Plikter

---

Innholdsfortegnelse
Internkontroll
Tiltak for internkontroll og informasjonssikkerhet
Veileder, maler og støtteverktøy - internkontroll og informasjonssikkerhet
Maler enkeltvis
Veileder med eksempel – internkontroll i mindre virksomheter
Kort om internkontroll
Sjekkliste for internkontroll
Bransjenormer
Informasjonssikkerhet
Medlemsopplysninger
Samtykke
Retting og sletting av personopplysninger
Klager på vedtak
Overføring til utlandet
Informasjonsplikt og innsynsrett
Plikt
Melde eller søke konsesjon?
Forskning
Personellregistre
Kommuner
Kameraovervåking
Helsevesen og -forvaltning

---

Internkontroll

Internkontroll handler om å arbeide systematisk for at ens egen virksomhet opptrer i samsvar med de lover og forskrifter som gjelder for virksomheten.

Plikten til å føre internkontroll for behandlinger av personopplysninger står beskrevet i personopplysningslovens § 14. Internkontroll handler her om å styre virksomheten slik at personopplysninger behandles lovlig, forsvarlig og sikkert.

Arbeidet med å sørge for tilfredsstillende informasjonssikkerhet er også en del av internkontrollen.

Brosjyren "pokerfjes" peker på hva man skal sørge for ved behandling av personopplsyninger, og hva man skal unngå. Den peker på lederen i virksomheten som den ansvarlige for at personopplysningene behandles forsvarlig. Internkontroll er verktøyet for en forsvarlig behandling av personopplysninger. Les brosjyren her (pdf, nytt vindu)

 

 

---

Tiltak for internkontroll og informasjonssikkerhet

Datatilsynet lanserte den 15. februar 2007 et nytt og omfattende veiledningsmateriale om internkontroll og informasjonssikkerhet. Den 15. til 19. mars arrangeres det også gratis seminarer rundt temaet, og disse seminarene er nå fulltegnede.

De fleste virksomheter behandler personopplysninger i en eller annen form, og de skal derfor følge personopplysningsloven. Men mange virksomheter mener at kravene i loven ikke gjelder for dem. Dette kom frem i personvernundersøkelsen gjennomført i 2005 av Transportøkonomisk institutt (TØI). Les mer om undersøkelsen her >> Brosjyren "pokerfjes" peker på situasjoner de fleste virksomhetsledere kan kjenne seg igjen i, og som de selv kan være ansvarlige for. Les brosjyren her (pdf, nytt vindu)

Tiltaket

Datatilsynet ble tildelt midler fra Fornyings- og administrasjonsdepartementet i 2006 for ekstraordinære informasjonstiltak. En del av disse er rettet mot informasjonstiltak ovenfor virksomheter for å øke deres kjenneskap til regelverket og pliktene om internkontroll og informasjonssikkerhet.

Datatilsynet har engasjert konsulentselskapet Secode AS for å utarbeide veiledningsmateriale på området. Dette materialet ble lansert den 15. februar 2007:

• Temaheftet "pokerfjes".
• En fullstendig veileder for internkontroll.
• Maler for dokumenter i internkontrollen.
• Tilpasset materiale for de som bare har personopplysninger om ansatte og kunder.
• Støtteverktøy for kontroll mot regelverket.

I tillegg kjøres det en kampanje ovenfor utvalgte bransjer, der det tas kontakt med ansvarspersoner i konkrete bedrifter. Disse inviteres til en tettere oppfølging ved å først besvare en tankevekkende spørreundersøkelse om bedriftens forhold til personopplysningsloven. Senere gis virksomhetene anledning til å delta på et seminar om internkontroll og informasjonssikkerhet.

Seminarene

Seminarene blir arrangert i Bergen (15/3), Trondheim (16/3) og i Oslo (19/3), og samtlige seminarer er nå fulltegnede. For mer informasjon om seminarene, ta kontakt med Secode AS, som administrerer seminarene for Datatilsynet, på internkontroll@secode.no. 

Kontaktpersoner

Kontaktperson i Secode AS for tiltaket er Ivar Aasgaard.
Epost: internkontroll@secode.no

Kontaktperson i Datatilsynet for tiltaket er overingeniør Helge Veum.
Epost: helge.veum@datatilsynet.no

---

Veileder, maler og støtteverktøy - internkontroll og informasjonssikkerhet

Veilederen beskriver prosessen for å etablere internkontroll. Sammen med veilederen er det tilgjengelig et sett med maler til internkontrollsystemet, og et støtteverktøy for å kontrollere etterlevelsen av regelverket.

Denne veilederen hjelper den som er ansvarlig for virksomheten gjennom oppgavene med å bygge opp internkontroll slik at virksomheten behandler personopplysninger lovlig, sikkert og forsvarlig.

Veilederen gir kunnskap og beskriver et løp for virksomheten som er enkelt og oversiktlig. Veilederen gir eksempler på plikter som virksomheten må oppfylle og rutiner som kan tilpasses eget behov.

Sammen med veilederen er det tilgjengelig et sett med maler til internkontrollsystemet, og et støtteverktøy for å kontrollere etterlevelsen av regelverket.

Veilederen omfatter internkontroll generelt, og inkluderer arbeidet med å sørge for tilfredstillende informasjonssikkerhet. Veilederen beskriver imidlertid ikke tekniske sikkerhetsløsninger.

For virksomheter som kun behandler opplysninger om egne ansatte, eller alminnelige handelsopplysninger om sine kunder, finnes det en enklere veileder.
Gå til denne veilederen.

Veileder - internkontroll og informasjonssikkerhet

Her ligger veilederdokumentet.
Last ned (pdf, nytt vindu)

Maler for internkontroll

Her ligger 20 maler som anbefales benyttet ved utarbeidelsen av internkontroll. Malene skal redigeres av virksomheten, og er tilgjengelig i åpent- eller i Microsoft-format. Filene er samlet i zip-formatet.
Last ned i åpent-format (odt) (zip, nytt vindu)
Last ned i Microsoft-format (doc) (zip, nytt vindu)
Last ned malene for lesing (pdf, nytt vindu)
Last ned maler enkeltvis fra denne siden 

Støtteverktøy for kontroll mot regelverket

Her ligger støtteverktøyet hvor man kan kontrollere om virksomheten tilfredstiler kravene til internkontroll og informasjonssikkerhet i personopplysningsforskriften. Verktøyet er tilpasset prosessen med å etablere internkontroll, og gir virksomheten anledning til å kytte til egne dokumenter og administrere ansvar.

Verktøyet gir også enkel tilgang på regelverket i forhold til internkontroll og informasjonssikkerhet, og til krav utledet av dette.

Last ned i åpent-format (ods, nytt vindu)
Last ned i Microsoft-format (xls, nytt vindu)

Verktøyet benytter hjelpefiler fra Datatilsynets nettsted. Dersom det er behov for å kjøre verktøyet uten Internett-tilgang, kan man laste ned hjelpefilene. Veiledning for å sette opp verktøyet til å fungere uten Internett-tilgang ligger sammen med hjelpefilene.
Last ned (zip, nytt vindu)

---

Maler enkeltvis

Malene i åpent- Microsoft- og pdf-format ligger tilgjengelig for nedlasting på denne siden

Komprimerte filer som inneholder alle malene finnes sammen med veilderen.

1. Styrende del av internkontrollen

1-01 Styringsdokument internkontroll

Last ned åpent-format (odt, nytt vindu)
Last ned Microsoft-format (doc, nytt vindu)
Last ned for lesing (pdf, nytt vindu)

1-02 Ledelsens gjennomgang

Last ned åpent-format (odt, nytt vindu)
Last ned Microsoft-format (doc, nytt vindu)
Last ned for lesing (pdf, nytt vindu)

1-11 Sikkerhetsmål og -strategi

Last ned åpent-format (odt, nytt vindu)
Last ned Microsoft-format (doc, nytt vindu)
Last ned for lesing (pdf, nytt vindu)

1-12 Sikkerhetsorganisasjon

Last ned åpent-format (odt, nytt vindu)
Last ned Microsoft-format (doc, nytt vindu)
Last ned for lesing (pdf, nytt vindu)

2. Gjennomførende del av internkontrollen

2-01 Rutiner for håndtering av personopplysninger

Last ned åpent-format (odt, nytt vindu)
Last ned Microsoft-format (doc, nytt vindu)
Last ned for lesing (pdf, nytt vindu)

2-11 Risikovurdering

Last ned åpent-format (odt, nytt vindu)
Last ned Microsoft-format (doc, nytt vindu)
Last ned for lesing (pdf, nytt vindu)

2-12 Sikkerhetsinstruks bruker

Last ned åpent-format (odt, nytt vindu)
Last ned Microsoft-format (doc, nytt vindu)
Last ned for lesing (pdf, nytt vindu)

2-14 Informasjonshåndteringsrutine

Last ned åpent-format (odt, nytt vindu)
Last ned Microsoft-format (doc, nytt vindu)
Last ned for lesing (pdf, nytt vindu)

2-15 Sjekkliste nyansatt_slutter

Last ned åpent-format (odt, nytt vindu)
Last ned Microsoft-format (doc, nytt vindu)
Last ned for lesing (pdf, nytt vindu)

2-16 Taushetserklæring

Last ned åpent-format (odt, nytt vindu)
Last ned Microsoft-format (doc, nytt vindu)
Last ned for lesing (pdf, nytt vindu)

2-17 Sikkerhetsinstruks leder

Last ned åpent-format (odt, nytt vindu)
Last ned Microsoft-format (doc, nytt vindu)
Last ned for lesing (pdf, nytt vindu)

2-19 Sikkerhetsinstruks sikkerhetsansvarlig

Last ned åpent-format (odt, nytt vindu)
Last ned Microsoft-format (doc, nytt vindu)
Last ned for lesing (pdf, nytt vindu)

2-21 Beskrivelse av informasjonssystemet

Last ned åpent-format (odt, nytt vindu)
Last ned Microsoft-format (doc, nytt vindu)
Last ned for lesing (pdf, nytt vindu)

