Prop. 56 LS

(2017–2018)
Proposisjon til Stortinget (forslag til lovvedtak og stortingsvedtak)

Lov om behandling av personopplysninger (personopplysningsloven) og samtykke til deltakelse i en beslutning i EØS-komiteen om innlemmelse av forordning (EU) nr. 2016/679 (generell personvernforordning) i EØS-avtalen

Tilråding fra Justis- og beredskapsdepartementet 23. mars 2018, godkjent i statsråd samme dag. (Regjeringen Solberg)

Dokumentet på regjeringen.no

1 Proposisjonens hovedinnhold

Justis- og beredskapsdepartementet foreslår i proposisjonen her en ny personopplysningslov som avløser gjeldende personopplysningslov. Forslaget til ny personopplysningslov består av to hovedelementer. For det første gjøres EUs personvernforordning til norsk lov gjennom en inkorporasjonsbestemmelse. For det andre foreslår departementet en rekke bestemmelser som supplerer reglene i forordningen. Departementet foreslår at loven skal gjelde fra den tid Kongen bestemmer. Fra departementets side tas det sikte på å sette loven i kraft samtidig som eller så snart som mulig etter at forordningen får anvendelse i EU-statene 25. mai 2018.

Proposisjonen inneholder også forslag til en rekke endringer i særlovgivningen som følge av forslaget til ny personopplysningslov. Dette dreier seg dels om lovtekniske endringer, hovedsakelig endringer av henvisninger til gjeldende personopplysningslov, som foreslås erstattet med henvisninger til ny personopplysningslov, og dels om endringer av innholdsmessig art.

Loven kan ikke tre i kraft før forordningen er innlemmet i EØS-avtalen gjennom en beslutning i EØS-komiteen. Slik beslutning er ennå ikke truffet. EØS/EFTA-statenes utkast til EØS-komiteens beslutning ligger til behandling i EUs organer. For å sikre rettsenhet i hele EØS er det viktig at beslutningen kan tre i kraft for EØS/EFTA-statene samtidig som eller så snart som mulig etter at forordningen får anvendelse i EU-statene 25. mai 2018. For å unngå at Norge må ta konstitusjonelt forbehold når beslutningen fattes i EØS-komiteen, bes det derfor om Stortingets forhåndssamtykke til innlemmelse av forordningen i EØS-avtalen. Det er ikke forventet vesentlige endringer i den endelige beslutningen i EØS-komiteen. Dersom den endelige beslutningen likevel skulle avvike vesentlig fra utkastet som er vedlagt proposisjonen her, vil saken bli forelagt Stortinget på nytt.

Forordningen og utkast til EØS-komiteens beslutning ligger som trykte vedlegg til proposisjonen, begge i uoffisiell norsk oversettelse. I utkastet til EØS-komiteens beslutning er det inntatt enkelte tilpasninger til teksten i forordningen slik at den passer for EØS/EFTA-statene.

2 Bakgrunnen for lovforslaget

2.1 EUs personvernforordning

EUs personvernforordning ble vedtatt i april 2016 og erstatter EUs personverndirektiv fra 1995, som er gjennomført i den gjeldende personopplysningsloven. Forordningens overordnede formål er å sikre vern av personopplysninger, ensartede regler i EU/EØS og fri utveksling av personopplysninger mellom EU/EØS-landene. Forordningen oppstiller et omfattende regelverk, blant annet om de grunnleggende prinsippene og vilkårene for å behandle personopplysninger, rettigheter for enkeltpersoner, overføring av personopplysninger over landegrensene og om tilsyn og sanksjoner. Reglene gjelder for både private og offentlige aktører.

Forordningens formål, systematikk, terminologi og grunnprinsipper er i betydelig grad en videreføring av 95-direktivet og personopplysningsloven av 2000. De materielle reglene i forordningen er i stor grad en videreføring og videreutvikling av gjeldende rett. Samtidig innebærer reglene en rekke endringer, både på detaljnivå og av mer grunnleggende karakter. De registrertes rettigheter er på flere punkter styrket. Videre gir forordningen enkelte nye rettigheter, blant annet en rett til å overføre personopplysninger fra en tjenestetilbyder til en annen, såkalt dataportabilitet. For behandlingsansvarlige bortfaller melde- og konsesjonsplikten og erstattes med nye plikter til dokumentasjon og konsekvensvurderinger samt forhåndsdrøftinger med tilsynsmyndigheten. Det innføres videre en plikt til å ha personvernombud for offentlige myndigheter og for visse private behandlingsansvarlige. Videre kan Datatilsynet ilegge vesentlig høyere overtredelsesgebyrer. Det innføres også en mer effektiv tilsynsordning på europeisk nivå, ved at behandlingsansvarlige i utgangspunktet kun skal behøve å forholde seg til én tilsynsmyndighet i EU/EØS, den såkalte ettstedsmekanismen.

EUs personvernforordning ble foreslått av Kommisjonen 25. januar 2012. Det ble i den forbindelse vist til at det europeiske personopplysningsregelverket må oppdateres for å kunne ivareta den enkeltes personvern i møte med den nye teknologiske virkeligheten. Det ligger også økonomiske fordeler i et nytt og oppdatert personvernregelverk, ved at forbrukernes tillit og villighet til å kjøpe varer og tjenester over internett vil styrkes. Videre vil en ny forordning kunne avbøte de utfordringer som ligger i at det gjeldende personverndirektivet ikke er gjennomført på en harmonisert måte i EU. Ytterligere en målsetting med personvernforordningen var å fjerne unødvendige administrative byrder for bedrifter som ligger i dagens regelverk, blant annet meldeplikten.

Departementet sendte Kommisjonens forslag til ny personvernforordning på høring 19. april 2012 med høringsfrist 1. august 2012. En rekke høringsinstanser ga innspill til forslaget. Generelt var høringsinstansene positive til et nytt europeisk personopplysningsregelverk, men høringsinstansene var delte i synet på om regelverket burde gis i form av en forordning eller et direktiv. Videre hadde høringsinstansene en rekke innspill til utformingen av forordningens enkelte artikler. Departementet har sett hen til innspillene ved utarbeidelse av norske posisjoner i forbindelse med Rådets behandling av forordningen.

Norge har normalt ikke adgang til å delta i Rådets behandling av EØS-rettsakter, men som følge av at forordningen fra Kommisjonens side ble ansett Schengen-relevant da forslaget ble fremmet, har Norge kunnet delta i Rådets forhandlinger på arbeidsgruppenivå. Norges generelle posisjon under forhandlingene i Rådet har vært å gå imot forslag som bidrar til å svekke den enkeltes personvern i forhold til beskyttelsesnivået i personopplysningsloven. Samtidig har det vært viktig for Norge at regelverket ikke skal legge unødvendige byrder på næringslivet, særlig på små og mellomstore bedrifter. Norge har derfor gått inn for en balansert tilnærming, der det avgjørende er å sikre individets rettigheter samtidig som næringslivets behov for et praktisk anvendbart og kostnadseffektivt regelverk ivaretas.

I desember 2015 ble det oppnådd enighet i forhandlingene om den nye forordningen, og den ble formelt vedtatt av EU i april 2016 og publisert i EU-tidende 4. mai 2016. Forordningen får anvendelse direkte i EU 25. mai 2018.

2.2 Høring

Justis- og beredskapsdepartementet sendte høringsnotat med forslag til ny personopplysningslov på høring 6. juli 2017. Høringsfristen var 16. oktober 2017.

Høringsnotatet ble sendt til følgende høringsinstanser:

Departementene

Barneombudet

Bioteknologirådet

Brønnøysundregistrene

Datatilsynet

Departementenes sikkerhets- og serviceorganisasjon

De nasjonale forskningsetiske komiteene

Direktoratet for forvaltning og IKT

Direktoratet for arbeidstilsynet

Direktoratet for samfunnssikkerhet og beredskap

Domstoladministrasjonen

Finanstilsynet

Folkehelseinstituttet

Forbrukerombudet

Forbrukerrådet

Forskningsrådet

Fylkesmennene

Helsedirektoratet

Konkurransetilsynet

Kulturrådet

Kunnskapssenteret for helsetjenesten

Medietilsynet

Nasjonal kommunikasjonsmyndighet

Nasjonal sikkerhetsmyndighet

Norges Bank

Nasjonalbiblioteket

Personvernnemnda

Petroleumstilsynet

Politidirektoratet

Politiets sikkerhetstjeneste

Regjeringsadvokaten

Regelrådet

Riksadvokaten

Riksarkivet

Sekretariatet for konfliktrådene

Sivilombudsmannen

Skattedirektoratet

Statens arbeidsmiljøinstitutt

Statens helsetilsyn

Statens institutt for rusmiddelforskning

Statens sivilrettsforvaltning

Statistisk sentralbyrå

Statens innkrevingssentral

Sysselmannen på Svalbard

Teknologirådet

Tolldirektoratet

Utdanningsdirektoratet

Utlendingsdirektoratet

Økokrim

De regionale helseforetakene

Senter for rettsinformatikk

Universitetene

Advokatforeningen

ALT

Amnesty International Norge

Arbeidsmiljøsenteret

Bedriftsforbundet

Bilimportørenes Landsforening

Bluegarden AS

Civita

Den Norske Dataforening

Den norske Dommerforening

Den norske legeforening

EVRY ASA

Experian Norge

Finans Norge

Forskerforbundet

Forskningsstiftelsen Fafo

Frivillighet Norge

Hovedorganisasjonen Virke

Human Rights Alert Norway

ICJ-Norge

IKT-Norge

Institutt for samfunnsforskning

Juridisk rådgivning for kvinner

Juristforbundet

Jushjelpa i Midt-Norge

Jussbuss

Jussformidlingen

Jusshjelpa i Nord-Norge

KS

Landkreditt Bank AS

Landsorganisasjonen i Norge

Landsrådet for Norges barne- og ungdomsorganisasjoner

Lederne

Nordia Law Advokatfirma AS

NORDMA

Norges Ingeniør- og Teknologorganisasjon

Norges Rederiforbund

Norges Taxiforbund

Norsk Journalistlag

Norsk Kennel Klub

Norsk Presseforbund

Norsk Redaktørforening

Norsk senter for forskningsdata

Norsk senter for informasjonssikring

Næringslivets Hovedorganisasjon

Næringslivets sikkerhetsorganisasjon

Næringslivets Sikkerhetsråd

Privatsykehusenes fellesorganisasjon

SAMFO – Arbeidsgiverforening for samvirkeforetak

Sopra Steria AS

Sparebankforeningen

Telenor Norge AS

Transportbrukernes Fellesorganisasjon

Transportøkonomisk institutt

Unio

Yrkesorganisasjonenes Sentralforbund

Departementet mottok realitetsuttalelser fra:

Arbeids- og sosialdepartementet

Finansdepartementet

Forsvarsdepartementet

Helse- og omsorgsdepartementet

Kulturdepartementet

Kunnskapsdepartementet

Nærings- og fiskeridepartementet

Utenriksdepartementet

Administrasjonen i De nasjonale forskningsetiske komiteene

Arbeids- og velferdsdirektoratet

Arkivverket

Barneombudet

Bioteknologirådet

Brønnøysundregistrene

Datatilsynet

Den nasjonale forskningsetiske komité for naturvitenskap og teknologi

Den nasjonale forskningsetiske komité for samfunnsvitenskap og humaniora

Departementenes sikkerhets- og serviceorganisasjon

Direktoratet for e-helse

Direktoratet for forvaltning og IKT

Direktoratet for samfunnssikkerhet og beredskap

Finanstilsynet

Folkehelseinstituttet

Forbrukerombudet

Forbrukerrådet

Helsedirektoratet

Innovasjon Norge

Kripos

Kulturrådet

Medietilsynet

Nasjonal kommunikasjonsmyndighet

Nasjonal sikkerhetsmyndighet

Nasjonalbiblioteket

Nordland politidistrikt

Norges Bank

Oslo byfogdembete

Oslo politidistrikt

Politidirektoratet

Politiets sikkerhetstjeneste

Politiets utlendingsenhet

Regelrådet

Skattedirektoratet

Statens arbeidsmiljøinstitutt

Statens helsetilsyn

Statens lånekasse for utdanning

Statens pensjonskasse

Statens sivilrettsforvaltning

Statens vegvesen

Statistisk sentralbyrå

Sør-Øst politidistrikt

Tolldirektoratet

Universitets- og høgskolerådet

Utdanningsdirektoratet

Utlendingsdirektoratet

Larvik kommune

Oslo kommune

Rogaland fylkeskommune

Vestfold fylkeskommune

Bane NOR SF

Gassco AS

Helse Bergen HF

Helse Nord RHF

Helse Nord-Trøndelag HF

Helse Stavanger HF

Helse Sør-Øst RHF

Helse Vest RHF

Norsk rikskringkasting AS

Oslo universitetssykehus HF

Sporveien Oslo AS

Statnett SF

Universitetssykehuset Nord-Norge HF

Høgskulen i Volda

Norges idrettshøgskole

Norges teknisk-naturvitenskapelige universitet

Politihøgskolen

Universitetet i Bergen

Universitetet i Oslo

Universitetet i Tromsø – Norges arktiske universitet

Advokatforeningen

Akademikerne

Anne Karen Seip

Arbeidsgiverforeningen Spekter

ASIS Norge

Attac Norge

BDO AS

Bisnode Norge AS

Brækhus Advokatfirma DA

Coop Norge SA

Den norske historiske forening

Den norske legeforening

Den norske Revisorforening

DHL Express (Norway) AS

Drivkraft Norge

Fagforbundet

Finans Norge

Foreningen Kommunal Informasjonssikkerhet

Forskerforbundet

Forskningsinstituttenes Fellesarena

Frivillighet Norge

Get TDC

Graveteamet på rusfeltet

Herbjørn Andresen

Hovedorganisasjonen Virke

IT-politisk råd i Den Norske Dataforening

J.K. Baltzersen

Juristforbundet

Kantar TNS AS

Kirkerådet

Kollektivtrafikkforeningen

KS

Landsorganisasjonen i Norge

Nei til EU

NHO Service

Norges Ingeniør- og Teknologorganisasjon

Norges Rederiforbund

Norges Røde Kors

NorgesGruppen ASA

Norsk Arkivråd

Norsk Presseforbund, Norsk Journalistlag og Norsk Redaktørforening

Norsk senter for forskningsdata

Norwegian Eksterngransking Organization

Næringslivets Hovedorganisasjon

Næringslivets Sikkerhetsråd

Personvernombud innen og i tilknytning til helse og forskning

Redd Barna

Regnskap Norge

SAMFO – Arbeidsgiverforening for samvirkeforetak

Sopra Steria AS

Tekna – Teknisk-naturvitenskapelig forening

Telenor Norge AS

Telia Norge AS

TV 2 AS

Unio

Virke inkasso

Virke markedsanalyse

Yrkesorganisasjonenes Sentralforbund

Følgende instanser uttrykte at de ikke hadde merknader eller ikke ønsket å uttale seg:

Klima- og miljødepartementet

Landbruks- og matdepartementet

Samferdselsdepartementet

Domstoladministrasjonen

Riksadvokaten

Finansieringsselskapenes Forening

KS Bedrift

2.3 Rammene for arbeidet med ny personopplysningslov og omtalen av forordningen i proposisjonen her

2.3.1 Rammene for arbeidet med ny personopplysningslov – videre utredning og etterkontroll

I arbeidet med proposisjonen og den forutgående høringen har et styrende hensyn for departementet vært å kunne fremme et forslag om ny personopplysningslov som gjennomfører EUs personvernforordning i tide til at loven kan tre i kraft samtidig som eller så snart som mulig etter at forordningen får anvendelse i EU 25. mai 2018. Innenfor rammen av dette arbeidet har departementet konsentrert seg om endringer som er klart knyttet til gjennomføringen, og har i mindre grad kunnet prioritere å utrede behovet for mer inngående systematiske eller innholdsmessige endringer av gjeldende rett. Ved utformingen av de supplerende lovbestemmelsene som foreslås i proposisjonen her, har departementet derfor tatt sikte på å videreføre gjeldende rett så langt forordningen åpner for dette, med unntak av tilfeller hvor forordningens regler eller system tilsier at gjeldende rett bør endres, eller der det er holdepunkter for at gjeldende rett av andre grunner bør endres, og det er nokså klart hva endringene i så fall kan og bør gå ut på.

Høringsinstansene har generelt stilt seg positive til at det gis en ny norsk personopplysningslov som gjennomfører personvernforordningen. Enkelte høringsinstanser har likevel tatt til orde for at det bør foretas ytterligere utredninger av diverse temaer. Dette gjelder ikke bare spørsmål som forordningen reiser, men også spørsmål som oppstår etter gjeldende norsk rett. Spørsmål som ikke er blitt utredet i forbindelse med proposisjonsarbeidet, vil følges opp videre av Justis- og beredskapsdepartementet etter at proposisjonen er fremlagt. Høringen har blant annet vist at det kan være grunn til å se nærmere på hvordan ytrings- og informasjonsfriheten bør være regulert i personopplysningsloven, om unntakene i personopplysningsloven av hensyn til rikets sikkerhet har en dekkende og hensiktsmessig utforming, og om bestemmelsen som gjør unntak fra personopplysningslovens saklige virkeområde for saker som behandles eller avgjøres i medhold av rettspleielovene, bør endres.

Forholdet mellom offentleglova og personopplysningsloven vil bli nærmere vurdert i sammenheng med arbeidet med evaluering av offentleglova. I denne sammenheng vil også høringsuttalelsene om dette temaet bli vurdert.

Departementet legger også opp til en etterkontroll etter at loven har virket noen år. En etterkontroll vil i første rekke fokusere på de nasjonale supplerende reglene i personopplysningsloven, og i mindre grad på reglene som følger direkte av forordningen og som det primært tilligger EU å kontrollere. Det må imidlertid ved en etterkontroll av de nasjonale supplerende reglene sees hen til utviklingen i tolkningen og praktiseringen av forordningens regler. For så vidt gjelder etterkontroll av reglene i forordningen, følger det av artikkel 97 at Kommisjonen senest 25. mai 2020 og deretter hvert fjerde år skal fremlegge en rapport med en vurdering og gjennomgåelse av forordningen, samt ved behov foreslå nødvendige endringer. Ved en etterkontroll kan det etter departementets syn være særlig aktuelt å se nærmere på ordningen med personvernombud, reglene som gjør unntak fra de registrertes rettigheter, reglene om behandling for forsknings-, arkiv- og statistikkformål, reglene om administrative sanksjoner, avviklingen av konsesjonsordningen og aldersgrensen på 13 år for samtykke etter forordningen artikkel 6 nr. 1 bokstav a i forbindelse med formål som nevnt i artikkel 8 nr. 1. Det kan vurderes om reglene har en hensiktsmessig utforming og om de fungerer tilfredsstillende. Virkninger av at straffansvaret for overtredelse av personopplysningsloven ikke videreføres, kan også vurderes.

2.3.2 Omtalen av forordningen i proposisjonen her

En rekke høringsinstanser har etterlyst veiledning om det nærmere innholdet i forordningens enkelte bestemmelser og forholdet til gjeldende rett. For så vidt gjelder de nasjonale supplerende bestemmelsene som foreslås i proposisjonen her med hjemmel i forordningen, inneholder proposisjonen på vanlig måte både alminnelige motiver og spesialmerknader. For så vidt gjelder forordningens enkeltbestemmelser, er det etter departementets syn mindre naturlig å utforme generelle motiver og spesialmerknader, da forordningen allerede er vedtatt i EU. Slike uttalelser fra departementets side ville heller ikke ha samme rettskildemessige betydning som ved utarbeidelse av nasjonale lovbestemmelser.

Departementet har forståelse for at det kan være behov for ytterligere veiledning om innholdet i forordningen enn det som gis i proposisjonen her, samt høringsnotatet. Etter forordningen artikkel 57 påligger det Datatilsynet å gi veiledning om forordningen. Departementet viser i denne forbindelse til at Datatilsynet har publisert en betydelig mengde veiledningsmateriale på sine hjemmesider, blant annet om behandlingsansvarliges og databehandleres plikter. Videre er det publisert en betydelig mengde juridisk litteratur om forordningen, både på norsk, andre skandinaviske språk og engelsk, og departementet legger til grunn at ytterligere litteratur vil bli publisert i tiden fremover. Med tiden vil det også genereres rettspraksis som vil bidra til å avklare tolkningsspørsmål.

2.4 Bestemmelse om informasjonsdeling i forbindelse med bekjempelse av arbeidslivskriminalitet

I høringsnotatet foreslo departementet en egen lovbestemmelse som understreket at formålsbegrensningen i personvernforordningen ikke er til hinder for at offentlige myndigheter som har til oppgave å håndheve lovgivningen om arbeidsmiljø, trygd, skatter og avgifter, utveksler informasjon så langt dette er nødvendig for å utføre tilsynsoppgavene, se lovutkastet i høringsnotatet § 12. Høringen viste at flere høringsinstanser mente bestemmelsen på flere punkter var uklar, og departementet fremmer i proposisjonen her ingen bestemmelse som tilsvarer bestemmelsen som ble foreslått i høringsnotatet. Departementet vil i stedet følge opp forslaget i et eget høringsnotat snarest mulig.

2.5 Stortingets anmodningsvedtak nr. 98, 2. desember 2016

Stortinget vedtok 2. desember 2016 følgende anmodningsvedtak til regjeringen: «Stortinget ber regjeringen vurdere om dagens personopplysningslov er tilstrekkelig til å ivareta personvern på en best mulig måte, inkludert barn og unges personvern.»

Anmodningsvedtaket følges opp i proposisjonen her ved at det foreslås en ny norsk personopplysningslov som erstatter og opphever gjeldende personopplysningslov. Den nye loven, som gjennomfører EUs personvernforordning, gir et godt og sterkt personvern. Samtidig bidrar forordningen til et mer enhetlig personvernregelverk i hele EØS, noe som kommer både norske individer og norsk næringsliv til gode.

2.6 Innlemmelse av forordningen i EØS-avtalen

For at forordningen skal bli folkerettslig bindende for Norge, må den innlemmes i EØS-avtalen ved beslutning i EØS-komiteen. I EØS-komiteens beslutning vil det samtidig bli inntatt enkelte tilpasninger til rettsakten slik at den passer for EØS/EFTA-statene.

Det er svært begrensede muligheter for tilpasninger av de materielle bestemmelsene i forordningen, og departementet har heller ikke foreslått slike i forhandlingene med EU. Derimot er det nødvendig med enkelte tekniske tilpasninger. Videre er det nødvendig med en tilpasningstekst som sikrer det norske Datatilsynet deltakelse i Personvernrådet på best mulig måte. Det legges også opp til å videreføre muligheten for EØS/EFTA-statene til å anvende Kommisjonens beslutninger om beskyttelsesnivået for personopplysninger i tredjestater og internasjonale organisasjoner før slike beslutninger innlemmes i EØS-avtalen, slik dette er regulert i tilpasningsteksten til 95-direktivet. Det vises til kapittel 36 om det nærmere innholdet i utkastet til EØS-komiteens beslutning og om de konstitusjonelle vurderingene knyttet til disse tilpasningene.

2.7 Nordisk og andre lands rett

De øvrige nordiske landene og EU-landene for øvrig arbeider for tiden med å forberede nasjonal gjennomføring av forordningen. En prinsipiell forskjell mellom henholdsvis Norge og de andre EØS/EFTA-landene og EU-landene er at forordningen gjelder som nasjonal rett i EU-landene uten ytterligere vedtakelse. Det er likevel behov for nasjonale supplerende regler også i EU-landene.

I Sverige fremmet den svenske regjeringen 15. februar 2018 en proposisjon om ny dataskyddslag som erstatter den gjeldende personuppgiftslagen, se Proposition 2017/18:105. Forslaget inneholder bestemmelser som utfyller forordningens regler. Blant annet foreslås det at forordningens regler skal gjelde også utenfor EU-rettens saklige virkeområde, at tilsynsmyndigheten skal kunne ilegge gebyr mot offentlige myndigheter, og at den nasjonale aldersgrensen for barns samtykke ved informasjonssamfunnstjenester settes til 13 år. Det foreslås at straffebestemmelsen oppheves slik at overtredelser av loven kun vil sanksjoneres av overtredelsesgebyr. Videre inneholder forslaget generelle regler som åpner for behandling av særlige kategorier av personopplysninger, samt generelle regler om unntak fra den registrertes rettigheter.

Det danske justisdepartementet fremmet 25. oktober 2017 forslag til Folketinget om ny dansk databeskyttelseslov som inneholder supplerende nasjonale bestemmelser til forordningen, se Lovforslag L 68 2017–18. Det foreslås der at forordningen skal gjelde også utenfor EU-rettens virkeområde. Videre inneholder forslaget blant annet regler som åpner for behandling av særlige kategorier av personopplysninger, samt generelle regler om unntak fra den registrertes rettigheter. Det foreslås at den nasjonale aldersgrensen for barns samtykke ved informasjonssamfunnstjenester settes til 13 år. Videre inneholder forslaget regler om tilsyn og sanksjoner, herunder bestemmelser om straff.

3 Ny personopplysningslov

3.1 Inkorporasjon av personvernforordningen – en ny regelstruktur

Departementet foreslår at forordningen gjennomføres i norsk rett ved inkorporasjon, se lovforslaget § 1. Etter EØS-avtalen artikkel 7 bokstav a skal Norge gjennomføre EU-forordninger «som sådan» i nasjonal rett. Dette innebærer etter departementets vurdering at forordningen må gjennomføres i norsk rett ved inkorporasjon. Inkorporasjon innebærer at forordningen med de tilpasninger som avtales ved innlemmelse i EØS-avtalen, gjøres gjeldende som norsk lov uten omskrivninger.

En rekke høringsinstanser har påpekt at inkorporasjonsmetoden medfører at bestemmelsene i den nye personopplysningsloven får en utforming som skiller seg fra tradisjonell norsk lovgivningsteknikk, og at dette byr på pedagogiske utfordringer. Departementet er enig i at loven, ved at forordningen inkorporeres, får en lovteknisk oppbygning som er uvanlig, men likevel ikke ukjent i norsk rett. Departementet legger til grunn at inkorporasjon uansett er den eneste gjennomføringsmetoden som vil være egnet til å oppfylle Norges forpliktelser etter EØS-avtalen.

På områdene der forordningen gjelder, vil størsteparten av reglene om behandling av personopplysninger følge av bestemmelsene i forordningen. Dette omfatter mange av de mest sentrale reglene om behandling av personopplysninger, for eksempel om grunnprinsippene for behandlingen, reglene om når det er tillatt å behandle personopplysninger, hvem som er ansvarlig for at reglene overholdes, den registrertes rettigheter osv. Samtidig åpner forordningen for nasjonale regler som spesifiserer, utfyller eller gjør unntak fra forordningen. Bestemmelsene i forordningen må leses i sammenheng med slike nasjonale regler. En rekke sentrale nasjonale lovbestemmelser som forordningen må sees i sammenheng med, er foreslått i §§ 2 til 31 i ny personopplysningslov. For eksempel utvides forordningens virkeområde i forslaget til § 2, mens §§ 16 og 17 gjør unntak fra flere av rettighetene i forordningen.

Nasjonale bestemmelser som spesifiserer, utfyller eller gjør unntak fra forordningen, vil ikke bare følge av personopplysningsloven, men også spesiallovgivningen. Forordningen må derfor også leses i sammenheng med spesiallovgivningen. Dette kan for eksempel være bestemmelser som gir nærmere regler om når det er adgang til å behandle personopplysninger, hva slags opplysninger som kan behandles, eller hvem opplysningene kan deles med. Men det kan også være bestemmelser som gjør unntak fra forordningens regler, eller som fastsetter at strengere regler skal gjelde på et nærmere bestemt område. Spesiallovgivningen kan dessuten også gjøre unntak fra de nasjonale supplerende bestemmelsene i forslaget til ny personopplysningslov. Også de utfyllende reglene i forslaget til ny lov må altså leses i lys av spesiallovgivningen.

I sum vil det ofte være nødvendig å forholde seg både til forordningens tekst, til de generelle supplerende bestemmelsene i personopplysningsloven og til eventuelle særreguleringer i spesiallovgivningen, og å se disse bestemmelsene i sammenheng.

Vedlagt proposisjonen er en norsk oversettelse av forordningen. Det er foretatt enkelte mindre endringer i oversettelsen etter høringen. Oversettelsen er en uoffisiell oversettelse. Den norske oversettelsen blir først offisiell, det vil si at den får samme gyldighet som oversettelsene på EU-språkene, når den er kunngjort i EØS-tillegget til EU-tidende, jf. EØS-avtalen artikkel 129 nr. 1. Kunngjøring av oversettelsen i EØS-tillegget vil skje når forordningen formelt er innlemmet i EØS-avtalen.

Det bemerkes at forordningen må leses i lys av de tilpasningene som avtales ved innlemmelsen av forordningen i EØS-avtalen. Visse tilpasninger følger også direkte av EØS-avtalen protokoll 1 – for eksempel skal henvisninger til EUs medlemsstater leses som henvisninger til EØS-statene. Tilpasningene vil ikke bli innarbeidet i den offisielle norske språkversjonen.

3.2 Oversikt over proposisjonen

Departementet gir i det følgende en kortfattet oversikt over proposisjonen og forslagene om supplerende nasjonale bestemmelser i ny personopplysningslov og endringer i andre lover.

I kapittel 4 behandles lovens og forordningens saklige virkeområde. Det foreslås at forordningens bestemmelser gis generell anvendelse, slik at den får anvendelse også utenfor EØS-avtalens saklige virkeområde. Dette er en videreføring av gjeldende rett. Det foreslås at forordningen gjelder med mindre annet er fastsatt i eller i medhold av lov, slik at unntakene fra forordningens virkeområde i forordningen artikkel 2 nr. 2 bare vil gjelde i den utstrekning dette er fastsatt i lov eller forskrift. Det foreslås unntaksregler for behandling for private formål og for saker som omfattes av rettspleielovene. Dette er videreføringer av gjeldende rett.

Kapittel 5 omhandler lovens og forordningens geografiske virkeområde. Det foreslås at forordningens bestemmelser om geografisk virkeområde inntas i loven.

I kapittel 6 behandles forordningens krav om rettsgrunnlag for behandling av personopplysninger, herunder om behovet for nasjonale lovbestemmelser om dette. Videre redegjøres det for kravene til rettsgrunnlag etter EMK artikkel 8 og Grunnloven § 102. Det redegjøres også for adgangen til å fastsette spesifiserende regler om behandlingen av personopplysninger i nasjonal rett.

I kapittel 7 behandles forordningens regler om særlige kategorier av personopplysninger, som er en videreføring og videreutvikling av reglene om sensitive personopplysninger i den någjeldende personopplysningsloven. Det foreslås en bestemmelse som åpner for behandling av særlige kategorier av personopplysninger i arbeidsforhold, som viderefører gjeldende rett. Videre foreslås det en snever adgang for Datatilsynet til å tillate behandling av særlige kategorier av personopplysninger i enkelttilfeller dersom det er nødvendig av hensyn til viktige allmenne interesser, og en hjemmel for å fastsette forskrifter som åpner for behandling. Det foreslås ikke å innta generelle bestemmelser om behandling i forbindelse med helsetjenester eller for folkehelseformål.

I kapittel 8 behandles reglene om personopplysninger om straffbare forhold mv. Slike opplysninger kan etter forordningen artikkel 10 som utgangspunkt bare behandles under en offentlig myndighets kontroll. Det foreslås en bestemmelse som åpner for at behandling av slike opplysninger utenfor en offentlig myndighets kontroll på samme vilkår som behandling av særlige kategorier av personopplysninger. Bestemmelsen innebærer at de generelle reglene som tillater behandling av særlige kategorier av personopplysninger, som utgangspunkt gis tilsvarende anvendelse i disse tilfellene.

Kapittel 9 omhandler behandling av fødselsnummer og andre entydige identifikasjonsmidler, herunder biometriske opplysninger. Departementet foreslår å videreføre de gjeldende tilleggsvilkårene for behandling av fødselsnummer og andre entydige identifikasjonsmidler, som innebærer at det må foreligge en saklig grunn for sikker identifisering og at bruken må være nødvendig for å oppnå sikker identifisering. Det foreslås ikke å videreføre noen særbestemmelse om Datatilsynets adgang til å påby bruk av entydige identifikasjonsmidler. Heller ikke særreglene om forsendelser som inneholder fødselsnummer, foreslås videreført, fordi disse etter departementets oppfatning er overflødige ved siden av forordningens regler.

Kapittel 10 omhandler den registrertes rettigheter. Departementet foreslår å videreføre de gjeldende unntakene fra den registrertes informasjons- og innsynsrett, men med visse endringer. Unntaket for interne dokumenter foreslås videreført med et tilleggsvilkår om at unntak må være nødvendig for å sikre forsvarlige interne avgjørelsesprosesser. Det foreslås ingen generelle unntak fra de øvrige rettighetene.

Kapittel 11 omhandler behandling av personopplysninger for arkiv-, forsknings- og statistikkformål. Det foreslås en bestemmelse som gir supplerende rettsgrunnlag for behandling av alminnelige opplysninger for disse formålene uten samtykke. Videre foreslås det en bestemmelse som åpner for behandling av særlige kategorier av personopplysninger uten samtykke, med et vilkår om at den behandlingsansvarlige før behandlingen må rådføre seg med et personvernombud eller en annen rådgiver med tilsvarende kvalifikasjoner og uavhengighet. Det foreslås at plikten til slik rådføring også skal gjelde for samtykkebasert behandling for forskningsformål. Endelig foreslås det visse særlige unntak fra innsyns- og informasjonsretten samt retten til retting og begrensning av behandlingen ved behandling for arkiv-, forsknings- og statistikkformål.

I kapittel 12 behandles melde- og konsesjonsplikten. Departementet foreslår at den generelle konsesjonsplikten ikke videreføres. Det foreslås samtidig en forskriftshjemmel som kan benyttes til å gjeninnføre konsesjonsplikt på nærmere bestemte områder dersom det viser seg å bli nødvendig. Departementet foreslår videre at gjeldende konsesjoner som utgangspunkt ikke videreføres ved ikrafttredelse av ny personopplysningslov. Det åpnes likevel for at det kan bli behov for å gi overgangsregler om å videreføre konsesjonene på noen nærmere bestemte livsområder der det er et særskilt behov for dette. Som følge av forslaget om å snevre inn adgangen til å behandle særlige kategorier av personopplysninger etter tillatelse fra Datatilsynet foreslås det at tillatelser som er gitt på grunnlag av § 9 tredje ledd i gjeldende personopplysningslov, som hovedregel ikke videreføres ved ikrafttredelse av ny lov. Departementet foreslår samtidig at slike tillatelser bør videreføres i en begrenset periode i tilfeller der det ikke foreligger lov- eller forskriftsbestemmelser om behandlingen ved ikrafttredelsen av ny lov.

Kapittel 13 omhandler personopplysninger om barn. Fordi forordningen etter departementets vurdering ikke åpner for ytterligere generelle regler om barns personopplysninger, foreslås det ingen slike regler. Det foreslås at aldersgrensen for barns samtykke til informasjonssamfunnstjenester, jf. forordningen artikkel 8, skal være 13 år.

Kapittel 14 omhandler forholdet mellom forordningens regler og ytrings- og informasjonsfriheten. Departementet foreslår at den gjeldende bestemmelsen om dette videreføres inntil videre, slik at det gjøres unntak for størsteparten av forordningens regler ved behandling utelukkende for journalistiske, kunstneriske og litterære formål. I tråd med forordningen artikkel 85 foreslår departementet at det gjøres tilsvarende unntak for akademiske ytringer.

I kapittel 15 behandles forholdet mellom forordningen og reglene om offentlighet og innsyn. Fordi forordningen artikkel 86 åpner for å gi innsyn etter blant annet offentleglova, foreslås det ingen særlige bestemmelser om dette. Det foreslås heller ingen bestemmelser om annen lovfestet innsynsrett, fordi forordningen etter departementets vurdering ikke er til hinder for slikt innsyn.

I kapittel 16 behandles reglene om behandlingsansvarlig og databehandler. Departementet foreslår en hjemmel for å gi forskrifter om plikten til forhåndsdrøftinger med tilsynsmyndigheten.

I kapittel 17 behandles reglene om personvernombud. Det foreslås ingen utvidelse av plikten til å utpeke personvernombud utover det som allerede følger av forordningen, men departementet foreslår en hjemmel for å fastsette forskrifter med nærmere bestemmelser om plikt til å utpeke personvernombud. Videre foreslås det en bestemmelse om taushetsplikt for personvernombud.

Kapittel 18 omhandler kameraovervåking. Forordningen åpner etter departementets syn ikke for generelle nasjonale særreguleringer av behandling av personopplysninger ved kameraovervåking, og det foreslås derfor ikke slike bestemmelser. Departementet drøfter videre om det er behov for regler som åpner for behandling av særlige kategorier av personopplysninger ved kameraovervåking. Det er etter departementets vurdering ikke nødvendig med slike regler, fordi kameraovervåking bare kan regnes som behandling av særlige kategorier av personopplysninger når formålet med kameraovervåkingen vil være å fange opp slike opplysninger. Etter departementets syn er det heller ikke behov for regler om behandling av personopplysninger om straffbare forhold mv. ved kameraovervåking. Det foreslås at bruk av uekte kameraovervåkingsutstyr bør være underlagt tilsvarende begrensninger som ekte kameraovervåkingsutstyr, på samme måte som etter gjeldende rett, og at dette også skal gjelde skilting, oppslag og lignende som gir inntrykk av at kameraovervåking finner sted.

Kapittel 19 omhandler overføring av personopplysninger til tredjestater og internasjonale organisasjoner. Det foreslås en hjemmel for å fastsette forskrift om anvendelsen av Kommisjonens beslutninger om tilstrekkelig beskyttelsesnivå og standard personvernbestemmelser, samt bestemmelser om forbud mot overføring av spesifikke typer opplysninger til stater eller internasjonale organisasjoner når det ikke foreligger beslutning om tilstrekkelig beskyttelsesnivå.

I kapittel 20 behandles overtredelsesgebyr. Departementet foreslår at offentlige myndigheter skal kunne ilegges overtredelsesgebyr. Det foreslås også at Datatilsynet skal kunne ilegge overtredelsesgebyr for brudd på forordningen artikkel 10 og 24. Videre foreslås det visse regler om oppfyllelsesfrist og domstolsprøving i saker om overtredelsesgebyr, og en regel om at adgangen til å ilegge overtredelsesgebyr foreldes fem år etter at overtredelser er opphørt.

Kapittel 21 omhandler spørsmålet om Datatilsynet bør ha adgang til å beslutte administrativ inndragning. Departementet foreslår ikke at Datatilsynet skal gis slik adgang.

Kapittel 22 omhandler erstatning. Det foreslås at det inntas en bestemmelse i personopplysningsloven som gjør det klart at den som er erstatningsansvarlig etter reglene i personvernforordningen artikkel 82, også kan pålegges å betale oppreisning. Bestemmelsen viderefører gjeldende rett.

I kapittel 23 behandles spørsmålet om hvorvidt overtredelser av forordningen skal kunne medføre straff. Departementet foreslår at overtredelser av den nye personopplysningsloven ikke skal være straffesanksjonert, blant annet som følge av at forordningen åpner for vesentlig høyere overtredelsesgebyrer, og at dette vil ha den nødvendige preventive effekt.

I kapittel 24 behandles reglene om tvangsmulkt. Departementet foreslår å videreføre Datatilsynets adgang til å ilegge tvangsmulkt.

Kapittel 25 omhandler tilsynsmyndighetens organisering. Departementet foreslår å videreføre de gjeldende reglene om Datatilsynets organisering og reglene om utnevnelse av Datatilsynets direktør.

I kapittel 26 behandles tilsynsmyndighetens oppgaver. Fordi forordningen gir en detaljert angivelse av tilsynsmyndighetens oppgaver, foreslås det ingen bestemmelser om dette. Datatilsynet vil ha tilsynskompetanse i tråd med forordningens utvidede virkeområde. Departementet foreslår en videreføring av gjeldende ordning som går ut på at Datatilsynet leverer årsrapport til Kongen, og at Kongen hvert år legger rapporten frem for Stortinget i en stortingsmelding.

Kapittel 27 omhandler klage over Datatilsynets vedtak. Departementet foreslår å videreføre ordningen med Personvernnemnda som et administrativt klageorgan for Datatilsynets avgjørelser. Det foreslås ikke endringer i Personvernnemndas organisering, og det foreslås at nemnda fortsatt skal ha syv medlemmer. For å sikre en helhetlig vurdering av nemndas sammensetning foreslår departementet at alle Personvernnemndas medlemmer med vararepresentanter, inkludert leder og nestleder, utnevnes av Kongen. Dette er en endring av den gjeldende ordningen der leder og nestleder utnevnes av Stortinget.

I kapittel 28 behandles Datatilsynets og Personvernnemndas taushetsplikt og tilgang til opplysninger. Det foreslås regler om taushetsplikt for ansatte i Datatilsynet og medlemmer av Personvernnemnda og om tilgang til opplysninger uten hinder av taushetsplikt.

I kapittel 29 behandles domstolsprøving av Datatilsynets og Personvernnemndas vedtak. Det foreslås en bestemmelse om at Datatilsynet opptrer som part på vegne av staten i søksmål som er knyttet til tilsynsvirksomheten. Videre foreslås det å videreføre gjeldende rett om at søksmål om gyldigheten av Personvernnemndas vedtak rettes mot staten ved Personvernnemnda.

I kapittel 30 gis det en beskrivelse av forordningens regler om det nye europeiske tilsynssystemet – samarbeids- og konsistensmekanismen. Det redegjøres for Personvernrådets kompetanse, herunder kompetansen til å treffe vedtak som er bindende for de nasjonale tilsynsmyndighetene. For å sikre at Datatilsynet kan samarbeide med andre staters tilsynsmyndigheter, foreslås det å videreføre bestemmelsen i någjeldende personopplysningslov om at Datatilsynet og Personvernnemnda kan gi opplysninger til utenlandske tilsynsmyndigheter uten hinder av taushetsplikten når dette er nødvendig for å kunne treffe vedtak som ledd i tilsynsvirksomheten. Derimot foreslås det ikke å benytte adgangen etter forordningen artikkel 62 nr. 3 til å gi nasjonale regler om andre staters tilsynsmyndigheters rett til å utøve myndighet på norsk territorium.

Kapittel 31 omhandler kameraovervåking i arbeidsforhold og arbeidsgivers innsyn i ansattes e-postkasse mv. Det foreslås endringer i arbeidsmiljøloven for å gi hjemmel for forskrifter om kameraovervåking i arbeidsforhold og arbeidsgivers innsyn i ansattes e-postkasse mv.

I kapittel 32 behandles nødvendige tilpasninger i helselovgivningen. Det foreslås at den gjeldende lovgivningen videreføres så langt det er adgang til dette etter forordningen. Dette innebærer at gjeldende rett videreføres i stor grad. Samtidig foreslås det en rekke tekniske tilpasninger som en følge av forordningens regler og systemet i ny personopplysningslov.

I kapittel 33 foreslås det nye bestemmelser i veglova om behandling av personopplysninger.

I kapittel 34 foreslås det å innta en bestemmelse i politiloven som viderefører adgangen politiet har etter den någjeldende personopplysningsloven til å benytte kameraovervåking for kriminalitetsbekjempelse og til å opprettholde ro og orden mv.

Kapittel 35 omhandler overgangsregler. Departementet legger til grunn at saker om ileggelse av overtredelsesgebyr for behandling av personopplysninger vurderes etter de materielle reglene som gjaldt på behandlingstidspunktet, for å hindre at de nye reglene gis tilbakevirkende kraft. Det foreslås samtidig et unntak for tilfeller der de nye reglene vil føre til et gunstigere resultat for den ansvarlige.

I kapittel 36 redegjøres det nærmere for innlemmelsen av forordningen i EØS-avtalen. For å forhindre at Norge forsinker innlemmelsen, bes det om at Stortinget gir forhåndssamtykke til innlemmelse. Det gis en beskrivelse og vurdering av hovedpunktene i den foreslåtte tilpasningsteksten, herunder de særskilte reglene for anvendelse av Kommisjonens beslutninger knyttet til overføring av personopplysninger til tredjestater. Det foretas en vurdering av om forordningen med tilpasningstekst medfører overføring av myndighet. Det konkluderes med at overføringen av myndighet må anses som lite inngripende, slik at Stortinget kan samtykke til innlemmelse av forordningen i EØS-avtalen etter Grunnloven § 26 annet ledd.

Kapittel 37 omhandler økonomiske og administrative konsekvenser av forslagene i proposisjonen, både for private aktører, offentlige aktører og tilsynsmyndigheten. Det er usikkert hvor store kostnadene for de ulike virksomhetene i offentlig sektor vil bli. Eventuelle implementeringskostnader vil dekkes innenfor berørte departementers gjeldende budsjettrammer.

Merknader til de enkelte bestemmelsene i lovforslaget er inntatt i kapittel 38.

4 Lovens saklige virkeområde

4.1 Gjeldende rett

Personopplysningsloven § 3 første ledd bestemmer at loven gjelder for behandling av personopplysninger som helt eller delvis skjer med elektroniske hjelpemidler (bokstav a), annen behandling av personopplysninger når disse inngår eller skal inngå i et personregister (bokstav b), og alle former for kameraovervåking, slik dette er definert i loven § 36 første ledd (bokstav c).

I § 3 annet ledd er det bestemt at loven ikke gjelder behandling av personopplysninger som den enkelte foretar for rent personlige eller andre private formål.

I § 3 tredje ledd er det bestemt at Kongen kan gi forskrift om at loven eller deler av den ikke skal gjelde for bestemte institusjoner og saksområder. I personopplysningsforskriften § 1-1 er det bestemt at når Riksrevisjonen behandler personopplysninger som ledd i sin kontrollvirksomhet, gjelder ikke personopplysningsloven §§ 18 (innsyn), 27 (retting), 31 (meldeplikt) og 33 (konsesjonsplikt). Det samme er bestemt i lov om riksrevisjonen § 17, med den følge at forskriftsbestemmelsen i prinsippet er overflødig. For Riksrevisjonens øvrige behandling gjelder personopplysningsloven i sin helhet. I forskriften § 1-2 fremgår det at behandling av personopplysninger som er nødvendig av hensynet til rikets sikkerhet eller de alliertes sikkerhet, forholdet til fremmede makter og andre vitale nasjonale sikkerhetsinteresser, er unntatt fra personopplysningsloven § 44 første til tredje ledd (tilsynsmyndighetens tilgang til opplysninger), samt fra loven §§ 31 (meldeplikt) og 33 (konsesjonsplikt). Samme sted er det bestemt at uenighet mellom behandlingsansvarlig og Datatilsynet om utstrekningen av unntaket avgjøres av Personvernnemnda. Det følger av forskriften § 1-3 at personopplysningsloven ikke gjelder for saker som behandles eller avgjøres i medhold av rettspleielovene (domstolloven, straffeprosessloven, tvisteloven og tvangsfullbyrdelsesloven mv.).

I § 3 fjerde ledd er det bestemt at Kongen kan gi forskrift om særskilte former for behandling av personopplysninger og om behandling av personopplysninger i særskilte virksomheter eller bransjer. For behandling av personopplysninger som ledd i kredittopplysningsvirksomhet kan det i forskrift gis bestemmelser blant annet om hvilke typer opplysninger som kan behandles, hvilke kilder personopplysninger kan hentes fra, hvem kredittopplysninger kan utleveres til og hvordan utleveringen kan skje, sletting av kredittanmerkninger og taushetsplikt for de ansatte i kredittopplysningsbyrået. Det kan også gis regler om at loven eller enkelte bestemmelser gitt i eller i medhold av den skal gjelde for behandling av kredittopplysninger om andre enn enkeltpersoner. Forskriftshjemmelen er benyttet til å gi bestemmelser om kredittopplysningsvirksomhet, se forskriften kapittel 4.

Det er også en omfattende særlovgivning som regulerer behandling av personopplysninger.

4.2 Forordningen

Artikkel 2 nr. 1 bestemmer at forordningen får anvendelse på behandling av personopplysninger som helt eller delvis utføres på en automatisert måte, og på ikke-automatisert behandling av personopplysninger som inngår i eller skal inngå i et register. Dette tilsvarer personopplysningsloven § 3 første ledd bokstav a og b.

Artikkel 2 nr. 2 fastsetter at forordningen ikke får anvendelse på behandling av personopplysninger som utføres i forbindelse med utøvelse av en aktivitet som ikke omfattes av unionsretten (bokstav a), av medlemsstatene når de utøver aktiviteter som omfattes av avdeling V kapittel 2 i TEU (bokstav b), av en fysisk person som ledd i rent personlige eller familiære aktiviteter (bokstav c) eller av kompetente myndigheter med henblikk på å forebygge, etterforske, avsløre eller forfølge straffbare forhold eller iverksette strafferettslige sanksjoner, herunder vern mot og forebygging av trusler mot den offentlige sikkerhet (bokstav d).

Unntaket i bokstav a innebærer at forordningens regler ikke får anvendelse på behandling som faller utenfor EU-retten. Unntaket i bokstav b gjelder EUs felles sikkerhets- og forsvarspolitikk. Unntaket i bokstav c tilsvarer unntaket i personopplysningsloven § 3 annet ledd. Unntaket i bokstav d presiserer at forordningens regler ikke gjelder på det området som dekkes av direktiv (EU) 2016/680.

Artikkel 2 nr. 3 fastsetter at forordning (EF) nr. 45/2001 kommer til anvendelse på behandling av personopplysninger som Unionens institusjoner, organer, kontorer og byrå foretar.

Artikkel 2 nr. 4 bestemmer at forordningen ikke berører anvendelsen av direktiv 2000/31/EF (ehandelsdirektivet), særlig reglene om formidleransvar for tjenesteytere som er fastsatt i artikkel 12 til 15 i dette direktivet.

4.3 Forslaget i høringsnotatet

4.3.1 Anvendelse av loven utenfor EØS-retten

Departementet foreslo i høringsnotatet å videreføre gjeldende rettstilstand om at personopplysningsloven gis anvendelse både innenfor og utenfor EØS-avtalens saklige virkeområde. Departementet la vekt på at det fremdeles, slik som etter gjeldende rett, bør være én personopplysningslov i norsk rett med generell anvendelse.

4.3.2 Myndighetenes behandling av personopplysninger med henblikk på å forebygge, etterforske, avsløre eller straffeforfølge straffbare forhold mv.

Departementet foreslo i høringsnotatet å avgrense personopplysningslovens virkeområde mot saker som behandles etter politiregisterloven eller reglene i lov om behandling av personopplysninger i kriminalomsorgen. Bakgrunnen for forslaget er at forordningen artikkel 2 nr. 2 bokstav d bestemmer at forordningen ikke får anvendelse for vedkommende myndigheters behandling av personopplysninger med henblikk på å forebygge, etterforske, avsløre eller forfølge straffbare forhold eller iverksette strafferettslige sanksjoner, herunder vern mot og forebygging av trusler mot den offentlige sikkerhet. Formuleringen tilsvarer angivelsen av virkeområdet for direktiv (EU) 2016/680, jf. dette direktivets artikkel 2 nr. 1.

4.3.3 Døde personer

Departementet foreslo i høringsnotatet å videreføre gjeldende norsk rett slik at personopplysningsloven ikke gis anvendelse for personopplysninger om avdøde personer.

4.3.4 Juridiske personer

Departementet viste i høringsnotatet til at opplysninger om juridiske personer faller utenfor forordningens anvendelsesområde, og at dette er i samsvar med gjeldende norsk rett. Departementet gikk i høringsnotatet ikke inn for noen endring på dette punkt.

4.3.5 Riksrevisjonens behandling av personopplysninger

Departementet foreslo i høringsnotatet ikke å videreføre personopplysningsforskriften § 1-1, som gjør unntak fra flere av lovens bestemmelser ved Riksrevisjonens behandling av personopplysninger som ledd i dens kontrollvirksomhet. Departementet viste til at det samme allerede følger av lov om Riksrevisjonen § 17 annet ledd, og at bestemmelsen i personopplysningsforskriften § 1-1 dermed er overflødig.

4.3.6 Behandling av personopplysninger som er nødvendig av hensyn til rikets sikkerhet

Departementet gikk i høringsnotatet inn for å videreføre gjeldende rett hvor det gjøres unntak fra tilsynsmyndighetens tilgang til opplysninger for så vidt gjelder behandling av personopplysninger som er nødvendig av hensynet til rikets eller alliertes sikkerhet, forholdet til fremmede makter og andre vitale nasjonale sikkerhetsinteresser. Departementet forslo å plassere bestemmelsen i kapittelet om tilsynsmyndigheten, ettersom bestemmelsen kun gjør unntak fra tilsynsmyndighetens tilgang til opplysninger, og ikke innebærer et unntak fra lovens virkeområde. Departementet la i høringsnotatet til grunn at det ikke er behov for å videreføre reglene i personopplysningsforskriften § 1-2 om unntak fra personopplysningsloven §§ 31 (meldeplikt) og 33 (konsesjonsplikt), da det gjeldende systemet med melde- og konsesjonsplikt ikke videreføres i den nye personopplysningsloven og forordningen.

Departementet foreslo i høringsnotatet å unnta Etterretningstjenestens virksomhet fra personopplysningslovens virkeområde. Departementet viste til at Forsvarsdepartementet er i ferd med å revidere etterretningstjenesteloven, og at departementet på denne bakgrunn foreslår å la den gjeldende personopplysningsloven gjelde for Etterretningstjenesten inntil den reviderte etterretningstjenesteloven er vedtatt og satt i kraft. Ved en inkurie ble dette ikke inntatt i selve lovforslaget.

4.3.7 Rettspleielovene

Departementet foreslo i høringsnotatet å videreføre gjeldende rett etter personopplysningsforskriften § 1-3 om at personopplysningsloven ikke skal gjelde for saker som behandles eller avgjøres i medhold av rettspleielovene (domstolloven, straffeprosessloven, tvisteloven og tvangsfullbyrdelsesloven mv.).

4.3.8 Forholdet mellom særlovgivning og personopplysningsloven

Departementet foreslo i høringsnotatet å videreføre bestemmelsen i personopplysningsloven § 5 om at personopplysningsloven gjelder dersom ikke annet følger av en særskilt lov som regulerer behandlingsmåten. Departementet foreslo for ordens skyld å presisere i bestemmelsen at spesiallovgivningen likevel må vike hvis den er i strid med forordningen, med unntak av tilfeller som faller utenfor EØS-avtalens virkeområde.

4.4 Høringsinstansenes syn

4.4.1 Anvendelse av loven utenfor EØS-retten

Høringsinstansene har generelt støttet forslaget om å gi den nye personopplysningsloven og forordningen anvendelse også utenfor EØS-avtalens virkeområde. Politidirektoratet, Akademikerne, Oslo kommune, Den norske legeforening, Datatilsynet, Statens lånekasse for utdanning og Norges Røde Kors er positive til forslaget. Næringslivets Hovedorganisasjon viser på sin side til at de juridiske og praktiske sidene ved at forordningen også skal gjelde utenfor EØS-avtalens virkeområde ikke er beskrevet, og at det uten en slik beskrivelse er vanskelig å vurdere forslaget. Ingen av høringsinstansene har vært imot forslaget.

Datatilsynet uttaler at det kan være viktig å vite hvor grensen går mellom tilfeller der man er EØS-rettslig forpliktet til å følge forordningen og der man ikke har en slik forpliktelse. Datatilsynet viser til at grensedragningen vil ha betydning på et område hvor forordningen krever eller gir adgang til nærmere nasjonal regulering. I disse tilfellene må de nasjonale bestemmelsene være i henhold til forordningens regler og rammeverk, mens i tilfeller hvor man er utenfor rekkevidden av EØS-avtalen vil man stå friere i den forstand at man ikke står overfor en EØS-rettslig forpliktelse. På denne bakgrunn mener Datatilsynet det bør utarbeides en veiledning om grensedragningen, enten i utredningsinstruksen eller på annet vis.

4.4.2 Myndighetenes behandling av personopplysninger med henblikk på å forebygge, etterforske, avsløre eller straffeforfølge straffbare forhold mv.

Politidirektoratet viser til at politiregisterloven synes å ha et videre virkeområde enn unntaket i forordningen artikkel 2 nr. 2 bokstav d. Politidirektoratet ber på denne bakgrunn om at departementet avklarer grensedragningen mellom henholdsvis personopplysningsloven og forordningen, og politiregisterloven. Politidirektoratet viser til at politiets behandling av personopplysninger knyttet til søk etter en person som har gått seg bort eller antatt begått selvmord vil anses som behandling for politimessige formål og dermed omfattes av politiregisterloven, men at et slikt tilfelle derimot vanskelig vil kunne omfattes av avgrensningen i ny personopplysningslov slik den er formulert i artikkel 2 nr. 2 bokstav d. Politidirektoratet viser til at det samme antakelig vil gjelde for politiets bistand til andre offentlige aktører i å få effektuert sine vedtak, eksempelvis transport av psykisk syke og bistand til tilbakeføring av personer som har rømt fra barnevernsinstitusjoner. Disse oppgavene har i utgangspunktet ikke kriminalitetsbekjempende formål eller til formål å forebygge trusler mot offentlig sikkerhet, men handler om at politiet bistår andre offentlige aktører i å utføre sine oppgaver.

Politidirektoratet viser også til at forslaget til ordlyd i lovutkastet § 2 annet ledd avgrenser lovens virkeområde til «saker» behandlet etter nærmere angitte lover. Politidirektoratet anbefaler å bruke begrepet «opplysninger» i stedet for «saker» da det er opplysningen, og ikke hvorvidt opplysningene behandles som del av en sak eller ikke, som er avgjørende for lovens virkeområde. Politidirektoratet viser til at flere av dets underliggende organer også påpeker dette.

Tolldirektoratet uttaler at det må tas stilling til om forordningen artikkel 2 nr. 2 bokstav d medfører at hele eller deler av etatens virksomhet er unntatt fra personopplysningslovens virkeområde. Tolldirektoratet viser til at det ikke fremgår av ordlyden i forordningen at unntaket i artikkel 2 nr. 2 bokstav d kun skal få anvendelse for politi- og påtalemyndighetens arbeid med å etterforske og avdekke lovovertredelser, og at kontrollvirksomheten tollmyndighetene bedriver rent faktisk og etter tolloven er å avverge og avdekke straffbare forhold som faller utenfor forordningens virkeområde og den tiltenkte avgrensningen i ny personopplysningslov.

Statens sivilrettsforvaltning legger i sin høringsuttalelse til grunn at Den rettsmedisinske kommisjons behandling av personopplysninger vil omfattes av unntaket i forordningen artikkel 2 nr. 2 bokstav d, og dermed falle innenfor direktivets – og utenfor forordningens, saklige virkeområde.

4.4.3 Døde personer

Ingen av høringsinstansene har hatt innsigelser mot å videreføre gjeldende rett om at personopplysningsloven ikke gjelder for opplysninger om døde personer. Statens lånekasse for utdanning mener likevel at gjeldende rett på dette punkt bør tydeliggjøres i lov eller forskrift og uttaler:

«For offentlig forvaltning (stat og kommune) vil det kunne oppstå tilfeller der spørsmålet om saklig virkeområde for døde personer vil komme på spissen i forhold til arvingers rett til innsyn i taushetsbelagt personinformasjon om avdøde. Opplysningene om avdøde kan være av betydning for arvingenes rettstilstand noe som medfører at avdødes personopplysninger knyttes til en enkeltperson. Et alternativ er å regulere dette forholdet i et eget ledd i ny lov § 2. En slik regulering vil avklare og tydeliggjøre rettstilstanden noe som vil være konfliktdempende og forenklende.»

Den norske historiske forening støtter realiteten i departementets forslag, men uttaler at unntaket for avdøde personer er av stor betydning for historieforskningen, og at en manglende presisering av dette vil medføre uoversiktlige administrative konsekvenser.

4.4.4 Juridiske personer

Ingen av høringsinstansene har hatt innsigelser mot departementets forslag om å videreføre gjeldende rett om at personopplysningsloven ikke gjelder opplysninger om juridiske personer.

4.4.5 Riksrevisjonens behandling av personopplysninger

Datatilsynet uttaler at det bør foretas en fornyet vurdering av om det er adgang etter forordningen artikkel 23 til å opprettholde unntakene fra innsyn og retting etter forordningen artikkel 15 og 16 i riksrevisjonsloven § 17 annet ledd. Datatilsynet viser til at ved å gjøre kategorisk unntak fra innsynsretten, har man i realiteten undergravet gjennomsiktighetsprinsippet i forholdet mellom den registrerte og Riksrevisjonen, og at man i praksis samtidig fratar den registrerte mulighet til å utøve andre rettigheter, for eksempel rett til å fremme innsigelser etter artikkel 21 eller gjøre krav på sletting av personopplysninger. På denne bakgrunn mener Datatilsynet det bør spilles inn overfor Stortinget på egnet måte at riksrevisjonsloven § 17 bør revideres, da det er Stortinget selv som er ansvarlig for denne loven.

4.4.6 Behandling av personopplysninger som er nødvendig av hensyn til rikets sikkerhet

Nasjonal sikkerhetsmyndighet mener at behandling av personopplysninger etter sikkerhetsloven bør unntas fra personopplysningslovens virkeområde, og uttaler at all behandling av personopplysninger av hensyn til nasjonal sikkerhet er egnet for regulering utenfor personopplysningsloven og bør gis en tilpasset regulering i egne bestemmelser gitt i og i medhold av sikkerhetsloven. For det tilfelle at behandlingen ikke unntas fra personopplysningslovens virkeområde, mener Nasjonal sikkerhetsmyndighet at det må sikres at alle nødvendige behandlinger har tilstrekkelig rettsgrunnlag, og at det i loven må inntas tilstrekkelige bestemmelser som tilrettelegger for de unntak som er nødvendig for utøvelse av effektiv forebyggende sikkerhetstjeneste.

Videre mener Nasjonal sikkerhetsmyndighet at tilsynsmyndighetens innsyns-, undersøkelses- og påleggsrett etter forordningen må avgrenses mot de behandlinger som skjer innenfor rammen av den forebyggende sikkerhetstjeneste. Samlet mener Nasjonal sikkerhetsmyndighet at det som et minimum må gjøres unntak for behandling av personopplysninger innenfor rammen av sikkerhetsloven fra forordningen artikkel 12–22, 33, 34, 36, 41, 57 og 58. Videre mener Nasjonal sikkerhetsmyndighet at det på tilsvarende måte også vil måtte gjøres avgrensninger i personvernombudets plikter knyttet til personopplysningsbehandling innenfor sikkerhetslovens rammer.

Politiets sikkerhetstjeneste viser til at de samarbeider med en rekke behandlingsansvarlige som er underlagt Datatilsynets tilsynsmyndighet, eksempelvis politiet, teleoperatører, NAV, UDI og andre offentlige aktører. Som ledd i dette samarbeidet vil det også utveksles informasjon til PST, eller PST vil ha direkte tilgang til opplysningene hos den enkelte behandlingsansvarlige. I slike tilfeller vil det nødvendigvis finnes spor hos behandlingsansvarlige som viser PSTs interesse og fokus, for eksempel i logger eller dokumentasjon på oversendelse, og dette vil utgjøre opplysninger som behandles av hensyn til rikets sikkerhet. PST viser til at opplysningene av den grunn også kan være gradert etter sikkerhetslovens regime, slik at tilgang krever at kontrollmyndigheten oppfyller kravene for håndtering av sikkerhetsgraderte opplysninger. PST uttaler at de legger til grunn at unntaket i utkastets § 19 tredje ledd innskrenker Datatilsynets myndighet til å kontrollere behandling av disse opplysningene.

Datatilsynet uttaler at forslaget til ny personopplysningslov § 19 tredje ledd er uheldig fordi det skaper uklarhet, og at gjeldende regulering i personopplysningsforskriften § 1-2 har skapt tilsvarende uklarhet. Datatilsynet stiller for det første spørsmål om unntaket skal forstås slik at det gjelder uavhengig av hvem som er behandlingsansvarlig og viser i den forbindelse til at det kan være en rekke behandlingsansvarlige involvert. Datatilsynet stiller spørsmål om Datatilsynet for eksempel skal kunne undersøke de som gir informasjon til PST, eller om også denne behandlingen er omfattet av unntaket. Hvis også denne behandlingen er omfattet av unntaket, mener Datatilsynet det er en mulighet for at behandlingen verken kan kontrolleres av EOS-utvalget eller Datatilsynet.

Datatilsynet mener utkastet til § 19 tredje ledd er problematisk også av andre grunner og viser til at etter ordlyden begrenses bare Datatilsynets undersøkelseskompetanse etter artikkel 58 nr. 1, mens kompetansen etter artikkel 58 nr. 2 til å treffe såkalte korrigerende tiltak er i behold. Datatilsynet mener det ikke gir god mening at tilsynet har vidtgående beføyelser til å treffe tiltak mot lovstridig behandling, samtidig som det ikke har noen myndighet til undersøke saken for å bringe faktum på det rene. Datatilsynet viser også til flere andre eksempler som illustrerer en manglende sammenheng i unntakene for nasjonal sikkerhet, og uttaler at det er viktig at departementet vurderer problemstillingene knyttet til behandling av personopplysninger som er begrunnet i hensynet til rikets sikkerhet nærmere.

Utlendingsdirektoratet uttaler at utlendingsmyndighetene behandler sikkerhetssaker i henhold til utlendingsloven kapittel 14 om særskilte regler for saker som berører grunnleggende nasjonale interesser eller utenrikspolitiske hensyn. Utlendingsdirektoratet ber derfor departementet vurdere om saker som behandles etter utlendingsloven kapittel 14 også bør unntas fra forordningens virkeområde og reguleres særskilt i utlendingsloven.

Forsvarsdepartementet uttaler at særlige hensyn gjør seg gjeldende for virksomheten til Etterretningstjenesten, og at den derfor bør unntas fra forordningens virkeområde. Forsvarsdepartementet viser til at det er i ferd med å revidere etterretningstjenesteloven og vil i den forbindelse foreslå særlige regler om behandling av personopplysninger.

4.4.7 Rettspleielovene

Statens sivilrettsforvaltning uttaler at de legger til grunn at behandling av krav om erstatning etter strafforfølgning som behandles i medhold av straffeprosessloven kapittel 31, vil omfattes av unntaket i lovutkastet § 2 annet ledd og dermed falle utenfor personopplysningslovens virkeområde. Statens sivilrettsforvaltning viser i denne forbindelse også til at slik behandling heller ikke vil omfattes av virkeområdet for direktiv (EU) 2016/680, slik at behandlingen verken vil reguleres av direktivet eller loven og forordningen. Videre viser Statens sivilrettsforvaltning til at behandlingen av personopplysninger i Kontrollutvalget for kommunikasjonskontroll, som følge av reguleringen i straffeprosessloven kapittel 16a, vil falle utenfor personopplysningslovens virkeområde, jf. lovutkastet § 2 annet ledd. Behandlingen vil heller ikke etter Statens sivilrettsforvaltnings syn omfattes av virkeområdet for direktiv (EU) 2016/680, slik at behandlingen verken vil reguleres av direktivet eller loven og forordningen.

Juristforbundet uttaler at dagens rettstilstand etter personopplysningsforskriften § 1-3 er uklar og ber på denne bakgrunn om at departementet redegjør nærmere for dagens rettstilstand på dette området. Juristforbundet uttaler at det særlig er behov for en avklaring av unntakets rekkevidde for så vidt gjelder saker som behandles etter tvisteloven.

Oslo byfogdembete uttaler at de samme hensyn som taler for at behandlingen av saker etter rettspleielovene er unntatt fra personopplysningslovens virkeområde, tilsier at også saker som behandles etter konkursloven, skifteloven og gjeldsordningsloven unntas. Oslo byfogdembete uttaler at en særlig utfordring er knyttet til dødsfallsbehandling, som etter sitt innhold er av mer forvaltningsrettslig enn dømmende karakter – og at det eventuelt bør klargjøres hvordan man skal forholde seg til dette.

Datatilsynet viser til at det gjeldende unntaket i personopplysningsforskriften § 1-3 i praksis har medført uklarhet. Datatilsynet viser for det første til at ordlyden ikke gir anvisning på hvilke aktører som omfattes av unntaket, noe som er problematisk ettersom det i tilknytning til saker som behandles eller avgjøres av rettspleielovene, kan være en rekke forskjellige behandlingsansvarlige, slik som sakens parter, prosessfullmektiger, rettsoppnevnte sakkyndige, politi og påtalemyndighet mv. For det andre uttaler Datatilsynet at det er tvilsomt om behandling av saker i medhold av rettspleielovene ligger utenfor EØS-avtalens saklige virkeområde og at Norge derfor ikke er bundet av forordningen på dette punkt, slik departementet har lagt til grunn i høringsnotatet. Datatilsynet viser til at konsekvensen av den foreslåtte bestemmelsen er at Norge på dette punktet ikke blir en del av det harmoniserte vernet av personopplysninger som er forordningens intensjon. Oppsummeringsvis uttaler Datatilsynet at departementet bør foreta en grundigere vurdering enn det som er gjort i høringsnotatet.

4.4.8 Forholdet mellom særlovgivning og personopplysningsloven

Departementenes sikkerhets- og serviceorganisasjon uttaler at forholdet til eksisterende eller forslag til ny sikkerhetslov ikke er vurdert spesielt og viser til at formuleringen i lovutkastet § 5 annet punktum kan være egnet til usikkerhet om hensynet til rikets sikkerhet skal gå foran dersom det er motstrid mellom sikkerhets- og personopplysningsloven. Departementenes sikkerhets- og serviceorganisasjon uttaler at de antar at sikkerhetsloven alltid skal rangeres høyest.

Oslo kommune støtter forslaget om å videreføre bestemmelsen om personopplysningslovens forhold til annen lovgivning, med de foreslåtte presiseringer om at bestemmelsene i personvernforordningen ved konflikt skal gå foran andre bestemmelser som regulerer samme forhold. Oslo kommune viser til at det vil være en viktig påminnelse for de aktører som skal anvende bestemmelsene at dette gjøres uttrykkelig i loven, og mener at dette, der det er aktuelt, også bør presiseres i andre lover for å sikre at det blir klart hva som overstyres og ikke overstyres av forordningen.

Statens lånekasse for utdanning støtter departementets forslag om å tydeliggjøre i loven § 5 hva som gjelder ved motstrid mellom særlovgivning og personopplysningsloven, og mellom norsk lovgivning og personvernforordningen. Lånekassen viser til at dette klargjør et spørsmål som ellers kan føre til stor tolkningstvil ved anvendelsen av regelverkene.

Nei til EU uttaler at problemene med direktiver og forordninger gjennom EØS er at de gir svært liten mulighet for nasjonale hensyn, og at denne forrangen for EØS-regelverk er problematisk

KS støtter forslaget om å videreføre nåværende personopplysningslov § 5 med de foreslåtte presiseringer og viser til at dette vil være en viktig påminnelse for de aktører som skal anvende bestemmelsene. KS mener også at dette bør harmoneres med andre lover, slik at det blir klart hva som overstyres av forordningen.

4.5 Departementets vurdering

4.5.1 Virkeområde og anvendelse av loven utenfor EØS-retten

Departementet foreslår at personopplysningsloven og forordningen skal gjelde for all helt eller delvis automatisert behandling av personopplysninger og på ikke-automatisert behandling av personopplysninger som inngår i eller skal inngå i et register, med mindre annet er bestemt i eller i medhold av lov, se lovforslaget § 2 første ledd.

Bestemmelsen i § 2 første ledd er ment å gå foran forordningen artikkel 2 nr. 2, hvor det oppstilles unntak fra forordningens saklige virkeområde. Disse unntakene får dermed ingen selvstendig betydning. Departementet foreslår at unntaket i forordningen artikkel 2 nr. 2 bokstav c likevel skal gjelde, se lovforslaget § 2 annet ledd bokstav a.

Forslaget innebærer at loven og forordningen får anvendelse både innenfor og utenfor EØS-avtalens virkeområde. Departementet viser til at høringsinstansene generelt har støttet forslaget om å gi den nye personopplysningsloven anvendelse også utenfor EØS-avtalens virkeområde. At loven gjelder både innenfor og utenfor EØS-avtalens virkeområde, innebærer en videreføring av gjeldende rett etter någjeldende personopplysningslov.

Departementet foreslår at personvernforordningen kapittel VII bare skal gjelde innenfor EØS-avtalens virkeområde, se lovforslaget § 2 tredje ledd. Forordningen kapittel VII inneholder regler om samarbeid og ensartet anvendelse på tvers av landegrensene, herunder bestemmelser om nasjonale tilsynsmyndigheters rett og plikt til å samarbeide med hverandre og Personvernrådets rett og plikt til å opptre som konfliktløser ved uenighet mellom nasjonale tilsynsmyndigheter. Det er ikke naturlig å gi disse bestemmelsene anvendelse utenfor EØS-avtalens virkeområde, og Norge ville uansett ikke kunne pålegge EU/EØS-landene å anvende reglene i forordningen kapittel VII på områder som ikke er omfattet av EØS-avtalen.

4.5.2 Myndighetenes behandling av personopplysninger med henblikk på å forebygge, etterforske, avsløre eller straffeforfølge straffbare forhold mv.

Departementet foreslår som nevnt over i punkt 4.5.1 at personopplysningsloven og forordningen gis et generelt virkeområde, slik at unntakene i forordningen artikkel 2 nr. 2 ikke har noen selvstendig betydning. Dette innebærer at loven og forordningen som utgangspunkt også gjelder for behandling av personopplysninger som ellers ville vært omfattet av unntaket i artikkel 2 nr. 2 bokstav d som gjelder behandling av personopplysninger av vedkommende myndigheter med henblikk på å forebygge, etterforske, avsløre eller straffeforfølge straffbare forhold eller iverksette strafferettslige sanksjoner, herunder vern mot og forebygging av trusler mot den offentlige sikkerhet, det vil si på området for direktiv (EU) 2016/680.

Departementet mener det ville innebære et klart brudd med gjeldende norsk rett, og skape betydelig uklarhet om hvilke regler som skulle gjelde for behandlingen, dersom behandling av personopplysninger for de formål som nevnes i forordningen artikkel 2 nr. 2 bokstav d uten videre var unntatt fra personopplysningslovens virkeområde. Blant annet har Tolldirektoratet vist at forordningen artikkel 2 nr. 2 bokstav d ville kunne medføre at hele eller deler av etatens virksomhet er unntatt fra personopplysningslovens virkeområde, da kontrollvirksomheten tollmyndighetene bedriver rent faktisk og etter tolloven er å avverge og avdekke straffbare forhold.

Departementet bemerker for ordens skyld at § 2 første ledd ikke er ment å avskjære muligheten til å gi nasjonale regler som gjennomfører direktiv (EU) 2016/680, slik det for eksempel er gjort gjennom politiregisterloven. Det følger av forslaget til § 2 første ledd annet punktum at loven og forordningen ikke gjelder der annet er bestemt i eller i medhold av lov. Nasjonale regler som gjennomfører direktiv (EU) 2016/680, vil være et eksempel på slike regler, og reglene vil dermed gå foran bestemmelsene i personopplysningsloven og forordningen. Hvorvidt reglene i personopplysningsloven og forordningen kommer til supplerende anvendelse i disse tilfellene, eller om de er fraveket i sin helhet, må avgjøres på bakgrunn av en tolkning av de aktuelle reglene.

4.5.3 Døde personer

Forordningen gjelder ikke for behandling av personopplysninger om avdøde personer, men det kan i nasjonal rett gis egne regler om dette, jf. fortalepunkt 27. Departementet foreslår å videreføre gjeldende rettstilstand om at personopplysningsloven ikke gis anvendelse for personopplysninger om avdøde personer. Dette tilsvarer forslaget i høringsnotatet og høringsinstansene har støttet forslaget. En personopplysning om en avdød person vil dermed bare omfattes av lovens og forordningens regler hvis opplysningen samtidig er en personopplysning om en levende person.

4.5.4 Juridiske personer

Departementet foreslår å videreføre gjeldende rettstilstand om at loven og forordningen ikke gis anvendelse for opplysninger om juridiske personer. Definisjonen av personopplysninger i forordningen artikkel 4 nr. 1 gjør det klart at begrepet kun omfatter opplysninger om fysiske personer slik at opplysninger om juridiske personer faller utenfor forordningens anvendelsesområde. Dette er i samsvar med gjeldende norsk rett. Departementet gikk i høringsnotatet ikke inn for noen endring på dette punkt, og ingen høringsinstanser har vært imot forslaget. Departementet presiserer for ordens skyld at en opplysning om en juridisk person vil utgjøre en personopplysning dersom opplysningen samtidig er en opplysning om en fysisk person, slik at vilkårene i forordningen artikkel 4 nr. 1 er oppfylt. Det samme er tilfellet etter gjeldende rett.

4.5.5 Riksrevisjonens behandling av personopplysninger

Departementet foreslår ikke å videreføre personopplysningsforskriften § 1-1 som gjør unntak fra flere av lovens bestemmelser ved Riksrevisjonens behandling av personopplysninger som ledd i kontrollvirksomheten. Departementet viste i høringsnotatet til at det samme allerede følger av lov om riksrevisjonen § 17 annet ledd, og at forskriftsbestemmelsen i § 1-1 dermed er overflødig også etter gjeldende rett.

4.5.6 Behandling av personopplysninger som er nødvendig av hensyn til rikets sikkerhet

Departementet foreslår at det fastsettes at behandling av personopplysninger som er nødvendig av hensynet til rikets eller alliertes sikkerhet, forholdet til fremmede makter og andre vitale nasjonale sikkerhetsinteresser, er unntatt fra tilsynsmyndighetens tilgang til opplysninger etter personvernforordningen artikkel 58 nr. 1, se lovforslaget § 23 tredje ledd. Bestemmelsen er en videreføring av personopplysningsforskriften § 1-2 første ledd. Forskriften § 1-2 fastsetter også unntak fra melde- og konsesjonsplikt, men departementet foreslår å ikke videreføre dette, da disse pliktene ikke videreføres i den nye personopplysningsloven og forordningen.

