Bruk av personopplysninger skal primært baseres på at man har samtykke fra den enkelte eller lovhjemmel for bruken. Personopplysningsloven gir også noen andre mulige lovgrunnlag for behandling av personopplysninger (behandlingsgrunnlag i loven.) Bestemmelsene om når man kan bruke personopplysninger finner du i §§ 8, 9, og 11 i personopplysningsloven. Les om samtykke her.
Informasjonssikkerhet
Virksomheten skal sørge for tilfredsstillende informasjonssikkerhet. Alle som behandler personopplysninger og som omfattes av loven, må vurdere sikkerhetsbehovet. Dette gjelder uavhengig av hvorvidt behandlingen er konsesjonspliktig, meldepliktig eller ingen av delene. Ett av kapitlene i forskriften til personopplysningsloven omhandler informasjonssikkerhet. En behandlingsansvarlig skal, med utgangspunkt i forskriften, kunne etablere et sikkerhetssystem uten altfor omfattende veiledning fra Datatilsynet.
Internkontroll og krav til dokumentasjon
Virksomheter som behandler personopplysninger skal lage et system for internkontroll. Rutiner og tiltak som skal sikre at loven blir etterlevd skal kunne dokumenteres. Dokumentasjonen skal være tilgjengelig for ansatte, Datatilsynet og Personvernnemnda.
Meldeplikt eller konsesjonsplikt?
All behandling av personopplysninger er i utgangspunktet meldepliktig. En del behandlinger er imidlertid unntatt i forskriften til personopplysningsloven. Dette gjelder blant annet kunderegistre, personalregistre og foreningers medlemsregistre. Det stilles vilkår til fritaket fra meldeplikt. Kravene i loven gjelder selv om behandlingen er unntatt meldeplikt.
Noen behandlinger er konsesjonspliktige, og skal dermed ikke meldes. Meldeplikten blir her erstattet av konsesjonssøknad til Datatilsynet. Dette gjelder som hovedregel all behandling av sensitive personopplysninger. I tillegg er enkelte behandlinger, som i utgangspunktet er meldepliktige, i stedet gjort konsesjonspliktige ved forskrift. Dette dreier seg om behandling av personopplysinger innen telesektoren, i forsikringsbransjen og i banker og finansinstitusjoner. Noen behandlinger av sensitive opplysninger er likevel unntatt konsesjonsplikt. Behandlinger som er unntatt konsesjonsplikt har meldeplikt, dersom ikke annet er bestemt.