Behandlingsansvar kan ikke overføres.Telefonsalget i forbindelse med BilPluss lotteriet er organisert på en slik måte at den behandlingsansvarlige, stiftelsen Sofienlund, ikke har tilstrekkelig kontroll, sier Datatilsynet.

Så mange virksomheter var involvert i salgsvirksomheten at det ble uklart for de involverte hvem som hadde ansvar for hva. Tilsynet varsler nå pålegg om retting av en rekke forhold.

Stiftelsen Sofienlund har som formål å samle inn penger for å starte og støtte rehabiliteringssentre som Catosenteret. Virksomheten har lotteritillatelse til å drive BilPluss-lotteriet for dette formålet. Etter å ha mottatt mange klager i forbindelse med virksomhetens telefonsalg, gikk Datatilsynet høsten 2003 på tilsyn hos virksomheten.

På bakgrunn av tilsynet vurderer Datatilsynet å gi pålegg om at avtalene mellom stiftelsen og underleverandørene blir endret i samsvar med personopplysningsloven, at et internkontrollsystem blir etablert, at publikums reservasjon mot direkte markedsføringsframstøt respekteres, samt at informasjonsplikten overfor publikum overholdes.

Ansvaret kan ikke overføres
Stiftelsen hadde satt den praktiske delen av lotteriet bort til en underleverandør. Denne underleverandøren er databehandler etter personopplysningsloven. Den behandlingsansvarlige skal pålegge databehandleren gjennom skriftlige avtaler at kravene som stilles i personopplysningsloven etterleves. Selv om den praktiske delen av arbeidet er satt bort til en databehandler, ligger ansvar og råderett over personopplysningene fortsatt hos den behandlingsansvarlige.

I dette tilfellet hadde i tillegg databehandleren satt den praktiske delen av telefonsalget bort til enda en underleverandør. Opplysninger kan ikke overføres fra databehandler til andre uten at dette er avtalt med den behandlingsansvarlige, og en slik overføring skal også inngå i databehandleravtalen. Den behandlingsansvarlige skal ha kontroll slik at personvernet blir like godt ivaretatt selv om flere virksomheter er involvert i det praktiske arbeidet. En tilfredsstillende databehandleravtale og et godt internkontrollsystem ville ha sikret dette.

Internkontroll
Et internkontrollsystem er ment å være til hjelp for virksomheter som skal etterleve personopplysningsloven. Systemet skal minst omfatte rutiner for oppfyllelse av:

- informasjonsplikt etter personopplysningsloven §§ 19 og 20
- krav fra den registrerte om reservasjon mot visse former for behandling av personopplysninger, jf personopplysningsloven §§ 25 og 26
- plikt til å gi innsyn etter personopplysningsloven § 18
- retteplikt etter personopplysningsloven § 27
- sletteplikt / sperring etter personopplysningsloven § 28
- rutine for å vurdere melde- og/eller konsesjonsplikt etter personopplysningsloven §§ 31 og 33.

Stiftelsen Sofienlund har tid på seg til 15. januar for å gi en skriftlig begrunnet tilbakemelding, eller til å rette forholdene påpekt i kontrollrapporten.

Les brevet