2-22 Driftsrutiner

Last ned åpent-format (odt, nytt vindu)
Last ned Microsoft-format (doc, nytt vindu)
Last ned for lesing (pdf, nytt vindu)

2-23 Overordnet IT-beredskapsplan

Last ned åpent-format (odt, nytt vindu)
Last ned Microsoft-format (doc, nytt vindu)
Last ned for lesing (pdf, nytt vindu)

2-24 Fysisk sikkerhet

Last ned åpent-format (odt, nytt vindu)
Last ned Microsoft-format (doc, nytt vindu)
Last ned for lesing (pdf, nytt vindu)

3. Kontrollerende del av internkontrollen

3-01 Rutiner for avvikshåndtering og egenkontroll

Last ned åpent-format (odt, nytt vindu)
Last ned Microsoft-format (doc, nytt vindu)
Last ned for lesing (pdf, nytt vindu)

3-02 Avviksskjema

Last ned åpent-format (odt, nytt vindu)
Last ned Microsoft-format (doc, nytt vindu)
Last ned for lesing (pdf, nytt vindu)

3-03 Egenkontrollskjema

Last ned åpent-format (odt, nytt vindu)
Last ned Microsoft-format (doc, nytt vindu)
Last ned for lesing (pdf, nytt vindu)

3-04 Rapport fra avvikshåndtering og egenkontroll, og forslag til tiltak

Last ned åpent-format (odt, nytt vindu)
Last ned Microsoft-format (doc, nytt vindu)
Last ned for lesing (pdf, nytt vindu)

---

Veileder med eksempel – internkontroll i mindre virksomheter

Veilederen er tilpasset virksomheter som kun håndterer opplysninger om egne ansatte, eller alminnelige handelsopplysninger om sine kunder. Veilederen kan redigeres til å bli virksomhetens internkontroll.

 

Denne veilederen hjelper den som er ansvarlig for virksomheten gjennom oppgavene med å bygge opp internkontroll slik at virksomheten behandler personopplysninger lovlig, sikkert og forsvarlig.

Veilederen er delt i to deler:

• Del 1 – introduksjon. Dokumentet gir brukeren nødvendig bakgrunnskunnskap og veiledning.
• Del 2 – eksempel. Dokumentet redigeres av virksomheten selv og blir til virksomhetens dokumenterte internkontroll.

En forutsetning for å benytte veilederen er at virksomheten kun behandler personopplysninger om sine egne ansatte, eller alminnelige handelsopplysninger om sine kunder.

Veileder del 1 - introduksjon

Her ligger del 1 av veilederen.
Last ned (pdf, nytt vindu)

Veileder del 2 - eksempel

Her ligger del 2 av veilederen. Denne delen skal redigeres, og er tilgjengelig i redigerbare utgaver.
Last ned i åpent-format (odt, nytt vindu)
Last ned i Microsoft-format (doc, nytt vindu)
Last ned (pdf, nytt vindu)

 

---

Kort om internkontroll

Datatilsynet har tidligere utarbeidet mindre veiledninger om internkontroll. En kort beskrivelse, en sjekkliste og vanlig stilte spørsmål ligger her.

Disse veildeningene gir kortfattet informasjon om internkontroll, og vil være en god støtte i arbeidet med å etablere internkontroll.

Materialet er imidlertid under revisjon.

Spørsmål og svar om internkontroll

(11.01.2005)

Her er de vanligste spørsmålene Datatilsynet får om internkontroll, satt opp slik at man også får veiledning i oppbygging av et internkontrollsystem.
Les mer (pdf, nytt vindu)

Beskrivelse av internkontroll

(11.01.2005)

Hva må virksomheten passe på når internkontrollsystemet skal etableres? Datatilsynet har laget en beskrivelse.
Les mer (pdf, nytt vindu)

---

Sjekkliste for internkontroll

(11.01.2005) Redaksjonen 

En enkel og systematisk oversikt over elementer som bør være med i et internkontrollsystem.

Tilsynene har vist at mange virksomheter bare har internkontroll i forbindelse informasjonssikkerhet. Ikke glem at internkontrollen også skal sikre den registrertes rettigheter og en ryddig behandling! Plikten til å ha et internkontrollsystem går frem i personopplysningsloven (§§ 13 og 14) og personopplysningsforskriftens kapittel 3.

Regelverket stiller ikke formelle strukturkrav til internkontroll, men det er krav om at tiltakene skal dokumenteres. Internkontrollsystemet må tuftes på hovedprinsippene i avsnittene under. Listen er ikke uttømmende, og punktene må ses på som eksempler som kun skal tas med dersom de er aktuelle for virksomheten.

Styrende dokumenter:

Juridiske forhold

- Stadfesting av behandlingsansvarlig
- Kartleggig av behandlinger
- Identifisere formål med behandlingene
- Hjemmelsgrunnlag for behandlingene
- Vurdere om formålet med behandlingen er i samsvar med hjemmelsgrunnlaget
- Identifisering av krav/plikter
- Mål/policy – eller overordnede rammer for behandling av personopplysninger
- Om egenkontroll og avviksbehandling

Informasjonssikkerhet

- Sikkerhetsmål
- Sikkerhetsstrategi
- Sikkerhetsorganisasjonen
- Overordnet om konfigurasjonskontroll
- Egenkontroll og avviksbehandling

Gjennomførende aktiviteter:

Juridiske forhold

Rutiner for:
- Innsyn, retting, supplering
- Oppfyllelse av plikt til informasjon
- Innhenting og kontroll av samtykke
- Vurdering av opplysningens kvalitet
- Sletting av personopplysninger
- Ivaretakelse av eventuell reservasjonsrett
- Melde- og konsesjonsplikt
- Prosedyre for iverksettelse eller opphør av behandling

Informasjonssikkerhet

Stadfesting av:
- Organisering av sikkerhetsarbeidet
- Informasjonssystem - beskrivelse
- Sikkerhetskopiering
- Tilgang til informasjonssystemet
- Konformitetserklæring fra den ansatte

Rutiner for:
- Bruk av Internett
- Bruk av elektronisk post
- Utskrift og kopiering
- Makulering av dokumenter
- Sikkerhet og orden på eget kontor
- Adgangskontroll
- Innleid teknisk personell og håndverkere
- Bruk av hjemmekontor
- Bruk av bærbar datamaskin

Kontrollerende aktiviteter:

Juridiske forhold

- Prosedyre for periodisk kontroll
- Håndtering av avvik
- Rapport fra periodisk kontroll og forslag til tiltak

Informasjonssikkerhet

- Prosedyre for periodisk kontroll
- Prosedyre for kontroll av fysisk sikkerhet
- Prosedyre for kontroll av logisk sikkerhet
- Håndtering av avvik
- Rapport fra periodisk kontroll og forslag til tiltak

---

Bransjenormer

(08.06.2005) Gunnel Helmers 

En bransjenorm er ikke en plikt, men en mulighet for en bransje til å lage retningslinjer for gjelder bruk av personopplysninger og sikring av opplysninger.

En god bransjenorm er et viktig hjelpemiddel for godt personvern. Normen gir bransjens medlemmer et nyttig redskap i arbeidet med å tolke og implementere et lovverk som er omfattende og til dels vanskelig tilgjengelig.

Bransjenormer er retningslinjer på linje med et internet reglement. Tanken er derfor at brudd på normen skal medføre reaksjoner fra bransjeorganisasjonene eller andre i bransjen. I tillegg vil brudd på normen kunne medføre reaksjoner fra Datatilsynet i den grad personopplysningsloven er brutt.

Normer for godt personvern kan godt kombineres med andre retningslinjer for bransjen.

Det er i utgangspunktet bransjen selv som utarbeider normen, men Datatilsynet bistår med råd og veiledning underveis i prosessen. Vanligvis vil et utkast til norm fra bransjen være utgangspunkt for videre dialog og diskusjon.

I Norge er det blant annet laget en bransjenorm for idretten, og en bransjenorm for informasjonssikkerhet i helsevesenet.
Idrettens retningslinjer for databehandling finner man her  (Norsk idrettsforbunds sider, nytt vindu)

Mer om norm for informasjonssikkerhet i helsesektoren finner man her

Under finner man vedlagt FEDMAs bransjenorm. Denne er godkjent av artikkel 29-gruppen, det rådgivende personvernorganet til EU-kommisjonen, og er et godt eksempel på hvordan en slik norm kan utformes. 

Last ned FEDMAs bransjenorm her (engelsk, pdf, nytt vindu) 

 

---

Informasjonssikkerhet

Den som behandler personopplysninger, skal sørge for tilfredsstillende sikring av informasjonssystemet med grunnlag i en risikovurdering.

Bestemmelsene om informasjonssikkerhet finnes i personopplysningslovens § 13 med utfyllende bestemmelser i personopplysningsforskriftens 2. kapittel, samt i
helseregisterlovens § 16.

Datatilsynets veiledere
Datatilsynets tilsyns- og sikkerhetsavdeling kan gi veiledning om bruk av informasjonsteknologi ved behandling av personopplysninger, og vurdere informasjonssikkerhet hos virksomheter i forbindelse med endring eller etablering av nye informasjonssystemer. Som et ledd i dette, har Datatilsynet utformet noen veiledere som kan benyttes av virksomhetene.

Les mer på siden om informasjonssikkerhet

---

Medlemsopplysninger

(07.03.2006) Redaksjonen 

Mange foreninger registrerer opplysninger om medlemmene sine. Her er en veiledning om blant annet hva man har anledning til å registrere, hva opplysningene kan brukes til og hvordan opplysningene skal behandles.

- Gjelder personopplysningsloven for behandling av medlemsopplysninger?
- Hvilke opplysninger kan registreres om medlemmene?
- Kan foreningen registrere fødselsnummer?
- Er behandling av medlemsopplysninger melde- eller konsesjonspliktig?
- Hva skal skje med opplysningene når et medlem melder seg ut?
- Kan foreningen selge medlemsinformasjonen videre?
- Kan foreningen markedsføre egne produkter/tjenester overfor medlemmene?
- Har medlemmene krav på å få se hva som er registrert om dem?
- Hvordan skal medlemsopplysninger sikres?

