Ein konsesjon gitt av Datatilsynet tyder at tilsynet har førehandsgodkjend den behandlinga av personopplysningar som er regulert i konsesjonen. Kva som blir rekna som ei behandling er definert i personopplysningslova § 2 nr. 2. Ein eventuell konsesjon blir gitt før behandlinga startar. Førehandsgodkjenninga tyder at Datatilsynet meiner at behandlinga dei behandlingsansvarlege ønska å starte med, oppfyller personopplysningslova på ein tilfredsstillande måte. For å kunne utføre ei slik vurdering, er det nødvendig for Datatilsynet å få ei forståing både av kva slags verksemd den behandlingsansvarlege driv, og for sjølve den behandlinga det blir konsesjon søkt for. Dette vil konsesjonssøknadsskjemaet hjelpe til med.
Skjemaet er delt inn i fire hovuddelar. Den fyrste delen skal gi Datatilsynet informasjon om dei behandlingsansvarleg si verksemd, og del to gir informasjon om sjølve behandlinga. Del tre fortel noko om korleis den behandlingsansvarlege oppfyller einskilde av føresegnene i lova, og del fire gir opplysningar om informasjonstryggleiken i verksemda.
Generelt om å fylle ut skjemaet
Alle punkt i skjemaet må alltid fyllast ut, med unnatak av punkt B som omhandlar den behandlingsansvarlege sin representant. For dei punkta der opplysningane skal fyllast inn som fritekst, kan søkjar leggje ved eit eige ark dersom det ikkje er plass på skjemaet. Merk eventuelle vedlegg med det aktuelle punktet i skjemaet.
Til punkt A: Behandlingsansvarleg verksemd
Dette er dei administrative opplysningane om den behandlingsansvarlege som Datatilsynet treng for å kunne administrere konsesjonane. Behandlingsansvarleg er den som fastset formålet med behandlinga og kva hjelpemiddel som skal brukast. Som hovudregel er dette verksemda, representert ved sitt øvste organ.
Dersom skjemaet blir fylt ut på vegner av den behandlingsansvarlege, for eksempel av eit advokatfirma på vegner av ein klient, er det likevel den behandlingsansvarlege sine adresseopplysningar som skal førast på skjemaet. Dersom den som fyller inn skjemaet skal motta korrespondansen frå Datatilsynet, må dette presiserast på eit eige vedlegg med adresseopplysningar.
Dersom den behandlingsansvarlege er ei verksemd som er etablert i statar utanfor EØS-området, men som nyttar seg av hjelpemiddel i Noreg, skal den behandlingsansvarlege ha ein representant her i landet. I så fall må også punkt B fyllast ut.
Til punkt B: Den behandlingsansvarlege sin representant
Dette punktet skal berre fyllast inn dersom den behandlingsansvarlege er etablert utanfor EØS-området, men nyttar seg av hjelpemiddel i Noreg. I slike tilfelle fastset personopplysningslova at den behandlingsansvarlege må ha ein representant som er etablert i Noreg.
Dersom den behandlingsansvarlege berre nyttar seg av hjelpemiddel i Noreg for å kunne overføre personopplysningar via Noreg til eit anna land, så gjeld ikkje denne regelen.
Til punkt C: Dagleg ansvar for å oppfylle den behandlingsansvarlege sine plikter
Den behandlingsansvarlege vil, i lova sin forstand, i utgangspunktet vere sjølve verksemda, representert ved verksemda sitt øvste organ. Ansvaret vil likevel i praksis liggje hos ein fysisk person, via delegasjon frå dette organet. Det er berre stillingsnemninga til den som er pålagt det daglege behandlaransvaret som skal førast, ikkje namnet til vedkomande. I regelen vil ansvaret liggje hos dagleg leiar for den behandlingsansvarlege verksemda.
Til punkt D: Blir det brukt ein databehandlar?
