Skjemaer
Innholdsfortegnelse
Meldeskjema
Veiledning til utfylling av meldeskjema
Konsesjonsskjema
Rettleiar for utfylling konsesjonsskjema
Veileder for utfylling konsesjonsskjema
Melding eller konsesjon?
(15.11.2004) Datatilsynet
Meldeskjema gjeld melding om behandling av personopplysningar etter personopplysningslova og helseregisterlova.
Meldeskjema
Datatilsynet har laga eit elektronisk skjema med rettleiiar. Fyll ut skjemaet, og trykk på send! Det er ikkje vanskeligere. Merk at når verksemda melder elektronisk blir felta sjekka slik at det innsende skjemaet blir korrekt utfyld. Kvitteringa kjem dessutan raskere. Dette tek kortare tid for verksemda.
Det elektroniske meldeskjemaet
(nytt vindauge)
Rettleiing til melding om behandling av personopplysningar (nytt vindauge)
- Eigen guide for kameraovervåking
(Nytt vindauge)
Når verksemda har meldt, får ho ei kvittering for at meldinga er motteken. Kvitteringa kjem til e-postadressa som er oppgitt, eller i vanleg post til den oppgitte postadressa for meldingar som Datatilsynet har motteke på papir.
Kvitteringa skal tene som dokumentasjon for at meldeplikta er oppfylt, og må ikkje oppfattast som ei godkjenning av at behandlinga tilfredstiller loven sine andre krav. Meldinga er berre ei orientering frå den behandlingsansvarlege om at behandlinga finn stad.
Verksemder med personvernombod
Dersom verksemda har personvernombod, skal meldinga sendast direkte til ombodet. Det er utvikla eigne meldeskjema for desse verksemdene.
Meldeskjema finn du under personvernombodssidene våre.
Oversikt over verksemder med personvernombod
Papirskjema
Dersom verksemda har personvernombod, eller det av andre grunnar ikkje er mogleg å melde elektronisk, skal papirskjema nyttast. Dette må skrivast ut og sendast til Datatilsynet per telefaks (faksnummer 22 42 23 50) eller i posten.
Last ned papirskjemaet her:
Meldeskjema, bokmål (pdf-format, nytt vindauge)
Meldeskjema, nynorsk (pdf-format, nytt vindauge)
Meldeskjema, engelsk (pdf-format, nytt vindauge)
Verksemda kan eventuelt få skjemaet tilsendt i post ved å kontakte Datatilsynet.
Melding, konsesjon eller fritak?
Dersom du er usikker på om bruken av personopplysningar skal meldast eller ikkje, bør du sjekke dette før du melder.
Les meir om melde- og konsesjonsplikt på rett og plikt-sidane
(19.12.2003) Datatilsynet
All behandling av personopplysninger skal i utgangspunktet meldes til Datatilsynet etter personopplysningsloven § 31 og helseregisterloven § 29. Dersom virksomheten har personvernombud, skal meldingen sendes dit.
Dersom du trenger mer informasjon om meldeplikten, finner du det på Datatilsynets rett- og pliktsider.
1) Meldingen gjelder
a) Personopplysningsloven eller helseregisterloven?
Melding etter personopplysningsloven:
Dette vil gjelde når:
- behandlingen ikke er unntatt meldeplikt
- behandlingen ikke er underlagt konsesjonsplikt etter personopplysningsloven
- pasient- og klientopplysninger behandles av helsepersonell uten autorisasjon.
Du får mer informasjon her:
- Kapittel 7 i forskrift til personopplysningsloven (ny side)
- Datatilsynets side for melding og konsesjon
Melding etter helseregisterloven:
Virksomheter i helsetjenesten/helseforvaltningen skal melde sin bruk av helseopplysninger etter helseregisterloven. Dette vil blant annet gjelde ved:
- pasientjournal - Det sendes bare én melding for journal i virksomheten
- forskningsprosjekter som faller inn under unntaket fra konsesjonsplikt i personopplysningsforskriften § 7-27
- lokale, regionale og sentrale helseregistre som reguleres av helseregisterlovens §§ 7 og 8
b) Førstegangsregistrering eller endring av melding
Endring av melding er kun aktuelt for de som tidligere har sendt inn melding og mottatt kvittering fra Datatilsynet med oppgitt meldingsnøkkel. Denne må i så tilfelle oppgis. Alle andre må sende ny melding.
c) Oppstart for behandlingen
Dersom behandlingen allerede er startet oppgis dagens dato.
2) Sensitive personopplysninger
Sensitive personopplysninger er opplysninger om:
a) rasemessig eller etnisk bakgrunn, eller politisk, filosofisk eller religiøs oppfatning b) at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling
c) helseforhold
d) helseforhold
e) medlemskap i fagforeninger
Manuelt personregister?
Kryss av "ja" dersom opplysningene kun oppbevares i et manuelt personregister. Dersom deler av materialet lagres elektronisk må det krysses av for "nei", uansett hvor få opplysninger det dreier seg om.