Forskriften § 1-2 annet ledd fastsetter at uenighet mellom behandlingsansvarlig og Datatilsynet om utstrekningen av unntaket avgjøres av Personvernnemnda. Departementet foreslo ikke å videreføre denne bestemmelsen i høringsnotatet, men har kommet til at bestemmelsen bør videreføres for å gjøre det klart at Personvernnemnda har myndighet i disse tilfellene, se lovforslaget § 23 tredje ledd annet punktum.

Departementet har merket seg at enkelte høringsinstanser viser til at den foreslåtte bestemmelsen, også slik den lyder etter gjeldende rett, reiser visse tolkningsspørsmål. Politiets sikkerhetstjeneste legger til grunn at bestemmelsen innskrenker Datatilsynets myndighet til å kontrollere opplysninger som finnes hos samarbeidende aktører, for eksempel NAV og UDI. Datatilsynet uttaler at det er en mulighet for at behandlingen verken vil kunne kontrolleres av EOS-utvalget eller Datatilsynet. Datatilsynet viser videre til at unntaket etter ordlyden bare begrenser Datatilsynets kompetanse etter artikkel 58 nr. 1, mens kompetansen etter artikkel 58 nr. 2 til å treffe såkalte korrigerende tiltak er i behold.

Til dette vil departementet bemerke at forslaget i proposisjonen her er en videreføring av gjeldende rett, og departementet kan ikke se at forslaget skaper nye tolkningsspørsmål. Etter departementets syn kan det være grunn til å se nærmere på de spørsmål som reises av PST og Datatilsynet, men departementet mener det i så fall bør være gjenstand for en nærmere utredning, se over i punkt 2.3.

Enkelte høringsinstanser har uttalt seg på mer generelt grunnlag om forholdet mellom personopplysningsloven og behandling av personopplysninger av hensyn til nasjonal sikkerhet. Nasjonal sikkerhetsmyndighet uttaler at all behandling av personopplysninger av hensyn til nasjonal sikkerhet er egnet for regulering utenfor personopplysningsloven, og at behandling av personopplysninger etter sikkerhetsloven bør unntas fra personopplysningslovens virkeområde. Utlendingsdirektoratet uttaler at utlendingsmyndighetene behandler sikkerhetssaker i henhold til utlendingsloven kapittel 14 om særskilte regler for saker som berører grunnleggende nasjonale interesser eller utenrikspolitiske hensyn, og ber departementet vurdere om saker som behandles etter utlendingsloven kapittel 14, bør unntas fra forordningens virkeområde og reguleres særskilt i utlendingsloven. Til dette vil departementet bemerke at det i proposisjonen her gås inn for å videreføre gjeldende rett om at personopplysningsloven har et generelt virkeområde, og departementet foreslår ikke å oppstille nye, generelle unntak fra lovens virkeområde utover det som allerede følger av gjeldende rett. Departementet bemerker også at både etter gjeldende rett og forslaget i proposisjonen her gjelder personopplysningsloven bare så langt ikke annet er bestemt i eller i medhold av lov, slik at det i særlovgivningen vil kunne oppstilles unntak fra personopplysningslovens og forordningens regler der det er behov for dette av hensyn til nasjonal sikkerhet. For behandling av personopplysninger som ledd i det forebyggende sikkerhetsarbeidet vil Forsvarsdepartementet komme tilbake med forslag til konkrete unntak fra personvernforordningen i en endringsproposisjon til lov om nasjonal sikkerhet (endringer i andre lover mm).

4.5.7 Rettspleielovene

Departementet foreslår at loven ikke skal gjelde for saker som behandles eller avgjøres i medhold av rettspleielovene (domstolloven, straffeprosessloven, tvisteloven og tvangsfullbyrdelsesloven mv.), se lovforslaget § 2 annet ledd bokstav b. Dette er en videreføring av någjeldende personopplysningsforskrift § 1-3, som har identisk ordlyd.

Departementet viste i høringsnotatet til at behandling av saker i medhold av rettspleielovene ligger utenfor EØS-avtalens saklige virkeområde og at Norge derfor ikke er bundet av forordningens regler på dette punkt, slik at forslaget ikke støter an mot Norges EØS-rettslige forpliktelser. Kun et fåtall høringsinstanser har uttalt seg om forslaget. Datatilsynet og Juristforbundet uttaler at dagens rettstilstand etter personopplysningsforskriften § 1-3 er uklar. Juristforbundet uttaler at det særlig er behov for å avklare unntakets rekkevidde for saker som behandles etter tvisteloven. Datatilsynet viser til at bestemmelsen ikke gir anvisning på hvilke aktører som omfattes av unntaket, noe som er problematisk ettersom det i tilknytning til saker som behandles eller avgjøres av rettspleielovene kan være en rekke forskjellige behandlingsansvarlige. Datatilsynet mener videre det er tvilsomt om behandling av saker i medhold av rettspleielovene ligger utenfor EØS-avtalens virkeområde.

Departementet vil til dette bemerke at bestemmelsen viderefører gjeldende rett, slik at det ikke er nye tolkningsspørsmål som reises. Samtidig har departementet notert seg uttalelsene fra høringsinstansene, og mener det kan være aktuelt å ta bestemmelsen opp til nærmere vurdering. Departementet foreslår likevel ingen endring av bestemmelsen i proposisjonen her, se punkt 2.3.

4.5.8 Forholdet mellom særlovgivning og personopplysningsloven

Departementet foreslår å presisere at loven og forordningen gjelder så fremt ikke annet er bestemt i eller med hjemmel i lov, se lovforslaget § 2 første ledd annet punktum. Videre foreslår departementet av pedagogiske grunner å presisere at forordningen i tilfelle konflikt likevel går foran andre regler som regulerer samme forhold, jf. EØS-loven § 2, se lovforslaget § 2 fjerde ledd. Forslaget svarer innholdsmessig til forslaget i høringsnotatet, men det er gjort enkelte redaksjonelle endringer. Flere av høringsinstansene har vist til at det ligger en pedagogisk fordel i å tydeliggjøre hva som gjelder ved motstrid mellom særlovgivning og personopplysningsloven, og mellom norsk lovgivning og personvernforordningen.

Departementet bemerker for ordens skyld at forordningen i en lang rekke bestemmelser åpner for at det kan, og i andre bestemmelser for at det skal, gis nasjonal lovgivning. I enkelte tilfeller åpner forordningen også for at det kan gis mer spesifikke bestemmelser, se for eksempel artikkel 6 nr. 2 og 3. Lov eller forskrift gitt i tråd med artikkel 6 vil ikke være i konflikt med forordningen så lenge den nasjonale lovgivningen holder seg innenfor rammene gitt i artikkel 6 nr. 2 og 3. Det vil da ikke oppstå spørsmål om motstrid. Andre bestemmelser i forordningen, for eksempel artikkel 23, åpner for at nasjonal lovgivning kan begrense rettighetene som følger av forordningen dersom visse vilkår er til stede. Heller ikke i disse tilfellene vil det oppstå spørsmål om motstrid så lenge den nasjonale lovgivningen holder seg innenfor de rammene artikkel 23 trekker opp.

Det vises i denne forbindelse til at det er Datatilsynet som vil ha tilsynskompetanse når det gjelder behandling av personopplysninger som er omfattet av personopplysningslovens og forordningens virkeområde, også der det foreligger særregulering i spesiallovgivningen som supplerer forordningens bestemmelser.

Utenfor forordningens og EØS-avtalens virkeområde står Norge fritt til å gi regler som fraviker forordningen. Selv om forordningen gis anvendelse også utenfor EØS-avtalens virkeområde, vil forordningen ikke ha noen forrang i disse tilfellene – verken etter § 2 fjerde ledd eller EØS-loven § 2.

5 Lovens geografiske virkeområde

5.1 Gjeldende rett

Personopplysningsloven § 4 første ledd bestemmer at loven gjelder for behandlingsansvarlige som er etablert i Norge. Kongen kan i forskrift bestemme at loven helt eller delvis skal gjelde for Svalbard og Jan Mayen, og fastsette særlige regler om behandling av personopplysninger for disse områdene. I personopplysningsforskriften § 1-4 er det fastsatt at loven med forskrift gjelder for behandlingsansvarlige som er etablert på Svalbard, men at Datatilsynet ved enkeltvedtak kan gi dispensasjon fra de enkelte bestemmelser i personopplysningsloven dersom stedlige forhold gjør det nødvendig. I forskriften § 1-5 er det bestemt at personopplysningsloven med forskrift gjelder for behandlingsansvarlige som er etablert på Jan Mayen.

Personopplysningsloven § 4 annet ledd bestemmer at loven også gjelder for behandlingsansvarlige som er etablert i stater utenfor EØS dersom den behandlingsansvarlige benytter hjelpemidler i Norge. Dette gjelder likevel ikke dersom hjelpemidlene bare brukes til å overføre personopplysninger via Norge. Det følger av § 4 tredje ledd at behandlingsansvarlige som nevnt i annet ledd skal ha en representant som er etablert i Norge. Reglene som gjelder for den behandlingsansvarlige gjelder også for representanten.

5.2 Forordningen

Artikkel 3 nr. 1 bestemmer at forordningen får anvendelse på behandling av personopplysninger som utføres i forbindelse med aktivitetene ved virksomheten til en behandlingsansvarlig eller en databehandler i Unionen, uavhengig av om behandlingen finner sted i Unionen eller ikke.

I artikkel 3 nr. 2 utvides det geografiske virkeområdet ytterligere. Det er der bestemt at forordningen får anvendelse på behandling av personopplysninger om registrerte som befinner seg i Unionen, og som utføres av en behandlingsansvarlig eller databehandler som ikke er etablert i Unionen, dersom behandlingen er knyttet til enten tilbud av varer eller tjenester til registrerte i Unionen, uavhengig av om det kreves betaling fra den registrerte eller ikke (bokstav a) eller dersom behandlingen er knyttet til monitorering av deres atferd, i den grad deres atferd finner sted i Unionen (bokstav b). Artikkel 27 gir nærmere regler om plikten til å skriftlig utpeke en representant i de tilfeller som er regulert i artikkel 3 nr. 2.

Artikkel 3 nr. 3 fastslår at forordningen får anvendelse på behandling av personopplysninger som utføres av en behandlingsansvarlig som ikke er etablert i Unionen, men på et sted der medlemsstatenes nasjonale rett får anvendelse i henhold til folkeretten.

5.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet å videreføre gjeldende rett om at personopplysningsloven gis anvendelse på Svalbard og Jan Mayen. For øvrig foreslo departementet ingen bestemmelser om lovens geografiske virkeområde, men viste til at forordningen selv inneholder regler om dette i artikkel 3.

5.4 Høringsinstansenes syn

Kun et fåtall høringsinstanser har uttalt seg om reglenes geografiske virkeområde. Norsk senter for forskningsdata uttaler at det kan være uvant for de som skal anvende personopplysningsloven at lovens virkeområde ikke fremgår innledningsvis i loven, og i verste fall medføre misforståelser og uenighet om disse helt sentrale bestemmelsene. Norsk senter for forskningsdata viser til at man i Danmark har inkludert saklig og geografisk virkeområde i forslaget til loven som skal supplere forordningen, selv om disse bestemmelsene repeterer forordningen. Medietilsynet viser til at bestemmelsen i lovutkastet om at loven gjelder for Svalbard og Jan Mayen kan tolkes slik at loven kun gjelder for Svalbard og Jan Mayen. Medietilsynet foreslår derfor at lovteksten endres til «Loven gjelder også for Svalbard og Jan Mayen».

5.5 Departementets vurdering

Departementet foreslår at det gis regler om lovens geografiske virkeområde, se lovforslaget § 4. I høringsnotatet foreslo departementet ingen tilsvarende bestemmelser, men departementet har kommet til at det er hensiktsmessig at bestemmelser om lovens geografiske virkeområde tas inn i lovteksten. Bestemmelsen i lovforslaget § 4 bygger på forordningens bestemmelser om geografisk virkeområde, jf. artikkel 3 nr. 1, 2 og 3. Samtidig konsumerer den artikkel 3 som derfor ikke får noen selvstendig betydning for fastleggelse av lovens geografiske virkeområde ved siden av lovens bestemmelse.

I departementets forslag er hovedregelen at loven og personvernforordningen gjelder for behandling av personopplysninger som utføres i forbindelse med aktivitetene ved virksomheten til en behandlingsansvarlig eller en databehandler i Norge, uavhengig av om behandlingen finner sted i EØS eller ikke. Departementet foreslår at loven og personvernforordningen også skal gjelde når behandlingen utføres av en behandlingsansvarlig eller databehandler som ikke er etablert i EØS i tilfeller hvor behandlingen gjelder registrerte som befinner seg i Norge og behandlingen er knyttet til enten tilbud av varer eller tjenester til slike registrerte i Norge, uavhengig av om det kreves betaling fra den registrerte eller ikke, eller dersom behandlingen er knyttet til monitorering av deres atferd, i den grad deres atferd finner sted i Norge. Loven og personvernforordningen skal også gjelde for behandling av personopplysninger som utføres av en behandlingsansvarlig som ikke er etablert i Norge, men på et sted der norsk rett får anvendelse i henhold til folkeretten. Det vises for øvrig til spesialmerknadene.

Departementet foreslår videre at Kongen kan gi forskrift om lovens anvendelse på Svalbard og Jan Mayen, samt at det kan fastsettes særlige regler om behandling av personopplysninger for disse områdene. Dette er en videreføring av gjeldende rett, jf. punkt 5.1.

6 Behandlingsgrunnlag

6.1 Oversikt

Reglene om behandlingsgrunnlag angir de grunnleggende vilkårene for når behandling av personopplysninger kan finne sted, med andre ord kravene til rettslig grunnlag for behandling av personopplysninger.

I punkt 6.2 gis det en oversikt over behandlingsgrunnlagene i gjeldende personopplysningslov. I punkt 6.3 behandles forordningens regler om behandlingsgrunnlag, jf. artikkel 6. Det gis i punkt 6.3.1 en oversikt over behandlingsgrunnlagene i forordningen artikkel 6. I punkt 6.3.2 drøftes nærmere de særlige spørsmålene som oppstår i forbindelse med at to av behandlingsgrunnlagene i forordningen krever at det kan vises til et ytterligere rettsgrunnlag for behandlingen (såkalt supplerende rettsgrunnlag), jf. artikkel 6 nr. 1 bokstav c og e.

Det er ikke bare forordningen som stiller krav om rettsgrunnlag for behandling av personopplysninger. Når behandlingen er et inngrep i retten til privatliv, stiller også Grunnloven § 102 og EMK artikkel 8 krav til rettsgrunnlaget. Forordningens regler om behandlingsgrunnlag må tolkes og anvendes i lys av disse kravene. Dette behandles nærmere i punkt 6.4.

I punkt 6.5 gås det nærmere inn på adgangen til å gi utfyllende regler om behandlingen i tilknytning til behandlingsgrunnlagene som krever supplerende rettsgrunnlag, jf. artikkel 6 nr. 1 bokstav c og e. I punkt 6.6 gis det en oversikt over forordningens krav om rettsgrunnlag ved viderebehandling av personopplysninger.

Forordningen oppstiller tilleggskrav for behandling av visse typer personopplysninger, jf. artikkel 9 (særlige kategorier av personopplysninger, som i gjeldende lov er kalt «sensitive personopplysninger») og artikkel 10 (opplysninger om straffbare forhold mv.) Disse kravene behandles i henholdsvis kapittel 7 og 8.

6.2 Gjeldende personopplysningslov

I gjeldende personopplysningslov fremgår de alminnelige reglene om behandlingsgrunnlag av § 8. Etter personopplysningsloven § 8 kan behandling av personopplysninger finne sted dersom den registrerte har samtykket, dersom det er en lovfestet adgang til behandling, eller dersom behandlingen er nødvendig for et av formålene i bokstav a til f. Bokstav a gir adgang til å behandle personopplysninger når behandlingen er nødvendig for å oppfylle en avtale med den registrerte, eller for å utføre gjøremål etter den registrertes ønske før en slik avtale inngås. Etter bokstav b kan behandling skje for å oppfylle en rettslig forpliktelse, mens bokstav c gir grunnlag for behandling som er nødvendig for å vareta den registrertes vitale interesser. Bokstav d og e gir adgang til behandling for henholdsvis å utføre en oppgave av allmenn interesse eller utøve offentlig myndighet. Endelig følger det av bokstav f at behandling av personopplysninger også kan finne sted når det er nødvendig for at den behandlingsansvarlige eller tredjepersoner som opplysningene utleveres til, kan vareta en berettiget interesse, og hensynet til den registrertes personvern ikke overstiger denne interessen.

For behandling av sensitive opplysninger må i tillegg et av vilkårene i § 9 første ledd være oppfylt.

6.3 Forordningen

6.3.1 Oversikt

Reglene om behandlingsgrunnlag følger av forordningen artikkel 6. Forordningen artikkel 9 og 10 fastsetter ytterligere regler om behandling av særlige kategorier av personopplysninger og om straffedommer og lovovertredelser. Disse kravene behandles i kapittel 7 og 8.

Forordningens regler om behandlingsgrunnlag svarer i stor grad til gjeldende rett, men det er visse forskjeller. Artikkel 6 nr. 1 bokstav a viderefører samtykke som behandlingsgrunnlag. Forordningen åpner ikke for generelle nasjonale regler om krav til samtykke. Det vises til punkt 13.5 om aldersgrensen for barns samtykke etter forordningen artikkel 8. Artikkel 6 nr. 1 bokstav b svarer til gjeldende lov § 8 første ledd bokstav a, og gir grunnlag for behandling av personopplysninger når det er nødvendig for å oppfylle en avtale som den registrerte er part i, eller for å gjennomføre tiltak på den registrertes anmodning før en avtaleinngåelse. Artikkel 6 nr. 1 bokstav c svarer til dagens lov § 8 første ledd bokstav b, og gir grunnlag for behandling som er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige. Artikkel 6 nr. 1 bokstav d gir grunnlag for behandling som er nødvendig for å verne den registrertes eller annen fysisk persons vitale interesser. Bestemmelsen viderefører gjeldende lov § 8 første ledd bokstav c, men innebærer også en viss utvidelse, ettersom gjeldende lov ikke omfatter andre personers vitale interesser. Artikkel 6 nr. 1 bokstav e viderefører gjeldende lov § 8 første ledd bokstav d og e, og gir adgang til behandling når dette er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt.

Artikkel 6 nr. 1 bokstav f viderefører gjeldende lov § 8 første ledd bokstav f, og gir adgang til å behandle opplysninger på grunnlag av en interesseavveining. Bestemmelsen skiller seg imidlertid på to punkter fra dagens lov. For det første presiserer forordningen at det skal legges særlig vekt på den registrertes interesser når den registrerte er et barn. For det andre kommer artikkel 6 nr. 1 bokstav f ikke til anvendelse på «behandling som utføres av offentlige myndigheter som ledd i utførelsen av deres oppgaver». Begrunnelsen er at det skal være opp til lovgiver å sørge for et rettsgrunnlag for slik behandling, jf. fortalepunkt 47. Ettersom unntaket fra artikkel 6 nr. 1 bokstav f bare retter seg mot «offentlige myndigheter» og «deres oppgaver», legger departementet imidlertid til grunn at unntaket som utgangspunkt bare gjelder behandling av personopplysninger i forbindelse med utøvelse av offentlig myndighet. Det offentlige må altså ha samme adgang som private behandlingsansvarlige til å benytte artikkel 6 nr. 1 bokstav f i for eksempel kommersiell virksomhet eller i egenskap av å være arbeidsgiver. Rekkevidden av unntaket og de grensedragningsspørsmålene som oppstår, må få sin avklaring gjennom praksis.

Gjeldende lov § 8 første ledd annet alternativ, som gir grunnlag for behandling av personopplysninger når det er «fastsatt i lov at det er adgang til slik behandling», har ingen direkte parallell i forordningen. Forordningen artikkel 6 nr. 1 er uttømmende, noe som innebærer at det må påvises et behandlingsgrunnlag etter et av alternativene i artikkel 6 nr. 1 også når det følger av særlovgivningen at det er adgang til behandlingen. I disse tilfellene vil det være nærliggende å ta utgangspunkt i bokstav c eller e, med særlovgivningen som supplerende rettslig grunnlag, jf. artikkel 6 nr. 2 og 3 og punkt 6.3.2 under.

For behandling av særlige kategorier av personopplysninger kreves det i tillegg at en av unntaksbestemmelsene i artikkel 9 nr. 2 åpner for behandlingen, eventuelt i kombinasjon med nasjonale lovbestemmelser. Se nærmere i kapittel 7 om behandling av særlige kategorier av personopplysninger. Behandling av personopplysninger om straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak krever i tillegg til behandlingsgrunnlag etter artikkel 6 nr. 1 at vilkårene i artikkel 10 og eventuelle nasjonale bestemmelser er oppfylt, se kapittel 8 om slike personopplysninger.

Departementet knytter i det følgende noen kommentarer til behandlingsgrunnlagene i artikkel 6 nr. 1 bokstav c og e, da disse som følge av artikkel 6 nr. 2 og 3 foranlediger enkelte særlige tolkningsspørsmål.

6.3.2 Nærmere om vilkårene for behandling på grunnlag av artikkel 6 nr. 1 bokstav c og e

Det følger av forordningen artikkel 6 nr. 3 at «grunnlaget for behandlingen» nevnt i nr. 1 bokstav c og e «skal fastsettes» i unionsretten eller i medlemsstatenes nasjonale rett. Dette innebærer etter departementets vurdering at artikkel 6 nr. 1 bokstav c eller e ikke alene kan utgjøre behandlingsgrunnlag, men at den behandlingsansvarlige i tillegg må kunne vise til et supplerende grunnlag for behandlingen, som må finnes i nasjonal rett som den behandlingsansvarlige er underlagt, eller i unionsretten. Forordningen skiller seg på dette punktet fra gjeldende lov § 8 bokstav b, d og e, som ikke stiller krav om slikt supplerende rettsgrunnlag.

Kravet om supplerende rettsgrunnlag for behandling på grunnlag av artikkel 6 nr. 1 bokstav c og e reiser to hovedspørsmål. For det første må det avgjøres hva som kan utgjøre et slikt supplerende rettsgrunnlag etter bokstav c og e. For det andre må det tas stilling til hvilke nærmere krav forordningen stiller til innholdet i det supplerende rettsgrunnlaget.

Når det gjelder det første spørsmålet – hva som kan utgjøre et supplerende rettslig grunnlag etter bokstav c og e – kreves det etter ordlyden et «grunnlag» («basis»). Det følger av fortalepunkt 41 at «når det i denne forordning vises til et rettslig grunnlag eller et lovgivningsmessig tiltak, krever dette ikke nødvendigvis en regelverksakt vedtatt av et parlament». Etter departementets syn må det legges til grunn at i alle fall lov- og forskriftsbestemmelser kan utgjøre supplerende rettsgrunnlag. Departementet antar at også vedtak fattet i medhold av lov eller forskrift omfattes, ettersom det også i disse tilfellene foreligger et lov- eller forskriftsgrunnlag.

Når det gjelder det andre spørsmålet – hvilke nærmere krav forordningen stiller til innholdet i det supplerende rettslige grunnlaget – må det tas utgangspunkt i ordlyden i artikkel 6 nr. 3. Det følger av ordlyden at «[f]ormålet med behandlingen skal være fastsatt i nevnte rettslige grunnlag eller, når det gjelder behandlingen nevnt i nr. 1 bokstav e), være nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt.» Videre følger det at rettsgrunnlaget «kan inneholde særlige bestemmelser for å tilpasse anvendelsen av reglene i denne forordning», blant annet vilkårene for behandling, hvilken type opplysninger som skal behandles, berørte registrerte, enhetene som personopplysningene kan utleveres til, og formålene med dette, formålsbegrensning, lagringsperioder samt behandlingsaktiviteter. Endelig følger det at unionsretten eller nasjonal rett «skal oppfylle et mål i allmennhetens interesse og stå i et rimelig forhold til det berettigede målet som søkes oppnådd», jf. artikkel 6 nr. 3 siste punktum.

Ordlyden i artikkel 6 nr. 3 sondrer mellom hva det supplerende rettsgrunnlaget «skal» inneholde, og hva rettsgrunnlaget «kan» inneholde. Når det gjelder hva det supplerende rettslige grunnlaget må inneholde, tilsier ordlyden etter departementets syn at forordningen stiller forskjellige krav for henholdsvis bokstav c og e.

For så vidt gjelder bokstav c om rettslige forpliktelser, stilles det krav om at formålet med behandlingen skal være «fastsatt» («determined») i det aktuelle rettsgrunnlaget. At formålet skal være «fastsatt» i det supplerende rettsgrunnlaget, kan etter departementets vurdering ikke leses som at det supplerende rettsgrunnlaget må regulere behandling av personopplysninger uttrykkelig. Særlig i lys av den engelske språkversjonen («determined») synes meningen å være at behandlingsformålet skal være bestemt i det supplerende rettsgrunnlaget. Etter ordlyden synes det derfor å være tilstrekkelig at det supplerende rettsgrunnlaget pålegger den behandlingsansvarlige en rettslig forpliktelse som det er nødvendig å behandle personopplysninger for å oppfylle.

For behandling etter bokstav e kreves det etter ordlyden kun at formålet med behandlingen skal være nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet, noe som kun er en gjentagelse av ordlyden i bokstav e. Det synes derfor å være tilstrekkelig etter ordlyden at det supplerende rettsgrunnlaget gir grunnlag for å utøve myndighet eller å utføre en oppgave i allmennhetens interesse, og at det er nødvendig for den behandlingsansvarlige å behandle personopplysninger for å utøve myndigheten eller utføre oppgaven som følger av det supplerende rettsgrunnlaget.

Samlet sett taler altså ordlyden i artikkel 6 nr. 3 for at det må påvises et supplerende rettsgrunnlag i unionsretten eller nasjonal rett, men at det ikke er nødvendig at det supplerende rettsgrunnlaget uttrykkelig regulerer behandling av personopplysninger. Departementet viser i denne forbindelse også til artikkel 35 nr. 10, hvor det forutsetningsvis fremgår at det rettslige grunnlaget for behandling etter artikkel 6 nr. 1 bokstav c og e ikke behøver å spesifikt regulere behandlingsaktivitetene.

Heller ikke forordningens fortale gir støtte for et ubetinget krav om at behandlingen av personopplysninger må være regulert uttrykkelig i det supplerende rettsgrunnlaget. Fortalepunkt 45 gir uttrykk for at behandlingen i disse tilfellene bør «ha rettslig grunnlag i unionsretten eller medlemsstatenes nasjonale rett», men at det ikke kreves «en særlig lovbestemmelse for hver enkelt behandling».

Dersom behandlingen av personopplysninger utgjør et inngrep i retten til privatliv etter Grunnloven § 102 eller EMK artikkel 8, kan det imidlertid være nødvendig med et mer spesifikt rettslig grunnlag for behandlingen enn det ordlyden i forordningen kan tilsi. Det følger også uttrykkelig av fortalepunkt 41 at et rettslig grunnlag bør være «tydelig og presist, og anvendelsen av det bør være forutsigbar for personer som omfattes av det, i samsvar med rettspraksisen til Den europeiske unions domstol («Domstolen») og Den europeiske menneskerettighetsdomstol». Med andre ord må forordningens krav om supplerende rettsgrunnlag for behandlingen tolkes og anvendes i tråd med de menneskerettslige kravene til rettsgrunnlag for inngrep i retten til privatliv. Dette innebærer at det må foretas en nærmere vurdering av rettsgrunnlaget og behandlingen, hvor det blant annet må legges vekt på hvor inngripende behandlingen er. Etter omstendighetene kan utfallet av en slik vurdering bli at det kreves et mer spesifikt grunnlag enn det som kan synes å være minimumskravene etter ordlyden i forordningen. Grunnloven § 102 og EMK artikkel 8 behandles nærmere i neste punkt.

6.4 Krav om rettsgrunnlag etter Grunnloven og EMK

Grunnloven § 102 lyder:

«Enhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin kommunikasjon. Husransakelse må ikke finne sted, unntatt i kriminelle tilfeller.

Statens myndigheter skal sikre et vern om den personlige integritet.»

Bestemmelsen kom inn i Grunnloven som ledd i grunnlovsreformen i 2014. Komiteen ga i Innst. 186 S (2013–2014) punkt 2.1.9 side 27 uttrykk for at bestemmelsen «skal leses som at systematisk innhenting, oppbevaring og bruk av opplysninger om andres personlige forhold bare kan finne sted i henhold til lov, benyttes i henhold til lov eller informert samtykke og slettes når formålet ikke lenger er til stede».

Grunnloven § 102 gir ikke anvisning på noen adgang til eller vilkår for å gjøre inngrep i rettigheten. Høyesterett har imidlertid lagt til grunn at det kan gjøres inngrep i retten etter Grunnloven § 102 dersom tiltaket har en tilstrekkelig hjemmel, forfølger et legitimt formål og er forholdsmessig, se Rt. 2014 side 1105 avsnitt 28 og Rt. 2015 side 93 avsnitt 60.

Grunnloven § 102 har klare likhetstrekk med EMK artikkel 8, og må tolkes i lys av denne, jf. Rt. 2015 side 93 avsnitt 57. Det er etter departementets vurdering ikke holdepunkter for at Grunnloven § 102 stiller strengere krav enn EMK artikkel 8 om rettsgrunnlag for behandling av personopplysninger. Ved siden av Grunnloven § 102 må også legalitetsprinsippet, jf. Grunnloven § 113, tas i betraktning. Det følger av Grunnloven § 113 at «[m]yndighetenes inngrep overfor den enkelte må ha grunnlag i lov».

EMK artikkel 8 lyder (i norsk oversettelse):

«1. Enhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin korrespondanse.

2. Det skal ikke skje noe inngrep av offentlig myndighet i utøvelsen av denne rettighet unntatt når dette er i samsvar med loven og er nødvendig i et demokratisk samfunn av hensyn til den nasjonale sikkerhet, offentlige trygghet eller landets økonomiske velferd, for å forebygge uorden eller kriminalitet, for å beskytte helse eller moral, eller for å beskytte andres rettigheter og friheter.»

EMD har i sin praksis lagt til grunn at offentlig myndigheters lagring av personopplysninger som knytter seg til privatlivet i bestemmelsens forstand, utgjør et inngrep i retten etter EMK artikkel 8 nr. 1, se Amann mot Sveits 16.2.2000 avsnitt 65 og S. og Marper mot Storbritannia 4.12.2008 avsnitt 67. Behandling av personopplysninger kan imidlertid utgjøre et inngrep også når det foretas av private, se Vukota-Bojić mot Sveits 18.10.2016 avsnitt 46 til 47.

Begrepet «privatliv» skal i henhold til EMDs praksis tolkes vidt, se S. og Marper mot Storbritannia avsnitt 66 til 67 med videre henvisninger.

Inngrep i retten etter EMK artikkel 8 nr. 1 må kunne rettferdiggjøres etter artikkel 8 nr. 2, som krever at inngrepet må ha tilstrekkelig hjemmel, ha et legitimt formål og være forholdsmessig. Det er kravet om tilstrekkelig hjemmel som er særlig interessant i denne sammenhengen.

Hjemmelskravet («in accordance with the law») innebærer for det første at det er nødvendig med et rettsgrunnlag, noe som gjerne uttrykkes som at inngrepet må ha «sufficient legal basis in domestic law», jf. for eksempel Bernh Larsen Holding AS m.fl. mot Norge 14.3.2013 avsnitt 126. Det følger av EMDs praksis at bestemmelsen ikke oppstiller formelle krav til rettsgrunnlaget, noe som innebærer at både lov, forskrift og uskreven rett mv. kan oppfylle kravet. Det stilles imidlertid krav om at rettsgrunnlaget skal være tilgjengelig og forutberegnelig. Det er kravet om forutberegnelighet som er relevant i denne sammenhengen. I L.H. mot Latvia 29.4.2014 avsnitt 47 er kravet formulert slik:

«Of particular relevance in the present case is the requirement for the impugned measure to have some basis in domestic law, which should be compatible with the rule of law, which, in turn, means that the domestic law must be formulated with sufficient precision and must afford adequate legal protection against arbitrariness. Accordingly the domestic law must indicate with sufficient clarity the scope of discretion conferred on the competent authorities and the manner of its exercise.»

Kravet om tilstrekkelig presisjon og vern mot vilkårlighet kan også innebære et krav om garantier («safeguards»), jf. S. og Marper mot Storbritannia. Saken gjaldt lagring av fingeravtrykk, celleprøver og DNA-profiler, og domstolen uttalte i avsnitt 99:

«The Court agrees with the applicants that at least the first of these purposes is worded in rather general terms and may give rise to extensive interpretation. It reiterates that it is as essential, in this context, as in telephone tapping, secret surveillance and covert intelligence-gathering, to have clear, detailed rules governing the scope and application of measures, as well as minimum safeguards concerning, inter alia, duration, storage, usage, access of third parties, procedures for preserving the integrity and confidentiality of data and procedures for its destruction, thus providing sufficient guarantees against the risk of abuse and arbitrariness.»

Hvilke garantier som er nødvendig, må vurderes i lys av inngrepets art og omfang, se P.G. og J.H. mot Storbritannia 25.9.2001 avsnitt 46. Vurderingen av garantier henger for øvrig tett sammen med proporsjonalitetsvurderingen. I S. and Marper mot Storbritannia fant EMD at det i lys av proporsjonalitetsvurderingen ikke var nødvendig å ta stilling til om lovskravet var oppfylt, jf. avsnitt 99.

Hva som er tilstrekkelig rettsgrunnlag for inngrep, beror på en konkret vurdering, blant annet av hvor inngripende behandlingen er. Etter departementets syn er det imidlertid ikke holdepunkter i EMDs praksis for at det gjelder et unntaksfritt krav om uttrykkelig hjemmel i særlovgivning for behandling av personopplysninger. Departementet legger til grunn at forordningen artikkel 6 nr. 1 bokstav a, b, d og f i seg selv etter omstendighetene kan være tilstrekkelige lovhjemler. Også forordningen artikkel 6 nr. 1 bokstav c og e i kombinasjon med et supplerende rettslig grunnlag som oppfyller kravene etter ordlyden i nr. 3, kan være tilstrekkelig. Videre vil forordningens generelle regler, eksempelvis om personvernombud, forhåndsdrøftinger, den registrertes rettigheter mv., utgjøre garantier i EMKs forstand.

Samtidig er det ikke tvilsomt at forordningens generelle regler, eventuelt i kombinasjon med et supplerende rettsgrunnlag som bare oppfyller minimumskravene etter ordlyden i artikkel 6 nr. 3, ikke alltid vil gi tilstrekkelig spesifikt rettsgrunnlag eller nødvendige garantier i tråd med Grunnloven og EMK. Det blir da nødvendig å utforme mer spesifikke rettsgrunnlag og ytterligere garantier i nasjonal rett, og det vil i mange tilfeller være nødvendig med uttrykkelig hjemmel i særlovgivning. Forordningen må med andre ord tolkes og anvendes i lys av Grunnloven og EMK.

Som beskrevet nærmere i neste punkt følger det av forordningen artikkel 6 nr. 2 og 3 at det i tilknytning til et supplerende rettsgrunnlag for behandling på grunnlag av artikkel 6 nr. 1 bokstav c og e «kan» fastsettes utfyllende og spesifiserende regler om behandlingen. Kravene i Grunnloven og EMK om rettsgrunnlag for inngrep i privatlivet kan etter omstendighetene innebære at det supplerende rettsgrunnlaget må inneholde slike mer spesifikke bestemmelser som artikkel 6 nr. 2 og 3 åpner for. Hva som kreves av det supplerende rettsgrunnlaget, kan ikke besvares generelt, men må avgjøres etter en konkret vurdering.

6.5 Nærmere om adgangen til å gi utfyllende nasjonale regler om behandling på grunnlag av artikkel 6 nr. 1 bokstav c og e, jf. artikkel 6 nr. 2 og 3

Forordningen artikkel 6 nr. 2 bestemmer at medlemsstatene kan opprettholde eller innføre mer «spesifikke bestemmelser for å tilpasse anvendelsen av reglene for behandling i denne forordning med henblikk på å sikre samsvar med nr. 1 bokstav c) og e) ved nærmere å fastsette mer spesifikke krav til behandlingen samt andre tiltak som har som mål å sikre en lovlig og rettferdig behandling». Videre følger det av artikkel 6 nr. 3 at det nasjonale supplerende rettsgrunnlaget for behandling etter artikkel 6 nr. 1 bokstav c og e «kan» inneholde bestemmelser om blant annet de generelle vilkårene som skal gjelde for lovligheten av den behandlingsansvarliges behandling, hvilken type opplysninger som skal behandles, berørte registrerte, enhetene som personopplysningene kan utleveres til, og formålene med dette, formålsbegrensning, lagringsperioder samt behandlingsaktiviteter og fremgangsmåter for behandling, herunder tiltak for å sikre lovlig og rettferdig behandling, slik som dem fastsatt med henblikk på andre særlige behandlingssituasjoner som nevnt i kapittel IX.

Departementet forstår artikkel 6 nr. 2 og 3 slik at de åpner for at det i tilknytning til bestemmelser som gir supplerende rettsgrunnlag for behandling etter artikkel 6 nr. 1 bokstav c og e, kan gis eller opprettholdes nasjonale særregler som nærmere regulerer behandlingen. Artikkel 6 nr. 2 og 3 åpner derimot ikke for å gi nasjonale særregler om behandling som bygger på et av de andre behandlingsgrunnlagene i artikkel 6 nr. 1, for eksempel samtykke etter bokstav a eller en interesseavveining etter bokstav f. I disse tilfellene må grunnlaget for nasjonale særregler eventuelt finnes i andre bestemmelser i forordningen som åpner for nasjonal særregulering, for eksempel reglene i kapittel IX. Dersom det behandles særlige kategorier av personopplysninger, åpner også artikkel 9 nr. 2 for visse nasjonale utfyllende regler, se nærmere under i kapittel 7.

Etter ordlyden i artikkel 6 nr. 2 er adgangen til å gi nasjonale særregler avgrenset til tilfeller hvor den aktuelle behandlingen av personopplysninger enten er påbudt for nærmere angitte formål (bokstav c, jf. artikkel 6 nr. 3), eller der behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet (bokstav e). På denne bakgrunn vil det relevante kriteriet for om det kan gis utfyllende regler med grunnlag i artikkel 6 nr. 2 og 3, ikke kunne formuleres som et spørsmål om det er ønskelig eller nødvendig i allmennhetens interesse å ha nasjonale særregler på det aktuelle området – for eksempel om det i allmennhetens interesse er ønskelig eller nødvendig å ha nasjonale regler om kameraovervåking. Det relevante spørsmålet vil i stedet være om den aktuelle behandlingen er nødvendig for å oppfylle en rettslig forpliktelse (bokstav c), eller utføre en oppgave i allmennhetens interesse, eller utøve offentlig myndighet (bokstav e). I disse tilfellene vil det i tilknytning til det nasjonale supplerende rettsgrunnlaget som åpner for behandling, kunne gis nasjonale regler som utfyller forordningens regler, jf. artikkel 6 nr. 2 og 3.

Dette innebærer at det i prinsippet må trekkes en grense mellom behandlinger som har behandlingsgrunnlag i bokstav c eller e og behandlinger som har behandlingsgrunnlag i en annen bokstav – for eksempel bokstav f. I noen tilfeller vil grensedragningen være klar – for eksempel der behandlingen gjøres av offentlige myndigheter som ledd i utførelsen av deres oppgaver. I slike tilfeller vil bokstav c eller e nødvendigvis utgjøre behandlingsgrunnlag, ettersom bokstav f selv bestemmer at den ikke vil kunne utgjøre behandlingsgrunnlag ved offentlig myndighetsutøvelse. Departementet legger til grunn at det med grunnlag i artikkel 6 nr. 2 og 3 i betydelig utstrekning vil være adgang til å gi nasjonale utfyllende regler om det offentliges behandling av personopplysninger.

Når det derimot gjelder private aktørers behandling av personopplysninger, blir grensedragningen vanskeligere. Også private aktørers behandling av personopplysninger kan imidlertid være nødvendig for å oppfylle en rettslig forpliktelse eller utføre en oppgave i allmennhetens interesse, og det kan åpnes for slik behandling gjennom nasjonale supplerende rettsgrunnlag, jf. artikkel 6 nr. 1 bokstav c og e. Adgangen til å gi nasjonale utfyllende regler etter artikkel 6 nr. 2 og 3 er etter ordlyden ikke begrenset til offentlige myndigheters behandlinger av opplysninger. I fortalepunkt 45 fremgår det at det i nasjonal rett bør fastsettes «om den behandlingsansvarlige som utfører en oppgave i allmennhetens interesse eller utøver offentlig myndighet, bør være en offentlig myndighet eller en annen fysisk eller juridisk person underlagt offentlig rett eller, dersom det er i allmennhetens interesse, herunder for helseformål som folkehelse og sosial trygghet og forvaltning av helsetjenester, privatrett, f.eks. en yrkessammenslutning.» Etter departementets syn er det også her forutsatt at private aktørers behandling av personopplysninger kan omfattes av artikkel 6 nr. 1 bokstav c og e og 6 nr. 2 og 3. Departementet understreker imidlertid – som nevnt over – at adgangen til å gi utfyllende regler ikke beror på om det er ønskelig eller nødvendig i allmennhetens interesse å ha nasjonale særregler på det aktuelle området – for eksempel om det i allmennhetens interesse er ønskelig eller nødvendig å ha nasjonale regler om kameraovervåking. Det avgjørende er om behandlingen er nødvendig for å oppfylle en rettslig forpliktelse eller utføre en oppgave i allmennhetens interesse. I hvilken utstrekning det er anledning til å gi nasjonale utfyllende regler som retter seg mot private behandlingsansvarlige, vil bero på en konkret vurdering.

Hva slags nasjonale utfyllende regler som kan gis for behandling basert på artikkel 6 nr. 1 bokstav c og e, beror på en tolkning av artikkel 6 nr. 2 og 3. Etter artikkel 6 nr. 2 kan det opprettholdes eller innføres mer «spesifikke bestemmelser for å tilpasse anvendelsen av reglene for behandling i denne forordning». Dette kan tyde på at adgangen til å gi nasjonale særregler ikke strekker seg lenger enn til å spesifisere de alminnelige reglene i forordningen. Fortalepunkt 10 trekker i samme retning. Det sies der at for så vidt gjelder behandling av personopplysninger på grunnlag av artikkel 6 nr. 1 bokstav c og e, bør medlemsstatene kunne opprettholde eller innføre nasjonale bestemmelser for nærmere å «presisere» anvendelsen av reglene i forordningen.

Artikkel 6 nr. 3 åpner for at det supplerende rettsgrunnlaget for behandling på grunnlag av artikkel 6 nr. 1 bokstav c og e kan inneholde «særlige bestemmelser for å tilpasse anvendelsen av reglene i denne forordning, blant annet de generelle vilkårene som skal gjelde for lovligheten av den behandlingsansvarliges behandling, hvilken type opplysninger som skal behandles, berørte registrerte, enhetene som personopplysningene kan utleveres til, og formålene med dette, formålsbegrensning, lagringsperioder samt behandlingsaktiviteter og framgangsmåter for behandling, herunder tiltak for å sikre lovlig og rettferdig behandling, slik som dem fastsatt med henblikk på andre særlige behandlingssituasjoner som nevnt i kapittel IX».

Det er etter departementets vurdering noe usikkert i hvilken utstrekning det er adgang til å gi nasjonale regler. Departementet legger imidlertid til grunn at det i tilknytning til lovgivning som utgjør supplerende rettsgrunnlag etter artikkel 6 nr. 2 og 3, i alle fall er adgang til å gi regler som nærmere presiserer når opplysninger lovlig kan behandles, hvilke opplysninger som kan behandles og hvordan opplysningene kan behandles. Departementet legger videre til grunn at det som et utgangspunkt synes å være adgang til å gi regler som presiserer de skjønnsmessige generelle prinsippene i artikkel 5 nr. 1, noe som særlig er aktuelt for prinsippet om formålsbegrensning, dataminimering, riktighet, lagringsbegrensning og integritet og konfidensialitet.

Det er noe usikkert om artikkel 6 nr. 2 og 3 også kan åpne for regler som skjerper kravene til behandlingen utover det som ville fulgt av en tolkning av disse generelle prinsippene. I alle fall når det gjelder private behandlingsansvarlige, kan det argumenteres for at forordningens harmoniseringsformål taler mot slike nasjonale regler. Som følge av at forordningens generelle regler er svært skjønnsmessige, vil grensen mellom presiserende og skjerpende regler i alle tilfelle være flytende. Når det gjelder offentlige myndigheters behandling av personopplysninger, kan departementet ikke se at det har vesentlig betydning om de nasjonale reglene presiserer eller skjerper forordningens krav.

Artikkel 6 nr. 2 og 3 kan derimot ikke anses å åpne for nasjonale regler som fastsetter lempeligere krav til behandlingen enn det som ville fulgt av en tolkning av forordningens generelle regler, verken overfor offentlige eller private behandlingsansvarlige. Slike regler må ha grunnlag i bestemmelser som åpner for unntak i nasjonal rett, for eksempel artikkel 23 og 89 nr. 2 og 3 om den registrertes rettigheter.

6.6 Særlig om rettsgrunnlag for viderebehandling

Prinsippet om formålsbegrensning følger av forordningen artikkel 5 nr. 1 bokstav b, som fastsetter at personopplysninger skal «samles inn for spesifikke, uttrykkelig angitte og berettigede formål og ikke viderebehandles på en måte som er uforenlig med disse formålene». Forordningen artikkel 6 nr. 4 inneholder nærmere bestemmelser om behandling av personopplysninger for andre formål enn det de var innhentet for. Det følger av denne bestemmelsen at viderebehandling for nye, forenlige formål, er tillatt uten et eget rettsgrunnlag for viderebehandlingen.

Artikkel 6 nr. 4 gir anvisning på en ikke-uttømmende liste av momenter som den behandlingsansvarlige skal ta i betraktning i vurderingen av forenlighet. Det skal tas hensyn til enhver forbindelse mellom formålene som personopplysningene er blitt samlet inn for, og formålene med den tiltenkte viderebehandlingen (bokstav a), i hvilken sammenheng personopplysningene er blitt samlet inn, særlig med hensyn til forholdet mellom de registrerte og den behandlingsansvarlige (bokstav b), personopplysningenes art, især om særlige kategorier av personopplysninger behandles i henhold til artikkel 9, eller om personopplysninger om straffedommer og lovovertredelser behandles i henhold til artikkel 10 (bokstav c), de mulige konsekvensene av den tiltenkte viderebehandlingen for de registrerte (bokstav d) og om det foreligger nødvendige garantier, som kan omfatte kryptering eller pseudonymisering (bokstav e).

Dersom det nye formålet ikke er forenlig med innsamlingsformålet, må viderebehandlingen ha grunnlag i lov eller samtykke. At viderebehandlingen må ha grunnlag i lov eller samtykke, innebærer at lovgrunnlaget eller samtykket må knytte seg til selve viderebehandlingen for uforenlige formål. Det er med andre ord ikke tilstrekkelig med et alminnelig behandlingsgrunnlag og et eventuelt supplerende rettslig grunnlag i den forbindelse; det kreves i tillegg et grunnlag for viderebehandlingen. Konsekvensen av at det ikke finnes et grunnlag for viderebehandlingen, er at opplysningene må samles inn på nytt dersom de skal behandles for det nye formålet.

Forordningen artikkel 6 nr. 4 setter skranker for muligheten til å åpne for viderebehandling for uforenlige formål i nasjonal rett. Slike lovbestemmelser må utgjøre «et nødvendig og forholdsmessig tiltak i et demokratisk samfunn for å sikre oppnåelse av målene nevnt i artikkel 23 nr. 1».

Dersom viderebehandlingen skal omfatte særlige kategorier av personopplysninger, vil også artikkel 9 utgjøre en skranke. Artikkel 9 nr. 2 kan stille krav om nasjonale bestemmelser, forholdsmessighet og at det sikres egnede og særlige tiltak for å verne registrertes grunnleggende rettigheter og interesser, se nærmere i punkt 7.1.3 om disse kravene.

7 Særlige kategorier av personopplysninger

7.1 Generelt om særlige kategorier av personopplysninger

7.1.1 Gjeldende rett

Sensitive personopplysninger er i personopplysningsloven § 2 nr. 8 definert som opplysninger om rasemessig eller etnisk bakgrunn, eller politisk, filosofisk eller religiøs oppfatning (bokstav a), at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling (bokstav b), helseforhold (bokstav c), seksuelle forhold (bokstav d) og medlemskap i fagforeninger (bokstav e). Personopplysningsloven § 9 stiller ytterligere krav til behandling av slike opplysninger. Sensitive personopplysninger kan bare behandles dersom behandlingen oppfyller både et av vilkårene i § 8 og et av vilkårene i § 9 første ledd bokstav a til h.

Sensitive personopplysninger kan behandles ved samtykke fra den registrerte eller ved lovbestemt adgang til slik behandling, jf. bokstav a og b. Dersom den registrerte ikke er i stand til å samtykke, kan opplysningene behandles for å beskytte en persons vitale interesser, jf. bokstav c. Etter bokstav d kan sensitive personopplysninger behandles dersom det utelukkende er tale om opplysninger som den registrerte selv har gjort alminnelig kjent. Bokstav e gir grunnlag for behandling som er nødvendig for å fastsette, gjøre gjeldende eller forsvare et rettskrav. Etter bokstav f kan den behandlingsansvarlige behandle sensitive personopplysninger når det er nødvendig for å gjennomføre arbeidsrettslige plikter og rettigheter. Bokstav g gir grunnlag for behandling i forbindelse med helsetjenester, mens bokstav h gir adgang til å behandle sensitive opplysninger for historiske, statistiske eller vitenskapelige formål etter en interesseavveining.

Personopplysningsloven § 9 annet ledd gir ideelle sammenslutninger og stiftelser en begrenset adgang til å behandle sensitive personopplysninger selv om ingen av vilkårene i første ledd er oppfylt. Behandlingen kan bare omfatte opplysninger om medlemmer eller personer som frivillig er i regelmessig kontakt med sammenslutningen eller stiftelsen på grunn av dens formål, og bare opplysninger som samles inn gjennom kontakten.

I personopplysningsloven § 9 tredje ledd er Datatilsynet gitt myndighet til å bestemme at sensitive personopplysninger kan behandles selv om verken vilkårene i første eller annet ledd er oppfylt, dersom viktige samfunnsinteresser tilsier det og det settes i verk tiltak for å sikre den registrertes interesser.

Behandling av sensitive opplysninger krever også som hovedregel konsesjon fra Datatilsynet, jf. personopplysningsloven § 33 første ledd.

7.1.2 Oversikt over forordningens regler

Forordningen artikkel 9 oppstiller tilleggskrav for behandling av «særlige kategorier av personopplysninger», og er en parallell til § 9 i gjeldende lov om sensitive personopplysninger. Opplysningene som omfattes av artikkel 9, omtales som «sensitive opplysninger» i en parentes i fortalepunkt 10. I fortalen for øvrig og i forordningens artikler brukes imidlertid termen «særlige kategorier av personopplysninger». Departementet har i proposisjonen her valgt å betegne opplysningene nevnt i forordningen artikkel 9 nr. 1 som «særlige kategorier av personopplysninger», i tråd med forordningens terminologi.

Artikkel 9 nr. 1 omfatter behandling av personopplysninger om «rasemessig eller etnisk opprinnelse, politisk oppfatning, religion, filosofisk overbevisning eller fagforeningsmedlemskap, samt behandling av genetiske opplysninger og biometriske opplysninger med det formål å entydig identifisere en fysisk person, helseopplysninger eller opplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering». Forordningen skiller seg fra gjeldende lov på to punkter. For det første omfattes ikke opplysninger om at en person har vært mistenkt, tiltalt eller dømt for en straffbar handling. Slike opplysninger er i stedet særregulert i artikkel 10. For det andre er det kommet til to kategorier av opplysninger som ikke regnes som sensitive etter dagens lov, nemlig genetiske opplysninger og biometriske opplysninger med det formål å entydig identifisere en fysisk person.

Nummer 1 oppstiller en hovedregel om at behandling av slike personopplysninger er forbudt. For at behandling av personopplysninger som omfattes av forbudet i artikkel 9 nr. 1, skal være lovlig, må vilkårene i et av unntakene i artikkel 9 nr. 2 være oppfylt. I tillegg må det foreligge behandlingsgrunnlag etter artikkel 6, jf. fortalepunkt 51, hvor det fremgår at også de allmenne prinsippene og de andre reglene i forordningen får anvendelse, «særlig når det gjelder vilkårene for lovlig behandling».

Unntaksregelen i artikkel 9 nr. 2 bokstav a gir adgang til å behandle særlige kategorier av personopplysninger når den registrerte gir uttrykkelig samtykke, og viderefører § 9 første ledd bokstav a i dagens lov. Bestemmelsen åpner for at medlemsstatene kan fastsette i nasjonal rett at samtykke ikke er tilstrekkelig.

Artikkel 9 nr. 2 bokstav b gir adgang til å behandle særlige kategorier av personopplysninger når behandlingen er «nødvendig for at den behandlingsansvarlige eller den registrerte skal kunne oppfylle sine forpliktelser og utøve sine særlige rettigheter på området arbeidsrett, trygderett og sosialrett i den grad dette er tillatt i henhold til unionsretten eller medlemsstatenes nasjonale rett, eller en tariffavtale i henhold til medlemsstatenes nasjonale rett som gir nødvendige garantier for den registrertes grunnleggende rettigheter og interesser». Behandlingen må være «tillatt» i nasjonal rett eller tariffavtale. Bestemmelsen viderefører dels § 9 første ledd bokstav f i gjeldende lov om arbeidsrettslige plikter. Trygderett og sosialrett er derimot ikke nevnt i dagens lov.

Artikkel 9 nr. 2 bokstav c åpner for å behandle særlige kategorier av personopplysninger når dette er nødvendig for å verne den registrertes eller annen fysisk persons vitale interesser, dersom den registrerte fysisk eller juridisk er ute av stand til å samtykke. Bestemmelsen viderefører § 9 første ledd bokstav c i gjeldende lov, med en viss utvidelse idet forordningen også omfatter andre fysiske personers vitale interesser. Artikkel 9 nr. 2 bokstav d viderefører i det vesentlige dagens § 9 annet ledd, og gir adgang for ideelle sammenslutninger og stiftelser til å behandle særlige kategorier av personopplysninger om medlemmer og andre som sammenslutningen eller stiftelsen kommer i regelmessig kontakt med på grunn av sitt formål. Opplysningene kan ikke utleveres til andre uten samtykke. Artikkel 9 nr. 2 bokstav e svarer i det vesentlige til § 9 første ledd bokstav d i dagens lov. Etter denne bestemmelsen er det tillatt å behandle særlige kategorier av personopplysninger som det er «åpenbart at den registrerte har offentliggjort». Artikkel 9 nr. 2 bokstav f gjør unntak for behandling av særlige kategorier av personopplysninger som er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav eller når domstolene handler innenfor rammen av sin domsmyndighet. Bestemmelsen viderefører § 9 første ledd bokstav e i gjeldende lov.

Forordningen artikkel 9 nr. 2 bokstav g åpner for behandling av særlige kategorier av personopplysninger når dette er nødvendig av hensyn til «viktige allmenne interesser», på grunnlag av unionsretten eller nasjonal rett som skal stå i et rimelig forhold til det mål som søkes oppnådd, være forenlig med det vesentligste innholdet i retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser.

Artikkel 9 nr. 2 bokstav h, jf. nr. 3, gir adgang til å behandle særlige kategorier av personopplysninger i forbindelse med helsehjelp, sosialtjenester mv. og forvaltning av slike tjenester, på grunnlag av unionsretten, nasjonal rett eller en avtale med helsepersonell. Opplysningene kan bare behandles under taushetsplikt. Bestemmelsen viderefører i det vesentlige dagens § 9 første ledd bokstav g.

Unntaket i artikkel 9 nr. 2 bokstav i svarer derimot ikke til noen regel i gjeldende lov. Bestemmelsen åpner for å behandle særlige kategorier av personopplysninger når det er nødvendig av allmenne folkehelsehensyn, på grunnlag av unionsretten eller medlemsstatenes nasjonale rett.

Endelig følger det av artikkel 9 nr. 2 bokstav j at særlige kategorier av personopplysninger kan behandles når det er nødvendig for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1, på grunnlag av unionsretten eller nasjonal rett. Bestemmelsen svarer dels til gjeldende lov § 9 første ledd bokstav h.

Forordningen har ingen bestemmelse som svarer til gjeldende lov § 9 første ledd bokstav b, som åpner for behandling av sensitive personopplysninger når det er «fastsatt i lov at det er adgang til slik behandling». Bestemmelser i særlovgivningen som gjør unntak fra forbudet i artikkel 9 nr. 1, må oppfylle kravene i en av unntaksbestemmelsene i artikkel 9 nr. 2.

Forordningen har videre ingen bestemmelse som tilsvarer § 9 tredje ledd i gjeldende lov, som gir Datatilsynet adgang til å bestemme at sensitive personopplysninger kan behandles dersom viktige samfunnsinteresser tilsier det jf. § 9 tredje ledd i gjeldende lov.

Artikkel 9 nr. 4 åpner for at medlemsstatene kan opprettholde eller innføre ytterligere vilkår, herunder begrensninger, med hensyn til behandling av genetiske opplysninger, biometriske opplysninger eller helseopplysninger.

7.1.3 Generelt om adgangen til og behovet for å fastsette nasjonale bestemmelser

Artikkel 9 nr. 2 bokstav a til j oppstiller nærmere avgrensede unntak fra forbudet mot å behandle særlige kategorier av personopplysninger. Etter noen av unntakene i artikkel 9 nr. 2 kreves det i tillegg at det må foreligge ytterligere bestemmelser i unionsretten eller nasjonal rett som åpner for behandlingen. Unntakene må med andre ord «aktiveres» i unionsretten eller nasjonal rett for at den behandlingsansvarlige skal kunne benytte dem. Den behandlingsansvarlige må i disse tilfellene kunne vise både til det relevante unntaket i artikkel 9 nr. 2 og en eller flere ytterligere nasjonale bestemmelser som åpner for behandling etter det relevante unntaket i artikkel 9 nr. 2.

Departementet legger til grunn at forordningen ikke stiller krav om ytterligere bestemmelser i nasjonal rett for behandling i tråd med bokstav a om samtykke, bokstav c om vitale interesser, bokstav d om stiftelser og sammenslutninger, bokstav e om offentliggjorte opplysninger og bokstav f om rettskrav. Ingen av disse unntakene forutsetter etter sin ordlyd ytterligere regulering i nasjonal rett.

Fire av de øvrige unntakene krever derimot at det er åpnet for behandlingen i unionsretten eller nasjonal rett. Dette gjelder bokstav g om viktige allmenne interesser, bokstav h om helsetjenester mv., bokstav i om folkehelse og bokstav j om arkiv, forskning og statistikk. Endelig krever bokstav b om arbeidsrettslige, trygderettslige og sosialrettslige rettigheter og forpliktelser at behandlingen er tillatt enten i unionsretten, nasjonal rett eller i tariffavtale.

Departementet legger til grunn at det innenfor disse bestemmelsenes anvendelsesområde er opp til unionsretten og nasjonal rett å fastsette om og i så fall i hvilken utstrekning det skal fastsettes unntak fra forbudet i artikkel 9 nr. 1. Når det er opp til nasjonal rett å gjøre unntak fra forbudet i artikkel 9 nr. 1 i de tilfellene som omfattes av 9 nr. 2 bokstav b, g, h, i og j, legger departementet til grunn at det som utgangspunkt må foreligge en lov eller forskrift som åpner for behandling av særlige kategorier av personopplysninger. Departementet legger til grunn at bestemmelsene også kan utformes slik at de gir hjemmel for å tillate behandling av særlige kategorier av personopplysninger ved vedtak i enkelttilfeller.

Forordningen gir ikke noe klart svar på hvor klart eller spesifikt nasjonale bestemmelser som åpner for behandling av særlige kategorier av personopplysninger, må være. Når de nevnte bestemmelsene i artikkel 9 nr. 2 krever et «grunnlag» for behandlingen, eller at behandlingen er «tillatt», kan de etter sin ordlyd neppe sies å stille et ubetinget krav om at det alltid må foreligge en helt uttrykkelig og spesifikk lovhjemmel. På samme måte som når det gjelder kravet om supplerende rettsgrunnlag etter artikkel 6 nr. 3, må det vurderes konkret om en bestemmelse er tilstrekkelig for en gitt behandling, jf. punkt 6.3.2 samt punkt 6.4 om kravene om rettsgrunnlag etter Grunnloven og EMK. Det bør tas i betraktning i en slik vurdering at formålet med artikkel 9 nr. 1 er å sikre særlige kategorier av personopplysninger et særlig vern, noe som kan tilsi at det må gjelde strengere krav enn etter artikkel 6 nr. 3. Departementet bemerker at det etter Grunnloven § 102 og EMK artikkel 8 ikke trekkes noe systematisk skille mellom alminnelige personopplysninger og særlige kategorier. Personopplysningenes sensitivitet vil i denne sammenhengen være et moment i vurderingen av inngrepets art og omfang, som igjen har betydning for hvilke krav som stilles til inngrepshjemmelen.

Videre stiller tre av bestemmelsene i artikkel 9 nr. 2 krav om at det i unionsretten eller i nasjonal rett sikres egnede og særlige tiltak for å verne den registrertes rettigheter og friheter/interesser, jf. artikkel 9 nr. 2 bokstav g, i og j om henholdsvis viktige allmenne interesser, folkehelse og arkiv, forskning og statistikk. Artikkel 9 nr. 2 bokstav b om arbeidsrettslige, trygderettslige og sosialrettslige rettigheter og forpliktelser krever at det gis «nødvendige garantier for den registrertes grunnleggende rettigheter og interesser».

Forordningen gir etter departementets oppfatning ikke noe helt klart svar på hva som nærmere ligger i disse kravene, eller hvordan slike tiltak eller garantier skal forholde seg til forordningens alminnelige regler. Kravene er ikke utdypet i fortalen. Noen spredte bestemmelser i forordningen gir imidlertid en viss veiledning. Artikkel 9 nr. 3 nevner taushetsplikt som en garanti, jf. nr. 2 bokstav h. Etter artikkel 89 nr. 1 om arkiv-, forsknings- og statistikkformål skal behandlingen være omfattet av nødvendige garantier som «skal sikre at det er innført tekniske og organisatoriske tiltak for særlig å sikre at prinsippet om dataminimering overholdes». Videre følger det at tiltakene kan være pseudonymisering og anonymisering. Forordningen artikkel 6 nr. 4 bokstav e nevner kryptering som en garanti, mens artikkel 23 nr. 2 bokstav d nevner garantier «for å unngå misbruk eller ulovlig tilgang eller overføring».

Etter departementets syn er det mest nærliggende å ta utgangspunkt i at tiltakene eller garantiene skal ha som sitt primære formål å sørge for at behandlingen skjer i tråd med de grunnleggende prinsippene for behandling av personopplysninger, tatt i betraktning opplysningenes sensitivitet, behandlingens formål, risikoen ved behandlingen mv. Hva garantiene eller tiltakene kan og må gå ut på, vil kunne variere betydelig. Departementet legger til grunn at én mulig form for tiltak er spesifiserende regler om behandlingen, for eksempel om hvilke personopplysninger som kan samles inn for et gitt formål, hvor opplysningene skal hentes fra, hvordan de skal lagres, nøyaktig hvor lenge de kan lagres, hvem personopplysningene kan utleveres til mv. Der det ikke er mulig å gi detaljerte regler om slike forhold, for eksempel fordi reglene skal omfatte mange ulike kategorier av behandlingsansvarlige og behandlinger, blir det nødvendig å fastsette mer generelle regler. Et eksempel på et slikt tiltak er et krav om at personopplysninger skal pseudonymiseres så langt formålet med behandlingen kan nås på den måten. Slike regler vil gjerne stille større krav til den behandlingsansvarliges egne vurderinger.

Jo bredere nedslagsfelt reglene har, jo vanskeligere vil det være å utforme spesifikke tiltak eller garantier. Som nevnt over kan forordningen neppe anses å være til hinder for at det i nasjonal rett åpnes for behandling av særlige kategorier av personopplysninger gjennom generelle bestemmelser, det vil si bestemmelser med omtrent samme anvendelsesområde som artikkel 9 nr. 2 bokstav b, g, h, i og j. I slike tilfeller kan det være et alternativ å fastsette mekanismer eller prosedyrer som den behandlingsansvarlige skal følge for å sikre etterlevelse av regelverket. Forhåndsgodkjenning fra tilsynsmyndigheten er et eksempel på en slik mekanisme, og et annet eksempel er at den enkelte behandlingen skal vurderes av personvernombud før behandlingen begynner.

Forordningen artikkel 9 nr. 2 bokstav a åpner for å fastsette i nasjonal rett at samtykke ikke er tilstrekkelig for behandling av særlige kategorier av opplysninger. En slik begrensning kan enten fastsettes uttrykkelig i lovgivningen, eller være implisitt ved at den nasjonale bestemmelsen oppstiller vilkår som gjelder uavhengig av den registrertes samtykke. Ved tolkningen av nasjonale regler som åpner for behandling av særlige kategorier av opplysninger, må det dermed tas stilling til om bestemmelsene er ment å være et alternativ til samtykke, eller om bestemmelsene er ment å begrense adgangen til å behandle etter samtykke.

Bestemmelser som åpner for behandling av særlige kategorier av personopplysninger, kan fastsettes både i særlovgivning og i den generelle personopplysningslovgivningen. Under i punkt 7.2 til 7.4 drøfter departementet om det i den generelle personopplysningsloven bør gis lovbestemmelser som åpner for behandling av personopplysninger i de tilfellene som omfattes av artikkel 9 nr. 2 bokstav b, g, h og i.

7.2 Arbeidsrett, trygderett og sosialrett

7.2.1 Gjeldende rett

Det følger av personopplysningsloven § 9 første ledd bokstav f at sensitive personopplysninger kan behandles når «behandlingen er nødvendig for at den behandlingsansvarlige kan gjennomføre sine arbeidsrettslige plikter eller rettigheter». Personopplysningsloven har ingen generelle bestemmelser som åpner for behandling av sensitive personopplysninger på trygde- eller sosialrettens område.

7.2.2 Forordningen

Forordningen artikkel 9 nr. 2 bokstav b gjør unntak fra artikkel 9 nr. 1 for behandling som er «nødvendig for at den behandlingsansvarlige eller den registrerte skal kunne oppfylle sine forpliktelser og utøve sine særlige rettigheter på området arbeidsrett, trygderett og sosialrett». Behandlingen må være tillatt i unionsretten, nasjonal rett eller tariffavtale som gir «nødvendige garantier for den registrertes grunnleggende rettigheter og interesser».

7.2.3 Forslaget i høringsnotatet

Departementet uttrykte i høringsnotatet tvil om hvorvidt det er behov for å videreføre en bestemmelse i den generelle personopplysningsloven som åpner for behandling av særlige kategorier av personopplysninger i arbeidsforhold, eller om arbeidsmiljølovgivningen åpner for behandlingen i tilstrekkelig grad. Det ble ikke foreslått noen slik bestemmelse, men det ble bedt om høringsinstansenes syn på om det er nødvendig med en generell lovbestemmelse.

Departementet bemerket at områdene trygderett og sosialrett ikke omfattes av noen egen bestemmelse i den gjeldende personopplysningsloven, slik at behandling på disse områdene må skje i tråd med eksisterende særlovgivning. Det ble på denne bakgrunn ikke foreslått noen generell bestemmelse om disse områdene.

7.2.4 Høringsinstansenes syn

Alle høringsinstansene som uttaler seg om spørsmålet, uttaler at det er behov for å videreføre en generell bestemmelse om behandling av særlige kategorier av personopplysninger i arbeidsforhold. Arbeids- og sosialdepartementet, Oslo kommune, Oslo universitetssykehus HF, Arbeidsgiverforeningen Spekter, Juristforbundet, Unio, Næringslivets Hovedorganisasjon, Hovedorganisasjonen Virke, Akademikerne, Den norske legeforening, Landsorganisasjonen i Norge, SAMFO – Arbeidsgiverforening for samvirkeforetak, KS, Norges Rederiforbund, Telenor Norge AS, Telia, Brækhus Advokatfirma DA og Sporveien Oslo AS mener at det bør videreføres en generell bestemmelse som gir adgang til behandling av særlige kategorier av personopplysninger. Arbeidsgiverforeningen Spekter mener at det uten en slik bestemmelse kan oppstå tvil om adgangen til behandling, og uttaler:

«Spekter er av den oppfatning at det er behov for å videreføre dagens generelle unntaksregel for å behandle sensitive personopplysninger tilsvarende dagens regel i § 9 bokstav f. Dette blant annet fordi rettstilstanden når det gjelder arbeidsgivers adgang til å behandle sensitive personopplysninger uten dagens generelle unntaksbestemmelse vil bli fragmentarisk, og unnlatelse av å videreføre dagens unntaksbestemmelse kan i seg selv være egnet til å skape tvil om arbeidsgivers adgang til å behandle sensitive personopplysninger.»

Den norske legeforening uttaler at det er nødvendig å behandle særlige kategorier av personopplysninger i tilfeller som ikke er tilstrekkelig dekket i annen lovgivning:

«Arbeidsmiljøloven § 9-3 og § 9-4 om henholdsvis innhenting av helseopplysninger ved ansettelse eller medisinske undersøkelser gir hjemmel for behandling av sensitive personopplysninger i arbeidsforhold. Vi mener at det vil være tilfeller hvor det behandles sensitive personopplysninger i arbeidsforhold uten at dette har et rettslig grunnlag i nasjonal lovgivning. Det kan være nødvendig å behandle opplysninger om fagforeningsmedlemskap i forbindelse med lønnsutbetaling. Videre kan det være nødvendig å behandle helseopplysninger eller andre typer sensitive personopplysninger i forbindelse med tilrettelegging, personaladministrasjon eller lignende. Vi foreslår dermed en regulering som hjemler behandling som er nødvendig for å ivareta arbeidsrettslige rettigheter og plikter.»

Datatilsynet uttaler at det kan være behov for en bestemmelse som av pedagogiske grunner klargjør når lov, forskrift eller tariffavtale kan være rettslig grunnlag, samt at adgangen til å behandle på grunnlag av tariffavtaler må reguleres nærmere i lov:

«Av pedagogiske grunner kan det vurderes å utforme en bestemmelse i den generelle personopplysningsloven som klargjør når lov, forskrift eller tariffavtale kan utgjøre et rettslig grunnlag på dette området.

Slik vi ser det må behandling av sensitive personopplysninger på grunnlag av tariffavtale skje innenfor de rammer som følger av nasjonal lov med nødvendige garantier, jf. artikkel 9 nr. 2 bokstav b. Det mest praktiske er derfor trolig at arbeidsmiljøloven med forskrifter regulerer forholdet til behandling av sensitive personopplysninger på grunnlag av en tariffavtaler nærmere.»

Også Landsorganisasjonen i Norge uttaler at det bør gis nasjonale regler om behandling i medhold av tariffavtaler, og uttaler:

«LO mener det i den forbindelse bør inntas et kvalifikasjonskrav med en nedre grense relatert til hvilket nivå, og av hvilke parter tariffavtalen skal inngås for å tilfredsstille forordningens krav til rettslig grunnlag. Etter norsk rett er det lite som skal til for å oppfylle vilkårene for å opprette en «tariffavtale». Det vises til arbeidstvistloven § 1 e). I utgangspunktet bør tariffavtalereguleringen reserveres til forbund/landsforening med landsomfattende tariffavtale.»

Landsorganisasjonen i Norge og Unio mener at det også er behov for nasjonale regler som åpner for at fagforeninger kan behandle særlige kategorier av personopplysninger. Landsorganisasjonen i Norge uttaler:

«LO foreslår at det innføres et særskilt unntak fra forbudet mot å behandle sensitive personopplysninger i forordningens artikkel 9 nr 1 for fagforeninger som behandler opplysninger om sine medlemmer for å administrere medlemskapet.

Begrunnelsen for forslaget om et unntak er at behandling av opplysninger om fagforeningsmedlemmer er underlagt strengere regler da de regnes som sensitive personopplysninger i henhold til forordningen. Dette medfører unødvendige kompliserende krav og rutiner ved f.eks inn- og utmeldelse og annen administrasjon av medlemskapet. Medlemskap i fagforening er frivillig, og opplysningen som sådan oppleves i det norske samfunn neppe å ha samme grad av sensitivitet som andre sensitive personopplysninger som f.eks helseopplysninger eller opplysninger om straff.»

Ingen høringsinstanser gir uttrykk for at det bør gis generelle bestemmelser om behandling av særlige kategorier av personopplysninger på rettsområdene trygderett og sosialrett. Arbeids- og velferdsdirektoratet uttaler:

«Trygderett og sosialrett er kjernen av NAV sin virksomhet. Artikkel 9 nr. 2 bokstav b vil, sammen med artikkel 9 nr. 2 bokstav g, i hovedsak være NAV sitt hjemmelsgrunnlag etter forordningen for behandling av sensitive personopplysninger og som vil kreve ytterligere rettsgrunnlag i nasjonal rett. Som Justis- og beredskapsdepartementet skriver er disse rettsområdene i stor grad lovregulert og behandling av sensitive personopplysninger på disse områdene skjer etter gjeldende rett med grunnlag i eksisterende særlovgivning.

Vi mener i hovedsak at gjeldende særlovgivning på våre områder gir tilstrekkelig grunnlag for behandling av sensitive personopplysninger også etter ny forordning.»

7.2.5 Departementets vurdering

Høringen har etter departementets syn avdekket et behov for å videreføre en generell bestemmelse som åpner for behandling av særlige kategorier av personopplysninger i arbeidsforhold. Departementet foreslår på denne bakgrunn at det fastsettes en slik bestemmelse i den nye personopplysningsloven med grunnlag i artikkel 9 nr. 2 bokstav b, se lovforslaget § 6. Den foreslåtte bestemmelsen er en videreføring av gjeldende personopplysningslov § 9 første ledd bokstav f, og åpner for behandling av særlige kategorier av personopplysninger i den utstrekning det er nødvendig for å gjennomføre arbeidsrettslige plikter eller rettigheter.

Det følger av artikkel 9 nr. 2 bokstav b at nasjonale regler som åpner for behandling, skal gi «nødvendige garantier for den registrertes grunnleggende rettigheter og interesser». Etter departementets oppfatning er det ikke hensiktsmessig å utforme generelle «garantier» for behandlingen i arbeidsforhold i personopplysningsloven utover at det må foreligge arbeidsrettslige plikter eller rettigheter som gjør behandlingen nødvendig. Bestemmelsen favner om til dels svært ulike behandlingssituasjoner, og departementets oppfatning er at det på dette området er vanskelig å se at det finnes egnede «garantier» av generell art som vil ha reell betydning ved siden av forordningens øvrige regler. Etter departementets syn bør dette kravet i stedet oppfylles gjennom mer spesifikke garantier i sektorlovgivningen. Det vises på dette punktet til reglene om kontrolltiltak i arbeidsmiljøloven kapittel 9, samt de foreslåtte reglene om kameraovervåking på arbeidsplass og innsyn i e-post mv. Reglene i arbeidsmiljøloven §§ 9-3 og 9-4 innebærer for eksempel en spesifisering av når helseopplysninger om ansatte kan innhentes. Reglene om kontrolltiltak kan bli aktuelle der det innhentes særlige kategorier av personopplysninger som ledd i kontrollen. Arbeidsmiljøloven inneholder også et særskilt diskrimineringsvern i kapittel 13 og regler om fortrolige opplysninger i § 8-3. Dersom det oppstår et behov for ytterligere garantier, bør dette fastsettes i arbeidsmiljølovgivningen.

Ordlyden i forordningen artikkel 9 nr. 2 bokstav b sondrer mellom nasjonal rett og tariffavtale, og det er etter ordlyden tilstrekkelig at tariffavtalen er «i henhold til» («pursuant to») nasjonal rett. Etter departementets vurdering er det mest nærliggende å lese dette som at tariffavtalen må være inngått etter nasjonal rett og underlagt denne, og ikke som at nasjonal rett må åpne for behandling i medhold av tariffavtale. Av pedagogiske hensyn mener departementet likevel at en generell lovbestemmelse om behandling i arbeidsforhold også bør omfatte tariffavtaler. Etter departementets syn bør det ikke på nåværende tidspunkt fastsettes noe kvalifikasjonskrav for hva slags tariffavtaler som er tilstrekkelige, idet dette vil bero på en tolkning av artikkel 9 nr. 2 bokstav b.

Fagforeninger kan behandle særlige kategorier personopplysninger om sine medlemmer direkte etter forordningen artikkel 9 nr. 2 bokstav d. Departementet foreslår derfor ingen nasjonale regler om slik behandling.

Ingen høringsinstanser har gitt uttrykk for at det bør gis generelle bestemmelser om behandling av særlige kategorier av personopplysninger på rettsområdene trygderett og sosialrett. Departementet foreslår ikke bestemmelser om dette.

7.3 Helsetjenester mv. og allmenne folkehelsehensyn

7.3.1 Gjeldende rett

Etter personopplysningsloven § 9 første ledd bokstav g kan sensitive personopplysninger behandles når «behandlingen er nødvendig for forebyggende sykdomsbehandling, medisinsk diagnose, sykepleie eller pasientbehandling eller for forvaltning av helsetjenester, og opplysningene behandles av helsepersonell med taushetsplikt».