Ein databehandlar er ein verksemd som behandlar personopplysningar på vegner av den behandlingsansvarlege. Personopplysningslova pålegg den behandlingsansvarlege å inngå ein skriftleg avtale med databehandlaren, sjå personopplysningslova § 15 for spesifikasjon av kva avtalen skal innehalde. Brukast databehandlar, må punkt D fyllast inn, og kopi av avtalen skal leggjast ved søknaden.
Til punkt E: Gi ei framstilling av kva slags verksemd den behandlingsansvarlege drivaren i vid forstand
Informasjonen som blir gitt under dette punktet skal gi Datatilsynet ei forståing av kva slags verksemd den behandlingsansvarlege driv.
Til punkt F: I kva del av verksemda skal behandlinga finne stad?
Dersom verksemda består av fleire avdelingar, må det under dette punktet gjerast greie for kva avdeling det er som skal utføre behandlinga, samt kva funksjon denne avdelinga har i den totale verksemda.
Til punkt 1.1: Kva typar personopplysningar omfattar behandlinga?
Den behandlingsansvarlege skal krysse av for det som passar best. Ei behandling kan godt omfatte fleire opplysningstypar. Det er viktig å merkje seg at dersom sensitive opplysningar blir behandla, skal det presiserast nærmare kva slags opplysningar det dreiar seg om i eige fritekstfelt.
Til punkt 1.2: Kven skal det behandlast opplysningar om?
Den behandlingsansvarlege skal krysse av for det som passar best.
”Tilfeldig utvalde” er personar det ikkje på førehand er planlagt å behandle personopplysningar om. Eit typisk eksempel er personar som tilfeldige blir filma av eit overvakingskamera.
”Seleksjonsutval” er personar som er blitt valt ut basert på eit sett med førehandsdefinerte kriterium. Typisk vil dette ofte gjelde i forskingsprosjekt.
Til punkt 1.3: Kva er formålet med behandlinga?
I personopplysningslova § 2, nr. 2, blir ei behandling definert som einkvar bruk av personopplysningar – det blir også nevnt fleire eksempel. All bruk skjer for å oppfylle eit formål, og i personopplysningslova blir det stilt krav om at dette formålet skal vere klart definert og skildra før behandlinga tek til.
I tillegg stiller lova krav om at formålet må vere uttrykkjeleg forklart. Dette tyder at framstillinga skal vere så presis at den registrerte forstår nøyaktig kva opplysningane skal brukast til. Ein klar framstilling av formålet er dessutan nødvendig for å kunne vurdere om dei personopplysningane som blir behandla er relevante for den behandlingsansvarlege.
Det er verdt å merkje seg at det ikkje held å skildre formålet som ei form for administrasjon av forholdet til den registrerte. Omgrepet ”administrasjon” kan i forskjellige samanhengar innehalde fleire meir presise formål. For eksempel vil administrasjon av eit kundeforhold kunne dreie seg om så forskjellige ting som levering av varer og fakturering, og oppfølging av kunden (marknadsføring) basert på kompliserte personprofilar. Dersom dette er tilfelle, skal søkjaren skildre underformåla. Desse formåla vil kunne avgrense ei behandling frå ein annan.
Til punkt 1.4: Korleis blir personopplysningane samla inn?
Innsamling av personopplysningar kan skje på ulike måtar. Det er av interesse for Datatilsynet å få informasjon om kva metode verksemda nyttar. For eksempel vil elektronisk overføring av sensitive personopplysningar medføre at det blir stilt strengare krav til informasjonstryggleiken. Med manuell innsamling blir både munnleg forstått og papirbasert innsamling. Kryss av for det eller dei alternativa som passar best.
Til punkt 1.5: Korleis skal opplysningane brukast?
I personopplysningslova § 2 nr. 2 er behandling av personopplysningar definert som einkvar bruk av personopplysningar. Datatilsynet ønskjer informasjon om kva slags bruksmåtar som skal skje i verksemda til søkjaren. Kryss gjerne av for fleire alternativ. Bruksmåtane må vere i samsvar med formålet. Eventuelle nye bruksmåtar som ikkje er melde i denne søknaden, vil kunne utløyse krav om ny konsesjon.