3) Kontaktopplysninger
Fyll inn kontaktopplysningene om virksomheten som skal behandle opplysningene. Skriv kun inn tittelen på den som har det daglige ansvaret for behandlingen.
4) Eventuell representant
Kun virksomheter som ikke er etablert i Norge/ EØS-området må oppgi sin representant i Norge eller EØS.
5) Behandler andre virksomheter opplysningene på vegne av den behandlingsansvarlige?
Oppgi eventuelle eksterne databehandlere som på vegne av den behandlingsansvarlige foretar hele eller deler av behandlingen av personopplysninger.
6) Sektor, formål og nærmere beskrivelse
a) Sektor: Kryss av for rett sektor.
b) Formål: Kryss av for formålet til behandlingen av personopplysninger. Det skal kun settes ett kryss. Dersom du derimot krysser av for forskning kan du velge å sette ett kryss til for å antyde hvilket område det forskes på.
c) Nærmere beskrivelse: Her kan du eventuelt utdype formålet med ytterligere opplysninger.
d) Forskning: (Kun dersom forskning ble valgt i b) Oppgi eventuelt samtykke, prosjektavslutning og prosjekttittel.
7) Utlevering av opplysninger til utlandet.
Dersom personopplysninger overføres til utlandet må grunnlaget for overføring oppgis.Her finner du mer informasjon om EUs standardavtale og Safe Harbor-avtaler.
8) E-postadresse
Bruk din egen e-postadresse! Meldingen må bekreftes før den regnes som gyldig. Dersom du velger å oppgi en annen e-postadresse må du sørge for at den som leser e-posten forstår hvorfor han får forespørsel om å bekrefte meldingen.
(15.11.2004) Redaksjonen
Konsesjon er en forhåndsgodjenning av en planlagt bruk av personopplysninger.
Dersom en virksomhet får konsesjon, betyr det at Datatilsynet mener at bruken av personopplysninger som er beskrevet i søknaden oppfyller personopplysningsloven på en tilfredsstillende måte. For å kunne vurdere dette, må Datatilsynet få en forståelse av både virksomheten og den planlagte bruken av personopplysninger.
Last ned konsesjonsskjemaet, bokmålsversjon (pdf-format, nytt vindu)
Last ned konsesjonsskjemaet, nynorskversjon (pdf-format, nytt vindu)
Veileder for utfylling av konsesjonsskjemaet
Rettleiar for utfylling av konsesjonsskjemaet (pdf-format, nytt vindu)
Veileder for dokumentasjon av informasjonssikkerheten
Det finnes egne konsesjonsskjemaer for bank og forsikring:
Konsesjonsskjema for bank (pdf-format, nytt vindu)
Konsesjonsskjema for forsikring (word-fil, nytt vindu)
(06.12.2006) Datatilsynet
Søknad om konsesjon for behandling av personopplysningar i medhald av personopplysningslova § 33.
Ein konsesjon gitt av Datatilsynet tyder at tilsynet har førehandsgodkjend den behandlinga av personopplysningar som er regulert i konsesjonen. Kva som blir rekna som ei behandling er definert i personopplysningslova § 2 nr. 2. Ein eventuell konsesjon blir gitt før behandlinga startar. Førehandsgodkjenninga tyder at Datatilsynet meiner at behandlinga dei behandlingsansvarlege ønska å starte med, oppfyller personopplysningslova på ein tilfredsstillande måte. For å kunne utføre ei slik vurdering, er det nødvendig for Datatilsynet å få ei forståing både av kva slags verksemd den behandlingsansvarlege driv, og for sjølve den behandlinga det blir konsesjon søkt for. Dette vil konsesjonssøknadsskjemaet hjelpe til med.
Skjemaet er delt inn i fire hovuddelar. Den fyrste delen skal gi Datatilsynet informasjon om dei behandlingsansvarleg si verksemd, og del to gir informasjon om sjølve behandlinga. Del tre fortel noko om korleis den behandlingsansvarlege oppfyller einskilde av føresegnene i lova, og del fire gir opplysningar om informasjonstryggleiken i verksemda.
Generelt om å fylle ut skjemaet
Alle punkt i skjemaet må alltid fyllast ut, med unnatak av punkt B som omhandlar den behandlingsansvarlege sin representant. For dei punkta der opplysningane skal fyllast inn som fritekst, kan søkjar leggje ved eit eige ark dersom det ikkje er plass på skjemaet. Merk eventuelle vedlegg med det aktuelle punktet i skjemaet.
Til punkt A: Behandlingsansvarleg verksemd
Dette er dei administrative opplysningane om den behandlingsansvarlege som Datatilsynet treng for å kunne administrere konsesjonane. Behandlingsansvarleg er den som fastset formålet med behandlinga og kva hjelpemiddel som skal brukast. Som hovudregel er dette verksemda, representert ved sitt øvste organ.