GJELDER PERSONOPPLYSNINGSLOVEN FOR BEHANDLING AV MEDLEMSOPPLYSNINGER?
En personopplysning er en opplysning eller vurdering som direkte eller indirekte kan knyttes til en enkeltperson. Eksempler på hva som regnes som en personopplysning er: navn, adresse, telefonnummer, e-postadresse, bilnummer, bilder og fødselsdato.

Loven omfatter behandling av personopplysninger. Dersom en forening behandler opplysninger om medlemmene som nevnt over, vil personopplysningsloven gjelde. Opplysninger om virksomheter faller utenfor lovens virkeområde.

HVILKE OPPLYSNINGER KAN REGISTRERES OM MEDLEMMENE?
Den ansvarlige skal kun behandle de opplysningene som er nødvendige og relevante i forbindelse med administrasjon av medlemskapet. Hvilke opplysninger dette vil være må vurderes konkret ut fra hva slags forening det er snakk om. De  fleste foreninger vil registrere kontaktopplysninger om medlemmene, slik som navn, adresse, telefonnummer og eventuelt e-postadresse, samt medlemsnummer.

Som hovedregel må medlemmet samtykke i registrering og behandling av personopplysningene. Et gyldig samtykke innebærer at medlemmet avgir en frivillig, uttrykkelig og informert erklæring om at opplysningene kan behandles. Det er viktig at medlemmet får tilstrekkelig informasjon om foreningens bruk og lagring av opplysninger før registrering skjer. Dette er viktig for at den enkelte skal kunne ivareta sine rettigheter etter personopplysningsloven.

Les mer om samtykke
Les mer om informasjonsplikten

KAN FORENINGEN REGISTRERE FØDSELSNUMMER?
Fødselsnummer kan kun benyttes når det er saklig behov for sikker identifisering og metoden er nødvendig for å oppnå slik identifisering.

I utgangspunktet vil foreninger sjelden ha et saklig behov for å behandle fødselsnummer i sin interne administrasjon. Det finnes likevel enkelte forhold som tilsier at fødselsnummer kan være nødvendig. Et eksempel vil være i de tilfellene medlemmet ønsker skattefradrag, og foreningen må gi informasjon om dette til skattemyndighetene. Det understrekes likevel at det må være opp til den enkelte å avgjøre om en slik levering av opplysninger skal skje.

ER BEHANDLING AV MEDLEMSOPPLYSNINGER MELDE- ELLER KONSESJONSPLIKTIG?
Det er gjort unntak fra melde- og konsesjonsplikten for behandling av medlemsopplysninger i personopplysningsforskriftens § 7-15. Dette betyr altså at man ikke trenger å melde denne behandlingen. Den er heller ikke konsesjonspliktig.
Les hele bestemmelsen (Lovdata)

Merk likevel at unntaket bare gjelder dersom personopplysningene behandles som et nødvendig ledd i administrasjon av foreningens virksomhet. Behandling av fødselsnummer i forbindelse med skattefradrag for medlemmene faller også inn under unntaket fra melde- og konsesjonsplikt.

Hvis foreningen behandler sensitive personopplysninger, gjelder unntaket fra melde- og konsesjonsplikt bare dersom medlemmet har samtykket i behandling av opplysningene, og de har nær og naturlig sammenheng med medlemskapet. (Sensitive personopplysninger er definert i personopplysningslovens § 2 nr 8.)

Selv om foreningen er fritatt fra melde- og konsesjonsplikt, vil personopplysningslovens øvrige regler gjelde i sin helhet. Virksomheten må selv passe på at regelverket blir fulgt, men kan selvsagt be Datatilsynet om råd og veiledning ved behov.

HVA SKAL SKJE MED OPPLYSNINGENE NÅR ET MEDLEM MELDER SEG UT?
Personopplysninger skal ikke lagres lenger enn det som er nødvendig for å gjennomføre formålet med behandlingen. Dette gjelder også for medlemsopplysninger.

Det er i første omgang opp til foreningen selv å vurdere hvor lenge det er nødvendig å lagre opplysninger om det enkelte medlem. Som utgangspunkt skal opplysningene slettes når medlemmet melder seg ut. Opplysninger kan lagres lenger etter avtale med medlemmet. Dette kan for eksempel være praktisk der medlemmet kan få tilbake tidligere opptjente fordeler eller ansiennitet ved å melde seg inn i foreningen på et senere tidspunkt.

KAN FORENINGEN SELGE MEDLEMSINFORMASJONEN VIDERE?
Som hovedregel må foreningen innhente samtykke dersom medlemsopplysninger skal utleveres eller selges videre til tredjepart. Etter en interesseavveining kan det likevel i enkelte tilfeller være mulig å videreformidle opplysningene uten samtykke. En slik videreformidling krever at det er gitt god informasjon til medlemmet i forkant av utleveringen.

Sensitive opplysninger skal aldri utleveres uten at medlemmet har samtykket i det.

Les mer om mekling av adresseopplysninger

KAN FORENINGEN MARKEDSFØRE EGNE PRODUKTER/TJENESTER OVERFOR MEDLEMMENE?
Foreningen kan markedsføre egne produkter og tjenester overfor sine medlemmer uten forhåndssamtykke fra den enkelte. Medlemmet har imidlertid rett til å reservere seg internt i virksomheten mot markedsføringshenvendelser. Foreningen må informere medlemmet om denne muligheten, og har plikt til å respektere reservasjonen.

HAR MEDLEMMENE KRAV PÅ Å FÅ SE HVA SOM ER REGISTRERT OM DEM?
Det er en grunnleggende rett etter personopplysningsloven at den enkelte har krav på innsyn i sine egne opplysninger. Det er kun få unntak fra regelen om innsynsrett, og disse vil sjelden være relevante for å nekte innsyn i medlemsopplysninger. Foreningen må eventuelt begrunne avslag på innsyn skriftlig, og vise til relevant unntakshjemmel.

Les mer om retten til innsyn

HVORDAN SKAL MEDLEMSOPPLYSNINGENE SIKRES?
Virksomheter skal ha en forholdsmessig sikring av personopplysninger. Da ulike foreninger vil sitte på ulike medlemsopplysninger kan det ikke gis et enkelt svar på sikring av slik informasjon. Les derfor mer om dette under informasjonssikkerhet.

---

Samtykke

Samtykke er et grunnprinsipp i loven. Virksomheter som ønsker å bruke personopplysninger må som hovedregel innhente samtykke før de starter behandlingen.

KRAV TIL SAMTYKKET

Personopplysningsloven stiller krav til samtykket. Et samtykke skal være en frivillig, uttrykkelig og informert erklæring fra den opplysningene gjelder, om at hun eller han godtar behandling av opplysninger om seg selv.

Informert samtykke
Samtykket skal være informert. Den som skal registreres må få tilstrekkelig informasjon til å forstå hva samtykket gjelder og hvilke konsekvenser det kan få. Informasjonen til den registrerte skal minst omfatte:

• navn og adresse på den behandlingsansvarlige
• hva opplysningene skal brukes til
• om opplysningene vil bli utlevert til andre, og eventuelt hvem som er mottaker
• om det er frivillig å gi fra seg opplysningene
• informasjon som gjør den registrerte i stand til å bruke sine rettigheter etter personopplysningsloven på best mulig måte, som f.eks. om retten til å kreve innsyn, retting og sletting
• hvor lenge personopplysningene vil bli behandlet eller oppbevart

Frivillig samtykke
Et frivillig samtykke er et samtykke som ikke er avgitt under tvang, verken fra den behandlingsansvarlige eller fra andre.

Det er ikke alltid lett å se om samtykket er frivillig. Eksempler på dette kan være når en virksomhet stiller et samtykke som vilkår for å tilby en eller annen tjeneste eller for å ansette en person. Vil man ha jobben eller forsikringen, må man samtykke. Spørsmålet om samtykket er frivillig eller ikke må avgjøres konkret i det enkelte tilfelle: Hva spørres det etter? Hvor belastende vil et samtykke være? Er konsekvensene uforholdsmessige om man ikke samtykker?

Uttrykkelig samtykke
Samtykket skal være uttrykkelig. Når virksomheten ønsker å behandle opplysninger om en person, må personen foreta seg noe aktivt for å samtykke, som å sende inn en svarslipp eller liknende.

HVORDAN SKAL SAMTYKKET GIS

Den som skal registreres kan samtykke muntlig eller skriftlig, elektronisk eller på papir. Det må imidlertid gå klart og utvetydig fram:

• at den registrerte samtykker
• hvilke behandlinger samtykket omfatter
• hvilke behandlingsansvarlige samtykket rettes til

Den behandlingsansvarlige skal kunne sannsynliggjøre at samtykket er gitt. Dette er lettere dersom samtykket er gitt skriftlig.

KAN UMYNDIGE SAMTYKKE?

Som hovedregel kan bare myndige personer samtykke. Vergen må samtykke for mindreårige og umyndiggjorte. Samtykke fra mindreårige må likevel kunne oppfylle samtykkekravet i loven. Dette gjelder dersom det ikke dreier seg om sensitive personopplysninger, og man kan forvente en tilstrekkelig modenhet til å overskue hva et samtykke innebærer. Annen lovgivning kan bestemme andre aldersgrenser.

Veileder rettet mot næringsdrivende
Datatilsynet og Forbrukerombudet utviklet i fellesskap en veileder for når barn og unges personopplysninger kan brukes av næringsdrivende.
Les mer og last ned veilederen om samtykke fra barn og unge her 

 

---

Retting og sletting av personopplysninger

Virksomheten skal rette eller slette opplysninger når de er feilaktige, mangelfulle eller unødvendige.

