Når kan jeg behandle personopplysninger

Publisert: 15.01.2001

Behandling av personopplysninger er regulert av personopplysningsloven. Grunnprinsippet i loven er at den registrerte i størst mulig grad skal være informert og ha kontroll med bruken av opplysninger om seg selv.

DEFINISJONER

Personopplysning: opplysninger og vurderinger som kan knyttes til en enkeltperson.

Sensitive personopplysninger: opplysninger om:

a) rasemessig eller etnisk bakgrunn, eller politisk, filosofisk eller religiøs oppfatning,
b) at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling,
c) helseforhold,
d) seksuelle forhold,
e) medlemskap i fagforeninger.

Behandling av personopplysninger: enhver bruk av personopplysninger, som for eksempel innsamling, registrering, sammenstilling, lagring og utlevering eller en kombinasjon av slike bruksmåter.

Behandlingsansvarlig: den som bestemmer formålet med behandlingen av personopplysninger og hvilke hjelpemidler som skal brukes.

Registrert: den som en personopplysning kan knyttes til.

Samtykke: en frivillig, uttrykkelig og informert erklæring fra den registrerte om at han eller hun godtar behandling av opplysninger om seg selv.

GRUNNKRAV TIL BEHANDLINGEN

Før virksomheten kan begynne å behandle personopplysninger må noen grunnleggende vilkår oppfylles. Grunnkravene finner du i personopplysningsloven § 11 (se egen boks). Behandlingen skal som hovedregel ha grunnlag i samtykke fra den opplysningene gjelder. Det finnes noen andre rettslige grunnlag i personopplysningsloven § 8 og § 9. Den behandlingsansvarlige skal angi et klart og avgrenset formål for behandlingen som ønskes utført. Formålet må være saklig begrunnet i virksomheten den behandlingsansvarlige driver. Dette innebærer at den behandlingsansvarlige ikke kan lagre, eller på annen måte bruke, personopplysninger som det ikke er et saklig behov for i forhold til de oppgavene som skal løses. Opplysningene kan ikke brukes til mer enn det som er beskrevet i formålet, og må som hovedregel slettes når formålet er oppfylt. Den behandlingsansvarlige skal også sikre at personopplysningene har god kvalitet i forhold til formålet. Det vil si at det stilles krav til at opplysningene må være tilstrekkelige, relevante, korrekte og oppdaterte.

§ 11. Grunnkrav til behandling av personopplysninger (NB - forkortet)

Den behandlingsansvarlige skal sørge for at personopplysningene som behandles

a) bare behandles når dette er tillatt etter § 8 og § 9
b) bare nyttes til uttrykkelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet,
c) ikke brukes senere til formål som er uforenlig med det opprinnelige formålet med innsamlingen, uten at den registrerte samtykker,
d) er tilstrekkelige og relevante for formålet med behandlingen, og
e) er korrekte og oppdatert, og ikke lagres lenger enn det som nødvendig ut fra formålet med behandlingen, jf. §§ 27 og 28.

SAMTYKKE, LOVHJEMMEL ELLER ET ANNET RETTSLIG GRUNNLAG

Samtykke eller lovhjemmel
Samtykke fra den registrerte er hovedregelen. Med et uttrykkelig, frivillig og informert samtykke kan man foreta alle typer behandlinger som ikke ellers strider mot loven. Virksomheten kan også ha adgang til å behandle personopplysninger med hjemmel i en annen lov. Jo sterkere ulempene er for de registrerte, dess klarere må det sies i loven at behandling av personopplysninger er tillatt.

Annet grunnlag
Dersom den behandlingsansvarlige verken har samtykke eller lovhjemmel, kan han eller hun bare behandle personopplysninger dersom det er nødvendig etter ett av behandlingsvilkårene som er listet opp i personopplysningsloven § 8 a) til f) (se utdrag av bestemmelsen under). Det skal mye til før vilkårene kan brukes.