Dersom skjemaet blir fylt ut på vegner av den behandlingsansvarlege, for eksempel av eit advokatfirma på vegner av ein klient, er det likevel den behandlingsansvarlege sine adresseopplysningar som skal førast på skjemaet. Dersom den som fyller inn skjemaet skal motta korrespondansen frå Datatilsynet, må dette presiserast på eit eige vedlegg med adresseopplysningar.
Dersom den behandlingsansvarlege er ei verksemd som er etablert i statar utanfor EØS-området, men som nyttar seg av hjelpemiddel i Noreg, skal den behandlingsansvarlege ha ein representant her i landet. I så fall må også punkt B fyllast ut.
Til punkt B: Den behandlingsansvarlege sin representant
Dette punktet skal berre fyllast inn dersom den behandlingsansvarlege er etablert utanfor EØS-området, men nyttar seg av hjelpemiddel i Noreg. I slike tilfelle fastset personopplysningslova at den behandlingsansvarlege må ha ein representant som er etablert i Noreg.
Dersom den behandlingsansvarlege berre nyttar seg av hjelpemiddel i Noreg for å kunne overføre personopplysningar via Noreg til eit anna land, så gjeld ikkje denne regelen.
Til punkt C: Dagleg ansvar for å oppfylle den behandlingsansvarlege sine plikter
Den behandlingsansvarlege vil, i lova sin forstand, i utgangspunktet vere sjølve verksemda, representert ved verksemda sitt øvste organ. Ansvaret vil likevel i praksis liggje hos ein fysisk person, via delegasjon frå dette organet. Det er berre stillingsnemninga til den som er pålagt det daglege behandlaransvaret som skal førast, ikkje namnet til vedkomande. I regelen vil ansvaret liggje hos dagleg leiar for den behandlingsansvarlege verksemda.
Til punkt D: Blir det brukt ein databehandlar?
Ein databehandlar er ein verksemd som behandlar personopplysningar på vegner av den behandlingsansvarlege. Personopplysningslova pålegg den behandlingsansvarlege å inngå ein skriftleg avtale med databehandlaren, sjå personopplysningslova § 15 for spesifikasjon av kva avtalen skal innehalde. Brukast databehandlar, må punkt D fyllast inn, og kopi av avtalen skal leggjast ved søknaden.
Til punkt E: Gi ei framstilling av kva slags verksemd den behandlingsansvarlege drivaren i vid forstand
Informasjonen som blir gitt under dette punktet skal gi Datatilsynet ei forståing av kva slags verksemd den behandlingsansvarlege driv.
Til punkt F: I kva del av verksemda skal behandlinga finne stad?
Dersom verksemda består av fleire avdelingar, må det under dette punktet gjerast greie for kva avdeling det er som skal utføre behandlinga, samt kva funksjon denne avdelinga har i den totale verksemda.
Til punkt 1.1: Kva typar personopplysningar omfattar behandlinga?
Den behandlingsansvarlege skal krysse av for det som passar best. Ei behandling kan godt omfatte fleire opplysningstypar. Det er viktig å merkje seg at dersom sensitive opplysningar blir behandla, skal det presiserast nærmare kva slags opplysningar det dreiar seg om i eige fritekstfelt.
Til punkt 1.2: Kven skal det behandlast opplysningar om?
Den behandlingsansvarlege skal krysse av for det som passar best.
”Tilfeldig utvalde” er personar det ikkje på førehand er planlagt å behandle personopplysningar om. Eit typisk eksempel er personar som tilfeldige blir filma av eit overvakingskamera.
”Seleksjonsutval” er personar som er blitt valt ut basert på eit sett med førehandsdefinerte kriterium. Typisk vil dette ofte gjelde i forskingsprosjekt.
Til punkt 1.3: Kva er formålet med behandlinga?
I personopplysningslova § 2, nr. 2, blir ei behandling definert som einkvar bruk av personopplysningar – det blir også nevnt fleire eksempel. All bruk skjer for å oppfylle eit formål, og i personopplysningslova blir det stilt krav om at dette formålet skal vere klart definert og skildra før behandlinga tek til.
I tillegg stiller lova krav om at formålet må vere uttrykkjeleg forklart. Dette tyder at framstillinga skal vere så presis at den registrerte forstår nøyaktig kva opplysningane skal brukast til. Ein klar framstilling av formålet er dessutan nødvendig for å kunne vurdere om dei personopplysningane som blir behandla er relevante for den behandlingsansvarlege.
Det er verdt å merkje seg at det ikkje held å skildre formålet som ei form for administrasjon av forholdet til den registrerte. Omgrepet ”administrasjon” kan i forskjellige samanhengar innehalde fleire meir presise formål. For eksempel vil administrasjon av eit kundeforhold kunne dreie seg om så forskjellige ting som levering av varer og fakturering, og oppfølging av kunden (marknadsføring) basert på kompliserte personprofilar. Dersom dette er tilfelle, skal søkjaren skildre underformåla. Desse formåla vil kunne avgrense ei behandling frå ein annan.
Til punkt 1.4: Korleis blir personopplysningane samla inn?