- Mangelfulle personopplysninger skal rettes
- Unødvendige personopplysninger skal slettes
- Annen lovgivning kan begrense sletteplikten
- Datatilsynet kan pålegge sletting
- Sperring av personopplysninger
- Opplysninger til historiske, vitenskapelige og statistiske formål
- Sterkt belastende opplysninger
- Hvor finnes bestemmelsene om retting og sletting?

 

NÅR SKAL OPPLYSNINGER RETTES?

Mangelfulle personopplysninger skal rettes
Opplysningen kan rettes ved at den markeres og suppleres med korrekte opplysninger eller slettes. Hvis den vil kunne ha betydning som dokumentasjon, er hovedregelen at den skal markeres og så suppleres med korrekte opplysninger. Når en feilaktig opplysning kan få betydning, for eksempel om den ligger til grunn for et vedtak i en barnefordelingssak, vil dette være riktig fremgangsmåte.

 

NÅR SKAL OPPLYSNINGER SLETTES?
Unødvendige personopplysninger skal slettes
Opplysninger som ikke lenger er nødvendige for å gjennomføre formålet med behandlingen, skal som hovedregel slettes. Dette gjelder selv om opplysningene ikke er mangelfulle.

Dersom dokumentet blir åpenbart misvisende etter sletting, og supplering med korrekte opplysninger ikke er mulig, skal hele dokumentet makuleres.

Annen lovgivning kan begrense sletteplikten
I noen tilfeller vil plikten til å slette opplysninger etter personopplysningsloven være begrenset. Dette gjelder i de tilfellene der annen lovgivning bestemmer noe annet, for eksempel arkivering. Regnskapslovens krav til oppbevaringstid er et slikt eksempel.

Datatilsynet kan pålegge sletting
Datatilsynet kan bestemme at personopplysninger skal slettes når tungtveiende personvernhensyn tilsier det. Dette gjelder selv om opplysningen vil kunne ha betydning som dokumentasjon. Sletting skal erstattes med registrering av korrekte og fullstendige opplysninger dersom det ligger til rette for det.

Klager på avgjørelser som angår sletting av opplysninger til historiske formål, kan påklages videre til Kongen.

Sperring av personopplysninger
Et alternativ til sletting er å pålegge at opplysningene sperres, slik at tilgangen til opplysningene begrenses til bestemte personer eller situasjoner.

Opplysninger til historiske, vitenskapelige og statistiske formål
Personopplysninger kan oppbevares til historiske, vitenskapelige og statistiske formål selv om de ikke er nødvendige lenger etter sitt opprinnelige formål. Forutsetningen er at samfunnets interesse i oppbevaring klart overstiger den registrertes interesse i personvern.

Sterkt belastende opplysninger
Den registrerte kan kreve at sterkt belastende opplysninger skal sperres eller slettes. Dette skal i så fall gjøres etter en helheltsvurdering.

 

HVOR FINNES BESTEMMELSENE OM RETTING OG SLETTING?
Personopplysningsloven §§ 27 og 28 handler spesielt om retting og sletting. Adgangen til å klage videre til Kongen når det gjelder avgjørelser om personopplysninger som behandles for historiske formål er hjemlet i § 42, siste ledd.

---

Klager på vedtak

(16.04.2004) Redaksjonen 

Vedtaka til Datatilsynet kan klagast til Personvernnemnda. Denne retten finnast i personopplysningslova § 42 fjerde ledd og forvaltningslova §28.

Klaga må vere send Datatilsynet innan 3 veker etter at ein blei underretta om vedtaket. Datatilsynet vil då vurdere saka på nytt. Anten gir Datatilsynet klagaren medhald, elles blir saka send til Personvernnemnda som er klageinstans.

Sjå rettleiing og skjema for klage (pdf-format)

Klaga sendast:

Datatilsynet
Postboks 8177, dep
0034 Oslo

---

Overføring til utlandet

(09.10.2006) Redaksjonen 

Personopplysninger kan fritt overføres til land innen EU og EØS-området. De kan også overføres til land som Europakommisjonen har godkjent, samt enkeltbedrifter i USA som har sluttet seg til Safe Harbor.

Ved overføring til tredjeland som faller utenfor disse avtalene finnes det likevel andre muligheter, slik som EUs standardkontrakt eller samtykke fra den registrerte. Reglene om overføring av personopplysninger til utlandet finner du også i personopplysningsloven, kapittel IV, §§ 29 og 30.

Hva defineres som en overføring av personopplysninger til utlandet?

Bestemmelsen om overføring til utlandet gjelder bare overføring av personopplysninger til en målrettet adresse i et tredjeland. Opplysninger som blir lagt ut på Internett, og i prinsippet kan leses av alle, vil som hovedregel ikke rammes av de strenge vilkårene for overføring til tredjeland. Denne offentliggjøringen vil komme inn under andre bestemmelser.
Om man sender e-post til en adressat i utlandet, regner man selvsagt dette som overføring til utlandet. Sender man derimot en e-post til en adressat i Norge, vil det ikke regnes som overføring selv om den på vegen er innom en server som ligger i utlandet.

Hvilke land kan virksomheten overføre personopplysninger til?

EU og EØS-området: Personopplysninger kan fritt overføres mellom alle land i EU (25 land) og EØS-området (i tillegg til Norge, gjelder dette Island og Lichtenstein). Alle disse landene anses å ha et forsvarlig regelverk når det gjelder behandlingen av slike opplysninger.

Land EU har godkjent: En virksomhet kan også overføre personopplysninger til andre land dersom Europakommisjonen har funnet at landet det er snakk om har et tilstrekkelig beskyttelsesnivå. Da dette ble skrevet (desember -06) hadde fem land fått en slik godkjenning, men listen oppdateres jevnlig. De som har fått godkjenning til nå er; Argentina, Sveits, Guernsey, Canada (noe begrenset) og Isle of Man. USA er dessuten godkjent når det gjelder overføring av personopplysninger om flypassasjerer, i tillegg til Safe Harbor-avtalen som omtales lenger nede.
Les mer om dette på Europakommisjonen sine nettsider (engelsk).

Hvordan kan man overføre til andre land enn de EU har godkjent?

EUs standardkontrakter
Den enkleste måten å overføre personopplysninger til andre land på, er å bruke standardkontraktene EU har laget. Ved signering av kontrakten(e) forplikter den som mottar opplysningene seg til å behandle dem i samsvar med de krav som gjelder innenfor EU og EØS-området.
(NB: filene krever at du har Adobe Acrobat Reader installert på din datamaskin.)

1. Overføring til virksomheter

   
   For overføring til virksomhet i tredjeland som selv opptrer som behandlingsansvarlig virksomhet er det utformet to alternative standardkontrakter:
   
   Standardkontrakt I
   - Dansk versjon (Pdf, nytt vindu – kontraktsteksten starter på side 6).
   - Engelsk versjon (Pdf, nytt vindu – kontraktsteksten starter på side 6).
   
   Standardkontrakt II:
   - Dansk versjon (Pdf, nytt vindu, kontraktsteksten starter på side 4)
   - Engelsk versjon (Pdf, nytt vindu, kontraktsteksten starter på side 4)
   
   

2. Overføring til databehandler

   
   Det er også utformet en standardkontrakt for overføring av personopplysninger til databehandler i tredjeland. Det vil si til en virksomhet i tredjeland som kun behandler opplysninger på vegne av den behandlingsansvarlige virksomheten i Norge eller et annet EU/EØS-land:
   - Dansk versjon (Pdf, nytt vindu – kontraktsteksten starter på side 6).
   - Engelsk versjon (Pdf, nytt vindu – kontraktsteksten starter på side 6).

Safe Harbor
En virksomhet kan overføre personopplysninger til enkelte bedrifter i USA. Bedriftene må da være tilsluttet en avtale som er utarbeidet i samarbeid mellom US Department of Commerce og Europakommisjonen. Dette kalles Safe Harbor-avtalen. Avtalen sikrer blant annet bedriftene veiledning i hvordan de kan ivareta tilstrekkelig beskyttelse av personopplysningene.
Les mer om Safe Harbor (engelsk).
Oppdatert oversikt over alle virksomhetene som er med på avtalen (engelsk).

Skjønnsmessig vurdering
Virksomheten kan også foreta en skjønnsmessig vurdering av overføringen av personopplysningene. Man må da vurdere personvernulempene opp mot nivået på personvernbeskyttelsen i mottakerlandet. Dersom beskyttelsen av personvernet i mottakerlandet er tilfredsstillende, kan opplysningene overføres.
I vurderingen må virksomheten se på:

1. Opplysningens art: Jo mer sensitiv karakter opplysningene har, jo mer kreves det av reguleringen i mottakerlandet.
2. Behandlingens formål: Når behandlingen ikke medfører noen konsekvenser for den opplysningene gjelder, kan man godta et dårligere vern enn når behandlingen kan medføre konsekvenser.
3. Tidsperspektiv: Jo lenger tid behandlingen går over, jo bedre vern av personopplysningene kreves.
4. Regler som oppveier personvernulempene: Har mottakerlandet gjennomført Europarådets personvernkonvensjon? Finnes det innenfor bransjen adferdsnormer, sikkerhetstiltak eller liknende som kan ivareta personvernet?

Samtykke fra den registrerte
Dersom virksomheten etter avveiningen kommer til at landet ikke har tilstrekkelig beskyttelsesnivå for opplysningene, kan overføringen likevel gjennomføres om man har samtykke fra den registrerte. Det finnes også enkelte andre unntak i personopplysningsloven § 30.

Tillatelse fra Datatilsynet
En siste utveg er å søke Datatilsynet om tillatelse til å utlevere opplysningene til utlandet. Tilsynet kan sette vilkår for overføringen som kan avhjelpe personvernulempene. Dette er ment å være en sikkerhetsventil, så virksomhetene må regne med at tilsynet vil være streng i utøvelsen av skjønn på dette området.

Er det meldeplikt ved overføring av personopplysninger til utlandet?

