra den registrerte kan være eksempler på rutiner som kan benyttes.
Kopi av rutinene må legges ved søknaden.
Til punkt 2.3: Sletting
Opplysninger som ikke lenger er nødvendige for å gjennomføre formålet med behandlingen skal som hovedregel slettes. I noen tilfeller blir imidlertid sletteplikten begrenset av annen lovgivning som pålegger den behandlingsansvarlige å oppbevare opplysningene, for eksempel arkivloven eller regnskapsloven.
I medhold av § 14 skal den behandlingsansvarlige planlegge og dokumentere tiltak som gjør han i stand til å oppfylle lovens krav. Datatilsynet ber derfor om en kopi av sletterutinene.
Til punkt 2.4: Videre oppbevaring
Opplysningene kan oppbevares selv om de ikke er nødvendige for å gjennomføre formålet, dersom videre oppbevaring skjer for bruk til historiske, vitenskapelige og statistiske formål. Forutsetningen er imidlertid at samfunnets interesse i oppbevaring klart overstiger de ulemper det kan medføre for den enkelte.
Datatilsynet ber om at De krysser av det eller de formål som berettiger videre oppbevaring av de opplysninger De besitter. Det bes også om en utredning for hvorfor samfunnets interesse i oppbevaring klart overstiger personverninteressene i dette tilfellet.
Til punkt 3
Her finner man en egen veileder for dokumentasjon av informasjonssikkerheten.