Innsamling av personopplysningar kan skje på ulike måtar. Det er av interesse for Datatilsynet å få informasjon om kva metode verksemda nyttar. For eksempel vil elektronisk overføring av sensitive personopplysningar medføre at det blir stilt strengare krav til informasjonstryggleiken. Med manuell innsamling blir både munnleg forstått og papirbasert innsamling. Kryss av for det eller dei alternativa som passar best.
Til punkt 1.5: Korleis skal opplysningane brukast?
I personopplysningslova § 2 nr. 2 er behandling av personopplysningar definert som einkvar bruk av personopplysningar. Datatilsynet ønskjer informasjon om kva slags bruksmåtar som skal skje i verksemda til søkjaren. Kryss gjerne av for fleire alternativ. Bruksmåtane må vere i samsvar med formålet. Eventuelle nye bruksmåtar som ikkje er melde i denne søknaden, vil kunne utløyse krav om ny konsesjon.
Til punkt 1.6: Overføring av personopplysningar til utlandet
Personopplysningar kan berre overførast til statar som sikrar ei forsvarleg behandling av opplysningane. Statar som har implementert personverndirektivet til EU oppfyller kravet til forsvarleg behandling. Til andre land kan overføring berre skje dersom ei konkret vurdering av kor forsvarleg behandlinga er tilseier det, eller dersom eit av dei alternative vilkåra i personopplysningslova § 30 er oppfylt. Informasjon om kva land opplysningane skal overførast til, gjer det mogeleg for Datatilsynet å finne ut kva personvernreglar som gjeld i vedkomande stat, og medrekna vurdere om landet oppfyller kravet om ei forsvarleg behandling.
Til punkt 1.7: Personopplysningane blir henta frå
Dersom opplysningane som skal behandlast blir inn samla frå andre kjelder enn den registrerte sjølv, må søkjaren namngi og beskrive kjelda/kjeldene.
Til punkt 1.8: Rettsleg grunnlag for behandlinga
Personopplysningslova stiller krav om at ingen kan behandle personopplysningar utan å ha eit rettsleg grunnlag for at behandlinga skal vere tillaten, jf. lova §§ 8 og 9. Føresegnene gir ei uttømmande liste over kva rettslege grunnlag som kan gi heimel for behandling av ikkje-sensitive og sensitive opplysningar. I tillegg må behandlinga oppfylle grunnkrava i § 11.
Under punkt 1.8 skal behandlingsansvarleg krysse av for kva som er grunnlaget for behandlinga. For behandling av ikkje-sensitive personopplysningar er det tilstrekkeleg at det ligg føre eitt grunnlag. Behandling av sensitive opplysningar må oppfylle eitt av vilkåra i § 8 og eit av vilkåra i § 9.
Samtykke
Behandling av personopplysningar bør i størst mogeleg utstrekning basere seg på samtykke frå den registrerte. Samtykket må vere frivillig, uttrykkjeleg og informert, jf. § 2 nr. 7. Lova stiller ingen formkrav til samtykket, men Datatilsynet tilrår at det blir innhenta skriftleg i den graden det er praktisk mogeleg. Skriftlege samtykker vil lette provproblem i situasjonar der det blir reist tvil om kva den registrerte har samtykt til. Legg ved eventuelle samtykkeerklæringar og informasjonsskriv som blant anna forklarer behandlinga sitt innhald og lengd.
Andre rettslege grunnlag
Uavhengig av om den registrerte har samtykt, kan behandling skje dersom den er heimla i lov.
Vidare kan personopplysningar behandlast dersom det er nødvendig, og eit av vilkåra i § 8 bokstav a-f er oppfylt.
Krav om særleg heimel i § 9 ved behandling av sensitive opplysningar
I tillegg til at eitt av vilkåra i § 8 må vere oppfylt, må behandlinga også oppfylle eitt av vilkåra i § 9.
Til punkt 1.9: Informasjonsplikta
Personopplysningslova §§ 19 og 20 pålegg den behandlingsansvarlege å informere den registrerte om behandlinga. Informasjon skal giast av eige tiltak, utan at den registrerte krev det, og utan kostnader for den registrerte, jf. personopplysningslova § 17. Når det gjeld det nærmare innhaldet i informasjonsplikta blir det vist til lova.
Dersom informasjon blir gitt skriftleg, ønskjer Datatilsynet at ein kopi av informasjonsskrivet leggjast ved konsesjonssøknaden. Dette gir tilsynet grunnlag for å vurdere om informasjonen er tilstrekkeleg etter lova sine krav. Dersom behandlinga byggjer på samtykke frå den registrerte, er utforminga av informasjonsskrive spesielt viktig.
Til punkt 1.10: Har verksemda utarbeidt eit internkontrollsystem?
Personopplysningslova § 14 pålegg den behandlingsansvarlege å utarbeide eit internkontrollsystem. Utarbeiding av eit internkontrollsystem inneber at den behandlingsansvarlege skal planleggje og dokumentere tiltak som gjer han i stand til å oppfylle lova sine krav, medrekna rutinar i forhold til krav frå den registrerte om innsyn, retting eller sletting (sjå også pkt. 2.1, 2.2 og 2.3).