Overføring av personopplysninger til utlandet utløser ikke automatisk en selvstendig meldeplikt. Dersom formålet for behandlingen allerede er meldt til Datatilsynet, og dekker utleveringen, trenger ikke virksomheten melde på nytt. Dersom overføringen derimot ikke er forenlig med formålet for behandlingen, må det sendes en endringsmelding eller en ny melding til Datatilsynet.
Les personopplysningslovens bestemmelser om overføring av personopplysninger til utlandet.

---

Informasjonsplikt og innsynsrett

Virksomheter som behandler personopplysninger skal, på eget initiativ og på forespørsel gi informasjon. Den som er registrert skal få innsyn i opplysninger om seg selv, samt i sikkerhetstiltak. Bruk av personprofiler krever informasjon om dette.

- Innsynsrett
- Informasjonsplikt
- Unntak fra innsynsrett og informasjonsplikt
- Samtykke og informasjonsplikt

Informasjonsplikten innebærer at virksomhetene må ha god oversikt over behandlingene som foretas, og ha gode rutiner for å gi informasjon, både på eget initiativ og til den som spør.
 

INNSYNSRETT

Alle skal få informasjon
Enhver som ber om det skal få informasjon om hvilke behandlinger av personopplysninger virksomheten foretar. Ønsker man mer informasjon om en spesifikk behandling, har man også krav på det. Da skal virksomheten oppgi navn og adresse på den behandlingsansvarlige, hvem som eventuelt har det daglige ansvaret, formålet med behandlingen, hvilke typer personopplysninger som behandles, hvor opplysningene er hentet fra, og eventuelt hvem de vil bli utlevert til. Er man selv registrert hos den behandlingsansvarlige, skal man ha informasjon om hvilke opplysninger virksomheten har om en, og hvilke tiltak som er satt i gang for å sikre opplysningene. Slik informasjon skal ikke være så utfyllende at sikkerheten blir svekket. (Personopplysningsloven § 18)

Historiske, statistiske eller vitenskapelige formål
For behandling av opplysninger til historiske, statistiske eller vitenskapelige formål er det gjort unntak fra innsynsretten. Les mer i personopplysningsloven § 18.

 

INFORMASJONSPLIKT
Virksomheter som samler inn personopplysninger har plikt til å informere den opplysningene gjelder. Virksomheten skal informere på eget initiativ. Informasjonen skal minst inneholde navn og adresse på den behandlingsansvarlige, formålet med behandlingen, og om det er frivillig å gi fra seg opplysningene. I tillegg skal det opplyses om hvorvidt opplysningene kan bli utlevert til tredjemann og hvor lenge opplysningene blir lagret. Videre skal den opplysningene gjelder få informasjon som gjør det lettere for henne å ivareta sine rettigheter, som for eksempel om retten til innsyn, retting og sletting.

Informasjonsplikten gjelder både når virksomheten samler inn personopplysninger direkte fra den opplysningene gjelder, og når de kommer fra en tredjeperson. Det er likevel ikke nødvendig å informere dersom det er på det rene at informasjonen er kjent fra før. Det er flere unntak fra informasjonsplikten når opplysningene samles inn fra en tredjeperson. (Personopplysningsloven §§ 19, 20 og 23)

Henvendelser på bakgrunn av personprofiler
Når noen kontakter en person på bakgrunn av en personprofil, skal han eller hun få vite hvem som er behandlingsansvarlig og hvilke opplysninger som ligger til grunn for profilen. Vedkommende skal også få vite hvor opplysningene er hentet fra. Man har imidlertid ikke krav på informasjon om hvilke vurderinger den behandlingsansvarlige har fattet på bakgrunn av profilen. (Personopplysningsloven  § 21)

Beslutninger basert på automatisk behandling
Dersom virksomheten foretar beslutninger rettet mot enkeltpersoner som fullt ut er basert på automatisk behandling av personopplysninger, kan den registrerte kreve at det gjøres rede for regelinnholdet i datamaskinprogrammene som ble brukt til å fatte beslutningen. (Personopplysningsloven § 22)

 

UNNTAK FRA INNSYNSRETT OG INFORMASJONSPLIKT
Det finnes unntak fra innsynsretten og informasjonsplikten. For eksempel har man ikke krav på innsyn eller informasjon når opplysningene må hemmeligholdes av hensyn til etterforskning av straffbare handlinger. Behandling av personopplysninger til intern saksforberedelse er også unntatt. For flere unntak, se personopplysningsloven § 23 og i siste avsnitt i § 18.

 

SAMTYKKE OG INFORMASJONSPLIKT
Samtykke, rett til informasjon og innsynsrett er grunnleggende rettigheter i loven. Disse rettighetene skal gjøre det mulig for den enkelte å ivareta sin personverninteresse, blant annet ved å kreve retting og sletting av feilaktige eller unødvendige opplysninger om seg selv. Det er verdt å merke seg at et samtykke fra den registrerte bare er gyldig dersom det er uttrykkelig, frivillig og informert. Kravet til at den opplysningene gjelder skal være informert, tilsier at han eller hun skal ha fått informasjon som minst tilsvarer kravet i personopplysningsloven. 

 

---

Plikt

(28.01.2005) Redaksjonen 

Det er ikke fritt frem for virksomheten å bruke opplysninger om en enkeltperson.

Bruk av personopplysninger skal primært baseres på at man har samtykke fra den enkelte eller lovhjemmel for bruken. Personopplysningsloven gir også noen andre mulige lovgrunnlag for behandling av personopplysninger  (behandlingsgrunnlag i loven.) Bestemmelsene om når man kan bruke personopplysninger finner du i §§ 8, 9, og 11 i personopplysningsloven. Les om samtykke her.

Informasjonssikkerhet
Virksomheten skal sørge for tilfredsstillende informasjonssikkerhet. Alle som behandler personopplysninger og som omfattes av loven, må vurdere sikkerhetsbehovet. Dette gjelder uavhengig av hvorvidt behandlingen er konsesjonspliktig, meldepliktig eller ingen av delene. Ett av kapitlene i forskriften til personopplysningsloven omhandler informasjonssikkerhet. En behandlingsansvarlig skal, med utgangspunkt i forskriften, kunne etablere et sikkerhetssystem uten altfor omfattende veiledning fra Datatilsynet.

Internkontroll og krav til dokumentasjon
Virksomheter som behandler personopplysninger skal lage et system for internkontroll. Rutiner og tiltak som skal sikre at loven blir etterlevd skal kunne dokumenteres. Dokumentasjonen skal være tilgjengelig for ansatte, Datatilsynet og Personvernnemnda.

Meldeplikt eller konsesjonsplikt?
All behandling av personopplysninger er i utgangspunktet meldepliktig. En del behandlinger er imidlertid unntatt i forskriften til personopplysningsloven. Dette gjelder blant annet kunderegistre, personalregistre og foreningers medlemsregistre. Det stilles vilkår til fritaket fra meldeplikt. Kravene i loven gjelder selv om behandlingen er unntatt meldeplikt.

Noen behandlinger er konsesjonspliktige, og skal dermed ikke meldes. Meldeplikten blir her erstattet av konsesjonssøknad til Datatilsynet. Dette gjelder som hovedregel all behandling av sensitive personopplysninger. I tillegg er enkelte behandlinger, som i utgangspunktet er meldepliktige, i stedet gjort konsesjonspliktige ved forskrift. Dette dreier seg om behandling av personopplysinger innen telesektoren, i forsikringsbransjen og i banker og finansinstitusjoner. Noen behandlinger av sensitive opplysninger er likevel unntatt konsesjonsplikt. Behandlinger som er unntatt konsesjonsplikt har meldeplikt, dersom ikke annet er bestemt.

 

---

Melde eller søke konsesjon?

(15.11.2004) Redaksjonen 

Behandling av personopplysningar er etter hovudregelen meldepliktig, medan behandling av sensitive opplysningar er konsesjonspliktig. Det er imidlertid nokre unnatak. Meldingar og konsesjonssøknader sendast Datatilsynet eller til personvernombodet.

Datatilsynet har laga eigne informasjonssider tilpassa kameraovervaking, helsetenesten, kommuner, helseforvaltninga og forsking. Peikarar til desse sidene ligg i menyen til venstre.

• Meldeplikt
• Konsesjonsplikt

Meldeplikt

Dei behandlingsansvarlege si meldeplikt er regulert i personopplysningslova § 31. Meldeplikta inneber at den som ønskjer å bruke personopplysningar, skal orientere Datatilsynet før behandlinga blir starta. Meldinga skal sendast til Datatilsynet seinast 30 dagar før behandlinga tek til. Verksemder som har personvernombod skal sende melding til ombodet. Personvernombodet har ei liste over meldepliktig bruk av personopplysningar innan verksemda si.

Meldinga er berre ei orientering frå den behandlingsansvarlege til Datatilsynet, og vert ikkje godkjend av Datatilsynet. Datatilsynet kan på grunnlag av meldinga setje i verk tiltak. Meldinga skal også tene som grunnlag for å gi regelinformasjon og hjelpe til å betre kunnskapsnivået om personopplysningsloven hos den meldepliktige. Meldingane vil utgjere ein vesentleg del av Datatilsynets kunnskapsbase, og gi grunnlag for prioriteringar av arbeidsoppgåver, da særleg i forhold til kontroll og rettleiing. Meldingane er offentleg tilgjengelege via Datatilsynet heimesider.

Kven har meldeplikt?
Hovudregelen er at følgjande behandlingar av personopplysningar er meldepliktige:

• Ikkje-sensitive personopplysningar som blir behandla med elektroniske hjelpemiddel.
• Sensitive personopplysningar som skal førast i eit manuelt register.

Her følgjer nokre eksempel på meldepliktig bruk av personopplysningar:

• Kameraovervaking
• Journalsystem og klientregistre
• Adgangskontrollsystem
• Nokre forskningsprosjekt

Unntak frå meldeplikt
Behandlingar berre for kunstnariske, litterære eller journalistiske formål er unntatt frå personopplysningslova. Nokre andre behandlingar er unntatt meldeplikt i kapittel 7 i forskrifta, om vilkåra i forskrifta er oppfylt. Dette gjeld mellom anna:

• Kunde-, abonnent- og leverandøropplysningar
• Opplysningar om boligforhold 
• Aksjebok
• Protokollføring av mekling
• Aktivitetsloggar i edb-system eller datanett
• Når verksemda har eit personvernombod Datatilsynet har godkjent, skal meldinga sendast til ombodet, og ikkje til Datatilsynet.