Gjeldende lov inneholder ingen bestemmelser om behandling av sensitive personopplysninger for folkehelseformål.

7.3.2 Forordningen

Forordningen artikkel 9 nr. 2 bokstav h åpner for behandling av særlige kategorier av personopplysninger når dette er nødvendig «i forbindelse med forebyggende medisin eller arbeidsmedisin for å vurdere en arbeidstakers arbeidskapasitet, i forbindelse med medisinsk diagnostikk, yting av helse- eller sosialtjenester, behandling eller forvaltning av helse- eller sosialtjenester og -systemer på grunnlag av unionsretten eller medlemsstatenes nasjonale rett eller i henhold til en avtale med helsepersonell og med forbehold for vilkårene og garantiene nevnt i nr. 3.» Bestemmelsen stiller i motsetning til de andre unntakene som krever nasjonal regulering, ikke krav om «egnede og særlige tiltak» eller «garantier» utover det som følger av artikkel 9 nr. 3, som krever at opplysningene må behandles av en fagperson med taushetsplikt eller under en slik persons ansvar.

Artikkel 9 nr. 2 bokstav i åpner for behandling som er «nødvendig av allmenne folkehelsehensyn, f.eks. vern mot alvorlige grenseoverskridende helsetrusler eller for å sikre høye kvalitets- og sikkerhetsstandarder for helsetjenester og legemidler eller medisinsk utstyr». Behandlingen må ha grunnlag i «unionsretten eller medlemsstatenes nasjonale rett der det fastsettes egnede og særlige tiltak for å verne den registrertes rettigheter og friheter, særlig taushetsplikt».

7.3.3 Forslaget i høringsnotatet

Departementet viste i høringsnotatet til at yting og forvaltning av helse- og sosialtjenester mv. i norsk rett er underlagt en omfattende lov- og forskriftsregulering, herunder om behandling av opplysninger og om taushetsplikt. Departementet tok på denne bakgrunn utgangspunkt i at det neppe er nødvendig med en generell bestemmelse i personopplysningsloven som åpner for behandling av særlige kategorier av personopplysninger på disse områdene. Det ble ikke foreslått noen lovbestemmelse, men departementet ba om høringsinstansenes syn på om det forekommer at sensitive personopplysninger i dag behandles utelukkende på grunnlag av personopplysningsloven § 9 første ledd bokstav g, uten ytterligere rettsgrunnlag i helselovgivningen.

Når det gjaldt folkehelsehensyn, tok departementet utgangspunkt i at gjeldende lov ikke har egne regler om dette, og at behandlingen derfor etter gjeldende rett må skje med grunnlag i samtykke eller særlovgivning. Departementet foreslo ingen bestemmelser om dette, men ba om høringsinstansenes syn på behovet for generelle regler.

7.3.4 Høringsinstansenes syn

Få høringsinstanser uttaler seg om hvorvidt det er behov for en generell lovbestemmelse om helsetjenester mv. Oslo universitetssykehus HF mener at det bør vurderes å gi en slik bestemmelse på bakgrunn av at sektoren er i utvikling:

«OUS er ikke kjent med at helseopplysninger i dag behandles utelukkende på grunnlag av personopplysningsloven § 9 første ledd bokstav g, uten ytterligere grunnlag i helselovgivningen. OUS mener det likevel bør vurderes å innta en generell lovbestemmelse i ny personopplysningslov. Ny kunnskap, spesialisering og teknologiske fremskritt bidrar til at den tradisjonelle medisin og helsetjeneste hele tiden er i endring når det gjelder innhold, arbeidsform og organisering. Gjeldene regulering i særlovgivning følger ikke alltid samme utvikling og vil nødvendigvis ikke gi tilstrekkelig rettsgrunnlag. Dette er en problemstilling som særlig vil kunne gjøre seg gjeldende innen persontilpasset medisin, der grenseoppgangen mellom helseforskning, metodeutvikling, diagnostikk og behandling utfordrer gjeldende regelverk.»

Den norske legeforening påpeker at behovet for nasjonale bestemmelser henger sammen med hvordan kravene i forordningen forstås:

«Hvorvidt det er tilstrekkelig supplerende rettslig grunnlag i nasjonal rett henger sammen med hvor strengt kravet til rettslig grunnlag tolkes. Vi forstår departementet slik at det legges opp til en lite streng/liberal tolkning av kravet til rettslig grunnlag. Ut i fra dette kan vi ikke se at de mangler supplerende rettslig grunnlag innenfor helselovgivningen. Vi påpeker likevel at kravet til rettslig grunnlag må ses i sammenheng med hvordan dette tolkes i EU for øvrig. Dersom EUs praksis på området innebærer en strengere tolkning av kravet til rettslig grunnlag, kan dette nødvendiggjøre tilsvarende mer detaljerte grunnlag for behandling av eksempelvis helseopplysninger.»

Få høringsinstanser uttaler seg om hvorvidt det er behov for en generell bestemmelse som åpner for behandling av særlige kategorier av personopplysninger for folkehelseformål. Folkehelseinstituttet uttaler at det er behov for et slikt unntak, og mener at behandlingen ikke i tilstrekkelig grad er regulert i særlovgivning:

«Folkehelseinstituttet understreker at et generelt unntak fra forbudet mot behandling av sensitive personopplysninger som er nødvendig av allmenne folkehelsehensyn kan forenkle folkehelsearbeidet og redusere risikoen for at myndighetene ikke vil ha anledning til å gjennomføre kvalitetsforbedring, beredskapstiltak, nødvendig overvåkning og undersøkelser, eller kvalitetssikring av personopplysninger, for å ivareta og forbedre befolkningens helse. Nødvendig behandling av personopplysninger til disse formål er ikke i tilstrekkelig grad regulert i særlovgivningen og det er så langt ikke tilstrekkelig klarlagt hvorvidt særlovgivningen oppfyller de tilføyede krav til nasjonal lovgivning som fremgår av forordningen artikkel 9 nr. 2.»

Videre uttaler Folkehelseinstituttet at generelle lovregler kan gjøre det enklere å fastsette tiltak for å verne den registrertes rettigheter og friheter:

«Folkehelseinstituttet tillegger forøvrig at det synes enklere, både for lovgiver og for de behandlingsansvarlige, å påse at kravet i forordningen til at lovgrunnlaget eller forskriftene skal fastsette «tiltak for å verne den registrertes rettigheter og friheter», jf. forordningen artikkel 9 nr. 2 bokstav b, g, i og j, er oppfylt om det fastsettes generelle og lovhjemlede unntak.»

Også Brækhus Advokatfirma DA mener at det bør fastsettes en generell lovbestemmelse om behandling som er nødvendig av folkehelsehensyn:

«Brækhus stiller seg positiv til innføring av en generell lovbestemmelse for behandling av sensitive personopplysninger som anses nødvendig av allmenne folkehelsehensyn.

Nødvendighetskriteriet setter igjen viktige skranker for i hvilke tilfeller behandling kan finne sted. Det må i tillegg stilles strenge krav til «egnede og særlige tiltak for å verne den registrertes rettigheter og interesser» som tar hensyn til opplysningenes sensitivitet. Bestemmelsen fremhever i denne sammenheng taushetsplikt som et eksempel på et slikt tiltak som bør innføres i sammenheng med et eventuelt supplerende rettslig grunnlag for behandling av sensitive personopplysninger som er nødvendig av allmenne folkehelsehensyn.

Under forutsetning av at slike tiltak iverksettes, mener vi at viktige allmenne folkehelsehensyn bør gå foran hensynet til den enkeltes personvern. Brækhus legger til grunn at bestemmelsen vil ha et snevert virkeområde, men kan bli viktig i særlige tilfeller.»

7.3.5 Departementets vurdering

Høringen har etter departementets vurdering ikke avdekket at det er behov for en generell lovbestemmelse i personopplysningsloven som åpner for behandling av særlige kategorier av personopplysninger i forbindelse med helsetjenester mv., jf. forordningen artikkel 9 nr. 2 bokstav h. Det foreslås derfor ingen slik bestemmelse. Dersom utviklingen i sektoren gjør det nødvendig med nye regler, slik Oslo universitetssykehus HF er inne på, bør nye regler etter departementets syn gis i særlovgivningen. På samme måte bør et eventuelt behov for mer detaljerte regler på området ivaretas gjennom særlovgivningen, og ikke den generelle personopplysningsloven.

Departementet har merket seg at Folkehelseinstituttet og Brækhus Advokatfirma DA mener at det kan være behov for bestemmelser om behandling av særlige kategorier av personopplysninger for folkehelseformål. Etter departementets oppfatning synes det lite hensiktsmessig å innta generelle bestemmelser om dette i den generelle personopplysningsloven. Etter departementets oppfatning vil mer spesifikke regler om dette i særlovgivningen gjøre det enklere for lovgiver og de behandlingsansvarlige å sikre egnede og særlige tiltak for å verne den registrertes rettigheter og friheter. Det foreslås på denne bakgrunn ingen generell lovbestemmelse om behandling for folkehelseformål.

7.4 Behandling etter tillatelse fra Datatilsynet

7.4.1 Gjeldende rett

Det følger av § 9 tredje ledd i personopplysningsloven at «Datatilsynet kan bestemme at sensitive personopplysninger kan behandles også i andre tilfeller dersom viktige samfunnsinteresser tilsier det og det settes i verk tiltak for å sikre den registrertes interesser». Bestemmelsen gir Datatilsynet kompetanse til i enkeltsaker å gi tillatelse til behandling av sensitive personopplysninger som ikke har annet grunnlag i personopplysningsloven eller særlovgivningen. Dersom Datatilsynet gir tillatelse, vil denne utgjøre tilstrekkelig grunnlag. Det er forutsatt i forarbeidene at bestemmelsen skal ha et snevert anvendelsesområde, jf. Ot.prp. nr. 92 (1998–99) side 112. Med grunnlag i denne bestemmelsen har Datatilsynet gitt tillatelse til blant annet treningssentres behandling av sensitive personopplysninger for antidopingformål og til behandling av sensitive personopplysninger i forbindelse med såkalte «integrity due diligence»-undersøkelser, som er bakgrunnsundersøkelser og informasjonsinnhenting som blant annet tar sikte på å avdekke korrupsjon og annen kriminalitet.

7.4.2 Forordningen

Forordningen inneholder ingen bestemmelse som gir tilsynsmyndigheten kompetanse til å gjøre unntak fra forbudet mot behandling av særlige kategorier av personopplysninger i enkelttilfeller. Artikkel 9 nr. 2 bokstav g åpner for nasjonale regler som gjør unntak fra forbudet når det er «nødvendig av hensyn til viktige allmenne interesser». Lovgivningen må «stå i et rimelig forhold til det mål som søkes oppnådd, være forenlig med det grunnleggende innholdet i retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser».

7.4.3 Forslaget i høringsnotatet

Departementet viste i høringsnotatet til at det i noen tilfeller kan oppstå et særlig og uforutsett behov for behandling av særlige kategorier av personopplysninger som er nødvendig av hensyn til viktige allmenne interesser, uten at det er tilstrekkelig tid til å forberede og vedta lovgivning som regulerer behandlingen, og at det kan forekomme behandlingssituasjoner som er såpass unike at det ikke vil være naturlig å gi lover eller forskrifter. Som eksempel nevnte departementet Datatilsynets tillatelse til 22. juli-kommisjonen til å behandle sensitive personopplysninger i forbindelse med granskning.

På denne bakgrunn mente departementet at det med grunnlag i artikkel 9 nr. 2 bokstav g bør gis en lovregel som gir Datatilsynet en snever adgang til å gjøre unntak fra forbudet i artikkel 9 nr. 1 i særlige tilfeller når viktige samfunnsinteresser tilsier dette. Det ble ikke foreslått noen lovfestet tidsbegrensning for tillatelsene, men departementet ba om høringsinstansenes syn på om det burde gjelde en lovfestet tidsbegrensning.

Departementet foreslo videre at det burde være en tilsvarende adgang til å gi forskrift om behandlingen.

7.4.4 Høringsinstansenes syn

Direktoratet for e-helse, Brønnøysundregistrene, Kulturrådet, Advokatforeningen, Juristforbundet, Næringslivets Hovedorganisasjon, Den norske legeforening, KS og Brækhus Advokatfirma DA støtter forslaget om å videreføre en adgang for Datatilsynet til å tillate behandling av særlige kategorier av personopplysninger i enkelttilfeller. Brækhus Advokatfirma DA uttaler:

«Videre er Brækhus positive til en innføring av en generell adgang for Datatilsynet til å i enkelttilfeller fravike artikkel 9 nr. 1. Det vil, som departementet påpeker, fra tid til annen kunne oppstå særlige situasjoner som skaper et behov for å kunne behandle sensitive personopplysninger, hvor det er til samfunnets beste at slik fravikelse skjer for det aktuelle formålet. Bestemmelsen vil med andre ord være forbeholdt helt spesielle situasjoner hvor Datatilsynet kommer til at andre samfunnsinteresser må gå foran hensynet til den enkeltes personvern og bør derfor ikke utgjøre noen risiko for personvernet i nevneverdig grad. Vi mener også at Datatilsynet, ved å sette vilkår for slik behandling, vil kunne ivareta personvernet til den enkelte i en slik situasjon på en god og betryggende måte.»

Juristforbundet mener at Datatilsynet også bør kunne gi tillatelse til behandling av alminnelige personopplysninger, og uttaler:

«Juristforbundet ber i tillegg departementet vurdere behovet for særskilt hjemmel for at Datatilsynet skal kunne gi tillatelse til å behandle både alminnelige og særlige kategorier av personopplysninger av hensyn til viktige samfunnsinteresser, som for eksempel for private selskaper som driver med tilrettelegging av varsling til befolkningen om ekstreme farer som naturkatastrofer, flyalarmer med videre, for eksempel ved hjelp av sms-varsling.»

Datatilsynet mener at det er usikkert om forordningen åpner for en slik bestemmelse, og at det er uheldig å overlate til Datatilsynet å åpne for behandlingen:

«Bestemmelsen i personopplysningsloven § 9 tredje ledd gjennomfører den tilsvarende bestemmelse i personverndirektivet, artikkel 8 nr. 4. Denne generelle adgangen for medlemsland til å fastsette ytterligere unntak fra forbudet til å behandle sensitive personopplysninger er ikke videreført i forordningen. Dette tror vi neppe er tilfeldig.

Behandling av sensitive personopplysninger utenfor reglene i artikkel 9 nr. 2, det vil blant annet si behandling uten samtykke og uten lovhjemmel, er i praksis forbudt etter forordningen. Siden det ikke lenger en klar hjemmel for nasjonal handlingsrom for å supplere listen med unntak fra forbudet mot behandling av sensitive personopplysninger i forordningens artikkel 9 nr. 2, mener Datatilsynet at det er grunn til å tro at det ikke er adgang til å videreføre bestemmelsen i personopplysningsloven § 9 tredje ledd slik departementet foreslår. Vi mener også at det er uheldig å overlate dette til Datatilsynet. En konsesjon gir ikke de samme mulighetene til å innhente de registrertes synspunkter som ved en offentlig høring ved forskriftsendring.»

Datatilsynet uttaler videre at en eventuell bestemmelse bør gjøres svært snever:

«Dersom departementet kommer til at det er adgang til slik regulering, bør denne adgangen gjøres svært snever. Hvis ikke er vi redd for at Datatilsynet vil få mange henvendelser om dette og det vil kunne oppfattes som en «nødløsning».»

Få høringsinstanser har uttalt seg om det bør lovfestes en tidsbegrensning for tillatelsene. Brækhus Advokatfirma DA mener at det ikke bør fastsettes en generell tidsbegrensning, og uttaler:

«Brækhus mener videre at det bør være opp til Datatilsynet å vurdere i det enkelte tilfelle hvorvidt en tidsbegrensning bør være et vilkår for behandlingen og eventuelt hvor lang denne bør være. Med hensyn til at slike særlige situasjoner som foranlediger fravikelse fra forordningen artikkel 9 nr. 1 kan være svært ulikeartede, mener vi det kan være uheldig med en generell tidsbegrensning for konsesjon.»

Brønnøysundregistrene mener at det bør fastsettes en tidsbegrensning, men at det som en sikkerhetsventil bør være adgang til å fornye tillatelsen:

«Når det gjelder tidsbegrensning for konsesjonene, mener vi at selv om det kan være en utfordring å fastsette en eksakt tidsbegrensning, så bør det lovfestes en slik begrensning. Dette for å unngå en utvanning av formålet med bestemmelsen. Bestemmelsen skal dekke de situasjoner som oppstår uforutsett, og hvor behovet som utgangspunkt gjerne er situasjonsbetinget. Hvis behovet vedvarer over tid, og blir mer permanent, bør nødvendigheten av behandlingen vurderes nærmere gjennom en lovgivningsprosess og eventuelt lovhjemles.

Som en sikkerhetsventil bør det være adgang til å fornye konsesjonen i et visst tidsrom dersom det fortsatt foreligger er et særlig tilfelle.»

Ingen høringsinstanser har uttalt seg om den foreslåtte hjemmelen til å fastsette forskrifter som åpner for behandling av særlige kategorier av personopplysninger.

7.4.5 Departementets vurdering

Etter departementets vurdering er det et klart behov for en bestemmelse som gir Datatilsynet adgang til å tillate behandling av særlige kategorier av personopplysninger i enkelttilfeller. Departementet mener at en slik regel vil være i overensstemmelse med forordningen. Behandlingen vil ha forankring i en lovbestemmelse, og den forutsetter forhåndskontroll fra tilsynsmyndigheten, som også må fastsette egnede og særlige tiltak som er tilpasset den enkelte behandlingen. Formålet med behandlingen må også være innenfor det som dekkes av artikkel 9 nr. 2 bokstav g. Samtidig er departementet enig med Datatilsynet i at adgangen bør være snever. Departementet foreslår på denne bakgrunn at Datatilsynet gis en snever adgang til å gjøre unntak fra forbudet i artikkel 9 nr. 1 i særlige tilfeller når viktige allmenne interesser tilsier dette, se lovforslaget § 7 første ledd. Adgangen er ment å være snevrere enn etter gjeldende rett etter någjeldende personopplysningslov § 9 tredje ledd. Etter departementets syn bør adgangen til å gi tillatelse som den klare hovedregel være begrenset til tilfeller der det ikke er tilstrekkelig tid til å forberede og vedta lovgivning eller forskrifter som åpner for behandlingen, eller der behandlingssituasjonen er så unik at det ikke vil være naturlig å regulere den i lov eller forskrift.

Etter departementets oppfatning er det ikke hensiktsmessig å lovfeste en tidsbegrensning for tillatelsene. Datatilsynet vil etter den foreslåtte bestemmelsen kunne gi en tidsbegrenset tillatelse, og det er etter departementets syn mest hensiktsmessig å overlate til Datatilsynet å vurdere i det enkelte tilfelle hvor lenge tillatelsen bør vare.

Departementet foreslår videre at Kongen kan gi forskrifter som åpner for behandling av særlige kategorier av personopplysninger, se lovforslaget § 7 annet ledd. Den klare hovedregelen bør etter departementets syn være at bestemmelser om behandling av særlige kategorier av personopplysninger etter artikkel 9 nr. 2 bokstav g gis i spesifikk særlovgivning eller i forskrift med hjemmel i spesifikk særlovgivning. Etter departementets vurdering er det imidlertid likevel behov for en sikkerhetsventil som åpner for forskrifter om unntak fra forbudet i artikkel 9 nr. 1 i tilfeller der det ikke er tilstrekkelig tid til å forberede og vedta lovgivning. Det foreslås at slik forskrift kan gis når det er nødvendig av hensyn til viktige allmenne interesser, jf. forordningen artikkel 9 nr. 2 bokstav g. Forskrift med hjemmel i denne bestemmelsen bør først og fremst være aktuelt i tilfeller der det ikke er tilstrekkelig tid til å forberede og vedta lovgivning som enten åpner for behandlingen eller gir mer spesifikk hjemmel for forskrifter. Det må i tråd med personvernforordningen artikkel 9 nr. 2 bokstav g fastsettes egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser.

Ettersom forslaget her er ment å snevre inn adgangen Datatilsynet har til å gi tillatelse til behandlinger i enkelttilfeller, kan det bli behov for overgangsregler for behandlinger som i dag skjer på grunnlag av tillatelse etter personopplysningsloven § 9 tredje ledd. Det vises til punkt 12.6 om dette spørsmålet.

8 Personopplysninger om straffbare forhold mv.

8.1 Gjeldende rett

Det følger av personopplysningsloven § 2 nr. 8 at opplysninger om at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling, regnes som sensitive personopplysninger. Etter gjeldende rett reguleres behandlingen av slike personopplysninger derfor av de alminnelige reglene om behandling av sensitive personopplysninger. Det vises til punkt 7.1.1 om disse reglene.

En særregel om straffedommer følger av personopplysningsloven § 10. Etter denne bestemmelsen kan et «fullstendig register over straffedommer» bare føres «under kontroll av en offentlig myndighet».

8.2 Forordningen

Etter forordningen omfattes ikke personopplysninger om straffbare forhold mv. av reglene om særlige kategorier av personopplysninger. I stedet er slike opplysninger særregulert i artikkel 10. Bestemmelsen gjelder i tillegg til reglene om behandlingsgrunnlag i artikkel 6, og fastsetter visse nærmere vilkår for behandling av personopplysninger om straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak. Hovedregelen er at behandling bare kan skje «under en offentlig myndighets kontroll».

Departementet antar at behandlingen utføres «under en offentlig myndighets kontroll» dersom det er en offentlig myndighet som er behandlingsansvarlig, jf. artikkel 4 (7). Om og eventuelt i hvilke tilfeller behandlingen kan sies å utføres under en offentlig myndighets kontroll selv om den behandlingsansvarlige ikke er en offentlig myndighet, må avklares gjennom praksis.

Dersom behandlingen ikke skjer under en offentlig myndighets kontroll, må behandlingen være tillatt i unionsretten eller nasjonal rett. Bestemmelsene må sikre «nødvendige garantier» for de registrertes rettigheter og friheter. Artikkel 10 oppstiller på dette punktet et ubetinget krav om ytterligere bestemmelser i unionsretten eller nasjonal rett, også dersom behandlingen skal skje med den registrertes samtykke.

Etter artikkel 10 annet punktum kan «omfattende registre over straffedommer» bare føres under en offentlig myndighets kontroll. For slike registre kan unionsretten eller nasjonal rett ikke åpne for behandling utenfor en offentlig myndighets kontroll.

Personopplysninger om straffbare forhold mv. er på flere andre punkter undergitt en særskilt regulering i forordningen. Etter artikkel 6 nr. 4 skal det ved vurderingen av om en behandling er (u)forenlig med det opprinnelige formålet legges vekt på om behandlingen gjelder slike opplysninger som nevnt i artikkel 10. Hvorvidt det behandles slike opplysninger som nevnt i artikkel 10, har også betydning ved fastleggelse av pliktene etter artikkel 27 (utpeking av representant i Unionen), artikkel 30 (protokollføring av behandlingsaktiviteter), artikkel 35 (vurdering av personvernkonsekvenser) og artikkel 37 (utpeking av personvernombud).

8.3 Forslaget i høringsnotatet

Departementet foreslo ingen lovbestemmelser om straffbare forhold mv. i høringsnotatet, men ba om høringsinstansenes syn på behovet for nasjonale bestemmelser om behandling av slike personopplysninger.

8.4 Høringsinstansenes syn

En rekke høringsinstanser uttaler seg om behov for bestemmelser som åpner for behandling av personopplysninger som omfattes av personvernforordningen artikkel 10.

Administrasjonen i De nasjonale forskningsetiske komiteene og Norsk senter for forskningsdata mener at det er behov for nasjonale bestemmelser om forskning på personopplysninger om straffedommer og lovovertredelser. Administrasjonen i De nasjonale forskningsetiske komiteene uttaler:

«Det er mulig at behandlingen av opplysningene ved offentlige forskningsinstitusjoner kan anses å være «under en offentlig myndighets kontroll», men dette vil i så fall avskjære de private forskningsinstitusjonene fra å forske på denne typen personopplysninger. Vi registrerer at svenskene har sett det nødvendig å innta egen hjemmel i § 12 i deres forslag til personopplysningslov for forskning (SOU 2017:50). Etter vårt syn har norsk forskning behov for en tilsvarende hjemmel. I mangel av en egen lov om behandling av personopplysninger i forskning, bør hjemmelen tas inn i personopplysningsloven.»

Norsk senter for forskningsdata uttaler videre at det er viktig å sikre at offentlige myndigheter kan utlevere slike personopplysninger til forskning:

«Sist, men ikke minst er det viktig at særlovene som regulerer offentlige myndigheters behandling av strafferettslige opplysninger inneholder hjemler som gir et tydelig lovlig grunnlag for å utlevere slike opplysninger i personidentifiserbar form til forskning. Dette er viktig å sikre bl.a. i rettspleielovene, politiregisterloven og i ny lov om behandling av personopplysninger i Kriminalomsorgen. Disse lovene bør ha bestemmelser som gir klare regler for sammenstilling og utlevering av personopplysninger om strafferettslige forhold til forskning. Slike bestemmelser er viktig, ikke bare på strafferettsområdet.»

Juristforbundet, Næringslivets Hovedorganisasjon, Landsorganisasjonen i Norge og Telenor Norge AS mener at det behov for bestemmelser som tillater behandling av personopplysninger som nevnt i artikkel 10 i arbeidsforhold. Telenor Norge AS uttaler:

«Slik Telenor ser det, vil det f.eks. i arbeidsforhold være behov for å behandle opplysninger om straffedommer og lovovertredelser, eller tilknyttede sikkerhetstiltak, fordi dette kan ha betydning for selve ansettelsesforholdet til en ansatt. I noen tilfeller vil det også være behov for å behandle denne type opplysninger av sikkerhetsmessige årsaker. For eksempel kan det være et familiemedlem til en ansatt som er ilagt et besøksforbud, og der den ansatte orienterer oss som arbeidsgiver, eller det er en ansatt som lever på hemmelig adresse av ulike grunner, og der vi må oppbevare disse opplysningene i våre systemer for å sikre at nødvendige tiltak fra vår side blir tatt for å beskytte den ansatte.»

Næringslivets Hovedorganisasjon mener videre at det er behov for en bestemmelse som åpner for behandling av opplysninger som nevnt i artikkel 10 når det er nødvendig for å «etterleve forpliktelser pålagt av myndighetene».

Datatilsynet, Advokatforeningen og BDO AS gir uttrykk for at det bør sikres adgang til såkalte «integrity due diligence»-undersøkelser, som er bakgrunnsundersøkelser og informasjonsinnhenting som blant annet tar sikte på å avdekke korrupsjon og annen kriminalitet. Datatilsynet uttaler:

«Et annet eksempel er såkalte IDD-prosesser (Integrity Due Diligence) eller liknende. Dette er undersøkelser som foretas i forbindelse med oppkjøp eller ulike former for samarbeid i næringslivet der man undersøker for eksempel om det foreligger tilknytning til korrupsjon eller annen alvorlig kriminalitet. Her har Datatilsynet valgt i gi tillatelser etter personopplysningsloven § 9 tredje ledd, idet vi har ansatt at det foreligger viktige samfunnsinteresser i bunn. Denne bestemmelsen videreføres ikke i sin nåværende form i ny lov.»

BDO AS uttaler:

«Det er BDOs oppfatning at gjennomføringen av GDPR ikke bør medføre rettslige hindre mot effektive og internasjonalt utbredte og til dels lovpålagte tiltak mot korrupsjon og annen økonomisk kriminalitet.»

Datatilsynet uttaler videre at det kan være behov for et rettsgrunnlag for behandling av personopplysninger om straffbare forhold ved kameraovervåking.

Politidirektoratet og Kripos uttaler at offentlige og private aktører som mottar informasjon fra politiet, for eksempel arbeidsgivere, vil trenge et grunnlag for å behandle disse opplysningene. Politidirektoratet uttaler:

«Eksempelvis kan politiet under nærmere vilkår varsle en arbeidsgiver dersom en ansatt har begått lovovertredelser av betydning for hans arbeidsforhold etter politiregisterloven § 31. I slike tilfeller vil mottakerens videre behandling av disse opplysningene avhenge av at de har tilstrekkelig hjemmelsgrunnlag. Politiet vil også ha interesse av at mottakeren har tilstrekkelig behandlingsgrunnlag all den tid dette vil være avgjørende for å sikre at formålet med utleveringen kan oppnås.»

Statens sivilrettsforvaltning peker på behandling av personopplysninger som nevnt i artikkel 10 i rettshjelptiltak:

«Statens sivilrettsforvaltning har ansvaret for forvaltningen av tilskudd til rettshjelptiltakene, men fører verken konkret kontroll med saksbehandlingen eller behandlingen av personopplysninger til de ovennevnte rettshjelptiltakene. Det kan derfor stilles spørsmål ved om det kan være behov for nærmere hjemmel i lov eller forskrift for at rettshjelptiltakene skal kunne utføre oppgaver som innbefatter behandling av personopplysninger som er regulert i artikkel 10.»

Kollektivtrafikkforeningen uttaler at det behandles personopplysninger om lovovertredelser i forbindelse med kollektivselskapers billettkontroller:

«Kollektivselskapene behandler opplysninger om lovovertredelser der vi ved billettkontroll oppdager manglende gyldig billett eller forfalskning av billetter. Dersom offentligeide selskap ikke skal anses som «offentlig myndighet» vil det være behov for nasjonal lovregulering av dette.»

Datatilsynet uttaler at offentlige organers behandling av opplysninger om straffedommer bør reguleres i sektorlovgivningen:

«Etter vår mening bør man i relasjon til offentliges organers behandling av opplysninger om straffedommer mv. bestrebe seg på å ha konkret lovgivning om dette i den spesifikke sektorlovgivningen som gjelder for de ulike organer. For eksempel bør NAVs adgang til å behandle slik type informasjon reguleres i det regelverket som gjelder særskilt for NAV, og det samme gjelder for eksempel for skattemyndighetene eller tollmyndighetene.»

8.5 Departementets vurdering

Forordningen artikkel 10 krever ikke at det fastsettes nasjonale lovbestemmelser for behandling av personopplysninger om straffbare forhold mv. under en offentlig myndighets kontroll. I disse tilfellene stiller ikke artikkel 10 særlige krav utover det som følger av de alminnelige reglene om behandlingsgrunnlag, jf. artikkel 6 nr. 1. Departementet foreslår derfor ingen generelle bestemmelser om behandling av personopplysninger om straffbare forhold mv. under en offentlig myndighets kontroll. Det understrekes imidlertid at artikkel 10 ikke i seg selv gir behandlingsgrunnlag for behandling av personopplysninger om straffbare forhold mv. under en offentlig myndighets kontroll. Behandlingen må i alle tilfelle ha behandlingsgrunnlag etter artikkel 6 nr. 1, noe som også kan innebære krav om supplerende rettsgrunnlag i nasjonal rett, jf. artikkel 6 nr. 1 bokstav c og e, jf. nr. 3. Ved inngripende behandling av personopplysninger om straffbare forhold mv. vil Grunnloven § 102 og EMK artikkel 8 på vanlig måte stille krav til rettsgrunnlaget, jf. punkt 6.4 over.

For behandling av personopplysninger som ikke skjer under en offentlig myndighets kontroll, krever forordningen artikkel 10 derimot at behandlingen tillates i unionsretten eller nasjonal rett. Departementet har merket seg høringsinstansenes syn på behovet for nasjonale bestemmelser på en rekke områder, og foreslår at det gis generelle regler i personopplysningsloven som tillater behandling av personopplysninger om straffbare forhold mv. utenfor en offentlig myndighets kontroll.

Etter departementets syn bør det gjelde samme vilkår for behandling av opplysninger om straffbare forhold mv. utenfor en offentlig myndighets kontroll som for behandling av særlige kategorier av personopplysninger. Departementet kan ikke se at forordningen artikkel 10 stiller krav om strengere vilkår for behandling av slike opplysninger enn for opplysninger som omfattes av artikkel 9 og kan heller ikke se andre hensyn som taler for dette. En slik samlet regulering vil også gi et mer oversiktlig og tilgjengelig regelverk. Departementet går derfor inn for at de generelle reglene som åpner for behandling av særlige kategorier av personopplysninger, som utgangspunkt gis tilsvarende anvendelse for behandling av personopplysninger om straffbare forhold mv. utenfor en offentlig myndighets kontroll, jf. lovforslaget § 11 første ledd første punktum. Dette omfatter de unntaksbestemmelsene i forordningen for behandling av særlige kategorier av personopplysninger som kan anvendes direkte uten ytterligere nasjonale lovbestemmelser, jf. artikkel 9 nr. 2 bokstav a (samtykke), bokstav c (vitale interesser), bokstav d (sammenslutninger mv.), bokstav e (opplysninger offentliggjort av den registrerte selv) og bokstav f (rettskrav mv.). Videre foreslår departementet at de generelle reglene i personopplysningsloven som åpner for behandling av særlige kategorier av personopplysninger, jf. §§ 6 (behandling i arbeidsforhold), 7 (behandling etter tillatelse eller forskrift) og 9 (behandling for arkiv-, forsknings- og statistikkformål) gis tilsvarende anvendelse. Dette vil etter departementets syn sikre nødvendige garantier for de registrertes rettigheter og interesser, jf. artikkel 10. Løsningen vil videreføre gjeldende rett så langt behandlingen ikke skjer under en offentlig myndighets kontroll, ettersom personopplysninger om straffbare forhold etter gjeldende rett regnes som sensitive.

Artikkel 10 gir opphav til flere grensedragningsspørsmål. Disse spørsmålene kan ikke avklares i proposisjonen her, men må avklares gjennom praksis, jf. punkt 2.3. Den foreslåtte bestemmelsen som åpner for behandling av personopplysninger som nevnt i artikkel 10, er ment å ha samme virkeområde som forordningens regel.

Bestemmelser i særlovgivningen som åpner for behandling av «sensitive personopplysninger», gir etter gjeldende rett grunnlag for behandling av personopplysninger om straffbare forhold mv. Etter departementets vurdering vil det være nærliggende å tolke slike bestemmelser på samme måte når forordningen trer i kraft. Dette innebærer at bestemmelser som åpner for behandling av «sensitive personopplysninger», kan anses å omfatte både personopplysninger nevnt i artikkel 9 nr. 1 og artikkel 10. Terminologien i særlovgivningen bør imidlertid tilpasses forordningen på sikt.

9 Fødselsnummer og andre entydige identifikasjonsmidler

9.1 Gjeldende rett

Fødselsnummer, andre identifikasjonsnumre og biometriske identifikasjonsmidler regnes ikke som sensitive personopplysninger etter dagens lov, jf. personopplysningsloven § 2 nr. 8. Etter personopplysningsloven § 12 gjelder det imidlertid noen tilleggskrav for bruk av slike identifikasjonsmidler.

Etter personopplysningsloven § 12 første ledd kan «fødselsnummer og andre entydige identifikasjonsmidler» bare benyttes når det foreligger «saklig behov for sikker identifisering og metoden er nødvendig for å oppnå slik identifisering». Uttrykket «andre entydige identifikasjonsmidler» omfatter andre nasjonale identifikasjonsnumre enn fødselsnummer, samt fingeravtrykk og andre biometriske data, jf. Ot.prp. nr. 92 (1998–99) side 114. Bestemmelsen gjennomfører 95-direktivet artikkel 8 nr. 7.

Etter annet ledd kan Datatilsynet pålegge en behandlingsansvarlig å benytte fødselsnummer eller annet entydig identifikasjonsmiddel hvis det er nødvendig for å sikre at personopplysninger har «tilstrekkelig kvalitet».

Tredje ledd gir hjemmel til å fastsette ytterligere bestemmelser om bruk av fødselsnummer i forskrift. Forskriftshjemmelen i loven § 12 siste ledd er benyttet, og etter personopplysningsforskriften § 10-2 skal postsendinger som inneholder fødselsnummer være utformet slik at nummeret ikke er tilgjengelig for andre enn adressaten. Tilsvarende gjelder sendinger som formidles ved hjelp av telekommunikasjon.

9.2 Forordningen

Forordningen har ingen bestemmelse om bruk av fødselsnummer og andre entydige identifikasjonsmidler tilsvarende gjeldende lov § 12. Fødselsnumre og andre identifikasjonsnumre omfattes ikke av reglene for særlige kategorier av personopplysninger. Bruk av identifikasjonsnumre reguleres altså av de alminnelige reglene for behandling av personopplysninger.

Derimot regnes «biometriske opplysninger med det formål å entydig identifisere en fysisk person» som særlige kategorier av personopplysninger, jf. artikkel 9 nr. 1. Forordningen stiller dermed strengere krav til behandlingen enn det som gjelder for identifikasjonsnumre. Disse kravene er likevel lempeligere enn gjeldende lov § 12. Etter forordningen artikkel 9 nr. 2 bokstav a vil den registrertes samtykke være tilstrekkelig for lovlig behandling, mens tilleggskravene etter gjeldende rett gjelder uavhengig av den registrertes samtykke.

Både for nasjonale identifikasjonsnumre og biometriske identifikasjonsmidler åpner forordningen for at det fastsettes særlige vilkår i nasjonal rett. Etter artikkel 87 kan medlemsstatene fastsette «nærmere særlige vilkår for behandling av et nasjonalt identifikasjonsnummer eller andre generelle identifikatorer». Nummeret eller identifikatoren skal i så fall bare brukes sammen med «nødvendige garantier for den registrertes rettigheter og friheter» i henhold til forordningen. Når det gjelder biometriske identifikasjonsmidler, åpner artikkel 9 nr. 4 for at det i nasjonal rett fastsettes eller opprettholdes nærmere vilkår for behandling av slike opplysninger.

9.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet å videreføre gjeldende rett om vilkårene for behandling av fødselsnummer og andre nasjonale identifikasjonsnumre.

For andre entydige identifikasjonsmidler enn identifikasjonsnumre, herunder biometriske opplysninger, foreslo departementet at gjeldende rett om vilkårene for behandling videreføres inntil videre.

Departementet ga i høringsnotatet uttrykk for at det fremsto overflødig å opprettholde særbestemmelsen i personopplysningsloven § 12 annet ledd, som gir Datatilsynet kompetanse til å pålegge bruk av fødselsnummer og andre entydige identifikasjonsmidler.

Departementet ba om høringsinstansenes syn på om det er behov for å videreføre bestemmelsen i personopplysningsforskriften § 10-2 om forsendelser som inneholder fødselsnummer, og om det i så fall vil være hensiktsmessig å angi mer spesifikt i lovteksten hvilke krav som stilles til elektronisk kommunikasjon, for eksempel at kommunikasjonen må være kryptert.

Adgangen til å gi forskrifter om bruk av fødselsnummer og andre entydige identifikasjonsmidler ble foreslått videreført.

9.4 Høringsinstansenes syn

Alle høringsinstansene som har uttalt seg om spørsmålet, støtter forslaget om å opprettholde nasjonale særregler om behandling av opplysninger om fødselsnummer og andre entydige identifikasjonsnumre. Arbeids- og velferdsdirektoratet, Direktoratet for e-helse, Helsedirektoratet, Politidirektoratet, Skattedirektoratet, Forbrukerrådet, Helse Nord-Trøndelag HF og Juristforbundet støtter forslaget om å videreføre gjeldende rett. Datatilsynet støtter forslaget om særskilt regulering av fødselsnummer, og foreslår at det også vurderes å gi et eksplisitt forbud mot at fødselsnummer og andre nasjonale identifikasjonsnumre blir brukt til autentisering. Brønnøysundregistrene mener at det bør gå uttrykkelig frem av loven at fødselsnummeret ikke er sensitivt, for å skape klarhet og forståelse av regelverket om fødselsnummer. Direktoratet for forvaltning og IKT gir uttrykk for at muligheten for å justere bestemmelsen bør utredes, og at det er «verdt å se nærmere på om utviklingen har ført til at uønsket sammenkobling av opplysninger bør motvirkes med andre tiltak enn strenge vilkår for bruk av fødselsnummer, i alle fall i offentlig sektor».

Når det gjelder biometriske identifikasjonsmidler, mener Arbeids- og velferdsdirektoratet, Skattedirektoratet, Datatilsynet, Forbrukerrådet, Vestfold fylkeskommune, Advokatforeningen, Den norske legeforening, Landsforeningen i Norge og Brækhus Advokatfirma DA at det fortsatt bør gjelde nasjonale særregler. Arbeids- og velferdsdirektoratet uttaler:

«Vi mener at særvilkårene for bruk av fødselsnummer og andre entydige identifikasjonsmidler bør utvides til også gjelde for biometrisk identifisering. Som for bruk av fødselsnummer er det viktig å forhindre usaklig og unødvendig bruk av biometriske opplysninger.»

Brækhus Advokatfirma DA gir uttrykk for at det er behov for ytterligere skranker utover forordningens regler om særlige kategorier av personopplysninger:

«Selv om utgangspunktet etter forordningens artikkel 9 nr. 1 er at bruk av biometriske opplysninger i identifikasjonsøyemed er forbudt, så kan det gjøres unntak fra dette ved uttrykkelig samtykke, jf. artikkel 9 nr. 2 bokstav a. Samtykkekravet utgjør en viktig skranke. Etter vårt syn er det imidlertid også behov for ytterligere skranker for å ivareta den personlige integritet, da særlig ved å stille krav om nødvendighet. Biometriske opplysninger, som for eksempel fingeravtrykk, er svært sensitiv informasjon.»

Politidirektoratet og Universitetet i Oslo mener at det ikke er nødvendig med nasjonal særregulering på dette punktet. Universitetet i Oslo uttaler:

«Det finnes i dag en uheldig særnorsk sammenkobling av fødselsnummer og biometriske data som fremgår av personopplysningsloven § 12 samt forarbeidene (Ot.prp. nr. 92 (1998–99) side 114, 1. spalte), jf:

«Bestemmelsen gir en generell regulering av bruk av fødselsnummer og andre entydige identifikasjonsmidler som for eksempel fingeravtrykk og andre biometriske data.»

En tilsvarende regulering finnes ikke i forordningen.

UiO vil fraråde at det lages nasjonale særregler for bruk av biometriske opplysninger, og mener at forordningens alminnelige regler for behandling av sensitive personopplysninger bør gjelde for biometriske opplysninger.»

Helse Bergen HF uttaler at det ikke bør vedtas særnorske regler på dette området uten at det først avklares hvilke konsekvenser slike særregler vil ha for anskaffelser i helsesektoren.

Av de som uttaler seg om innholdet i eventuelle nasjonale særregler om biometriske opplysninger, mener Skattedirektoratet, Forbrukerrådet, Landsforeningen i Norge, Advokatforeningen, Den norske legeforening og Brækhus Advokatfirma DA at gjeldende rett inntil videre bør videreføres. Datatilsynet peker på forskjellene mellom identifikasjonsnumre og biometriske opplysninger, og uttaler:

«Biometri kan brukes til både identifisering og autentisering. Derfor vil biometriske data ofte behandles på en annen måte enn fødselsnummer. Videre vil ulike hensyn gjøre seg gjeldende ettersom de biometriske dataene brukes til identifisering eller autentisering. På denne bakgrunn ber Datatilsynet departementet vurdere behovet for en separat bestemmelse om biometri.»

Det er kun Forbrukerrådet som har uttalt seg om hvorvidt det bør videreføres en særbestemmelse som gir Datatilsynet kompetanse til å pålegge bruk av entydige identifikasjonsmidler. Forbrukerrådet støtter departementets forslag om ikke å videreføre en slik bestemmelse.

Høringsinstansene er delt i synet på om det bør gjelde egne regler om forsendelser som inneholder fødselsnummer eller andre identifikasjonsnumre. Arbeids- og velferdsdirektoratet, Brønnøysundregistrene, Forbrukerrådet, Statens lånekasse for utdanning, Oslo kommune, KS, Kirkerådet, Landsorganisasjonen i Norge og Norges Rederiforbund mener at det fortsatt bør gjelde slike regler. Datatilsynet uttaler:

«Vi er enig med departementet i at regelen også kan følge av forordningens artikkel 5 og 32. Regelen er imidlertid praktisk, og vi foreslår derfor at bestemmelsen likevel videreføres av pedagogiske årsaker.»

Når det gjelder spørsmålet om hvorvidt eventuelle regler om forsendelser bør inneholde spesifikke krav til elektronisk kommunikasjon, mener Arbeids- og velferdsdirektoratet og Brønnøysundregistrene at det ikke bør stilles spesifikke krav til elektronisk kommunikasjon, mens Oslo kommune, Landsorganisasjonen i Norge og Norges Rederiforbund mener at det bør gjelde slike krav. Datatilsynet uttaler at det i tråd med artikkel 87 bør fastsettes flere garantier som gir vern mot misbruk av fødselsnummer og andre entydige identifikasjonsmidler, herunder at regelen i gjeldende personopplysningsforskrift § 2-11 tredje ledd om konfidensialitet ved elektronisk overføring bør videreføres.

Politidirektoratet, Direktoratet for forvaltning og IKT, Advokatforeningen, Juristforbundet og SAMFO – Arbeidsgiverforening for samvirkeforetak mener at det ikke bør videreføres særregler om forsendelser som inneholder fødselsnumre eller andre identifikasjonsnumre. Direktoratet for forvaltning og IKT uttaler:

«Vi er enige med departementet i at det ikke er grunn til å fastsette slike særlige krav til sikringstiltak for overføring av fødselsnumre.

Forordningen forutsetter at sikringstiltak velges basert på risiko i det enkelte tilfelle, i overensstemmelse med kravene i artikkel 32. Forordningens tilnærming, med risikobaserte krav, er etter vårt skjønn fornuftig for å sikre egnede sikringstiltak.

…

En særregulering av én type opplysninger i én sammenheng (overføring) fremstår som en unødig komplisering og dramatisering av skadepotensialet knyttet til konfidensialitetsbrudd for fødselsnummeret.»

9.5 Departementets vurdering

9.5.1 Vilkår for bruk av fødselsnummer og andre entydige identifikasjonsmidler

Departementet er enig med høringsinstansene i at det fortsatt bør gjelde særlige vilkår for bruk av fødselsnummer. Når entydig identifisering er nødvendig, kan fødselsnummer være effektivt for å forhindre forveksling og dermed sikre personopplysningskvaliteten. Samtidig muliggjør fødselsnummeret en sikker identifisering på tvers av systemer, og det legger til rette for enkel sammenstilling av personopplysninger fra forskjellige registre. Departementet foreslår på denne bakgrunn å videreføre gjeldende rett om særlige vilkår for bruk av fødselsnummer på grunnlag av forordningen artikkel 87, se lovforslaget § 12.

Det er etter departementets oppfatning noe uklart hvilke krav forordningen artikkel 87 annet punktum stiller til nasjonal rett. Etter departementets oppfatning må den foreslåtte bestemmelsen om tilleggsvilkår for bruk av fødselsnummer og andre identifikasjonsnumre i seg selv anses som et tiltak som skal verne den registrertes rettigheter og friheter ved behandling av fødselsnummer og andre entydige identifikasjonsnumre i tråd med kravene om «nødvendige garantier for den registrertes rettigheter og friheter i henhold til denne forordning» etter artikkel 87 annet punktum.

Andre entydige identifikasjonsmidler omfatter hovedsakelig biometriske personopplysninger. Biometriske kjennetegn er i stor grad uforanderlige, samtidig som de kan muliggjøre entydig identifikasjon. Etter departementets oppfatning bør også slike opplysninger ha et særlig vern. Et slikt vern følger delvis allerede av forordningens alminnelige regler, ved at behandling av biometriske opplysninger med det formål å entydig identifisere en fysisk person regnes som behandling av særlige kategorier av personopplysninger etter forordningen artikkel 9 nr. 1. Bruken av biometriske opplysninger til identifikasjonsformål er dermed i utgangspunktet forbudt, og kan bare skje i den utstrekning en av unntaksbestemmelsene i artikkel 9 nr. 2 åpner for dette, eventuelt i kombinasjon med nasjonal rett der dette er påkrevet etter artikkel 9 nr. 2. Etter artikkel 9 nr. 2 bokstav a vil imidlertid den registrertes samtykke være tilstrekkelig. Til tross for at behandlingen omfattes av reglene om særlige kategorier av personopplysninger, vil det altså skje en utvidelse av adgangen til å behandle slike identifikasjonsmidler dersom den någjeldende særreguleringen ikke videreføres. Etter departementets vurdering bør adgangen ikke utvides uten en nærmere utredning av hvordan forordningens alminnelige regler vil virke for biometriske identifikasjonsmidler. Med grunnlag i artikkel 9 nr. 4 foreslås det derfor at gjeldende rett videreføres inntil videre, slik at biometrisk identifisering fremdeles skal være betinget av saklig behov for sikker identifisering og at metoden er nødvendig for å oppnå slik identifisering, se lovforslaget § 12 første ledd.

Når det foreslås å videreføre de samme tilleggsvilkårene for behandling av både identifikasjonsnumre og biometriske identifikasjonsmidler, bør behandlingen etter departementets oppfatning inntil videre reguleres i samme bestemmelse, på samme måte som etter gjeldende rett.

9.5.2 Datatilsynets kompetanse til å pålegge bruk av fødselsnummer og andre entydige identifikasjonsmidler. Forskriftshjemmel

Departementet foreslår at særbestemmelsen som gir Datatilsynet kompetanse til å pålegge bruk av fødselsnummer og andre entydige identifikasjonsmidler, ikke videreføres. Bestemmelsen er etter departementets oppfatning overflødig ved siden av forordningens alminnelige regler om pålegg fra tilsynsmyndigheten, jf. artikkel 58 nr. 2 bokstav d.

Adgangen til å gi forskrift om bruk av fødselsnummer og andre entydige identifikasjonsmidler bør etter departementets oppfatning videreføres, se lovforslaget § 12 annet ledd. Forskriftshjemmelen vil for eksempel åpne for bestemmelser som konkretiserer lovens vilkår for bruk av entydige identifikasjonsmidler for nærmere bestemte typer av behandling.

9.5.3 Forsendelser som inneholder fødselsnummer

Høringen har vist at det er delte meninger om hvorvidt det fortsatt bør gjelde særregler om forsendelser som inneholder fødselsnummer. Etter departementets syn bør slike særregler ikke videreføres. Når det gjelder postforsendelser, er departementets oppfatning at forordningens alminnelige regler gjør det tilstrekkelig klart at det ikke er adgang til å la fødselsnummer fremgå utenpå en postforsendelse eller i mottagerfeltet i en vinduskonvolutt. Det vises til at personopplysninger skal behandles på en måte som sikrer tilfredsstillende sikkerhet for at opplysninger ikke kommer på avveie, jf. artikkel 5 nr. 1 bokstav f og 32, og at det ikke skal behandles opplysninger i større utstrekning enn det som er nødvendig for formålet, jf. artikkel 5 nr. 1 bokstav c. Når det gjelder elektronisk overføring, er departementets syn at særregler neppe tilfører noe ved siden av forordningens alminnelige regler om informasjonssikkerhet. Departementet er enig med Direktoratet for forvaltning og IKT i at det fremstår unødig kompliserende å gi særregler om informasjonssikkerhet for én opplysningstype i én behandlingssituasjon. Videre vil eventuelle bestemmelser om informasjonssikkerhet ved elektronisk overføring av fødselsnummer måtte gis en teknologinøytral utforming, noe som begrenser mulighetene for å stille spesifikke krav. Bestemmelsene vil derfor neppe ha vesentlig pedagogisk betydning ved siden av forordningen artikkel 32.

10 Den registrertes rettigheter

10.1 Generelt om den registrertes rettigheter og adgangen til å fastsette unntak i nasjonal rett

Den registrertes rettigheter følger av forordningen kapittel III. Bestemmelsene innebærer i stor grad en videreføring av dagens rettstilstand. Etter departementets syn vil rettighetene sikre den registrerte et like godt vern som etter gjeldende personopplysningslov. Samtidig medfører forordningen en presisering og utdyping av flere av rettighetene, og noen nye rettigheter er kommet til. Endelig er det noen av rettighetene i personopplysningsloven som mangler en klar parallell i forordningen. På samme måte som etter gjeldende lov må rettighetene sees i sammenheng med de generelle prinsippene for databehandling, jf. forordningen kapittel II. Rettighetene skal bidra til at prinsippene etterleves, for eksempel vil en rett til innsyn bidra til at behandlingen er åpen og tilgjengelig og til at feilaktige opplysninger kan rettes.

Forordningen artikkel 12 gir visse generelle regler om gjennomføringen av den registrertes rettigheter. Bestemmelsen stiller blant annet krav om forståelig og lett tilgjengelig informasjon og kommunikasjon. Videre plikter den behandlingsansvarlige, på samme måte som etter gjeldende rett, som hovedregel å svare på henvendelser om rettigheter innen én måned, jf. artikkel 12 nr. 3. Fristen kan forlenges med ytterligere to måneder ved behov. Utøvelse av rettighetene skal være gratis, jf. artikkel 12 nr. 5, med unntak for åpenbart grunnløse eller overdrevne krav.

De enkelte rettighetene følger av artikkel 13 til 22, jf. oversikten under. Rettighetene følger direkte av forordningen og åpner i liten grad for tilpasninger i nasjonal rett. Ved siden av de presiseringer og unntak som forordningen oppstiller i de enkelte rettighetsbestemmelsene, gir artikkel 23 på nærmere vilkår adgang til å fastsette unntak fra rettighetene i nasjonal rett.

Forordningen artikkel 23 gir hjemmel for unionsretten og medlemsstatenes nasjonale rett til å fastsette ytterligere begrensninger i den registrertes rettigheter etter artikkel 12 til 22 og artikkel 34, samt artikkel 5 i den utstrekning bestemmelsene der tilsvarer rettighetene og forpliktelsene i artikkel 12 til 22. Begrensningene må overholde det vesentlige innholdet i de grunnleggende rettighetene og frihetene og være nødvendige og forholdsmessige tiltak i et demokratisk samfunn av hensyn til et av formålene i artikkel 23 nr. 1 bokstav a til j.

Etter artikkel 23 nr. 2 skal lovgivning som begrenser den registrertes rettigheter, «når det er relevant, minst inneholde særlige bestemmelser» om formålene med behandlingen eller kategorier av behandling, kategoriene av personopplysninger, omfanget av begrensningene som er innført, garantiene for å unngå misbruk eller ulovlig tilgang eller overføring, spesifisering av den behandlingsansvarlige eller kategoriene av behandlingsansvarlige, lagringsperioder og gjeldende garantier, risikoene for de registrertes rettigheter og friheter og de registrertes rett til å bli underrettet om begrensningen.

10.2 Informasjons- og innsynsrettighetene

10.2.1 Gjeldende rett

Kapittel III om innsyn og informasjon er bygget opp slik at de enkelte rettighetene fremgår av personopplysningsloven §§ 18 til 22, med visse nærmere presiseringer og unntak, mens det i § 23 er gitt visse generelle unntak fra innsyns- og informasjonsrettighetene.

Retten til innsyn følger av § 18, der første ledd gir en rett for enhver til å få generell informasjon fra en behandlingsansvarlig om behandlingen av personopplysninger. Annet ledd gir rett til mer utfyllende informasjon dersom den som ber om innsyn er registrert. Den registrerte kan videre etter tredje ledd kreve en utdyping av informasjonen enhver har krav på etter første ledd. Innsynsrettighetene for den som er registrert, gjelder ikke når personopplysningene behandles utelukkende for historiske, statistiske eller vitenskapelige formål og behandlingen ikke får noen direkte betydning for den registrerte, jf. § 18 fjerde ledd. Retten til innsyn etter personopplysningsloven gjelder ved siden av reglene om innsyn etter forvaltningsloven og offentleglova, jf. Ot.prp. nr. 92 (1998–99) punkt 5.2.4.5 side 38.

Informasjonsrettighetene følger av personopplysningsloven §§ 19 til 21. I §§ 19 og 20 er det regler om den behandlingsansvarliges plikt til å gi informasjon til den registrerte ved innsamling av opplysninger. Informasjonen skal gis av eget tiltak. Loven sondrer mellom tilfellene der det samles inn opplysninger fra den registrerte, jf. § 19, og der opplysningene samles inn fra andre, jf. § 20. I førstnevnte tilfelle er det bare dersom den registrerte allerede kjenner til informasjonen, at varsling kan unnlates, jf. § 19 annet ledd. Dersom opplysningene samles inn fra andre, har den registrerte heller ikke krav på varsel dersom innsamlingen eller formidlingen er uttrykkelig fastsatt i lov eller varsling er umulig eller uforholdsmessig vanskelig, jf. annet ledd. Personopplysningsloven § 21 pålegger den behandlingsansvarlige en informasjonsplikt ved henvendelser eller avgjørelser som retter seg mot den registrerte på grunnlag av personprofiler.

Endelig har den registrerte etter § 22 rett til informasjon om regelinnholdet i datamaskinprogrammer som ligger til grunn for avgjørelser som fullt ut er basert på automatisert behandling av personopplysninger.

Personopplysningsloven § 23 første ledd oppstiller visse generelle unntak fra innsynsrettighetene og informasjonspliktene i §§ 18 til 22. Etter bokstav a omfattes ikke opplysninger som vil kunne skade rikets sikkerhet, landets forsvar eller forholdet til fremmede makter eller internasjonale organisasjoner dersom de blir kjent. Bokstav b gjør unntak for opplysninger som det er påkrevd å hemmeligholde av hensyn til forebygging, etterforskning, avsløring og rettslig forfølgning av straffbare handlinger. Bokstav c gjelder opplysninger som det må anses utilrådelig at den registrerte får kjennskap til, av hensyn til vedkommendes helse eller forholdet til personer som står vedkommende nær. Opplysningene kan likevel gjøres kjent for en representant for den registrerte når ikke særlige grunner taler mot, jf. annet ledd. Etter første ledd bokstav d er det videre unntak for taushetsplikt i medhold av lov. Etter bokstav e omfattes heller ikke opplysninger som utelukkende finnes i tekst som er utarbeidet for den interne saksforberedelse og som heller ikke er utlevert til andre. Endelig følger det av bokstav f at innsyns- og informasjonsrettighetene ikke omfatter opplysninger som det vil være i strid med åpenbare og grunnleggende private eller offentlige interesser å informere om, herunder hensynet til den registrerte selv. Ytterligere unntak og vilkår kan fastsettes i forskrift, jf. § 23 siste ledd.

I personopplysningsloven § 24 er det regler om hvordan informasjon skal gis. I § 17 er det fastsatt forbud mot å kreve vederlag for å gi informasjon eller for å etterkomme andre krav fra den registrerte. Videre er den behandlingsansvarlige etter § 16 pålagt å svare uten ugrunnet opphold og senest innen 30 dager på henvendelser om innsyn eller andre rettigheter. Gjennomføring kan utsettes etter annet ledd dersom særlige forhold gjør det umulig å svare på henvendelsen.

10.2.2 Forordningen

Innsyns- og informasjonsrettighetene er regulert i artikkel 13 til 15. Artikkel 13 gir regler om informasjon som skal gis når det samles inn opplysninger fra registrerte. Bestemmelsen viderefører i stor grad dagens regler i personopplysningsloven §§ 19, 21 og 22, men med noe mer utfyllende krav til informasjon. Videre skal det etter forordningen artikkel 13 nr. 3 gis informasjon også ved formålsendring. Artikkel 13 oppstiller bare ett unntak fra informasjonsplikten, nemlig for de tilfellene der den registrerte allerede har informasjonen, jf. artikkel 13 nr. 4.

Artikkel 14 regulerer informasjonsplikten når opplysningene ikke samles inn fra den registrerte. Også på dette punktet innebærer forordningen en viss presisering og utdyping av informasjonsplikten sammenlignet med gjeldende rett. Unntaksreglene svarer i det vesentlige til dagens unntaksregler, med unntak for informasjonsplikten dersom den registrerte allerede har informasjonen, jf. artikkel 14 nr. 5 bokstav a, dersom det er umulig eller uforholdsmessig vanskelig å gi informasjon, jf. artikkel 14 nr. 5 bokstav b, og dersom innsamlingen eller formidlingen er uttrykkelig fastsatt i lov, jf. artikkel 14 nr. 5 bokstav c. Etter forordningens regel gjøres det i tillegg unntak for opplysninger underlagt taushetsplikt, jf. artikkel 14 nr. 5 bokstav d. Etter gjeldende rett gjelder unntak for opplysninger underlagt lovbestemt taushetsplikt etter den generelle unntaksregelen i personopplysningsloven § 23, jf. første ledd bokstav d.

Innsynsretten reguleres av artikkel 15. Forordningen skiller seg på dette punktet fra gjeldende personopplysningslov ved at den ikke oppstiller noen regel om innsynsrett for enhver, slik det i dag er etter personopplysningsloven § 18 første ledd. Forordningen artikkel 15 gir bare innsynsrett for den registrerte. Reglene om den registrertes innsynsrett vil, på samme måte som de øvrige informasjonsreglene, i det vesentlige videreføre gjeldende rettstilstand med noen utvidelser. Forordningen artikkel 15 har ikke noe særskilt unntak for behandling til historiske, statistiske eller vitenskapelige formål tilsvarende personopplysningsloven § 18 siste ledd.

10.2.3 Forslaget i høringsnotatet

Departementet tok i høringsnotatet utgangspunkt i at gjeldende rett om begrensninger i retten til informasjon og innsyn bør videreføres i den utstrekning forordningen åpner for dette. Departementet foreslo å videreføre unntaket for opplysninger av betydning for rikets sikkerhet, landets forsvar eller forholdet til fremmede makter eller internasjonale organisasjoner. For å tilpasse unntaket til de tilsvarende reglene i offentleglova foreslo departementet at unntaket burde knytte seg direkte til offentleglova §§ 20 og 21, på samme måte som unntaksregelen fra retten til partsinnsyn i forvaltningsloven § 19 første ledd bokstav a. Departementet foreslo å videreføre uendret unntakene for opplysninger som det må antas utilrådelig at den registrerte får kjennskap til, som i medhold av lov er underlagt taushetsplikt eller som det vil være i strid med åpenbare og grunnleggende private eller offentlige interesser å informere om.

Departementet la derimot til grunn at det ikke er adgang til å videreføre unntaket for opplysninger i interne dokumenter i gjeldende personopplysningslov § 23 første ledd bokstav e. Departementet la til grunn at en slik begrensning i mange tilfeller vil kunne favne videre enn det som kan anses som nødvendig og proporsjonalt, jf. artikkel 23 nr. 1.

Departementet ga uttrykk for at det i forbindelse med unntaksregler av generell karakter ikke vil være relevant å gi nærmere bestemmelser om alle de forholdene som nevnes i artikkel 23 nr. 2. Det ble vist til at den foreslåtte bestemmelsen regulerte omfanget av begrensningene, jf. artikkel 23 nr. 2 bokstav c, og at kravet om skriftlig begrunnelse tar sikte på å motvirke misbruk av unntakene og at den registrerte blir underrettet, jf. bokstav d og h.

Endelig foreslo departementet å videreføre adgangen til å gi forskrifter med ytterligere unntak fra eller vilkår for bruk av informasjons- og innsynsrettighetene.

10.2.4 Høringsinstansenes syn

Vestfold fylkeskommune, Advokatforeningen, Hovedorganisasjonen Virke, Finans Norge og Get TDC støtter de foreslåtte unntakene fra innsynsretten. Direktoratet for e-helse og Helse Stavanger HF støtter forslagene om unntak fra retten til informasjon og innsyn for opplysninger som det må anses utilrådelig at den registrerte får kjennskap til. Helse Stavanger HF støtter videre forslaget om unntak for taushetsplikt.

Datatilsynet uttaler at det ikke er redegjort tilstrekkelig for om de foreslåtte unntakene er i tråd med forordningen:

«For å kunne videreføre gjeldende rett i ny lov § 13 må det altså foretas en konkret vurdering av om de foreslåtte unntakene er tydelige, presise og forutsigbare nok til at de kan anses i tråd med forordningen. Det fremgår ikke i høringsnotatet at departementet har gjort en slik vurdering. Vi savner en redegjørelse for hvert enkelt unntak i § 13, med henvisning til hvorvidt de er innenfor ordlyden i et eller flere av grunnlagene i artikkel 23 nr.1. Departementet har så langt vi kan se av høringsnotatet heller ikke foretatt noen nærmere vurdering av hvorvidt unntakene er «strengt nødvendige» og «forholdsmessige», selv om det kort slås fast at de er proporsjonale (forholdsmessig).»

Datatilsynet mener videre at kravene i forordningen artikkel 23 nr. 2 ikke er vurdert i tilstrekkelig grad:

«Det bør i proposisjonen vurderes for hvert unntak opplistet i § 13 om det er momenter i artikkel 23 nr.2 som er relevante å ta inn i bestemmelsen. Vi mener behovet for tydelige, presise og forutsigbare unntakshjemler blir desto viktigere når departementet ønsker å basere den norske gjennomføringen på svært generelle unntakshjemler. Spesifisering av momenter i lovtekst kan være helt avgjørende for hvordan avveiningen av interesser slår ut. For eksempel har praksis fra EU-domstolen og EMD særlig pekt på viktigheten av særlige garantier mot misbruk i vurderingen av nasjonale regler.

…

Vi er ikke enig med departementet i at den foreslåtte § 13 inneholder «særlige bestemmelser» om «omfanget av begrensningene som er innført» jf. artikkel 23 nr.2 bokstav c. Tvert imot mener vi at de fleste av unntakene i § 13 omfattes av flere av unntak i artikkel 23 nr. 1. Det er også vanskelig å se at departementet har foreslått tilstrekkelige garantier mot misbruk, sett opp mot hvor omfattende unntakene er, jf. artikkel 23 nr. 2 bokstav d. Slik vi ser det vil krav om begrunnelse etter § 13 tredje ledd kun være relevant i de tilfeller hvor den registrerte faktisk er klar over at det behandles opplysninger om vedkommende. Dette vil ikke være tilfellet for mange av de situasjoner som kommer inn under unntakene. Da blir garantien fort en papirrettighet uten særlig praktisk betydning.»

Datatilsynet peker på en rekke momenter i forordningen artikkel 23 nr. 2 som etter tilsynets oppfatning er relevante og som bør klargjøres for de foreslåtte unntakene for opplysninger som er av betydning for utenrikspolitiske interesser og nasjonale forsvars- og sikkerhetsinteresser, opplysninger det er påkrevd å hemmeligholde av hensyn til etterforskning mv. av straffbare handlinger, taushetsbelagte opplysninger og opplysninger som det vil være i strid med åpenbare og grunnleggende private eller offentlige interesser å informere om.

Arbeids- og velferdsdirektoratet uttaler at det er behov for en utsatt informasjonsplikt og innsynsrett i NAVs kontrollsaker når det er fare for bevisforspillelse eller at en kontrollsak blir avslørt. Direktoratet mener videre at det er behov for en bestemmelse som gir grunnlag for å unnta opplysninger om kilder eller tipsere i kontrollsaker:

«Etter forordningens artikkel 14 nr. 2 bokstav f plikter den behandlingsansvarlige å oppgi fra hvilken kilde personopplysningene kommer fra. NAV har i enkelte saker knyttet til trygdemisbruk eller mulig trygdemisbruk behov for å skjerme kilder («tipsere»).

Dersom NAV i kontrollarbeidet ikke lenger har muligheter til å unnta kildeopplysninger, vil det kunne føre til at viktige informasjonskilder forsvinner. Spesielt kan det gjelde i arbeidet med å avdekke og oppklare organisert/systematisk kriminalitet.»

Også Tolldirektoratet peker på kontrollvirksomheten:

«Det er viktig for myndigheter som utfører kontrolloppgaver at unntaksbestemmelsene i ny personopplysningslov også ivaretar kontrollmyndigheters behov for å gjøre unntak der hemmeligholdelse er nødvendig. Tolletaten mener det ikke er nødvendig å begrense unntaksmuligheten ytterligere.»

Utlendingsdirektoratet uttaler at forholdet mellom innsynsreglene i personopplysningsloven og forvaltningsloven bør klargjøres, og ber departementet vurdere om forvaltningslovens innsynsregler bør harmoniseres med personvernforordningens regler. Videre uttaler Utlendingsdirektoratet at et krav om begrunnelse med henvisning til unntakshjemmelen ved nektelse av innsyn kan virke mot sin hensikt:

«UDI gjør oppmerksom på at kravet i tredje ledd – om at begrunnelsen for hvorfor den registrerte nektes innsyn skal inneholde en presis henvisning til unntakshjemmelen – kan virke mot sin hensikt. For eksempel vil dokumenter i utlendingssaker kunne inneholde opplysninger som den registrerte ikke bør få innsyn i eller ikke bør få informasjon om at eksisterer i det hele tatt. For eksempel opplysninger som berører grunnleggende nasjonale interesser eller utenrikspolitiske hensyn, eller opplysninger som er påkrevd hemmeligholdt av hensyn til forebygging, etterforskning, avdekking og rettslig forfølging av straffbare handlinger. Vi påpeker at det vil være vanskelig å hemmeligholde at slik informasjon eksisterer, dersom et eventuelt avslag på innsyn må begrunnes med at opplysningene er av betydning for Norges utenrikspolitiske interesser eller nasjonale forsvars- og sikkerhetsinteresser (henvisning til § 13 første ledd bokstav a) eller det er påkrevd å hemmeligholde av hensyn til forebygging, etterforskning, avsløring og rettslig forfølging av straffbare handlinger (henvisning til § 13 første ledd bokstav b).»

En rekke høringsinstanser har uttalt seg om forslaget om ikke å videreføre unntaket for interne dokumenter. Av høringsinstansene som har uttalt seg om spørsmålet, er det bare Datatilsynet som støtter forslaget om ikke å videreføre unntaket. Datatilsynet uttaler:

«Vi er imidlertid positive til at unntaket i personopplysningsloven § 23 første ledd bokstav e ikke videreføres. Vi er enige med departementet i at dette unntaket favner videre enn det som anses som nødvendig og forholdsmessig i artikkel 23 nr. 1. For øvrig mener det samme kunne vært sagt om gjeldende bestemmelse og forholdet til direktivets artikkel 13.»

Advokatforeningen, Arbeidsgiverforeningen Spekter, Juristforbundet, Hovedorganisasjonen Virke, Finans Norge, Næringslivets Hovedorganisasjon, Sporveien Oslo AS, IT-politisk råd i Den Norske Dataforening, SAMFO – Arbeidsgiverforening for samvirkeforetak, Telenor Norge AS og Get TDC mener at unntaket for interne dokumenter bør videreføres.

Advokatforeningen mener at det er legitime grunner til å unnta opplysninger i interne dokumenter fra innsyn:

«Private foretak vil i sin virksomhet, i likhet med den offentlige forvaltning, ha helt legitime behov for å unnta opplysninger i interne dokumenter fra innsyn. Både opplysninger som kan tendere mot forretningshemmeligheter, strategier, prisvurderinger og andre foreløpige vurderinger av forskjellig art, vil det være avgjørende å kunne unnta fra innsyn av hensyn til den interne saksforberedelse.»

Sporveien Oslo AS uttaler at det behov for et slikt unntak i arbeidsforhold:

«Gjeldende personopplysningslov § 23 1. ledd e) er særdeles viktig for arbeidsgivere når arbeidstakere krever innsyn i personalmappe etc, da den gir hjemmel til unntak for interne dokumenter. En god personalforvaltning er avhengig av at ledere kan kommunisere konfidensielt med HR-avdelingen og andre i virksomheten, uten at ansatte skal kunne kreve innsyn i slik intern korrespondanse. Det samme gjelder interne dokumenter. Dette behovet gjelder for hele ansettelsesforholdet, men kanskje spesielt i personalsaker.»

Arbeidsgiverforeningen Spekter, Advokatforeningen og Sporveien Oslo AS mener at det vil skje en forskjellbehandling mellom private og offentlige behandlingsansvarlige dersom unntaket ikke videreføres. Arbeidsgiverforeningen Spekter uttaler:

«Med forslaget som foreligger vil det bli en forskjellsbehandling mellom private og offentlige virksomheter, hvor private bedrifter får mindre muligheter til å gjøre unntak fra innsynsretten. Det er viktig at private bedrifter fortsatt skal kunne unnta opplysninger (forretningshemmeligheter mv).»

Hovedorganisasjonen Virke, Finans Norge og Advokatforeningen mener at det vil ha uheldige økonomiske og administrative konsekvenser dersom gjeldende rett ikke videreføres. Advokatforeningen uttaler:

«Slik Advokatforeningen ser det er konsekvensene av departementets forslag heller ikke på noe vis utredet. Dersom unntaket i pol § 23 1. e) ikke videreføres, vil det medføre uheldige konsekvenser ved at private virksomheter vil bli nødt til å gjennomgå alle interne dokumenter manuelt for å vurdere hvilke opplysninger det skal gis innsyn i.»

Arbeidsgiverforeningen Spekter og Sporveien Oslo AS mener at unntaket for interne dokumenter bør videreføres og samtidig utvides til å omfatte konserninterne dokumenter. Arbeidsgiverforeningen Spekter uttaler:

«Videre bør det i regelverket presiseres at det er behov for unntak fra innsynsretten også for konserninterne dokumenter, ikke bare selskapsinterne. Med konsern forstås også konsernlignende organisasjonsmodeller.»

NHO, SAMFO – Arbeidsgiverforening for samvirkeforetak, Telenor Norge AS og Sporveien Oslo AS mener at et unntak for interne dokumenter i arbeidsforhold kan ha grunnlag i forordningen artikkel 88, som åpner for nasjonale regler om behandling av personopplysninger arbeidsforhold.

10.2.5 Departementets vurdering

10.2.5.1 Opplysninger av betydning for Norges utenrikspolitiske interesser eller nasjonale forsvars- og sikkerhetsinteresser

Etter departementets vurdering er det behov for å videreføre et unntak fra informasjons- og innsynsretten som åpner for unntak av hensyn til Norges utenrikspolitiske interesser eller nasjonale forsvars- og sikkerhetsinteresser. Departementet foreslår i lovforslaget § 16 første ledd bokstav a å videreføre et slikt unntak, og at unntaket tilpasses de tilsvarende reglene i offentleglova, på samme måte som unntaket fra retten til partsinnsyn etter forvaltningsloven § 19 første ledd bokstav a.

Unntaket omfattes etter departementets syn av formålene i artikkel 23 nr. 1 bokstav a, b, c og e. Det er etter offentleglova §§ 20 og 21 bare anledning til å gjøre unntak når det er «påkravd» av hensyn til utenrikspolitiske interesser eller nasjonale forsvars- og sikkerhetsinteresser. Reglene i offentleglova ivaretar kravene til nødvendighet og proporsjonalitet, jf. forordningen artikkel 23 nr. 1. Etter departementets oppfatning bør det i denne sammenhengen ikke sondres mellom den registrertes innsynsrett etter personopplysningsregelverket og partens innsyn etter forvaltningsloven.

Når det gjelder kravene i forordningen artikkel 23 nr. 2, viser departementet til at den foreslåtte bestemmelsen, sammen med reglene i forvaltningsloven og offentleglova, regulerer omfanget av de innførte begrensningene, jf. artikkel 23 nr. 2 bokstav c. Vilkårene i offentleglova § 20 er dels knyttet til formålet med behandlingen og kategoriene av opplysninger, jf. artikkel 23 nr. 2 bokstav a og b. Virkeområdet til offentleglova, jf. offentleglova § 2, spesifiserer hvilke kategorier av behandlingsansvarlige som omfattes, jf. artikkel 23 nr. 2 bokstav e. Departementet viser videre til begrunnelsesplikten ved nektelse av innsyn, jf. lovforslaget § 16 tredje ledd. Det er etter departementets syn ikke relevant å gi nærmere bestemmelser om lagringsperioder, jf. artikkel 23 nr. 2 bokstav f, eller at loven skal gi uttrykk for risikoene for de registrertes rettigheter og friheter, jf. bokstav g.

Departementet har merket seg Datatilsynets innspill om at det bør være en underretningsplikt når hensynet til hemmelighold ikke lenger gjør seg gjeldende. Etter departementets syn bør et slikt krav ikke fastsettes uten nærmere utredning, da det vil kunne innebære betydelig merarbeid for den behandlingsansvarlige, og det foreslås derfor ikke en slik plikt i denne omgang.

10.2.5.2 Etterforskning mv. av straffbare handlinger

Informasjons- og innsynsrett kan i noen tilfeller være til hinder for forebygging, etterforskning, avsløring og rettslig forfølgning av straffbare handlinger. Etter departementets syn bør det fortsatt være adgang til å gjøre unntak fra informasjons- og innsynsretten når det er påkrevd å hemmeligholde opplysningene av hensyn til disse formålene. Departementet foreslår at gjeldende rett videreføres, se lovforslaget § 16 første ledd bokstav b.

Unntaket knytter seg til formålet i artikkel 23 nr. 1 bokstav d, som gjelder «forebygging, etterforskning, avsløring eller straffeforfølgning av straffbare forhold». Etter den foreslåtte bestemmelsen kan den behandlingsansvarlige bare gjøre unntak i den utstrekning det er «påkrevd» i det enkelte tilfellet. Etter departementets vurderinger er dette i tråd med kravene til nødvendighet og forholdsmessighet i artikkel 23 nr. 1.

Datatilsynet gir i høringen uttrykk for at det bør klargjøres hvilke kategorier av behandlingsansvarlige som omfattes, jf. forordningen artikkel 23 nr. 2 bokstav e. Departementet bemerker at behandling av personopplysninger som gjelder forebygging, etterforskning, avsløring eller straffeforfølgning vil, når det behandles av aktørene i straffesakskjeden, reguleres av nasjonal lovgivning som implementerer EUs direktiv om det samme. Dette direktivet hjemler unntak for innsyn i disse tilfellene, jf. direktivet artikkel 15 nr. 1 bokstav b. Det kan imidlertid være tilfeller hvor også andre behandler personopplysninger som kan ha betydning for forebygging, etterforskning, avsløring eller straffeforfølgning av straffbare forhold. I og med at unntaket er knyttet til konsekvensene av informasjons- eller innsynsrett i det enkelte tilfelle, bør derfor ikke anvendelsesområdet begrenses til nærmere bestemte kategorier av behandlingsansvarlige. Artikkel 23 nr. 1 bokstav d, som bestemmelsen bygger på, er heller ikke begrenset til noen bestemte kategorier av behandlingsansvarlige.