Dersom den behandlingsansvarlege ikkje kan svare ja på spørsmålet i dette punktet, kan Datatilsynet vanskeleg gi ein konsesjon.
Til punkt 2.1: Kravet om at opplysningane er tilstrekkelege og relevante
Personopplysningslova § 11 fyrste ledd bokstav d. pålegg den behandlingsansvarlege å sørgje for at dei personopplysningane som blir behandla er tilstrekkelege og relevante for formålet med behandlinga. Kravet til relevans trekkjer opp eit ytre grense for kva personopplysningar som kan takast med i behandlinga. Dette kravet kan ein ikkje vike frå sjølv om ein har samtykke frå den registrerte. Opplysningar som er uvedkomande eller unødvendige skal haldast utanfor, og i utgangspunktet slettast, jf. lova si § 28. Kravet til at opplysningane skal vere tilstrekkelege stiller krav om at ein har nok opplysningar for å kunne vareta formålet med behandlinga.
Som nemnt, skal den behandlingsansvarlege i medhald av § 14 planleggje og dokumentere tiltak som gjer han i stand til å oppfylle krava i lova. Datatilsynet ber derfor om at søkjaren legg ved dokumentasjon på at kravet om tilstrekkelege og relevante opplysningar blir oppfylt.
Til punkt 2.2: Kravet om korrekte og oppdaterte personopplysningar
Det er dei behandlingsansvarleg si plikt å sørgje for at opplysningane er så korrekte og oppdaterte som mogeleg i forhold til formålet med behandlinga. Den behandlingsansvarlege må derfor sørgje for å lage rutinar som skal sikre at lova blir oppfylt på dette punktet.
Dersom opplysningane blir innhenta direkte frå den registrerte, blir opplysningane rekna for å vere så korrekte som mogelege. Dei er likevel, avhengige av kva typar personopplysningar det er tale om, berre oppdaterte for ein viss periode.
Jamleg registervask mot andre register, og oppdatering direkte frå den registrerte kan vere eksempel på rutinar som kan nyttast.
Kopi av rutinane må leggjast ved søknaden.
Til punkt 2.3: Sletting
Opplysningar som ikkje lenger er nødvendige for å gjennomføre formålet med behandlinga skal som hovudregel blir sletta. I nokre tilfelle blir likevel sletteplikta avgrensa av anna lovgiving som pålegg den behandlingsansvarlege å oppbevare opplysningane, for eksempel arkivlova eller rekneskapslova.
I medhald av § 14 skal den behandlingsansvarlege planleggje og dokumentere tiltak som gjer han i stand til å oppfylle lova sine krav. Datatilsynet ber derfor om ein kopi av sletterutinane.
Til punkt 2.4: Vidare oppbevaring
Opplysningane kan oppbevarast sjølv om dei ikkje er nødvendige for å gjennomføre formålet, dersom vidare oppbevaring skjer for bruk til historiske, vitskaplege og statistiske formål. Føresetnaden er likevel at samfunnet si interesse i oppbevaring klart overstig dei ulempene det kan medføre for den einskilde.
Datatilsynet ber om at søkjarar kryssar av dei eller dei formåla som gjer rett til vidare oppbevaring av opplysningane. Søkjarane må også gi ei framstilling av kvifor samfunnet si interesse i oppbevaring klart overstig personverninteressene i dette tilfellet.
Til punkt 3
Her finn ein ein eigen rettleiar for dokumentasjon av informasjonstryggleiken
(10.02.2005) Datatilsynet
Søknad om konsesjon for behandling av personopplysninger i henhold til personopplysningsloven § 33.
En konsesjon gitt av Datatilsynet betyr at tilsynet har forhåndsgodkjent den behandling av personopplysninger som er regulert i konsesjonen. Hva som regnes som en behandling er definert i personopplysningsloven § 2 nr. 2. En eventuell konsesjon gis før behandlingen iverksettes. Forhåndsgodkjenningen betyr at Datatilsynet mener at behandlingen den behandlingsansvarlige ønsker å iverksette, oppfyller personopplysningsloven på en tilfredsstillende måte. For å kunne foreta en slik vurdering, er det nødvendig for Datatilsynet å få en forståelse både for hva slags virksomhet den behandlingsansvarlige driver, og for selve den behandlingen det søkes konsesjon for. Dette vil konsesjonssøknadsskjemaet hjelpe til med.
Skjemaet er delt inn i fire hoveddeler. Den første delen skal gi Datatilsynet informasjon om den behandlingsansvarliges virksomhet, og del to gir informasjon om selve behandlingen. Del tre forteller noe om hvordan den behandlingsansvarlige oppfyller enkelte av lovens bestemmelser, og del fire gir opplysninger om informasjonssikkerheten i virksomheten.
Generelt om å fylle ut skjemaet
Alle punkter i skjemaet må alltid fylles ut, med unntak av punkt B som omhandler den behandlingsansvarliges representant. For de punkter hvor opplysningene skal fylles inn som fritekst, kan søker legge ved et eget ark dersom det ikke er plass på skjemaet. Det henstilles da om at vedlegget merkes med det aktuelle punkt i skjemaet.