Til punkt 1.6: Overføring av personopplysningar til utlandet
Personopplysningar kan berre overførast til statar som sikrar ei forsvarleg behandling av opplysningane. Statar som har implementert personverndirektivet til EU oppfyller kravet til forsvarleg behandling. Til andre land kan overføring berre skje dersom ei konkret vurdering av kor forsvarleg behandlinga er tilseier det, eller dersom eit av dei alternative vilkåra i personopplysningslova § 30 er oppfylt. Informasjon om kva land opplysningane skal overførast til, gjer det mogeleg for Datatilsynet å finne ut kva personvernreglar som gjeld i vedkomande stat, og medrekna vurdere om landet oppfyller kravet om ei forsvarleg behandling.
Til punkt 1.7: Personopplysningane blir henta frå
Dersom opplysningane som skal behandlast blir inn samla frå andre kjelder enn den registrerte sjølv, må søkjaren namngi og beskrive kjelda/kjeldene.
Til punkt 1.8: Rettsleg grunnlag for behandlinga
Personopplysningslova stiller krav om at ingen kan behandle personopplysningar utan å ha eit rettsleg grunnlag for at behandlinga skal vere tillaten, jf. lova §§ 8 og 9. Føresegnene gir ei uttømmande liste over kva rettslege grunnlag som kan gi heimel for behandling av ikkje-sensitive og sensitive opplysningar. I tillegg må behandlinga oppfylle grunnkrava i § 11.
Under punkt 1.8 skal behandlingsansvarleg krysse av for kva som er grunnlaget for behandlinga. For behandling av ikkje-sensitive personopplysningar er det tilstrekkeleg at det ligg føre eitt grunnlag. Behandling av sensitive opplysningar må oppfylle eitt av vilkåra i § 8 og eit av vilkåra i § 9.
Samtykke
Behandling av personopplysningar bør i størst mogeleg utstrekning basere seg på samtykke frå den registrerte. Samtykket må vere frivillig, uttrykkjeleg og informert, jf. § 2 nr. 7. Lova stiller ingen formkrav til samtykket, men Datatilsynet tilrår at det blir innhenta skriftleg i den graden det er praktisk mogeleg. Skriftlege samtykker vil lette provproblem i situasjonar der det blir reist tvil om kva den registrerte har samtykt til. Legg ved eventuelle samtykkeerklæringar og informasjonsskriv som blant anna forklarer behandlinga sitt innhald og lengd.
Andre rettslege grunnlag
Uavhengig av om den registrerte har samtykt, kan behandling skje dersom den er heimla i lov.
Vidare kan personopplysningar behandlast dersom det er nødvendig, og eit av vilkåra i § 8 bokstav a-f er oppfylt.
Krav om særleg heimel i § 9 ved behandling av sensitive opplysningar
I tillegg til at eitt av vilkåra i § 8 må vere oppfylt, må behandlinga også oppfylle eitt av vilkåra i § 9.
Til punkt 1.9: Informasjonsplikta
Personopplysningslova §§ 19 og 20 pålegg den behandlingsansvarlege å informere den registrerte om behandlinga. Informasjon skal giast av eige tiltak, utan at den registrerte krev det, og utan kostnader for den registrerte, jf. personopplysningslova § 17. Når det gjeld det nærmare innhaldet i informasjonsplikta blir det vist til lova.
Dersom informasjon blir gitt skriftleg, ønskjer Datatilsynet at ein kopi av informasjonsskrivet leggjast ved konsesjonssøknaden. Dette gir tilsynet grunnlag for å vurdere om informasjonen er tilstrekkeleg etter lova sine krav. Dersom behandlinga byggjer på samtykke frå den registrerte, er utforminga av informasjonsskrive spesielt viktig.