På tilsvarende måte knytter unntaket seg ikke til nærmere behandlingsformål, kategorier av behandling, kategorier av personopplysninger eller lagringsperioder, jf. artikkel 23 nr. 2 bokstav a, b og f. Det er etter departementets vurdering først og fremst relevant å angi omfanget av begrensningen og garantier for misbruk, samt underretning om begrensningen, jf. bokstav c, d og h.

Departementet har merket seg Datatilsynets innspill om at det bør være en informasjonsplikt når hensynet til hemmelighold ikke lenger gjør seg gjeldende, for eksempel ved avsluttet etterforskning. Etter departementets syn bør et slikt krav ikke fastsettes uten nærmere utredning, da det vil kunne innebære mye merarbeid for den behandlingsansvarlige, jf. også punkt 10.2.5.1 over. Det foreslås derfor ikke en slik plikt i denne omgang.

10.2.5.3 Personopplysninger som det må anses utilrådelig at den registrerte får kjennskap til

Departementet foreslår å videreføre gjeldende rett om at det kan gjøres unntak fra innsyns- og informasjonsretten for opplysninger som det må anses utilrådelig at den registrerte får kjennskap til av hensyn til vedkommendes helse eller forholdet til personer som står vedkommende nær, jf. lovforslaget § 16 første ledd bokstav c, jf. annet ledd. Etter departementets syn er dette et nødvendig og forholdsmessig tiltak for å sikre hensynene nevnt i artikkel 23 nr. 1 bokstav i. Unntaket er dessuten nødvendig for å unngå at den tilsvarende unntaksregelen i forvaltningsloven § 19 første ledd bokstav d uthules av forordningens informasjons- og innsynsrett.

Når det gjelder forordningen artikkel 23 nr. 2, viser departementet til at bestemmelsen angir hvilke kategorier av personopplysninger som omfattes, omfanget av begrensningene og den registrertes rett til underretning, jf. bokstav b, c og h. At opplysningene gjøres kjent for en representant, utgjør en garanti for misbruk av unntaket, jf. artikkel 23 nr. 2 bokstav d og f. Ettersom unntaket retter seg mot opplysningenes art og konsekvensene av at den registrerte får kjennskap til dem, er det etter departementets syn ikke relevant med nærmere bestemmelser om behandlingsformål, behandlingsansvarlige eller lagringsperioder, jf. bokstav a, e og f.

10.2.5.4 Taushetsplikt

Departementet foreslår å videreføre en bestemmelse om at informasjons- og innsynsretten ikke gjelder opplysninger som er underlagt taushetsplikt i lov eller i medhold av lov, jf. lovforslaget § 16 første ledd bokstav d. Når det gjelder informasjonsplikt etter artikkel 14, følger det av forordningen selv at plikten ikke gjelder ved lovfestet taushetsplikt, jf. artikkel 14 nr. 5 bokstav d. Departementet anser det imidlertid som hensiktsmessig å klargjøre i loven at taushetspliktsbestemmelser i særlovgivningen går foran også artikkel 13 og 15.

Datatilsynet gir i sin høringsuttalelse uttrykk for at det bør klargjøres hvilke formål i artikkel 23 nr. 1 bestemmelsen er knyttet til, og at departementet bør gi en begrunnelse for hvorfor den er nødvendig og forholdsmessig. Departementet bemerker til dette at bestemmelsen ikke i seg selv er et grunnlag for unntak fra informasjons- og innsynsretten. Når taushetsplikt er fastsatt i eller i medhold av lov, vil det være de aktuelle taushetspliktsbestemmelsene som utgjør det rettslige grunnlaget for unntak. Den foreslåtte bestemmelsen kan slik sett sies å være overflødig ved siden av de alminnelige reglene om forholdet mellom personopplysningsloven og særlovgivningen, jf. forslaget § 2 første ledd annet punktum. På dette punktet ser departementet imidlertid det som hensiktsmessig med en særlig klargjøring av at særlovgivningen går foran, blant annet fordi brudd på lov- eller forskriftsbestemt taushetsplikt er straffbart, jf. straffeloven §§ 209 og 210.

Departementet bemerker samtidig at det også for taushetspliktsbestemmelser vil være slik at særlovgivningen ikke kan gjøre unntak fra forordningen artikkel 13 eller 15 i større grad enn det forordningen tillater. En nærmere omtale av forholdet mellom forordningen og særlovgivningen, herunder betydningen av EØS-avtalens virkeområde i den forbindelse, gis i punkt 4.5.8.

10.2.5.5 Personopplysninger i interne dokumenter

Etter den någjeldende personopplysningsloven gjelder informasjons- og innsynsretten ikke for «opplysninger som utelukkende finnes i tekst som er utarbeidet for den interne saksforberedelse og som heller ikke er utlevert til andre». Unntaket er dels praktisk begrunnet, og det bygger dels på hensynet til den interne saksforberedelse, jf. Ot.prp. nr. 92 (1998–99) side 122–123. Det er imidlertid etter gjeldende rett ikke nødvendig å foreta noen nærmere vurdering av om hensynet til å gjøre unntak gjør seg gjeldende i det enkelte tilfellet. Etter departementets vurdering kan det av denne grunn ikke anses nødvendig eller forholdsmessig å videreføre denne bestemmelsen uendret, jf. artikkel 23 nr. 1.

På bakgrunn av høringen legger imidlertid departementet til grunn at det er et klart behov for et unntak fra innsynsretten av hensyn til den interne saksforberedelse. Departementet går derfor inn for at unntaket videreføres med grunnlag i artikkel 23 nr. 1 bokstav e og i, men med et tilleggsvilkår som skal sikre at det bare gjøres unntak i den utstrekning hensynet til den interne saksforberedelse gjør seg gjeldende, og unntak er nødvendig av hensyn til denne. Det foreslås på denne bakgrunn at gjeldende rett videreføres med et tilleggsvilkår om at det bare er unntaksadgang så langt det er nødvendig å nekte innsyn for å sikre forsvarlige interne avgjørelsesprosesser, se lovforslaget § 16 første ledd bokstav e. Dette vil etter departementets syn utgjøre et proporsjonalt unntak, jf. artikkel 23 nr. 1. Bestemmelsen regulerer omfanget av begrensningen, kategoriene av behandling og garantiene for å unngå misbruk, jf. bokstav artikkel 23 nr. 2 bokstav a, c, d og h.

Flere høringsinstanser har gitt uttrykk for at unntaket for interne dokumenter bør videreføres for at det ikke skal oppstå en forskjell mellom privat og offentlig sektor. Departementet finner derfor grunn til å bemerke at den personopplysningsrettslige innsynsretten gjelder på samme måte overfor både offentlige og private behandlingsansvarlige. Overfor offentlige organer gjelder den personopplysningsrettslige innsynsretten ved siden av retten til innsyn etter forvaltningsloven og offentleglova, og unntakene fra innsynsrett etter forvaltningsloven og offentleglova utgjør ikke unntak fra innsynsretten etter personvernforordningen.

Departementet har merket seg at noen høringsinstanser gir uttrykk for at unntaket for opplysninger i interne dokumenter bør utvides til også å omfatte konserninterne dokumenter. Etter departementets syn bør det ikke foretas en slik utvidelse uten nærmere utredning, jf. punkt 2.3.

10.2.5.6 Åpenbare og grunnleggende private og offentlige interesser

Departementet foreslår endelig å videreføre unntaket for opplysninger som det vil være i strid med åpenbare og grunnleggende private eller offentlige interesser å informere om. En slik unntaksbestemmelse ivaretar flere av formålene listet opp i forordningen artikkel 23 nr. 1, herunder særlig bokstav e og i.

Selv om bestemmelsen kan favne over en rekke ulike hensyn, oppstiller den strenge vilkår for unntak, jf. merknadene i Ot.prp. nr. 92 (1998–99) side 122. Departementet bemerker videre at bestemmelsen bare åpner for unntak for nærmere bestemte opplysninger som oppfyller vilkårene. Det vil på vanlig måte foreligge informasjons- og innsynsrett for de øvrige opplysningene. Bare der det vil være i strid med åpenbare og grunnleggende interesser å gi opplysninger om at behandling i det hele tatt finner sted, vil det være aktuelt at den registrerte ikke har noen informasjons- eller innsynsrett overhodet. Etter departementets syn er dette en proporsjonal begrensning, jf. artikkel 23 nr. 1. Ettersom unntaket retter seg mot opplysningenes art og konsekvensene av at den registrerte får kjennskap til dem, blir det ikke relevant med nærmere bestemmelser om behandlingsformål, behandlingsansvarlige eller lagringsperioder, jf. artikkel 23 nr. 2 bokstav a, e og f. Når bestemmelsen omfatter en rekke av de ulike hensynene nevnt i artikkel 23 nr. 1, mener departementet at det som en garanti mot misbruk bør fastsettes en skjerpet begrunnelsesplikt ved nektelse av innsyn basert på grunnlag av bokstav f, jf. forslaget til § 16 tredje ledd. I disse tilfellene bør begrunnelsen suppleres med en angivelse av hvilke hensyn som begrunner hemmelighold.

10.2.5.7 Begrunnelse for nektelse av innsyn

Departementet foreslår å videreføre plikten til skriftlig begrunnelse når det gjøres unntak fra innsynsretten på grunnlag av de foreslåtte unntakene, jf. lovforslaget § 16 tredje ledd. I tillegg foreslås det som nevnt i punkt 10.2.5.6 at begrunnelsen for nektelse av innsyn på grunnlag av sikkerhetsventilen i bokstav f må angi hvilke hensyn som begrunner hemmelighold.

10.2.5.8 Øvrige spørsmål

Departementet har videre merket seg synspunktet til Arbeids- og velferdsdirektoratet om at det kan være behov for en utsatt innsynsrett i kontrollsaker, samt at det bør kunne gjøres unntak for opplysninger om kilder og tipsere. Etter departementets syn er spørsmålene ikke tilstrekkelig utredet til at det kan tas stilling til om det behov for å gi nærmere regler om dette. Unntaksadgangen må derfor inntil videre vurderes etter de alminnelige unntaksreglene.

Det er vanskelig på nåværende tidspunkt å overskue hvilke utslag forordningens regler om informasjons- og innsynsrett vil gi i praksis. Departementet foreslår på denne bakgrunn å videreføre en forskriftshjemmel for unntak fra og nærmere vilkår for informasjonsplikt og innsynsrett.

10.3 Retten til retting, sletting og begrensning av behandling

10.3.1 Gjeldende rett

Personopplysningsloven § 27 gjelder retting av mangelfulle opplysninger. Etter første ledd skal den behandlingsansvarlige av eget tiltak eller på den registrertes begjæring rette personopplysninger som er uriktige, ufullstendige eller som det ikke er adgang til å behandle. Videre skal den behandlingsansvarlige om mulig sørge for at feilen ikke får betydning for den registrerte, for eksempel ved varsling til mottagere av opplysningene. Ufullstendige eller uriktige opplysninger som kan ha betydning som dokumentasjon, skal som hovedregel rettes ved at opplysningene markeres og suppleres med korrekte opplysninger, jf. annet ledd. Datatilsynet kan imidlertid pålegge sletting eller sperring, jf. tredje ledd.

Personopplysningsloven § 28 oppstiller et forbud mot å lagre unødvendige personopplysninger. Etter første ledd skal personopplysninger ikke lagres lenger enn det som er nødvendig for å gjennomføre formålet med behandlingen, og de skal slettes med mindre arkivloven eller annen lov pålegger oppbevaring. Etter annet ledd kan opplysningene likevel lagres for historiske, statistiske eller vitenskapelige formål dersom samfunnets interesse i lagringen klart overstiger ulempene for den enkelte. Tredje ledd gir den registrerte en rett til å få slettet «sterkt belastende» opplysninger om seg selv, dersom dette ikke strider mot annen lov og er forsvarlig ut fra en samlet vurdering av blant annet andres behov for dokumentasjon, hensynet til den registrerte, kulturhistoriske hensyn og de ressurser gjennomføringen av kravet forutsetter. Datatilsynet kan treffe vedtak om at retten til sletting går foran reglene i arkivloven §§ 9 og 18, jf. fjerde ledd.

10.3.2 Forordningen

Artikkel 16 gir rett til retting av uriktige personopplysninger og mangelfulle personopplysninger. Bestemmelsen viderefører i det vesentlige gjeldende rett etter personopplysningsloven § 27. I motsetning til personopplysningsloven har forordningen ingen nærmere regulering av hvordan rettingen skal skje.

Artikkel 17 regulerer retten til sletting, også kalt «retten til å bli glemt». Bestemmelsen gir den registrerte rett til sletting av personopplysninger på en rekke ulike grunnlag, jf. artikkel 17 nr. 1 bokstav a til f. Regelen er imidlertid i stor grad knyttet til om vilkårene for behandling av personopplysningene er oppfylt, og medfører derfor først og fremst en tydeliggjøring og ingen vesentlig utvidelse av plikten til sletting. Retten til sletting av sterkt belastende personopplysninger etter personopplysningsloven § 28 tredje ledd har ingen klar parallell i forordningen.

En ny regel i forordningen sammenlignet med gjeldende norsk rett er at behandlingsansvarlige som har offentliggjort opplysningene skal treffe rimelige tiltak for å underrette andre behandlingsansvarlige som behandler personopplysningene om at den registrerte har bedt om sletting, jf. artikkel 17 nr. 2. Sammen med sletteplikten utgjør dette den såkalte «retten til å bli glemt».

Artikkel 17 nr. 3 gjør en rekke unntak fra retten til sletting, blant annet for utøvelsen av ytrings- og informasjonsfrihet og for behandling for arkiv-, forsknings- og statistikkformål, jf. artikkel 17 nr. 3 bokstav a og d.

En ny rettighet sammenlignet med gjeldende norsk rett er retten til begrensning av behandling, jf. artikkel 18 nr. 1. Begrensning av behandling er i artikkel 4 nr. 3 definert som «merking av lagrede personopplysninger med det som mål å begrense behandlingen av disse i framtiden». Retten inntrer dersom a) opplysningenes riktighet er omtvistet, b) behandlingen er ulovlig og den registrerte motsetter seg sletting av personopplysningene og i stedet anmoder om begrensning, c) behandling ikke lenger er nødvendig, men opplysningene trengs for å fastsette, gjøre gjeldende eller forsvare et rettskrav, eller d) den registrerte har protestert mot videre behandling i medhold av artikkel 21 nr 1, i påvente av en avgjørelse av om videre behandling kan skje. Opplysningene kan bare behandles for visse formål som er nærmere angitt i artikkel 18 nr. 2.

Artikkel 19 inneholder regler om underrettelsesplikt ved retting, sletting og begrensning av behandling etter artikkel 16 til 18. Den behandlingsansvarlige skal selv sørge for å underrette enhver mottager som opplysningene er videreformidlet til om at retting, sletting eller begrensning er utført (med mindre dette viser seg uforholdsmessig vanskelig), og på den registrertes oppfordring opplyse ham eller henne om hvem disse mottagerne er.

10.3.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet ingen unntak fra retten til retting, sletting eller begrensning av behandling.

10.3.4 Høringsinstansenes syn

Kun et fåtall høringsinstanser har uttalt seg om retten til retting, sletting og begrensning av behandling.

Utlendingsdirektoratet uttaler at det må være den behandlingsansvarlige som må avgjøre om personopplysninger er uriktige:

«Utlendingsmyndighetene har en generell utredningsplikt og vil kunne registrere personopplysninger som er innhentet fra andre enn den registrerte selv og som den registrerte ikke nødvendigvis er enig i. For eksempel kan utlendingsmyndighetene fastsette en annen identitet i utlendingssaken enn det den registrerte har opplyst og hevder er den rette. Det må da være adgang til å tilbakevise eventuelle påstander fra den registrerte om at opplysningene ikke er korrekte uten hinder av den registrertes rett til korrigering i henhold til artikkel 16.»

Telia Norge AS mener at det kan være behov for en unntaksregel i visse tilfeller der retting vil være svært ressurskrevende:

«Når det gjelder retten til korrigering etter artikkel 16 mener Telia at det kan være behov for en sikkerhetsventil form av en snever unntaksregel for situasjoner hvor fullstendig korrigering av opplysninger vil være svært ressurskrevende for den behandlingsansvarlige uten at korrigeringen nevneverdig påvirker den videre behandlingen av opplysningene for den registrerte. Som eksempel kan nevnes situasjoner der vi blir enige med en kunde om å korrigere en faktura. Slike fakturaer opprettes på bakgrunn av trafikkdata som er registrert i kommunikasjonsnettverket til operatøren, og endring av data i slike kjernesystemer kan være svært ressurskrevende. Dersom de aktuelle trafikkdataene utelukkende behandles for faktureringsformål, vil korrigeringen av datagrunnlaget ikke påvirke kundens rettigheter eller plikter, og heller ikke den videre behandlingen av opplysningene.»

Norges Rederiforbund mener reglene om sletting er uheldige i arbeidsforhold:

«Som kjent har arbeidsgivere en streng bevisbyrde når det gjelder å påvise saklig grunnlag for oppsigelser. For å oppfylle denne bevisbyrden vil det for arbeidsgivere være maktpåliggende å kunne lagre opplysninger om ansattes arbeidsprestasjoner og advarsler i lang tid. Arbeidsgiver vil ha behov for å lagre advarsler tilbake i tid for å kunne vise til disse som bevis.»

Finans Norge gir uttrykk for at retten til begrensning av behandling kan medføre utfordringer i finansnæringen og i forsikringsvirksomhet:

«Forordningen artikkel 18 nr. 2 tillater likevel behandling for «å fastsette, gjøre gjeldende eller forsvare rettskrav eller for å verne en annen fysisk eller juridisk persons rettigheter eller av hensyn til viktige samfunnsinteresser i Unionen eller en medlemsstat». Finans Norge antar at unntaket må forstås slik at retten til begrensning har liten praktisk betydning der behandlingen skjer på grunnlag av en gjensidige forpliktende avtale med en kunde, jf. artikkel 6 bokstav b, og der behandlingen skjer som følge av en rettslig forpliktelse, jf. artikkel 6 bokstav c. Eksempelvis bør en begjæring om begrenset behandling ikke påvirke et finansforetaks anledning til å forfølge et pengekrav, eller plikten til å utføre myndighetsrapportering og risikoberegninger. Dersom Justisdepartementet er av en annen oppfatning må unntak i medhold av artikkel 23 vurderes.»

10.3.5 Departementets vurdering

Departementet har merket seg Telia Norge AS´ synspunkt om at retting i noen tilfeller kan være svært ressurskrevende, og at det kan være behov for en snever unntaksregel for disse situasjonene. Etter departementets vurdering bør det ikke fastsettes slike unntaksregler før rettighetene har fått virke i praksis. Det samme gjelder etter departementets vurdering for retten til sletting og begrensning av behandling.

Departementet foreslår i denne omgang derfor ingen unntak fra disse rettighetene. Det bemerkes at vilkårene for at retten til sletting etter artikkel 17 og retten til begrensing av behandling etter artikkel 18 skal komme til anvendelse, i seg selv innebærer at disse rettighetene får et relativt begrenset nedslagsfelt.

Til Utlendingsdirektoratets høringsuttalelse bemerker departementet at retten til retting etter artikkel 16 er betinget av at personopplysningene er «uriktige». Departementet kan ikke se at artikkel 16 er til hinder for at et forvaltningsorgan tilbakeviser overfor den registrerte at opplysningene er uriktige. Etter departementets vurdering er det derfor ikke behov for unntak fra artikkel 16 på dette punktet.

Om retten til retting, sletting og begrensning av behandling ved behandling for arkiv, forsknings- og statistikkformål vises det til punkt 11.3.

10.4 Retten til dataportabilitet

10.4.1 Gjeldende rett

Den gjeldende personopplysningsloven gir ingen rett til dataportabilitet.

10.4.2 Forordningen

Retten til dataportabilitet følger av forordningen artikkel 20 nr. 1. Hvis behandlingen baserer seg på samtykke eller kontrakt og behandlingen utføres automatisk, har den registrerte rett til å motta opplysninger om seg selv som han eller hun selv har gitt til den behandlingsansvarlige samt å overføre disse til andre. Opplysningene skal være i et strukturert, alminnelig anvendt og maskinlesbart format. Etter artikkel 20 nr. 2 har den registrerte rett til å få overført personopplysningene direkte fra en behandlingsansvarlig til en annen i den utstrekning det er teknisk mulig.

Etter artikkel 20 nr. 3 gjelder retten til dataportabilitet ikke behandling som er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet. Det følger av artikkel 20 nr. 4 at retten til dataportabilitet ikke skal ha negativ innvirkning på andres rettigheter eller frihetsrettigheter.

10.4.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet ingen unntak fra retten til dataportabilitet.

10.4.4 Høringsinstansenes syn

Næringslivets Hovedorganisasjon, Telenor Norge AS og Norges Rederiforbund uttaler at det kan være behov for nasjonale regler om dataportabilitet i arbeidsforhold. Næringslivets Hovedorganisasjon mener at reglene er uklare, og at en ansatt ofte ikke vil ha noen beskyttelsesverdig interesse i dataportabilitet:

«Etter ordlyden i forordningen følger en begrensning av at retten til dataportabilitet kun omfatter opplysninger den ansatte selv har gitt til den behandlingsansvarlige. Det er imidlertid vanskelig å se at dette kriteriet alene er egnet til å gi den nødvendige avklaringen som virksomheten trenger. Vi oppfordrer departementet til å vurdere om det kan være grunnlag for å fastsette nærmere regler om dataportabilitet i ansettelsesforhold med hjemmel i artikkel 88. Etter vårt syn vil en ansatt ofte ikke ville ha noen beskyttelsesverdig interesse knyttet til dataportabilitet fordi mye av det som skjer av behandling vil være spesifikt for den enkelte arbeidsgiver og ikke omfatte opplysninger som er relevante for andre, og for eksempel ikke være aktuelt for videreføring til en ny arbeidsgiver.»

Telenor Norge AS mener at det kan være praktiske vanskeligheter i arbeidsforhold, og uttaler:

«Telenor mener det kan være behov for unntak på arbeidslivsområdet. I arbeidsforhold vil det for eksempel ikke være praktisk mulig for en arbeidsgiver å utlevere alle opplysninger som er blitt behandlet om den ansatte under ansettelsesforholdet, der disse opplysningene er gitt som følge av kontrakt eller samtykke.»

10.4.5 Departementets vurdering

Departementet er enig med høringsinstansene i at det er uklart hvordan en rett til dataportabilitet vil virke i arbeidsforhold, og at en slik rett kan by på praktiske utfordringer. Etter departementets vurdering er det imidlertid på dette tidspunktet ikke tilstrekkelig grunnlag for å fastslå at det bør gis nasjonale regler om dataportabilitet i arbeidsforhold, eller vurdere hva slike regler i så fall bør gå ut på. Dette spørsmålet bør heller vurderes nærmere på et senere tidspunkt når det er klarere hvilke utslag reglene har gitt i praksis.

Departementet foreslår heller ingen unntak fra retten til dataportabilitet. Om retten til dataportabilitet ved behandling for arkiv-, forsknings- og statistikkformål vises det til punkt 11.3.

10.5 Retten til å protestere og til ikke å være gjenstand for avgjørelser som utelukkende er basert på automatisert behandling

10.5.1 Gjeldende rett

En rett til å protestere mot behandlingen finnes ikke i gjeldende personopplysningslov.

Etter § 25 første ledd er den enkelte gitt rett til at fullt automatiserte avgjørelser som nevnt i § 22 overprøves av en fysisk person. Retten gjelder ikke dersom den registrertes personverninteresser varetas på tilstrekkelig måte og avgjørelsen er hjemlet i lov eller knytter seg til oppfyllelse av kontrakt.

10.5.2 Forordningen

Artikkel 21 gir den registrerte en rett til å protestere mot behandling av personopplysninger. Retten gjelder der behandlingen foretas på grunnlag av artikkel 6 nr. 1 bokstav e eller f, herunder ved profilering basert på disse bestemmelsene. Når den registrerte protesterer, plikter den behandlingsansvarlige å stoppe behandlingen av personopplysningene, med mindre den behandlingsansvarlige kan påvise tvingende legitime grunner for behandlingen som veier tyngre enn den registrertes interesser, rettigheter og friheter, eller behandlingen er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav. Etter artikkel 21 nr. 2 og 3 har den registrerte en særlig rett til å protestere mot behandling av personopplysninger som behandles med henblikk på direkte markedsføring, og den behandlingsansvarlige plikter da å stoppe behandlingen. Etter artikkel 21 nr. 6 har den registrerte rett til å protestere også når personopplysningene behandles for vitenskapelige eller historiske forskningsformål eller for statistiske formål, med mindre behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse.

Artikkel 22 nr. 1 gir den registrerte rett til ikke å være gjenstand for en avgjørelse som utelukkende er basert på automatisert behandling, herunder profilering, når avgjørelsen har rettsvirkning eller i betydelig grad påvirker vedkommende. Regelen er i stor grad en videreføring av personopplysningsloven § 25, jf. § 22. Artikkel 22 nr. 2 bokstav a til c gjør unntak fra hovedregelen ved a) behandling i forbindelse med en avtale mellom den registrerte og den behandlingsansvarlige, b) dersom behandlingen er hjemlet i nasjonal rett eller c) dersom behandlingen er basert på samtykke. Etter artikkel 22 nr. 3 skal den registrerte i tilfellene i nr. 2 bokstav a og c ha rett til blant annet menneskelig inngripen fra den behandlingsansvarlige, til å uttrykke sine synspunkter og til å motsette seg avgjørelsen. Endelig følger det av artikkel 22 nr. 4 at avgjørelsene nevnt i nr. 2 ikke kan bygge på særlige kategorier av personopplysninger, med mindre det foreligger samtykke etter artikkel 9 nr. 2 bokstav a eller behandlingen er nødvendig av hensyn til viktige allmenne interesser etter artikkel 9 nr. 2 bokstav g og det er innført egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser.

10.5.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet ingen nasjonale unntaksregler fra retten til å protestere eller retten til ikke å være gjenstand for en avgjørelse som utelukkende er basert på automatisert behandling.

10.5.4 Høringsinstansenes syn

Få høringsinstanser har uttalt seg om behov for unntak fra retten til å protestere mot behandlingen. Tolldirektoratet uttaler at det kan være behov for unntak i forbindelse med kontrollmyndigheters behandling av personopplysninger:

«Vi anser det ikke som usannsynlig at det vil kunne komme svært mange henvendelser i saker der den registrerte nettopp vil ha «innsigelser» mot kontrollmyndighetenes (her tollmyndighetenes) behandling av personopplysninger. Samtidig vil det være svært begrenset anledning til å stanse behandlingen, som følge av de oppgaver kontrollmyndighetene er pålagt.

Tolletaten vil således oppfordre til at det vurderes unntak fra innsigelsesretten i art. 21 nr. 1, herunder unntak for den behandlingsansvarliges plikt til å stanse behandlingen eller påvise «tvingende berettigede grunner for behandlingen som går foran den registrertes interesser, rettigheter og friheter». Dette har også en side mot ressursbruk – uten mulighet for å gjøre unntak vil bestemmelsen i art. 21 nr. 1 kunne medføre betydelige krav til ressurser både til løpende administrasjon av ordningen og utvikling av egnede systemløsninger.»

Få høringsinstanser uttaler seg om behov for unntak fra retten til ikke å være gjenstand for en avgjørelse som utelukkende er basert på automatisert behandling. Finans Norge uttaler at ordlyden i artikkel 22 nr. 2 bokstav a tilsier at kollektive forsikringsavtaler ikke kan gi grunnlag for automatisert behandling, og at det derfor bør etableres en nasjonal lovhjemmel som åpner for dette. Videre mener Finans Norge at det bør fastsettes i nasjonal rett at opplysninger om fagforeningstilhørighet kan være gjenstand for automatiserte avgjørelser uten samtykke:

«Som redegjort for over er fagforeningsopplysninger en sensitiv personopplysning etter forordningen og vi anmoder om at unntaket som følger av dagens forsikringskonsesjon videreføres i lov eller forskrift. Kollektive forsikringsavtaler hvor fagforeningen inngår avtalen vil være aktuelle for automatiserte avgjørelser. Etter forordningen artikkel 22 nr. 4 kreves det imidlertid samtykke fra den registrerte for automatiserte avgjørelser og profilering på sensitive personopplysninger. Også her bør det etter vår vurdering fastsettes en videreføring av dagens konsesjon slik at fagforeningsopplysninger kan være gjenstand for automatiserte avgjørelser og profilering.»

Tolldirektoratet uttaler at det for enkelte deler av etatens virksomhet kan være nødvendig å utarbeide særskilt hjemmel for automatiserte avgjørelser og profilering.

10.5.5 Departementets vurdering

Departementet har merket seg Tolldirektoratets bekymring for at det vil bli mange henvendelser med innsigelser mot kontrollmyndigheters behandling av personopplysninger. Etter departementets vurdering er det ikke på nåværende tidspunkt tilstrekkelige holdepunkter for å fastslå at retten til å protestere vil stille betydelige krav til ressurser for kontrollmyndigheter. Det er uklart både i hvilken utstrekning retten vil bli påberopt, og hvilke ressurser som er nødvendige for å behandle slike henvendelser. Departementet bemerker for øvrig at forordningen artikkel 21 ikke gir noen rett til å protestere mot behandling som skjer på grunnlag av artikkel 6 nr. 1 bokstav c, det vil si behandling som er nødvendig for å oppfylle en rettslig forpliktelse. Det foreslås ingen nasjonale unntak fra retten til å protestere.

Slik departementet vurderer det, er det liten grunn til å benytte adgangen etter artikkel 23 til å gjøre unntak fra retten etter artikkel 22 nr. 1. Artikkel 22 nr. 2 bokstav b åpner for automatisert behandling når det finnes rettsgrunnlag for dette i nasjonal rett. I de tilfellene avtale eller samtykke ikke strekker til som grunnlag for automatisert behandling, bør det i stedet fastsettes slike nasjonale rettsgrunnlag, og ikke gjøres unntak etter artikkel 23. Departementet har merket seg Finans Norges synspunkt om behov for nasjonalt rettsgrunnlag for automatisert behandling. Etter departementets syn er det behov for å utrede disse spørsmålene nærmere. Det foreslås derfor ikke nærmere bestemmelser om automatisert behandling i proposisjonen her.

11 Behandling av personopplysninger for arkiv-, forsknings- og statistikkformål

11.1 Supplerende rettsgrunnlag for behandling av alminnelige personopplysninger uten samtykke

11.1.1 Gjeldende rett

Gjeldende personopplysningslov inneholder ikke et særlig behandlingsgrunnlag for behandling av alminnelige personopplysninger for arkiv-, forsknings- eller statistikkformål. Slik behandling kan skje med grunnlag i de alminnelige behandlingsgrunnlagene i personopplysningsloven § 8. For forskningsformål er det særlig aktuelt å behandle personopplysninger enten på grunnlag av samtykke eller fordi behandlingen er nødvendig for å utføre en oppgave av allmenn interesse eller for å ivareta en berettiget interesse som ikke overstiges av hensynet til registrertes personvern, jf. henholdsvis bokstav d og f. For arkiv- og statistikkformål er bokstav d om allmenn interesse et særlig aktuelt behandlingsgrunnlag. Der det foreligger en plikt til å arkivere eller føre statistikk, vil også personopplysningsloven § 8 bokstav b om rettslig forpliktelse være aktuell. Behandlingen kan i noen utstrekning også ha grunnlag i annen lovgivning, for eksempel arkivlova, statistikkloven eller helseforskningsloven.

Personopplysningsloven § 11 annet ledd åpner for viderebehandling av personopplysninger for historiske, statistiske eller vitenskapelige formål. Slik behandling anses ikke uforenlig med de opprinnelige formålene med innsamlingen av opplysningene dersom samfunnets interesse i at behandlingen finner sted, klart overstiger ulempene for den enkelte.

11.1.2 Forordningen

Heller ikke forordningen oppstiller et særlig behandlingsgrunnlag for arkiv-, forsknings- eller statistikkformål. Slik behandling må forankres i et av de alminnelige behandlingsgrunnlagene i artikkel 6 nr. 1. Som beskrevet i punkt 6.3 viderefører artikkel 6 nr. 1 de alminnelige behandlingsgrunnlagene i dagens personopplysningslov, herunder samtykke (bokstav a), rettslig forpliktelse (bokstav c), allmenn interesse (bokstav e) og en interesseavveining (bokstav f).

Når det gjelder samtykke til behandling for forskningsformål, følger det av fortalepunkt 33 at den registrerte kan gi et bredt samtykke, det vil si å «gi sitt samtykke til visse områder innen vitenskapelig forskning når dette er i samsvar med anerkjente etiske standarder for vitenskapelig forskning». Så langt formålet tillater det, bør imidlertid den registrerte ha mulighet til å «gi sitt samtykke bare til visse forskningsområder eller deler av forskningsprosjekter».

Ved behandling for arkiv-, forsknings- eller statistikkformål på grunnlag av artikkel 6 nr. 1 bokstav e er det på vanlig måte nødvendig med et supplerende rettsgrunnlag, jf. artikkel 6 nr. 3, som er nærmere beskrevet i punkt 6.3.2.

På samme måte som gjeldende lov åpner forordningen for viderebehandling for arkiv-, forsknings- og statistikkformål. Etter artikkel 5 nr. 1 bokstav b skal viderebehandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål ikke anses som uforenlig med de opprinnelige formålene med innsamlingen, forutsatt at behandlingen skjer i samsvar med artikkel 89 nr. 1. Det følger av fortalepunkt 50 at det ved viderebehandling for forenlige formål ikke er nødvendig med et nytt behandlingsgrunnlag i tillegg til det som ligger til grunn for innsamlingen av opplysningene. Forutsetningen må være at det er tale om den samme behandlingsansvarlige. Så lenge behandlingen skjer i samsvar med artikkel 89 nr. 1, kan den behandlingsansvarlige altså viderebehandle personopplysningene for arkiv-, forsknings- og statistikkformål uten at det er nødvendig med et eget behandlingsgrunnlag for viderebehandlingen. Dersom viderebehandlingen består i at opplysninger utleveres til andre behandlingsansvarlige, må imidlertid den behandlingsansvarlige som mottar personopplysningene, kunne påvise et eget behandlingsgrunnlag.

Etter forordningen artikkel 89 nr. 1 skal behandling for arkiv-, forsknings- og statistikkformål «omfattes av nødvendige garantier i samsvar med denne forordning for å sikre den registrertes rettigheter og friheter». Det følger videre at disse garantiene «skal sikre at det er innført tekniske og organisatoriske tiltak for særlig å sikre at prinsippet om dataminimering overholdes». Videre følger det at tiltakene «kan omfatte pseudonymisering, forutsatt at nevnte formål kan oppfylles på denne måten», og endelig at dersom formålene «kan oppfylles ved viderebehandling som ikke gjør det mulig eller ikke lenger gjør det mulig å identifisere de registrerte, skal formålene oppfylles på denne måten».

Forordningen åpner for at det i nasjonal rett kan fastsettes nødvendige garantier for behandling for arkiv-, forsknings- og statistikkformål, jf. fortalepunkt 156. Forordningen skiller ikke på dette punktet mellom behandlingsgrunnlagene. Det er altså samme adgang til å fastsette garantier for behandlinger som skjer på grunnlag av samtykke eller en berettiget interesse, jf. artikkel 6 nr. 1 bokstav a og f, som for behandlinger som skjer på grunnlag av en rettslig forpliktelse eller allmenn interesse, jf. artikkel 6 nr. 1 bokstav c og e. Når behandlingsgrunnlaget er artikkel 6 nr. 1 bokstav c og e, gir også artikkel 6 nr. 2 og 3 på vanlig måte grunnlag for å fastsette nasjonale utfyllende regler, jf. punkt 6.5.

11.1.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet ingen supplerende rettsgrunnlag for behandling for arkiv-, forsknings- og statistikkformål på grunnlag av forordningen artikkel 6 nr. 1 bokstav e. Det ble imidlertid bedt om høringsinstansenes syn på om det er behov for en lovregulering som kan utgjøre behandlingsgrunnlag for private forskningsinstitusjoner.

11.1.4 Høringsinstansenes syn

Alle høringsinstansene som uttaler seg om spørsmålet, mener at det er behov for en lovregulering som gir supplerende rettsgrunnlag for forskning på alminnelige opplysninger. Dette er Helse- og omsorgsdepartementet, Kunnskapsdepartementet, Datatilsynet, Folkehelseinstituttet, Administrasjonen i De nasjonale forskningsetiske komiteene, Den nasjonale forskningsetiske komité for samfunnsvitenskap og humaniora, Norsk senter for forskningsdata, Forskningsinstituttenes Fellesarena, Universitets- og høgskolerådet, Universitetet i Bergen, Norges teknisk-naturvitenskapelige universitet, Den norske legeforening og Brækhus Advokatfirma DA. Kunnskapsdepartementet uttaler:

«Kunnskapsdepartementet mener derfor at en lovbestemmelse som skissert av JD i høringsnotatet pkt. 7.1.3. er nødvendig for å sikre at all forskning, og da også forskning i privat regi og offentlige forskningsinstitusjoner som ikke er opprettet med hjemmel i lov, har et lovlig grunnlag for å behandle personopplysninger, også der det ikke foreligger samtykke».

Norges idrettshøgskole og Norsk senter for forskningsdata mener at det er behov for en generell bestemmelse om sammenstilling og utlevering av opplysninger til forskning. Norsk senter for forskningsdata uttaler:

«For å sikre forskningen bedre tilgang til data, mener NSD det er viktig å få inn en generell bestemmelse i den nye personopplysningsloven som gir adgang til sammenstilling og utlevering av personopplysninger til forskingsformål. En slik bestemmelse vil legge føringer for en bedre og likere utforming av særlovgivningen. Det vil gi entydig signal til alle som forvalter særlovgivningen og viktige registre som forskningen trenger tilgang til, om at det er lov å utlevere data til forskning også i personidentifiserbar form når det er nødvendig for forskningsformålet.»

Få høringsinstanser har uttalt seg om innholdet i eller plasseringen av regler som gir supplerende rettsgrunnlag for forskning. Datatilsynet mener at reglene bør finnes i særlovgivning:

«Datatilsynet mener videre at det ikke er hensiktsmessig at det gis en hjemmel som gjelder et såpass avgrenset område i den generelle personopplysningsloven. Personopplysningloven bør heller gi føringer for hva en slik hjemmel bør inneholde, og overlate til særlovgivningen å gi relevante hjemler for å oppfylle forutsetningene i forordningen.»

Når det gjelder behandling for arkivformål, uttaler Kunnskapsdepartementet og Norsk senter for forskningsdata at det kan være behov for rettsgrunnlag for arkivering av forskningsdata. Norsk senter for forskningsdata uttaler:

«For at NSD og andre arkiver som lagrer og formidler data til forskningsformål skal kunne fortsette med dette, er det viktig at loven gir tydelig adgang til å behandle persondata til arkivformål i allmennhetens interesse. Arkivloven gir i dag adgang til arkivering. Men forholdet mellom arkivplikten etter arkivloven og sletteplikten etter personopplysningsloven kan være uklar. Dette kan føre til tolkningstvil om forskningsarkivenes adgang til å arkivere persondata til forskningsformål uten samtykke. Den beste måten å sikre behandlingsgrunnlag for forskningsdataarkiv som ikke omfattes av bestemmelsene i arkivloven er etter vår vurdering å innføre en uttrykkelig lovbestemmelse i ny personopplysningslov som supplerer forordningen. En slik hjemmel vil utgjøre en viktig garanti for fremtidig forskning på eksisterende data.»

11.1.5 Departementets vurdering

11.1.5.1 Supplerende rettsgrunnlag for behandling for arkiv-, forsknings- og statistikkformål uten samtykke

Departementet er enig med høringsinstansene i at det bør fastsettes et supplerende rettsgrunnlag som åpner for behandling av personopplysninger for forskningsformål i allmennhetens interesse, jf. forordningen artikkel 6 nr. 1 bokstav e, se lovforslaget § 8. Etter departementets syn bør en slik bestemmelse gjelde generelt og ikke sondre mellom hvordan forskningen er finansiert eller organisert. Bestemmelsen er ment å videreføre den generelle adgangen etter gjeldende rett til å behandle personopplysninger for forskningsformål for å utføre en oppgave av allmenn interesse.

Departementet mener videre at et slikt supplerende rettsgrunnlag også bør gjelde behandling for arkiv- og statistikkformål. Også for disse formålene bør den alminnelige adgangen til å behandle personopplysninger for å utføre en oppgave av allmenn interesse videreføres. Det vises særlig til de behandlingene som ikke omfattes av arkivlova eller statistikkloven. Videre er det en nær sammenheng mellom behandling for forskningsformål og arkiv- og statistikkformål. Disse formålene er i stor grad regulert samlet i forordningen, jf. særlig reglene om viderebehandling for slike formål, jf. artikkel 5 nr. 1 bokstav b, samt artikkel 89 nr. 1.

Bestemmelsen bør etter departementets syn være begrenset til å gi generelt supplerende rettsgrunnlag for behandling for arkiv-, forsknings- og statistikkformål på grunnlag av artikkel 6 nr. 1 bokstav e, jf. artikkel 6 nr. 3. Det vil si at bestemmelsen ikke bør gi noen uttømmende regulering av adgangen til behandling av personopplysninger for disse formålene eller på annen måte begrense adgangen til behandling på andre grunnlag. I stedet bør bestemmelsen gjelde ved siden av øvrige bestemmelser som åpner for behandling. Bestemmelsen bør derfor ikke berøre adgangen til å behandle personopplysninger på grunnlag av de andre behandlingsgrunnlagene i artikkel 6 nr. 1, for eksempel samtykke etter bokstav a eller en interesseavveining etter bokstav f. Videre bør det uavhengig av en slik bestemmelse være adgang til behandling på grunnlag av artikkel 6 nr. 1 bokstav e og et annet supplerende rettsgrunnlag, for eksempel arkivlova.

Etter departementets syn bør bestemmelser som gir supplerende rettsgrunnlag, så langt som mulig spesifisere hvilke formål personopplysningene kan behandles for. Når det gjelder arkiv-, forsknings- og statistikkformål, er det imidlertid etter departementets oppfatning verken nødvendig eller hensiktsmessig å forsøke å angi mer spesifikke behandlingsformål innenfor de overordnede formålene arkiv, forskning og statistikk. I stedet bør formålsangivelsen svare til det som anses som «arkivformål i allmennhetens interesse», «formål knyttet til vitenskapelig eller historisk forskning» og «statistiske formål» i forordningens forstand, jf. artikkel 5 nr. 1 bokstav b og fortalepunkt 158 til 160 og 162. Departementet kan ikke se at forordningen stiller krav om ytterligere spesifisering av disse formålene i nasjonal rett. Det må anses tilstrekkelig at formålene angis like spesifikt som i artikkel 5 nr. 1 bokstav b, som også åpner for viderebehandling for disse formålene uten at det er nødvendig med et eget grunnlag for viderebehandlingen, jf. artikkel 6 nr. 4 og fortalepunkt 51.

Det er etter departements syn vesentlig å sikre at behandlingen omfattes av nødvendige garantier og tiltak for å sikre at behandlingen er i tråd med forordningens krav, og for øvrig at den registrertes personvern ivaretas. At behandling for arkiv-, forsknings- og statistikkformål skal være omfattet av nødvendige garantier, følger direkte av artikkel 89 nr. 1. Det følger av denne bestemmelsen at behandlingen skal «omfattes av nødvendige garantier i samsvar med denne forordning for å sikre den registrertes rettigheter og friheter». Etter departementets syn må denne bestemmelsen forstås slik at den retter seg direkte mot den behandlingsansvarlige, ikke mot nasjonale myndigheter. Bestemmelsen gir ikke anvisning på at garantiene skal fastsettes i medlemsstatenes nasjonale rett. Forordningen er likevel ikke til hinder for at det fastsettes nærmere garantier i nasjonal rett, jf. fortalepunkt 156.

Etter departementets syn bør det av pedagogiske grunner fastsettes at behandlingen må være omfattet av nødvendige garantier i samsvar med artikkel 89 nr. 1. Det er ikke hensiktsmessig å forsøke å spesifisere disse garantiene nærmere.

11.1.5.2 Særlig om sammenstilling og utlevering av personopplysninger til arkiv-, forsknings- og statistikkformål

Departementet har merket seg synspunktene til Norges idrettshøgskole og Norsk senter for forskningsdata om behov for en generell bestemmelse om sammenstilling og utlevering av personopplysninger til forskning. Departementet viser i denne forbindelse til omtalen av artikkel 5 nr. 1 bokstav b og fortalepunkt 50 i punkt 11.2.2 over. Det følger av artikkel 5 nr. 1 bokstav b at viderebehandling av personopplysninger for arkiv-, forsknings- eller statistikkformål i samsvar med artikkel 89 nr. 1 skal anses som forenlig med innsamlingsformålet. Videre følger det av fortalepunkt 50 at den behandlingsansvarlige ikke trenger et nytt rettslig grunnlag for å viderebehandle personopplysninger for forenlige formål.

Sammenstilling og utlevering av personopplysninger til en annen behandlingsansvarlig som skal benytte personopplysningene til arkiv-, forsknings- eller statistikkformål, må etter artikkel 5 nr. 1 bokstav b anses som forenlig viderebehandling. Den behandlingsansvarlige som utleverer personopplysningene, trenger dermed ikke et særskilt behandlingsgrunnlag for utleveringen. Det er derfor etter departementets syn ikke nødvendig å utforme en generell bestemmelse som gir supplerende rettsgrunnlag for sammenstilling og utlevering etter artikkel 6 nr. 1 bokstav e, jf. nr. 3. Det understrekes at den behandlingsansvarlige må sørge for at sammenstillingen og utleveringen er omfattet av nødvendige garantier i tråd artikkel 89 nr. 1, jf. også artikkel 5 nr. 1 bokstav b, og at det på vanlig måte ikke er adgang til å utlevere flere personopplysninger enn det som er nødvendig for formålet. Det understrekes også at den behandlingsansvarlige som mottar personopplysningene som utleveres, må påvise et behandlingsgrunnlag etter artikkel 6 nr. 1. Forslaget til § 8 vil kunne gi supplerende rettsgrunnlag i den forbindelse, jf. punkt 11.1.5.1 over.

Dersom utlevering vil utgjøre et inngrep i retten til privatliv etter Grunnloven § 102 og EMK artikkel 8, må det på vanlig måte vurderes om det er nødvendig med mer spesifikke lov- eller forskriftsbestemmelser og/eller garantier for å oppfylle Grunnlovens og EMKs krav om rettsgrunnlag for inngrep, jf. punkt 6.4. Slike mer spesifikke lov- eller forskriftsbestemmelser bør etter departementets syn fastsettes i særlovgivningen, og ikke i den generelle personopplysningsloven.

Departementet understreker endelig at taushetsplikt kan være til hinder for utlevering. I så fall er det nødvendig med et unntak fra taushetsplikten, for eksempel vedtak om utlevering til forskning etter forvaltningsloven § 13 d.

11.2 Behandling av særlige kategorier av personopplysninger uten samtykke

11.2.1 Gjeldende rett

Personopplysningsloven § 9 første ledd bokstav h åpner for behandling av sensitive personopplysninger når «behandlingen er nødvendig for historiske, statistiske eller vitenskapelige formål, og samfunnets interesse i at behandlingen finner sted klart overstiger ulempene den kan medføre for den enkelte».

Behandlingen krever som hovedregel konsesjon fra Datatilsynet, jf. personopplysningsloven § 33 første ledd. I personopplysningsforskriften § 7-27 første ledd er det imidlertid gjort unntak fra konsesjonsplikten for forskningsprosjekter som er tilrådd av personvernombud, samt tilrådd av regional forskningsetisk komité der det gjelder medisinsk og helsefaglig forskning. Unntaket gjelder ikke forskningsprosjekter av «stort omfang og lang varighet» eller forskning på «store datasett som ikke er pseudonymisert eller avidentifisert på annen sikker måte», samt frafallsanalyser som ikke er basert på samtykke, jf. forskriften § 7-27 annet ledd.

Behandling av sensitive personopplysninger for arkiv-, forsknings- og statistikkformål uten samtykke kan i tillegg skje i medhold av særlovgivningen, herunder arkivlova, statistikkloven, helseforskningsloven og helseregisterloven med forskrifter.

11.2.2 Forordningen

Forordningen artikkel 9 nr. 2 bokstav j åpner for at særlige kategorier av personopplysninger kan behandles når det er «nødvendig for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål». Behandlingen må skje «i samsvar med artikkel 89 nr. 1» og «på grunnlag av unionsretten eller medlemsstatenes nasjonale rett som skal stå i et rimelig forhold til det mål som søkes oppnådd, være forenlig med det grunnleggende innholdet i retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser». Bestemmelsen åpner for at det i nasjonal rett kan gjøres unntak fra forbudet i artikkel 9 nr. 1 for behandling for arkiv-, forsknings- og statistikkformål. Det vises til punkt 7.1.3 for generell omtale av kravet til nasjonale bestemmelser og om egnede og særlige tiltak.

Etter forordningen artikkel 10 kan «personopplysninger om straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak» bare behandles «under en offentlig myndighets kontroll eller dersom behandlingen er tillatt i henhold til unionsretten eller medlemsstatenes nasjonale rett som sikrer nødvendige garantier for de registrertes rettigheter og friheter», jf. kapittel 8 om denne bestemmelsen.

11.2.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet en generell lovbestemmelse om behandling av særlige kategorier av personopplysninger for arkiv-, forsknings- og statistikkformål uten samtykke, jf. forordningen artikkel 9 nr. 2 bokstav j, med utgangspunkt i at det ikke i tilstrekkelig grad finnes særlovgivning som åpner for behandlingen:

«I de tilfellene særlovgivningen åpner for behandling av sensitive personopplysninger for arkiv-, forsknings- eller statistikkformål, og rettsgrunnlaget tilfredsstiller kravene i artikkel 9 nr. 2 bokstav j, vil det være adgang til behandling med grunnlag i den aktuelle særloven. Behandling av opplysninger til disse formålene er i noen grad regulert i eksisterende særlovgivning, se særlig arkivlova med forskrifter, statistikkloven med forskrifter, helseforskningsloven og helseregisterloven med forskrifter. Forskning på andre sensitive opplysninger enn helseopplysninger og behandling av opplysninger i private arkiver er imidlertid i liten grad lovregulert. Etter departementets syn er det på denne bakgrunn nødvendig med en generell lovbestemmelse som åpner for behandling av sensitive opplysninger for arkiv-, forsknings- og statistikkformål uten samtykke.»

Departementet foreslo å videreføre adgangen til å behandle særlige kategorier av personopplysninger for disse formålene når samfunnets interesse i at behandlingen finner sted, klart overstiger ulempene for den enkelte. I tillegg foreslo departementet visse ytterligere vilkår i lys av kravet om proporsjonalitet og egnede særlige tiltak i forordningen artikkel 9 nr. 2 bokstav j.

Det ble i høringsnotatet tatt utgangspunkt i at det som hovedregel bør innhentes samtykke til behandling av særlige kategorier av opplysninger når behandlingen ikke er regulert i særlov. Departementet foreslo derfor at en generell lovbestemmelse som åpner for behandling av særlige kategorier av personopplysninger for arkiv-, forsknings- og statistikkformål, bør sette som vilkår at innhenting av samtykke etter forordningen artikkel 9 nr. 2 bokstav a er umulig eller uforholdsmessig vanskelig.

Videre foreslo departementet at det burde være et vilkår at den behandlingsansvarlige setter i verk egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser. Departementet uttalte at et slikt vilkår dels ville overlappe med det generelle kravet om «nødvendige garantier» i artikkel 89 nr. 1, men at det også kunne innebære strengere krav.

Endelig mente departementet at det burde settes vilkår om at den behandlingsansvarlige har utpekt personvernombud og at personvernombudet har tilrådd behandlingen. Det ble vist til at behandlingen ikke lenger vil være underlagt konsesjonsplikt. Departementet pekte på at et slikt vilkår vil bidra til å sikre at vilkårene for behandling er oppfylt, at behandlingen omfattes av «nødvendige garantier» etter artikkel 89 nr. 1, og at det sikres egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser. Det ble foreslått at kravet om tilråding også skulle gjelde for forskningsprosjekter som behandler særlige kategorier av personopplysninger i medhold av den registrertes samtykke etter forordningen artikkel 9 nr. 2 bokstav a.

11.2.4 Høringsinstansenes syn

Alle høringsinstansene som uttaler seg om spørsmålet, mener at det bør gis lovregler som åpner for behandling av særlige kategorier av personopplysninger til arkiv-, forsknings- og statistikkformål uten samtykke.

Få høringsinstanser har uttalt seg om forslaget om å videreføre vilkåret om at samfunnets interesse i at behandlingen finner sted, klart må overstige ulempene for den enkelte. Helse Stavanger HF støtter det foreslåtte vilkåret. Norsk senter for forskningsdata uttaler at vilkåret også gjelder i dag, og at det ikke vil endre forskningens vilkår i nevneverdig grad. Datatilsynet mener at vilkåret har liten tilleggsverdi ved siden av forordningens regler:

«Vi mener også at kravet om interesseovervekt i bokstav b gir liten garanti. Ansvaret for å gjøre disse vurderingene overlates til den databehandlingsansvarlige, som selvsagt har en stor egeninteresse i å gjennomføre sin behandling. Den vurderingen som bokstav b pålegger ansvarlige å gjøre, følger i stor grad av de øvrige kravene i forordningen, blant annet gjennom prinsippene i artikkel 5 og i unntaket fra forbudet i artikkel 9 j. Det har derfor liten tilleggsverdi å presisere plikten til å gjøre en slik avveining i bokstav b.»

De høringsinstansene som uttaler seg om det foreslåtte vilkåret om at innhenting av samtykke må være umulig eller uforholdsmessig vanskelig, er kritiske til forslaget. Administrasjonen i De nasjonale forskningsetiske komiteene mener at forslaget, i strid med forordningens system, gjør samtykke til hovedregel:

«Administrasjonen i De nasjonale forskningsetiske komiteene mener departementets forslag bryter med forordningen artikkel 9 nr. 2 bokstav j som et selvstendig behandlingsgrunnlag på linje med samtykke etter bokstav a. Det norske forslaget gjør samtykke til hovedregel, og begrenser bokstav j i forordningen som et selvstendig behandlingsgrunnlag.»

Også Norsk senter for forskningsdata peker på at forordningen ikke gjør samtykke til hovedregelen, og uttaler at det ikke må være en for høy terskel for forskning uten samtykke:

«NSD bemerker at ordlyden i forslagets § 6 første ledd bokstav a) gir samtykke forrang foran de andre behandlingsgrunnlagene. Vi kan ikke se at forordningen art. 6 og art. 9 legger opp til en så tydelig rangering, og oppfatter det derfor som et noe strengere krav (begrensning) departementet foreslår skal gjelde ved behandling av sensitive personopplysninger til arkiv-/ forskningsformål. Kravet om at samtykke skal vurderes først gjelder også i dag. Det innebærer at behandlingsansvarlig alltid må begrunne hvorfor samtykke ikke kan innhentes, der dette er umulig eller uforholdsmessig vanskelig. Vår erfaring er at dette vanligvis ikke skaper store problemer for forskningen. Når forsker er i direkte kontakt med utvalget (som ved intervju- og spørreundersøkelser), er det naturlig å innhente samtykke. Når forsker ikke er i kontakt (som ved registerstudier, dokumentanalyser og noen former for observasjonsstudier), er det ofte ikke så vanskelig å argumentere for at forskningen ikke kan baseres på samtykke. Grunnene er gjerne at utvalget er stort, forsker mangler kontaktopplysninger eller er ikke i direkte kontakt etc. Det er imidlertid viktig at det ikke utvikler seg en praksis hvor det blir for høy terskel for å definere innhentingen av samtykke som «uforholdsmessig vanskelig». NSD vil anbefale at Norge her legger seg på samme linje som andre land.»

Flere høringsinstanser uttaler at et krav om samtykke kan være til hinder for viktig forskning. Disse er Administrasjonen i De nasjonale forskningsetiske komiteene, Den nasjonale forskningsetiske komité for samfunnsvitenskap og humaniora, Den norske historiske forening og Norges teknisk-naturvitenskapelige universitet. Administrasjonen i De nasjonale forskningsetiske komiteene uttaler:

«Det er ikke alltid praktisk mulig eller etisk forsvarlig å innhente samtykke til forskning. Dette gjelder særlig ved kritisk samfunnsforskning, som for eksempel forskning på voldelige relasjoner, korrupsjon, kriminelle nettverk og ekstremisme. Denne typen forskning krever egne forskningsmetoder, for eksempel at forskeren går «under cover». Forslaget til § 6 i loven kan føre til at norske forskere ikke kan bruke anerkjente vitenskapelig metoder innenfor sitt fagområde, som igjen vil gå ut over kvaliteten på forskningen. I mange tilfeller vil det ikke være mulig å gjennomføre forskningen hvis det er krav om samtykke. Det norske samfunnet risikerer dermed å miste kunnskap om viktige og vanskelige temaer.»

Også Den nasjonale forskningsetiske komité for samfunnsvitenskap og humaniora peker på at forskning med samtykke i noen tilfeller kan ha større forskningsetiske implikasjoner enn forskning med samtykke.

Datatilsynet mener at det foreslåtte vilkåret om at innhenting av samtykke må være umulig eller uforholdsmessig vanskelig, i liten grad vil fungere som en garanti for personvernet:

«Vi kan ikke se at bokstav a innebærer en særlig garanti, da den ikke gjør annet enn å beskrive en situasjon hvor det er nødvendig å ha et annet hjemmelsgrunnlag. Den legger til en viss grad opp til at man må foreta en vurdering av om innhenting av samtykke er umulig eller uforholdsmessig vanskelig, og det kan synes som om man mener at det som en hovedregel skal innhentes samtykke. Innen forskningsformål vil det svært ofte vil være umulig eller i alle fall uforholdsmessig vanskelig å innhente samtykke. Dette gjelder særlig når datagrunnlaget omfatter mange registrerte. Det er i tillegg et klart påtrykk fra sentrale myndigheter om at det i større grad skal tas i bruk reservasjonsrett fremfor samtykke i medisinske kvalitetsregistre. Bestemmelsens bokstav a gir etter Datatilsynets oppfatning derfor liten anvisning på tiltak som kan fungere som garantier for at personvernet ivaretas.»

Få høringsinstanser uttaler seg om det foreslåtte vilkåret om at den behandlingsansvarlige må sette i verk egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser. Norsk senter for forskningsdata uttaler at vilkåret også gjelder i dag, og at det ikke vil endre forskningens vilkår i særlig grad. Datatilsynet mener at vilkåret gir liten tilleggsverdi:

«Lovforslagets § 6 bokstav c er i all hovedsak en kopi av teksten i forordningen. Departementet viser til at «et slikt vilkår vil delvis overlappe det generelle kravet om «nødvendige garantier» i artikkel 89 nr. 1, men kan også innebære strengere krav der dette er påkrevd i lys av opplysningenes sensitiv». Slike krav til garantier må konkretiseres gjennom nasjonal lovgivning og at det således ikke er riktig å si at de overlapper det som følger av forordningen. Dette er også lagt til grunn i den danske utredningen. Helt konkret mener vi at kravene i artikkel 89 om garantier må spesifiseres i nasjonal rett, herunder kravet til å vurdere anonymisering og pseudonymisering. Bokstav c gir derfor liten tilleggsverdi, og kan ikke sies å være en garanti for ivaretakelse av forskningsdeltakeres personvern.»

Datatilsynet uttaler videre:

«Det vil i tillegg være en svært vanskelig oppgave for Datatilsynet å kontrollere etterlevelse av artikkel 89, utover at de formelle beslutningsprosessene er fulgt.»

Høringsinstansene er delt i synet på om behandlingen bør være betinget av at det er utpekt personvernombud og at personvernombudet tilråder behandlingen. Administrasjonen i De nasjonale forskningsetiske komiteene, Norsk senter for forskningsdata, Helse Bergen HF, Helse Stavanger HF, Forskningsinstituttenes Fellesarena, Den norske legeforening og Kulturrådet støtter forslaget i høringsnotatet. Norsk senter for forskningsdata uttaler:

«Vi mener det er fornuftig med vilkår om tilrådning fra personvernombud, enten behandlingen av sensitive opplysninger baseres på samtykke eller ikke. Vår erfaring er at forskere ofte har behov for forhåndsveiledning for å sikre at man ikke trår feil i forhold til regelverket, f. eks. når det gjelder hvorvidt man behandler personopplysninger, hva som må til for at samtykke skal være gyldig, hva informasjonen til de registrerte bør inneholde, og hvilke sikkerhetstiltak man bør sette inn. Forhåndsveiledningen bidrar i mange tilfeller ikke bare til bedre personvern, men også til bedre vilkår for forskningen.»

De høringsinstansene som mener at det bør gjelde et krav om tilråding, og som uttaler seg om hvorvidt dette også bør gjelde for samtykkebasert forskning, mener at kravet også bør gjelde slik forskning. Disse er Administrasjonen i De nasjonale forskningsetiske komiteene, Norsk senter for forskningsdata, Forskningsinstituttenes Fellesarena og Den norske legeforening. Den norske legeforening uttaler:

«Vi støtter også forslaget om at tilrådning fra personvernrådgiver både skal gjelde hvor forskningen baserer seg på samtykke, og hvor forskningen baserer seg på den særskilte hjemmelen som er foreslått, da vi opplever at dette ivaretar personvernet på en god måte.»

Datatilsynet, Statens sivilrettsforvaltning, Folkehelseinstituttet, Finans Norge og Juristforbundet går imot vilkåret om tilråding fra personvernombud. Datatilsynet, Folkehelseinstituttet og Juristforbundet uttaler at et krav om tilråding er uheldig i lys av personvernombudets uavhengige stilling. Juristforbundet uttaler:

«Kravet til tilrådning fra personvernombud/personvernrådgiver fremstår etter Juristforbundets vurdering som uheldig, da dette vil sette vedkommende i en ikke ønskelig situasjon overfor den behandlingsansvarlige og kan rokke ved ombudets/rådgivers uavhengighet. Juristforbundet foreslår derfor at formuleringen endres slik at det i stedet fremgår at vurderingen skal forelegges vedkommende til uttalelse.»

Datatilsynet mener at vilkåret innebærer en utvidelse av plikten til å ha personvernombud, og at det vil skje en utvidelse av personvernombudets plikter i strid med forordningen. Datatilsynet mener også at interne personvernombud ikke nødvendigvis har de nødvendige kvalifikasjonene for å foreta vurderinger av forskningsprosjekter:

«En tilråding for gjennomføringen av et forskningsprosjekt vil kreve en rekke andre kvalifikasjoner av en personvernrådgiver, i tillegg til at oppgavene vil bli betydelig flere for de rådgiverne som er tilknyttet virksomheter som driver med forskning og annen sekundærbruk av data.

[… ]

Datatilsynet mener det er en risiko for at forslaget i § 6 legger opp til en løsning som i praksis vil bli vanskelig å gjennomføre for virksomhetsinterne personvernrådgivere, særlig i kombinasjon med andre oppgaver som de også forventes å gjøre. Dette kan medføre at virksomheter som driver med forskning vil bli nødt til å tilknytte seg eksterne som gjennomfører disse oppgavene for seg. Dette kan igjen føre til at forordningens intensjon om å bygge ned byråkratiet og ordninger med forhåndsgodkjenning undergraves.»

Også Folkehelseinstituttet uttaler at et vilkår om tilråding fører til en utvidelse av personvernombudets oppgaver, og at vurderinger av forskningsprosjekter vil kreve særlige kvalifikasjoner. Folkehelseinstituttet mener også at kravet er overflødig ved siden av plikten til å vurdere personvernkonsekvenser:

«Folkehelseinstituttet peker videre på at de behandlingsaktiviteter departementet her foreslår skal forutsette tilrådning fra personvernrådgiveren, antas å ville omfattes av kravet til vurdering av personvernkonsekvenser i forordningen artikkel 35. Det følger av artikkel 35 nr. 2 at den behandlingsansvarlige skal rådføre seg med personvernrådgiveren i forbindelse med vurdering av personvernkonsekvenser, og Folkehelseinstituttet er usikker på om det derfor er behov for et slikt tilleggskrav om tilrådning.»

Både Datatilsynet og Folkehelseinstituttet uttaler videre at det er behov for å regulere nærmere hva som skal inngå i personvernombudets vurdering.

Forskerforbundet mener at det for mange arkivinstitusjoner vil være uforholdsmessig å utpeke personvernombud, og at det bør være et alternativ til tilråding at den behandlingsansvarlige er tilsluttet og etterlever en bransjenorm. Næringslivets Hovedorganisasjon uttaler at et krav om personvernombud for forskningsformål bør være knyttet til den relevante behandlingen, og ikke nødvendigvis resten av den behandlingsansvarliges virksomhet.

Datatilsynet, Folkehelseinstituttet, Oslo universitetssykehus HF og Helse Bergen HF peker på at det er behov for å avklare forholdet mellom personvernombudets tilråding og helseforskningslovens krav om forhåndsgodkjenning fra regional komité for medisinsk og helsefaglig forskningsetikk (REK). Administrasjonen i De nasjonale forskningsetiske komiteene mener at det ikke bør gjelde et krav om godkjenning både fra REK og personvernombudet.

Når det gjelder utformingen av bestemmelsen, mener Næringslivets Hovedorganisasjon at den foreslåtte lovbestemmelsen er for skjønnsmessig. Datatilsynet mener at den foreslåtte bestemmelsen er for vidt formulert:

«Datatilsynet mener at det foreslåtte bestemmelsen i § 6 er for vidt formulert og at det er grunn til å tro at den ikke oppfyller kravene til klarhet i hjemmelsgrunnlaget som følger av lovlighetsprinsippet og forordningens artikkel 6 nr. 1 bokstav e og artikkel 6 nr. 3, samt kravene til garantier i artikkel 89. Når garantien forhåndsgodkjenning (krav om konsesjon) nå bortfaller, blir behovet for en klar lovhjemmel enda sterkere.»

Datatilsynet uttaler videre at det bør sondres mellom de ulike formålene som artikkel 89 omfatter.

11.2.5 Departementets vurdering

11.2.5.1 Behov for en generell bestemmelse om behandling for arkiv-, forsknings- og statistikkformål uten samtykke

Etter departementets syn bør regler om behandling av særlige kategorier av personopplysninger for arkiv-, forsknings- og statistikkformål uten samtykke fortrinnsvis være regulert i særlovgivning og ikke i den generelle personopplysningsloven. I dag er imidlertid slik behandling bare i noen grad regulert i særlovgivning. Departementet foreslår derfor at det gis en bestemmelse i den generelle personopplysningsloven som åpner for slik behandling, og som vil kunne tillate behandlingen i den utstrekning ikke annet er bestemt i særlovgivningen, jf. lovforslaget § 9.

11.2.5.2 Grunnvilkårene for behandlingen

Etter departementets syn bør det fortsatt være et vilkår for behandlingen at samfunnets interesse i at behandlingen finner sted, klart overstiger ulempene for den enkelte. Vilkåret bør etter departementets oppfatning gjelde for både arkiv-, forsknings- og statistikkformål. Departementet er enig med Datatilsynet i at mange av momentene som inngår i en slik vurdering, i stor grad også inngår i vurderingene av de grunnleggende prinsippene i forordningen artikkel 5. Departementet er imidlertid ikke enig med Datatilsynet i at det samme vilkåret kan utledes av artikkel 9 nr. 2 bokstav j. I noen grad kan nok vurderingen overlappe med den vurderingen den behandlingsansvarlige må gjøre av om behandlingen er «nødvendig» etter artikkel 9 nr. 2 bokstav j. Forordningen overlater imidlertid til nasjonal rett å tillate behandling ved nasjonale bestemmelser «som skal stå i et rimelig forhold til det mål som søkes oppnådd». Et krav om klar interesseovervekt bidrar etter departementets syn til å sikre en slik proporsjonalitet. Vilkåret har også nær sammenheng med plikten til å sørge for garantier for den registrertes rettigheter og friheter, jf. under, som nettopp tar sikte på å begrense personvernulempene for den registrerte. Vurderingen må foretas av den behandlingsansvarlige, men Datatilsynet kan kontrollere den behandlingsansvarliges vurdering.

Departementet er enig med Administrasjonen i De nasjonale forskningsetiske komiteene og Norsk senter for forskningsdata i at samtykke ikke er noen hovedregel etter forordningen eller på annen måte har forrang etter forordningens system. På bakgrunn av høringen foreslår departementet ikke at bestemmelsen skal ta utgangspunkt i en hovedregel om samtykke, og departementet går ikke inn for et vilkår om at innhenting av samtykke må være umulig eller uforholdsmessig vanskelig. Ved vurderingen av om samfunnets interesse klart overstiger ulempene for den enkelte, må det imidlertid legges vekt på at behandlingen skjer uten den registrertes samtykke.

Departementet har merket seg Datatilsynets synspunkt om at den foreslåtte bestemmelsen i høringsnotatet er for vidt formulert, og at det etter tilsynets vurdering er grunn til å tro at en slik bestemmelse ikke vil oppfylle forordningens krav til nasjonale bestemmelser. Etter departementets vurdering er det på dette området vanskelig å komme utenom at lovreglene i betydelig grad må være skjønnsmessige. For eksempel kan departementet ikke se at det bør gis lovregler om hvilke mer spesifikke formål innenfor arkiv, forskning og statistikk det er tillatt å behandle opplysningene for, hvilke typer særlige kategorier av personopplysninger som kan behandles i forskjellige typetilfeller, hvilke kategorier av registrerte det kan behandles opplysninger om eller hvor lenge opplysningene kan lagres eller lignende. Det vil være vanskelig å utforme slike bestemmelser som treffer i praksis, og det vil gi et omfangsrikt og detaljert regelverk. Slike bestemmelser vil etter departementets syn være uhensiktsmessige, og det er vanskelig å se at slike regler skal være påkrevet etter forordningen. Generelle lovregler om behandling for disse formålene må nødvendigvis ha betydelige elementer av skjønn. I tråd med forordningens system må vurderingene i første rekke foretas av den behandlingsansvarlige. Etter departementets syn er det i tråd med forordningen at bestemmelsen oppstiller en interesseavveining som grunnvilkår for lovlig behandling og at det samme vilkåret gjelder for et vidt spekter av behandlinger. Det vises til lovforslaget § 9 første ledd første punktum.

11.2.5.3 Egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser

Når grunnvilkåret for lovlig behandling er en interesseavveining med et betydelig innslag av skjønn, blir det vesentlig å sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser. Den behandlingsansvarliges plikt etter forordningen artikkel 89 nr. 1 til å sørge for «nødvendige garantier» for å sikre den registrertes rettigheter og friheter gjelder på vanlig måte. Det foreslås at det henvises til denne bestemmelsen av pedagogiske årsaker, se lovforslaget § 9 første ledd annet punktum.

Når det gjelder ytterligere egnede og særlige tiltak for å verne den registrertes rettigheter og interesser, jf. forordningen artikkel 9 nr. 2 bokstav j, mener departementet som nevnt i forrige punkt at det ikke bør lovfestes nærmere regler om for eksempel hvilke mer spesifikke formål innenfor arkiv, forskning og statistikk det er tillatt å behandle opplysningene for, hvilke typer særlige kategorier av personopplysninger som kan behandles i forskjellige typetilfeller, hvilke kategorier av registrerte det kan behandles opplysninger om eller hvor lenge opplysningene kan lagres eller lignende. På dette området er det neppe til å unngå at den behandlingsansvarlige i det enkelte tilfelle må foreta en rekke skjønnsmessige vurderinger av hvordan de registrertes rettigheter og interesser skal ivaretas og av forordningens regler for øvrig. Etter departementets oppfatning kan det imidlertid på dette området være hensiktsmessig at loven gir anvisning på nærmere prosedyrer eller mekanismer som den behandlingsansvarlige skal følge for å sikre at det blir foretatt gode vurderinger. Departementet foreslo en slik mekanisme i høringsnotatet, nemlig at den behandlingsansvarlige skal utpeke personvernombud og at personvernombudet skal tilråde behandlingen. Høringsinstansene er delt i synet på dette forslaget.

Etter departementets vurdering bør en generell lovbestemmelse som åpner for behandling av særlige kategorier av personopplysninger for arkiv-, forsknings- og statistikkformål uten samtykke, legge til rette for at behandlingen blir vurdert av noen med god kjennskap til personvernreglene og en uavhengig stilling overfor den behandlingsansvarlige. Etter gjeldende rett ivaretas disse hensynene ved at den behandlingsansvarlige må søke konsesjon fra Datatilsynet, eller for visse forskningsprosjekters vedkommende at det gis tilråding fra personvernombud i stedet for konsesjon. Når konsesjonsplikten ikke videreføres, mener departementet at det bør tilstrebes å finne andre løsninger for å ivareta hensynet til kvalifiserte og uavhengige vurderinger. For å ivareta dette hensynet er det etter departementets syn imidlertid ikke noe mål i seg selv at det skal gjelde et formelt krav om tilråding eller godkjenning. Departementet foreslår på denne bakgrunn at den behandlingsansvarlige skal rådføre seg med personvernombudet eller en annen rådgiver som har tilsvarende kvalifikasjoner og uavhengighet, om hvorvidt behandlingen tilfredsstiller forordningens krav og øvrige krav fastsatt i eller i medhold av loven, jf. lovforslaget § 9 annet ledd første punktum. Plikten til å rådføre seg innebærer at den behandlingsansvarlige må innhente personvernombudets eller rådgiverens konkrete vurdering av den planlagte behandlingen og om denne etter ombudets eller rådgiverens synspunkt vil være i tråd med forordningens eller lovens krav, se forslaget til annet ledd annet punktum. Ombudet eller rådgiveren trenger imidlertid ikke å gi noen formell godkjennelse eller tilrådning.

Flere høringsinstanser fremhever at personvernombudet ikke nødvendigvis er kvalifisert til å tilråde behandlinger. Etter departementets vurdering bør dette synspunktet tillegges beskjeden vekt. Det må etter departementets syn forutsettes at den som er personvernombud for en behandlingsansvarlig som behandler personopplysninger for arkiv-, forsknings- og statistikkformål, har de nødvendige kvalifikasjonene for å ta stilling til om behandlingene oppfyller forordningens og lovens krav. Det følger av forordningen artikkel 37 nr. 5 at personvernombudet skal ha dybdekunnskap om personvernlovgivning og praksis samt være kvalifisert til å utføre oppgavene nevnt i artikkel 39, noe som blant annet omfatter rådgivning om forpliktelsene etter forordningen og kontroll av om reglene i forordningen og andre personvernregler overholdes, jf. artikkel 39 nr. 1 bokstav a og b.

Den behandlingsansvarlige bør imidlertid etter departementets syn stå fritt til å velge mellom å rådføre seg med noen som er utpekt som personvernombud i henhold til artikkel 37, eller en annen tilsvarende kvalifisert og uavhengig rådgiver. Departementet foreslår at kravene til dem som ikke er utpekt som personvernombud i forordningens forstand, uttrykkes gjennom at disse må oppfylle visse av kravene som etter forordningen gjelder for et personvernombud. For det første bør det gjelde krav om faglige kvalifikasjoner, jf. artikkel 37 nr. 5. For det andre bør vedkommende enten være ansatt hos den behandlingsansvarlige eller utføre oppgaven på grunnlag av en tjenesteavtale, jf. artikkel 37 nr. 6. For det tredje bør vedkommende ikke kunne motta instrukser om oppgaven eller straffes eller avsettes for å utføre den, jf. artikkel 38 nr. 3 første og annet punktum.

En rådføring med personvernombud eller tilsvarende rådgiver er etter departementets vurdering overflødig dersom den behandlingsansvarlige uansett må utføre en vurdering av personvernkonsekvenser etter forordningen artikkel 35. Det foreslås derfor at plikten til rådføring ikke gjelder i disse tilfellene, jf. lovforslaget § 9 annet ledd tredje punktum.

11.2.5.4 Tilsvarende anvendelse for forskning basert på samtykke

Som nevnt i punkt 11.1.2 over åpner forordningen for at det fastsettes nærmere garantier for behandling av personopplysninger for forskningsformål uavhengig av behandlingsgrunnlaget. Etter departementets oppfatning bør denne adgangen benyttes til å gi vilkåret om rådføring med personvernombud eller annen rådgiver tilsvarende anvendelse ved forskning på særlige kategorier av personopplysninger og opplysninger om straffbare forhold mv. som er basert på den registrertes samtykke, se lovforslaget § 10 og § 11 annet ledd bokstav a. Det gjelder i dag krav om konsesjon eller tilråding fra personvernombud også for samtykkebasert behandling, og etter departementets syn gjør hensynet til kvalifiserte og uavhengige vurderinger seg gjeldende med samme tyngde her. Kravene vil bare gjelde så langt ikke annet er bestemt i særlovgivningen, jf. lovforslaget § 2 første ledd.

11.2.5.5 Forskriftshjemmel

Departementet foreslår at det gis en hjemmel for å fastsette forskrifter med nærmere bestemmelser om behandling av særlige kategorier av personopplysninger for arkiv-, forsknings- og statistikkformål, som blant annet kan benyttes til å presisere vilkårene for behandling nærmere dersom det viser seg å bli nødvendig.