Til punkt A: Den behandlingsansvarliges virksomhet
Dette er de administrative opplysningene om den behandlingsansvarlige som Datatilsynet trenger for å kunne administrere konsesjonene. Behandlingsansvarlig er den som bestemmer formålet med behandlingen og hvilke hjelpemidler som skal brukes. Som hovedregel er dette virksomheten, representert ved virksomhetens øverste organ.
Dersom skjemaet fylles ut på vegne av den behandlingsansvarlige, for eksempel av et advokatfirma på vegne av en klient, er det likevel den behandlingsansvarliges adresseopplysninger som skal oppgis på skjemaet. Dersom den som fyller inn skjemaet skal motta korrespondansen fra Datatilsynet, må dette presiseres på et eget vedlegg med adresseopplysninger.
Dersom den behandlingsansvarlige er en virksomhet som er etablert i stater utenfor EØS-området, men som benytter seg av hjelpemidler i Norge, skal den behandlingsansvarlige ha en representant her i landet. I så fall må også punkt B fylles ut.
Til punkt B: Den behandlingsansvarliges representant
Dette punktet skal bare fylles inn dersom den behandlingsansvarlige er etablert utenfor EØS-området, men benytter seg av hjelpemidler i Norge. I slike tilfeller bestemmer personopplysningsloven at den behandlingsansvarlige må ha en representant som er etablert i Norge.
Dersom den behandlingsansvarlige bare benytter seg av hjelpemidler i Norge for å kunne overføre personopplysninger via Norge til et annet land, så gjelder ikke denne regelen.
Til punkt C: Daglig ansvar for å oppfylle den behandlingsansvarliges plikter
Den behandlingsansvarlige vil, i lovens forstand, i utgangspunktet være selve virksomheten, ved virksomhetens øverste organ. Ansvaret vil imidlertid i praksis ligge hos en fysisk person, via delegasjon fra dette organet. Det er kun stillingsbetegnelsen til den som er pålagt det daglige behandleransvaret som skal oppgis, ikke vedkommendes navn. I regelen vil ansvaret ligge hos daglig leder for den behandlingsansvarliges virksomhet.
Til punkt D: Benyttes databehandler?
En databehandler er en virksomhet som behandler personopplysninger på vegne av den behandlingsansvarlige. Personopplysningsloven pålegger den behandlingsansvarlige å inngå en skriftlig avtale med databehandleren, se personopplysningsloven § 15 for spesifikasjon av hva avtalen skal inneholde. Benyttes databehandler, må punkt D fylles inn, og kopi av avtalen skal legges ved søknaden.
Til punkt E: Gi en beskrivelse av hva slags virksomhet den behandlingsansvarlige driver i vid forstand
Informasjonen som gis under dette punktet skal gi Datatilsynet en forståelse av hva slags virksomhet den behandlingsansvarlige driver.
Til punkt F: I hvilken del av virksomheten skal behandlingen foretas?
Dersom virksomheten består av flere avdelinger, må det under dette punktet redegjøres for hvilken avdeling det er som skal foreta behandlingen, samt hvilken funksjon denne avdelingen har i den totale virksomheten.
Til punkt 1.1: Hvilke typer personopplysninger omfatter behandlingen?
Den behandlingsansvarlige skal krysse av for det som passer best. En behandling kan godt omfatte flere opplysningstyper. Det er viktig å merke seg at dersom sensitive opplysninger behandles, skal det presiseres nærmere hva slags opplysninger det dreier seg om i eget fritekstfelt.
Til punkt 1.2: Hvem skal det behandles opplysninger om?
Den behandlingsansvarlige skal krysse av for det som passer best.
”Tilfeldig utvalgte” er personer det ikke på forhånd er planlagt å behandle personopplysninger om. Et typisk eksempel er personer som tilfeldig blir filmet av et overvåkingskamera.
”Seleksjonsutvalg” er personer som er blitt valgt ut basert på et sett med forhåndsdefinerte kriterier. Typisk vil dette ofte gjelde i forskningsprosjekter.
Til punkt 1.3: Hva er formålet med behandlingen?
I personopplysningsloven § 2, nr. 2, defineres en behandling som enhver bruk av personopplysninger – det nevnes også flere eksempler. All bruk skjer for å oppfylle et formål, og i personopplysningsloven stilles det krav om at dette formålet skal være klart definert og beskrevet før behandlingen tar til.
I tillegg stiller loven krav om at formålet må være uttrykkelig beskrevet. Dette betyr at beskrivelsen skal være så presis at den registrerte forstår nøyaktig hva opplysningene skal brukes til. En klar formålsangivelse er dessuten nødvendig for å kunne vurdere om de personopplysninger som behandles er relevante for den behandlingsansvarlige.