Til punkt 1.10: Har verksemda utarbeidt eit internkontrollsystem?
Personopplysningslova § 14 pålegg den behandlingsansvarlege å utarbeide eit internkontrollsystem. Utarbeiding av eit internkontrollsystem inneber at den behandlingsansvarlege skal planleggje og dokumentere tiltak som gjer han i stand til å oppfylle lova sine krav, medrekna rutinar i forhold til krav frå den registrerte om innsyn, retting eller sletting (sjå også pkt. 2.1, 2.2 og 2.3).
Dersom den behandlingsansvarlege ikkje kan svare ja på spørsmålet i dette punktet, kan Datatilsynet vanskeleg gi ein konsesjon.
Til punkt 2.1: Kravet om at opplysningane er tilstrekkelege og relevante
Personopplysningslova § 11 fyrste ledd bokstav d. pålegg den behandlingsansvarlege å sørgje for at dei personopplysningane som blir behandla er tilstrekkelege og relevante for formålet med behandlinga. Kravet til relevans trekkjer opp eit ytre grense for kva personopplysningar som kan takast med i behandlinga. Dette kravet kan ein ikkje vike frå sjølv om ein har samtykke frå den registrerte. Opplysningar som er uvedkomande eller unødvendige skal haldast utanfor, og i utgangspunktet slettast, jf. lova si § 28. Kravet til at opplysningane skal vere tilstrekkelege stiller krav om at ein har nok opplysningar for å kunne vareta formålet med behandlinga.
Som nemnt, skal den behandlingsansvarlege i medhald av § 14 planleggje og dokumentere tiltak som gjer han i stand til å oppfylle krava i lova. Datatilsynet ber derfor om at søkjaren legg ved dokumentasjon på at kravet om tilstrekkelege og relevante opplysningar blir oppfylt.
Til punkt 2.2: Kravet om korrekte og oppdaterte personopplysningar
Det er dei behandlingsansvarleg si plikt å sørgje for at opplysningane er så korrekte og oppdaterte som mogeleg i forhold til formålet med behandlinga. Den behandlingsansvarlege må derfor sørgje for å lage rutinar som skal sikre at lova blir oppfylt på dette punktet.
Dersom opplysningane blir innhenta direkte frå den registrerte, blir opplysningane rekna for å vere så korrekte som mogelege. Dei er likevel, avhengige av kva typar personopplysningar det er tale om, berre oppdaterte for ein viss periode.
Jamleg registervask mot andre register, og oppdatering direkte frå den registrerte kan vere eksempel på rutinar som kan nyttast.
Kopi av rutinane må leggjast ved søknaden.
Til punkt 2.3: Sletting
Opplysningar som ikkje lenger er nødvendige for å gjennomføre formålet med behandlinga skal som hovudregel blir sletta. I nokre tilfelle blir likevel sletteplikta avgrensa av anna lovgiving som pålegg den behandlingsansvarlege å oppbevare opplysningane, for eksempel arkivlova eller rekneskapslova.
I medhald av § 14 skal den behandlingsansvarlege planleggje og dokumentere tiltak som gjer han i stand til å oppfylle lova sine krav. Datatilsynet ber derfor om ein kopi av sletterutinane.
Til punkt 2.4: Vidare oppbevaring
Opplysningane kan oppbevarast sjølv om dei ikkje er nødvendige for å gjennomføre formålet, dersom vidare oppbevaring skjer for bruk til historiske, vitskaplege og statistiske formål. Føresetnaden er likevel at samfunnet si interesse i oppbevaring klart overstig dei ulempene det kan medføre for den einskilde.
Datatilsynet ber om at søkjarar kryssar av dei eller dei formåla som gjer rett til vidare oppbevaring av opplysningane. Søkjarane må også gi ei framstilling av kvifor samfunnet si interesse i oppbevaring klart overstig personverninteressene i dette tilfellet.
Til punkt 3
Her finn ein ein eigen rettleiar for dokumentasjon av informasjonstryggleiken