Les meir om unntak og vilkår i forskrifta til personopplysningslova, kapittel 7 (nytt vindauge).

Korleis skal verksemda melde?
Verksemda skal melde via Datatilsynets heimesider eller på eit eiget skjema. Om verksemda melder elektronisk, vert meldinga raskare registrert, og behandlinga kan starte før. Om verksemda har personvernombod, skal meldinga sendast dit.
Her finn du meldeskjema

Når må det sendast ny melding?
Etter tre år skal det alltid sendast ny melding. Meldingar skal vere knytte til den enkelte behandlinga. Einkvar behandling knytast til ein behandlingsansvarleg, og skal baserast på eit førehandsdefinert formål. Dette inneber at det alltid må sendast inn ei ny melding når behandlinga får ny behandlingsansvarleg. I tillegg må det alltid sendast ny melding når formålet med behandlinga vert endra. Når må det sendast endringsmelding?

 

Konsesjonsplikt

Konsesjonsplikta gjeld i all hovudsak ved behandling av sensitive personopplysningar. Sensitive personopplysningar er blant anna opplysningar om helse, rase, tru, politisk tilhørsel, straffbare handlingar og seksuelle forhold (Sjå personopplysningsloven § 2 nr.. 8. for ei uttømmande liste)

Dei behandlingsansvarlege si konsesjonsplikt er regulert i personopplysningsloven § 33.

Datatilsynet kan krevje at verksemda søkjer om konsesjon
Datatilsynet kan avgjere at også behandlingar av anna enn sensitive personopplysningar skal vere konsesjonspliktige. Det er ein føresetnad at behandlinga elles openbert vil krenkje tungtvegande personverninteresser. Dette skal berre brukast i ekstraordinære tilfelle. Ved vurderinga skal Datatilsynet blant anna ta omsyn til personopplysningane sin art, mengd og formålet med behandlingen. (Personopplysningsloven § 33, 2. ledd)

Vurdering frå Datatilsynet
Den behandlingsansvarlege har rett til, på førehand, å få avklart frå Datatilsynet om behandlinga vil krevje konsesjon. Avklaring av om konsesjon er nødvendig tyder ikkje at konsesjon vil bli gitt. (Personopplysningsloven § 33, 3. ledd)

Konsesjon
Datatilsynet skal avgjere om konsesjon skal giast. Det skal ved vurderinga klarleggjast om behandlinga vil valde ulemper som ikkje blir avhjelpte av loven sin andre føresegner. I så fall skal Datatilsynet vurdere om ulempene den enkelte blir påført blir utlikna av omsyn som taler for behandlingen. (Personopplysningsloven § 34)

I konsesjonsbehandlinga skal Datatilsynet vurdere om det skal settast vilkår for behandlinga. Vilkår i konsesjonen kan settast når det er nødvendig for å avgrense ulempene behandlinga elles medføre for den registrerte. (Personopplysningsloven § 35)

Unntak frå konsesjonsplikta
Det er fleire unntak frå konsesjonsplikta. Dei fleste av desse unntaka følgjer av forskrifta til personopplysningslova, kapittel 7, og eventuell særlovgiving. Vidare er behandlingar berre for kunstnariske, litterære eller journalistiske formål unntatt konsesjonsplikt.

I forskrifta til personopplysningslova er desse behandlingane unntatt frå både konsesjons- og meldeplikt om dei oppfyller bestemde vilkår:

• Sensitive kundeopplysningar
• Foreningers medlemsopplysningar
• Personellregistre
• Domstolanes behandling av personopplysningar
• Elev- og studentopplysningar ved skole og universitet mv.
• Opplysningar om barn i barnehagar og skolefritidsordningar
  

Desse behandlingane er i forskrifta unnatatt konsesjonsplikt, men skal melde. Ver merksam på at det finst vilkår for unnataka:

• Klientregistre
• Hvitvaskingsregistre og tilknyttet behandling av personopplysninger
• Behandling av pasientopplysninger hos helse- og sosialpersonell
• Nokre forskningsprosjekter

Les meir om unntak og vilkår i forskrifta til personopplysningslova, kapittel 7 (nytt vindauge).

Stat og kommune
Behandling av personopplysningar i organ for stat eller kommune er unnateke konsesjonsplikta når behandlinga har heimel i eigen lov, sjå personopplysningsloven § 33, 4. ledd. Denne typen behandlingar av personopplysningar vil likevel vere meldepliktig etter § 31.

Les meir: Datatilsynets informasjon spesielt retta mot kommunane

Ubedde sensitive opplysningar
Behandling av sensitive opplysningar som er gitt ubedd, er unnateke konsesjonsplikt. Når ein vurderer om opplysningane er gitte ubedd, må ein også sjå på situasjonen dei er gitte under. Dersom systemet eller situasjonen legg opp til at opplysningane skal giast, blir dei ikkje gitt ubedd.

Konsesjonsskjema
Her finn du konsesjonskjema og rettleiing

 

---

Forskning

(29.06.2005) Gunnel Helmers 

Fra 1. juli 2005 har flere forskningsprosjekter fått meldeplikt i stedet for konsesjonsplikt.

Datatilsynet har nå laget ferdig en todelt veileder for forskere. Den første delen tar for seg meldeplikt og konsesjonsplikt.

Veilederens del I kan lastes ned her (pdf, nytt vindu)

Del to tar for seg andre krav i personopplysningsloven og helseregisterloven
Veilederens del II kan lastes ned her (pdf, nytt vindu)

Datatilsynet er glade for tilbakemeldinger dersom noe oppleves som uklart. Tilbakemeldinger på veilederen kan sendes til postkasse@datatilsynet.no.

---

Personellregistre

(04.02.2005) Redaksjonen 

Det finnes unntak fra konsesjons- og meldeplikt for personellregistre. Et sentralt krav i bestemmelsen er at den ansatte må samtykke dersom det skal lagres sensitive opplysninger om ham eller henne.

Formålet med et personellregister er personaladministrasjon. Eksempel på hva som omfattes av personaladministrasjon kan være administrering av lønn, utvikling, opplæring, karriereplanlegging og behandling av disiplinærsaker.

Unntak fra melde- og konsesjonsplikt
De aller fleste personellregistre er unntatt konsesjons- og meldeplikt. Personellregistre som bare inneholder ikke-sensitive opplysninger med tillegg av enkelte sensitive (se under) er unntatt melde- og konsesjonsplikt, så sant den ansatte har samtykket til dette og opplysningene er nødvendige for å administrere arbeidsforholdet. Samtykket skal være en frivillig, uttrykkelig og informert erklæring fra den registrerte.

Med samtykke kan disse opplysningene også registreres:

• fraværsopplysninger som er registreringspliktige (bør begrenses til fraværsdato, type fravær og varighet, med tillegg av enkelte opplysninger pålagt registrert i henhold til arbeidsmiljøloven)
• fagforeningsopplysninger
• opplysninger som er nødvendige for å tilrettelegge arbeidsplassen på grunn av helseforhold.
  

Konsesjon/melding for noen få personellregistre
Dersom arbeidsgiveren skal behandle sensitive opplysninger til andre formål enn personaladministrasjon, opplysningene ikke har sammenheng med arbeidsforholdet, eller han ikke får den registrertes samtykke, må han søke konsesjon etter personopplysningslovens § 33.

Sensitive personopplysninger: opplysninger om: a) rasemessig eller etnisk bakgrunn, eller politisk, filosofisk eller religiøs oppfatning, b) at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling, c) helseforhold, d) seksuelle forhold, e) medlemskap i fagforeninger.

Fra personopplysningsforskriftens § 7-16

Personellregistre mv. Arbeidsgivers behandling av personopplysninger om nåværende eller tidligere ansatte, personale, representanter, innleid arbeidskraft samt søkere til en stilling, er unntatt fra konsesjonsplikten etter personopplysningsloven § 33 første ledd og fra meldeplikt etter § 31 første ledd.

Unntak fra konsesjonsplikt gjelder bare dersom:

• a) den registrerte har samtykket i behandlingen
• b) opplysningene er knyttet til arbeidsforholdet, og
• c) personopplysningene behandles som ledd i personaladministrasjon.
  

Unntak fra meldeplikt gjelder bare dersom de sensitive opplysningene er begrenset til:

• a) opplysninger om medlemskap i fagforeninger som nevnt i personopplysningsloven § 2 nr. 8 bokstav e,
• b) nødvendige fraværsopplysninger og opplysninger som er registreringspliktige i henhold til lov 4. februar 1977 nr. 4 om arbeidervern og arbeidsmiljø mv. § 20
• c) opplysninger som er nødvendige for å tilrettelegge arbeidssituasjonen på grunn av helseforhold. 

Vilkår for å behandle personopplysninger
Selv om behandlingen av opplysninger til et personellregister kan være unntatt melde- eller konsesjonsplikt, må behandlingen følge de øvrige reglene i personopplysningsloven. Enhver behandling av personopplysninger må ha grunnlag i personopplysningslovens § 8. Samtykke er det klare utgangspunktet. Virksomheten bør derfor først vurdere å skaffe seg et samtykke for behandlingen. Noen behandlinger vil ha hjemmel i lov, og andre er nødvendige for å oppfylle en avtale med den registrerte. Enkelte behandlinger kan være nødvendige for å ivareta en berettiget interesse, som hensynet til den enkelte ansattes personvern ikke overstiger.

Dersom personellregisteret skal inneholde sensitive opplysninger kreves det i tillegg at behandlingen oppfyller et av vilkårene i § 9. Et av de aktuelle vilkårene i § 9, er bokstav f, som gjelder behandlinger som er nødvendige for at den behandlingsansvarlige kan gjennomføre sine arbeidsrettslige plikter eller rettigheter.