Det er verdt å merke seg at det ikke holder å beskrive formålet som en form for administrasjon av forholdet til den registrerte. Begrepet ”administrasjon” kan i forskjellige sammenhenger inneholde flere mer presise formål. For eksempel vil administrasjon av et kundeforhold kunne dreie seg om så forskjellige ting som levering av varer og fakturering, og oppfølging av kunden (markedsføring) basert på kompliserte personprofiler. Dersom dette er tilfelle, skal slike underformål beskrives. Disse formålene vil kunne avgrense én behandling fra en annen.
Til punkt 1.4: Hvordan samles personopplysningene inn?
Innsamling av personopplysninger kan skje på ulike måter. Det er av interesse for Datatilsynet å få informasjon om hvilken metode virksomheten benytter. Eksempelvis vil elektronisk overføring av sensitive personopplysninger medføre at det stilles strengere krav til informasjonssikkerheten. Med manuell innsamling forstås både muntlig og papirbasert innsamling. Kryss av for det eller de alternativer som passer best.
Til punkt 1.5: Hvordan skal opplysningene brukes?
I personopplysningsloven § 2 nr. 2 er behandling av personopplysninger definert som enhver bruk av personopplysninger. Datatilsynet ønsker informasjon om hva slags bruksmåter som skal skje i søkers virksomhet. Kryss gjerne av for flere alternativer. Bruksmåtene må være i samsvar med det oppgitte formål. Eventuelle nye bruksmåter som ikke er angitt i denne søknaden, vil kunne utløse krav om ny konsesjon.
Til punkt 1.6: Overføring av personopplysninger til utlandet
Personopplysninger kan bare overføres til stater som sikrer en forsvarlig behandling av opplysningene. Stater som har implementert EUs personverndirektiv oppfyller kravet til forsvarlig behandling. Til andre land kan overføring bare skje dersom en konkret vurdering av behandlingens forsvarlighetsnivå tilsier dette, eller dersom et av de alternative vilkårene i personopplysningsloven § 30 er oppfylt. Informasjon om hvilket land opplysningene skal overføres til, gjør det mulig for Datatilsynet å finne ut hvilke personvernregler som gjelder i vedkommende stat, og herunder vurdere om landet oppfyller kravet om en forsvarlig behandling.
Til punkt 1.7: Personopplysningene hentes fra
Dersom opplysningene som skal behandles samles inn fra andre kilder enn den registrerte selv, må kilden/kildene navngis og beskrives.
Til punkt 1.8: Rettslig grunnlag for behandlingen
Personopplysningsloven stiller krav om at ingen kan behandle personopplysninger uten å ha et rettslig grunnlag for at behandlingen skal være tillatt, jf. lovens §§ 8 og 9. Bestemmelsene gir en uttømmende liste over hvilke rettslige grunnlag som kan gi hjemmel for behandling av henholdsvis ikke-sensitive og sensitive opplysninger. I tillegg må behandlingen oppfylle grunnkravene i § 11.
Under punkt 1.8 skal behandlingsansvarlig krysse av for hva som er grunnlaget for behandlingen. For behandling av ikke-sensitive personopplysninger er det tilstrekkelig at det foreligger ett grunnlag. Behandling av sensitive opplysninger må oppfylle ett av vilkårene i § 8 og et av vilkårene i § 9.
Samtykke
Behandling av personopplysninger bør i størst mulig utstrekning basere seg på samtykke fra den registrerte. Samtykket må være frivillig, uttrykkelig og informert, jf. § 2 nr. 7. Loven stiller ingen formkrav til samtykket, men Datatilsynet anbefaler at det innhentes skriftlig i den grad det er praktisk mulig. Skriftlighet vil lette bevisproblemer i situasjoner hvor det reises tvil om hva den registrerte har samtykket til. Det bes om at eventuelt informasjonsskriv som blant annet forklarer behandlingens innhold og varighet, og samtykkeerklæring, vedlegges konsesjonssøknaden.
Andre rettslige grunnlag
Uavhengig av om den registrerte har samtykket, kan behandling skje dersom den er hjemlet i lov.
Videre kan personopplysninger behandles dersom det er nødvendig, og et av vilkårene i § 8 bokstav a-f er oppfylt.
Krav om særlig hjemmel i § 9 ved behandling av sensitive opplysninger
I tillegg til at ett av vilkårene i § 8 må være oppfylt, må behandlingen også oppfylle ett av vilkårene i § 9.
Til punkt 1.9: Informasjonsplikten
Personopplysningsloven §§ 19 og 20 pålegger den behandlingsansvarlige å informere den registrerte om behandlingen. Informasjon skal gis av eget tiltak, uten at den registrerte krever det, og uten kostnader for den registrerte, jf. personopplysningsloven § 17. Når det gjelder det nærmere innholdet i informasjonsplikten vises det til loven.
Dersom informasjon gis skriftlig, ønsker Datatilsynet at en kopi av informasjonsskrivet oversendes sammen med konsesjonssøknaden. Dette gir tilsynet grunnlag for å vurdere om informasjonen er tilstrekkelig i henhold til lovens krav. Det minnes om at dersom behandlingen bygger på samtykke fra den registrerte, er utformingen av informasjonsskrivet spesielt viktig.