11.3 Særlige unntak fra den registrertes rettigheter

11.3.1 Gjeldende rett

Personopplysningsloven inneholder visse særregler om den registrertes rettigheter ved behandling for arkiv-, forsknings- og statistikkformål. I forlengelsen av personopplysningsloven § 11 annet ledd om unntak fra formålsbegrensningen gjør personopplysningsloven § 28 annet ledd unntak fra sletteplikten for opplysninger som lagres for slike formål, når samfunnets interesse i lagringen av dem klart overstiger ulempen for den enkelte, jf. første punktum. Opplysningene skal imidlertid oppbevares på en måte som ikke gjør det mulig å identifisere den registrerte lenger enn nødvendig, jf. annet punktum.

I personopplysningsloven § 28 første ledd annet punktum er det presisert at forbudet mot lagring av unødvendige personopplysninger ikke gjelder opplysninger som skal «oppbevares i henhold til arkivloven eller annen lovgivning». Retten til sletting av sterkt belastende opplysninger, jf. personopplysningsloven § 28 tredje ledd, kan imidlertid etter vedtak fra Datatilsynet gå foran arkivlovas regler om kassasjon og råderett over arkiv, jf. personopplysningsloven § 28 fjerde ledd. Også etter krav om retting av mangelfulle personopplysninger kan Datatilsynet på nærmere vilkår bestemme at opplysningene skal slettes, og vedtaket går foran arkivlovas regler, jf. personopplysningsloven § 27 tredje ledd siste punktum.

Etter personopplysningsloven § 18 siste ledd gjelder ikke den registrertes innsynsrett dersom personopplysningene «behandles utelukkende for historiske, statistiske eller vitenskapelige formål og behandlingen ikke får noen direkte betydning for den registrerte». Også personopplysningsloven § 20 annet ledd bokstav b, som gjør unntak fra informasjonsplikten når varsling er «umulig eller uforholdsmessig vanskelig», er av betydning i denne forbindelse.

11.3.2 Forordningen

I forordningen er behandling for arkiv-, forsknings- og statistikkformål bare i liten grad særregulert. Det finnes imidlertid noen særregler og unntak, og det er i tillegg en viss adgang til å fastsette nasjonale regler om dette. En sentral bestemmelse i denne forbindelse er artikkel 89, som gir nærmere regler om «garantier og unntak» ved behandling av personopplysninger for «arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål». Bestemmelsen har ingen parallell i gjeldende personopplysningslov eller i 95-direktivet. Etter artikkel 89 nr. 1 skal behandling med disse formålene omfattes av «nødvendige garantier» i samsvar med forordningen, herunder tekniske og organisatoriske tiltak for å sikre dataminimering, samt pseudonymisering og anonymisering dersom formålene med behandlingen kan oppnås med slike tiltak. I artikkel 89 nr. 2 og 3 åpnes det for at det i unionsretten eller i nasjonal rett kan fastsettes unntak fra visse av forordningens regler om den registrertes rettigheter. Bestemmelsen skiller mellom behandling for forskning og statistikk på den ene side og behandling for arkivformål i allmennhetens interesse på den andre.

Unntak for behandling for forskning og statistikk reguleres av artikkel 89 nr. 2. Bestemmelsen åpner for at det i nasjonal rett gjøres unntak fra artikkel 15 (rett til innsyn), 16 (rett til retting), 18 (rett til begrensning av behandling) og 21 (rett til å protestere). Unntakene må fastsettes med forbehold for kravene i artikkel 89 nr. 1, og kan gjelde i den grad «det er sannsynlig» at rettighetene «vil gjøre det umulig eller i alvorlig grad vil hindre oppfyllelsen» av de spesifikke formålene med behandlingen, og slike unntak er «nødvendig» for å oppfylle formålet.

Artikkel 89 nr. 3 åpner for unntak i nasjonal rett for behandling for arkivformål i allmennhetens interesse, på samme vilkår som i nr. 2. Det kan gjøres unntak fra de samme bestemmelsene som etter nr. 2, og i tillegg fra artikkel 19 (underretningsplikt for retting, sletting og begrensning av behandling) og 20 (rett til dataportabilitet).

Artikkel 89 nr. 4 regulerer tilfellene der behandlingen har andre formål i tillegg til arkiv, forskning og statistikk. I slike tilfeller kommer unntakene bare til anvendelse på behandlingen for arkiv, forskning og statistikk.

Ved siden av artikkel 89 finnes det enkelte unntak fra den registrertes rettigheter ved behandling for arkiv-, forsknings- og statistikkformål som følger direkte av forordningen. Etter artikkel 14 nr. 5 bokstav b gjelder ikke informasjonsplikten i bestemmelsen dersom det vil være umulig eller kreve en uforholdsmessig innsats å gi informasjon, og behandling for arkiv, forskning og statistikk er særskilt nevnt. Bestemmelsen viderefører på dette punktet gjeldende personopplysningslov § 20 annet ledd bokstav b, men arkiv, forskning og statistikk er ikke særskilt nevnt i dagens lov. Artikkel 14 nr. 5 bokstav b gjør videre unntak for informasjonsplikten når informasjonen vil gjøre det umulig eller i alvorlig grad vil hindre oppfyllelsen av formålene med behandling for arkiv, forskning og statistikk i samsvar med artikkel 89 nr. 1. Dette unntaket er nytt sammenlignet med gjeldende lov.

Artikkel 17 nr. 3 bokstav d gjør på samme vilkår som i artikkel 14 nr. 5 bokstav b unntak fra retten til sletting. Den registrerte har altså ikke krav på sletting dersom dette vil umuliggjøre eller i alvorlig grad hindre oppfyllelsen av formålene med behandling for arkiv, forskning og statistikk i samsvar med artikkel 89 nr. 1. Det kan videre nevnes at den registrerte heller ikke har rett til sletting dersom behandlingen er nødvendig for å oppfylle en rettslig forpliktelse etter unionsretten eller nasjonal rett eller for å utføre en oppgave i allmennhetens interesse, jf. artikkel 17 nr. 3 bokstav b. Dette innebærer at arkivlovas regler om kassasjon og innskrenket råderett på samme måte som i dag vil gå foran retten til sletting, jf. § 28 første ledd i dagens lov. I motsetning til gjeldende personopplysningslov gir forordningen ingen kompetanse for Datatilsynet til å fatte vedtak om sletting som går foran arkivlovgivningen, sml. gjeldende personopplysningslov § 27 tredje ledd og § 28 fjerde ledd.

Etter artikkel 21 nr. 6 er retten til å protestere begrenset ved behandling for vitenskapelige og historiske forskningsformål og statistikk. Ved slik behandling gjelder ikke retten til å protestere så lenge behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse.

Regelen i gjeldende lov § 18 siste ledd om at den registrertes innsynsrett ikke gjelder når personopplysningene behandles utelukkende for historiske, statistiske eller vitenskapelige formål og behandlingen ikke får noen direkte betydning for den registrerte, har ingen parallell i forordningen.

11.3.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet å benytte adgangen i artikkel 89 nr. 2 og 3 til å fastsette nasjonale regler som gjør unntak fra den registrertes rettigheter ved behandling for arkivformål i allmennhetens interesse, forskningsformål og statistiske formål. For behandling for forskningsformål og statistiske formål foreslo departementet at det i tråd med artikkel 89 nr. 2 gjøres unntak fra artikkel 15 (rett til innsyn), 16 (rett til retting), 18 (rett til begrensning av behandling) og 21 (rett til å protestere). For behandling for arkivformål i allmennhetens interesse foreslo departementet at det i tillegg gjøres unntak fra artikkel 19 (underretningsplikt for retting, sletting og begrensning av behandling) og 20 (rett til dataportabilitet), i tråd med artikkel 89 nr. 3. Etter departementets syn burde vilkårene i den nasjonale unntaksregelen ligge tett opp til vilkårene i artikkel 89, slik at det gjøres unntak i den utstrekning rettighetene vil gjøre det umulig eller i alvorlig grad vil hindre oppfyllelsen av formålene med behandlingen. Dette vil også være tilsvarende vilkår som allerede følger direkte av forordningen artikkel 14 nr. 5 bokstav b og 17 nr. 3 bokstav d om unntak fra henholdsvis retten til informasjon og retten til sletting. Det ble bedt om høringsinstansenes syn på om bestemmelsene burde utformes mer kasuistisk.

Videre foreslo departementet å videreføre unntaksregelen i § 18 siste ledd i gjeldende lov, som gjør unntak fra innsynsretten ved behandling utelukkende for historiske, statistiske eller vitenskapelige formål som «ikke får noen direkte betydning for den registrerte». Departementet la til grunn at artikkel 23 gir grunnlag for et slikt unntak, fordi hensynet til å sikre gode rammevilkår for arkiv, forskning og statistikk er et mål av generell allmenn interesse, jf. artikkel 23 nr. 1 bokstav e. Som følge av kravet om proporsjonalitet i artikkel 23 nr. 1 foreslo imidlertid departementet et tilleggsvilkår om at det vil kreve en uforholdsmessig stor innsats å gi innsyn.

11.3.4 Høringsinstansenes syn

Kulturdepartementet, Arkivverket, Statistisk sentralbyrå, Brønnøysundregistrene, Norsk senter for forskningsdata, Norges teknisk-naturvitenskapelige universitet, Universitetet i Oslo, Nasjonalbiblioteket, Den norske legeforening og Brækhus Advokatfirma DA støtter forslaget om å fastsette unntaksregler som bygger på forordningen artikkel 89 nr. 2 og 3. Brækhus Advokatfirma DA uttaler:

«Brækhus støtter departementets forslag om å innføre unntaksregler i samsvar med forordningen artikkel 89 nr. 2 og 3. Vilkåret om at det bare kan gjøres unntak fra disse rettighetene i den grad overholdelse av rettighetene vil gjøre det umulig eller i alvorlig grad vil hindre oppfyllelsen av de spesifikke formålene, vil sette en viktig grense for i hvilke tilfeller man kan gjøre unntak fra den registrertes rettigheter.»

Den norske legeforening uttaler:

«Vi støtter departementets forslag til regulering, og at denne gjøres generell. Mer kasuistiske regler på området vil kunne bli for stivbent og ikke robust over tid, særlig tatt i betraktning at dette er et område i stadig utvikling. Vi foreslår å konkretisere enkelte unntak fra retten til innsyn og at disse er oppstilt som eksempler i lovteksten. Dette vil gjøre det klarere for befolkningen hvilke typetilfeller en tar sikte på, samtidig som bestemmelsens fleksibilitet vil sikres. Et nærliggende eksempel som kan benyttes er registerforskning, der det vil kreve uforholdsmessig stor innsats, eller snarere være umulig, å gi alle de registrerte alle de rettigheter som følger av forordningen.»

Statens sivilrettsforvaltning støtter at det gjøres unntak for behandling for arkivformål i allmennhetens interesse. Juristforbundet støtter forslaget så langt det gjelder arkivformål, men mener at forslaget går lenger enn det som er nødvendig når det gjelder forsknings- og statistikkformål, og uttaler:

«Juristforbundet støtter forslaget om unntak for de registrertes rettigheter når det gjelder behandling utelukkende for arkivformål i allmenhetens interesse så langt rettighetene vil gjøre det umulig eller i alvorlig grad vil hindre at målene med behandlingen nås.

Departementet foreslår imidlertid også å gjøre unntak fra den registrertes rettigheter ved formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål og ber særlig om høringsinstansenes syn på dette. Denne unntaksbestemmelsen har en generell utforming og vil gjelde for både offentlig og privat virksomhet. Juristforbundet er enig i at et unntak bør være begrenset til situasjoner hvor utøvelse av rettighetene vil gjøre det umulig eller i alvorlig grad hindre at formålene med behandlingen nås, men mener likevel at forslaget til unntaksbestemmelser går for langt. Juristforbundet ber om at departementet på nytt vurderer behovet for å gjøre unntak fra den registrertes rett til innsyn i opplysningene som behandles. Retten til innsyn er grunnleggende for at den registrerte skal kunne utøve andre rettigheter, for eksempel retten til sletting og dataportabilitet, og bør derfor ikke innskrenkes ytterligere enn det som følger av lovforslaget § 13.»

Datatilsynet mener at de foreslåtte unntakene med utgangspunkt i artikkel 89 nr. 2 og 3 er for generelle, og at det må vurderes nærmere om behovet for unntak er dekket i sektorlovgivningen:

«Vi mener videre at departementet i høringsnotatets punkt 31.3 gjør en for overfladisk vurdering av de krav til unntak som følger av artikkel 89 nr. 2 og 3 og artikkel 23. Unntakene i § 14 blir dermed for generelle, ut fra de krav som følger av forordningen artikkel 89 nummer 2 og 3, samt artikkel 23. En unntaksbestemmelse bør utformes mer kasuistisk. Vi anbefaler at det gjøres konkrete vurderinger av hvilke tilfeller som ikke er tilfredsstillende dekket i sektorlovgivningen, og at det eventuelt gjøres tilpasninger der. Vi viser først og fremst til arkivloven og statistikkloven, samt en eventuell ny forskningslov. En slik gjennomgang vil klargjøre om det er strengt nødvendig å utforme et slikt generelt unntak og om det er forholdsmessig.»

Høringsinstansene er delt i synet på om bestemmelser med utgangspunkt i artikkel 89 nr. 2 og 3 bør være generelle eller utformes mer kasuistisk.Brækhus Advokatfirma DA mener at bestemmelsene ikke bør utformes mer kasuistisk.

Folkehelseinstituttet uttaler at bestemmelsene bør være generelle, men at rekkevidden bør klargjøres nærmere. Arkivverket uttaler at det i første omgang kan være best å fastsette generelle unntak for å se hvilke utfordringer som oppstår.

Datatilsynet mener at unntaksbestemmelsene bør konkretiseres, og uttaler:

«Det er uklart for oss hva som skal til før en behandling er innenfor unntakene i § 14. Kriteriene for å kunne gjøre unntaket gjeldende, er for det første at behandlingens formål blir «umulig» å nå. Dette må anses som en meget høy terskel, og det er vanskelig å forestille hvilke tilfeller dette skulle vært begrunnelsen. Det er også vanskelig å fastslå hvilke konkrete situasjoner de ulike rettighetene i «alvorlig grad» vil hindre oppfyllelse av formålene. Rekkevidden av bestemmelsen kan derfor neppe sies å være tilstrekkelig konkretisert.

Det er også helt uklart hvilke kategorier av behandlingsansvarlige som kan omfattes av bestemmelsen. Det er heller ikke gitt noen garantier mot misbruk av unntaket. Dette kunne for eksempel vært krav til oppbevaringsperioder før sletting, eller krav om informasjon om unntaket når dette ikke lenger i alvorlig grad vil hindre oppfyllelse av formålet. En viktig garanti som kunne berettiget unntak fra rettighetene er innføring av krav om pseudonymisering og anonymisering i § 6, jf. artikkel 89 nr. 1. Slik behandling har også en sammenheng med forordningens artikkel 11 om behandling som ikke krever identifikasjon.»

Forslaget om å videreføre unntaket fra innsynsretten ved behandling for arkiv-, forsknings- og statistikkformål som ikke får direkte betydning for den registrerte, støttes av Kulturdepartementet, Brønnøysundregistrene, Statens sivilrettsforvaltning, Statistisk sentralbyrå, Forbrukerrådet, Nasjonalbiblioteket, Norges teknisk-naturvitenskapelige universitet, Universitetet i Oslo, Norsk senter for forskningsdata, Den norske legeforening og Brækhus Advokatfirma DA.

Kantar TNS AS og Virke markedsanalyse støtter forslaget om å videreføre unntaksregelen, men ikke forslaget om at det i tillegg må kreves uforholdsmessig stor innsats å gi innsyn. Kantar TNS AS uttaler:

«Hvis det skal åpnes for innsynsrett i tilfeller der det ikke vil kreve en uforholdsmessig stor innsats å gi innsyn, vil det medføre at det må oppbevares en koblingsnøkkel mellom kontaktdata og svar på undersøkelser lenger enn det dagens interne retningslinjer gir anledning til. Dette vil føre til en større personvernrisiko. Kantar behandler store mengder personopplysninger og selv om pseudonymisering er et godt sikkerhetstiltak er det først når nøkkelen er slettet at opplysningene virkelig er trygge. Hvis Kantar må oppbevare nøkkelen like lenge som Kantar kan oppbevare svarene, vil dette øke risikoen for sikkerhetsbrudd betraktelig. Hvis slettingen av nøkkelen fører til at svarene på undersøkelsene er anonymisert og derfor ikke lenger er personopplysninger, er dette uproblematisk. Slik er det ikke alltid, og Kantar må derfor også innføre et system som gjør det mulig å skille spørreundersøkelser der svarene vil være anonyme uten kontaktdata med undersøkelser der det er mulig å koble svar med person selv uten kontaktdata. Dette vil være ressurskrevende.»

Datatilsynet støtter ikke forslaget, og mener at kravene etter forordningen artikkel 23 nr. 2 ikke er tilstrekkelig vurdert. Datatilsynet uttaler videre om de foreslåtte vilkårene:

«Vi vil bemerke at behandlingen av slik bruk av data, altså såkalte sekundære formål, kun i sjeldne tilfeller vil ha direkte betydning for den registrerte. Dette unntaket oppfattes dermed som meget vidt, og det vil i praksis innebære en betydelig svekkelse av den enkelte borgers personopplysningsvern. Retten til informasjon og rett til å vite om behandlinger av sine egne opplysninger, er å anse som en høyt beskyttelsesverdig rettighet, til tross for at man ikke har bestemmelsesrett over behandlingen i noen annen form.

Det andre kriteriet er at det blir uforholdsmessig vanskelig å gi innsyn. Etter dagens praksis, legger Datatilsynet til grunn at det med dagens teknologi og med alle nasjonale tjenester for kommunikasjon som utvikles, kun i sjeldne tilfeller gjøres unntak fra informasjonsplikten. Unntakene begrunnes ofte i at det ikke behandles identitetsopplysninger, at det er et stort antall deltakere eller at det er meget kostbart. I tilfeller hvor det er et høyt antall registrerte, stiller vi som regel vilkår om at informasjonen gis kollektivt gjennom for eksempel en nettside eller i lokalaviser. Hovedregelen er imidlertid at de registrerte skal informeres individuelt.»

Flere høringsinstanser har gitt uttrykk for at det er behov for flere unntak fra den registrertes rettigheter enn det som ble foreslått i høringsnotatet. Norsk senter for forskningsdata, Universitetet i Oslo, Universitets- og høgskolerådet og Helse Stavanger HF uttaler at det er behov for unntak fra retten til dataportabilitet ved behandling for forskningsformål. Universitets- og høgskolerådet uttaler:

«Dataportabilitet i forskningsprosjekter kan være sterkt uheldig. Dersom forskningsdeltakere skal kunne kreve å ta med seg sine personopplysninger, vil dette gå på bekostning av legitimitet og etikk i forskning. Det er viktig å sikre at forskningsdata via den registrertes rett til dataportabilitet, ikke blir gjenstand for handelsvare og kommersiell virksomhet.»

Norsk senter for forskningsdata mener at et unntak fra retten til dataportabilitet også er nødvendig ved behandling for statistikkformål. Videre mener Norsk senter for forskningsdata at det bør gjøres unntak fra underretningsplikten etter forordningen artikkel 19 ved behandling for forsknings- og statistikkformål.

Statistisk sentralbyrå uttaler at unntaket for innsynsrett når behandlingen ikke får direkte betydning for den registrerte og innsyn medfører uforholdsmessig stor innsats, bør utvides til også å gjelde retten til retting, begrensning og innsigelse:

«Unntaket i § 14 tredje ledd for rett til innsyn (art 15) utvides dersom behandlingen ikke får direkte betydning for den registrerte, og trer inn dersom rettigheten medfører uforholdsmessig stor innsats. SSB mener det bør være samme terskel for unntak fra rettigheter etter artiklene 16, 18 og 21 som for artikkel 15. Dersom departementet mener det blir for vid unntaksbestemmelse, kan det vurderes å begrense en slik utvidelse av unntak for artiklene 16, 18 og 21 til behandling som er hjemlet i statistikkloven»

Kantar TNS AS og Virke markedsanalyse mener at det bør fastsettes unntak fra informasjonsplikten for statistiske undersøkelser der opplysningene innhentes fra den registrerte. Kantar TNS AS uttaler:

«Respondenter som må lese gjennom et dokument før de kan svare på undersøkelsen vil mest sannsynlig ikke ønske å delta. Dette vil føre til at deltagerandelen på statistiske undersøkelser går drastisk ned og dette svekker datagrunnlaget.»

11.3.5 Departementets vurdering

11.3.5.1 Generelt

Det er delte meninger blant høringsinstansene om i hvilken utstrekning det bør gjøres unntak fra den registrertes rettigheter ved behandling for arkiv-, forsknings- og statistikkformål. Departementet tar utgangspunkt i at det ikke bør gjøres unntak i større grad enn det som er nødvendig og forholdsmessig. I denne vurderingen må det legges vekt på at arkiv, forskning og statistikk har en særlig samfunnsverdi. Disse behandlingsformålene er også på flere punkter gitt en særstilling i forordningen. Hensynet til å sikre gode rammevilkår for arkiv, forskning og statistikk må likevel balanseres mot hensynet til den registrertes personvern. Det bemerkes også at det ikke nødvendigvis er noen motsetning mellom hensynet til arkiv-, forsknings- og statistikkformålet og rettigheter for den registrerte. Den behandlingsansvarlige og den registrerte vil for eksempel gjerne ha en felles interesse i å sikre korrekte og oppdaterte opplysninger.

11.3.5.2 Unntak fra innsynsretten

Etter departementets syn bør det fortsatt gjelde særlige unntak fra innsynsretten ved behandling av personopplysninger for arkiv-, forsknings- og statistikkformål, og departementet foreslår derfor at det fastsettes et slikt unntak med grunnlag i forordningen artikkel 23 nr. 1 bokstav e og artikkel 89 nr. 2 og 3. Behandlingen vil i disse tilfellene ofte ikke ha noen rettsvirkninger eller direkte faktiske virkninger for den registrerte. At behandlingen ikke har rettsvirkninger eller direkte faktiske virkninger, er imidlertid etter departementets syn ikke i seg selv en tungtveiende nok begrunnelse for at det ikke skal være innsynsrett, jf. kravet om nødvendighet og proporsjonalitet. Uavhengig av rettslige og direkte faktiske virkninger vil behandlingen kunne oppleves som et inngrep i personvernet.

Dersom innsynsrett i tillegg vil være uforholdsmessig ressurskrevende for den behandlingsansvarlige, er det imidlertid etter departementets vurdering nødvendig og proporsjonalt å gjøre unntak. Departementet foreslår på denne bakgrunn at det kan gjøres unntak fra innsynsretten etter forordningen artikkel 15 dersom behandlingen ikke får noen rettslige eller direkte faktiske virkninger for den registrerte, men bare så langt det vil kreve uforholdsmessig stor innsats å gi innsyn, se lovforslaget § 17 første ledd bokstav a, jf. tredje ledd.

Tredje ledd er ment som en videreføring av vilkåret etter gjeldende lov § 18 siste ledd om at behandlingen ikke får noen direkte betydning for den registrerte. Departementet foreslår imidlertid at ordlyden direkte betydning erstattes med «rettslige eller direkte faktiske virkninger», som etter departementets syn er mer presist. Tredje ledd er videre formulert som et unntak i stedet for et vilkår, uten at dette er ment å ha noen betydning for rekkevidden.

At unntaket bare gjelder «så langt» det vil kreve uforholdsmessig stor innsats, innebærer at det vil kunne foreligge en begrenset innsynsrett. Det kan for eksempel kreve en uforholdsmessig innsats å gi en kopi av personopplysningene som behandles, jf. artikkel 15 nr. 3, men ikke å gi slik generell informasjon som er nevnt i artikkel 15 nr. 1 og 2. Da vil det foreligge innsynsrett etter artikkel 15 nr. 1 og 2, men ikke etter nr. 3. Departementet mener at et slikt unntak tilfredsstiller kravene i artikkel 23, og departementet kan ikke se at behovet for unntak er dekket i særlovgivningen.

Departementet har merket seg at Kantar TNS AS i høringen gir uttrykk for at en forholdsmessighetsbegrensning kan føre til at de må oppbevare koblingsnøkler mellom kontaktdata og svar på undersøkelser lenger enn i dag for å kunne gi innsyn. Departementet viser i denne sammenhengen til at den behandlingsansvarlige etter forordningen artikkel 11 ikke har plikt til å bevare flere opplysninger for å kunne identifisere den registrerte enn det behandlingsformålet tilsier bare for å oppfylle forordningens krav. Den behandlingsansvarlige trenger altså ikke bevare ellers overflødige opplysninger utelukkende for å kunne gi innsyn.

Departementet foreslår videre at det gjøres unntak for innsynsrett i den grad det er sannsynlig at innsyn vil gjøre det umulig eller i alvorlig grad vil hindre at målene med behandlingen nås, med grunnlag i artikkel 89 nr. 2 og 3, se lovforslaget § 17 første ledd bokstav b. Et slikt unntak er etter departementets syn en nødvendig forlengelse av unntaket fra informasjonsplikten i artikkel 14 nr. 5 bokstav b, som gir adgang til å gjøre unntak fra informasjonsretten i den grad informasjonen «sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås». Unntaket er ment å omfatte de tilfellene der innsynsrett vil hindre oppnåelse av behandlingsformålet av andre grunner enn at innsyn er ressurskrevende, for eksempel i et forskningsprosjekt der full innsynsrett vil gjøre oppnåelsen av forskningsformålet umulig. Departementet kan ikke se at dette unntaksbehovet er dekket i særlovgivningen.

11.3.5.3 Retting, sletting og begrensning av behandling

Forordningen artikkel 17 nr. 3 bokstav d gjør unntak fra retten til sletting ved behandling for arkiv-, forsknings- og statistikkformål i den grad rettigheten «sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås». Artikkel 89 nr. 2 og 3 åpner for at et tilsvarende unntak fastsettes for retten til retting og begrensning av behandling, jf. artikkel 16 og 18. Departementet foreslår at et tilsvarende unntak gjøres gjeldende også for disse rettighetene, se lovforslaget § 17 annet ledd.

Når det gjelder retten til retting, antar departementet at den behandlingsansvarlige og den registrerte ofte vil ha en felles interesse i at personopplysningene som behandles, er riktige. Dersom en ubegrenset rett til retting likevel vil være ødeleggende for oppnåelsen av behandlingsformålet, bør det likevel være adgang til å gjøre unntak. Det samme gjelder etter departementets oppfatning for retten til begrensning av behandling etter artikkel 18.

Etter departementets syn bør heller ikke unntakene for retting og begrensning komme til anvendelse dersom behandlingen får rettsvirkninger eller direkte faktisk betydning for den registrerte, jf. forslagets tredje ledd.

11.3.5.4 Øvrige unntak

Artikkel 19 pålegger den behandlingsansvarlige en underretningsplikt til mottagere av personopplysninger om at det er foretatt retting, sletting eller begrensning av behandling. Plikten gjelder bare så langt underretning ikke er umulig eller vil medføre uforholdsmessig stor innsats. Artikkel 89 åpner for å gjøre unntak fra bestemmelsen for behandling for arkivformål i allmennhetens interesse, jf. nr. 3, men ikke for forsknings- og statistikkformål, jf. nr. 2. Etter departementet syn er det ikke på nåværende tidspunkt tilstrekkelige holdepunkter for at unntak for arkivformål på grunnlag av artikkel 89 nr. 3 er nødvendig, og det foreslås derfor ingen lovbestemmelse om dette. Departementet viser til at artikkel 19 kun gjelder i den utstrekning artikkel 16 til 18 kommer til anvendelse, og at forordningen artikkel 17 nr. 3 bokstav d og lovforslaget § 17 annet ledd gjør unntak fra disse rettighetene. Videre gjelder plikten etter artikkel 19 ikke dersom underretning vil kreve uforholdsmessig stor innsats. Dersom det viser seg å være nødvendig med ytterligere unntak, kan slike fastsettes på et senere tidspunkt og eventuelt i særlovgivningen.

Artikkel 89 åpner videre for unntak fra retten til dataportabilitet etter artikkel 20 ved behandling for arkivformål, jf. nr. 3, men ikke for forsknings- og statistikkformål, jf. nr. 2. Etter departementets syn fremstår det ikke som nødvendig å fastsette unntak fra artikkel 20 for behandling for arkivformål. Retten til dataportabilitet gjelder bare så langt behandlingen er basert på den registrertes samtykke eller avtale, jf. artikkel 20 nr. 1 bokstav a. Departementet legger til grunn at disse behandlingsgrunnlagene sjelden vil være aktuelle for arkivformål, og at det derfor neppe er nødvendig med et særlig unntak på dette punktet.

Flere høringsinstanser gir uttrykk for at det er behov for å benytte forordningen artikkel 23 til å gjøre unntak fra retten til dataportabilitet ved behandling for forsknings- og statistikkformål. Departementet er enig i at en rett til dataportabilitet synes å passe dårlig i disse tilfellene. Samtidig er det etter departementets oppfatning uklart på nåværende tidspunkt hvordan retten vil fungere, og om det kommer til å være en utfordring i praksis at de registrerte ønsker å forsøke å benytte retten til dataportabilitet. Etter departementets syn er det derfor ikke på nåværende tidspunkt tilstrekkelige holdepunkter for at det er nødvendig å fastsette unntak etter artikkel 23 nr. 1 på dette punktet.

Artikkel 89 åpner for at det kan gjøres unntak fra retten til å protestere etter artikkel 21, for både arkiv-, forsknings- og statistikkformål. Når det gjelder forskning og statistikk, følger det allerede et unntak i artikkel 21 nr. 6. Etter departementets vurdering er det på nåværende tidspunkt ikke holdepunkter for at det er nødvendig med ytterligere unntak på dette punktet. Når det gjelder arkiv, bemerker departementet at retten til å protestere bare gjelder for behandling på grunnlag av artikkel 6 nr. 1 bokstav e og f, og ikke dersom behandlingen er nødvendig for å oppfylle en rettslig forpliktelse, jf. artikkel 6 nr. 1 bokstav c. Den registrerte kan derfor ikke protestere på grunnlag av artikkel 21 ved behandling for arkivformål som den behandlingsansvarlige er forpliktet til på grunnlag av arkivlovgivningen. Departementet foreslår på denne bakgrunn ingen nærmere unntak fra retten til å protestere.

12 Melde- og konsesjonsplikt

12.1 Gjeldende rett

Gjeldende bestemmelser om konsesjons- og meldeplikt finnes i personopplysningsloven kapittel VI. Det følger av § 31 at den behandlingsansvarlige skal gi melding til Datatilsynet før det behandles personopplysninger med elektroniske hjelpemidler eller opprettes manuelle personregistre som inneholder sensitive personopplysninger. Unntak fra meldeplikten kan fastsettes i forskrift. I personopplysningsforskriften kapittel 7 II er det gitt en rekke unntak fra meldeplikten for spesifikke typer behandling av personopplysninger. Det er også gitt hjemmel for Datatilsynet til å samtykke til unntak fra meldeplikt dersom den behandlingsansvarlige har utpekt et uavhengig personvernombud.

Etter personopplysningsloven § 33 første ledd kreves det i utgangspunktet konsesjon for å behandle sensitive personopplysninger. Konsesjonsplikten gjelder ikke dersom personopplysningene er avgitt uoppfordret. Den gjelder heller ikke for behandling av personopplysninger i organ for stat eller kommune når behandlingen har hjemmel i egen lov, jf. § 33 femte ledd. Loven § 31 siste ledd fastsetter at Kongen kan gi forskrift om at visse behandlingsmåter eller behandlingsansvarlige skal være underlagt konsesjonsplikt, og § 33 siste ledd fastsetter at det kan gis forskrift om andre unntak fra konsesjonsplikten. I personopplysningsforskriften kapittel 7 I er det gitt bestemmelser om utvidet konsesjonsplikt for behandling av personopplysninger i telesektoren, forsikringsbransjen og i bank- og finansinstitusjoner. I kapittel 7 III er det gitt unntak fra både konsesjons- og meldeplikt for en rekke spesifikke behandlingsmåter. I kapittel 7 IV er det gitt ytterligere unntak fra konsesjonsplikten, men disse behandlingene er underlagt meldeplikt. Det følger videre av personopplysningsloven § 33 annet ledd og forskriften § 7-4 at Datatilsynet kan beslutte at enkelte behandlingsmåter som er unntatt fra konsesjonsplikt etter enkelte bestemmelser i forskriften, likevel skal underlegges konsesjons- eller meldeplikt.

Datatilsynets behandling av konsesjonssøknader er en forhåndskontroll av om søkerens planlagte databehandlinger oppfyller regelverkets krav, og utgjør i utgangspunktet ikke et selvstendig behandlingsgrunnlag. Behandling av sensitive personopplysninger må alltid ha et rettsgrunnlag i samsvar med personopplysningsloven §§ 8 og 9. Unntaket er personopplysningsloven § 9 tredje ledd, som fastsetter at Datatilsynet kan bestemme at sensitive opplysninger kan behandles i andre tilfeller enn det som er tillatt etter § 9 første og annet ledd når viktige samfunnsinteresser tilsier det.

I personopplysningsloven § 34 oppstilles det visse retningslinjer for Datatilsynets vurdering av om konsesjon skal gis. Tilsynet skal foreta en konkret vurdering av om behandlingen vil medføre eventuelle ulemper for den registrerte, og om problemene kan fjernes ved at det stilles vilkår for behandlingen i medhold av personopplysningsloven § 35.

Den behandlingsansvarlige har rett til på forhånd å få avklart av Datatilsynet om en behandling vil kreve konsesjon eller ikke, jf. personopplysningsloven § 33 fjerde ledd. Både forhåndsavgjørelser og konsesjonsvedtak er enkeltvedtak som kan påklages til Personvernnemnda.

På grunn av det store antallet konsesjonssøknader har Datatilsynet på en rekke områder utarbeidet standardkonsesjoner som setter visse generelle vilkår. Disse trer i stedet for individuelt utarbeidede konsesjoner. Eksempler på slike konsesjoner er kredittopplysningskonsesjonen, forsikringskonsesjonen og bankkonsesjonen. I saker der det benyttes standardkonsesjon, er den reelle saksbehandlingen i enkeltsakene begrenset.

Datatilsynet fører en offentlig tilgjengelig oversikt over gitte konsesjoner. I 2016 behandlet Datatilsynet til sammen 297 konsesjonssøknader. 203 av disse ble innvilget, mens 90 gjaldt endringsvedtak. Fire søknader ble avslått. De fleste nye konsesjonssøknader gjelder forskning eller opprettelse av registre innen helsesektoren.

12.2 Forordningen

Forordningen avskaffer ordningen med meldeplikt som følger av 95-direktivet artikkel 18 og som er gjennomført i norsk rett i personopplysningsloven §§ 31 og 32. Forordningen legger heller ikke opp til at behandlinger skal forhåndsgodkjennes av tilsynsmyndighetene. Tilsynsmyndighetenes kontroll skal som hovedregel foregå som etterkontroll. Tilsynsmyndighetene gis også en sterkere veiledningsrolle, blant annet gjennom plikten til å foreta forhåndsdrøftinger. Videre skal tilsynsmyndighetene godkjenne atferdsnormer. Samtidig skjerpes pliktene til den behandlingsansvarlige og databehandler for å sikre at behandlingen er i samsvar med forordningen. Eksempler på dette er skjerpet plikt til internkontroll, risikovurderinger og utredning av personvernkonsekvenser og plikt for visse virksomheter til å ha personvernombud. Den behandlingsansvarliges og databehandlerens plikter er nærmere beskrevet i kapittel 16.

Artikkel 36 nr. 5 åpner for at medlemsstatene kan fastsette nasjonale regler som pålegger forhåndsdrøftinger og forhåndsgodkjenning (konsesjon) fra tilsynsmyndighetene når behandlingen foretas som ledd i utførelsen av en oppgave i allmennhetens interesse. Sosial trygghet og folkehelse nevnes spesielt som områder av allmenn interesse.

Videre åpner forordningen artikkel 9 nr. 4 for at medlemsstatene kan «opprettholde eller innføre ytterligere vilkår, herunder begrensninger, med hensyn til behandling av genetiske opplysninger, biometriske opplysninger eller helseopplysninger». Departementet legger til grunn at denne bestemmelsen åpner for å pålegge konsesjonsplikt for behandling av denne type opplysninger. Artikkel 9 nr. 4 inneholder, i motsetning til artikkel 36 nr. 5, ikke et krav om at behandlingen av opplysningene må skje for et visst formål. Bestemmelsen synes således å hjemle en videre rett til å videreføre konsesjonsplikt for behandling av de tre angitte opplysningskategoriene enn det artikkel 36 nr. 5 gjør.

Forordningen fortalepunkt 171 fastslår at pågående behandling av personopplysninger må være i tråd med forordningen når denne trer i kraft. Siste punktum åpner imidlertid for at gjeldende tillatelser gitt av tilsynsmyndighetene fortsetter å gjelde inntil de endres, oppheves eller erstattes. Departementet tolker dette slik at det er adgang til å la gjeldende konsesjoner med vilkår fortsette å gjelde. Etter departementets syn er det imidlertid neppe anledning til å opprettholde strengere krav til behandlingsansvarlige enn det forordningen legger opp til og sanksjonere brudd på slike regler. Det er etter departementets syn trolig heller ikke adgang til å opprettholde vilkår som stiller lempeligere krav, men dette fremstår etter departementets syn som noe mer tvilsomt.

12.3 Forslaget i høringsnotatet

Forordningen åpner ikke for videreføring av meldeplikt, men gir en adgang til å gi nasjonale regler om forhåndsgodkjenning fra tilsynsmyndigheten. Det ble i høringsnotatet foreslått at plikten til å innhente forhåndsgodkjennelse (konsesjon) fra Datatilsynet ikke videreføres. Det ble presisert at forslaget også gjaldt behandling av genetiske opplysninger, biometriske opplysninger og helseopplysninger, jf. forordningen artikkel 9 nr. 4. Det ble videre foreslått å innføre en forskriftshjemmel som kan benyttes til å gjeninnføre konsesjonsplikt dersom det skulle vise seg at dette skulle være nødvendig for å sikre et tilstrekkelig personvern. Det ble også vist til at det vil være mulig å innføre konsesjonsplikt i særlovgivningen dersom dette anses nødvendig på et spesifikt område, for eksempel når det gjelder helseforskning.

Departementet foreslo videre at det for behandling av særlige kategorier av personopplysninger som baserer seg på unntaket i artikkel 9 nr. 2 bokstav g, i utgangspunktet verken bør være nødvendig eller tilstrekkelig med tillatelse fra Datatilsynet. Departementet fremholdt at behandling av særlige kategorier av personopplysninger som er nødvendig av hensyn til viktige allmenne interesser, som den klare hovedregelen bør skje i medhold av særlovgivning som fastsetter egnede og særlige tiltak for å verne den registrertes rettigheter og interesser. Det ble imidlertid foreslått at Datatilsynet som en sikkerhetsventil bør ha adgang til å gi tillatelse til behandling av særlige kategorier av personopplysninger når det er nødvendig av hensyn til viktige allmenne interesser.

Departementet viste til forordningen fortalepunkt 171, og fremholdt at bestemmelsen tolkes slik at det er adgang til å la gjeldende konsesjoner med vilkår fortsette å gjelde. Det ble vist til at det er noe uklart om behandlingen likevel må være fullt i samsvar med forordningen når denne trer i kraft. Departementet viste til at det kan være grunn til å la gjeldende konsesjoner og tillatelser gjelde i en overgangsperiode. Departementet fremholdt at en overgangsregel enten kan overlate til Datatilsynet å vurdere når gjeldende konsesjoner bør oppheves, eller at det kan reguleres ved lov at gjeldende konsesjoner skal oppheves etter for eksempel to år.

12.4 Høringsinstansenes syn

Det var bred støtte til å avskaffe konsesjonsordningen blant høringsinstansene. Blant høringsinstansene som uttalte seg om spørsmålet, var det kun to høringsinstanser som var negative til forslaget. Arbeids- og velferdsdirektoratet, Administrasjonen i De nasjonale forskningsetiske komiteene, Brønnøysundregistrene, Datatilsynet, Direktoratet for e-helse, Finans Norge, Finanstilsynet, Helsedirektoratet, Helse Nord-Trøndelag HF, Juristforbundet,Nasjonal kommunikasjonsmyndighet, Norsk senter for forskningsdata, Telia Norge AS og Telenor Norge AS støttet alle forslaget.

Nei til EU er svært bekymret over at det nå ser ut til at konsesjonsplikt/meldeplikt bortfaller. De uttaler følgende i sin høringsuttalelse:

«Det fremgår med all tydelighet at fjerningen av meldeplikt kun er til arbeidsgivers fordel og etter all sannsynlighet vil føre til en mer inngripende grad av overvåkning i arbeidslivet uten myndighetskontroll.»

Forbrukerrådet viser særlig til at forordningen artikkel 9 nr. 4 åpner for at det i nasjonal rett kan innføres konsesjonsordning for behandling av genetiske opplysninger, biometriske opplysninger og helseopplysninger. Forbrukerrådet er av den oppfatning at behandling av slike opplysninger må undergis konsesjonsplikt. Høringsinstansen uttaler blant annet følgende:

«Det er tale om spesielt sensitive opplysninger for de registrerte, og konsekvensene av at slike opplysninger misbrukes eller kommer på avveie kan bli store for de registrerte. Slik Forbrukerrådet ser det, vil det innebære en ikke ubetydelig risiko å overlate vurderingen av sikkerheten knyttet til behandlingen av slike opplysninger, og vurderingen av om vilkårene for behandling av opplysningene i art. 9 nr. 2 er oppfylt, til den behandlingsansvarlige. Denne vurderingen må derfor i stedet foretas av Datatilsynet, som også har/må få adgang til å fastsette nødvendige vilkår for å sikre at forordningens regler følges.»

Til støtte for forslaget om å avskaffe konsesjonsplikten peker Telia Norge AS på at personvernforordningens krav til forhåndskonsultasjon, og de mer generelle reglene om ansvarlighet, personvernkonsekvensutredning mv. i praksis vil kunne ivareta samme behov som konsesjonsordningen. Høringsinstansen mener også at slike regler vil åpne for en mer smidig og fremtidsrettet tilnærming til de konkrete personvernutfordringene som oppstår på ulike samfunnsområder. Telenor Norge AS uttrykker synspunkter i samme retning og uttaler blant annet følgende om spørsmålet:

«Forordningens plikt til å foreta vurdering av personvernkonsekvenser etter artikkel 35 og plikten til å foreta forhåndsdrøftinger med tilsynsmyndigheten etter artikkel 36, vil etter Telenors vurdering være et mye bedre virkemiddel enn dagens konsesjon for å sikre særskilte behandlinger i ulike bransjer. Slike drøftinger vil måtte skje hyppigere, og på et mer detaljert nivå, enn dagens svært statiske praksis i forhold til konsesjoner, gitt at konsesjonene ikke alltid nødvendigvis inneholder alle typer prosessering av personopplysninger, og kan inneholde feil, mangler eller upresis tekst, eller bli utdatert.

[… ]

En av de helt grunnleggende endringer fra 95-direktivet til GDPR, er prinsippet om et tydelig skifte mot en ansvarliggjøring av den behandlingsansvarlige. Eksempler på tydeliggjørelse av dette ansvaret er det økte kravet i forhold til styring og prosesser, bruk av personvernvurderinger (DPIA), innebygd personvern og introduksjon av kravet om tvungen utpekning av en personvernombud, der bedriften har omfattende prosessering av personopplysninger.»

Næringslivets Hovedorganisasjon er enig i at plikten til å innhente forhåndsgodkjennelse ikke videreføres. Høringsinstansen viser imidlertid til at det kan være en fordel for bedrifter å kunne få en forhåndsgodkjenning i enkeltsaker og mener departementet bør vurdere å videreføre dette.

Også forslaget om en mulighet til å gjeninnføre konsesjonsplikt i forskrift får støtte i høringen. Administrasjonen i De nasjonale forskningsetiske komiteene, Brønnøysundregistrene, Finans Norge, Finanstilsynet, Helsedirektoratet, Statens helsetilsyn, Landsorganisasjonen i Norge, Arbeids- og velferdsdirektoratet,Nasjonal kommunikasjonsmyndighet og Statens sivilrettsforvaltning støtter forslaget. Direktoratet for e-helse og Universitetet i Bergen går mot forslaget.

Direktoratet for e-helse er bekymret for at det vil gi dårlig forutberegnelighet for virksomhetene dersom det legges opp til en ordning med forhåndsgodkjenning/konsesjon kun på enkelte områder. Høringsinstansen mener derfor at det ikke bør innføres en forskriftshjemmel som kan benyttes til å gjeninnføre forhåndsgodkjenning fra Datatilsynet.

Universitetet i Bergen stiller spørsmål om det er tilstrekkelig hjemmel i forordningen til å videreføre eller gjeninnføre konsesjon gjennom en slik forskriftshjemmel, eller om det bør gjøres i egen lovbestemmelse i personopplysningsloven, med hjemmel i artikkel 36 nr. 5.

Helsedirektoratet støtter forslaget, men peker på at forslaget til en viss grad kan forringe virksomheters forutberegnelighet. Høringsinstansen viser videre til at det kan være situasjoner der vi i dag ikke overskuer konsekvensene av opphevelsen av konsesjonsinstituttet, og støtter på denne bakgrunn forslaget om en forskriftshjemmel.

Et flertall av høringsinstansene mener det er behov for overgangsregler som viderefører gjeldende konsesjoner i en overgangsperiode. Administrasjonen i De nasjonale forskningsetiske komiteene, Advokatforeningen, Arbeidsgiverforeningen Spekter, Brønnøysundregistrene, Datatilsynet, Folkehelseinstituttet, Helsedirektoratet, Helse- og omsorgsdepartementet, Helse Sør-Øst RHF, Helse Vest RHF, Helse Stavanger HF, Juristforbundet, KS, Oslo universitetssykehus HF,Rogaland fylkeskommune, Statens vegvesen, Statens sivilrettsforvaltning og Statistisk sentralbyrå mener alle det er behov for slike regler.

Advokatforeningen peker på at det er et behov for klare overgangsordninger, og viser til at dagens konsesjoner for eksempel kan videreføres, og at tilsynet kan gi nye konsesjoner inntil nye særregler er på plass. Arbeidsgiverforeningen Spekter mener det må tydeliggjøres hvordan overgangen fra dagens konsesjonsbaserte system skal håndteres.

Helse- og omsorgsdepartementet mener det må kunne legges til grunn at vilkårene i konsesjonene i all hovedsak er i samsvar med kravene etter forordningen. Departementet mener to år er en passende overgangsperiode og at det bør fastsettes en overgangsbestemmelse i personopplysningsloven som sier at konsesjoner som er gitt før 25. mai 2018, skal videreføres frem til 25. mai 2020.

Juristforbundet støtter overgangsordninger for dagens konsesjoner, men mener derimot at en periode på to år er for lenge, og foreslår at konsesjonene oppheves den 25. mai 2018, og at enhver behandling i henhold til en gitt konsesjon skal bringes i henhold til forordningen innen ett år. Høringsinstansen peker også på at det ikke er klart hva som skjer med vilkårene for behandlingene som Datatilsynet har satt som krav i konsesjonene.

Finans Norge kan ikke se at det er grunnlag for en tolkning som åpner for å videreføre vilkår i konsesjonene som medfører strengere begrensninger enn det som følger av forordningen. Høringsinstansen mener også at en slik tolkning vil være i strid med forordningens generelle mål om totalharmonisering, jf. fortalens avsnitt 13, for å sikre like forutsetninger for alle virksomheter innen EU og EØS. Dette må etter Finans Norges vurdering medføre at dersom den behandlingsansvarlige kan dokumentere at behandlingen er i samsvar med forordningen, vil eventuelle ytterligere begrensninger i konsesjonene være ugyldige.

Næringslivets Hovedorganisasjon tviler på om forordningen åpner for at konsesjoner og vilkår kan gjelde etter 25. mai 2018. Næringslivets Hovedorganisasjon peker på at dersom departementet mener at det er adgang til å opprettholde andre krav overfor bedriftene enn det som følger av forordningen, må det være en ordning som gjør at bedriftene selv har rett til å få konsesjoner eller vilkår opphevet, slik at de kan forholde seg til reglene i forordningen. Uten en slik ordning vil norske bedrifter, herunder med virksomhet i andre EØS-land, være underlagt andre betingelser enn utenlandske bedrifter.

Statens sivilrettsforvaltning mener at dersom departementet kommer til at instruks og rundskriv ikke tilfredsstiller kravene som supplerende rettsgrunnlag, bør det gis overgangsbestemmelser slik at dagens konsesjon fortsetter å gjelde frem til nytt hjemmelsgrunnlag foreligger. Hovedorganisasjonen Virke peker på at dersom det viser seg at dagens særlovgivning ikke på alle områder gir tilstrekkelig hjemmelsgrunnlag for behandling i henhold til forordningen artikkel 6 nr. 1 bokstav c eller e, vil det i en overgangsperiode kunne være behov for en videreføring av dagens konsesjoner også her.

Det er en rekke høringsinstanser som har uttalt seg særlig om konsesjoner som gir tillatelse til forskning.

Administrasjonen i De nasjonale forskningsetiske komiteene mener det er helt nødvendig med overgangsregler for gjeldende konsesjoner, i hvert fall for konsesjoner som er gitt til forskningsprosjekter. Høringsinstansen uttaler også følgende om spørsmålet:

«Etter vårt syn er det lite hensiktsmessig å slette konsesjoner til forskningsprosjekter etter et gitt tidsrom. En slik ordning vil særlig ramme prosjektene som har konsesjon som utløper rett før eller etter fristen. Det er ikke usannsynlig at prosjektene vil bruke tid og ressurser på å tilpasse seg til forordningen, ressurser som mye heller bør brukes til å gjennomføre prosjektet på en god måte. Et bedre alternativ dersom konsesjonene til forskningsprosjekter ikke skal vare ut konsesjonsperioden, er at behandlingsansvarlige sammen med personrådgiveren lager en plan for overgang til bestemmelsene i forordningen. Personvernrådgiveren vil ha ansvaret for å påse at forskerne gjennomfører overgangen i henhold til tidsplan. Det kan settes en relativt vid overgangsfase dersom det anses nødvendig; heller ti år enn to.»

Helse Sør-Øst RHF peker på at forsvarlig ivaretakelse av den institusjonelle plikt til vurdering av personvernskonsekvenser og forhåndsdrøftinger med tilsynsmyndigheten forutsetter oppbygging av kapasitet og infrastruktur i forskningstunge institusjoner. Dette vil ta noe tid å få på plass. Helse Sør-Øst RHF mener at av hensyn til forutberegnelighet for sektoren så er det behov for overgangsregler, slik at tildelte konsesjoner først oppheves etter en gitt periode. Helse Sør-Øst RHF antar at en tidsperiode på to år er tilstrekkelig

Norsk senter for forskningsdata mener det bør fastsettes at gjeldende konsesjoner er gyldige i fem til ti år etter forordningen trer i kraft, med mindre det foretas endringer i behandlingen som krever ny vurdering eller tillatelse. Videre mener høringsinstansen at det bør fastsettes at de aktuelle behandlingene som har gyldig konsesjon ikke behøver være fullt i samsvar med forordningen. Norsk senter for forskningsdata uttaler videre følgende:

«Grunnen til at vi forslår minst 5 års varighet for konsesjonene, er for å sikre at doktorgradsprosjekter kan ferdigstilles uten å måtte vurderes på nytt etter forordningen. Helst ser vi at konsesjonene får varighet i 10 år, slik at også større forskningsprosjekter og helseregistre kan fullføres uten nye vurderinger. Vi minner om at behandlinger som har konsesjon har vært gjenstand for en grundig vurdering av tilsynsmyndighetene etter dagens regelverk, det gjelder spesielt store og langvarige prosjekter og registre. Ettersom dagens lov har store likhetstrekk med forordningen, antar vi personvernkonsekvensvurderingene etter dagens og morgendagens lov ikke vil være så ulike. Det vil kreve forholdsvis store ressurser, både for forskerne, institusjonene og personvernombudene, å foreta konsekvensvurderinger. Vi mener det vil være en unødvendig belastning å måtte foreta ny vurdering når personvernet et godt ivaretatt gjennom gjeldende konsesjoner.

Tilsvarende mener vi at gjeldende tilrådninger fra personvernombud bør gjelde i 5-10 år etter forordningens ikrafttredelse. Personvernombudene har mange og store oppgaver foran seg når forordningen trer i kraft. Vi mener det vil være en dårlig bruk av ressurser dersom ombudet skal måtte foreta nye personvernkonsekvensvurderinger av alle pågående prosjekter, når de allerede er konsekvensvurdert etter dagens regelverk. Vi håper departementet ser at det må foretas en kostnad-nytte-vurdering her, og at personvernet ikke vil vinne så mye på ny vurdering i forhold til det det vil koste av ressurser. Vi mener personvernombudets ressurser utnyttes adskillig bedre ved å veilede institusjonene og forskerne som skal starte opp nye prosjekter om forordningens krav. Som alternativ, foreslår vi at forskningsinstitusjonene i samråd med personvernombudet lager en plan for å tilpasse pågående forskningsprosjekter og helseregistre, som har tilrådning fra ombudet, til forordningen.»

Folkehelseinstituttet mener at konsesjoner og godkjennelser som er gitt, bør fortsette å gjelde i en overgangsperiode. Høringsinstansen mener det er uheldig at departementet ikke i høringsnotatet tar stilling til om departementet mener at pågående behandling som er basert på konsesjon, må være i samsvar med forordningen dersom gjeldende konsesjon fortsetter å gjelde i en overgangsperiode.

Statistisk sentralbyrå mener at igangværende prosjekter fortsatt bør reguleres av gjeldende konsesjon i en overgangsperiode på minst to år, med mindre Datatilsynet bestemmer annet eller angjeldende behandling kommer inn under annet regelverk, eksempelvis ny forskrift om befolkningsbaserte helseundersøkelser. Høringsinstansen mener at dersom den behandlingsansvarlige mener gjeldende konsesjon ikke er i tråd med forordningen, bør Datatilsynet konsulteres for å avklare om konsesjonen skal oppheves helt eller delvis og erstattes med nytt behandlingsgrunnlag fra et angitt tidspunkt. Det samme bør etter høringsinstansens syn gjelde for gjeldende tilrådninger fra personvernombud.

Noen høringsinstanser har også kommentert behovet for regler om kredittopplysningsvirksomhet. Hovedorganisasjonen Virke viser til høringssvar inngitt av Virke inkasso, hvor det sterkt anmodes om en videreføring av gjeldende konsesjoner i en overgangsperiode inntil nødvendig lov- eller forskriftsregulering er kommet på plass. Bisnode Norge AS ber om at departementet så snart som mulig igangsetter arbeidet med å utarbeide særskilte og nye regler for kredittopplysningsbransjen.

Datatilsynet mener det vil være behov for overgangsregler, men det vil være stor variasjon mellom ulike typer konsesjoner med hensyn til hvor lenge dette behovet for overgangsordning vil vare. Datatilsynet uttaler blant annet følgende:

«Der særlovgivning ikke i tilstrekkelig grad ivaretar kravet til supplerende rettsgrunnlag for behandlingen slik forordningen krever, mener Datatilsynet at videreføring av eksisterende konsesjoner kan utgjøre en nødvendig garanti for ivaretakelse av personvernet inntil lovgivning er på plass. Dette vil gjelde for eksempel for etablering av helseregistre i helsesektoren, der de fleste konsesjonene som Datatilsynet gir inneholder vurdering av konkrete tiltak og tilleggskrav til hvordan behandlingen av personopplysninger skal skje, hvordan samtykke skal innhentes eller informasjon skal gis.

Datatilsynet foreslår at det settes en absolutt grense for gjeldende konsesjonenes gyldighet på to år, men med en mulighet for Datatilsynet å oppheve slike tillatelser tidligere, etter en konkret vurdering.

Datatilsynet vil da kunne vurdere de ulike gruppene av konsesjoner særskilt. Innen bank- og finanssektoren mv. kan det være konkurransemessige hensyn som tilsier at overgangsperioden bør begrenses til det som er helt nødvendig. Datatilsynet kan da, i samarbeid med de aktuelle bransjene, komme frem til hva som må være på plass før gjeldende konsesjoner oppheves.

En slik tilnærming vil, slik vi ser det, ivareta hensynet til likebehandling og forutsigbarhet for de behandlingsansvarlige, samtidig som det gir nødvendig insentiv for å få på plass tiltak som gjør at forordningen etterleves.

Det vil også gi de ansvarlig fagdepartementer et incentiv til å få på plass lovhjemler for behandlingen av personopplysninger som ikke har tilstrekkelig behandlingsgrunnlag etter bortfallet av konsesjon.»

12.5 Departementets vurdering

12.5.1 Generelt om konsesjonsplikt

Dagens konsesjonsordning innebærer at tilsynsmyndigheten i noen tilfeller gis anledning til å kontrollere behandlingen av personopplysninger før behandlingen settes i verk. Avgjørelsen av om konsesjon skal gis, er regulert i personopplysningsloven § 34. Avgjørelsen skal baseres på en bred interesseavveining. I vurderingen av om konsesjon skal gis, skal tilsynsmyndigheten klarlegge ulempene for den registrerte ved den aktuelle behandlingen, samt om ulempene kan avhjelpes i tilstrekkelig grad gjennom lovens alminnelige regler og eventuelle vilkår som kan stilles til behandlingen som en del av konsesjonen. Det skal tas hensyn til om ulempene veies opp av hensyn som taler for behandlingen. Det skal videre vurderes om ulempene for den registrerte etter en totalvurdering er funnet å være forholdsmessige sett i sammenheng med behandlingens formål.

Alle øvrige regler i loven gjelder også for behandling som er underlagt konsesjonsplikt. Konsesjonen gir ikke i seg selv noe behandlingsgrunnlag. Konsesjonsplikt er altså et tilleggskrav for å kontrollere behandling av personopplysninger som potensielt innebærer særlig risiko for enkeltpersoners rettigheter før behandlingen settes i verk.

Ordningen med tillatelser etter gjeldende personopplysningslov § 9 tredje ledd omtales nærmere under punkt 7.4.

12.5.2 Bør konsesjonsplikten videreføres?

Departementet foreslår å avskaffe konsesjonsplikt ved behandling av særlige kategorier opplysninger. Høringen viste bred støtte til forslaget. Personvernforordningen innebærer en overgang fra et system med forhåndskontroll til en ordning med vekt på den behandlingsansvarliges ansvar og tilsynsmyndighetens mulighet til etterfølgende kontroll, noe som også ble påpekt i høringen. Det er etter departementets syn mest hensiktsmessig dersom nasjonale regler bygger opp under denne løsningen.

Forordningen inneholder en rekke alternative virkemidler for å sikre at reglene om behandling av personopplysninger overholdes. I denne sammenheng kan det særlig pekes på plikten til å foreta vurdering av personvernkonsekvenser etter artikkel 35 og plikten til å foreta forhåndsdrøftinger med tilsynsmyndigheten etter artikkel 36. Disse mekanismene gjør at de behandlingsansvarlige selv må vurdere hvilke personvernkonsekvenser en behandling vil ha og hvilke tiltak som må settes i verk for å avhjelpe risikoen for brudd på regelverket. Plikten til forhåndsdrøftinger med Datatilsynet etter artikkel 36 innebærer videre at behandlinger av personopplysninger som kan innebære en høy risiko dersom den behandlingsansvarlige ikke treffer tiltak for å redusere risikoen, vil bli forelagt Datatilsynet, som vil kunne veilede behandlingsansvarlige om hvordan behandlingen kan gjøres på en betryggende måte.

Det stilles etter gjeldende rett krav om at behandling av personopplysninger må ha et rettsgrunnlag etter personopplysningsloven §§ 8 og 9 i tillegg til konsesjon etter personopplysningsloven § 33. Det er altså ingen behandlingsgrunnlag som vil bortfalle som følge av en avskaffelse av konsesjonsplikten. Tilsynsmyndighetens adgang til å stille nærmere vilkår ved innvilgelse av konsesjoner vil imidlertid bortfalle. I en rekke bransjer er for eksempel bestemmelsene som Datatilsynet har fastsatt i standardkonsesjoner blitt praktisk viktige regler for behandling av personopplysninger som både sikrer et riktig beskyttelsesnivå samt forutberegnelighet og ensartet praktisering av reglene på det aktuelle livsområdet. Departementet viser i denne sammenheng til bestemmelsene i forordningen artikkel 40, som fastsetter at det kan utarbeides atferdsnormer. I slike normer vil det kunne fastsettes nærmere regler om behandling av personopplysninger i en bransje. Slike regler kan fylle samme funksjon som mange av vilkårene i dagens standardkonsesjoner. Departementet viser også til adgangen til å fastsette særskilte regler i lov eller forskrift etter artikkel 6 nr. 2 og 3 og artikkel 9 nr. 2 og 4. Slik regulering vil på noen områder kunne erstatte vilkårene som er gitt i standardkonsesjoner i dag, og dermed gi samme personopplysningsvern og samme forutberegnelighet for aktørene.

I tråd med forslaget i høringsnotatet foreslår departementet å innføre en forskriftshjemmel som kan benyttes til å innføre konsesjonsplikt dersom det skulle vise seg at dette skulle være nødvendig for å sikre et tilstrekkelig personvern. Etter departementets syn bør en eventuell konsesjonsplikt kun innføres på nærmere bestemte livsområder der det viser seg å være behov for dette, ikke generelt ved behandling av særlige kategorier av personopplysninger. Departementet har merket seg innvendingene om at en slik adgang vil gi liten forutberegnelighet, og viser i den sammenheng til at utkast til nye forskrifter normalt skal sendes på alminnelig høring, noe som vil sikre at berørte aktører får mulighet til å gi innspill til eventuelle nye konsesjonsregler.

12.6 Overgangsregler ved bortfall av konsesjoner etter § 33 og tillatelser etter § 9 tredje ledd

12.6.1 Innledning

Bortfall av ordningen med konsesjoner etter § 33 og tillatelser etter § 9 tredje ledd reiser spørsmål om hvordan overgangen mellom gammel og ny ordning nærmere skal reguleres. Konsesjonsordningen innebærer en forhåndskontroll av om søkerens planlagte databehandlinger oppfyller regelverkets krav, og utgjør i utgangspunktet ikke et selvstendig behandlingsgrunnlag. Tillatelser etter § 9 tredje ledd innebærer derimot at det foreligger et behandlingsgrunnlag. Når det gjelder konsesjoner, innebærer derfor bortfall av konsesjonene ikke at pågående behandling blir ulovlig, men det kan oppstå spørsmål om hvilke vilkår som skal gjelde for behandlingen. Der konsesjonsordningen erstattes med særskilte regler for at behandlingen skal være lovlig, som i forslaget til ny personopplysningslov § 9 om behandling for arkiv-, forsknings- og statistikkformål, blir det spørsmål om hvilke behandlinger som skal omfattes av de nye kravene. Når det gjelder bortfall av tillatelser etter någjeldende § 9 tredje ledd, blir det derimot spørsmål om det er behov for å videreføre gjeldende tillatelser i en overgangsperiode for å sikre at behandlingen er tillatt.

12.6.2 Overgangsregler ved bortfall av konsesjoner

Det er et stort flertall blant høringsinstansene for å videreføre konsesjonene i en overgangsperiode. Det er imidlertid klart ut i fra høringen at det vil være ulike behov for overgangsregler i ulike tilfeller. Det gjelder trolig et generelt behov for klare og forutsigbare løsninger for overgangen mellom gammelt og nytt system.

Det følger av forordningen fortalepunkt 171 at «Beslutninger truffet av Kommisjonen og godkjenninger gitt av tilsynsmyndigheter på grunnlag av direktiv 95/46/EF skal fortsette å gjelde fram til de endres, erstattes eller oppheves». Dersom det ikke fastsettes særskilte bestemmelser i nasjonal rett som går ut på noe annet, vil dermed bestående konsesjoner og tillatelser videreføres ved ikraftsetting av ny lov. Etter departementets syn er det imidlertid neppe anledning til å opprettholde strengere krav til behandlingsansvarlige enn det forordningen legger opp til, eller legge opp til sanksjonsadgang for brudd på slike krav. Det er etter departementets syn trolig heller ikke adgang til å opprettholde konsesjonsvilkår som stiller lempeligere krav enn forordningen, men dette fremstår etter departementets syn som noe mer tvilsomt. Dette måtte man tatt høyde for ved en eventuell videreføring av gjeldende konsesjoner.

Etter departementets syn bør som et utgangspunkt gjeldende konsesjoner ikke videreføres ved ikrafttredelse av ny personopplysningslov. Dette vil ikke innebære at behandlingene som konsesjonene gjelder, blir ulovlige. Konsesjonens vilkår vil imidlertid bortfalle, og det vil ikke lenger være en plikt til å søke konsesjon for tilsvarende behandling av personopplysninger. Det er etter departementets syn flere problematiske sider ved å opprettholde gjeldende konsesjoner i en overgangsperiode. For det første oppstår det spørsmål om konsesjonenes vilkår er i overensstemmelse med forordningen og hvilke regler som skal gjelde ved overtredelser av konsesjonsvilkårene. Det kan videre oppstå spørsmål om hvilke regler som skal gjelde for tildeling av nye konsesjoner og hvilke regler som skal gjelde ved behov for endring av konsesjonenes vilkår. Departementet åpner likevel for at det kan bli behov for å gi overgangsregler om å videreføre konsesjonene på noen nærmere bestemte livsområder, der det er et særskilt behov for dette. En videreføring av enkelte konsesjoner vil også i større grad muliggjøre en gjennomgåelse av vilkårene sammenlignet med forordningens krav.

Når en konsesjon ikke videreføres, vil eventuelle vilkår i konsesjonen som knytter spesifikke krav til hvordan en behandling skal utføres, ikke lenger være bindende for den behandlingsansvarlige. I stedet må den behandlingsansvarlige sørge for at behandlingen skjer i tråd med forordningens generelle bestemmelser og eventuelle supplerende lover og forskrifter. Dette innebærer at behandlingen ikke er ulovlig bare fordi den ikke lenger utføres i samsvar med vilkårene i den opphevede konsesjonen. Det er i stedet tolkningen og anvendelsen av de generelle reglene som er avgjørende for lovligheten. Hvis konsesjonsvilkårene for eksempel fastsetter en spesifikk maksimal lagringstid for personopplysningene, vil det ikke være denne fristen som er avgjørende for hvor lenge opplysningene kan lagres – i stedet må det foretas en konkret vurdering av forordningens bestemmelser om lagringsbegrensning.

Motsatt blir behandlingen ikke nødvendigvis lovlig bare fordi den utføres i tråd med vilkårene i den opphevede konsesjonen, hvis forordningen stiller strengere krav enn de opphevede konsesjonsvilkårene. Departementet understreker imidlertid at forordningen i det vesentlige viderefører dagens grunnleggende prinsipper og regler som konsesjonsvilkårene i stor grad er et utslag av. Bortfalte konsesjoner vil derfor kunne gi betydelig veiledning i hvordan forordningens regler bør tolkes og anvendes på det aktuelle livsområdet.

Når det gjelder behandling til arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i tråd med forslaget til ny personopplysningslov § 9, vil det imidlertid etter departementets syn trolig være behov for en særskilt regulering av overgangen mellom gammelt og nytt system. Det kan for eksempel fastsettes overgangsregler om at det i tilfeller der det er gitt konsesjon etter gjeldene regler før ikrafttredelse av ny lov, ikke er nødvendig å følge de særlige krav til fremgangsmåte som ny § 9 annet ledd stiller før behandling settes i gang. Det samme vil gjelde der prosjektet er tilrådd av personvernombud etter personopplysningsforskriften § 7-27 og dermed unntatt fra konsesjonsplikt.

12.6.3 Overgangsregler ved bortfall av tillatelser etter § 9 tredje ledd

Departementet foreslår å snevre inn adgangen til behandling av særlige kategorier av personopplysninger i medhold av tillatelse fra Datatilsynet, jf. punkt 7.4.5. Tillatelser som er gitt på grunnlag av § 9 tredje ledd i gjeldende personopplysningslov, bør etter departementets syn som hovedregel ikke videreføres ved ikrafttredelse av ny lov. Departementet mener imidlertid at det trolig bør gis overgangsregler som viderefører slike tillatelser i en begrenset periode i tilfeller der det ikke foreligger lov- eller forskriftsbestemmelser som tillater behandlingen ved ikrafttredelsen av ny lov. En slik regel om videreføring av tillatelser vil kunne utgjøre både supplerende rettsgrunnlag etter artikkel 6 nr. 3, unntak fra forbudet etter artikkel 9 nr. 1, jf. nr. 2, og åpne for behandling av personopplysninger om straffbare forhold mv. utenfor en offentlig myndighets kontroll i samsvar med artikkel 10. Etter departementets syn vil slike nasjonale regler være tillatt etter forordningen så lenge regelen er innenfor rammene av artikkel 6, artikkel 9 og eventuelt artikkel 10. Dersom adgangen til å videreføre en slik tillatelse benyttes, bør det åpnes for at Datatilsynet kan tildele likelydende konsesjon til nye behandlingsansvarlige.

13 Behandling av personopplysninger om barn

13.1 Gjeldende rett

Utgangspunktet etter gjeldende rett er at barn og voksne har samme rettigheter etter personopplysningsloven. Gjennom personopplysningsloven § 11 tredje ledd er barns personopplysninger likevel gitt et særlig vern. Det er der bestemt at opplysningene ikke skal behandles på en måte som er uforsvarlig av hensyn til barnets beste. Med barn menes personer under 18 år, jf. spesialmerknadene til § 11 i Prop. 47 L (2011–2012) side 41. Bestemmelsen ble vedtatt for å styrke mindreåriges rettsstilling ved behandling av personopplysninger og innebærer både et forbud og en forpliktelse til å ta ekstra hensyn ved håndtering av personopplysninger som gjelder barn. Departementet er ikke kjent med rettspraksis hvor bestemmelsen har kommet til anvendelse.

Et eget spørsmål i forbindelse med behandling av personopplysninger om barn gjelder barnas adgang til selv å samtykke til behandling av egne personopplysninger. Det følger av vergemålsloven § 9 at «[e]n mindreårig kan ikke selv foreta rettslige handlinger eller råde over sine midler, med mindre noe annet er særlig bestemt.» I merknaden til bestemmelsen inntatt i Ot.prp. nr. 110 (2008–2009) kapittel 13 side 172 fremgår følgende: «Den mindreårige har heller ikke kompetanse til å samtykke til behandling av personopplysninger. Dette er også en «rettslig handling» som omfattes av forbudet.» Det følger videre av vergemålsloven § 17 fjerde ledd at der den mindreårige er over 12 år, skal vergen høre hva den mindreårige mener før det treffes avgjørelser.

For en nærmere omtale av gjeldende rett for så vidt gjelder behandling av barns personopplysninger, viser departementet til Prop. 47 L (2011–2012) kapittel 5 side 14–18. Der uttales det blant annet følgende under punkt 5.2 side 14–15:

«Når det gjelder mindreårige vil det imidlertid vanligvis være den som har foreldreansvaret som opptrer på vegne av barnet. Personopplysningslovens alminnelige bestemmelser suppleres således av reglene i lov om barn og foreldre 8. april 1981 nr. 7 (barnelova). Etter barnelova § 30 har foreldrene rett og plikt til å ta avgjørelser om personlige forhold for barnet, herunder samtykke til behandling av personopplysninger. Avgjørelsene skal treffes ut fra barnets interesser og behov, og barnets ønsker skal tillegges økende vekt med alderen, jf. §§ 31-33.»

13.2 Forordningen

13.2.1 Generelt om behandling av barns personopplysninger

Som etter gjeldende rett er utgangspunktet etter forordningen at barn og voksne har samme rettigheter i forbindelse med behandling av personopplysninger. Forordningen inneholder enkelte spredte artikler og fortalepunkter om behandling av barns personopplysninger, men gir ingen samlet enhetlig regulering av temaet. Forordningen inneholder heller ingen definisjon av hvem som skal regnes som barn i forordningens forstand. Kommisjonens opprinnelige forslag til ny personvernforordning definerte barn som personer under 18 år, se Kommisjonens forslag til artikkel 4 nr. 18, men definisjonen gjenfinnes ikke i den vedtatte forordningen. Departementet antar at en person ikke lenger er et barn i forordningens forstand når vedkommende har fylt 18 år. Dette er i overensstemmelse med utgangspunktet i FNs konvensjon 20. november 1989 om barnets rettigheter artikkel 1 som gjelder som norsk rett, jf. menneskerettsloven § 2 nr. 4.

Artikkel 6 nr. 1 bokstav f fastsetter at det skal tas særlig hensyn til om den registrerte er et barn ved fastleggelsen av om vilkårene i dette behandlingsgrunnlaget er oppfylt. Artikkel 8 er en egen bestemmelse om barns samtykke i forbindelse med informasjonssamfunnstjenester som omtales nærmere under. I artikkel 12 nr. 1 er det fastsatt at den behandlingsansvarlige skal treffe egnede tiltak for å fremlegge for den registrerte informasjon og kommunikasjon om behandlingen på en kortfattet, åpen, forståelig og lett tilgjengelig måte og på et klart og enkelt språk, især når det gjelder informasjon som spesifikt er rettet mot et barn. Artikkel 40 nr. 2 bokstav g fastslår at sammenslutninger og andre organer som representerer kategorier av behandlingsansvarlige eller databehandlere kan utarbeide atferdsnormer om informasjonen som gis til barn, og vern av barn, samt måten samtykke fra de personer som har foreldreansvar for barn, innhentes på. Artikkel 57 nr. 1 bokstav b fastslår at Datatilsynet i sitt arbeid skal vie særlig oppmerksomhet til aktiviteter rettet spesielt mot barn.

Behandling av barns personopplysninger er også vist til en rekke steder i fortalen. Fortalepunkt 38 fastslår at barns personopplysninger på generelt grunnlag fortjener et særlig vern, ettersom barn kan være mindre bevisst på aktuelle risikoer, konsekvenser og garantier samt på de rettigheter de har når det gjelder behandling av personopplysninger. Videre bestemmer fortalepunkt 38 at et slikt vern særlig bør få anvendelse på bruk av barns personopplysninger for markedsføringsformål eller for å opprette personlighets- eller brukerprofiler, samt på innsamling av personopplysninger om barn når de bruker tjenester som tilbys direkte til barn. I samme fortalepunkt gis det uttrykk for at samtykke fra den som har foreldreansvaret ikke bør være nødvendig i forbindelse med forebyggings- eller rådgivningstjenester som tilbys direkte til barn. Fortalepunkt 58 slår fast at all informasjon og kommunikasjon, dersom behandlingen gjelder barn, bør være formulert på et klart og enkelt språk som barnet lett kan forstå, jf. artikkel 12. Fortalepunkt 65 slår fast at retten til å få slettet sine personopplysninger (på nærmere bestemte vilkår) er særlig relevant når den registrerte har gitt sitt samtykke som barn og ikke har fullstendig kjennskap til risikoene forbundet med behandlingen, og senere ønsker å fjerne slike personopplysninger, særlig på internett. Fortalepunkt 71 gir uttrykk for at barn ikke bør være gjenstand for automatiserte avgjørelser, jf. artikkel 22. Videre er barn omtalt som en sårbar gruppe av registrerte i fortalepunkt 75.

13.2.2 Særlig om barns samtykke ved informasjonssamfunnstjenester

Forordningen artikkel 8 nr. 1 bestemmer at barn må være minst 16 år for at samtykke skal kunne utgjøre behandlingsgrunnlag når informasjonssamfunnstjenester tilbys direkte til et barn. Dersom barnet er under 16 år, er behandlingen lovlig bare dersom og i den utstrekning samtykke er gitt eller godkjent av den som har foreldreansvar for barnet. Etter artikkel 8 nr. 1 kan medlemsstatene ved lov likevel fastsette en lavere aldersgrense enn 16 år, forutsatt at den ikke er lavere enn 13 år.

Begrepet «informasjonssamfunnstjenester» er definert i forordningen artikkel 4 nr. 25 som en tjeneste som definert i artikkel 1 nr. 1 bokstav b i europaparlaments- og rådsdirektiv (EU) 2015/1535. Direktivet foreligger ikke i norsk oversettelse. Artikkel 1 nr. 1 bokstav b i europaparlaments- og rådsdirektiv (EU) 2015/1535 lyder i dansk språkversjon slik:

««tjeneste»: enhver tjeneste i informationssamfundet, dvs. enhver tjeneste, der normalt ydes mod betaling, og som teleformidles ad elektronisk vej på individuel anmodning fra en tjenestemodtager.

Med henblik på denne definition forstås ved:

i) «teleformidling»: at en tjeneste ydes, uden at parterne er til stede samtidig

ii) «ad elektronisk vej»: at en tjeneste fra afsendelsesstedet sendes og på bestemmelsesstedet modtages ved hjælp af elektronisk databehandlingsudstyr (herunder digital komprimering) og datalagringsudstyr, og som udelukkende sendes, rutes og modtages via tråd, radio, optiske midler eller andre elektromagnetiske midler

iii) «på individuel anmodning fra en tjenestemodtager»: at en tjeneste ydes ved transmission af data på individuel anmodning.»

I den norske oversettelsen av e-handelsdirektivet 2001/31/EF heter det blant annet at definisjonen av informasjonssamfunnstjenester «omfatter enhver tjeneste som ytes, vanligvis mot vederlag, over avstand ved bruk av elektronisk utstyr for behandling (herunder digital komprimering) og lagring av data, på individuell anmodning fra en tjenestemottaker» (fortalepunkt 17). Definisjonen er ytterligere utypet i fortalepunkt 18, hvor det blant annet heter: «Informasjonssamfunnstjenester er ikke begrenset utelukkende til tjenester som fører til direktekoplet kontraktsinngåelse, men i den grad de utgjør en form for økonomisk virksomhet omfatter de også tjenester der vederlaget ikke ytes av dem som mottar dem, for eksempel tjenester som går ut på å tilby direktekoplet informasjon eller direktekoplede kommersielle meddelelser, eller som leverer verktøy for søking etter, tilgang til og gjenfinning av data.»