En del opplysninger kan behandles med hjemmel i § 8, uten samtykke. Disse kan kalles grunnopplysninger. Datatilsynet er av den oppfatning at de 25 eksemplene på opplysningskategorier som ramses opp i den grå boksen under utgjør slike grunnopplysninger i et arbeidsforhold. Adgang til behandling av disse opplysningskategoriene følger delvis av lov og kan være nødvendige for å oppfylle en avtale med den registrerte. Videre vil behandlingen kunne være nødvendig for å ivareta en berettiget interesse som hensynet til den enkelte ansattes personvern ikke overstiger. Om arbeidsgiveren ønsker å behandle andre opplysninger, må også disse opplysningene ha grunnlag i personopplysningslovens § 8, (og § 9 hvis det er sensitive opplysninger). Et eksempel på grunnlag er samtykke.

Eksempler på opplysningskategorier:

1. navn
2. adresseopplysninger
3. statsborgerskap/bostedland
4. anropsnummer for teletjenester
   
5. fødselsnummer og annet nummer knyttet til person (rullenummer/arbeidstakernummer)
6. rubriseringsdata, (såsom kategori, type ansatt/representant, distrikt, type varer, kontonummer i regnskap, representantkategori, andre opplysninger til bruk i statistikk og annen bedriftsintern avregning)
7. kjønn
8. nærmeste pårørende
9. sivilstand
10. antall barn og barnas fødselsår
11. stillingsbetegnelse
12. yrkesopplysninger som etter overenskomst eller tariffavtale som har betydning for lønns- og arbeidsvilkår
13. opplysninger om utdannelse og praksis
14. lønns- og provisjonsopplysninger
15. kontonummer
16. pensjonsopplysninger
17. trekk- og skatteopplysninger
18. ansettelses- og sluttdato (permisjoner e l)
19. sluttårsak
20. fraværsdato, type fravær og varighet. Angivelse av sykdommens art tillates ikke registrert utover det som er pålagt ved lov 4. februar 1977 nr 4 om arbeidervern og arbeidsmiljø mv § 20
21. dødsdato
22. firmabil e l
23. utlånte eiendeler
24. lån til ansatte eller garanti for lån
25. opplysning om den ansatte er mobiliseringsdisponert (ja/nei), evt militært løpenummer, grad, og rulleførende avdeling.
     
    

---

Kommuner

(25.11.2006) Redaksjonen 

Personopplysningsloven og helseregisterloven gir kommunene en rekke nye plikter. Blant disse er konsesjons- og meldeplikt for behandling av personopplysninger.

Kommunene skal selv vurdere hvilke behandlinger av personopplysninger som er meldepliktige og hvilke behandlinger som er konsesjonspliktige.

Datatilsynet har gjennomgått en del vanlige behandlinger for å hjelpe kommunene et stykke på vei. Men det er viktig å merke seg at kommunen selv må vurdere egne lovhjemler og om vilkårene for unntak er oppfylt for sine egne behandlinger.

Kommunen har behov for å behandle opplysninger om enkeltpersoner i en rekke sammenhenger for å utføre sine oppgaver. Konsesjonsplikten gjelder for elektronisk behandling av sensitive opplysninger. Meldeplikten gjelder for elektronisk behandling av ikke-sensitive personopplysninger, samt manuell behandling av sensitive personopplysninger. Kommunene har unntak fra konsesjonsplikt for behandlinger av personopplysninger som har hjemmel i egen lov. Når behandlingen er unntatt konsesjonsplikt, skal den meldes til Datatilsynet i stedet.

Kravet til melding og konsesjon gis i personopplysningsloven og helseregisterloven. Personopplysningsloven er en generell lov som gjelder alle virksomheters bruk av opplysninger om enkeltmennesker. Helseregisterloven er en spesiell lov som gjelder bruk av helseopplysninger i helsetjenesten og i helseforvaltningen.

Hvem er behandlingsansvarlig?
Ansvaret for behandlingen ligger etter personopplysningsloven til kommunens øverste ledelse (i meldeskjemaet er den ansvarlige benevnt behandlingsansvarlig). I den gamle konsesjonen etter personregisterloven var dette ansvaret tillagt etatssjefen (benevnt registeransvarlig). Det er imidlertid naturlig nå at etatssjefen/ enhetsleder står for den daglige ledelse for oppfyllelse av den behandlingsansvarliges plikter (kalt daglig ansvar i meldeskjemaet).

Fortsatt konsesjonsplikt
Noen få behandlinger vil fortsatt ha konsesjonsplikt. Dette gjelder elektronisk behandling av sensitive personopplysninger der behandlingen ikke er hjemlet i lov; blant annet:

• Forskningsprosjekter som ikke er omfattet av unntaket fra konsesjonsplikt i personopplysningsforskriften § 7-27
• De fleste tverrsektorielle tiltak der bruken av personopplysninger ikke er dekket av egen lov eller forskrift
• Kommunale helseregistre på individnivå for planlegging, informasjon og samordning vil være konsesjonspliktige etter helseregisterloven så sant de ikke må ha egen forskrift som lokalt helseregister (Helseregisterloven § 7).

For planlegging, informasjon og samordning av helsetjenester antar Datatilsynet at kommunen kan oppfylle sine forpliktelser etter kommunehelsetjenestelovens § 1-4 ved bruk av statistisk materiale (anonymt). Da trengs hverken melding eller konsesjon.

Unntak fra konsesjonsplikt grunnet hjemmel i egen lov
Personopplysningsloven § 33 4. ledd gir unntak fra konsesjonsplikt for behandlinger av personopplysninger som har hjemmel i egen lov. Disse behandlingene vil følge hovedregelen om meldeplikt.

Kommunehelsetjenesten og helseforvaltning på kommunalt nivå skal forholde seg til både helseregisterloven og personopplysningsloven. Helseregisterloven gir også unntak fra konsesjonsplikt for behandling av helseopplysninger innen rammen av lovhjemmelen. (Helseregisterloven § 5 jf. personopplysningsloven § 33) Behandlingen vil da være meldepliktig etter helseregisterlovens § 29.

Her følger en oversikt over etater/virksomheter der Datatilsynet har vurdert det slik at virksomheten får meldeplikt i stedet for konsesjonsplikt for behandling av personopplysninger som ligger innen rammen av lovhjemmelen.

(NB - listen er ikke uttømmende - dette er bare eksempler)

Etat/virksomhet	Hjemlende lov
Barnevern	Barnevernloven § 3-1 (jf. kap. 4)
Sosialtjenesten	Sosialtjenesteloven § 2-1 (jf. kap. 4, 5 og 6
Rusmiddeletaten	Sosialtjenesteloven kap. 6
PP-tjenesten	Opplæringsloven § 13-5, 1. ledd, jf. § 5-6
Familievernkontorer	Familievernkontorloven § 11, jf. § 1
Kontantstøtte-register: Kommunens registre over barn som tilfredsstiller vilkår for kontantstøtte	Barnehageloven § 8a
Kommunehelsetjenestens behandlingsrettede registre (journal) / pasientadministrasjon innen rammen av helsepersonellovens § 26 (Kommunen sender bare en melding om pasientjournal for sin behandlingsrettede virksomhet. NB - meldingen omfatter ikke pasientjournalene til leger med kommunal avtale. Disse må melde selv)	Helsepersonelloven §§ 26 og 39
Fylkestannlegens pasientjournal/ pasientadministrasjon innen rammen av helsepersonellovens § 26	Helsepersonelloven §§ 26 og 39

 

Unntaket fra konsesjonsplikten gjelder bare så langt behandlingene skjer innenfor rammen av de enkelte lovene. Kommunen må selv vurdere om dette er tilfelle. For eksempel gjelder konsesjonsfritaket for behandling av elevopplysninger i skolene bare når behandlingen skjer innenfor rammen av opplæringsloven. Uavhengig av om behandlingen er fritatt konsesjonsplikt, skal den behandlingsansvarlige sørge for å oppfylle kravene personopplysningsloven pålegger. Eksempler på dette er samtykke, lovhjemler, informasjonssikkerhet og internkontroll.

Forskriften til personopplysningsloven unntar videre enkelte behandlinger fra konsesjonsplikten. Pleie- og omsorgsinstitusjoner er fritatt fra konsesjonsplikt dersom en del vilkår er oppfylt. (Se nederst for referanse.) Disse behandlingene vil følge hovedregelen om meldeplikt.

Fritak for både melde- og konsesjonsplikt
Barnehager og skolefritidsordninger er unntatt både konsesjonsplikt og meldeplikt etter personopplysningsforskriften. Det samme gjelder personellregistre. Forutsetningen er at vilkårene i forskriften er oppfylt. Se tabellen nederst for å finne riktig bestemmelse.

(NB - listen er ikke uttømmende - dette er bare eksempler)

Personellregistre, så sant disse er innen rammen av personopplysningsforskriftens § 7-16.	Personopplysningsforskriften § 7-16.
Opplysninger om elever og studenter innen rammen av opplæringsloven eller universitetsloven	Personopplysningsforskriften § 7-20
Opplysninger om barn i skolefritidsordning eller barnehage innen rammen av opplæringsloven eller barnehageloven	Personopplysningsforskriften § 7-21
Personopplysninger om offentlige representanter	§ 7 -17

Hvor mange meldinger skal kommunen sende?
Kommunen må først vite hvilke behandlinger den foretar. Den må selv avgrense behandlingene. En behandling skal ha et presist angitt formål. Spørsmål som må stilles når man skal skille den ene behandlingen fra den andre er bl.a.:

• Hva er målet med å behandle personopplysningene?
• Hvilket hjemmelsgrunnlag gjelder for behandlingen? (samtykke, hjemmel i lov e.l.)
• Hvem er objektet for behandlingen? (f.eks. elever, ansatte, pasienter)
• Hvilken etat er faglig ansvarlig for å utføre oppgaven?
• Hvem kan få tilgang til opplysningene?