Til punkt 1.10: Har virksomheten utarbeidet et internkontrollsystem?
Personopplysningsloven § 14 pålegger den behandlingsansvarlige å utarbeide et internkontrollsystem. Utarbeidelse av et internkontrollsystem innebærer at den behandlingsansvarlige skal planlegge og dokumentere tiltak som gjør ham i stand til å oppfylle lovens krav, herunder rutiner i forhold til krav fra den registrerte om innsyn, retting eller sletting (se også pkt. 2.1, 2.2 og 2.3).
Dersom den behandlingsansvarlige ikke kan svare ja på spørsmålet i dette punktet, kan Datatilsynet vanskelig utstede en konsesjon.
Til punkt 2.1: Kravet om tilstrekkelighet og relevans
Personopplysningsloven § 11 første ledd bokstav d pålegger den behandlingsansvarlige å sørge for at de personopplysninger som behandles er tilstrekkelige og relevante for formålet med behandlingen. Kravet til relevans trekker opp en ytre grense for hvilke personopplysninger som kan tas med i behandlingen. Det påpekes at dette kravet ikke kan fravikes gjennom samtykke fra den registrerte. Opplysninger som er uvedkommende eller unødvendige skal holdes utenfor, og i utgangspunktet slettes, jf. lovens § 28. Kravet til tilstrekkelighet stiller krav om at man har nok opplysninger for å kunne ivareta formålet med behandlingen.
Som nevnt, skal den behandlingsansvarlige i medhold av § 14 planlegge og dokumentere tiltak som gjør ham i stand til å oppfylle lovens krav. Datatilsynet ber derfor om at dokumentasjon på at kravet om tilstrekkelighet og relevans vil bli oppfylt, vedlegges.
Til punkt 2.2: Kravet om korrekte og oppdaterte personopplysninger
Det er den behandlingsansvarliges lovpålagte plikt å sørge for at opplysningene er så korrekte og oppdaterte som mulig i forhold til formålet med behandlingen. Den behandlingsansvarlige må derfor sørge for å lage rutiner som skal sikre at loven blir oppfylt på dette punkt.
Dersom opplysningene innhentes direkte fra den registrerte, regnes opplysningene for å være så korrekte som mulige. De er imidlertid, avhengig av hvilke typer personopplysninger det er tale om, bare oppdaterte for en viss periode.
Jevnlig registervask mot andre registre, og oppdatering direkte fra den registrerte kan være eksempler på rutiner som kan benyttes.
Kopi av rutinene må legges ved søknaden.
Til punkt 2.3: Sletting
Opplysninger som ikke lenger er nødvendige for å gjennomføre formålet med behandlingen skal som hovedregel slettes. I noen tilfeller blir imidlertid sletteplikten begrenset av annen lovgivning som pålegger den behandlingsansvarlige å oppbevare opplysningene, for eksempel arkivloven eller regnskapsloven.
I medhold av § 14 skal den behandlingsansvarlige planlegge og dokumentere tiltak som gjør han i stand til å oppfylle lovens krav. Datatilsynet ber derfor om en kopi av sletterutinene.
Til punkt 2.4: Videre oppbevaring
Opplysningene kan oppbevares selv om de ikke er nødvendige for å gjennomføre formålet, dersom videre oppbevaring skjer for bruk til historiske, vitenskapelige og statistiske formål. Forutsetningen er imidlertid at samfunnets interesse i oppbevaring klart overstiger de ulemper det kan medføre for den enkelte.
Datatilsynet ber om at De krysser av det eller de formål som berettiger videre oppbevaring av de opplysninger De besitter. Det bes også om en utredning for hvorfor samfunnets interesse i oppbevaring klart overstiger personverninteressene i dette tilfellet.
Til punkt 3
Her finner man en egen veileder for dokumentasjon av informasjonssikkerheten.
Som hovedregel er behandling av personopplysninger meldepliktig, mens behandling av sensitive opplysninger er konsesjonspliktig.
Personvernlovgivningen gir regler med formål å øke muligheten for den enkelte til å ivareta eget personvern. Regelene om samtykke, informasjon og innsyn er innført fordi disse rettighetene direkte berører den enkeltes mulighet til å ha kontroll.
Meldeplikten er en plikt overfor både publikum og tilsynsmyndigheten. Meldingen, som legges ut i en offentlig database, skal gjøre det lettere å finne ut hvordan personopplysninger brukes i virksomhetene. Meldeplikten gjelder hovedsakelig elektronisk behandling av ikke-sensitive personopplysninger, samt ren manuell behandling av sensitive personopplysninger.
Konsesjonsplikten gir tilsynsmyndigheten en rett og plikt til å forhåndskontrollere virksomhets planlagte bruk av personopplysninger. Konsesjonsplikten gjelder hovedsakelig elektronisk behandling av sensitive personopplysninger.
Les mer om melde- og konsesjonsplikten på rett- og pliktsidene