Mange tror at Datatilsynet gir tillatelse til kameraovervåking og annen behandling av personopplysninger. Dette er en misforståelse av hvordan loven fungerer.

Melding og konsesjon
Da personopplysningsloven trådte i kraft 01.01.2002, forsvant det generelle kravet om konsesjon for å behandle personopplysninger. Virksomheter som behandler personopplysninger, skal nå selv vurdere om behandlingen er konsesjonspliktig etter loven. Hvis ikke, skal behandlingen bare meldes til Datatilsynet. Det er imidlertid ikke slik at Datatilsynet godkjenner eller forkaster slike meldinger. Det er derfor en misforståelse å tro at Datatilsynet har gitt tillatelse til en bestemt behandling når virksomheten har sendt inn melding og fått bekreftelse på at den er mottatt.

Gir ikke tillatelse
Flere virksomheter som driver kameraovervåking, har uttalt til pressen at de har fått tillatelse fra Datatilsynet for å drive slik overvåking. Datatilsynet hverken krever eller gir slik tillatelse. Det er virksomheten selv som skal vurdere om overvåkingen ligger innenfor loven. Å fremstille det som om Datatilsynet har tillatt overvåkingen, gir lett et inntrykk av at den nødvendige interesseavveiningen er foretatt av tilsynet, og at overvåkingen er funnet akseptabel.

Kontroller og tilsyn
Meldingene som sendes til Datatilsynet om overvåking blir blant annet brukt til å planlegge kontroller og tilsyn. Dersom Datatilsynet på kontroll finner at kravene i loven ikke er oppfylt, kan tilsynet gi pålegg om at overvåkingen opphører eller gjennomføres på annen måte. Det at Datatilsynet ikke har vært på kontroll, kan derimot ikke oppfattes som en aksept for at overvåkingen er lovlig og akseptabel. Datatilsynet kan også kontrollere virksomheter som ikke har sendt melding om behandling av personopplysninger.

Når det gjelder behandling av sensitive personopplysninger, er dette fremdeles konsesjonspliktig etter loven, og i disse tilfellene kan Datatilsynet gi tillatelse til eller forbud mot behandling.