Departementet legger på denne bakgrunn til grunn at definisjonen blant annet vil omfatte sosiale medier.

Artikkel 8 nr. 2 bestemmer at den behandlingsansvarlige skal treffe rimelige tiltak for å kontrollere at samtykke er gitt eller godkjent av den som har foreldreansvar for barnet, idet det tas hensyn til tilgjengelig teknologi.

Det er presisert i artikkel 8 nr. 3 at artikkel 8 nr. 1 ikke påvirker medlemsstatenes alminnelige avtalerett, for eksempel reglene for gyldigheten, utformingen eller virkningen av en avtale som gjelder et barn.

13.3 Forslaget i høringsnotatet

Departementet fremholdt i høringsnotatet at departementet, med unntak av artikkel 8, ikke kunne se at forordningen åpner for å fastsette nasjonale regler om behandling av barns personopplysninger med et helt generelt virkeområde. Departementet kom dermed til at forordningen ikke åpner for å videreføre den någjeldende bestemmelsen i personopplysningsloven § 11 tredje ledd.

Det ble foreslått at det i norsk rett bør fastsettes at aldersgrensen etter artikkel 8 nr. 1 skal være 13 år. Departementet foreslo å fastsette aldersgrensen ved lov.

13.4 Høringsinstansenes syn

13.4.1 Generelt om behandling av barns personopplysninger

Forbrukerrådet peker på at barn og ungdom utgjør en særlig sårbar gruppe som har behov for et sterkt personvern. De er aktive i sosiale medier og kan følgelig spores og utsettes for et massivt markedsføringspress. Høringsinstansen mener personvernforordningen inneholder en rekke sentrale bestemmelser som tar sikte på å beskytte barn mot å foreta handlinger de ikke ser konsekvensene av.

Datatilsynet er enig med departementet i at bestemmelsen i gjeldende personopplysningslov ikke kan videreføres i sin nåværende form. Høringsinstansen ber likevel departementet vurdere om bestemmelsen kan videreføres i en annen form, for eksempel som en spesifikk begrensning for behandling av særlige kategorier av personopplysninger etter artikkel 9 nr. 4. Redd Barna etterlyser særlig virkemidler for å bedre beskytte barn mot foreldres skadelige eksponering av barn, ettersom § 11 ikke vil videreføres i ny lov. Høringsinstansen peker på at de gjennom arbeid med barnevern og sosiale medier, og generelt informasjonsarbeid med nettvett, har dokumentert at barn uttrykker et behov for bedre vern mot foreldre som tar valg i sosiale medier som kan være i konflikt med barnets beste. Også Barneombudet mener det er en beklagelig konsekvens av dette at personopplysningsloven § 11 tredje ledd ikke kan videreføres i ny lov, på tross av at bestemmelsen til nå har vært sovende. Høringsinstansen understreker at situasjonen etter mai 2018 vil kreve at myndighetene iverksetter andre mekanismer for å beskytte barn, særlig fordi forordningen ikke gir Datatilsynet kompetanse til å gripe inn i saker som tidligere ble rammet av § 11 tredje ledd.

Redd Barna mener at det er positivt at det understrekes i et fortalepunkt at samtykke fra den som har foreldreansvaret ikke bør være nødvendig i forbindelse med forebyggings- eller rådgivningstjenester. Høringsinstansen mener imidlertid det er viktig å klargjøre hvilke tjenester som vil kunne omfattes av dette, og at det må utarbeides klare og tydelige retningslinjer for ivaretakelse av barns personvern i disse tjenestene.

Den nasjonale forskningsetiske komité for samfunnsvitenskap og humaniora mener barns samtykke ikke er tilstrekkelig behandlet i høringsnotatet. Høringsinstansen peker på at barn har en selvstendig rett til å bli hørt, også om deltakelse i forskning.

13.4.2 Om samtykke til behandling av personopplysninger i forbindelse med informasjonssamfunnstjenester

Advokatforeningen mener at høringsnotatet gir en svak begrunnelse for å fravike forordningens utgangspunkt om 16 år. Høringsinstansen peker på at gjennomgangstonen i samfunnsdebatten er at foreldre bør ha et aktivt forhold til barns bruk av informasjonssamfunnstjenester, og da særlig sosiale medier. Høringsinstansen mener det vil være langt enklere for foreldre å sikre involvering dersom deres samtykke er nødvendig for å opprette profiler på eksempelvis sosiale medier. Advokatforeningen uttaler blant annet følgende:

«Samlet sett mener Advokatforeningen at bransjen for informasjonssamfunnstjenester ikke har utviklet tilstrekkelige verktøy og prosesser til å gi denne informasjonen på en god måte. Slik praksis er i bransjen per i dag, mener Advokatforeningen at et barn på 13 år ikke kan forventes å forstå behandlingsformene, eller hvilken betydning de kan få for barnet. Advokatforeningen mener derfor det vil være en bedre løsning om aldersgrensen settes høyere, samtidig som departementet og Datatilsynet jobber i internasjonale forua for at bransjen forbedrer verktøy og prosesser for å gi tilfredsstillende informasjon om behandlingsformer. Når og hvis dette arbeidet lykkes, kan departementet på ny vurdere om aldersgrensen kan senkes.»

Etter Forbrukerrådets mening bør aldersgrensen være høyere, og i stedet settes til 16 år. Universitetssykehuset Nord-Norge HF mener også at 13 år er en for lav aldersgrense og viser til at regelen omfatter noe mer enn «nettsamfunn» som Facebook og Snapchat, det kan også være tjenester for e-handel og nedlasting av filmer. KS mener også at en 13 års aldersgrense er for lavt. Høringsinstansen peker i tillegg på at det er et moment at dette vil være en aldersgrense som kommer på toppen av øvrige aldersgrenser som gjelder i norsk lovgivning. KS mener at 15 år er en mer passende aldersgrense.

Forbrukerombudet anbefaler at aldersgrensen for å samtykke til behandling av personopplysninger i forslag til ny personopplysningslov settes til 16 år, i overensstemmelse med artikkel 8 i personvernforordningen. Også Vestfold fylkeskommune foreslår en slik aldersgrense.

Redd Barna støtter høringsnotatets forslag om å fastsette aldersgrense for barns samtykke (uten foreldrenes samtykke) til behandling av personopplysninger ved informasjonssamfunnstjenester til 13 år. Også Barneombudet støtter departementets forslag til en aldersgrense på 13 år for når et barns samtykke (uten foreldrenes samtykke) skal kunne utgjøre behandlingsgrunnlag ved tilbud av informasjonssamfunnstjenester direkte til et barn. Høringsinstansen understreker likevel at dette ikke må gjelde utlevering av sensitive personopplysninger.

Brækhus Advokatfirma DA stiller seg også bak forslaget om å sette aldersgrensen for barns samtykkekompetanse til 13 år. Høringsinstansen er enig med departementet i at spørsmålet ikke gjelder samtykke til behandling av sensitive opplysninger etter forordningen artikkel 9 nr. 2 bokstav a, men kun andre personopplysninger etter forordningen artikkel 6 nr. 1 bokstav a. Høringsinstansen poengterer imidlertid viktigheten av å skape en bevisstgjøring rundt personvern for barn i den omtalte aldersgruppen. Ansvaret for slik bevisstgjøring, må etter høringsinstansens syn hvile på barnets foreldre som en del av det alminnelige foreldreansvaret og andre offentlige instanser, herunder skolen, og ikke ved en restriktiv lovgivning.

Medietilsynet støtter forslaget om en 13 års aldersgrense. Slik tilsynet ser det, taler hensynet til barns medbestemmelsesrett i barnelova § 31, barns rett til ytringsfrihet og informasjonstilgang i barnekonvensjonen artikkel 13 og retten til å si sin mening etter konvensjonens artikkel 12, for en 13-årsgrense når det gjelder barns samtykkekompetanse ved informasjonssamfunnstjenester. Også Datatilsynet støtter forslaget om en 13 års aldersgrense og peker på at dette er i tråd med Datatilsynets praksis. Norsk rikskringkasting påpeker at en aldersgrense på 13 år i størst grad vil ivareta hensynet til barns informasjons- og ytringsfrihet og barns medbestemmelsesrett, og at en aldersgrense på 13 år også er best i samsvar med gjeldende praksis.

Juristforbundet mener at reglene for barns samtykke og grensen for samtykke til bruk av informasjonssamfunnstjenester burde ha vært utredet nærmere av departementet, jf. artikkel 8 nr. 1. Juristforbundet stiller spørsmål ved om det vil være realistisk å gjennomføre en annen aldersgrense enn 13 år. Høringsinstansen peker på at det også er denne grensen Sverige og Danmark foreslår.

Helse Stavanger HF peker på at det heller bør satses på opplæring av bruk av medier enn å høyne aldersgrensen til for eksempel 16 år. Forbrukerombudet mener at det bør tilføyes eksplisitt i loven at aldersgrensen ikke gjelder for samtykke til behandling av sensitive personopplysninger. Ved å klargjøre dette i lovteksten, kan man unngå tvilstilfeller hos næringsdrivende, som ellers kunne resultere i at barns sensitive personopplysninger kan komme på avveie og misbrukes. Også Universitetssykehuset Nord-Norge HF mener at en presisering om dette bør tas inn i den nye personopplysningsloven.

Kirkerådet viser til at religiøs myndighetsalder i Norge er 15 år, jf. kirkeloven § 3 nr. 6. Høringsinstansen påpeker at manglende samtykkekompetanse for behandling av sensitive personopplysninger kan bli problematisk ved deltakelse ved kirkelige aktiviteter som innebærer behandling av sensitive personopplysninger. Det vises til at etter at et barn er fylt 15 år, skal det fritt kunne bestemme hvilke kirkelige aktiviteter det deltar på i kraft av å være religiøst myndig.

13.5 Departementets vurdering

Å legge til rette for at barn skal settes i stand til å opptre på en trygg og ansvarlig måte på nett, samt å sikre rettslige rammer som beskytter barn i en digital hverdag, er etter departementets syn en viktig oppgave for myndighetene. Ved fastsettelse av regler som skal gjelde barns handlinger på nett, må det sees hen både til barns rett til selvbestemmelse og barns beskyttelsesbehov. Opplærings- og informasjonstiltak er også en sentral del av en ansvarlig politikk på dette området.

I tråd med det som ble skissert i høringsnotatet, foreslår departementet ikke en videreføring av § 11 i gjeldende personopplysningslov. Departementet kan ikke se at forordningen åpner for en slik generell regel om behandling av barns personopplysninger. Departementet har likevel merket seg at det kan oppstå særlige spørsmål knyttet til foreldres bruk av barns personopplysninger på en uforsvarlig måte. Flere av høringsinstansene har pekt på uheldige konsekvenser av at § 11 ikke videreføres, herunder Barneombudet og Redd Barna. Etter departementets syn gir ikke forordningen Datatilsynet en klar hjemmel til å gripe inn i tilfeller der foreldrene for eksempel publiserer opplysninger om barnet på internett basert på et samtykke foreldrene selv har avgitt på barnets vegne, slik personopplysningsloven § 11 tredje ledd gjør i dag. Hvorvidt Datatilsynet etter forordningen vil kunne gripe inn i en sak der foreldre på en uforsvarlig måte behandler barns opplysninger, må etter departementets syn vurderes konkret i det enkelte tilfellet. Dersom det viser seg at de alminnelige regler som gir rammene for foreldres samtykke til å behandle barns personopplysninger, sett i sammenheng med forordningens alminnelige regler, ikke ivaretar hensynet til barna i stor nok grad, kan det etter departementets syn vurderes om det bør foretas endringer i dagens regler i vergemålsloven og barneloven om kompetanse til å samtykke til behandling av personopplysninger om barn.

Etter departementets syn må utgangspunktet etter forordningen være at nasjonale regler om når barn kan samtykke til behandling av personopplysninger, fortsatt skal gjelde. I forordningen artikkel 8 fastsettes det imidlertid en særlig grense for barns samtykke i forbindelse med informasjonssamfunnstjenester. Etter forordningen artikkel 8 settes aldersgrensen til 16 år, men forordningen åpner for at det i nasjonal rett fastsettes en lavere aldersgrense, forutsatt at den ikke er lavere enn 13 år. I vurderingen av hvilken aldersgrense som skal fastsettes, må det tas hensyn til barnets behov for beskyttelse og veiledning, samt barnets selvbestemmelsesrett.

Høringsinstansene er delte i synet på hvilken aldersgrense som bør fastsettes. Advokatforeningen, Forbrukerombudet, Forbrukerrådet, Universitetssykehuset i Nord-Norge HF og Vestfold fylkeskommune mener det ikke bør settes en lavere aldergrense enn 16 år. KS mener aldersgrensen bør være 15 år. Redd Barna, Barneombudet, Brækhus Advokatfirma DA, Datatilsynet, Norsk rikskringkasting og Medietilsynet mener derimot aldersgrensen bør settes til 13 år. Etter departementets vurdering ivaretar en aldersgrense på 13 år i størst grad hensynet til barnets selvbestemmelsesrett, i tillegg til at en slik regel viderefører dagens praksis på området. Datatilsynet praktiserer i dag en regel om at barn på 13 år selv kan samtykke til slike tjenester. Medietilsynet fremholder i høringen at hensynet til barns medbestemmelsesrett i barnelova § 31, barns rett til ytringsfrihet og informasjonstilgang i barnekonvensjonen artikkel 13 og retten til å si sin mening etter konvensjonens artikkel 12, taler for en 13-årsgrense.

Slik flere av høringsinstansene, blant annet Brækhus Advokatfirma DA, også er inne på, er det etter departementets syn viktig at barn gis kunnskap og veiledning til å håndtere egne personopplysninger på nett. Det følger av artikkel 57 nr. 1 bokstav b at Datatilsynet i sitt arbeid skal «fremme allmennhetens kjennskap til og forståelse for risikoer, regler, garantier og rettigheter i forbindelse med behandling.» I denne sammenheng skal tilsynet i henhold til samme bestemmelse vie særlig oppmerksomhet til aktiviteter rettet spesielt mot barn.

Departementet vil også peke på at det kan virke mot sin hensikt å sette en aldersgrense som er kunstig høy sammenlignet med hvem som reelt sett benytter for eksempel sosiale medier, da dette kan spille inn på hvilke brukergrupper behandlingsansvarlige må tilpasse sine tjenester til. Forordningen stiller krav om at informasjon skal være lett tilgjengelig og tilpasset brukergruppene for ulike tjenester, noe tilsynsmyndigheten også kan etterprøve.

Flere av høringsinstansene etterspør en klargjøring av hvilken aldersgrense som vil gjelde ved behandling av særlige kategorier av personopplysninger. Artikkel 8 nr. 1 henviser kun til artikkel 6 nr. 1, og ikke til artikkel 9, som inneholder nærmere regler om samtykke til behandling av særlige kategorier personopplysninger. Det oppstår derfor spørsmål om aldersgrensen i artikkel 8 og adgangen til å fastsette en lavere aldersgrense i nasjonal rett også gjelder for samtykke til behandling av særlige kategorier personopplysninger, jf. forordningen artikkel 9 nr. 2 bokstav a. Departementet legger til grunn at bestemmelsene i artikkel 8 må forstås slik at den ikke gjelder samtykke til behandling av særlige kategorier personopplysninger, jf. artikkel 9 nr. 2 bokstav a. Barns adgang til å samtykke til behandling av særlige kategorier av personopplysninger må altså vurderes etter de alminnelige reglene, jf. punkt 13.1 over om vergemålsloven og barnelova.

14 Ytrings- og informasjonsfrihet

14.1 Gjeldende rett

Etter personopplysningsloven § 7 er lovens anvendelsesområde begrenset når det gjelder «behandling av personopplysninger utelukkende for kunstneriske, litterære eller journalistiske formål». For slik behandling gjelder bare §§ 13 til 15 (informasjonssikkerhet, internkontroll og databehandlerens rådighet over personopplysninger) og §§ 36 til 41 (kameraovervåking), samt kapittel VIII om tilsyn og sanksjoner. Bestemmelsen har til formål å hindre at personopplysningsvernet i for stor grad griper inn i ytringsfriheten, og gjennomfører 95-direktivet artikkel 9.

Begrepet «journalistiske formål» er ikke begrenset til profesjonell journalistikk. Unntaket omfatter enhver behandling av personopplysninger med utelukkende journalistiske formål, og det er en konkret vurdering av hensikten med og arten av behandlingen som er avgjørende. Bestemmelsen ble endret ved lov 20. april 2012 nr. 18 med sikte på en viss innsnevring av unntaket for journalistiske formål slik dette ble praktisert, jf. Prop. 47 L (2011–2012) punkt 4 side 10 flg. Etter lovendringen er det klargjort at det verken er nødvendig eller tilstrekkelig at behandlingen representerer en opinionsdannende ytring, jf. Prop. 47 L (2011–2012) punkt 4.6 side 13.

Unntaksregelen i personopplysningsloven § 7 gjelder bare dersom personopplysningene «utelukkende» behandles for kunstneriske, litterære eller journalistiske formål. Loven kommer derfor til anvendelse på vanlig måte når behandlingen delvis har andre formål, for eksempel reklame for varer og tjenester. Datatilsynet har kompetanse til å prøve i det enkelte tilfelle om unntaksregelen kommer til anvendelse, jf. Prop. 47 L (2011–2012) punkt 4.6 side 13.

14.2 Forordningen

Etter forordningen artikkel 85 skal medlemsstatene «ved lov bringe retten til vern av personopplysninger i henhold til denne forordning i samsvar med retten til ytrings- og informasjonsfrihet, herunder behandling som finner sted i journalistisk øyemed eller med henblikk på akademiske, kunstneriske eller litterære ytringer». Medlemsstatene skal etter artikkel 85 nr. 2 gjøre unntak så langt det er nødvendig fra kapittel II (prinsipper), kapittel III (den registrertes rettigheter), kapittel IV (behandlingsansvarlig og databehandler), kapittel V (overføring av personopplysninger til tredjestater eller internasjonale organisasjoner), kapittel VI (uavhengige tilsynsmyndigheter), kapittel VII (samarbeid og ensartet anvendelse) og kapittel IX (særlige behandlingssituasjoner). Forordningen pålegger ikke på tilsvarende måte at det gjøres unntak fra de alminnelige bestemmelsene (kapittel I), reglene om rettsmidler, ansvar og sanksjoner (kapittel VIII), reglene om delegerte rettsakter og gjennomføringsrettsakter (kapittel X) eller sluttbestemmelsene (kapittel XI).

Forordningen artikkel 85 svarer i det vesentlige til 95-direktivet artikkel 9, men det er visse ulikheter. For det første nevner forordningen – i motsetning til direktivet – også «akademiske» ytringer. Det er noe uklart hvilken rekkevidde unntaksregelen har på dette punktet. Uklarheten gjelder dels den nærmere forståelsen av «akademiske», og dels hva som skal til for at behandling av personopplysninger kan anses å være «med henblikk på» slike ytringer. I forbindelse med det sistnevnte kan det pekes på at det må trekkes en grense mot behandling av personopplysninger i forbindelse med forskning, selv om resultatene av forskningen eventuelt skal publiseres, og behandlingen derfor kan sies å foranledige en akademisk ytring. At forordningen skal gjelde for forskning er slått fast i fortalepunkt 159 og 160, jf. også 156, og adgangen til å gjøre unntak fra forordningens regler for behandling av personopplysninger i forbindelse med forskning er regulert i forordningen artikkel 89. Ettersom det ikke skal gjøres unntak fra personopplysningsvernet i større grad enn det som er nødvendig av hensyn til ytrings- og informasjonsfriheten, jf. artikkel 85 nr. 2 og fortalepunkt 153, vil rekkevidden av unntaksregelen måtte bero på hvilke krav reglene om ytrings- og informasjonsfrihet stiller, jf. Grunnloven § 100 og EMK artikkel 10. Den nærmere rekkevidden av unntaket for akademisk ytringsfrihet må få sin avklaring gjennom praksis. Når det gjelder journalistiske formål, fremgår det av fortalepunkt 153 at begrepet skal tolkes bredt. Det er imidlertid ingen holdepunkter for at begrepet har en videre betydning i forordningen enn etter gjeldende rett. Også «kunstneriske» og «litterære» ytringer må antas å svare til 95-direktivet artikkel 9 og gjeldende personopplysningslov § 7.

For det andre fremgår det ikke av ordlyden i forordningen artikkel 85 at det bare er behandling av personopplysninger som utelukkende forfølger et av de nevnte formålene som skal omfattes av unntaksregelen, slik det gjør i 95-direktivet artikkel 9 og personopplysningsloven § 7. Det følger imidlertid av fortalepunkt 153 at det skal fastsettes unntak for behandling som «utelukkende finner sted i journalistisk øyemed eller med henblikk på akademiske, kunstneriske eller litterære ytringer» (uthevet her). Det er derfor neppe grunn til å anta at forordningen artikkel 85 medfører noen endring på dette punktet.

14.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet å videreføre gjeldende rett slik at behandling av personopplysninger for kunstneriske, litterære og journalistiske formål er unntatt fra størsteparten av forordningens regler. Videre foreslo departementet at det gjøres tilsvarende unntak for akademiske ytringer.

Departementet la til grunn at det på samme måte som etter gjeldende rett bør angis i loven hvilke regler det gjøres unntak fra av hensyn til ytrings- og informasjonsfriheten, fremfor at unntaksbestemmelsen er «åpen» og gir anvisning på en nærmere vurdering. Videre mente departementet at forordningen – på samme måte som 95-direktivet – ikke gjør det nødvendig å innta en generell henvisning til ytrings- og informasjonsfriheten i lovteksten, og at det verken er nødvendig eller hensiktsmessig å innta i lovteksten den proporsjonalitetsvurderingen forordningen gir anvisning på.

Når det gjaldt hvilke av forordningens regler som skal gjelde i de nevnte behandlingssituasjonene, foreslo departementet å videreføre reglene som i dag er gitt anvendelse etter personopplysningsloven § 7 så langt forordningen har tilsvarende bestemmelser. Departementet gikk derfor inn for at forordningens regler om informasjonssikkerhet i artikkel 32 gis anvendelse som en videreføring av personopplysningsloven § 13. Videre foreslo departementet at forordningen artikkel 24 om databehandlerens ansvar for å gjennomføre tekniske og organisatoriske tiltak gis anvendelse som en videreføring av reglene om internkontroll i personopplysningsloven § 14. I forlengelsen av dette ble det foreslått at også forordningen artikkel 26 om ansvarsfordelingen mellom felles behandlingsansvarlige skal komme til anvendelse.

Departementet gikk videre inn for at også reglene om atferdsnormer og sertifisering i artikkel 40 til 42 gis anvendelse, med utgangspunkt i at det følger av artikkel 24 nr. 3 og 32 nr. 3 at tilslutning til godkjente atferdsnormer etter artikkel 40 eller godkjente sertifiseringsmekanismer etter artikkel 42 bidrar til å dokumentere at kravene i bestemmelsene er oppfylt. Det ble vist til at tilslutning til atferdsnormer eller sertifiseringsmekanismer er frivillig, og vil i mange tilfeller kunne lette oppfyllelsen av de kravene som stilles i artikkel 24 og 32. Departementet viste videre til at reglene i gjeldende personopplysningslov § 15 første ledd, om databehandlerens rådighet over personopplysninger, har sitt motstykke dels i forordningen artikkel 28 og dels i artikkel 29, og foreslo at også disse bestemmelsene gis anvendelse.

Endelig foreslo departementet at reglene om tilsyn og sanksjoner gis anvendelse i samme utstrekning som lovens materielle regler, på tilsvarende måte som etter gjeldende rett. Departementet understreket at Datatilsynet kun vil kunne føre tilsyn med overholdelsen av de reglene som er gitt anvendelse, og at tilgangen til opplysninger hos databehandlere vil være begrenset tilsvarende, samt at sanksjonsreglene kun vil gjelde for brudd på de materielle reglene som gis anvendelse.

14.4 Høringsinstansenes syn

En rekke høringsinstanser uttaler seg om den foreslåtte unntaksbestemmelsens virkeområde. Norsk Presseforbund, Norsk Redaktørforening og Norsk Journalistlag (felles høringsuttalelse), TV 2 AS og Norsk rikskringkasting mener at virkeområdet ikke bør være begrenset til behandling som skjer «utelukkende» for journalistiske formål. Norsk Presseforbund, Norsk Redaktørforening og Norsk Journalistlag uttaler:

«Vår erfaring er at kravet om «utelukkende» journalistiske formål ikke har selvstendig betydning, det er grensen for hva som er journalistikk som er vurderingstemaet her. Derimot kan den forstås som at det skal gjøres en vurdering av den faktiske bruken av opplysningene, noe som strider både med formålet med unntaket og prinsippet om informasjonsfrihet. Driver man først med journalistisk virksomhet skal man ha tilgang til opplysninger uten å måtte oppgi hva de skal brukes til.»

Datatilsynet uttaler at det er utfordrende å ta stilling til om behandlingen skjer utelukkende for journalistiske, litterære eller kunstneriske formål:

«Datatilsynets erfaring er at tolkningen av hvorvidt en behandling av personopplysninger skjer for utelukkende journalistiske, litterære eller kunstneriske formål, i praksis er svært utfordrende. Forarbeidene til dagens personopplysningslov § 7 sier at i denne vurderingen er arten av og hensikten med ytringen avgjørende. Siden det ikke gjelder noen formkrav for hva som skal anses som en journalistisk, litterær eller kunstnerisk ytring, og det heller ikke bør gjøre det, er det imidlertid vanskelig å vurdere ytringens art. Videre er det er krevende, om ikke umulig, for Datatilsynet å fastslå for eksempel hvilken hensikt en enkeltpersons ytring på internett har. Det er heller ikke lett å avgjøre hvorvidt enkeltpersoner som ytrer seg på nett gjør det med et utelukkende journalistisk formål, eller om vedkommende gjennom omtalen samtidig ønsker å sanksjonere personen som omtales.»

Administrasjonen i De nasjonale forskningsetiske komiteene mener at akademiske ytringer ikke kan avgrenses mot forskning:

«Begrepet er videre fordi det må omfatte alle de lovfestede forpliktelsene til akademiske institusjoner, det vil si både forskning, undervisning og formidling, i tillegg til vitenskapelig forskning med sikte på formidling til et offentlig publikum. Begrepet kan på ingen måte begrenses til vitenskapelig publisering. Vitenskapelig publisering regnes allerede i dag av Datatilsynet som en «litterær ytring» som er unntatt gjeldende regelverk. Dersom «akademiske ytringer» kun skal tolkes som vitenskapelige publikasjoner, vil dette ikke føre til noen reell utvidelse av unntaket. Dette kan umulig ha vært intensjonen fra EUs side.»

Norsk senter for forskningsdata uttaler at grensen mellom forskning og akademiske ytringer er vanskelig å trekke:

«Det kan være vanskelig å trekke en skarp grense mellom bruk av personopplysninger med henblikk på akademiske ytringer, og behandling av personopplysninger i forskningsøyemed. Følgelig er det også uklart hvilken rekkevidde unntaket for akademiske ytringer i lovforslaget § 3 vil ha. Vi vil anta at unntaket handler om å beskytte den akademiske ytringsfriheten og de akademiske arbeidsmetodene, kanskje særlig innenfor kvalitativ forskning.»

Graveteamet på rusfeltet mener at ordlyden «opinionsdannende ytringer» bør tas inn igjen i loven, og uttaler:

«Graveteamet mener det var feil å fjerne unntaket for opinionsdannende ytringer, og at dette må inn i loven igjen, evt. i en noe annen form, dersom loven skal være i samsvar med grunnleggende demokratiske rettigheter. For å unngå at unntaket som fantes før lovendringen forsøkes brukt i forhold til salg av varer og tjenester, som i departementets eksempel i høringsnotatet, kan man spesifisere at unntaket gjelder politiske ytringer dersom det tas inn igjen.»

Høringsinstansene er delt i synet på om bestemmelsen bør gi anvisning på en konkret nødvendighets- eller proporsjonalitetsvurdering. Norsk Presseforbund, Norsk Redaktørforening og Norsk Journalistlag støtter forslaget i høringsnotatet om at unntaksregelen ikke bør gi anvisning på en konkret vurdering:

«Vi støtter at det angis hvilke regler det skal gjøres unntak fra av hensyn til ytrings- og informasjonsfriheten, fremfor at unntaksbestemmelsen er «åpen», slik departementet foreslår i punkt 28 (3) jf. lovutkastet § 3. En bestemmelse der dette hengis til en konkret vurdering i hvert enkelt tilfelle, kan bli vanskelig å praktisere og gi grunnlag for ulik praksis. Tilsvarende støtter vi at det ikke angis den proporsjonalitetsvurderingen som skal foretas mellom hensynet til personvern og hensynet til ytrings- og informasjonsfriheten, i selve lovteksten, men at dette understrekes i forarbeidene til bestemmelsen.»

Forbrukerrådet og Datatilsynet mener at det bør inntas en nødvendighetsvurdering i lovteksten. Forbrukerrådet mener at forordningen artikkel 85 forutsetter at det skal gjøres en konkret vurdering:

«Forbrukerrådet stiller spørsmål om en slik lovregulering kan sies å oppfylle de krav som er fastsatt i art. 85. I den sammenheng finner vi grunn til å understreke at reglene departementet foreslår unntatt på generelt grunnlag er svært sentrale personvernbestemmelser som bør komme til anvendelse så sant de ikke strider mot ytringsfriheten.»

Datatilsynet uttaler at det bør vurderes om det er mulig og hensiktsmessig å innta en nødvendighetsvurdering i lovforslaget, blant annet fordi bestemmelsen ellers kan føre til at det gjøres unntak i for stor grad:

«Datatilsynets erfaring med den eksisterende, tilsvarende unntaksregelen i personopplysningsloven § 7 tilsier at unnlatelsen av henvisning til proporsjonalitetsregelen har gjort det vanskeligere å anvende regelen. Regelen fremstår som mekanisk og kategorisk, noe som undertiden kan resultere i et uforholdsmessig unntak fra retten til privatliv og personvern.»

Datatilsynet uttaler videre at en manglende nødvendighetsvurdering i lovteksten kan føre til at virkeområdet ikke kan tolkes tilstrekkelig vidt, og at en nødvendighetsvurdering i de fleste saker neppe vil føre til endret praksis:

«Følgelig er Datatilsynet av den oppfatning av en henvisning til nødvendighetsvurderingen vil være positivt for ytrings- og informasjonsfriheten fordi det kan tillate Datatilsynet en praksis der «journalistisk», «akademisk», «litterært» og «kunstnerisk» tolkes tilstrekkelig vidt. Dersom anvendelse av unntaksregelen er uforholdsmessig, vil selve nødvendighetsvurderingen i lovteksten garantere at de registrertes rettigheter varetas i tilstrekkelig grad.

Datatilsynet understreker at en henvisning til nødvendighetsprinsippet i de fleste saker neppe vil medføre en praksisendring, siden behandling av personopplysninger som skjer for utelukkende journalistiske, akademiske, litterære og kunstneriske formål som hovedregel vil være vernet av ytrings- og informasjonsfriheten.»

Universitetet i Oslo uttaler at det bør inntas en generell henvisning til ytringsfriheten og en proporsjonalitetsvurdering i lovteksten:

«På dette punktet er vi ikke enig i departementets hensiktsmessighetsvurdering. De vurderingene som det vises til (Prop. 47 L (2011–2012) og Ot.prp. nr. 92 (1998–99)) drøfter ikke de muligheter for behandling av personopplysninger som dagens teknologi åpner for, herunder eksempelvis internett-søkemotorer, sosiale medier og stordata-produkter som tilbys på markedet av private aktører.»

Få høringsinstanser uttaler seg om hvilke av forordningens bestemmelser som bør gis anvendelse. Direktoratet for forvaltning og IKT reiser spørsmål om også forordningens regler om varsling av tilsynsmyndigheten og den registrerte ved brudd på personopplysningssikkerheten, bør gjelde. Graveteamet på rusfeltet mener at de bestemmelsene som er foreslått å gjelde, er mer omfattende og åpne for tolkninger enn dagens regler, og uttaler blant annet:

«Eksempelvis foreskriver artikkel 24 at det skal «tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene av varierende sannsynlighets- og alvorlighetsgrad for fysiske personers rettigheter og friheter» og at «den behandlingsansvarlige [skal] gjennomføre egnede tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen utføres i samsvar med denne forordning».

Ordlyden i overnevnte artikkel synes som en utvidelse i forhold til gjeldende rett da den registrertes rettigheter og forordningen som sådan er nevnt.

[…]

Vi kan ikke se at noen av de foreslåtte artiklene eller kapitlene bør gjelde for journalistisk eller opinionsdannende politisk virksomhet. Man risikerer å åpne Pandoras eske der man idag har en enkel og oversiktlig ordning. Forordningens språk fremstår videre som om det kommer fra en annen rettskultur – det hele er fremmedgjørende og langt mindre tilgjengelig for allmenheten enn den nåværende personopplysningsloven. Dette synes vi er uheldig.»

Norsk rikskringkasting gir uttrykk for at det bare er klare brudd på de aktuelle bestemmelsene som bør kunne sanksjoneres.

Norsk Presseforbund, Norsk Redaktørforening og Norsk Journalistlag (felles høringsuttalelse), Norsk rikskringkasting og TV 2 AS uttaler at det vil stride mot kildevernet dersom Datatilsynet og Personvernnemnda gis rett til tilgang til lokaler eller opplysninger. Norsk rikskringkasting uttaler:

«Etter forordningen og det foreslåtte lovutkastet vil Datatilsynet og Personvernnemnda ha rett til tilgang til alle opplysninger og lokaler som er nødvendig for å utføre deres kontrolloppgaver. Etter lovutkastet § 3 er behandling av personopplysninger utelukkende for journalistiske formål unntatt de fleste av forordningens bestemmelser. Reglene om sikkerhetstiltak, den behandlingsansvarliges ansvar, mv. gjelder imidlertid også opplysninger som behandles for journalistiske formål. Disse bestemmelsene faller inn under Datatilsynets og Personvernnemndas tilsynsansvar, og i den forbindelse vil det etter lovens ordlyd kunne kreves tilgang til medienes opplysninger og lokaler.

En slik unntaksfri rett til tilgangen til opplysninger og lokaler er ikke forenelig med kildevernet. Det bes derfor primært om at det gjøres unntak i loven begrunnet i kildevernet. Det antas at dette kan gjøres med hjemmel i forordningens artikkel 85 om at det skal gjøres unntak fra kapittel VI så langt det er nødvendig av hensyn til ytrings- og informasjonsfriheten, eventuelt med hjemmel i artikkel 90 nr. 1. Alternativt bes det om at det presiseres i forarbeidene at reglene ikke får anvendelse i den grad det vil stride mot kildevernet.»

Graveteamet på rusfeltet uttaler:

«Kapittel 6 og 7 i forordningen gir den registrerte rett til å klage og foreskriver omfattende tilsyn. Det betyr tilsynelatende at redaksjonell virksomhet kan påklages av alle som granskes, noe vi er urolige for vil gi ytterligere adgang til å kaldstille nødvendige demokratiske ytringer.»

14.5 Departementets vurdering

Retten til ytrings- og informasjonsfrihet og retten til personvern er begge grunnleggende rettigheter, og rettighetene må balanseres mot hverandre. Fastsetting av regler om forholdet mellom ytrings- og informasjonsfriheten og retten til personvern reiser en rekke kompliserte spørsmål. Høringen har også vist at det er delte meninger om hvordan ytrings- og informasjonsfriheten bør være regulert i personopplysningsloven. Etter departementets syn bør det på dette punktet ikke foretas vesentlige endringer i gjeldende rett uten en nærmere utredning av de spørsmålene som oppstår. Det vises til punkt 2.3 om de generelle rammene for lovforslaget i denne proposisjonen.

Departementet foreslår derfor at gjeldende rett videreføres inntil videre, slik at det gjøres unntak for størsteparten av forordningens regler ved behandling utelukkende for journalistiske, kunstneriske og litterære formål, se forslaget § 3. Dette innebærer at det på samme måte som etter gjeldende rett angis i lovteksten hvilke bestemmelser som gjelder, og at dette ikke beror på en nødvendighets- eller proporsjonalitetsvurdering i det enkelte tilfelle.

I tråd med forordningen artikkel 85 må det etter departementets syn gjøres unntak i samme utstrekning for akademiske ytringer. Rekkevidden av bestemmelsen må på dette punktet tolkes på samme måte som forordningen og følgelig avklares gjennom praksis. Departementet er ikke enig med Administrasjonen i De nasjonale forskningsetiske komiteene i at det ikke må trekkes en grense mellom akademiske ytringer og behandling for forskningsformål. Det vises til punkt 14.2 over om tolkningen av akademiske ytringer.

De reglene som i dag gjelder for behandling for kunstneriske, litterære eller journalistiske formål, er reglene om informasjonssikkerhet, internkontroll, databehandlerens rådighet over personopplysninger og kameraovervåking, samt reglene om tilsyn og sanksjoner så langt lovens materielle bestemmelser gjelder. Departementet foreslår at reglene videreføres så langt forordningen eller den nye personopplysningsloven har tilsvarende bestemmelser.

Den foreslåtte bestemmelsen gir videre tilsyns- og sanksjonsbestemmelsene anvendelse i samme utstrekning som de materielle bestemmelsene. Dette er en videreføring av gjeldende rett. På bakgrunn av høringen finner departementet grunn til å bemerke at Datatilsynets tilsynskompetanse, herunder adgangen til å få tilgang til opplysninger og lokaler mv., i alle tilfelle må utøves i tråd med de menneskerettslige skrankene for inngrep i ytrings- og informasjonsfriheten. Slik er det også etter gjeldende rett. Datatilsynet har ikke anledning til å føre tilsyn på en måte som strider mot kildevernet etter Grunnloven eller EMK. Etter departementets oppfatning er det ikke nødvendig å presisere dette i lovteksten.

15 Offentlighet og innsyn

15.1 Gjeldende rett

Personopplysningsloven § 6 første ledd slår fast at loven ikke begrenser innsynsrett etter offentleglova, forvaltningsloven eller annen lovbestemt rett til innsyn i personopplysninger. Så langt annen lovgivning gir innsynsrett i personopplysninger, er det dermed etter gjeldende rett ikke nødvendig å ta stilling til om personopplysningslovens vilkår for behandling av personopplysningene er oppfylt.

Den praktiske betydningen av bestemmelsen er begrenset, ettersom utlevering av opplysninger på bakgrunn av en lovfestet adgang til dette, uavhengig av § 6 første ledd, vil være i tråd med lovens generelle vilkår for behandling, jf. personopplysningsloven § 8 første ledd andre alternativ og § 9 første ledd bokstav b. Bestemmelsen ble innført «for helt å avskjære mulig tvil om forholdet til offentlighets- og forvaltningsloven eller annen lovgivning som gir rett til innsyn», se Ot.prp. nr. 92 (1998–99) punkt 12.5 side 85.

Etter personopplysningsloven § 6 annet ledd har den behandlingsansvarlige plikt til å veilede den som ber om innsyn etter personopplysningsloven om annen lovbestemt innsynsrett som gir tilgang til flere opplysninger enn det personopplysningsloven gjør.

15.2 Forordningen

I forordningen er det, i motsetning til i direktivet, uttrykkelig regulert hvordan reglene om personopplysningsvern forholder seg til nasjonale regler om innsyn i offentlige dokumenter. Etter forordningen artikkel 86 kan personopplysninger utleveres etter nasjonale regler om allmennoffentlighet, og det er tilstrekkelig at utleveringen er «i samsvar med» de nasjonale reglene. Ettersom artikkel 86 ikke stiller andre krav til utleveringen av personopplysningene enn at den er «i samsvar med» reglene om allmennoffentlighet, går forordningen på dette punktet noe lenger i retning av offentlighet enn unntaksregelen i dagens lov. Mens unntaksregelen i personopplysningsloven § 6 første ledd kun gjelder ved innsynsrett etter offentleglova, omfatter unntaket i forordningen artikkel 86 også de tilfellene der offentleglova bare gir adgang, og ikke plikt, til å gi innsyn, jf. offentleglova § 11 om meroffentlighet.

Forholdet til reglene om partsinnsyn i forvaltningssaker og andre nasjonale innsynsregler er derimot ikke uttrykkelig regulert i forordningen. Når innsynsretten er lovfestet, vil det være adgang til behandling i tråd med forordningens alminnelige regler, jf. artikkel 6 nr. 1 bokstav c og e, jf. nr. 3, artikkel 9 nr. 2 bokstav g og artikkel 10.

15.3 Forslaget i høringsnotatet

Det ble i høringsnotatet vist til at departementet anså det som overflødig å lovfeste en ytterligere presisering av at forordningen ikke er til hinder for innsyn etter offentleglova, siden forordningen artikkel 86 avklarer forholdet til offentleglova, og forordningen vedtas som norsk lov. Det ble på denne bakgrunn ikke foreslått noen lovregulering av forholdet til offentleglova tilsvarende gjeldende personopplysningslov § 6 første ledd.

Også når det gjaldt forholdet til innsynsrett etter forvaltningsloven og annen lov, anså departementet det som unødvendig å videreføre særreguleringen i gjeldende personopplysningslov § 6. Det ble vist til at lovfestet innsynsrett åpner for behandling i tråd med forordningens alminnelige regler, jf. artikkel 6 nr. 1 bokstav c og e, jf. nr. 3 og artikkel 9 nr. 2 bokstav g, og at en slik lovbestemmelse dermed blir uten praktisk betydning. Det ble videre fremholdt at innsyn etter annen lov også i en viss utstrekning kan omfattes av forordningen artikkel 86, for eksempel miljøinformasjonslovens regler om rett til miljøinformasjon hos offentlige organer.

15.4 Høringsinstansenes syn

Arbeidsgiverforeningen Spekter mener at den styrkede sikring av personopplysninger som regelverket i personsopplysningslovgivningen nå legger opp til, ikke er forenlig med offentleglovas regler om utlevering av personopplysninger, slik som for eksempel lønnsopplysninger og søkerlister. Høringsinstansen peker på at det er et motsetningsforhold mellom hensynene offentleglova skal ivareta og hensynet til skjermingen av personopplysninger, som personvernregelverket er utviklet for å styrke. Høringsinstansen mener derfor det kan være grunn til å se nærmere på offentleglovas krav på dette området.

Statnett SF mener at den styrkede sikring av personopplysninger som regelverket i personsopplysningslovgivningen nå legger opp til, utfordrer offentleglovas regler hva gjelder utlevering av for eksempel personopplysninger, slik som lønnsopplysninger og søkerlister. Statnett SF mener at offentleglova bidrar til å undergrave skjermingen av personopplysninger som personvernregelverket er utviklet for å styrke og peker på at dette bør bli fulgt opp videre.

Datatilsynet mener det ikke kan legges ukritisk til grunn at offentleglova er forenlig med personopplysningsvern, slik det beskrives i artikkel 86. Datatilsynet peker på at offentleglova ikke har vært gjenstand for en systematisk vurdering med tanke på personopplysningsvern, slik dette vernet har utviklet seg til å bli en moderne og selvstendig rettighet.

Flere høringsinstanser ønsker at dagens regulering av forholdet til offentleglova og forvaltningsloven beholdes i personopplysningsloven. Både Direktoratet for forvaltning og IKT, Forbrukerrådet, Graveteamet på rusfeltet, Statens lånekasse for utdanning og Norsk Arkivråd mener den nye personopplysningsloven bør klargjøre forholdet til offentleglova og forvaltningsloven, tilsvarende dagens personopplysningslov § 6 første ledd.

Norsk Presseforbund, Norsk Redaktørforening og Norsk Journalistlag (felles høringsuttalelse) mener det bør presiseres i forarbeidene hvordan artikkel 86 skal forstås, både det at «offisielle dokumenter» betyr alle dokumenter som er omfattet av offentleglova, og at artikkel 86 innebærer at personopplysningsloven ikke begrenser innsynsrett etter offentleglova, forvaltningsloven eller annen lovbestemt rett til innsyn i personopplysninger. Også Norsk rikskringkasting og TV 2 AS ber om at det presiseres i forarbeidene at dokumentbegrepet etter artikkel 86 er sammenfallende med offentleglovas dokumentbegrep, slik at det ikke er tvil om at alle dokumenter hos det offentlige omfattes og at dokumentbegrepet ikke innsnevres.

Politidirektoratet peker på at det vil kunne oppstå situasjoner hvor et dokument kan unntas fra innsyn etter forvaltningsloven, men hvor den registrerte samtidig kan ha rett til innsyn i opplysningene etter ny personopplysningslov. Høringsinstansen ser et behov for en nærmere avklaring av forholdet mellom de to regelsettene på dette punktet.

Direktoratet for forvaltning og IKT ber departementet vurdere om det bør gis en eksplisitt hjemmel for publisering av offentlige elektroniske postjournaler.

15.5 Departementets vurdering

Både retten til innsyn i offentlige dokumenter og retten til privatliv har etter norsk rett et særskilt vern som menneskerettigheter beskyttet av Grunnloven. Det å finne en passende balanse mellom disse to rettighetene er derfor etter departementets syn svært viktig. Departementet viser til at det følger av forordningen artikkel 86 at personopplysninger i offentlige dokumenter som en offentlig myndighet er i besittelse av for å utføre en oppgave i allmennhetens interesse, kan utleveres av myndigheten eller organet i samsvar med medlemsstatenes nasjonale rett som den offentlige myndigheten er underlagt, for å bringe allmennhetens rett til innsyn i offentlige dokumenter i samsvar med retten til vern av personopplysninger i henhold til forordningen. Dette utdypes nærmere i fortalepunkt 154, der det blant annet fremgår følgende:

«Personopplysninger i dokumenter som oppbevares av en offentlig myndighet eller et offentlig organ, bør kunne offentliggjøres av nevnte myndighet eller organ dersom dette er fastsatt i unionsretten eller medlemsstatenes nasjonale rett som den offentlige myndigheten eller det offentlige organet er underlagt. Nevnte lovbestemmelser bør bringe allmennhetens rett til innsyn i offentlige dokumenter og viderebruk av informasjon fra offentlig sektor i samsvar med retten til vern av personopplysninger, og kan derfor inneholde bestemmelser om det nødvendige samsvaret med retten til vern av personopplysninger i henhold til denne forordning. Offentlige myndigheter og organer bør i denne forbindelse omfatte alle myndigheter eller andre organer som omfattes av medlemsstatenes nasjonale rett om dokumentinnsyn.»

Departementet bemerker at formuleringen i forordningen på dette punktet skiller seg klart fra fortalepunkt 72 til direktiv 95/46/EF om forholdet til innsynsrett i offentlige dokumenter. Det følger av direktiv 95/46/EF fortalepunkt 72 at:

«Dette direktiv gir mulighet for at det ved gjennomføring av direktivets bestemmelser kan tas hensyn til prinsippet om innsyn i offentlige dokumenter»

Flere høringsinstanser ønsker at dagens regulering av forholdet til offentleglova og forvaltningsloven beholdes i personopplysningsloven. Det er etter departementets syn ikke behov for en nærmere regulering av forholdet mellom personopplysningsloven og andre lover som gir allmennheten rett på innsyn. Artikkel 86 åpner nettopp for at innsyn kan gis på grunnlag av for eksempel offentleglova. Norsk rikskringkasting og TV 2 AS ber videre om at det presiseres i forarbeidene at dokumentbegrepet etter artikkel 86 er sammenfallende med offentleglovas dokumentbegrep, slik at det ikke er tvil om at alle dokumenter hos det offentlige omfattes og at dokumentbegrepet ikke innsnevres. I norsk rett vil nasjonalt rettslig grunnlag for utlevering blant annet kunne følge av offentleglovas regler. Det vil da være dokumentbegrepet i offentleglova som blir avgjørende for hvilke dokumenter det kan gis innsyn i etter norsk rett.

Arbeidsgiverforeningen Spekter peker på at det er et motsetningsforhold mellom kravene til offentlighet som følger av offentleglova og hensynene bak personopplysningslovens regler. Statnett SF kommer med synspunkter i samme retning og påpeker at offentleglova bidrar til å undergrave skjermingen av personopplysninger som personvernregelverket er utviklet for å styrke. Datatilsynet peker på at offentleglova ikke har vært gjenstand for en systematisk vurdering med tanke på personopplysningsvern, slik dette vernet har utviklet seg til å bli en moderne og selvstendig rettighet. Departementet er enig i at retten til innsyn i offentlige dokumenter og retten til privatliv kan stå i et motsetningsforhold og at disse rettighetene, som nevnt overfor, må balanseres mot hverandre. Departementet peker i den forbindelse på at det følger av forarbeidene til offentleglova at hensynet til personvern er vurdert ved fastsettelse av lovens regler, se Ot.prp. nr. 102 (2004–2005) punkt 3.4.1 side 25–26, der følgende fremgår:

«Innsynsretten må for det første vegast mot omsynet til ulike private interesser, særleg omsynet til personvern, vern om privatlivets fred og vern av økonomiske interesser. Norsk forvaltning er tufta på ein tradisjon om at styresmaktane skal utøve oppgåvene på ein omsynsfull måte overfor borgarane. Ein del opplysningar som styresmaktene sit inne med, bør med tanke på personane dei gjeld, ikkje bli gjort kjende for andre. Slike omsyn blir i dag ivaretekne gjennom reglane i forvaltningslova § 13 om teieplikt for personlege forhold og for visse opplysningar om næringsdrift. I tillegg inneheld offentleglova fleire føresegner som er gitt for å verne om private interesser, slik som unntaket for dokument i tilsetjingssaker, unntaket for melding, rapport og andre dokument om lovbrot, unntaket for personbilete som er inntekne i personregister og unntaket for dokument som inneheld opplysningar innhenta ved vedvarande eller regelmessig personovervaking.»

Forholdet mellom offentleglova og personopplysningsloven vil imidlertid bli nærmere vurdert i sammenheng med arbeidet med evaluering av offentleglova. I denne sammenheng vil også høringsuttalelsene om dette temaet bli vurdert.

Det er etter departementets syn heller ikke behov for en særlig regulering av innsynsrett etter andre lover. Departementet bemerker at når innsynsretten er lovfestet, vil være adgang til behandling i tråd med forordningens alminnelige regler, jf. artikkel 6 nr. 1 bokstav c og e, jf. nr. 3 og artikkel 9 nr. 2 bokstav g og artikkel 10. I enkelte tilfeller vil retten til innsyn i egne personopplysninger etter forordningen kunne gå lenger enn retten til innsyn etter andre lover.

16 Behandlingsansvarlig og databehandler

16.1 Innledning

Etter personopplysningsloven § 2 nr. 4 er behandlingsansvarlig den som bestemmer formålet med behandlingen av personopplysninger og hvilke hjelpemidler som skal brukes. Den behandlingsansvarlige har ansvaret for at personopplysninger behandles i samsvar med personopplysningsloven og personopplysningsforskriften. Databehandler er den som behandler opplysninger på vegne av den behandlingsansvarlige, jf. § 2 nr. 5. Definisjonene av behandlingsansvarlig og databehandler videreføres i forordningen, jf. artikkel 4 nr. 7 og 8.

Forordningen kapittel IV har overskriften «Behandlingsansvarlig og databehandler» og inneholder en rekke til dels ulikeartede bestemmelser som særlig tar sikte på å sikre at behandlingen av personopplysninger foregår på en måte som sikrer et tilstrekkelig beskyttelsesnivå og at forordningens øvrige regler overholdes. Reglene har dels materiell og dels prosessuell karakter. Kapittelet har blant annet regler om internkontroll, innebygd personvern, bruk av databehandlere, representasjon for behandlingsansvarlige som ikke er etablert i EU/EØS, samarbeid med tilsynsmyndigheten, rapportering av brudd på personopplysningssikkerheten og protokollføring. Videre inneholder kapittelet bestemmelser om den behandlingsansvarliges plikt til å rådføre seg med tilsynsmyndigheten og treffe tiltak før det igangsettes behandlinger som kan innebære en høy risiko for personvernet, plikt for bestemte behandlingsansvarlige til å ha personvernombud og personvernombudets stilling og oppgaver, samt om atferdsnormer og sertifiseringsordninger på personvernområdet.

Reglene om personvernombud og forhåndsgodkjennelser (konsesjon) behandles særskilt i henholdsvis kapittel 17 og 12.

16.2 Internkontroll, innebygget personvern, personvern som standardinnstilling og felles behandlingsansvar

16.2.1 Gjeldende rett

Personopplysningsloven § 14 og personopplysningsforskriften kapittel 3 gir regler om internkontroll. Etter personopplysningsloven § 14 første ledd skal den behandlingsansvarlige «etablere og holde vedlike planlagte og systematiske tiltak som er nødvendige for å oppfylle kravene i eller i medhold av denne loven, herunder sikre personopplysningenes kvalitet». En rekke ulike tiltak kan være aktuelle i denne forbindelse, men en sentral del av internkontrollen vil ofte være å etablere rutiner for å oppfylle pliktene og rettighetene etter loven. Den behandlingsansvarlige skal dokumentere tiltakene, og dokumentasjonen skal være tilgjengelig for medarbeidere hos den behandlingsansvarlige og hos databehandleren, samt for Datatilsynet og Personvernnemnda, jf. § 14 annet ledd.

I henhold til forskriften § 3-1 første ledd skal tiltakene tilpasses virksomhetens art, aktiviteter og størrelse, og det skal legges særlig vekt på etterlevelsen av kravene til informasjonssikkerhet i personopplysningsloven § 13. Kravene om tiltak er konkretisert i forskriften § 3-1 annet ledd, som stiller krav om at den behandlingsansvarlige blant annet skal sørge for kjennskap til gjeldende regler og tilstrekkelig og oppdatert dokumentasjon for gjennomføring av rutiner. Tredje ledd bokstav a til f gir en ikke uttømmende oversikt over plikter og rettigheter den behandlingsansvarlige skal ha rutiner for, blant annet innhenting og kontroll av samtykke, vurdering av formål med behandling og oppfyllelse av begjæringen om innsyn og informasjon.

Personopplysningsloven og -forskriften har i dag ikke egne bestemmelser om delt behandlingsansvar. Det er likevel lagt til grunn at det er mulig å dele behandlingsansvaret mellom flere, noe som kan være praktisk når flere har ansvar for ulike deler av én og samme behandling.

16.2.2 Forordningen

Forordningen inneholder ingen bestemmelse som helt tilsvarer personopplysningsloven § 14 og de tilhørende forskriftsreglene. Artikkel 24 om den behandlingsansvarliges ansvar fastsetter imidlertid en nokså lik forpliktelse til å gjennomføre «egnede tekniske og organisatoriske tiltak», jf. artikkel 24 nr. 1. Tiltakene skal både «sikre» og «påvise» at behandlingen utføres i samsvar med forordningens regler. Det skal tas hensyn til «behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene av varierende sannsynlighets- og alvorlighetsgrad for fysiske personers rettigheter og friheter». Etter artikkel 24 nr. 2 skal tiltakene omfatte «iverksetting av egnede retningslinjer for vern av personopplysninger» dersom dette står i et rimelig forhold til behandlingsaktivitetene. Overholdelse av godkjente atferdsnormer eller sertifiseringsmekanismer kan brukes som en faktor for å påvise at forpliktelsene overholdes, jf. artikkel 24 nr. 3.

Plikten etter artikkel 24 må sees i sammenheng med andre regler som pålegger den behandlingsansvarlige å treffe egnede tekniske og organisatoriske tiltak, blant annet reglene om innebygd personvern og personvern som standardinnstilling, jf. artikkel 25. Personopplysningsloven og -forskriften har i dag ingen regler som tilsvarer forordningens bestemmelser om innebygget personvern eller personvern som standardinnstilling. Plikten til å sørge for innebygd personvern følger av artikkel 25 nr. 1, som bestemmer at den behandlingsansvarlige skal gjennomføre egnede tekniske og organisatoriske tiltak «både på tidspunktet for fastsettelse av midlene som skal brukes i forbindelse med behandlingen, og på tidspunktet for selve behandlingen». Kravet om tiltak allerede fra tidspunktet for fastsettelse av midlene som skal benyttes, innebærer at det ved utvikling av løsninger for behandling av personopplysninger må bygges inn personverntiltak fra begynnelsen av. Det skal tas hensyn til «den tekniske utviklingen, gjennomføringskostnadene, behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene av varierende sannsynlighets- og alvorlighetsgrad for fysiske personers rettigheter og friheter som behandlingen medfører». Pseudonymisering og dataminimering er nevnt som eksempler på tiltak. Pseudonymisering er i artikkel 4 nr. 5 definert som «behandling av personopplysninger på en slik måte at personopplysningene ikke lenger kan knyttes til en bestemt registrert uten bruk av tilleggsopplysninger, forutsatt at nevnte tilleggsopplysninger lagres atskilt og omfattes av tekniske og organisatoriske tiltak som sikrer at personopplysningene ikke kan knyttes til en identifisert eller identifiserbar fysisk person». Prinsippet om dataminimering følger av artikkel 5 nr. 1 bokstav c.

Personvern som standardinnstilling innebærer at den behandlingsansvarlige skal gjennomføre egnede tekniske og organisatoriske tiltak for å sikre at det «som standard» bare behandles personopplysninger som er nødvendige for hvert spesifikke formål. Forpliktelsen gjelder mengden personopplysninger, omfanget av behandling, lagringstid og tilgjengeligheten av personopplysningene. Det er særlig nevnt i artikkel 25 nr. 2 at tiltakene skal sikre at personopplysninger som standard ikke gjøres tilgjengelige for et ubegrenset antall personer uten den registrertes medvirkning.

Etter artikkel 25 nr. 3 kan en godkjent sertifiseringsmekanisme i henhold til artikkel 42 brukes som en faktor for å påvise at kravene til innebygget personvern og personvern som standardinnstilling er oppfylt.

Den behandlingsansvarlige eller den behandlingsansvarliges representant skal videre føre protokoll over behandlingsaktiviteter som utføres under deres ansvar, jf. forordningen artikkel 30 nr. 1. Dette er nye forpliktelser i forhold til gjeldende norsk rett. I artikkel 30 nr. 1 bokstav a til g er det listet opp hva den behandlingsansvarliges protokoll skal inneholde. Artikkel 30 nr. 2 fastsetter at også databehandleren eller dennes representant skal føre protokoll, og angir i bokstav a til d hva denne skal inneholde. Plikten til å føre protokoll gjelder som utgangspunkt ikke for foretak eller organisasjoner med færre enn 250 ansatte, jf. artikkel 30 nr. 5. Bestemmelsene kommer imidlertid til anvendelse også for slike foretak eller organisasjoner dersom behandlingen sannsynligvis vil medføre en risiko for «de registrertes rettigheter og friheter», behandlingen ikke bare skjer «leilighetsvis» eller dersom det behandles særlige kategorier av personopplysninger eller opplysninger om straffedommer og lovovertredelser nevnt i artikkel 10.

Etter forordningen artikkel 26 nr. 1 anses det å foreligge delt behandlingsansvar når to eller flere i fellesskap fastsetter formålene med og midlene for behandling av personopplysninger. De behandlingsansvarlige skal fastsette delingen av rettigheter og plikter etter forordningen ved hjelp av en ordning seg imellom. Dette gjelder likevel ikke dersom slik deling av ansvaret er fastsatt i unionsretten eller landenes nasjonale rett. Informasjon om det vesentlige innholdet i ordningen om deling av behandlingsansvaret skal gjøres tilgjengelig for de registrerte, jf. artikkel 26 nr. 2.

16.2.3 Forslaget i høringsnotatet

Departementet la i høringsnotatet til grunn at forordningen ikke åpner for å fastsette generelle nasjonale regler om internkontroll, innebygget personvern eller personvern som standardinnstilling.

Departementet la videre til grunn at det ikke synes hensiktsmessig med generelle nasjonale regler om ansvarsfordelingen mellom felles behandlingsansvarlige.

16.2.4 Høringsinstansenes syn

Politidirektoratet og Kripos uttaler at forordningens regler om internkontroll gir mindre forutberegnelighet enn etter gjeldende rett. Kripos uttaler:

«De generelle bestemmelsene som da vil regulere dette uttømmende, vil med stor sannsynlighet skape mindre forutberegnelighet for den behandlingsansvarlige – i alle fall i en overgangsfase til bransjenormer, standarder mv. er etablert. Dette kan videre være problematisk sett hen mot sanksjonsmidlene som foreslås gitt til Datatilsynet som kontrollmyndighet, med mindre disse brukes med varsomhet i denne perioden.»

IT-politisk råd i Den Norske Dataforening uttaler at det i mange tilfeller vil være positivt at den behandlingsansvarlige må dokumentere behandlingen av personopplysninger i større grad enn etter gjeldende rett, men at reglene om internkontroll er uklare:

«Det er vår vurdering at alle norske virksomheter, uavhengig av størrelse og antall ansatte, vil måtte føre protokoll over behandling av personopplysninger. Dette er siden unntakene i artikkel 30, som er ment å gi små og mellomstore virksomheter en mindre administrativ belastning, i realiteten er ubrukelige.

Generelt sett vil alle virksomheter etter forordningen måtte vurdere og dokumentere behandlingen av personopplysninger i større grad enn etter gjeldende rett. I mange tilfeller vil dette være positivt, da slike vurderinger vil kunne forhindre uforholdsmessig behandling av personopplysninger. Samtidig er det per nå svært uklart når det for eksempel må foretas en dokumentert risikovurdering, og hvilket omfang den da skal ha. Kravet i artikkel 5 (2) om at den behandlingsansvarlige må «påvise» at personvernprinsippene overholdes i virksomheten er etter vårt syn meget uklart, og skaper i praksis stor forvirring hos de virksomheter som ønsker å etterfølge forordningen på en god måte.»

Statens lånekasse for utdanning mener at det bør fremgå i personopplysningsloven at delt behandlingsansvar kan reguleres i nasjonale regler, og uttaler:

«Forordningen art 26 nr. 1 har regler om delt behandlingsansvar. I høringsutkastet er det lagt til grunn at det ikke er behov for regler om delt behandlingsansvar i ny personopplysningslov. Dersom behovet oppstår på konkrete områder kan dette reguleres i særlovgivningen. Lånekassen har delt behandlingsansvar med Statens innkrevingssentral i dag uten at dette er regulert direkte i utdanningsstøtteloven. Av pedagogiske grunner mener vi det bør fremkomme av ny personopplysningslov at det kan fastsettes nærmere i lov/forskrifter hvem som har delt behandlingsansvar.»

16.2.5 Departementets vurdering

Departementet har merket seg høringsinstansenes syn om at forordningens regler om internkontroll mv. kan skape uklarhet. Departementet legger imidlertid til grunn at forordningen ikke åpner for å presisere disse bestemmelsene i nasjonal rett. Reglene må i stedet avklares gjennom praksis.

Når det gjelder felles behandlingsansvar, er departementets oppfatning at det ikke synes å være hensiktsmessig med nærmere nasjonale bestemmelser om dette i den generelle personopplysningsloven. I den grad det er nødvendig på konkrete områder, kan slike spørsmål reguleres med mer spesifikke regler i særlovgivningen. Departementet anser det ikke som nødvendig å presisere i de nasjonale, supplerende bestemmelsene i ny personopplysningslov at det er adgang til å regulere spørsmålet i særlovgivningen, da dette følger direkte av forordningen artikkel 26 nr. 1.

16.3 Databehandler og databehandleravtaler

16.3.1 Gjeldende rett

Bruk av databehandlere er regulert i personopplysningsloven § 15. Av denne bestemmelsen følger at avtaler om bruk av databehandler skal gjøres skriftlig, og at databehandleren ikke kan behandle personopplysninger på annen måte enn det som fremgår av avtalen mellom databehandler og behandlingsansvarlig. Opplysningene kan heller ikke uten slik avtale overlates til noen andre for lagring eller bearbeidelse.

Databehandleren har etter personopplysningsloven § 13 en selvstendig plikt til å oppfylle kravene til tilfredsstillende informasjonssikkerhet og dokumentasjon av dette. Det følger videre av § 15 annet ledd at det skal fremgå av avtalen mellom behandlingsansvarlig og databehandler at databehandleren plikter å iverksette de sikringstiltakene som fremgår av personopplysningsloven § 13.

16.3.2 Forordningen

Databehandler er i forordningen artikkel 4 nr. 8 definert som «en fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ som behandler personopplysninger på vegne av den behandlingsansvarlige». Dette er en videreføring av gjeldende rett.

Forordningen fastsetter langt mer detaljerte regler om databehandlere enn gjeldende lov. Den mest sentrale bestemmelsen om databehandlere er artikkel 28. Artikkel 28 nr. 1 stiller krav om at den behandlingsansvarlige bare kan bruke databehandlere som gir tilstrekkelige garantier for at de vil gjennomføre egnede tekniske og organisatoriske tiltak som sikrer at behandlingen oppfyller kravene i forordningen og vern av den registrertes rettigheter. Etter artikkel 28 nr. 2 kan databehandleren ikke engasjere en annen databehandler uten tillatelse fra den behandlingsansvarlige.

Artikkel 28 nr. 3 stiller krav om at behandling som utføres av en databehandler, skal være underlagt en avtale eller et annet rettslig dokument i henhold til unionsretten eller nasjonal rett. Denne bestemmelsen er en videreføring av gjeldende lov § 15, men gir mer detaljerte regler. Avtalen skal fastsette gjenstanden for og varigheten av behandlingen, behandlingens art og formål, typen personopplysninger og kategorier av registrerte samt den behandlingsansvarliges rettigheter og plikter. I tillegg skal avtalen stille krav om det som fremgår av oppregningen i artikkel 28 nr. 3 bokstav a til h. Her er det blant annet slått fast at databehandleren bare skal behandle personopplysninger på dokumenterte instrukser fra den behandlingsansvarlige, med mindre nasjonal rett eller unionsretten pålegger behandling, jf. bokstav a. Av artikkel 28 nr. 3 bokstav g fremgår det at databehandleravtalen skal spesifisere at databehandleren, etter beslutning fra den behandlingsansvarlige, skal slette eller tilbakelevere personopplysninger når databehandleroppdraget er gjennomført. Også kopier av opplysninger skal slettes. Krav om sletting eller tilbakelevering gjelder likevel ikke dersom lagringsplikt er pålagt enten i unionsretten eller i nasjonal rett. Departementet er ikke kjent med regler om lagringsplikt som retter seg direkte mot databehandlere. Avtalen kan bygge helt eller delvis på en standardavtale i henhold til artikkel 28 nr. 6 til 8.

Artikkel 29 viderefører personopplysningsloven § 15 første ledd og slår fast at de som utfører oppdrag på vegne av den behandlingsansvarlige eller databehandleren, skal behandle personopplysninger bare etter instruks fra den behandlingsansvarlige. Bestemmelsen føyer til at dette gjelder for så vidt ikke noe annet følger av unionsretten eller nasjonal rett.

Ved siden av mer detaljerte regler om databehandleravtaler pålegger forordningen kapittel IV databehandleren flere selvstendige plikter enn etter gjeldende rett. Databehandleren har blant annet plikt til å protokollføre behandlingsaktiviteter, jf. artikkel 30 nr. 2, plikt til å samarbeide med tilsynsmyndigheten, jf. artikkel 31, og plikt til å underrette den behandlingsansvarlige om brudd på personopplysningssikkerheten, jf. artikkel 33 nr. 2. Videre har databehandlere på nærmere vilkår en selvstendig plikt til å utpeke personvernombud. På samme måte som etter gjeldende rett har databehandleren en selvstendig plikt til å overholde reglene om sikkerhet ved behandlingen, jf. artikkel 32.

16.3.3 Forslaget i høringsnotatet

Departementet la til grunn i høringsnotatet at forordningen artikkel 28 nr. 3 kan gi adgang til å fastsette nasjonale bestemmelser som nærmere regulerer forholdet mellom den behandlingsansvarlige og databehandleren samt databehandlerens plikter. Departementet la imidlertid til grunn at det ikke synes hensiktsmessig å gi generelle regler utover det som følger av forordningen artikkel 28.

16.3.4 Høringsinstansenes syn

Politidirektoratet og Kripos bemerker at det kan gjelde lagringsplikt som retter seg direkte mot databehandlere dersom en offentlig aktør underlagt arkivlovas regler er databehandler, og at det da vil kunne «stilles spørsmål om hvorvidt arkivlovens krav til arkivdannelse går foran sletteplikt etter en databehandleravtale.»

Helse Nord RHF er positiv til at forordningen innfører flere selvstendige plikter for databehandlere.

16.3.5 Departementets vurdering

Departementet foreslår ingen nasjonal særregulering av databehandlere og databehandleravtaler.

16.4 Sikkerhet ved behandlingen og underretning av tilsynsmyndigheten og den registrerte ved brudd på personopplysningssikkerheten

16.4.1 Gjeldende rett

Personopplysningsloven § 13 og -forskriften kapittel 2 regulerer sikring av personopplysninger. Etter personopplysningsloven § 13 første ledd skal den behandlingsansvarlige og databehandleren «gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet ved behandling av personopplysninger». Informasjonssystemet og informasjonssikkerhetstiltak skal dokumenteres, og dokumentasjonen skal være tilgjengelig for tilsynsmyndighetene, jf. § 13 annet ledd. Kravene til tilfredsstillende informasjonssikkerhet er utdypet i forskriften kapittel 2.

Etter personopplysningsforskriften § 2-6 tredje ledd skal Datatilsynet varsles ved sikkerhetsbrudd og bruk av informasjonssystem i strid med fastlagte rutiner dersom dette har ført til «uautorisert utlevering av personopplysninger hvor konfidensialitet er nødvendig». Derimot oppstiller verken personopplysningsloven eller forskriften plikt til å varsle den registrerte om brudd på sikkerheten.

Tilbydere av adgang til elektronisk kommunikasjonsnett eller -tjenester som omfattes av ekomloven, har plikt til å varsle abonnenter eller brukere ved særlig risiko for brudd på sikkerheten, sikkerhetsbrudd som har skadet eller ødelagt lagrede data, eller sikkerhetsbrudd som har «krenket personvernet» til abonnent eller bruker, jf. ekomloven § 2-7 annet ledd. Varsling i sistnevnte tilfelle er ikke nødvendig dersom tilbyderen dokumenterer overfor tilsynsmyndigheten (Nasjonal kommunikasjonsmyndighet) at det er gjennomført tilfredsstillende tekniske beskyttelsestiltak for dataene som er omfattet, jf. tredje ledd. Varsling av abonnent eller bruker må skje uten opphold og senest innen 24 timer. Tilsynsmyndigheten skal varsles straks ved særlig risiko for brudd på sikkerheten og ved sikkerhetsbrudd som har krenket personvernet, jf. fjerde ledd.

16.4.2 Forordningen

Forordningens regler om informasjonssikkerhet følger av artikkel 32. Bestemmelsen fastslår at både den behandlingsansvarlige og databehandleren plikter å «gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen», jf. artikkel 32 nr. 1. Eksempler på slike tiltak fremgår av bokstav a til d. En angivelse av sentrale elementer i risikovurderingen følger av artikkel 32 nr. 2. Overholdelse av godkjente atferdsnormer etter artikkel 40 eller en godkjent sertifiseringsmekanisme etter artikkel 42 kan brukes som en faktor for å påvise at kravene til informasjonssikkerhet er oppfylt, jf. artikkel 32 nr. 3. Etter artikkel 32 nr. 4 skal den behandlingsansvarlige og databehandleren sikre at enhver som handler på vegne av den behandlingsansvarlige eller databehandleren bare behandler opplysninger etter instruks fra den behandlingsansvarlige, med mindre unionsretten eller medlemsstatenes rett pålegger en plikt til behandling.

Forordningen artikkel 33 og 34 gir regler om varsling av henholdsvis tilsynsmyndigheten og den registrerte ved «brudd på personopplysningssikkerheten». Brudd på personopplysningssikkerheten er i artikkel 4 nr. 12 definert som «et brudd på sikkerheten som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, ulovlig spredning av eller tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet».

Etter artikkel 33 nr. 1 skal den behandlingsansvarlige melde brudd på personopplysningssikkerheten til tilsynsmyndigheten uten ugrunnet opphold etter å ha fått kjennskap til det, eller innen 72 timer når dette er mulig. Plikten gjelder ikke dersom bruddet sannsynligvis ikke vil medføre en risiko for fysiske personers rettigheter og friheter. Bestemmelsen innebærer en viss utvidelse av plikten til å varsle om brudd på sikkerheten sammenlignet med personopplysningsforskriften § 2-6 tredje ledd, ettersom det etter forordningen ikke er nødvendig at sikkerhetsbruddet har ført til noen utlevering av opplysninger. Forordningen stiller også mer utfyllende krav til meldingens innhold, jf. artikkel 33 nr. 3 bokstav a til d.

Databehandlere plikter ved brudd på personopplysningssikkerheten å varsle behandlingsansvarlig uten opphold, jf. artikkel 33 nr. 2. Den behandlingsansvarlige skal dokumentere ethvert brudd på personopplysningssikkerheten, herunder de faktiske forhold rundt bruddet, virkningene av det og hvilke tiltak som er truffet for å utbedre det, jf. artikkel 33 nr. 5.

Artikkel 34 fastsetter en plikt til å varsle også den registrerte om brudd på personopplysningssikkerheten. En slik regel finnes som nevnt ikke i gjeldende personopplysningslov. Varslingsplikten inntrer når det er «sannsynlig at bruddet på personopplysningssikkerheten vil medføre en høy risiko for fysiske personers rettigheter og friheter», jf. artikkel 34 nr. 1. Terskelen er dermed høyere enn for varsling av tilsynsmyndigheten. Kravene til innholdet i underretningen følger av artikkel 34 nr. 2.

Artikkel 34 nr. 3 fastsetter tre unntak fra plikten til å underrette den registrerte. Plikten gjelder for det første ikke dersom den behandlingsansvarlige har gjennomført sikkerhetstiltak og anvendt disse på personopplysningene som er rammet – særlig tiltak som gjør personopplysningene uleselige, slik som kryptering, jf. bokstav a. For det andre gjelder plikten ikke dersom den behandlingsansvarlige har truffet etterfølgende tiltak som «sikrer at det ikke lenger er sannsynlig at den høye risikoen for de registrertes rettigheter og friheter nevnt i nr. 1 vil oppstå», jf. bokstav b. Varsling er for det tredje ikke påkrevd dersom det krever «uforholdsmessig stor innsats», jf. bokstav c. I så fall skal allmennheten underrettes, eller det skal treffes et lignende tiltak som sikrer underretning av de registrerte på en like effektiv måte.

16.4.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet ingen nasjonale bestemmelser om sikkerhet ved behandlingen.

Departementet la videre til grunn at forordningen ikke åpner for at det fastsettes generelle nasjonale lovbestemmelser om varsling av tilsynsmyndigheten ved brudd på personopplysningssikkerheten utover forordningens regler. Det ble derfor ikke foreslått bestemmelser om dette.

Departementet la derimot til grunn at det er behov for å benytte adgangen etter forordningen artikkel 23 til å gjøre visse unntak fra plikten til å varsle den registrerte, med det formål å unngå at slikt varsel vil røpe opplysninger som det er av samfunnsmessig betydning å hemmeligholde og som etter lovutkastet § 13 er unntatt fra innsyns- og informasjonsretten. Det ble lagt til grunn at dette særlig gjelder i tilfeller der det er av vesentlig betydning at den registrerte ikke får kjennskap til at det behandles opplysninger om ham eller henne, for eksempel der dette er påkrevd å hemmeligholde av hensyn til etterforskningen av en straffbar handling. Videre pekte departementet på at også i tilfeller der den registrerte er kjent med at han eller hun er registrert, kan en nærmere beskrivelse av arten av bruddet på personopplysningssikkerheten, slik artikkel 34 nr. 2 krever, røpe opplysninger som bør hemmeligholdes av hensyn til rikets sikkerhet eller som må hemmeligholdes på grunnlag av en lovbestemt taushetsplikt.

Departementet foreslo på denne bakgrunn at plikten til underretning etter artikkel 34 ikke bør gjelde i den utstrekning slik underretning vil røpe opplysninger som er av betydning for Norges utenrikspolitiske interesser eller nasjonale forsvars- og sikkerhetsinteresser og som kan unntas offentlighet etter offentleglova §§ 20 og 21, opplysninger som det er påkrevd å hemmeligholde av hensyn til forebygging, etterforskning, avsløring og rettslig forfølgning av straffbare handlinger og opplysninger som det i lov eller medhold av lov gjelder taushetsplikt for. Det ble bedt om høringsinstansenes syn på om unntaksregelen bør være begrenset til de tilfeller der den registrerte ikke er kjent med at det behandles personopplysninger om ham eller henne.

16.4.4 Høringsinstansenes syn

Politidirektoratet uttaler at de gjeldende reglene gir en bedre tilnærming til informasjonssikkerhet enn forordningens mindre spesifikke regler:

«Etter Politidirektoratets vurdering gir gjeldende lov § 13 en bedre tilnærming til arbeidet med informasjonssikkerhet i og med at den blant annet tydeliggjør ledelsessystem for informasjonssikkerhet i større grad. Forordningens ikke-uttømmende opplisting av enkelte konkrete tiltak og ønskede tilstander fremstår som mindre dekkende enn dagens regler, noe som kan medføre risiko for at andre tiltak enn de opplistede blir lavere prioritert.»