Kommunene skal uansett ha disse opplysningene når de utvikler sitt internkontrollsystem. Dette er en plikt etter personopplysningsloven og helseregisterloven. Internkontrollsystemet skal bl.a. beskrive hvilke behandlinger som foretas, sikre at plikten til eventuell konsesjons- eller meldeplikt overholdes, samt beskrive hvordan rettighetene til de registrerte skal ivaretas.

Kommunens plikter etter personopplysningsloven
Den behandlingsansvarlige har fått flere plikter etter personopplysningsloven. Et fritak for konsesjons- eller meldeplikt endrer ikke dette. Kommunen må blant annet ha lovhjemmel for behandlingene, tilstrekkelig sikkerhet og internkontroll osv. For videre utdyping av disse temaene se disse sidene:

• Internkontroll
• Informasjonsplikt og innsynsrett
• Dine rettigheter
• Informasjonssikkerhetssidene

Noen bestemmelser fra personopplysningsloven:

Unntak fra konsesjonsplikt for behandlinger med hjemmel i lov (stat og kommune)	Personopplysningsloven § 33, 4. ledd
Hjemmel for behandling av personopplysninger	Personopplysningsloven §§ 8, 9
Plikt til å ha et internkontrollsystem	Personopplysningsloven § 14
Krav til sikkerhet	Personopplysningsloven § 13

 

Unntak fra konsesjons- og meldeplikt i personopplysningsforskriften:

- Barnehager, skolefritidsordning (det stilles vilkår i bestemmelsen)	Personopplysningsforskriften § 7 - 21
- Personellregistre (det stilles vilkår i bestemmelsene)	Personopplysningsforskriften § 7-16

 

En konsesjon gitt av Datatilsynet betyr at tilsynet har forhåndsgodkjent den behandling av personopplysninger som er regulert i konsesjonen. Hva som regnes som en behandling er definert i personopplysningsloven § 2 nr. 2. En eventuell konsesjon gis før behandlingen iverksettes. Forhåndsgodkjenningen betyr at Datatilsynet mener at behandlingen den behandlingsansvarlige ønsker å iverksette, oppfyller personopplysningsloven på en tilfredsstillende måte. For å kunne foreta en slik vurdering, er det nødvendig for Datatilsynet å få en forståelse både for hva slags virksomhet den behandlingsansvarlige driver, og for selve den behandlingen det søkes konsesjon for. Dette vil konsesjonssøknadsskjemaet hjelpe til med.

---

Kameraovervåking

Datatilsynet har laget en egen veileder for de som skal melde kameraovervåking.

Kameraovervåking er meldepliktig etter personopplysningsloven. Det benyttes samme skjema for å melde kameraovervåking som for andre meldepliktige behandlinger av personopplysninger. Vi har utarbeidet en kort veiledning for hvordan du fyller ut skjemaet for melding av kameraovervåking.

Er du klar over de andre reglene som gjelder for kameraovervåking? Datatilsynet har også laget en brosjyre som alle som overvåker eller ønsker å overvåke med kamera bør lese.

Les mer: Kameraovervåking - en veileder.

---

Helsevesen og -forvaltning

(04.02.2005) Redaksjonen 

Kravet til konsesjon og melding gis i helseregisterloven og i personopplysningsloven.

- Hvem er ansvarlig for å sende melding eller søke konsesjon?
- Meldeplikt
- Meldeplikt for noen forskningsprosjekter
- Konsesjonsplikt
- Forskriftsregulering av enkelte registre
- Personopplysningsloven eller helseregisterloven?
- Ikke-autorisert helsepersonell følger personopplysningsloven
- Eksempel - Mindre virksomhet i helsetjenesten
- Eksempel - Større virksomheter i helsetjenesten
- Eksempel - Helseforvaltning, forskningsinstitusjoner
- Eksempel - Legemiddelprodusenter
- Eksempel - Helsepersonell uten autorisasjon, f.eks akupunktører, homøopater, etc.

Hvem er ansvarlig for å sende melding eller søke konsesjon?
Selvstendig næringsdrivende må sende melding eller søke konsesjon selv. I et større helsesenter der helsepersonell er ansatt, vil daglig leder være ansvarlig for melding/konsesjon. Ved et helseforetak vil ledelsen ved direktøren ha ansvaret.

Meldeplikt
Meldeplikten gjelder når behandlingen av helseopplysninger er hjemlet i lov. Dette gjelder bl.a.:

• alle behandlingsrettede registre som for eksempel lege- eller tannlegejournal.
• Pasientadministrative systemer som ikke går ut over rammen i helsepersonellovens § 26
• Kommunehelsetjenestens behandlingsrettede registre.

Meldeplikt for noen forskningsprosjekter
Noen forskningsprosjekter er pålagt meldeplikt i stedet for konsesjonsplikt gjennom personopplysningsforskriften § 7-27. Unntaket kan du lese mer om her.

Konsesjonsplikt
Konsesjonsplikten gjelder når behandlingen av helseopplysninger ikke er hjemlet i lov.

Dette gjelder for eksempel

• registre i blodbanker
• forskningsprosjekter som ikke omfattes av unntaket i personopplysningsloven § 7-27 og som ikke kan sies å være et lokalt, regionalt eller sentralt helseregister.

Forskningsprosjekter som faller inn under helseregisterloven har konsesjonsplikt, med mindre de har fått den enklere meldeplikten gjennom unntak i personopplysningsforskriften. Se mer om dette i avsnittet over.

Forskriftsregulering av enkelte registre
Helseregisterloven stiller krav om forskriftsregulering av lokale, regionale eller sentrale helseregistre i regi av det offentlige. Dette gjelder bl.a. registre med svært følsomme opplysninger, stort omfang og mange diagnosetyper.

Personopplysningsloven eller helseregisterloven?
Helseregisterloven regulerer helsetjenestens og helseforvaltningens bruk av personopplysninger for pasientbehandling og kunnskapsoppbygging. Loven gjelder helsevesenet i tradisjonell forstand. Det vil si at ikke-autorisert helsepersonells bruk av helseopplysninger ikke faller inn under helseregisterloven, men derimot under personopplysningsloven. Behandling av personopplysninger som ikke har til formål å yte helsehjelp blir regulert av personopplysningsloven. Legemiddelprodusenter skal for eksempel følge personopplysningsloven for behandling av opplysninger om deltakere i forskningsvirksomhet og i klinisk utprøving av medisiner.

Ikke-autorisert helsepersonell følger personopplysningsloven
Ikke-autorisert helsepersonell har også registre for oppfølging av pasienter/klienter. Disse registrene har blitt unntatt konsesjonsplikt etter forskriften til personopplysningsloven § 7-26. Personopplysningsloven har også som utgangspunkt at det bare er lov å bruke personopplysninger dersom man har samlet inn et informert samtykke fra den opplysningene gjelder.

Meldeplikt eller konsesjonsplikt?

Mindre virksomheter i helsetjenesten
Lege-/tannlegekontor, fysioterapeutpraksis, psykologpraksis, optiker, etc.
(NB - Dette er eksempler - listen er ikke uttømmende)

Meldeplikt etter helseregisterloven	Konsesjonsplikt etter helseregisterloven
Journal - Det sendes bare én melding for journal i virksomheten
Forskningsprosjekter som faller inn under unntaket fra konsesjonsplikt. (Personopplysningsforskriften § 7-27)	Forskningsprosjekter, så sant disse ikke er unntatt konsesjonsplikt. (Personopplysningsforskriften § 7-27)

 

Større virksomheter i helsetjenesten, f.eks. sykehus
(NB - Dette er et eksempel - listen er ikke uttømmende)

Meldeplikt etter helseregisterloven	Konsesjonsplikt etter helseregisterloven
Journal - Det sendes bare én melding for journal i virksomheten. (Meldingen omfatter også pasientadministrasjon innen rammen av helsepersonelloven § 26. )	- Kvalitetsregistre som faller utenfor helsepersonellovens ramme. Sykdomsregistre som ikke er underlagt krav om egen forskrift. (Helseregisterlovens § 5)
Forskningsprosjekter som faller inn under unntaket fra konsesjonsplikt. (Personopplysningsforskriften § 7-27)	Forskningsprosjekter, så sant disse ikke er unntatt konsesjonsplikt. (Personopplysningsforskriften § 7-27)
Behandling av journalopplysninger til undervisningsformål innen rammen av lovhjemmelen.
	Blodbank
	Donorregistre

 

Helseforvaltning, forskningsinstitusjoner
(NB - Dette er eksempler - listen er ikke uttømmende)

Meldeplikt etter helseregisterloven	Konsesjonsplikt etter helseregisterloven
Forskningsprosjekter som faller inn under unntaket fra konsesjonsplikt. (Personopplysningsforskriften § 7-27)	Forskningsprosjekter, så sant disse ikke er unntatt konsesjonsplikt i Personopplysningsforskriftens § 7-27 (Helseregisterlovens § 5)
	Helse- / sykdomsregistre som ikke er underlagt krav om egen forskrift. (Helseregisterlovens § 5)

 

Legemiddelfirmaer

Meldeplikt etter personopplysningsloven	Konsesjonsplikt etter personopplysningsloven
Forskningsprosjekter som faller inn under unntaket fra konsesjonsplikt. (Personopplysningsforskriften § 7-27)	Forskningsprosjekter, så sant disse ikke er unntatt konsesjonsplikt. (Personopplysningsforskriften § 7-27)

 

Helsepersonell uten autorisasjon, f.eks akupunktører, homøopater, etc. (NB - Dette er eksempler - listen er ikke uttømmende)

Meldeplikt etter personopplysningsloven	Konsesjonsplikt etter personopplysningsloven
Pasient- klientopplysninger (Personopplysningsforskriften § 7-26)
Forskningsprosjekter som faller inn under unntaket fra konsesjonsplikt. (Personopplysningsforskriften § 7-27)	Klinisk utprøving av legemidler på mennesker. Legemiddelprodusenten er (data)behandlingsansvarlig og skal søke konsesjon etter personopplysningsloven § 33.

 

---