§ 8. Vilkår for å behandle personopplysninger

Personopplysninger (jf. § 2 nr 1) kan bare behandles dersom den registrerte har samtykket, eller det er fastsatt i lov at det er adgang til slik behandling, eller behandlingen er nødvendig for

a) å oppfylle en avtale med den registerte, eller for å utføre gjøremål etter den registrertes ønske før en slik avtale inngås,
b) at den behandlingsansvarlige skal kunne oppfylle en rettslig forpliktelse,
c) å vareta den registrertes vitale interesser,
d) å utføre en oppgave av allmenn interesse,
e) å utøve offentlig myndighet, eller
f) at den behandlingsansvarlige eller tredjepersoner som opplysningene utleveres til kan vareta en berettiget interesse, og hensynet til den registrertes personvern ikke overstiger denne interessen.

Sensitive personopplysninger
Det stilles strengere krav til behandling av sensitive personopplysninger. Skal virksomheten behandle sensitive opplysninger, må ett av vilkårene i personopplysningsloven § 9 være oppfylt i tillegg til vilkårene i § 8. Dersom den registrerte skal samtykke, må han eller hun være informert om at behandlingen gjelder sensitive personopplysninger. Dersom den behandlingsansvarlige har lovhjemmel for behandlingen, må det gå klart fram av hjemmelsloven at det er tillatt å behandle sensitive personopplysninger. Sensitive personopplysninger kan også behandles når dette er nødvendig i forhold til enkelte snevre formål i § 9 c) til h). Disse formålene vil bare være aktuelle i spesielle tilfeller. (Se et forenklet utdrag av bestemmelsen under.)

§ 9. Behandling av sensitive personopplysninger (NB - forkortet og forenklet)

Sensitive personopplysninger kan bare behandles dersom behandlingen oppfyller et av vilkårene i § 8 og

a) den registrerte samtykker i behandlingen,
b) det er fastsatt i lov at det er adgang til slik behandling,
c) behandlingen er nødvendig for å beskytte en persons vitale interesser, og den registrerte ikke er i stand til å samtykke,
d) det utelukkende behandles opplysninger som den registrerte selv frivillig har gjort alminnelig kjent,
e) behandlingen er nødvendig for å fastsette, gjøre gjeldende eller forsvare et rettskrav,
f) behandlingen er nødvendig for at den behandlingsansvarlige kan gjennomføre sine arbeidsrettslige plikter eller rettigheter,
g) behandlingen er nødvendig for visse viktige medisinske formål for helsepersonell.
h) behandlingen er nødvendig for historiske, statistiske eller vitenskapelige formål. Samfunnets interesse av behandlingen må være betydelig større enn ulempene den kan føre med seg for den enkelte.

GRENSER FOR SAMTYKKET

Et samtykke til behandling av personopplysninger kan ikke sette til side noen av bestemmelsene i loven. I tillegg skal samtykket være frivillig, uttrykkelig og informert. Det innebærer at den registrerte må ha fått tilstrekkelig detaljert informasjon til å vite hva hun samtykker til, og at hun etterpå frivillig og utrykkelig erklærer at hun godtar behandlingen. Du kan lese mer om samtykke i faktaarket som handler om dette temaet.

NYTT FORMÅL - NYTT SAMTYKKE

Om formålet til behandlingen endres, må den behandlingsansvarlige gjennomgå prosessen på dette faktaarket på nytt.

Datatilsynet - 15.01.2001

tiller loven sine andre krav.

Meldinga skal vere ei orientering frå den behandlingsansvarlege til Datatilsynet. Datatilsynet kan på grunnlag av meldinga setje i verk tiltak. Meldinga skal også tene som grunnlag for å gi regelinformasjon og hjelpe til å betre kunnskapsnivået om personopplysningsloven hos den meldepliktige. Meldingane vil utgjere ein vesentleg del av Datatilsynets kunnskapsbase, og gi grunnlag for prioriteringar av arbeidsoppgåver, da særleg i forhold til kontroll og rettleiing. Meldingane skal vere offentleg tilgjengelege.