Også Kripos peker på at forordningens skjønnsmessige regler kan føre til usikkerhet:

«Departementet konkluderer med at artikkel 32 ikke åpner for å fastsette generelle nasjonale bestemmelser om informasjonssikkerhet. Dette medfører at de mer detaljerte reglene i personopplysningsforskriften kapittel 2 må oppheves. På den ene siden vil dette kunne medføre at de til dels svært detaljerte kravene som stilles til informasjonssikkerhet kan skaleres til behandlingen av opplysninger. På den annen side vil det innebære en stor grad av usikkerhet knyttet til hvilke tiltak som er tilstrekkelig opp mot den generelle og svært skjønnsmessige bestemmelsen. Kripos bemerker at god veiledning som sikrer forutberegnelighet er viktig for å sikre en effektiv og god implementering av dette regelverket. Systemutvikling og nødvendige tilpasninger er som kjent svært ressurskrevende og riktige veivalg i prosessen er avgjørende. Dersom skjønnsmessige vurderinger er avhengig av hvilken saksbehandler som tar stilling til spørsmålet, vil dette kunne medføre høy risiko for den behandlingsansvarlige.»

Akademikerne og Den norske legeforening mener at informasjonssikkerhetsreglene kan være problematiske for fagforeningers behandling av opplysninger om fagforeningsmedlemskap, som omfattes av reglene for særlige kategorier av personopplysninger. Akademikerne uttaler:

«I lys av at fagforeningsmedlemskap anses som en sensitiv personopplysning både etter någjeldende og kommende personvernregler, er det nødvendig å behandle medlemsopplysninger og medlemskommunikasjon med høy grad av varsomhet. På den annen side kan ikke kategoriseringen være et absolutt hinder for å ivareta medlemmenes interesser. Fagforeninger må fungere i en arbeidshverdag hvor vurderinger knyttet til effektiv kommunikasjon, «interessekamp» og deling av adekvat og relevant informasjon må foretas i høyt tempo. Fortsatt balansering av hensynene til de registrerte og hensynet til virksomheten som registrerer, er dermed viktig også fremover.

[…]

Fallende organisasjonsgrad er allerede et problem for trepartssamarbeidet og den norske modellen. Et unødvendig komplisert regelverk risikerer å bidra til en ytterligere svekket organisasjonsgrad. Akademikerne forutsetter at forordningen gir grunnlag for at norske myndigheter avklarer spørsmålet på egnet måte slik at fagforeningene opplever at de følger en korrekt praksis.»

Den norske legeforening uttaler:

«Etter dagens regelverk har man lagt til grunn at sensitive personopplysninger, herunder fagforeningsmedlemskap, som sendes på e-post må krypteres. Dette innebærer i praksis at all kommunikasjon med medlemmet må krypteres, noe som må regnes å være uforholdsmessig tyngende og vanskeliggjøre arbeidet som fagforening. Vi forstår at det etter lovforslaget ikke legges opp til et absolutt krav om kryptering, da forskriftenes regler om dette ikke videreføres og det er dermed usikkert om de tilsvarende utfordringene vil gjøre seg gjeldende. Vi ber uansett departementet ta hensyn til det behovet fagforeninger har til en effektiv kommunikasjon og forvaltning av medlemsinteresser.»

Alle høringsinstansene som uttaler seg om spørsmålet, støtter de foreslåtte unntakene fra plikten til å varsle den registrerte. Disse er Utenriksdepartementet, Arbeids- og velferdsdirektoratet, Politidirektoratet, Tolldirektoratet, Brønnøysundregistrene, Kripos, Sør-Øst politidistrikt, Statens sivilrettsforvaltning, Norsk senter for forskningsdata og Finans Norge. Ingen av høringsinstansene mener at unntaket bør begrenses til de tilfellene der den registrerte ikke er kjent med at det behandles personopplysninger om ham eller henne. Utenriksdepartementet uttaler:

«Etter departementets syn er det et klart behov for å kunne unnta opplysninger som nevnt ovenfor. Med unntak av taushetsbelagte opplysninger, legger departementet til grunn at det skal foretas en vurdering både av forhold som taler for unntak og forhold som taler for å underrette den registrerte. Forslaget til unntaket i § 13 fjerde ledd støttes derfor.

Det antas at unntaket først og fremst vil få betydning i tilfeller der den registrerte ikke er kjent med at det behandles personopplysninger om ham eller henne. UD mener likevel at unntaket ikke bør begrenses til slike tilfeller.»

Arbeids- og velferdsdirektoratet og Norsk senter for forskningsdata mener at unntaket også bør omfatte de tilfellene der varsel kan røpe opplysninger som det må anses utilrådelig at den registrerte får kjennskap til av hensyn til vedkommendes helse eller forholdet til personer som står vedkommende nær. Arbeids- og velferdsdirektoratet mener videre at unntaket også bør omfatte opplysninger det vil være i strid med åpenbare og grunnleggende private eller offentlige interesser å informere om, og uttaler:

«Et varsel om avvik må som redegjort for ovenfor måtte inneholde noen av de opplysningene den registrerte ikke skal få informasjon eller innsyn i. For NAV sin del vil det være helseopplysninger det er utilrådelig at den registrerte får se. Et varsel om avvik, med de opplysningene den registrerte ikke bør se, vil kunne føre til at man kommer i situasjoner som man ønsker å unngå med unntaket i lovutkastet § 13 første ledd bokstav c.

Unntaket i forslagets § 13 første ledd bokstav e er en videreføring av nåværende personopplysningslov § 23 første ledd bokstav f. Unntaket er et generelt utformet og gir adgang til å gjøre unntak fra informasjonsplikten når åpenbare og grunnleggende private eller offentlige interesser tilsier det. Vilkårene for å gjøre unntak i medhold av denne bestemmelsen er strenge, jf. de kvalifiserte kravene som kommer til uttrykk i «åpenbare» og «grunnleggende». I forarbeidene til § 23 første ledd bokstav f, Ot.prp. nr. 92 (1998–99) side 52 til side 54, gis det eksempler på når bestemmelsen kan komme til anvendelse. Det er svært forskjellige alternativer uten noe indre sammenheng. Unntaket er ment for de tilfellene det er åpenbart riktig å unnta fra informasjonsplikt og innsyn, og hvor det det ikke var mulig å forutse dem på lovgivningstidspunktet. På grunn av bestemmelsenes strenge vilkår vil den unntaksvis komme til anvendelse. Der hvor det er aktuelt å bruke den vil det fremstå som nokså klart at den kan anvendes. Ved et slikt unntak bør det også være fritak fra å varsle den registrerte om avvik.»

16.4.5 Departementets vurdering

Artikkel 32 og 33 åpner ikke for å fastsette generelle nasjonale bestemmelser. Departementet foreslår derfor ingen nærmere bestemmelser om informasjonssikkerhet eller varsling av tilsynsmyndigheten ved brudd på personopplysningssikkerheten.

Når det gjelder varsling av den registrerte ved brudd på personopplysningssikkerheten, mener departementet at det er behov for å gjøre unntak i den utstrekning slik underretning vil røpe opplysninger som er av betydning for Norges utenrikspolitiske interesser eller nasjonale forsvars- og sikkerhetsinteresser og som kan unntas offentlighet etter offentleglova §§ 20 og 21, opplysninger som er det er påkrevd å hemmeligholde av hensyn til forebygging, etterforskning, avsløring og rettslig forfølgning av straffbare handlinger og opplysninger som i lov eller medhold av lov gjelder taushetsplikt for, se lovforslaget § 16 fjerde ledd. Etter departementets syn fremstår det ikke hensiktsmessig å begrense unntakene til tilfellene der den registrerte ikke er kjent med at det behandles personopplysninger om vedkommende.

Slik departementet vurderer det, er det på nåværende tidspunkt ikke tilstrekkelig holdepunkter for at det er praktisk behov for å gjøre unntak også i tilfellene omhandlet i § 16 første ledd bokstav c, altså der varsel vil røpe opplysninger som det må anses utilrådelig at den registrerte får kjennskap til av hensyn til vedkommendes helse eller forholdet til personer som står vedkommende nær. Videre mener departementet at det ikke er behov for at også sikkerhetsventilen i første ledd bokstav f skal gjelde tilsvarende. Det foreslås imidlertid at det kan fastsettes ytterligere unntak i forskrift dersom det viser seg å bli behov for det, se § 16 siste ledd.

16.5 Vurdering av personvernkonsekvenser og forhåndsdrøftinger med tilsynsmyndigheten

16.5.1 Gjeldende rett

Det gjeldende personvernregelverket inneholder ingen bestemmelser som pålegger behandlingsansvarlige en plikt til å gjøre en generell vurdering av personvernkonsekvenser før behandling iverksettes. Personopplysningsforskriften § 2-4 pålegger behandlingsansvarlige å foreta en risikovurdering for å kartlegge sannsynligheten for og konsekvensene av eventuelle sikkerhetsbrudd, men plikten er begrenset til informasjonssikkerhetsområdet. Vurdering av personvernkonsekvenser kan også være aktuelt i forbindelse med utredningen av statlige tiltak i tråd med utredningsinstruksen.

Gjeldende personopplysningslov oppstiller heller ingen plikt for den behandlingsansvarlige til å rådføre seg med Datatilsynet før behandling påbegynnes. Forhåndsdrøftinger vil imidlertid kunne skje ved søknad om konsesjon, som etter gjeldende rett i visse tilfeller er obligatorisk, eller med grunnlag i Datatilsynets veiledningsplikt etter forvaltningsloven § 11.

16.5.2 Forordningen

Forordningen artikkel 35 nr. 1 bestemmer at den behandlingsansvarlige på nærmere vilkår har plikt til å foreta en vurdering av personvernkonsekvenser før behandlingen begynner. Plikten inntrer når det er «sannsynlig at en type behandling, særlig ved bruk av ny teknologi og idet det tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i, vil medføre en høy risiko for fysiske personers rettigheter og friheter».

Artikkel 35 nr. 3 angir visse tilfeller der vurdering av personvernkonsekvenser «særlig» er nødvendig. Dette gjelder «systematiske og omfattende vurderinger av personlige aspekter ved fysiske personer» som er basert på automatisert behandling, herunder profilering, når vurderingene danner grunnlag for avgjørelser som har rettsvirkninger for den registrerte eller på lignende måte påvirker den registrerte i betydelig grad, jf. bokstav a, behandling i «stor skala» av særlige kategorier av personopplysninger eller opplysninger om straffedommer og lovovertredelser, jf. bokstav b, og «systematisk overvåking i stor skala» av et offentlig tilgjengelig område, jf. bokstav c. Etter artikkel 35 nr. 4 skal tilsynsmyndigheten utarbeide og offentliggjøre en liste over hvilke typer av behandling som krever vurdering av personvernkonsekvenser. Tilsynsmyndigheten kan også angi hvilke typer behandlinger som ikke krever slik vurdering, jf. artikkel 35 nr. 5.

Kravene til innholdet i vurderingen følger av artikkel 35 nr. 7 bokstav a til d. Vurderingen skal minst inneholde en systematisk beskrivelse av behandlingsaktivitetene og formålene med dem, en vurdering av om behandlingsaktivitetene er nødvendige og forholdsmessige, en vurdering av risikoen for de registrertes rettigheter og friheter og tiltakene for å håndtere risikoen. I vurderingen skal det tas hensyn til overholdelse av godkjente atferdsnormer, jf. artikkel 35 nr. 8. Etter artikkel 35 nr. 9 plikter den behandlingsansvarlige på nærmere vilkår å innhente synspunkter fra de registrerte eller deres representanter.

Artikkel 35 nr. 10 angir et unntak fra plikten til vurdering av personvernkonsekvenser for visse lovregulerte behandlinger. Etter denne bestemmelsen gjelder plikten ikke dersom behandlingen er lovregulert, jf. artikkel 6 nr. 1 bokstav c og e, det supplerende rettsgrunnlaget regulerer de spesifikke behandlingsaktivitetene og det allerede er gjort en generell konsekvensvurdering i forbindelse med vedtakelsen av det supplerende rettslige grunnlaget. Bestemmelsen åpner for at medlemsstatene kan fastsette i nasjonal rett at det likevel skal gjøres en konsekvensvurdering.

Dersom en vurdering av personvernkonsekvenser etter forordningen artikkel 35 tilsier at behandlingen «vil medføre en høy risiko dersom den behandlingsansvarlige ikke treffer tiltak for å redusere risikoen», plikter den behandlingsansvarlige å «rådføre seg» med tilsynsmyndigheten før behandling, jf. artikkel 36 nr. 1. Det følger av fortalepunkt 94 at plikten gjelder når «den behandlingsansvarlige mener at risikoen ikke kan reduseres ved hjelp av rimelige midler, idet det tas hensyn til tilgjengelig teknologi og gjennomføringskostnader».

Hvilken informasjon den behandlingsansvarlige skal fremlegge for tilsynsmyndigheten, følger av artikkel 36 nr. 3 bokstav a til h, og inkluderer blant annet formålene og midlene for den planlagte behandlingen og vurderingen av personvernkonsekvenser. Dersom tilsynsmyndigheten mener at den planlagte behandlingen vil være i strid med forordningen, skal tilsynsmyndigheten gi skriftlige råd, jf. artikkel 36 nr. 2. Tilsynsmyndigheten kan også utøve myndighet i samsvar med artikkel 58, for eksempel ved å vedta et forbud mot behandlingen eller pålegge vilkår for behandlingen. Skriftlige råd skal som hovedregel gis innen åtte uker fra anmodningen om forhåndsdrøftinger er mottatt. Fristen kan forlenges med seks uker ved komplekse behandlinger.

Etter artikkel 36 nr. 4 plikter medlemsstatene å rådføre seg med tilsynsmyndigheten ved utarbeiding av lover og forskrifter som er knyttet til behandling av personopplysninger.

16.5.3 Forslaget i høringsnotatet

Departementet reiste i høringsnotatet spørsmål om det i nasjonal rett bør pålegges en plikt til vurdering av personvernkonsekvenser også i de tilfeller som omfattes av unntaksregelen i artikkel 35 nr. 10. På bakgrunn av at dette unntaket bare kommer til anvendelse når det supplerende rettsgrunnlaget for behandlingen inneholder en spesifikk regulering av de ulike behandlingsaktivitetene, foreslo departementet ingen generell regel om konsekvensutredning i disse tilfellene.

Departementet viste videre til at forordningen artikkel 36 nr. 5 gir medlemstatene adgang til å fastsette ytterligere plikt til forhåndsdrøftinger dersom opplysningene behandles til utførelse av en oppgave i allmennhetens interesse. Det ble foreslått en forskriftshjemmel for nærmere regulering, med den begrunnelse at det er vanskelig å overskue hvordan plikten til forhåndsdrøfting vil utvikle seg, og om det er nødvendig å utvide plikten til å gjelde andre områder. Departementet viste også til at det kan bli nødvendig eller hensiktsmessig å presisere nærmere hvilke type behandlinger som krever forhåndsdrøftinger.

16.5.4 Høringsinstansenes syn

Høringsinstansene er delt i synet på om det bør pålegges en plikt til vurdering av personvernkonsekvenser også i de tilfellene som omfattes av unntaksregelen i forordningen artikkel 35 nr. 10. Arbeids- og velferdsdirektoratet, Politidirektoratet, Oslo kommune, Kripos, Folkehelseinstituttet og Finans Norge mener at det ikke bør fastsettes en slik plikt. Politidirektoratet uttaler:

«Unntaksregelen fremstår som svært snever og kommer kun til anvendelse for de tilfeller hvor behandlingsaktivitetene er spesifikt regulert i det rettslige grunnlaget. Etter direktoratets vurdering er det derfor ikke behov for konsekvensutredning i disse tilfellene.»

Finans Norge uttaler:

«Etter Finans Norges vurdering bør ikke unntaket som følger av artikkel 35 nr. 10 fjernes. For finansforetak, som er pålagt en rekke behandlinger av personopplysninger gjennom lovgivning, er dette unntaket svært viktig. Et praktisk eksempel er der finansforetak må innhente en rekke personopplysninger fra kunder for å ivareta sine forpliktelser etter hvitvaskingsloven. Vurderingen av personvernkonsekvenser i slike tilfeller må etter Finans Norges syn være en oppgave for lovgiver. Rekkevidden av unntaksregelen kan etter vår vurdering avklares gjennom dialog og veiledninger fra tilsynsmyndighetene all den tid dette vil være relativt standardiserte behandlinger.»

Datatilsynet og Brønnøysundregistrene mener at det bør fastsettes i nasjonal rett at unntaksregelen ikke gjelder. Brønnøysundregistrene peker på at den behandlingsansvarliges vurdering kan fange opp mer enn lovgivers vurdering, og uttaler:

«Brønnøysundregistrene mener at en konsekvensutredning i forbindelse med vedtakelsen av en lov, ikke nødvendigvis vil omfatte alle de vurderingene som en konsekvensutredning bør/skal inneholde. Systemtekniske behov, behov knyttet til sikkerhet og sikkerhetstiltak osv., vil det kunne være vanskelige å vurdere på et overordnet nivå. Lovgiver vil ikke alltid ha full oversikt over detaljene i den løsningen som skal lages, og hvilke konsekvenser løsningen får for personvernet. Disse vil som oftest den behandlingsansvarlige være den nærmeste til å vurdere.

Personvernkonsekvensutredning foretatt av den behandlingsansvarlige vil videre være grunnlagsmaterialet for å bygge personvern inn i løsningen, jf. kravet om innebygd personvern.

Endelig vil en slik personvernkonsekvensutredning også kunne avdekke et eventuelt behov for forhåndsdrøfting med Datatilsynet. Den behandlingsansvarlige vil kunne avdekke konkrete risikomomenter som lovgiver ikke hadde mulighet for å avdekke i sin vurdering.»

Datatilsynet mener at unntaksregelen i artikkel 35 nr. 10 kan føre til uklare grensedragninger, og at unntaksregelen kan bli misforstått av de behandlingsansvarlige:

«Den viktigste grunnen at det er behov for en slik bestemmelse er at man da vil unngå uklare grensedragningsspørsmål og misforståelser omkring bestemmelsens rekkevidde. Datatilsynet har i møter med virksomheter og sektororganisasjoner om forordningens betydning gjentatte ganger blitt møtt med holdninger som «forordningen unntar behandlingsansvarlige som behandler personopplysninger med hjemmel i lov fra plikten til å gjennomføre en vurdering av personvernkonsekvensen». Datatilsynet frykter at i mangel på en generell presisering om at plikten også gjelder behandlinger hjemlet i artikkel 6 nr. 1. bokstav c eller e, vil en slik utvidende forståelse av bestemmelsen feste seg.

En korrekt anvendelse av det snevre unntaket i artikkel 35 nr. 10 vil dessuten kreve at de behandlingsansvarlige dette gjelder evner å ta stilling til om en lovhjemmelen inneholder regler som er tilstrekkelig spesifikke, samt vurdere om redegjørelsen av personvernkonsekvensene som ble gjort som en del av lovarbeidet er tilstrekkelig. Vi mener det er grunn til å tro at mange behandlingsansvarlige ikke har tilstrekkelig kompetanse til å foreta slike vurderinger.

Datatilsynet mener videre at den vurderingen av personvernkonsekvenser som gjøres som en del av lovarbeidet er av en vesentlig forskjellig karakter og detaljnivå enn det som behandlingsansavarlige er pålagt etter forordningens artikkel 35.»

Forbrukerrådet uttaler at det kan åpnes for å gjøre unntak fra unntaket i artikkel 35 nr. 10 i forskrift.

Ingen høringsinstanser gir uttrykk for at det i denne omgang bør fastsettes en utvidet plikt til forhåndsdrøfting. Datatilsynet,Direktoratet for e-helse og Den norske legeforening støtter forslaget om en forskriftshjemmel. Den norske legeforening uttaler:

«Vi mener at det vil være behov for en nærmere regulering av plikten til forhåndsdrøftelser nasjonalt, særlig av hensyn til klarhet og forutberegnelighet. Ettersom plikten til forhåndsdrøftelser er nytt med forordningen, vil det imidlertid være vanskelig på nåværende tidspunkt å klarlegge innholdet av slike regler. Vi støtter derfor departementet i at det gis en forskriftshjemmel for dette.»

Norges Røde Kors uttaler at de er «bekymret for om Datatilsynet vil ha tilstrekkelig kapasitet til å kunne foreta nødvendige forhåndsdrøftinger, hvilket vil være svært viktig når konsesjonsordningen forsvinner neste år».

16.5.5 Departementets vurdering

Etter departementets vurdering er unntaket fra plikten til vurdering av personvernkonsekvenser i forordningen artikkel 35 nr. 10 så snevert at det ikke synes nødvendig på nåværende tidspunkt å fastsette noen nasjonale unntak fra unntaket. Unntaket kommer bare til anvendelse når det supplerende rettsgrunnlaget for behandlingen inneholder en spesifikk regulering av de ulike behandlingsaktivitetene, noe som sjelden er tilfelle. Hvis behandlingsaktivitetene først er spesifikt regulert i lov eller forskrift, og personvernkonsekvensene allerede er vurdert i den forbindelse, kan departementet ikke se at en vurdering av personvernkonsekvenser vil ha en så stor tilleggsverdi at det er nødvendig å pålegge dette også i disse tilfellene. At unntaket fører til grensedragningsspørsmål, er etter departementets oppfatning ikke et tilstrekkelig tungtveiende hensyn til at det nødvendig å pålegge en plikt til vurdering av personvernkonsekvenser. Risikoen for misforståelser av rekkevidden av unntaket kan reduseres med informasjon og veiledning.

Departementet foreslår ingen utvidet plikt til forhåndsdrøfting med tilsynsmyndigheten etter artikkel 36 nr. 5. Det foreslås imidlertid en forskriftshjemmel som åpner for slike bestemmelser, se lovforslaget § 14.

16.6 Atferdsnormer og sertifisering

16.6.1 Gjeldende rett

Etter personopplysningsloven § 42 tredje ledd nr. 6 skal Datatilsynet «bistå i utarbeidelse av bransjevise adferdsnormer». Slike bransjenormer er utarbeidet på flere områder, også med bistand fra Datatilsynet. Brudd på normene vil ikke i seg selv kunne føre til offentligrettslige reaksjoner, men normene er et hjelpemiddel til etterlevelse av regelverket og godt personvern i en bransje.

Gjeldende norsk personvernregelverk inneholder ingen bestemmelser om sertifiseringsordninger på personvernområdet.

16.6.2 Forordningen

Etter forordningen artikkel 40 nr. 1 skal medlemsstatene, tilsynsmyndighetene, Personvernrådet og Kommisjonen oppmuntre til at det utarbeides atferdsnormer som skal bidra til riktig anvendelse av forordningen, jf. også artikkel 57 nr. 1 bokstav m om tilsynsmyndighetens oppgaver. Det skal tas hensyn til de særlige forholdene i de forskjellige behandlingssektorene og de særlige behovene til svært små, små og mellomstore bedrifter. I henhold til artikkel 40 nr. 2 kan «sammenslutninger og andre organer som representerer kategorier av behandlingsansvarlige eller databehandlere», utarbeide atferdsnormer, eller endre eller utvide omfanget av slike regler for nærmere å angi anvendelsen av forordningen. I artikkel 40 nr. 2 bokstav a til k er det listet opp en rekke eksempler på hva slike normer kan dreie seg om. Normene kan være svært omfattende, eller regulere kun en smal behandlingsform eller bruk av en spesiell type teknologi. Det kan for eksempel utarbeides normer for pseudonymisering eller avvikshåndtering.

Etter artikkel 40 nr. 5 skal sammenslutninger og organer som har til hensikt å utarbeide atferdsnormer eller endre eller utvide eksisterende atferdsnormer, fremlegge utkast og utkast til endringer eller utvidelser for tilsynsmyndigheten. Tilsynsmyndigheten skal avgi uttalelse om hvorvidt utkastet oppfyller forordningens krav, og skal godkjenne utkastet dersom den finner at de inneholder tilstrekkelige og nødvendige garantier.

Kontroll med om godkjente atferdsnormer overholdes, kan etter artikkel 41 nr. 1 utføres av et organ med et «egnet nivå av dybdekunnskap om temaet for atferdsnormene og som er akkreditert for dette formål av vedkommende tilsynsmyndighet». Vilkårene for akkreditering av et slikt organ følger av artikkel 41 nr. 2, som blant annet stiller krav om uavhengighet og fremgangsmåter og rutiner for behandling av klager på overtredelser av atferdsnormene.

Organets kontrollvirksomhet vil være begrenset til de som frivillig har sluttet seg til normene og ordningen. Forordningen pålegger ingen behandlingsansvarlige eller databehandlere noen plikt til å slutte seg til atferdsnormer eller kontrollordninger. Atferdsnormene skal etter artikkel 40 nr. 4 inneholde mekanismer som gjør det mulig for organet å utføre obligatorisk tilsyn med at atferdsnormene overholdes av behandlingsansvarlige og databehandlere som har sluttet seg til dem. Organets kontroll med overholdelsen av atferdsnormene må altså fastsettes i atferdsnormene, og den behandlingsansvarlige eller databehandleren må dermed slutte seg til kontrollordningen som ledd i tilslutningen til atferdsnormene.

I henhold til artikkel 41 nr. 4 skal kontrollorganet «under forutsetning av nødvendige garantier, treffe egnede tiltak i tilfelle en behandlingsansvarlig eller databehandler ikke overholder atferdsnormene, herunder suspendere eller utelukke den berørte behandlingsansvarlige eller databehandleren fra atferdsnormene». Forordningen gir ikke kontrollorganene noen kompetanse til å ilegge sanksjoner, pålegge erstatningsplikt eller lignende. Tiltakene som organet kan treffe, må fastsettes i atferdsnormene.

Det er presisert i artikkel 41 nr. 1 at kontrollorganenes tilsyn med overholdelsen av atferdsnormene ikke berører tilsynsmyndighetens oppgaver og kompetanse til å føre tilsyn med overholdelsen av forordningens regler. Organene kan ikke føre kontroll med behandling utført av offentlige myndigheter og organer, jf. artikkel 41 nr. 6.

Tilsynsmyndighetens kompetanse til å vedta pålegg eller sanksjoner knytter seg bare til overtredelser av forordningens regler, jf. artikkel 58 nr. 2 og 83 nr. 1 og nr. 4 til 6. Datatilsynet kan derfor ikke vedta pålegg eller sanksjoner direkte for brudd på atferdsregler. Også erstatningsansvaret etter artikkel 82 knytter seg til overtredelser av forordningen, jf. artikkel 82 nr. 1. I flere bestemmelser er det imidlertid fastsatt at overholdelse av godkjente atferdsregler kan brukes som en faktor for å påvise at forpliktelsene etter forordningen overholdes, se artikkel 24 nr. 3 om den behandlingsansvarliges plikter, artikkel 28 nr. 5 jf. 1 og 4 om krav til databehandlere, artikkel 32 nr. 3 jf. 1 om sikkerhet ved behandlingen og artikkel 46 nr. 2 bokstav e om garantier ved overføring av personopplysninger til tredjestater eller internasjonale organisasjoner uten særlig godkjenning fra tilsynsmyndigheten. Videre følger det av artikkel 83 nr. 2 bokstav j at det skal tas hensyn til overholdelse av godkjente atferdsnormer ved avgjørelsen av om det skal ilegges overtredelsesgebyr og gebyrets størrelse.

Etter forordningen artikkel 42 skal landene oppmuntre til ordninger med personvernsertifisering. Sertifisering skal i samsvar med artikkel 42 nr. 5 foretas av et akkreditert sertifiseringsorgan eller av tilsynsmyndigheten. Kriteriene for sertifiseringen skal være godkjent av tilsynsmyndigheten eller Personvernrådet. Også behandlingsansvarlige eller databehandlere som ikke er omfattet av forordningen, kan sertifiseres, for å påvise at det foreligger nødvendige garantier i forbindelse med overføring til tredjestater eller internasjonale organisasjoner, jf. artikkel 42 nr. 2.

Etter artikkel 43 nr. 1 skal sertifiseringsorganer ha et egnet nivå av dybdekunnskap om personvern. De skal dessuten være akkreditert av enten den nasjonale tilsynsmyndigheten eller av det nasjonale akkrediteringsorganet utpekt i samsvar med forordning 765/2008 om akkrediterings- og markedstilsynskrav i forbindelse med markedsføring av produkter. Akkrediteringen skal gjøres i henhold til EN-ISO/IEC 17065/2012 og tilleggskrav fastsatt av det nasjonale tilsynsorganet med kompetanse etter personvernforordningen artikkel 55 og 56.

Det er presisert i artikkel 42 nr. 4 at en sertifisering ikke begrenser ansvaret for å oppfylle kravene i forordningen eller oppgavene og kompetansen til tilsynsmyndigheten. På samme måte som overholdelse av atferdsnormer, kan sertifisering brukes som en faktor for å påvise at forordningens regler etterleves, jf. artikkel 24 nr. 3, 25 nr. 3, 28 nr. 5 og 32 nr. 3.

16.6.3 Forslaget i høringsnotatet

Det ble ikke foreslått nærmere bestemmelser om atferdsnormer eller sertifisering i høringsnotatet.

16.6.4 Høringsinstansenes syn

Direktoratet for e-helse, Norges Ingeniør- og Teknologorganisasjon, Forskningsinstituttenes Fellesarena og Finans Norge er positive til at det kan utarbeides atferdsnormer.

Forbrukerrådet mener at forbrukernes interesser bør ivaretas ved utviklingen av atferdsnormer, og uttaler:

«For Forbrukerrådet er det viktig at det i utviklingen av slike atferdsnormer skjer i en åpen og inkluderende prosess, hvor også forbrukernes interesser ivaretas. Det vil også gi normene større legitimitet. Forbrukerrådet har tidligere deltatt i utformingen av bransjenormer, blant annet for nettnøytralitet. Her har bransjenorm og «selvjustis» fungert etter hensikten.»

Tekna – Teknisk-naturvitenskapelig forening og Akademikerne mener at det er positivt at myndighetene skal oppmuntre til utarbeidelse av atferdsnormer. Akademikerne uttaler:

«Rettsreglene på personvernets område er med sin kompleksitet og strenge myndighetskrav såpass utfordrende at det vil være naturlig at bransjer søker sammen av rasjonelle årsaker for å utarbeide bransjenormer. En ser det som konstruktivt om det offentlige legger til rette for at bransjer søker sammen i slikt arbeid og opptrer som en samarbeidspartner for bransjer med spesielle utfordringer på personvernets rettsområde. Akademikerne ser derfor særlig positivt på forordningens artikkel 40 om atferdsnormer som nettopp gir myndighetene en slik «oppmuntringsplikt» og involverer det offentlige i dannelsen av bransjerelaterte atferdsnormer. Organisasjonene i arbeidslivet er et eksempel på en bransje som bør kunne finne sammen på personvernets område for å utarbeide nevnte atferdsnormer.»

Norges Rederiforbund uttaler at «Datatilsynet må tilføres nødvendige ressurser til å kunne yte den bistand og veiledning som forutsatt».

Ingen høringsinstanser har uttalt seg om sertifiseringsordninger.

16.6.5 Departementets vurdering

Departementet legger til grunn til at Datatilsynets akkreditering av kontrollorganer kan skje direkte med grunnlag i forordningen artikkel 41 nr. 2, og at det derfor ikke er nødvendig med lovbestemmelser om dette. Det foreslås ingen nærmere bestemmelser om atferdsnormer.

Sertifiseringsorganer skal akkrediteres enten av tilsynsmyndigheten med kompetanse etter forordningen artikkel 55 eller 56, eller av et akkrediteringsorgan utpekt i samsvar med forordning 765/2008. Denne forordningen er gjennomført i Norge ved lov om det frie varebytte i EØS (EØS-vareloven) § 2. EØS-vareloven § 3 første ledd utpeker Norsk akkreditering som nasjonalt akkrediteringsorgan i Norge. Både Datatilsynet, Norsk akkreditering eller begge i fellesskap kan derfor akkreditere sertifiseringsorganer som skal sertifisere i samsvar med personvernforordningen. I tillegg gjelder akkreditering av sertifiseringsorganer foretatt av akkrediteringsorganer i andre EU-/EØS-land. Det følger av forordningen artikkel 43 nr. 1 at landene skal sikre at sertifiseringsorganer akkrediteres av enten tilsynsmyndigheten eller akkrediteringsorganet. Etter departementets vurdering er det ikke nødvendig med nærmere lovbestemmelser om dette.

17 Personvernombud

17.1 Gjeldende rett

Personvernombudsordningen i dagens personopplysningsregelverk er basert på frivillighet for den behandlingsansvarlige og er åpen for behandlingsansvarlige i både privat og offentlig sektor. Det eksisterer i dag ingen plikt i norsk rett til å ha personvernombud.

Behandlingsansvarlige som oppnevner personvernombud, får etter gjeldende rett enkelte administrative fordeler. For det første medfører oppnevning av personvernombud at det kan gjøres unntak fra den behandlingsansvarliges meldeplikt til Datatilsynet, jf. personopplysningsforskriften § 7-12. For det andre er behandling av personopplysninger i forbindelse med et forskningsprosjekt på nærmere vilkår unntatt fra konsesjonsplikt dersom prosjektet er tilrådd av personvernombud, jf. personopplysningsforskriften § 7-27.

Personvernombudets oppgaver fremgår av personopplysningsforskriften § 7-12. Det følger av § 7-12 at personvernombudet skal sikre at den behandlingsansvarlige følger personopplysningsloven med forskrift, og det er særskilt bestemt at personvernombudet skal føre en oversikt over opplysningene som nevnt i personopplysningsloven § 32. Det følger videre av forskriften § 7-12 at personvernombudet skal være uavhengig, men bestemmelsen konkretiserer ikke nærmere hva som ligger i kravet til uavhengighet.

Personvernregelverket inneholder ikke egne regler om taushetsplikt for personvernombudet, men ellers gjeldende regler om taushetsplikt vil kunne komme til anvendelse. For eksempel vil et personvernombud for et offentlig organ være underlagt forvaltningslovens taushetspliktsbestemmelser, mens et ombud i privat sektor vil kunne være underlagt lovbestemt taushetsplikt i kraft av sektorlovgivningen for det aktuelle rettsområdet. I tillegg vil avtalebestemt taushetsplikt kunne være aktuelt.

Ordningen med personvernombud er formalisert gjennom regulering i politiregisterloven, jf. § 63. Personvernombud er der benevnt personvernrådgiver. Ordningen med personvernrådgiver videreføres med enkelte endringer i direktiv (EU) 2016/680 som gjennomføres i politiregisterloven med tilhørende forskrifter.

17.2 Forordningen

Forordningens regler om personvernombud innebærer en betydelig utvidelse av ordningen sammenlignet med gjeldende norsk rett. Behandlingsansvarlige og databehandlere får på nærmere vilkår en plikt til å utpeke personvernombud. Videre oppstiller forordningen detaljerte regler om personvernombudets oppgaver og uavhengige posisjon.

Artikkel 37 nr. 1 pålegger den behandlingsansvarlige og databehandleren en plikt til å utpeke personvernombud når vilkårene i bokstav a til c er oppfylt, det vil si når behandlingen utføres av en offentlig myndighet eller et offentlig organ, jf. bokstav a, når kjernevirksomheten består av behandlingsaktiviteter som på grunn av sin art, omfang eller formål krever regelmessig eller systematisk monitorering av registrerte i stor skala, jf. bokstav b, og i tilfeller der den behandlingsansvarliges kjernevirksomhet består i behandling i stor skala av særlige kategorier av personopplysninger eller opplysninger om straffedommer og lovovertredelser, jf. bokstav c.

Det følger av artikkel 37 nr. 4 at det i nasjonal rett kan fastsettes en plikt til å utpeke personvernombud også i andre tilfeller enn de som følger av artikkel 37 nr. 1. Videre følger det av artikkel 37 nr. 4 at behandlingsansvarlige og databehandlere som ikke har plikt til å utpeke personvernombud, likevel har adgang til dette.

Artikkel 37 nr. 2 bestemmer at et konsern kan utnevne ett personvernombud forutsatt at alle virksomhetene har enkel tilgang til vedkommende. Videre bestemmer artikkel 37 nr. 3 at offentlige myndigheter eller offentlige organer kan utpeke ett personvernombud under hensyn til deres organisasjonsstruktur og størrelse. Artikkel 37 nr. 6 bestemmer at personvernombudet kan være ansatt hos den behandlingsansvarlige eller databehandleren eller utføre sine oppgaver på grunnlag av en tjenesteavtale.

Den som utpekes til personvernombud, må inneha visse kvalifikasjoner. Artikkel 37 nr. 5 bestemmer at personvernombudet skal utpekes på grunnlag av faglige kvalifikasjoner og særlig på grunnlag av dybdekunnskap om personvernlovgivningen, samt evne til å utføre oppgavene som følger av forordningen artikkel 39.

Artikkel 38 inneholder bestemmelser om personvernombudets stilling. Den behandlingsansvarlige og databehandleren skal sikre at personvernombudet på riktig måte og til rett tid involveres i alle spørsmål som gjelder vern av personopplysninger, og at personvernombudet skal ha de ressurser som er nødvendige for å utføre sine pålagte oppgaver. Personvernombudet skal ikke motta instrukser om utførelsen av sine oppgaver og skal ikke kunne avsettes eller straffes av den behandlingsansvarlige eller databehandleren for å utføre sine oppgaver. Personvernombudet skal rapportere direkte til det høyeste ledelsesnivået hos den behandlingsansvarlige eller databehandleren.

Artikkel 38 nr. 4 bestemmer at de registrerte kan kontakte personvernombudet angående alle spørsmål om behandling av deres personopplysninger, og om utøvelsen av de rettighetene de har i henhold til forordningen.

Artikkel 38 nr. 5 bestemmer at personvernombudet skal være bundet av taushetsplikt eller en plikt til konfidensiell behandling av opplysninger ved utførelsen av sine oppgaver, i samsvar med unionsretten eller medlemsstatenes nasjonale rett. Det følger av artikkel 38 nr. 6 at personvernombudet også kan utføre andre oppgaver og ha andre plikter, såfremt dette ikke fører til interessekonflikt.

Artikkel 39 pålegger personvernombudet en rekke oppgaver. Etter artikkel 39 nr. 1 bokstav a og b skal personvernombudet informere og gi råd til virksomheten om forpliktelsene som følger av forordningen og annet personopplysningsregelverk og kontrollere overholdelsen av personvernregelverket og eventuelt internt regelverk. Personvernombudet skal også gjennomføre holdningsskapende tiltak og opplæring av personellet som er involvert i behandlingsaktivitetene. Etter artikkel 39 nr. 1 bokstav c skal personvernombudet på anmodning gi råd om vurderingen av personvernkonsekvenser og kontrollere gjennomføringen av vurderingen i henhold til artikkel 35. Artikkel 39 nr. 1 bokstav d og e bestemmer at personvernombudet skal samarbeide med tilsynsmyndigheten og fungere som kontaktpunkt for tilsynsmyndigheten ved spørsmål om behandlingen, herunder forhåndsdrøftingene nevnt i artikkel 36, og ved behov rådføre seg med tilsynsmyndigheten om eventuelle andre spørsmål.

Personvernombudet er omtalt også i en rekke av forordningens øvrige artikler. Etter artikkel 35 nr. 2 skal den behandlingsansvarlige rådføre seg med personvernombudet i forbindelse med vurdering av personvernkonsekvenser. Etter artikkel 33 og 34 skal meldinger om brudd på personopplysningssikkerheten inneholde kontaktopplysningene til personvernombudet. Etter artikkel 30 nr. 1 bokstav a og 30 nr. 2 bokstav a skal personvernombudets navn og kontaktdetaljer fremgå av protokollene over behandlingsaktiviteter. Etter artikkel 13 nr. 1 bokstav b og 14 nr. 1 bokstav b skal kontaktopplysningene til personvernombudet inngå i opplysningene som gis til den registrerte. Etter artikkel 47 nr. 2 bokstav h skal bindende virksomhetsregler angi oppgavene til personvernombudet.

Den såkalte Artikkel 29-gruppen vedtok 5. april 2017 retningslinjene «Guidelines on Data Protection Officers (‘DPOs’)». Der behandles blant annet spørsmål knyttet til vilkårene for oppnevnelse av personvernombudet, samt til ombudets posisjon og oppgaver.

17.3 Forslaget i høringsnotatet

17.3.1 Terminologi – personvernombud

I den norske oversettelsen av forordningen som var vedlagt høringsnotatet, valgte departementet å benytte termen personvernrådgiver. Departementet har, særlig på bakgrunn av de mange høringsuttalelsene om dette, valgt å i stedet benytte termen personvernombud, se nærmere i omtalen under.

17.3.2 Personvernombud i offentlig sektor

Departementet foreslo i høringsnotatet ingen regler om personvernombud i offentlig sektor. Departementet viste til at en alminnelig språklig forståelse av forordningen artikkel 37 nr. 1 bokstav a tilsier at de organer som omfattes av offentleglova § 2 første ledd bokstav a, må ha personvernombud, mens rettssubjektene i offentleglova § 2 første ledd bokstav b til d faller utenfor. Videre viste departementet til at artikkel 37 nr. 3 åpner for at offentlige myndigheter og organer kan ha felles personvernombud. Departementet viste også til at artikkel 37 nr. 6, som åpner for at personvernombudet både kan være ansatt eller utføre sine oppgaver på grunnlag av en tjenesteavtale, gjelder for både offentlige og private rettssubjekter.

17.3.3 Utvidelse av plikten til å utpeke personvernombud?

Departementet foreslo i høringsnotatet ingen regler som utvider plikten til å utpeke personvernombud utover plikten som allerede følger av forordningen artikkel 37 nr. 1. Departementet foreslo likevel en forskriftshjemmel hvor Kongen gis adgang til å fastsette at plikten til å utpeke personvernombud skal omfatte andre behandlingsansvarlige og databehandlere enn det som omfattes av forordningen artikkel 37 nr. 1.

17.3.4 Utvidelse av personvernombudets oppgaver?

Departementet foreslo i høringsnotatet ingen bestemmelser om utvidelse av personvernombudets oppgaver.

17.3.5 Personvernombudets taushetsplikt

Departementet foreslo i høringsnotatet en bestemmelse om taushetsplikt for personvernombud på bakgrunn av forordningen artikkel 38 nr. 5.

17.4 Høringsinstansenes syn

17.4.1 Oversettelse av forordningen – personvernombud

Høringsinstansene har generelt tatt til orde for å benytte personvernombud i oversettelsen av forordningen, i stedet for personvernrådgiver som departementet foreslo i høringsnotatet. Kun et fåtall høringsinstanser har tatt til orde for å benytte «personvernrådgiver» eller eventuelt en annen term. Blant de høringsinstansene som tar til orde for å benytte personvernombud, er Datatilsynet, Arbeids- og velferdsdirektoratet, Direktoratet for forvaltning og IKT, Juristforbundet, Politidirektoratet, Statens vegvesen, Telia, Telenor Norge AS, Universitetet i Tromsø – Norges arktiske universitet, Norsk senter for forskningsdata, Norges teknisk-naturvitenskapelige universitet, Forbrukerrådet, Næringslivets Hovedorganisasjon og Statistisk sentralbyrå. Høringsinstansene har generelt vist til at personvernombud er en innarbeidet term og at rådgivertermen i mindre grad enn ombudstermen understreker personvernombudets posisjon etter forordningen.

17.4.2 Personvernombud i offentlig sektor

Et mindre antall høringsinstanser har uttalt seg om utstrekningen av plikten for offentlige myndigheter til å utpeke personvernombud etter forordningen artikkel 37 nr. 1 bokstav a.

Datatilsynet uttaler at det har begynt å motta spørsmål om hvor langt plikten til å ha personvernombud i det offentlige strekker seg, eksempelvis om et interkommunalt selskap som drifter et knippe kommuners IT-systemer må ha personvernombud, og at dette ofte er vanskelige spørsmål å svare på. Datatilsynet uttaler at de er enige i at de organene som omfattes av offentleglova § 2 første ledd bokstav a, må omfattes av plikten til å ha personvernombud i forordningen, men at en klar avgrensning om at rettssubjekter som er omfattet av offentleglova § 2 første ledd bokstav b til d, ikke er forpliktet til å ha personvernombud, er uheldig. Datatilsynet uttaler:

«For å oppsummere, Datatilsynet mener at det er for snevert å avgrense plikten til å ha personvernrådgiver til organet som omfattes av offentleglova bokstav a. En kategorisk avgrensningen mot organer som omfattes av § 2 første ledd bokstav b til d er uheldig. Dette er imidlertid en kompleks problemstilling og vi har per i dag ikke en klar anbefaling til hvor grensene for artikkel 37 nr1 bokstav a bør gå. Dette krever inngående kunnskap om offentlighetsloven, kommunal organisering og kjennskap til andre lovverk der begrepet offentlig myndighet er brukt. Samtidig er dette noe vi får mange spørsmål om og som må avklares forholdsvis raskt.

Vi ber derfor departementet, som også er ansvarlig for offentleglova, se nærmere på hvordan bestemmelsen i forordningen om personvernombud i offentlig sektor bør forstås. Dersom det viser seg vanskelig å finne en naturlig grense med utgangspunkt i offentleglova, bør man vurdere å benytte mer kvalitative beskrivelser av hvilke offentlige virksomheter kravet gjelder for.»

Norges Bank uttaler at Norges Bank faller utenfor kretsen av rettssubjektene i offentleglova § 2 første ledd bokstav a, og dermed utenfor kretsen av de offentlige organer som er pålagt å utpeke personvernombud. Norges Bank viser videre til begrepet «offentlig myndighet» brukes i flere bestemmelser i forordningen og at det bør avklares om begrepet kun omfatter de organene som omfattes av offentleglova § 2 bokstav a, eller om begrepet også omfatter organene som vist til i loven § 2 første ledd bokstav b til d.

Innovasjon Norge mener at departementets avgrensning av artikkel 37 nr. 1 til kun å gjelde de organer som er omfattet av offentleglova § 2 første ledd bokstav a, er vanskelig å forene med departementets tolkning av artikkel 6 nr. 1 bokstav f. Innovasjon Norge uttaler at det mest naturlige ville vært at de rettssubjektene som ikke kan bruke artikkel 6 nr. 1 bokstav f som behandlingsgrunnlag, også var forpliktet til å ha personvernombud.

Bane NOR SF uttaler at det er uklart hva som omfattes av begrepene «offentlig myndighet» og «offentlig organ» og anmoder departementet om at det klargjøres. Bane NOR viser til at de er et statsforetak (SF) og mener at statsforetak ikke bør omfattes av plikten til å ha personvernombud, så fremt ikke statsforetaket omfattes av Artikkel 37 nr. 1. bokstav b) eller c).

17.4.3 Utvidelse av plikten til å utpeke personvernombud?

Av de høringsinstansene som har uttalt seg om spørsmålet, har alle, herunder Datatilsynet, støttet departementets vurdering om å ikke gi regler som utvider ordningen med personvernombud. Telia Norge AS viser til at det allerede foreligger en omfattende plikt for virksomheter til å opprette en slik rolle, og en utvidelse bør ikke finne sted før man eventuelt har fått tilstrekkelig erfaringsgrunnlag som tydeliggjør behovet for personvernombud for andre virksomheter.

Høringsinstansene er delt i synet på om det bør gis en forskriftshjemmel som åpner for å utvide plikten til å utpeke personvernombud, slik departementet foreslo i høringsnotatet. Telia Norge AS støtter forskriftshjemmelen, mens Næringslivets Hovedorganisasjon uttaler at det er Stortinget som bør vedta en slik utvidelse, i alle fall når det gjelder forpliktelser for private – alternativt at forskriftshjemmelen utformes slik at den mer konkret dekker de situasjonene den er ment for.

17.4.4 Utvidelse av personvernombudets oppgaver?

Høringsinstansene støtter departementets forslag i høringsnotatet om å ikke gi regler som pålegger personvernombudet ytterligere oppgaver utover de som allerede følger direkte av forordningen. Næringslivets Hovedorganisasjon uttaler at det ikke er nødvendig å lovregulere oppgaver og plikter for personvernombud ut over det som følger av forordningen. Akademikerne uttaler at de er enig med departementet i at det på nåværende tidspunkt ikke bør gis nasjonale regler som utvider plikten til å utnevne personvernombud, ut over det som er fastsatt i forordningen artikkel 37 nr. 1. Akademikerne støtter også departementets betraktninger rundt behovet for å se an utviklingen av ordningen både nasjonalt og internasjonalt, før det eventuelt vurderes om personvernombudets plikter bør utvides i norsk personvernlovgivning. Oslo kommune støtter departementets syn om at det ikke nå bør fastsettes bestemmelser om ytterligere oppgaver og plikter for personvernombud, og uttaler at de ikke ser behov for å utvide oppgavene og pliktene som allerede tilligger personvernombudet, jf. artikkel 39. Oslo kommune viser til at pliktene etter nåværende regler allerede favner vidt og medfører administrative kostnader for kommunal sektor. Også Datatilsynet støtter departementets vurdering om at det er tvilsomt om forordningen artikkel 39 nr. 1 åpner for å pålegge personvernombud ytterligere plikter ved nasjonal lovgivning og at det uansett neppe er behov for en slik utvidelse.

17.4.5 Personvernombudets taushetsplikt

Høringsinstansene har vært delt i synet på departementets forslag til taushetspliktsbestemmelse for personvernombud. Flere høringsinstanser støtter bestemmelsen, mens enkelte høringsinstanser mener det ikke er behov for en egen bestemmelse om dette eller at den foreslåtte bestemmelsen er for vidtgående. En rekke høringsinstanser som støtter at det gis en taushetspliktsbestemmelse, mener at forslaget på enkelte punkter har uklar rekkevidde.

Advokatforeningen uttaler følgende om utkastet til taushetspliktsbestemmelse:

«Advokatforeningen mener at departementet bør klargjøre rekkevidden i den taushetspliktbestemmelse som er foreslått i ny personopplysningslov § 15. For en personvernrådgiver/DPO som er ansatt i en behandlingsansvarlig virksomhet vil det være viktig å ha helt klare linjer å forholde seg til dersom taushetspliktbestemmelsen i gitte tilfeller også skal anses å omfatte Personvernrådgiverens/DPOs egen arbeidsgiver. Herunder bør det avklares hvorvidt eventuell taushetsplikt knyttet til «enkeltpersoners varsling om overtredelser av loven» gjelder overfor egen arbeidsgiver, jf. for øvrig forslaget til ny hvitvaskingslov § 38. Videre må det også avklares om taushetsplikten skal gjelde gjennomgående eller bare når den som varsler ber om det. Etter Advokatforeningens syn er taushetsplikten for personvernrådgiver formulert for absolutt. Dette vil trolig kunne få uhensiktsmessige konsekvenser i enkelte arbeidslivsforhold. Etter Advokatforeningens syn bør departementet benytte seg av hjemmelen i forordningen Artikkel 88 til å klargjøre hensiktsmessige grenser for taushetsplikten i forholdet til arbeidsgiver.»

Juristforbundet mener også det hefter uklarheter ved forslaget til taushetspliktsbestemmelse og uttaler:

«Juristforbundet er av den oppfatning at departementet bør klargjøre rekkevidden av den foreslåtte taushetspliktsbestemmelsen for personvernombud/personvernrådgiver i ny personopplysningslov § 15. Det vil være av stor betydning for dem som innehar slike roller og er ansatt i den behandlingsansvarliges virksomhet å ha klare linjer å forholde seg til dersom taushetspliktbestemmelsen også skal omfatte egen arbeidsgiver. Eksempelvis bør det avklares hvorvidt eventuell taushetsplikt knyttet til «enkeltpersoners varsling om overtredelser av loven» gjelder overfor egen arbeidsgiver og om taushetsplikten i slike tilfeller skal gjelde gjennomgående.»

Arbeids- og velferdsdirektoratet støtter departementets forslag til taushetspliktsbestemmelse i lovutkastet § 15.

Politidirektoratet støtter forslaget til taushetspliktsbestemmelse, men uttaler at det er viktig at bestemmelsen utformes slik at taushetsplikten ikke hindrer personvernombudet i å diskutere saker med behandlingsansvarlig. Videre peker direktoratet på at i en konstellasjon hvor et personvernombud fungerer for flere virksomheter eller der en virksomhet kjøper inn denne tjenesten eksternt, vil personvernombudet også kunne ha behov for å diskutere saker med egen arbeidsgiver, ikke kun behandlingsansvarlig der han/hun fungerer som personvernombud.

Finans Norge støtter i hovedsak forslaget til taushetspliktsbestemmelse, men viser til at det kan stilles spørsmål ved hvor langt rådgivers plikt til å «hindre» at andre får kjennskap til «enkeltpersoners varsling» er ment å gå. Finans Norge uttaler at for en rådgiver som er ansatt direkte i virksomheten vil det normalt være virksomheten som utstyrer rådgiveren med e-postadresse, telefon og andre kommunikasjonskanaler som rådgiveren behøver for å utøve sitt virke. Finans Norge uttaler at de legger til grunn at rådgiveren kan basere seg på å motta varsler via slike kanaler og at rådgivers plikt til å hindre at andre får kjennskap til varslerens identitet først inntrer ved mottak av varselet.

Arkivverket uttaler at det uklart om § 15 gjelder som en uttømmende regel om taushetsplikt eller om den suppleres og fylles ut av de generelle taushetspliktreglene i forvaltningsloven §§ 13-13f. Arkivverket viser til at en rådgiver som er ansatt i et forvaltningsorgan der det gjelder særlovsregler om taushetsplikt vil også kunne komme i tvil om forholdet mellom personopplysningslovens taushetspliktbestemmelse og de særlovsreglene som gjelder for ansatte i «eget» organ. På denne bakgrunn mener Arkivverket at taushetspliktsbestemmelsen for så vidt gjelder personvernombud som er offentlig ansatte, bør suppleres med regler om forholdet til alminnelig taushetsplikt og særlovsregler om taushetsplikt for å sikre klarhet.

Telia Norge AS støtter at det innføres en bestemmelse om personvernombudets taushetsplikt, men stiller spørsmål ved om det er nødvendig å innta egne bestemmelser om taushetsplikt knyttet til tekniske innretninger og andre forretningsforhold. Telia Norge AS viser til at dette vil kunne reguleres på en hensiktsmessig måte i private avtaler, og for så vidt gjelder personvernombud i offentlig forvaltning vil i disse første rekke få tilgang til slik informasjon om forvaltningsorganets egen virksomhet – og at dersom personvernombudet gjennom sitt virke får tilgang til opplysninger andre virksomheters forretningsforhold, vil forvaltningsloven § 13 uansett langt på vei kunne komme til anvendelse.

Næringslivets Hovedorganisasjon er enig med departementet i at forordningen krever at personvernombudet er underlagt en eller annen form for taushetsplikt, men mener at det er tilstrekkelig at loven går ut på at den som utpeker et ansatt personvernombud sørger for at personvernombudet har en taushetsplikt som er hensiktsmessig utformet. Næringslivets Hovedorganisasjon uttaler at det er praktisk at man ved utpekingen kan ta stilling til hva slags taushetsplikt rådgiveren skal ha, og at virksomhetene kan, om de skulle ønske det, benytte seg av de formuleringene departementet har foreslått i høringsnotatet.

Brønnøysundregistrene støtter forslaget om en taushetspliktsbestemmelse for personvernombud tilsvarende forvaltningslovens bestemmelse om taushetsplikt og uttaler at den vil skape ryddighet og forenkling ved tolkning av regelverket, da mange av personvernombud vil være offentlige ansatte som allerede er omfattet av regelen i forvaltningsloven.

Den norske legeforening mener taushetspliktsbestemmelsen kan gjøres betydelig enklere og viser til formuleringen som er foreslått i dansk rett.

Datatilsynet støtter departementets forslag til taushetspliktsbestemmelse og har ingen merknader til departementets forslag til bestemmelse.

Foreningen Kommunal Informasjonssikkerhet mener departementet må avklare forholdet mellom varslingsplikt og taushetsplikt bedre i forslag til endret personopplysningslov.

LO mener taushetspliktsbestemmelsen er for vidt formulert og uttaler at det må sikres at den ikke hindrer muligheten for å varsle til myndighetene eller andre forsvarlige varslingskanaler om kritikkverdige forhold i medhold av arbeidsmiljøloven kapittel 2 A.

Kulturrådet uttaler at det ikke ser behov for en egen lovbestemmelse om personvernombudets taushetsplikt, da det allerede er en bestemmelse om taushetsplikt i arbeidsmiljøloven § 8-3 og forvaltningsloven § 13, samt at de fleste virksomheter vil ha taushetsplikt som en del av arbeidsavtalen.

KS støtter forslaget om å underlegge personvernombudet taushetsplikt tilsvarende forvaltningsloven § 13. KS viser til at Kommuner og fylkeskommuner i medhold av forordningen artikkel 37 nr. 6 kan velge å tilknytte seg personvernombud fra privat virksomhet, på grunnlag av tjenesteavtale. KS uttaler at i slike tilfeller vil en bestemmelse som underlegger personvernombud taushetsplikt være en nyttig påpekning, selv om personvernombud med en slik tilknytning i de fleste tilfeller vil falle direkte inn under forvaltningsloven § 13. KS mener likevel at det i forarbeidene er behov for å avklare forholdet mellom personvernombudets taushetsplikt og varslingsplikt.

17.5 Departementets vurdering

17.5.1 Oversettelse av forordningen – personvernombud

Departementet foreslår at termen personvernombud benyttes i loven og den norske oversettelsen av forordningen, i stedet for personvernrådgiver som ble benyttet i høringsnotatet. Dette innebærer en videreføring av gjeldende terminologi. Personvernombudsordningen har en vesentlig annen karakter i forordningen enn etter gjeldende rett, noe som kunne tale for å endre terminologien, men departementet viser til at høringsinstansene likevel generelt har tatt til orde for å benytte personvernombud også i den nye loven. Høringsinstansene har særlig vist til at personvernombud er en innarbeidet term og at rådgivertermen i mindre grad enn ombudstermen understreker personvernombudets posisjon etter forordningen.

17.5.2 Personvernombud i offentlig sektor

Departementet mener det bør legges til grunn at det i norsk rett vil være de organer som er omfattet av forvaltningsloven § 1 annet punktum, som etter artikkel 37 nr. 1 bokstav a plikter å ha personvernombud. Forvaltningsloven § 1 annet punktum definerer forvaltningsorganer som et hvert organ for stat eller kommune. I høringsnotatet knyttet departementet plikten etter artikkel 37 nr. 1 bokstav a opp mot offentleglova § 1 første ledd bokstav a. Departementet har imidlertid kommet til at det tematisk vil være mest naturlig å knytte plikten opp mot definisjonen av forvaltningsorganer i forvaltningsloven, da det er forvaltningsloven som regulerer forvaltningsorganers virksomhet.

Departementet viser for øvrig til at høringsinstansene har støttet departementets syn om at organer for staten, fylkeskommunene og kommunene bør anses å være omfattet av plikten til å utpeke personvernombud. Disse organene vil være omfattet av forvaltningsloven § 1 annet punktum.

Flere høringsinstanser har reist spørsmål om avgrensningen av plikten til å utpeke personvernombud. Departementet legger til grunn at det kan bidra til avklaring om dette spørsmål at plikten knyttes til definisjonen i forvaltningsloven § 1 annet punktum i stedet for offentleglova. Departementet tar for øvrig i proposisjonen her ikke stilling til om plikten eventuelt bør favne videre enn de organer som omfattes av forvaltningsloven § 1 første ledd annet punktum, eller om plikten eventuelt bør avgrenses på en skarpere måte, da dette etter departementets vurdering ville kreve en nærmere utredning. Departementet bemerker i denne sammenheng at den foreslåtte forskriftshjemmelen i lovforslaget § 19 vil kunne benyttes til å regulere utstrekningen av plikten til å utpeke personvernombud innenfor det handlingsrom artikkel 37 nr. 1 bokstav a oppstiller. Departementet bemerker for ordens skyld at det ikke her tas stilling til om det er grunnlag for å tolke begrepene offentlig myndighet og offentlig organ sammenfallende i de forskjellige sammenhenger disse begrepene forekommer i forordningen.

17.5.3 Utvidelse av plikten til å utpeke personvernombud?

Departementet foreslår i proposisjonen her ingen bestemmelser som utvider plikten til å utpeke personvernombud utover det som allerede følger direkte av forordningen. Dette er i samsvar med forslaget i høringsnotatet, som har fått støtte fra høringsinstansene. Forordningen artikkel 37 nr. 1 medfører at personvernombudsordningen allerede favner nokså vidt, og det ligger også et nokså stort tolkningsrom i artikkel 37 nr. 1. Særlig gjelder dette vilkårene i artikkel 37 nr. 1 bokstav b og c, og spesielt hva som skal regnes som «regelmessig og systematisk monitorering i stor skala». Det totale nedslagsfeltet for plikten til å oppnevne personvernombud etter forordningen, det vil si eksakt hvilke typer virksomheter og antallet virksomheter som er omfattet, er på denne bakgrunn ikke klart. Departementet mener derfor at det bør sees hen til eventuell utvikling av felleseuropeisk praksis på området før det vurderes nasjonal utvidelse av personvernombudsordningen.

Departementet foreslår en forskriftshjemmel hvoretter Kongen kan gi forskrift med nærmere bestemmelser om plikt til å utpeke personvernombud, se lovforslaget § 19. Departementet har merket seg Næringslivets Hovedorganisasjons uttalelse om at det er Stortinget som eventuelt bør vedta en slik utvidelse, i alle fall når det gjelder forpliktelser for private, og at forskriftshjemmelen uansett bør utformes slik at den mer konkret dekker de situasjonene den er ment for. Departementet kan ikke se at den foreslåtte forskriftshjemmelen er for vidtgående, og heller ikke at den gjelder et område som det er unaturlig å forskriftsregulere. En eventuell forskrift vil bli sendt på høring på vanlig måte, slik at berørte aktører vil kunne uttale seg.

17.5.4 Utvidelse av personvernombudets oppgaver?

Departementet foreslår at det ikke gis regler som pålegger personvernombudet ytterligere oppgaver utover de som allerede følger direkte av forordningen. Departementet viser til at høringsinstansene har støttet departementets vurdering om at det er tvilsomt om forordningen artikkel 39 nr. 1 overhodet åpner for å pålegge personvernombud ytterligere plikter ved nasjonal lovgivning, og at det uansett ikke er behov for en slik utvidelse på nåværende tidspunkt. Departementet bemerker at plikten til å rådføre med personvernombud før behandling av særlige kategorier av personopplysninger for arkiv-, forsknings- og statistikkformål uten samtykke, jf. forslaget til § 9 annet ledd, ikke innebærer en utvidelse av personvernombudets oppgaver. At personvernombudet skal informere og gi råd til den behandlingsansvarlige om regelverket, følger av forordningen artikkel 39 nr. 1 bokstav a.

17.5.5 Personvernombudets taushetsplikt

Departementet foreslår en bestemmelse om taushetsplikt for personvernombud, se lovforslaget § 18. Som bakgrunn for forslaget viser departementet til at forordningen artikkel 38 nr. 5 bestemmer at personvernombud skal være bundet av taushetsplikt eller en plikt til konfidensiell behandling av opplysninger ved utførelse av sine oppgaver i samsvar med unionsretten eller medlemsstatenes nasjonale rett. Etter departementets vurdering oppstiller forordningen med dette en plikt for nasjonale myndigheter til å sørge for at personvernombud er underlagt taushetsplikt i nasjonal rett.

Høringsinstansene har generelt vært positive til at det gis en bestemmelse om taushetsplikt for personvernombud, men en rekke høringsinstanser har hatt merknader til den foreslåtte bestemmelsen i høringsnotatet. Flere høringsinstanser viser til at det vil kunne være problematisk hvis bestemmelsen skal forstås slik at den også gjelder overfor personvernombudets arbeidsgiver, som vil kunne være den behandlingsansvarlige. Departementet vil til dette bemerke at ordlyden i bestemmelsen gjør det klart at taushetsplikten ikke gjelder der dette er nødvendig for at personvernombudet skal kunne gjennomføre sine lovpålagte oppgaver. I dette ligger at taushetsplikten ikke er til hinder for at personvernombudet formidler ellers taushetsbelagte opplysninger til den behandlingsansvarlige, der dette er nødvendig for at personvernombudet skal kunne utføre sine oppgaver. Departementet vil også bemerke at departementet ikke kan se at taushetsplikten er til hinder for varsling i medhold av arbeidsmiljøloven kapittel 2 A.

18 Generelle regler om kameraovervåking

18.1 Adgangen til å fastsette generelle utfyllende regler om kameraovervåking

Den någjeldende personopplysningsloven kapittel VII og personopplysningsforskriften kapittel 8 inneholder nærmere bestemmelser om kameraovervåking. Bestemmelsene har generell anvendelse og gir nærmere regler om vilkårene for kameraovervåking, utlevering av opptak gjort ved kameraovervåking, slettefrister og varsling om at kameraovervåking finner sted. Bestemmelsene utfyller personopplysningslovens og forskriftens alminnelige regler. 95-direktivet har ingen særlige bestemmelser om kameraovervåking.

Forordningen inneholder ikke særlige bestemmelser om kameraovervåking. Behandling av personopplysninger som skjer ved kameraovervåking, reguleres av forordningens alminnelige regler. Forordningen har heller ingen bestemmelser som åpner for å fastsette nærmere nasjonale regler med generell anvendelse om behandling av personopplysninger ved kameraovervåking. Som nevnt over i punkt 6.5 åpner forordningen artikkel 6 nr. 2 og 3 for å fastsette nasjonale utfyllende regler der behandlingen bygger på artikkel 6 nr. 1 bokstav c eller e. Departementet antar at det på dette grunnlaget vil kunne fastsettes visse regler om kameraovervåking, men kun i den utstrekning behandlingen er nødvendig for slike formål som er angitt i artikkel 6 nr. 1 bokstav c og e. Etter departementets vurdering åpner artikkel 6 nr. 1 bokstav c og e ikke for å fastsette nasjonale utfyllende eller spesifiserende bestemmelser om behandling av personopplysninger ved kameraovervåking med et helt generelt anvendelsesområde, slik som de gjeldende generelle kameraovervåkingsreglene i personopplysningsloven og forskriften. Departementet foreslår på denne bakgrunn ingen generelle regler om kameraovervåking.

Hvordan forordningens alminnelige regler skal forstås når det gjelder behandling av personopplysninger ved kameraovervåking, for eksempel hva gjelder adgangen til overvåking, slettefrister, varsling mv., beror på en tolkning av forordningen. Spørsmålene må avklares gjennom praksis og eventuell veiledning fra tilsynsmyndigheten.

Om nærmere regler om kameraovervåking i arbeidslivet vises det til kapitel 31 om forslag til endringer i arbeidsmiljøloven.

18.2 Behandling av særlige kategorier av personopplysninger ved kameraovervåking

Ved kameraovervåking oppstår det spørsmål om når overvåkingen må anses som behandling av særlige kategorier av personopplysninger, jf. forordningen artikkel 9 nr. 1. Behandling av særlige kategorier av personopplysninger er i utgangspunktet forbudt, jf. artikkel 9 nr. 1. Dersom kameraovervåking anses som behandling av særlige kategorier av personopplysninger, må overvåkingen være tillatt etter et av unntakene i artikkel 9 nr. 2, noe som også kan gjøre det nødvendig å fastsette nasjonale lovbestemmelser som tillater overvåkingen og oppstiller nødvendige garantier for den registrertes rettigheter, jf. særlig artikkel 9 nr. 2 bokstav g.

Etter gjeldende rett løses spørsmålet av personopplysningsloven § 37 fjerde ledd. I henhold til denne bestemmelsen skal kameraovervåking kun anses som behandling av sensitive personopplysninger der slike opplysninger «utgjør en vesentlig del av opplysningene som overvåkingen omfatter». Det følger av forarbeidene til bestemmelsen at vesentlighetskravet lett vil være oppfylt ved overvåking i nærheten av sykehus, apotek og helsestasjoner, fordi kameraet kan fange opp opplysninger om personers helsesituasjon, eller ved overvåking i nærheten av kirker, synagoger eller moskeer, fordi kameraet kan fange opp opplysninger om religiøs aktivitet, jf. Prop. 47 L (2011–2012) side 43–44. Når det gjelder rasemessig eller etnisk bakgrunn, legges det i forarbeidene til grunn at vesentlighetsvilkåret må tolkes innskrenkende, fordi bildematerialet som oftest kan si noe om de registrertes etniske bakgrunn. I disse tilfellene er det kun overvåking som har til formål å avdekke eller fange opp opplysninger om etnisitet, som må anses som behandling av sensitive personopplysninger, jf. Prop. 47 L (2011–2012) side 44.

Forordningen har ingen tilsvarende særbestemmelse om når kameraovervåking skal anses som behandling av særlige kategorier av personopplysninger, eller en bestemmelse som åpner for at dette kan reguleres nærmere i nasjonal rett. Det avgjørende blir derfor en tolkning av forordningens generelle regler, jf. artikkel 9 nr. 1. Ordlyden i bestemmelsen – personopplysninger «om» («revealing») de nærmere kategoriene – gir ikke noe klart svar, men kan nok leses slik at kameraovervåking kan være behandling av særlige kategorier av personopplysninger dersom bildene kan avsløre slike opplysninger, for eksempel der kameraet fanger opp religiøse hodeplagg. Etter departementets syn skal bestemmelsen ikke tolkes på denne måten. Når opplysninger om «rasemessig eller etnisk opprinnelse» regnes som særlige kategorier av personopplysninger, vil en slik tolkning innebære at nærmest all kameraovervåking vil være behandling av særlige kategorier av personopplysninger. Det må antas at det ville kommet klarere frem i forordningen dersom dette var siktemålet. Departementet viser til at Artikkel 29-gruppen har tolket den tilsvarende bestemmelsen i 95-direktivet artikkel 8 nr. 1, som har samme ordlyd som forordningen, slik at den forbyr kameraovervåking som har til formål å fange opp slike opplysninger, jf. Opinion 4/2004 side 24. Videre vil en vid tolkning av artikkel 9 nr. 1 på dette punktet antageligvis gjøre det nødvendig for alle EU/EØS-landene å fastsette nasjonale lovbestemmelser som åpner for kameraovervåking, og nærmere garantier og spesifiserende regler i den forbindelse. Dette kan neppe sies å være i tråd med forordningens harmoniseringsformål.

Dersom kameraovervåkingen har til formål å fange opp særlige kategorier av personopplysninger, gjør imidlertid hensynene bak artikkel 9 nr. 1 seg gjeldende. Slik kameraovervåking vil etter departementets syn være omfattet av forbudet.

Departementet legger på denne bakgrunn til grunn at kameraovervåking som utgangspunkt bare omfattes av forbudet i artikkel 9 nr. 1 i den utstrekning formålet med kameraovervåkingen er å avdekke eller fange opp slike opplysninger. Med en slik tolkning innebærer forordningen på dette punktet en viss endring av rettstilstanden sammenlignet med gjeldende personopplysningslov, ettersom det etter gjeldende rett er avgjørende om sensitive personopplysninger utgjør en vesentlig del av det som fanges opp, og ikke hva formålet er. For opplysninger om rasemessig og etnisk opprinnelse er imidlertid rettstilstanden den samme, jf. uttalelsene i Prop. 47 L (2011–2012) side 44.

Tolkningen innebærer videre at det etter departementets syn ikke på nåværende tidspunkt er nødvendig å gi bestemmelser i nasjonal rett som spesifikt gjør unntak fra forbudet i artikkel 9 nr. 1 for kameraovervåking som har til formål å fange opp særlige kategorier av personopplysninger. Det foreslås derfor ingen nærmere bestemmelser om dette.

18.3 Kameraovervåking og personopplysninger om straffbare forhold mv.

På samme måte som når det gjelder særlige kategorier av personopplysninger, kan det reises spørsmål om kameraovervåking kan innebære behandling av opplysninger om straffbare forhold mv., jf. forordningen artikkel 10. Slike opplysninger kan bare behandles under en offentlig myndighets kontroll eller i medhold av nasjonale lovbestemmelser, jf. punkt 8.2 over.

Etter gjeldende rett regnes opplysninger om at «en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling» som sensitive personopplysninger, jf. personopplysningsloven § 2 nr. 8 bokstav b. Ettersom opplysningene må gjelde mistanke, siktelse, tiltale eller dom, kan kameraovervåking av selve den straffbare handlingen ikke i seg selv anses som behandling av sensitive personopplysninger. At et overvåkingskamera fanger opp opplysninger om at noen har vært strafferettslig mistenkt, siktet, tiltalt eller dømt, er neppe særlig praktisk.

Forordningen artikkel 10 omfatter personopplysninger om «personopplysninger om straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak». Det kan her spørres om «lovovertredelser» («offences») må forstås slik at kameraovervåking av en faktisk handling som kan innebære en lovovertredelse, omfattes. I så fall må kameraovervåking som fanger opp eller som tar sikte på å fange opp slike handlinger, enten utføres under kontroll av en offentlig myndighet eller i medhold av nasjonal rett.

Som nevnt i punkt 8.2 er virkeområdet til forordningen artikkel 10 uklart, og det er blant annet uklart om bestemmelsen omfatter mistanke om lovovertredelser. Det er imidlertid etter departementets syn ikke holdepunkter for at bestemmelsen omfatter kameraovervåking som kun fanger opp faktiske handlinger som kan innebære lovovertredelser, uten at det behandles opplysninger om mistanke, siktelse, dom eller en annen form for konstatering av at det er skjedd en lovovertredelse. Departementet legger derfor til grunn at artikkel 10 ikke gjør det nødvendig med nasjonale lovbestemmelser som tillater kameraovervåking som avdekker eller som har til formål å avdekke straffbare handlinger.

18.4 Uekte kameraovervåkingsutstyr mv.

18.4.1 Gjeldende rett

Etter personopplysningsloven § 36 første ledd tredje punktum er bruk av kamerautstyr som lett kan forveksles med en ekte kameraløsning – såkalte «dummy-kameraer» – også ansett som kameraovervåking etter loven. Dette innebærer at bruk av slike kameraer ikke kan finne sted uten at vilkårene for bruk av en ekte kameraløsning er oppfylt. Siden det ved bruk av slikt kamerautstyr reelt sett ikke skjer noen behandling av personopplysninger, vil de av personopplysningslovens regler som alene retter seg mot selve behandlingen, ikke komme til anvendelse, jf. Prop. 47 L (2011–2012) side 42–43.

18.4.2 Forordningen

Bruk av uekte kameraovervåkingsutstyr er ikke behandling av personopplysninger, og bruken omfattes derfor ikke av forordningen, jf. forordningen artikkel 2 nr. 1.

18.4.3 Forslaget i høringsnotatet

Departementet viste i høringsnotatet til at uekte overvåkingsutstyr kan oppleves som et stort inngrep i personvernet selv om det ikke finner sted noen reell behandling av personopplysninger, og pekte på at følelsen av å bli overvåket i seg selv er integritetskrenkende og dermed egnet til å medføre endringer i atferd. Departementet foreslo på denne bakgrunn en bestemmelse om at utstyr som lett kan forveksles med et ekte fjernbetjent eller automatisk virkende overvåkingskamera eller annet lignende utstyr som er fastmontert, kun kan benyttes der bruken oppfyller et av vilkårene i personvernforordningen artikkel 6 nr. 1.

18.4.4 Høringsinstansenes syn

Få høringsinstanser uttaler seg om den foreslåtte generelle bestemmelsen om vilkår for bruk av uekte kameraovervåkingsutstyr.

Datatilsynet støtter forslaget, men gir uttrykk for at det må komme klarere frem at forordningens unntak for private formål også gjelder i disse tilfellene:

«Slik bestemmelsen er utformet kan den oppfattes som at også privatpersoner som ønsker å montere et dummykamera som dekker eget hus eller hage må oppfylle vilkårene i artikkel 6 første ledd nr. 1. Dersom kameraet er ekte, vil imidlertid forordningen ikke gjelde siden unntaket for «private formål» i forordningens artikkel 2 nr. 2 bokstav c kommer til anvendelse. Konsekvensen av dette vil i så fall være at privatpersoner får større adgang til å montere ekte kameraer enn dummykameraer innenfor rammene av sin husholdning. For å unngå uklarheter omkring dette, bør det komme klart fram av bestemmelsen at unntaket i forordningen art 2 annet ledd bokstav c gjelder tilsvarende, eventuelt at det presiseres at bestemmelsen ikke gjelder for personlige eller andre private formål.»

Videre mener Datatilsynet at skilting av at et område er kameraovervåket, uten at dette er tilfelle, bør likestilles med bruk av uekte overvåkingsutstyr:

«Datatilsynet er videre av den oppfatning at skilting av om at et område er overvåket, selv om det i realiteten ikke finnes overvåkingsutstyr på stedet, må likestilles med bruk av uekte kameraløsninger. Det er plikt til slik skilting i dag, jf. personopplysningsloven § 40, jf. § 36 første ledd siste punkt. Følelsen av å bli overvåket vil i like stor grad gjøre seg gjeldende når det informeres om at området er kameraovervåket som når det faktisk er det.»

Landsorganisasjonen i Norge støtter forslaget om å innta en slik bestemmelse, og uttaler at «idet slike installasjoner vil kunne oppleves som belastende og for den enkelte kan utgjøre et inngrep i privatlivets fred».

Juristforbundet støtter ikke den foreslåtte bestemmelsen, og uttaler:

«Det kan i det hele tatt stilles spørsmål ved hvorvidt forordningen åpner for adgang til regulering av bruk av «uekte kameraovervåkingsutstyr», da det i slike tilfeller ikke vil behandles personopplysninger. En uønsket praksis ved at det settes opp kameraer uten at det faktisk behandles personopplysninger, bør i tilfelle motvirkes på annet vis enn ved regulering som dette.»

18.4.5 Departementets vurdering

Etter departementets syn bør bruken av uekte kameraovervåkingsutstyr fortsatt være underlagt begrensninger i personopplysningsloven. Selv om inngrepet i personvernet ikke er like stort som når det reelt sett behandles personopplysninger, er uekte kameraovervåkingsutstyr egnet til å gi den samme følelsen av overvåking som ekte kameraovervåkingsutstyr. Dette vil som regel også være hensikten med bruken. Forordningen stiller ikke krav til innholdet i nasjonal rett utenfor sitt virkeområde og åpner dermed for fastsettelse av regler om uekte kameraovervåkingsutstyr.