Når må det sendast ny melding?

Meldingar skal vere knytte til den enkelte behandlinga. Einkvar behandling knytast til ein behandlingsansvarleg, og skal baserast på eit førehandsdefinert formål. Dette inneber at det alltid må sendast inn ei ny melding når det blir ein ny juridisk person som står ansvarleg for behandlinga. I tillegg må det alltid sendast ny melding når formålet med behandlinga blir endra. Etter tre år skal det alltid sendast ny melding.

Når må det sendast endringsmelding?

Ved endring av andre forhold enn juridisk behandlaransvar og formålet med behandlinga held det at ein gir ei endringsmelding.

Konsesjonsplikt

Konsesjonsplikta gjeld i all hovudsak ved behandling av sensitive personopplysningar. Sensitive personopplysningar er blant anna opplysningar om helse, rase, tru, politisk tilhørsel, straffbare handlingar og seksuelle forhold (Sjå personopplysningsloven § 2 nr.. 8. for ei uttømmande liste)

Dei behandlingsansvarlege si konsesjonsplikt er regulert i personopplysningsloven § 33.

Datatilsynet kan krevje at verksemda søkjer om konsesjon

Datatilsynet kan avgjere at også behandlingar av anna enn sensitive personopplysningar skal vere konsesjonspliktige. Det er ein føresetnad at behandlinga elles openbert vil krenkje tungtvegande personverninteresser. Dette skal berre brukast i ekstraordinære tilfelle. Ved vurderinga skal Datatilsynet blant anna ta omsyn til personopplysningane sin art, mengd og formålet med behandlingen. (Personopplysningsloven § 33, 2. ledd)

Kan vi få ei vurdering av om behandlinga er konsesjonspliktig?

Den behandlingsansvarlege har rett til, på førehand, å få avklart frå Datatilsynet om behandlinga vil krevje konsesjon. Avklaring av om konsesjon er nødvendig tyder ikkje at konsesjon vil bli gitt. (Personopplysningsloven § 33, 3. ledd)

Konsesjon

Datatilsynet skal avgjere om konsesjon skal giast. Det skal ved vurderinga klarleggjast om behandlinga vil valde ulemper som ikkje blir avhjelpte av loven sin andre føresegner. I så fall skal Datatilsynet vurdere om ulempene den enkelte blir påført blir utlikna av omsyn som taler for behandlingen. (Personopplysningsloven § 34)

I konsesjonsbehandlinga skal Datatilsynet vurdere om det skal settast vilkår for behandlinga. Vilkår i konsesjonen kan settast når det er nødvendig for å avgrense ulempene behandlinga elles medføre for den registrerte. (Personopplysningsloven § 35)

Unnatak frå konsesjonsplikta

Det er fleire unnatak frå konsesjonsplikta. Dei fleste av desse unnataka vil følgje av forskrift til personopplysningsloven, kapittel 7, og eventuell særlovgiving. Vidare er behandlingar berre for kunstnariske, litterære eller journalistiske formål unnateke konsesjonsplikt.

Stat og kommune

Behandling av personopplysningar i organ for stat eller kommune er unnateke konsesjonsplikta når behandlinga har heimel i eigen lov, sjå personopplysningsloven § 33, 4. ledd. Denne typen behandlingar av personopplysningar vil likevel vere meldepliktig etter § 31.

Ubedde sensitive opplysningar

Behandling av sensitive opplysningar som er gitt ubedd, er unnateke konsesjonsplikt. Når ein vurderer om opplysningane er gitte ubedd, må ein også sjå på situasjonen dei er gitte under. Dersom systemet eller situasjonen legg opp til at opplysningane skal giast, blir dei ikkje gitte ubedd.