Departementet er enig med Datatilsynet i at skilter eller oppslag som gir inntrykk av at et område er kameraovervåket, bør likestilles med uekte overvåkingsutstyr. Også i disse tilfellene vil følelsen av å være overvåket være den samme. Etter departementets syn bør det derfor også gjelde begrensninger for adgangen til å sette opp skilter, oppslag og lignende som er egnet til å gi inntrykk av at kameraovervåking finner sted.

Etter gjeldende rett er uekte kameraovervåkingsutstyr regulert slik at utstyret omfattes av definisjonen av kameraovervåking. Dette medfører at vilkårene for ekte kameraovervåking gjelder tilsvarende for uekte kameraovervåkingsutstyr. Etter departementets syn bør reglene om uekte overvåkingsutstyr mv. fortsatt være knyttet til reglene om reell kameraovervåking. En regulering der vilkårene for ekte kameraovervåking gis tilsvarende anvendelse, vil imidlertid etter departementets syn være mindre hensiktsmessig med forordningens regler, ettersom forordningen i motsetning til gjeldende personopplysningslov ikke har noen særregler om kameraovervåking. En slik regulering blir enda mindre hensiktsmessig dersom den også skal omfatte skilting og lignende. Etter departementets syn vil det gi en klarere regel dersom bestemmelsen formuleres som et uttrykkelig forbud. Det foreslås derfor et forbud som retter seg mot å sette opp uekte kameraovervåkingsutstyr samt skilter, oppslag og lignende som er egnet til å gi inntrykk av at kameraovervåking finner sted, i tilfeller der reell kameraovervåking ikke ville vært tillatt etter forordningen, se lovforslaget § 31 første ledd.

Definisjonen av kameraovervåking foreslås videreført uendret, jf. forslaget § 31 annet ledd.

Det foreslås at forordningens og lovens regler tilsyn, sanksjoner og tvangsmulkt gjelder tilsvarende, og at det kan ilegges overtredelsesgebyr i samsvar med forordningen artikkel 83 nr. 4, jf. forslaget § 31 første ledd annet punktum.

19 Overføring av personopplysninger til tredjestater og internasjonale organisasjoner

19.1 Gjeldende rett

Personopplysningsloven kapittel V inneholder særskilte regler om overføring av personopplysninger til utlandet. Hovedregelen er etter § 29 første ledd første punktum at personopplysninger bare kan overføres til stater som sikrer en forsvarlig behandling av personopplysningene. Stater som har gjennomført 95-direktivet, oppfyller dette vilkåret, jf. annet punktum. Bestemmelsen gjennomfører artikkel 25 nr. 1 i 95-direktivet. Verken personopplysningsloven eller direktivet gir noen definisjon av overføring, men i praksis dreier det seg om flytting av eller tilgang til personopplysninger på tvers av landegrenser.

Personopplysningsloven § 29 tillater at personopplysninger fritt kan overføres innenfor EU/EØS. Overføring av personopplysninger til land utenfor EU/EØS (tredjestater) er betinget av at landet har et tilstrekkelig beskyttelsesnivå.

Kommisjonen kan ifølge artikkel 25 nr. 6 beslutte at en bestemt tredjestat sikrer et tilstrekkelig beskyttelsesnivå i henhold til artikkel 25 nr. 2. Kommisjonens beslutninger om beskyttelsesnivå er rettsakter som normalt må innlemmes i EØS-avtalen gjennom en beslutning i EØS-komiteen. Imidlertid følger det av EØS-komiteens beslutning som innlemmer direktivet, at Kommisjonens beslutninger skal anvendes av EØS/EFTA-statene med mindre de notifiserer Kommisjonen før ikrafttredelsen av beslutningen om at man ikke ønsker å anvende den. Det følger av personopplysningsforskriften § 6-1 at beslutninger om beskyttelsesnivå også skal gjelde for Norge. Når Kommisjonen har truffet slik beslutning, kan den behandlingsansvarlige overføre personopplysninger til mottagere i den aktuelle staten i medhold av hovedregelen i personopplysningsloven § 29 første ledd.

Personopplysningsloven § 30 fastsetter bestemmelser om overføring til tredjestater som ikke har et tilstrekkelig beskyttelsesnivå. Etter første ledd kan personopplysninger overføres dersom den registrerte har gitt samtykke, det foreligger en plikt etter folkerettslig avtale, eller dersom overføringen er nødvendig av en nærmere angitt grunn, for eksempel for å oppfylle en avtale med den registrerte, for å fastsette eller gjøre gjeldende et rettskrav mv. Etter annet ledd kan Datatilsynet tillate overføring selv om vilkårene i første ledd ikke er oppfylt, dersom den behandlingsansvarlige gir tilstrekkelige garantier for vern av den registrertes rettigheter. Det kan settes vilkår for overføringen. I henhold til forskriften § 6-3 kan overføringen også skje uten forhåndsgodkjenning fra Datatilsynet dersom mottageren av opplysningene er en databehandler og grunnlaget for overføringen er EUs standardkontrakt inntatt i kommisjonsbeslutning 2010/87/EU datert 5. februar 2010. Kommisjonen har utarbeidet kontraktsvilkår for dette formålet, som etter direktivet artikkel 26 nr. 4 skal anses som tilstrekkelige garantier som nevnt i bestemmelsen. Standardkontraktene har vært mye brukt av norske virksomheter og er mange sammenhenger anbefalt av Datatilsynet som et sikrere overføringsgrunnlag enn unntakene i § 30 første ledd.

19.2 Forordningen

Kapittel V i forordningen inneholder regler om overføring av personopplysninger til tredjestater og internasjonale organisasjoner. Forordningen definerer ikke nærmere hva som ligger i overføringsbegrepet.

Etter artikkel 44 kan overføring av personopplysninger til tredjestater eller internasjonale organisasjoner bare finne sted dersom vilkårene i kapittel V er oppfylt. Artikkel 44 presiserer dessuten at de øvrige, alminnelige vilkårene for å behandle personopplysninger må være til stede. Reglene om overføring kommer med andre ord i tillegg til de alminnelige kravene som forordningen stiller til enhver behandling.

Artikkel 45 gir regler om Kommisjonens beslutninger om beskyttelsesnivå. Artikkelen oppstiller en rekke momenter Kommisjonen skal vektlegge i vurderingen av om beskyttelsesnivået er tilfredsstillende. Videre slås det fast at Kommisjonen kan godkjenne en tredjestat, et territorium eller en bestemt sektor i en tredjestat. Det samme gjelder for internasjonale organisasjoner som definert i forordningen artikkel 4 nr. 26. Foreligger det en beslutning om tilstrekkelig beskyttelsesnivå, kan opplysninger overføres uten forhåndsgodkjenning fra nasjonale tilsynsmyndigheter. En rekke slike kommisjonsbeslutninger eksisterer allerede etter 95-direktivet, og artikkel 45 nr. 9 slår fast at disse skal fortsette å gjelde.

Etter artikkel 46 nr. 1 kan den behandlingsansvarlige eller databehandleren overføre data til tredjestater uten at det foreligger en beslutning om beskyttelsesnivå dersom den behandlingsansvarlige eller databehandleren gir «nødvendige garantier» og de registrerte har «håndhevbare rettigheter og effektive rettsmidler».

I artikkel 46 nr. 2 er det gitt nærmere regler om hvordan garantiene kan sikres. Garantiene kan sikres ved hjelp av et rettslig bindende og håndhevbart instrument mellom offentlige myndigheter eller organer, standardkontrakter, bindende virksomhetsregler (jf. artikkel 47), godkjente atferdsnormer (jf. artikkel 40) eller gjennom en godkjent sertifiseringsmekanisme (jf. artikkel 42). Også bindende personvernbestemmelser, vedtatt eller godkjent av Kommisjonen etter undersøkelsesprosedyren, kan danne grunnlag for overføring av personopplysninger til tredjestater.

Bindende virksomhetsregler er nærmere regulert i artikkel 47. Dette er retningslinjer som gjelder internt i et konsern eller en gruppe av foretak, jf. artikkel 4 nr. 20. Artikkel 47 oppstiller en rekke krav som må være oppfylt for at det kompetente tilsynsorganet skal kunne godkjenne virksomhetsreglene. Kravene kodifiserer stort sett Artikkel 29-gruppens arbeidsdokumenter og anbefalinger. Godkjenningen skal skje i samsvar med konsistensmekanismen i artikkel 63.

Etter artikkel 46 nr. 3 kan nødvendige garantier også sikres ved hjelp av avtalevilkår mellom den behandlingsansvarlige eller databehandleren og den behandlingsansvarlige, databehandleren eller mottageren av personopplysninger i tredjestaten eller den internasjonale organisasjonen, eller ved administrative ordninger mellom offentlige myndigheter og organer. I disse tilfellene kreves det imidlertid godkjenning fra tilsynsmyndigheten. Etter artikkel 46 nr. 4 skal tilsynsmyndigheten anvende konsistensmekanismen etter artikkel 63.

Artikkel 48 innfører en regel som slår fast at rettslige avgjørelser avsagt av domstoler eller administrative myndigheter i tredjestater, bare kan utgjøre et rettslig grunnlag for utlevering av personopplysninger så fremt de er basert på en internasjonal avtale.

Artikkel 49 tilsvarer langt på vei personopplysningsloven § 30 første ledd. Etter bestemmelsen er overføring tillatt ved samtykke og etter nærmere angitte nødvendighetsgrunner. Artikkelen presiserer at en overføring som ikke kan baseres på et av vilkårene i artikkel 49 nr. 1 bokstavene a til g eller et av alternativene i artikkel 45 og 46, bare kan finne sted dersom den ikke er gjentagende, bare gjelder et begrenset antall registrerte og er «nødvendig av hensyn til de tvingende berettigede interessene som forfølges av den behandlingsansvarlige, og den registrertes interesser eller rettigheter og friheter ikke går foran». Den behandlingsansvarlige må dessuten ha vurdert alle relevante omstendigheter og må gi nødvendige garantier for vern av opplysningene. Den behandlingsansvarlige skal videre informere tilsynsmyndighetene og den registrerte om overføringen.

I artikkel 50 er det gitt regler om internasjonale samarbeidsmekanismer for håndhevelse av den europeiske personvernlovgivningen, gjensidig internasjonal bistand, felles drøftelser og aktiviteter, samt utveksling og dokumentasjon av informasjon om relevant lovgivning og praksis.

19.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet å videreføre bestemmelsen i personopplysningsforskriften § 6-1 om at Kommisjonens beslutninger om tilstrekkelig beskyttelsesnivå gjelder for Norge med mindre reservasjonsadgangen er benyttet. Videre viste departementet til forordningen artikkel 49 nr. 5, som åpner for at det i nasjonal rett «av hensyn til viktige allmenne interesser uttrykkelig fastsettes grenser for overføring av spesifikke kategorier av personopplysninger til en tredjestat eller en internasjonal organisasjon», og foreslo en forskriftshjemmel for slike bestemmelser.

19.4 Høringsinstansenes syn

Få høringsinstanser uttaler seg om overføring av personopplysninger til tredjestater.

Forbrukerrådet gir uttrykk for at det bør være en reell mulighet for Norge til å reservere seg mot Kommisjonens beslutninger om tilstrekkelig beskyttelsesnivå:

«Selv om forordningen gir klare instruksjoner til Kommisjonen om hva som skal vektlegges i en slik vurdering, er det viktig at Norge ikke i alle tilfeller anses forpliktet til å legge Kommisjonens beslutning til grunn. Forbrukerrådet støtter derfor utkastet § 10, første ledd om at vurderingen skal legges til grunn, medmindre reservasjonsadgangen er benyttet. Hva som ligger i denne reservasjonsadgangen omtales riktignok ikke i høringsnotatet, og Forbrukerrådet vil derfor understreke at det er viktig at det eksisterer en reell mulighet for Norge til å reservere seg fra å legge til grunn Kommisjonens beslutning.»

Høringsinstansene er delt i synet på om det være en hjemmel for å fastsette nærmere bestemmelser om overføring av personopplysninger til utlandet i forskrift. Datatilsynet og Direktoratet for e-helse støtter forslaget om en forskriftshjemmel. Datatilsynet stiller imidlertid spørsmål ved om ordlyden i den foreslåtte bestemmelsen er for vid, og uttaler at bestemmelsen «kan gi inntrykk av at det er adgang til å regulere overføring til utlandet som sådan, mens det i realiteten dreier seg om å utnytte handlingsrommet som følger av artikkel 49 nr. 5».

Næringslivets Hovedorganisasjon og Telenor Norge AS går imot forslaget om forskriftshjemmel. Telenor Norge AS uttaler:

«Telenor har imidlertid opplevd det som vanskelig gjennom flere år å ha ulike regimer innenfor EU/EØS- området ved overføring av personopplysninger, det være seg søknadsplikter, informasjonsplikter eller fravær av slike regimer.

Telenor ønsker følgelig ikke en forskriftshjemmel der Datatilsynet har mulighet for å gi nærmere regler om overføring av sensitive opplysninger til tredjestater når det ikke foreligger en beslutning om tilstrekkelig beskyttelsesnivå. Telenor anser at slike spørsmål må diskuteres og harmoniseres mot regelverk i de andre EU/EØS-landene.

Vi vil også peke på at det er langt flere kategorier av opplysninger enn de som etter forordningen defineres som sensitive som i praksis har et tilsvarende høyt beskyttelsesbehov, det være seg passord, trafikkdata, IP-adresser, pin-koder, fødselsnummer m fl.»

19.5 Departementets vurdering

Forordningens regler om overføring av personopplysninger til tredjestater eller internasjonale organisasjoner åpner i liten grad for nasjonale tilpasninger. I henhold til tilpasningsteksten til 95-direktivet, vil Kommisjonens beslutninger om tilstrekkelig beskyttelsesnivå gjelde i Norge i påvente av at beslutningen blir innlemmet i EØS-avtalen med mindre Norge i det enkelte tilfellet reserverer seg mot dette. Denne forpliktelsen er gjennomført i personopplysningsforskriften § 6-1 første ledd. Dette innebærer at beslutningene gjelder for norske behandlingsansvarlige samtidig som de begynner å gjelde i EU, slik at behandlingsansvarlige i Norge ikke trenger å måtte vente på at beslutningene inntas i EØS-avtalen. Utkast til EØS-komiteens beslutning som innlemmer forordningen i EØS-avtalen viderefører denne ordningen. Departementet foreslår at bestemmelser om dette gis i forskrift, slik som etter gjeldende rett.

Et annet grunnlag for overføring av personopplysninger til tredjestater er å benytte standard personvernbestemmelser vedtatt eller godkjent av Kommisjonen, jf. forordningen artikkel 45 nr. 2 bokstav c og d. Utkast til EØS-komiteens beslutning fastslår at også slike avgjørelser fra Kommisjonen skal gjelde i Norge, med mindre Norge i det enkelte tilfellet motsetter seg dette. I likhet med Kommisjonens beslutninger om at tilstrekkelig beskyttelsesnivå, anser departementet det som en klar fordel at norske behandlingsansvarlige kan anvende standard personvernbestemmelser som grunnlag for overføring av personvernopplysninger til tredjestater eller internasjonale organisasjoner samtidig med behandlingsansvarlige i EUs medlemsstater. Departementet foreslår at bestemmelser om dette gis i forskrift.

Etter departementets syn bør det på nåværende tidspunkt ikke gis nærmere nasjonale regler om overføring av personopplysninger til tredjestater eller internasjonale organisasjoner på grunnlag av forordningen artikkel 49 nr. 5. Departementet mener samtidig at det bør gis en hjemmel for å fastsette slike bestemmelser i forskrift, med henblikk på at det i fremtiden kan vise seg å bli nødvendig med nasjonale bestemmelser. Hensynet til harmonisering av regelverket, som er blitt trukket frem i høringen, må vektlegges i en vurdering av om slike bestemmelser bør gis.

Den foreslåtte bestemmelsen vil ikke gi grunnlag for forskrifter i større utstrekning enn forordningen åpner for nasjonale bestemmer. Det er etter departementets syn ikke nødvendig å presisere dette i loven.

20 Overtredelsesgebyr

20.1 Gjeldende rett

Personopplysningsloven § 46 har bestemmelser om overtredelsesgebyr. Datatilsynet kan ilegge overtredelsesgebyr for overtredelser av personopplysningsloven eller forskriften med et beløp inntil ti ganger folketrygdens grunnbeløp. Den 1. mai 2017 tilsvarte dette et maksimumsbeløp på 936 340 kroner. Fysiske personer kan bare ilegges overtredelsesgebyr for forsettlige eller uaktsomme overtredelser. Foretak kan ikke ilegges overtredelsesgebyr dersom overtredelsen skyldes forhold utenfor foretakets kontroll.

Personopplysningsloven § 46 annet ledd angir momenter det skal legges vekt på i vurderingen av om det skal ilegges overtredelsesgebyr og ved utmålingen av gebyrets størrelse. Det skal legges vekt på overtredelsens alvor, graden av skyld, om overtredelsen kunne vært forebygget, om overtredelsen er begått for å fremme overtrederens interesser, om overtrederen har eller kunne oppnådd fordeler, om det foreligger gjentakelse, om det er ilagt andre reaksjoner som følge av overtredelsen og overtrederens økonomiske evne.

Tredje ledd fastsetter at oppfyllelsesfristen er fire uker fra vedtaket om overtredelsesgebyr er endelig. I motsetning til hovedregelen ved domstolsprøving av forvaltningsvedtak kan domstolene prøve alle sider av saken.

Ved lov 27. mai 2016 nr. 15 ble det vedtatt nye bestemmelser om administrative sanksjoner i forvaltningsloven, jf. §§ 43 til 50. Loven trådte i kraft 1. juli 2017. Reglene gjelder for administrative sanksjoner som anses som straff etter den europeiske menneskerettskonvensjon. Bestemmelsene gir ikke selv hjemmel for overtredelsesgebyr eller andre administrative sanksjoner, men gir enkelte felles regler når særlovgivningen fastsetter slik hjemmel. Blant annet gis det regler om hvilke momenter som kan tillegges vekt i vurderingen av om det skal gis overtredelsesgebyr og utmålingen, jf. §§ 44 og 46, samordning av sanksjoner i de tilfellene lovgivningen åpner både for straff og administrative sanksjoner, plikt til å orientere om taushetsrett mv., plikt til å underrette om sakens utfall og domstolens kompetanse ved prøving av vedtak om administrative sanksjoner.

20.2 Forordningen

Forordningen artikkel 83 regulerer overtredelsesgebyr. Artikkel 83 nr. 1 fastslår at de nasjonale tilsynsmyndigheter skal sikre at overtredelsesgebyr i den enkelte sak skal være virkningsfulle, stå i et rimelig forhold til overtredelsen og virke avskrekkende.

Artikkel 83 nr. 2 angir momenter det skal legges vekt på i vurderingen av om det skal ilegges overtredelsesgebyr og ved utmålingen av gebyrets størrelse. Det skal legges vekt på karakteren, alvorlighetsgraden og varigheten av overtredelsen, om overtredelsen er begått forsettlig eller uaktsomt, eventuelle tiltak som er truffet for å begrense skaden, graden av ansvar under hensyntagen til de tekniske og organisatoriske tiltak som er gjennomført, eventuelle tidligere relevante overtredelser, graden av samarbeid med tilsynsmyndigheten, hvilke kategorier av personopplysninger som påvirkes av overtredelsen, på hvilken måte tilsynsmyndigheten fikk kjennskap til overtredelsen, om tidligere advarsler, irettesettelser eller pålegg fra tilsynsmyndigheten i samme sakskompleks er fulgt, og om godkjente atferdsregler eller godkjente sertifiseringsmekanismer er overholdt. Det fremgår at opplistingen ikke er uttømmende og at det også kan legges vekt på andre momenter, herunder om overtrederen har hatt økonomiske fordeler ved overtredelsen.

Artikkel 83 nr. 4 fastslår at overtredelser av den behandlingsansvarliges og databehandlerens forpliktelser etter forordningen artikkel 8 (barns samtykke), artikkel 11 (behandling som ikke krever identifikasjon), artikkel 25 til 39 om deres generelle forpliktelser, personopplysningssikkerhet, vurdering av personvernkonsekvenser og personvernombud samt artikkel 42 og 43 om sertifisering skal sanksjoneres med et gebyr opptil 10 millioner euro, eller hvis det er tale om foretak, opptil 2 % av den samlede globale årsomsetningen i forutgående regnskapsår hvis denne er høyere. Det samme gjelder for sertifiseringsorganets overtredelser av artikkel 42 og 43 og, dersom det er opprettet et eget tilsynsorgan for å kontrollere overholdelse av atferdsnormer, for dette organets overtredelse av artikkel 41 nr. 4 om tiltak for å sikre at behandlingsansvarlig eller databehandler overholder atferdsnormene.

Ved overtredelse av artikkel 5, 6, 7 og 9 om de grunnleggende prinsippene for behandling av personopplysninger, artikkel 12 til 22 om de registrertes rettigheter eller artikkel 44 til 49 om overføring av personopplysninger til en mottager i en tredjestat, kan det ilegges et overtredelsesgebyr på opptil 20 millioner euro, eller hvis det er et foretak, opp til 4 % av den samlede globale årsomsetningen i forutgående regnskapsår hvis denne er høyere. Det samme gjelder for overtredelse av nasjonale regler gitt i medhold av forordningen kapittel IX om særlige behandlingssituasjoner, og dersom en behandlingsansvarlig eller databehandler ikke overholder et pålegg fra tilsynsmyndigheten gitt i medhold av artikkel 58 nr. 2 eller ikke gir tilgang etter artikkel 58 nr. 3.

Dersom det ilegges overtredelsesgebyr for flere overtredelser, skal overtredelsesgebyret ikke overstige maksimumsbeløpet for den mest alvorlige overtredelsen, jf. artikkel 83 nr. 3.

Forordningen overlater til medlemsstatene å fastsette om overtredelsesgebyr skal kunne ilegges offentlige myndigheter og organer, jf. artikkel 83 nr. 7. Det overlates også til nasjonal rett å fastsette prosessuelle rettigheter, herunder effektive rettsmidler og rett til en rettferdig rettergang, jf. artikkel 83 nr. 8.

20.3 Forslaget i høringsnotatet

20.3.1 Hvilke overtredelser skal kunne sanksjoneres med overtredelsesgebyr?

Departementet la i høringsnotatet til grunn at forordningen åpner for at overtredelse av også andre artikler enn de som fremgår av artikkel 83 kan sanksjoneres med overtredelsesgebyr. På denne bakgrunn foreslo departementet at også artikkel 10 og 24 skal kunne sanksjoneres med overtredelsesgebyr og at artikkel 83 nr. 4 skulle gis tilsvarende anvendelse i disse tilfellene.

20.3.2 Overtredelsesgebyr ved overtredelse av særlovgivningen

I høringsnotatet viste departementet til at Datatilsynets kompetanse til å ilegge overtredelsesgebyr etter forordningen artikkel 83 bare knytter seg til forordningens regler, med den følge at Datatilsynet ikke kan benytte artikkel 83 til å ilegge overtredelsesgebyr direkte for overtredelse av bestemmelser i særlovgivningen. Et unntak fra dette er likevel nasjonale bestemmelser gitt med grunnlag i kapittel IX, for eksempel om behandling i arbeidsforhold, som kan sanksjoneres direkte med grunnlag i artikkel 83 nr. 5 bokstav d. Samtidig viste departementet til at behandling som er i strid med bestemmelser i særlovgivningen i mange tilfeller også vil være overtredelser av bestemmelser i forordningen og derfor vil kunne sanksjoneres som overtredelse av forordningen, og at det på denne bakgrunn ofte kan være unødvendig å gi hjemmel for overtredelsesgebyr i særlover som har bestemmelser om behandling av personopplysninger.

20.3.3 Overtredelsesgebyr mot offentlige myndigheter

Forordningen lar det være opp til nasjonal rett å bestemme om Datatilsynet skal ha adgang til å ilegge overtredelsesgebyr mot offentlige myndigheter, og departementet foreslo på denne bakgrunn i høringsnotatet å videreføre gjeldende rettstilstand om at Datatilsynet har adgang til å ilegge overtredelsesgebyr mot offentlige myndigheter.

20.3.4 Saksbehandlingsregler ved ileggelse av overtredelsesgebyr

Departementet viste i høringsnotatet til at forordningen åpner for å gi nasjonale regler om saksbehandling ved ileggelse av overtredelsesgebyr utover de regler som følger av forordningen, men foreslo ingen egne bestemmelser om dette. Departementet foreslo i høringsnotatet å videreføre gjeldende rettstilstand om at oppfyllelsesfristen for overtredelsesgebyr er fire uker fra vedtaket er endelig.

20.3.5 Domstolsprøving og inndriving

For så vidt gjelder domstolsprøving av vedtak om overtredelsesgebyr, foreslo departementet en bestemmelse i lovutkastet § 22 annet ledd om at domstolen kan prøve alle sider av saken, og avsi realitetsdom dersom den finner det hensiktsmessig og forsvarlig.

Departementet la til grunn at det er unødvendig å innta en egen bestemmelse om tvangskraft i personopplysningsloven, da det følger av tvangsfullbyrdelsesloven § 7-2 første ledd bokstav d at administrativ sanksjon truffet av offentlig myndighet med hjemmel i lov anses som tvangsgrunnlag for utlegg. Departementet foreslo på denne bakgrunn å ikke videreføre bestemmelsen i personopplysningsloven 47 a.

20.3.6 Foreldelse

Departementet foreslo ingen regler om foreldelse i høringsnotatet, men ba om høringsinstansenes syn på om det bør innføres en foreldelsesfrist for adgangen til å ilegge overtredelsesgebyr og hvor lang denne i så tilfelle bør være. Noen slik foreldelsesfrist følger ikke av forordningen, og heller ikke av forvaltningslovens alminnelige regler. For så vidt gjelder foreldelse av selve overtredelsesgebyret, viste departementet til at dette vil følge de alminnelige reglene i foreldelsesloven, og at det derfor ikke anses nødvendig med egne regler om dette.

20.4 Høringsinstansenes syn

20.4.1 Hvilke overtredelser skal kunne sanksjoneres med overtredelsesgebyr?

Høringsinstansene har vært delt i synet på om Datatilsynet bør gis adgang til å ilegge gebyr for overtredelse av artikkel 10 og 24 i tillegg til de overtredelsesgebyrene som forordningen artikkel 83 hjemler direkte. Landsorganisasjonen i Norge, Statens sivilrettsforvaltning, Vestfold fylkeskommune og Brækhus Advokatfirma DA støtter at Datatilsynet gis adgang til å ilegge gebyr for overtredelse av artikkel 10 og 24. Brønnøysundregistrene støtter at Datatilsynet gis adgang til å ilegge gebyr for overtredelse av artikkel 10. Datatilsynet uttaler at de ikke har merknader til forslaget som åpner for å ilegge overtredelsesgebyr for overtredelse av forordningen artikkel 10 og 24.

Statens sivilrettsforvaltning uttaler:

«Sett hen til typen personopplysninger som reguleres i artikkel 10, ved at disse kan være av stor betydning for den enkeltes integritet, finner vi at også overtredelser av denne bestemmelsen bør kunne ilegges gebyr. Statens sivilrettsforvalting er av den oppfatning at vilkårene for overtredelsesgebyr, samt sanksjonens karakter, vil virke allmennpreventivt i større grad enn erstatningsansvaret etter artikkel 82. Videre er det enklere tilgjengelig for den registrerte å klage til Tilsynsmyndigheten enn å anlegge sak for domstolen, jf. artikkel 79.

Vedrørende artikkel 24 er Statens sivilrettsforvaltning enig med departementet i at artikkelen favner noe bredere enn artiklene 25 og 32. Sett i sammenheng med hvilke andre artikler som er omfattet, synes det rimelig at også behandlingsansvarliges ansvar etter artikkel 24 omfattes.»

Direktoratet for forvaltning og IKT uttrykker skepsis mot at Datatilsynet skal ha adgang til å ilegge overtredelsesgebyr for overtredelse av artikkel 24. Direktoratet for forvaltning og IKT viser til at det blir krevende å etablere en forutsigbar tilsynspraksis ettersom artikkel 24 gir anvisning på en rekke skjønnsmessige faktorer. Videre stiller direktoratet spørsmål ved om det reelt sett er behov for å kunne ilegge sanksjoner for overtredelse av artikkel 24, og peker på at en særnorsk bestemmelse også vil føre til norsk og europeisk tilsynspraksis blir forskjellig.

Politidirektoratet uttaler at de slutter seg til Kripos’ vurdering om at det nærmere innholdet og kravene i artikkel 10 og 24 er så uklare at brudd på disse, på det nåværende tidspunktet, ikke bør sanksjoneres.

Norsk senter for forskningsdata støtter forslaget om å kunne sanksjonere brudd på artikkel 10, men går imot forslaget om å kunne sanksjonere artikkel 24. Norsk senter for forskningsdata uttaler:

«Vi gjør oppmerksom på at forslaget om sanksjonsmulighet for brudd på art. 24, skiller seg fra lovforslagene i de andre nordiske landene. Etter hva vi kan se, foreslår verken Danmark, Sverige eller Finland en tilsvarende bestemmelse. Vi ser at en slik bestemmelse kan virke skjerpende på institusjonenes etterlevelse av loven, men vil påpeke at de fleste vil ha vansker med å kunne dokumentere fullstendig «compliance» med regelverket. I lys av at Datatilsynet gjerne bruker tilsyn ved enkeltinstitusjoner for å «sette eksempler», kan en slik bestemmelse kombinert med forordningens høye overtredelsesgebyrer ramme hardt og tilfeldig. Vi anbefaler at Norge følger de nordiske landene på dette området.»

Virke uttaler at det er tvilsomt om artikkel 84 overhodet gir adgang til å utvide artikkel 83 til også å omfatte artikkel 10 og 24. Uansett mener Virke at en slik utvidelse av anvendelsesområdet for artikkel 83 er uheldig, idet dette vil innebære en ytterligere skjerping av et sanksjonsregime som allerede er vesentlig strengere enn etter dagens regler.

20.4.2 Overtredelsesgebyr ved overtredelse av særlovgivningen

Ingen høringsinstanser har hatt merknader til dette.

20.4.3 Overtredelsesgebyr mot offentlige myndigheter

En rekke høringsinstanser har uttalt seg om hvorvidt det bør kunne ilegges overtredelsesgebyr mot offentlige myndigheter. Høringsinstansene har generelt vært positive til at overtredelsesgebyr skal kunne ilegges mot offentlige myndigheter, men flere offentlige høringsinstanser har tatt til orde for at overtredelsesgebyret som kan ilegges mot offentlige myndigheter, beløpsmessig bør begrenses. Én høringsinstans tar til orde for at offentlige myndigheter ikke bør kunne ilegges overtredelsesgebyr overhodet.

Datatilsynet og Landsorganisasjonen i Norge støtter forslaget om at overtredelsesgebyr skal kunne ilegges offentlige myndigheter. Arbeidsgiverforeningen Spekter støtter også forslaget og uttaler at det prinsipielt er vanskelig å argumentere for en forskjellsbehandling av privat og offentlig sektor på dette området. Videre uttaler Arbeidsgiverforeningen Spekter at det nok ikke er gebyr som er det viktigste overfor offentlige virksomheter, og at faren for omdømmetap og konsekvensene for tilliten brukerne har til tjenesteleverandøren nok er vel så viktig. Næringslivets Hovedorganisasjon støtter også forslaget og uttaler at det ut fra formålet med reglene i forordningen ikke er noen grunn til at offentlige myndigheter ikke skal være omfattet av sanksjonsordningen. Også Politidirektoratet støtter forslaget og uttaler at de er enig med departementet i at det ikke er noen grunn til å skille mellom private og offentlige behandlingsansvarlige når det gjelder muligheten for å bli ilagt overtredelsesgebyr.

Direktoratet for forvaltning og IKT, Oslo kommune og Statnett SF uttrykker skepsis mot at offentlige myndigheter skal kunne ilegges overtredelsesgebyr av samme størrelse som private. Direktoratet for forvaltning og IKT mener at dagens beløpsgrense på ti ganger grunnbeløpet bør videreføres for så vidt gjelder overtredelsesgebyr mot det offentlige. Direktoratet uttaler i denne forbindelse:

«Ettersom gebyrene tilfeller statskassen, vil effekten av gebyrene ikke være en utgift for forvaltningen samlet sett, men gebyret fungerer som en omfordelingsmekanisme (internt i staten eller fra kommune til stat). Desto større gebyret er, desto mer vil det fungere som et inngrep i politiske myndigheters prioritering av ressurser for å løse forvaltningsoppgaver. Det er uheldig.

Videre vil overtredelsesgebyrets størrelse kunne påvirke organets prioritering av etterlevelsen av ulike regelverk. Internkontrollen i virksomheten skal innrettes basert på vesentlighet og risiko, slik at lover og regler følges og virksomhetens mål oppnås; for staten fremgår dette av økonomireglementet § 4, jf. første og tredje ledd. En videreføring av dagens beløpsgrenser vil opprettholde balansen mellom de ulike regelverkene, og holde overtredelsesgebyret på nivå med gebyrnivået fra andre tilsynsorganer. Vi viser her til at arbeidsmiljøloven åpner for overtredelsesgebyr inntil 15G (<1,5 mill NOK, aml § 18-10 første ledd), mens plan- og bygningsloven setter grensen ved 400 000 for ett tiltak (grense i forskriften § 16-1 i.f.).»

Oslo kommune uttaler at konsekvensen av et høyt bøtenivå for offentlige myndigheter vil kunne bli svært alvorlig og vil kunne påvirke evnen til å levere andre samfunnskritiske tjenester. Oslo kommune viser til at det særlig sett hen til den uklarheten som foreløpig eksisterer rundt omfanget av de nye kravene i forordningen, anses lite hensiktsmessig at offentlige myndigheter allerede fra ikrafttredelse av loven skal kunne pålegges overtredelsesgebyrer. Det antas at samfunnet totalt sett vil være bedre tjent med at det ikke innføres slike overtredelsesgebyrer overfor offentlig sektor i den første perioden etter at ny personopplysningslov trer i kraft.

StatnettSF uttaler:

«Statnett er generelt opptatt av at man begrenser bruken av store bøter for offentlige institusjoner og virksomheter for brudd på regelverk. Innenfor vår kategori av virksomheter er tap i omdømme uansett den viktigste følgen av regelbrudd, og båndlegging av midler til dekning av svært store bøter vil bare ramme øvrig drift og tjenester som skal komme publikum og samfunnet for øvrig til nytte. Bøtenivået som er foreslått er vesentlig høyere enn det som er vanlig i Norge. At brudd på dette regelverket skal gi uforholdsmessig høye reaksjoner sammenlignet med brudd på andre regelverk er i seg selv uheldig. Dette vil i sin tur kunne føre til en inflasjon i bøtenivået som vil være enda mer utfordrende for offentlige aktører.»

KS mener at offentlige myndigheter ikke bør kunne ilegges overtredelsesgebyr overhodet og uttaler at samfunnet totalt sett vil være best tjent med at det ikke innføres overtredelsesgebyrer overfor offentlig sektor i den første perioden hvor ny personopplysningslov gjelder.

20.4.4 Saksbehandlingsregler ved overtredelsesgebyr

Kun et fåtall høringsinstanser har uttalt seg om saksbehandlingsreglene ved ileggelse av overtredelsesgebyr.

Næringslivets Hovedorganisasjon omtaler forholdet til Grunnloven § 96 og uttaler i den forbindelse:

«Vi forstår forordningen artikkel 83 slik at overtredelsesgebyr må være en av sanksjonene mot overtredelser. Departementet drøfter knapt forholdet mellom Grunnloven § 96 og overtredelsesgebyret. Vi mener en grundig drøftelse ville vært nærliggende når det er snakk om en hjemmel som vil gjelde omtrent alle norske virksomheter og med en så høy ramme for beløp. Vi er enig i at det ikke er tvilsomt at ordningen med overtredelsesgebyr er omfattet av EMK. Når departementet i punkt 25.3 skriver at «mange av forordningens bestemmelser er svært skjønnspregede og dermed lite egnet for straffesanksjonering», mener vi at dette ikke gjelder mye mindre for sanksjoner i form av overtredelsesgebyr. Departementets synspunkt gjør det nærliggende med like sterke rettssikkerhetsgarantier i en sak om overtredelsesgebyr som om saken skulle ha gjeldt straff.»

Skattedirektoratet uttaler at forordningen åpner for overtredelsesgebyr med betydelige beløp, og at det på nåværende tidspunkt er vanskelig å vite hvordan fremtidig praksis vil bli. Videre uttaler Skattedirektoratet:

«Artikkel 10 og 24 åpner for skjønnsmessige vurderinger av hva som er tilstrekkelig for å overholde reglene. Hvis overtredelsesgebyr skal kunne ilegges ved overtredelse av reglene foreslår Skattedirektoratet at behandlingsansvarlig og eventuell databehandler mottar et varsel. Varselet kan inneholde informasjon om overtredelsesgebyr, gebyrets størrelse og frist for utbedring for å unngå gebyr. En slik løsning kan virke preventivt, bidra til rask retting og medføre økt grad av forutsigbarhet for behandlingsansvarlig og databehandler.»

Regnskap Norge mener at oppfyllelsesfristen på fire uker for overtredelsesgebyr i lovutkastet § 22 første ledd i noen situasjoner kan være knapp tid, og anbefaler at Datatilsynet i stedet gis anledning til å vurdere dette konkret ut fra situasjonen, for eksempel ved at fristen settes til minimum fire uker fra vedtaket er endelig.

20.4.5 Domstolsprøving og inndriving

Kun én høringsinstans har uttalt seg om domstolsprøving av vedtak om overtredelsesgebyr. Landsorganisasjonen i Norge uttaler at de ikke har noen innsigelser til at domstolen skal kunne avsi realitetsdom og ikke bare dom om gyldigheten av vedtaket. Videre uttaler Landsorganisasjonen i Norge at det er positivt med en raskere saksbehandling, og at dette normalt ikke vil gå på bekostning av rettssikkerheten.

20.4.6 Foreldelse

Høringsinstansene har generelt vært positive til at det gis regler om foreldelse av adgangen til å ilegge overtredelsesgebyr. Høringsinstansene har vært delt i synet på foreldelsesfristens lengde, men en rekke høringsinstanser trekker frem reguleringen i konkurranseloven som en mulig modell for foreldelsesregler i personopplysningsloven. Kun én høringsinstans mener det ikke bør gis foreldelsesregler.

Politidirektoratet uttaler at de er enig med Kripos i at det bør innføres en foreldelsesfrist for muligheten til å ilegge overtredelsesgebyr, og at lengden på fristen bør settes i samsvar med sammenlignbare bestemmelser.

Arbeidsgiverforeningen Spekter mener også at det det bør innføres foreldelsesregler om adgangen til å legge overtredelsesgebyr. Arbeidsgiverforeningen Spekter viser til at det økte nivået for maksimal størrelse for ileggelse av gebyrene vil kunne ramme virksomheter hardt, slik at rask avklaring og forutberegnelighet vil bli av større betydning enn tidligere. Arbeidsgiverforeningen Spekter uttaler at en eventuell foreldelsesfrist vil måtte balansere hensynet til forutberegnelighet og gode rammevilkår for utarbeidelse av beslutningsgrunnlag, og ettersom en foreldelsesfrist ikke har vært praktisert frem til i dag, bør spørsmålet om fristens lengde og beregning utredes nærmere før en slik frist eventuelt fastsettes.

Brækhus Advokatfirma DA mener en foreldelsesfrist på fem år er en passende lengde, men at det bør vurderes om det skal skilles mellom mindre og mer alvorlige overtredelser etter modell av konkurranselovgivningen med henholdsvis fem og ti års foreldelsesfrist. Advokatfirmaet uttaler at det på generelt grunnlag er en rekke hensyn som taler for at det fastsettes en foreldelsesfrist for ileggelse av administrative sanksjoner. Det vises til at hensynet til rettssikkerhet og hensynet til de berørte aktørenes forutsigbarhet, avklaring og innrettelse er særlig fremtredende, men at også hensynet til forvaltningens effektivitet og ressursbruk til en viss grad gjør seg gjeldende.

Juristforbundet mener at det bør fastsettes en foreldelsesfrist på henholdsvis ti år og fem år for ileggelse av overtredelsesgebyr etter modell av foreldelsesreglene i konkurranseloven § 29, og viser i denne forbindelse til hensynet til forutsigbarhet for virksomhetene. Juristforbundet uttaler at dersom departementet ikke viderefører straffebestemmelser for brudd på personopplysningsloven, bør foreldelsesfristen for ileggelse av overtredelsesgebyr som hovedregel være ti år og unntaksvis fem år.

Statens sivilrettsforvaltning uttaler at det av hensyn til den behandlingsansvarliges forutberegnelighet anses hensiktsmessig å innføre en foreldelsesfrist for adgangen til å ilegge overtredelsesgebyr. Statens sivilrettsforvaltning gir ikke uttrykk for hvor lang fristen bør være, men viser til at fristens lengde vil avhenge av hva som er utgangspunktet for fristen. Dersom fristen starter å løpe fra det tidspunkt den registrerte er blitt kjent med misligholdet, mener Statens sivilrettsforvaltning at det kan være hensiktsmessig at fristen er kortere enn om fristen starter å løpe fra tidspunktet for da misligholdet inntrådte.

Telia Norge AS støtter at det innføres en foreldelsesfrist og viser til at utover de mer alminnelige hensynene bak foreldelsesinstituttet, vil krenkelser av personvernet ofte ha mindre betydning for de registrerte dersom hendelsene er langt tilbake i tid, eksempelvis fordi de aktuelle opplysningene allerede er slettet av den behandlingsansvarlige i henhold til ordinære sletterutiner. Telia Norge AS foreslår at foreldelsesfristen settes på samme måte som overtredelsesgebyr etter konkurranseloven, det vil si med en frist på ti år fra den dag overtredelsen er opphørt.

Næringslivets Hovedorganisasjon uttaler at det er åpenbart at loven må ha en regel om foreldelse av sanksjonerbare forhold og uttaler at den begrunnelse som vanligvis gjelder for regler om foreldelse, vil gjelde fullt ut i saker etter personopplysningsloven. Videre viser Næringslivets Hovedorganisasjon til Justiskomiteens merknader i Innst. 243 L (2015–2016) om Endringer i forvaltningsloven mv. (administrative sanksjoner mv.), hvor komiteen uttaler at det ved forberedelse av nye særlover eller endring av disse bør inngå bestemmelser om foreldelse.

Datatilsynet støtter at det bør være en foreldelsesfrist for adgangen til å ilegge overtredelsesgebyr og anbefaler at dette utredes nærmere. Datatilsynet uttaler at de viktigste problemstillingene å ta stilling til er når fristen begynner å løpe fra, fristens varighet og når fristen avbrytes. Datatilsynet viser til at i europeisk sammenheng har foreldelse vært et viktig spørsmål som medlemsland, ofte etter inspirasjon fra nasjonal særlovgivning på andre områder, har løst på ulike måter. For eksempel trekkes konkurranselovgivningen ofte frem som relevant regelsett å sammenligne med.

Vestfold fylkeskommune mener at det bør innføres en foreldelsesfrist for adgangen til å ilegge overtredelsesgebyr og uttaler at dersom lovens regler straffesanksjoneres, bør foreldelsesfristen for å ilegge gebyr korrespondere med straffelovens regler om foreldelse.

Norsk rikskringkasting mener det bør innføres en foreldelsesfrist og viser til at foreldelse av ansvar er en rettsikkerhetsgaranti.

Skattedirektoratet mener det bør innføres en foreldelsesfrist for behandlingsansvarlig og databehandler på seks måneder eller ett år.

KS mener at det ikke bør være adgang til å ilegge overtredelsesgebyr to år etter at overtredelsen er opphørt, tilsvarende reguleringen i akvakulturloven § 30 sjette ledd. Foreldelsesfristen bør avbrytes ved forhåndsvarsel eller vedtak om overtredelsesgebyr. KS viser til at overtredelsesgebyrene økes betydelig ved personvernforordningen for private og offentlige aktører, og at en regulering av foreldelsesfrist anses som en av flere rettsikkerhetsgarantier.

LO mener det ikke er behov for en egen foreldelsesfrist men uttaler at hvis det settes frist, bør denne ikke være kortere enn fem år.

20.5 Departementets vurdering

20.5.1 Hvilke overtredelser skal kunne sanksjoneres med overtredelsesgebyr?

Forordningen artikkel 83 bestemmer hvilke overtredelser som kan sanksjoneres med overtredelsesgebyr, men artikkel 84 åpner for at det i nasjonal rett også kan fastsettes sanksjoner for overtredelse av andre bestemmelser enn de som er underlagt overtredelsesgebyr etter artikkel 83. Departementet foreslår med hjemmel i forordningen artikkel 84 at også artikkel 10 og 24 skal kunne sanksjoneres med overtredelsesgebyr, og at artikkel 83 nr. 4 gis tilsvarende anvendelse i disse tilfellene, se lovforslaget § 26 første ledd.

Etter departementets vurdering er det behov for at Datatilsynet kan ilegge overtredelsesgebyr ved overtredelse av artikkel 10 og 24. Departementet viser til at en rekke høringsinstanser har støttet forslaget i høringsnotatet. Departementet viser til at Datatilsynet flere ganger har ilagt overtredelsesgebyr for overtredelse av personopplysningsloven § 14 om internkontroll, som er parallellen til artikkel 24 i någjeldende personopplysningslov. Departementet mener Datatilsynet også bør kunne ilegge gebyr for overtredelse av artikkel 10, som gir regler om behandling av personopplysninger om straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak, og fastsetter at slik behandling bare kan utføres under en offentlig myndighets kontroll eller dersom det er tillatt i henhold til EU-lovgivning eller nasjonal rett. Bestemmelsen tilsvarer delvis någjeldende personopplysningslov § 10 som etter gjeldende rett kan sanksjoneres med overtredelsesgebyr.

20.5.2 Overtredelsesgebyr ved overtredelse av særlovgivningen

Departementet foreslår i proposisjonen her ingen egne bestemmelser om overtredelsesgebyr for overtredelser av regler om behandling av personopplysninger i særlovgivningen. Regler om dette ble heller ikke foreslått i høringsnotatet. Departementet viste i høringsnotatet til at behandling som er i strid med bestemmelser i særlovgivningen, i mange tilfeller også vil utgjøre en overtredelse av bestemmelser i forordningen og derfor vil kunne sanksjoneres som overtredelse av forordningen. I slike tilfeller vil det være unødvendig å gi egne hjemler for overtredelsesgebyr i særlovgivningen.

20.5.3 Overtredelsesgebyr mot offentlige myndigheter

Departementet foreslår en bestemmelse om at Datatilsynet kan ilegge offentlige myndigheter og organer overtredelsesgebyr, se lovforslaget § 26 annet ledd. Forslaget er identisk med forslaget i høringsnotatet. Departementet viser til at Datatilsynet i flere saker har ilagt administrative gebyrer mot offentlige organer, og departementet kan ikke se noen grunn til å ikke videreføre en slik adgang for Datatilsynet. Departementet viser også til at høringsinstansene generelt har vært positive til at overtredelsesgebyr skal kunne ilegges mot offentlige myndigheter.

En adgang for Datatilsynet til å ilegge overtredelsesgebyr mot offentlige myndigheter på samme måte som mot private, innebærer en videreføring av gjeldende rett. Forslaget i proposisjonen her innebærer likevel en forskjell i forhold til gjeldende rett ved at den beløpsmessige grensen for overtredelsesgebyrene som kan ilegges med hjemmel i forordningen og lovforslaget her, er vesentlig høyere enn etter gjeldende rett. Enkelte offentlige høringsinstanser har på denne bakgrunn tatt til orde for at overtredelsesgebyret som kan ilegges mot offentlige myndigheter, bør begrenses beløpsmessig, mens én høringsinstans tar til orde for at offentlige myndigheter ikke bør kunne ilegges overtredelsesgebyr overhodet.

Etter departementets vurdering bør som utgangspunkt de samme reglene for overtredelsesgebyr gjelde for offentlige organer som for private, da dette er ordningen etter gjeldende personopplysningslov. Departementet har notert seg bekymringen som enkelte offentlige høringsinstanser har uttrykt, men departementet legger til grunn at det innenfor reglene i forordningen artikkel 83, som også angir de momenter det skal legges vekt på ved utmålingen av administrative gebyrer, ligger rom for et betydelig skjønn med hensyn til størrelsen på gebyret. Beløpsgrensene i forordningen artikkel 83 angir maksimalgrenser for utmåling av administrative gebyrer, mens det ikke er fastsatt noen minimumsgrenser.

20.5.4 Saksbehandlingsregler ved overtredelsesgebyr

Departementet foreslår en bestemmelse om at oppfyllelsesfristen for overtredelsesgebyr er fire uker fra vedtaket er endelig, se lovutkastet § 27 første ledd. Forslaget er identisk med forslaget i høringsnotatet og innebærer en videreføring av gjeldende rett etter någjeldende personopplysningslov § 46 tredje ledd. Blant høringsinstansene har Regnskap Norge tatt til orde for at det bør kunne fastsettes en lengre frist i vedtaket eller senere. Departementet mener det er hensiktsmessig å videreføre gjeldende rett på dette punkt og viser til at ingen av høringsinstansene for øvrig har hatt innvendinger mot dette.

Departementet foreslår ingen ytterligere saksbehandlingsregler i proposisjonen her, og det ble heller ikke foreslått noen ytterligere saksbehandlingsregler i høringsnotatet.

20.5.5 Domstolsprøving og inndriving

Departementet foreslår at det gis en bestemmelse om at domstolen kan prøve alle sider av saken, og avsi realitetsdom dersom den finner det hensiktsmessig og forsvarlig, se lovforslaget § 27 annet ledd. Bestemmelsen er en videreføring av gjeldende rett, og ingen høringsinstanser har hatt innsigelser mot bestemmelsen.

Departementet foreslår å ikke videreføre bestemmelsen om tvangskraft i personopplysningsloven 47 a, da det nå følger av tvangsfullbyrdelsesloven § 7-2 første ledd bokstav d at administrativ sanksjon truffet av offentlig myndighet med hjemmel i lov anses som tvangsgrunnlag for utlegg.

20.5.6 Foreldelse

Departementet foreslår at det gis en bestemmelse om foreldelse av adgangen til å ilegge overtredelsesgebyr, se lovforslaget § 28. Departementet foreslår at adgangen til å ilegge overtredelsesgebyr foreldes fem år etter overtredelsen er opphørt. Fristen avbrytes ved at Datatilsynet gir forhåndsvarsel eller fatter vedtak om overtredelsesgebyr.

Departementet viser til at høringsinstansene generelt har støttet at det gis regler om foreldelse av adgangen til å ilegge overtredelsesgebyr. Høringsinstansene har vært delt i synet på foreldelsesfristen lengde, men en rekke høringsinstanser har trukket frem reguleringen i konkurranseloven som en mulig modell for foreldelsesregler i personopplysningsloven. Foreldelsesfristen i konkurranseloven er på henholdsvis fem og ti år for forskjellige overtredelser. En rekke høringsinstanser har imidlertid tatt til orde for en kortere foreldelsesfrist. Departementet mener foreldelsesfristen for overtredelse av personopplysningsloven bør være fem år. Departementet har ikke funnet grunn til å differensiere mellom forskjellige overtredelser for så vidt gjelder foreldelsesfristens lengde.

21 Administrativ inndragning

21.1 Gjeldende rett

Personopplysningsloven åpner ikke for administrativ inndragning i dag.

21.2 Forordningen

Forordningen har ingen bestemmelser om administrativ inndragning, men artikkel 58 nr. 6 åpner for at tilsynsmyndighetene kan få utvidet kompetanse, herunder rett til å ilegge administrative reaksjoner.

21.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet ingen regler om administrativ inndragning, men ba om høringsinstansenes syn på om Datatilsynet bør gis slik adgang. Departementet viste til at det fremgår av Prop. 62 L (2015–2016) punkt 32.4.2 side 184–186 at gode grunner taler for at et forvaltningsorgan gis myndighet til administrativ inndragning når det har adgang til å ilegge overtredelsesgebyr. Departementet viste også til drøftelsen i NOU 2003: 15 Fra bot til bedring punkt 13.7 side 228–232.

21.4 Høringsinstansenes syn

Administrasjonen i De nasjonale forskningsetiske komiteene uttaler at ved eventuell lovfesting oppfordres departementet til å gjøre unntak slik at forskning ikke blir utsatt for administrativ inndragning.

Arbeidsgiverforeningen Spekter uttaler at dersom det innføres en hjemmel for Datatilsynet til å foreta administrativ inndragning må det fastsettes tilstrekkelige rettsikkerhetsgarantier. Arbeidsgiverforeningen Spekter er videre enig i at et vedtak om inndragning bør kunne prøves fullt ut av domstolene og ikke bør tvangsfullbyrdes før vedtaket er endelig

Brækhus Advokatfirma DA er enig med departementet i at det vil kunne oppstå vansker med å kategorisere og kvantifisere hvilken økonomisk fordel en virksomhet har hatt ved overtredelse av personvernlovgivningen. Brækhus Advokatfirma DA viser til at dette særlig gjelder for de tilfeller der en virksomhet har samlet inn eller for øvrig behandlet personopplysninger i større grad enn det var rettslig grunnlag for, og at det høye bøtenivået som følger av forordningens sanksjoneringsregime, i stor grad vil kunne ta høyde for eventuell kausal og synbar økonomisk vinning. Hva gjelder inndragning av gjenstander benyttet ved overtredelse av personopplysningsloven, stiller Brækhus Advokatfirma DA seg positiv til slik adgang til inndragning og er enig med departementet i at en slik adgang bør bygge på straffelovens bestemmelser om inndragning.

Politidirektoratet uttaler at de er enig med Kripos i at administrativ inndragning ikke er tilstrekkelig begrunnet og at regler om dette ikke bør innføres før spørsmålet er nærmere utredet. Politidirektoratet viser også til Nordland politidistrikts uttalelse. Nordland politidistrikt uttaler at administrativ gjenstandsinndragning er lite praktisk og viser til at utstyr og gjenstander inndratt til fordel for det offentlige må antakelig selges, og at all håndtering av inndratt utstyr vil i ulike sammenhenger koste penger og personellinnsats. Nordland politidistrikt anser på den annen side at de muligheter for overtredelsesgebyrer som forordningen åpner for er mer enn tilstrekkelig til å sikre en sanksjon som ivaretar de samme hensyn som en administrativ inndragning. Dessuten vil eventuell fortsatt straffesanksjonering av lovovertredelser gi grunnlag for strafferettslig inndragning.

Næringslivets Hovedorganisasjon uttaler at det kan være grunn til at Datatilsynet skal kunne inndra gjenstander som har vært brukt ved overtredelsen, men at hjemmel til å inndra utbytte vil føre med seg en for stor grad av uforutsigbarhet og dermed risiko for overtredere.

Datatilsynet uttaler at de ikke har noen særlige synspunkter knyttet til administrativ inndragning, men at man ut fra Datatilsynets praksis og erfaring i liten grad har stått overfor tilfeller hvor inndragning hadde vært et ønsket virkemiddel, eller særlig egnet eller proporsjonalt. Datatilsynet uttaler at det i så fall måtte være tilfeller av ulovlig kameraovervåking eller liknende overvåkingstilfeller hvor det å inndra utstyret kunne være nødvendig, for eksempel bruk av overvåkingsutstyr som er laget for å være skjult og hvor man av hensyn til effektiv håndheving ikke kan la den behandlingsansvarlige få beholde utstyret fordi det er fare for gjentakelser.

Vestfold fylkeskommune mener at Datatilsynet ikke bør få adgang til administrativ inndragning og viser til at dersom departementet foreslår at overtredelser av ny personopplysningslov er straffbar, vil påtalemyndigheten i utferdigelse av forelegg ilegge inndragning eller domstolene ved dom kunne idømme inndragning.

Landsorganisasjonen i Norge uttaler at de ikke har noen ingen innsigelser til forslaget om å gi Datatilsynet adgang til administrativ inndragning, men stiller spørsmål til om administrativ inndragning vil være et praktisk virkemiddel.

Universitetet i Oslo støtter departementets vurderinger rundt hvorvidt Datatilsynet skal gis hjemmel til å inndra gjenstander som har vært brukt ved overtredelsen, eller er produsert ved eller har vært gjenstand for overtredelsen. Universitetet i Oslo er enig i at et vedtak om administrativ inndragning må kunne prøves fullt ut av domstolene og at vedtaket ikke skal kunne tvangsfullbyrdes før vedtaket er endelig.

Skattedirektoratet uttaler at de i hovedsak er enige i departementets vurdering såfremt det også fastsettes tilstrekkelige rettssikkerhetsgarantier, og at det derfor bør utredes om administrativ inndragning i sin helhet skal kunne prøves av domstolene, og om tvangsfullbyrdelse ikke kan utføres før endelig avgjørelse foreligger.

21.5 Departementets vurdering

Departementet foreslår ingen regler om administrativ inndragning i proposisjonen her. Departementet viser til at gjeldende personopplysningslov ikke inneholder regler om administrativ inndragning, og at dette dermed innebærer at gjeldende rett videreføres. Departementet viser videre til at høringsinstansene har vært delt i synet på om det bør fastsettes regler om administrativ inndragning og at det ikke synes å foreligge noe utpreget behov for dette på det nåværende tidspunkt. Departementet viser særlig til Datatilsynets uttalelse i denne forbindelse. Departementet mener likevel at spørsmålet om administrativt inndragning er et spørsmål det kan være grunn til å se nærmere på når den nye personopplysningsloven har fått virke over en periode.

22 Erstatning (oppreisning)

22.1 Gjeldende rett

Personopplysningsloven § 49 fastsetter regler om erstatning. Det følger av første ledd at den behandlingsansvarlige skal erstatte skaden som er oppstått som følge av at personopplysninger er behandlet i strid med bestemmelser i eller i medhold av loven, med mindre det godtgjøres at skaden ikke skyldes feil eller forsømmelser på den behandlingsansvarliges side. Tredje ledd viser til at erstatningen skal tilsvare det økonomiske tapet den skadelidte er påført som en følge av behandlingen og fastsetter at det også kan pålegges erstatning for ikke-økonomisk skade (oppreisning).

22.2 Forordningen

Forordningen har nokså detaljerte bestemmelser om erstatningsansvar i artikkel 82. Det fastsettes her at alle som har lidd skade som følge av en overtredelse av forordningen, har krav på erstatning fra den behandlingsansvarlige eller databehandleren. Av fortalepunkt 146 fremgår det at det samme gjelder for overtredelse av delegerte rettsakter eller gjennomføringsrettsakter Kommisjonen fastsetter med hjemmel i forordningen. Artikkel 82 nr. 2 fastsetter at den behandlingsansvarlige er ansvarlig for skade som er oppstått som følge av brudd på forordningen, mens databehandlere bare er ansvarlige for brudd på regler som direkte henvender seg til databehandlere eller dersom de har opptrådt i strid med en lovlig instruks. Etter artikkel 82 nr. 3 skal en behandlingsansvarlig eller databehandler fritas for ansvar dersom det godtgjøres at vedkommende ikke er ansvarlig for hendelsen som førte til skaden. Artikkel 82 nr. 4 og 5 gir regler om solidaransvar og regressrett når flere behandlingsansvarlige eller både en behandlingsansvarlig og en databehandler er erstatningsansvarlige for samme skade.

22.3 Forslaget i høringsnotatet

Departementet viste i høringsnotatet til at forordningen ikke åpner for nasjonale tilpasninger for så vidt gjelder reglene om erstatning, men at bestemmelsene i all hovedsak er i samsvar med gjeldende rett.

22.4 Høringsinstansenes syn

Av høringsinstansene er det kun Lånekassen som har uttalt seg om erstatningsreglene. Lånekassen uttaler:

«Det er ikke videreført noen regler om erstatningsansvar i ny personopplysningslov fordi slike regler er regulert i forordningen art 82, jf. fortalepunkt 146. Av pedagogiske årsaker mener Lånekassen det kan være hensiktsmessig med en henvisning i ny personopplysningslov til forordningen slik at det går tydelig frem at det foreligger et erstatningsansvar knyttet til brudd på personvern og informasjonssikkerhet.»

22.5 Departementets vurdering

Departementet foreslår at det inntas en bestemmelse i personopplysningsloven som gjør det klart at den som er erstatningsansvarlig etter reglene i personvernforordningen artikkel 82, også kan pålegges å betale slik erstatning for skade av ikke-økonomisk art (oppreisning) som synes rimelig. Dette innebærer en videreføring av gjeldende rett, jf. personopplysningsloven § 49 tredje ledd annet punktum.

Departementet mener det er grunn til å innta en bestemmelse om erstatning for ikke-økonomisk skade (oppreisning) da det ikke er klart om forordningen artikkel 82 nr. 1 alene gir et tilstrekkelig grunnlag for å ilegge erstatningsansvar for dette. Etter artikkel 82 nr. 1 har den som har lidd «materiell eller ikke-materiell skade» som følge av en overtredelse av forordningen, rett til erstatning for skaden, men det kan stilles spørsmål ved om ansvaret etter artikkel 82 nr. 1 også omfatter tap av ikke-økonomisk karakter. Etter departementets vurdering er det adgang til å gi en slik nasjonal bestemmelse om erstatning for ikke-økonomisk tap (oppreisning) i nasjonal rett, jf. forordningen artikkel 84. Tilsvarende er lagt til grunn i betenkningen Databeskyttelsesforordningen – og de retlige rammer for dansk lovgivning, Betænkning nr. 1565 på side 914, utgitt av det danske justisdepartementet.

23 Straff

23.1 Gjeldende rett

Etter personopplysningsloven § 48 kan forsettlige eller grovt uaktsomme overtredelser av de der angitte bestemmelsene straffes med bøter eller fengsel inntil ett år eller begge deler. Straffansvaret omfatter unnlatelse av å sende melding etter § 31 (meldeplikt), behandling av personopplysninger uten nødvendig konsesjon etter § 33 (konsesjonsplikt), overtredelse av vilkår fastsatt etter § 35 (vilkår i konsesjon) eller § 46 (overtredelsesgebyr og pålegg om endring eller opphør av ulovlige behandlinger), unnlatelse av å etterkomme pålegg fra Datatilsynet etter § 12 (bruk av fødselsnummer m.v.), § 27 (retting av mangelfulle personopplysninger), § 28 (forbud mot å lagre unødvendige personopplysninger) eller § 46 (overtredelsesgebyr og pålegg om endring eller opphør av ulovlige behandlinger), behandling av personopplysninger i strid med § 13 (informasjonssikkerhet), § 15 (databehandlerens rådighet over personopplysninger), § 26 (opphevet) eller § 39 (tilleggsvilkår for utlevering av opptak gjort ved kameraovervåking), eller unnlatelse av å gi opplysninger etter § 19 (informasjonsplikt når det samles inn opplysninger fra den registrerte), § 20 (informasjonsplikt når det samles inn opplysninger fra andre enn den registrerte), § 21 (informasjonsplikt ved bruk av personprofiler), § 40 (tilsynsmyndighetens tilgang til opplysninger) eller § 44 (tilleggsvilkår om varsel om at overvåking finner sted). Ved særdeles skjerpende omstendigheter kan fengsel inntil tre år idømmes. Medvirkning straffes på samme måte.

Etter personopplysningsforskriften § 10-3 første ledd kan den som forsettlig eller grovt uaktsomt unnlater å følge reglene i forskriften kapittel 2–7, samt §§ 8-2, 8-3, 8-4 andre til sjette ledd eller § 8-5, straffes med bøter eller fengsel inntil ett år eller begge deler. Medvirkning straffes på samme måte, jf. annet ledd.

Departementet er kun kjent med et begrenset antall straffedommer for overtredelse av personopplysningsloven og forskriften. I de dommene departementet har kjennskap til, er det blant annet domfelt for brudd på meldeplikten etter personopplysningsloven § 31, brudd på informasjonsplikten i § 20 og brudd på bestemmelsen i § 40 om tilleggsvilkår om varsel om at kameraovervåking finner sted.

23.2 Forordningen

Forordningen artikkel 84 overlater til nasjonal rett å fastsette om brudd på forordningens bestemmelser skal være straffesanksjonert.

23.3 Forslaget i høringsnotatet

Departementet stilte i høringsnotatet spørsmål om straffebestemmelsen i personopplysningsloven burde oppheves, og viste til at det samme i så fall bør gjelde for straffebestemmelser i særlovgivningen som bygger på forordningen. Departementet viste til at forordningens sanksjonsregime med administrative gebyrer og mulighet for nasjonale regler om administrativ inndragning vil ha den nødvendige avskrekkende effekt, og at en straffetrussel dermed ikke vil ha ytterligere allmennpreventiv eller individualpreventiv effekt.

23.4 Høringsinstansenes syn

Høringsinstansene har vært delte i synet på om overtredelse av den nye personopplysningsloven og forordningen bør være straffbelagt. En rekke høringsinstanser mener straffansvaret bør oppheves, mens andre høringsinstanser tar til orde for videreføring av straffansvaret, men da slik at det kun er de groveste overtredelsene som skal kunne straffes. Ingen høringsinstanser har tatt til orde for en straffebestemmelse som retter seg mot overtredelser av loven og forordningen generelt.

Arkivverket, Advokatforeningen, Arbeids- og velferdsdirektoratet, Juristforbundet, Arbeidsgiverforeningen Spekter, Hovedorganisasjonen Virke, Telia Norge AS, Brønnøysundregistrene, Coop Norge SA, Norsk rikskringkasting, SAMFO – Arbeidsgiverforening for samvirkeforetak, Næringslivets Hovedorganisasjon og Brækhus Advokatfirma DA støtter opphevelse av straffansvaret. Advokatforeningen uttaler at foreningen deler departementets vurdering om at forordningens bestemmelser er lite egnet for straffsanksjonering, og at Datatilsynets kompetanse til å ilegge gebyr, og etter omstendighetene administrativ inndragning, antas å ha tilfredsstillende preventiv og pønal effekt. Juristforbundet uttaler at mange av forordningens bestemmelser er svært skjønnspregede og hensynet til legalitetsprinsippet tilsier at bestemmelsene er lite egnet for sanksjonering med straff, og at de alminnelige bestemmelsene i straffeloven vil ivareta pønale hensyn. Arbeidsgiverforeningen Spekter støtter også opphevelse av straffebestemmelsen i personopplysningsloven og særlovgivningen, men uttrykker samtidig at dette ikke må få innvirkning på gebyrstørrelsen. Næringslivets Hovedorganisasjon mener også at straffansvaret ikke bør videreføres og uttaler:

«Når en ordning med overtredelsesgebyr er pålagt etter forordningen, blir spørsmålet om loven i tillegg skal ha straffebestemmelser, ved siden av bestemmelsene i straffeloven. En grunn til å beholde straffebestemmelser, er at det sikrer at saker blir behandlet med høyere grad av rettssikkerhet enn i forvaltningssaker. Vi mener likevel at ordningen i forordningen kombinert med gode garantier for rettssikkerhet for behandlingsansvarlige gjør at det ikke er nødvendig å ha straffebestemmelser i tillegg.»

Brækhus Advokatfirma DA støtter også forslaget om å ikke videreføre en straffebestemmelse og uttaler i denne forbindelse følgende:

«I tillegg har fokuset på personvern tatt en helt ny retning i forhold til den tiden da dagens personopplysningslov ble vedtatt. Både offentlig og private aktørers og publikums kunnskap om personvern har økt, hvilket har bidratt til at publikums krav om gode personvernrutiner og aktørenes konkurranse om å være best på personvern har blitt et sentralt insentiv for å overholde personvernlovgivningen, særlig i privat sektor. Personvern har blitt et konkurransefortrinn og skyver insentivet om å unngå straff lenger bak i rekka.»

For det tilfelle at det foreslås å videreføre straffansvar, mener Brækhus Advokatfirma DA at straff kun bør ilegges ved de aller groveste overtredelsene slik som forsettlig eller grov uaktsom behandling av sensitive personopplysninger.

Datatilsynet mener det bør utredes nærmere om det bør kunne ilegges straff for visse overtredelser, og uttaler at departementet ikke har utredet dette tilstrekkelig. Datatilsynet viser til at det for eksempel kan være vanskelig å knytte straff til overtredelse av artikkel 13 og 14 om informasjonsplikt generelt, men at grove brudd hvor det ikke er gitt noe informasjon overhodet og det hele har karakter av skjult behandling av personopplysninger, kunne vært skilt ut som en straffbar handling. Datatilsynet mener det ikke kan legges ensidig vekt på de administrative sanksjonene som et argument mot straffansvar og uttaler:

«Etter vår forståelse blir dette en for enkel vurdering av tiltak som kan sikre effektiv etterlevelse og håndheving av reglene, noe som er en sentral målsetning bak forordningen. For eksempel bør man også se hen til at politiet, med sine ressurser og hjemler for å etterforske en sak, etter omstendighetene kan bidra til å oppklare regelbrudd. Vi mener således at det kan ligge en avskrekkende virkning at man kan risikere politietterforskning, tatt i betraktning at Datatilsynet er et relativt lite organ. Det er vel også grunn til å hevde at trusselen om fengselsstraff vil kunne ha ekstra avskrekkende virkning overfor de personer som har det øverste ansvaret. Forordningen legger opp til ansvarliggjøring og at personopplysningsvern skal opp på det høyeste nivået hos behandlingsansvarlig, og trusselen om straff kan bidra til at slike personer tar personopplysningsvernet på største alvor.»

KS mener at det bør vurderes nærmere hvilke konsekvenser det vil få dersom straffebestemmelsene oppheves, og særlig om dette vil øke virksomhetenes risikoaksept.

Landsorganisasjonen i Norge, Politidirektoratet, Helse Stavanger HF, Oslo kommune, Vestfold fylkeskommune og Universitetssykehuset Nord-Norge HF mener det bør videreføres et straffansvar i den nye personopplysningsloven. Politidirektoratet uttaler:

«Departementet foreslår at gjeldende straffebestemmelser i personopplysningsloven § 48 ikke videreføres. Synspunktet begrunnes med at det øvrige sanksjonsregimet etter forordningen antas å ha tilstrekkelig individualpreventiv og allmennpreventiv effekt, og at enkelte av straffelovens bestemmelser vil kunne få anvendelse. Flere av direktoratets underliggende organ påpeker at straffebestemmelsen bør opprettholdes for særlig grove og gjentatte brudd som kan medføre store personvernkonsekvenser. Det vises blant annet til høringsuttalelsene fra Kripos, Troms og Sør-Øst politidistrikt. Videre støtter direktoratet uttalelsen fra Politihøgskolen på dette punktet. Politihøgskolen uttaler blant annet følgende: «Straff er samfunnets ultimate måte å markere klander på. For overtredelser som skal sanksjoneres med et gebyr på opptil ti millioner Euro, må det kunne sies at det er grunnlag for klander. En opphevelse av straffebestemmelsen kan ha en uheldig symboleffekt.» Etter direktoratets vurdering vil, slik som Nordland politidistrikt uttaler, straffesanksjoneringen også gi en bedre mulighet til å avdekke straffbare forhold gjennom bruk av straffeprosessuelle virkemidler i en etterforskingsfase. I tillegg vil det gi grunnlag for strafferettslig inndragning, se omtale nedenfor.»

Universitetssykehuset Nord-Norge HF uttaler at det er vanskelig å se noen god begrunnelse for hvorfor forsettlige eller grovt uaktsomme behandlinger av personopplysninger i strid med forordningen ikke lenger skal straffesanksjoneres. Vestfold fylkeskommune foreslår å videreføre straffansvar for overtredelse av lovutkastet §§ 6, 9, 15 og 20.

23.5 Departementets vurdering

Departementet foreslår at overtredelser av den nye personopplysningsloven ikke skal være straffesanksjonert. I det følgende redegjøres det nærmere for departementets vurdering på dette punkt.

Ved vurderingen av om det bør gjelde et straffansvar for brudd på bestemmelsene i den nye personopplysningsloven, har departementet tatt utgangspunkt i de anbefalingene for bruk av administrative sanksjoner som er stilt opp i Prop. 62 L (2015–2016) punkt 7.4.3 side 52 flg. og prinsippene for bruk av straff i Ot.prp. nr. 90 (2003–2004) punkt 7.5 side 88 flg. Det fremgår av disse anbefalingene at i valget mellom administrative sanksjoner og straffansvar eller en kombinasjon av disse sanksjonsformene bør lovgiver, der formålet kan oppnås på flere måter, velge det minst inngripende virkemiddelet. Videre bør valg av sanksjoner vurderes ut fra hver enkelt handlingsnorm det aktuelle regelverket oppstiller, og det bør være en forutsetning for sanksjonering at sanksjonen i praksis vil bli søkt håndhevet.

I lys av disse anbefalingene vil departementet innledningsvis peke på at et eventuelt straffansvar for overtredelser av bestemmelsene i personopplysningsloven bare bør knyttes til nærmere angitte bestemmelser der behovet for straffansvar gjør seg gjeldende, og ikke generelt til overtredelser av loven. Departementet viser til de forannevnte anbefalingene i Prop. 62 L (2015–2016) punkt 7.4.3 side 52 flg., hvor departementet uttaler at spørsmålet om en overtredelse skal sanksjoneres bør vurderes ut fra hver enkelt handlingsnorm. Departementet viser i denne forbindelse også til at ingen høringsinstanser har tatt til orde for en straffebestemmelse som generelt retter seg mot overtredelser av bestemmelsene i den nye personopplysningsloven.

Spørsmålet departementet skal ta stilling til, er på denne bakgrunn om det, i tillegg til de administrative sanksjonene som loven og forordningen hjemler, bør videreføres et straffansvar for brudd på nærmere angitte bestemmelser i personopplysningsloven og forordningen.

I høringsnotatet fremholdt departementet at forordningens sanksjonsregime med administrative gebyrer og mulighet for nasjonale regler om administrativ inndragning vil ha den nødvendige avskrekkende effekt. Dette taler etter departementets syn for å ikke i tillegg å straffesanksjonere overtredelser av loven, jf. de forannevnte anbefalingene. Dette gjelder selv om departementet ikke går inn for å gi regler om administrativ inndragning på det nåværende tidspunkt. Som departementet har redegjort for i kapittel 20, kan overtredelser av bestemmelsene i den nye personopplysningsloven møtes med administrative gebyrer med vesentlig høyere beløp enn etter gjeldende rett. I tillegg til de overtredelser som angis direkte i artikkel 83, foreslår departementet i proposisjonen her at også overtredelser av artikkel 10 og 24 skal kunne sanksjoneres med overtredelsesgebyr, se omtalen over i punkt 20.5 og lovforslaget § 26 første ledd. Etter departementets vurdering sikrer artikkel 83 og lovforslaget § 26 til sammen at det vil være adgang for Datatilsynet til å ilegge overtredelsesgebyr for de overtredelser av personopplysningsloven hvor det er et praktisk behov for dette.

Høringsinstansene er delte i synet på om overtredelse av personopplysningsloven fremdeles bør være straffbelagt. En rekke høringsinstanser mener straffansvaret bør oppheves, mens andre høringsinstanser tar til orde for videreføring av straffansvaret, men da slik at det kun er de groveste overtredelsene som skal kunne straffes. Departementet har særlig vurdert om det, slik enkelte høringsinstanser påpeker, vil kunne ha en uheldig signaleffekt å ikke videreføre straffansvar i den nye personopplysningsloven. I Prop. 62 L (2015–2016) punkt 7.4.3.5 side 55 flg. viste departementet til at avkriminalisering av allerede kriminaliserte lovbrudd kan gi et uheldig signal i retning av at samfunnet vurderer disse lovbruddene som mindre alvorlige. Samme sted viser departementet til at det bør vises tilbakeholdenhet med å endre etablerte og velfungerende ordninger, for eksempel der politi og påtalemyndighet har bygd opp stor kompetanse og en velfungerende organisasjon, eller der det er utviklet langvarig rettspraksis om tvilsspørsmål. Departementet har sett hen til disse hensynene, men kan ikke se at de i avgjørende grad taler for å straffesanksjonere brudd på den nye personopplysningsloven. Departementet viser i denne forbindelse til at de administrative gebyrene som vil kunne ilegges etter den nye personopplysningsloven, vil kunne være vesentlig høyere enn etter dagens lov, og at det derfor neppe kan sies å sendes noe signal i retning av at en overtredelse av loven er mindre alvorlig enn i dag. Videre viser departementet til at det er begrenset strafferettslig praksis om personopplysningsloven og de tolkningsspørsmål som loven reiser i strafferettslig sammenheng, slik at heller ikke dette hensynet kan sies å ha noen avgjørende vekt i retning av å videreføre et straffansvar.

Departementet understreker at selv om det ikke videreføres et straffansvar for overtredelser av bestemmelsene i personopplysningsloven, vil handlinger som er i strid med personopplysningsloven samtidig kunne være overtredelser av en eller flere bestemmelser i straffeloven. Dette gjelder for eksempel straffeloven § 266 om hensynsløs atferd, § 266 a om alvorlig personforfølgelse, § 267 om krenkelse av privatlivets fred og §§ 209 til 211 om brudd på taushetsplikt. Straffeloven §§ 209 og 210 vil også omfatte brudd på taushetspliktsbestemmelsen for personvernombud som foreslås i proposisjonen her, jf. lovforslaget § 18.

24 Tvangsmulkt

24.1 Gjeldende rett

Etter personopplysningsloven § 47 kan Datatilsynet fastsette tvangsmulkt ved pålegg etter loven § 12 (pålegg om bruk av identifikasjonsmidler), §§ 27 og 28 (pålegg om sletting eller sperring av personopplysninger) og § 46 (pålegg om at behandling av personopplysninger skal opphøre eller pålegg om vilkår som må oppfylles for at behandlingen skal være i samsvar med personopplysningsloven).

24.2 Forordningen

Forordningen har ingen bestemmelser om tvangsmulkt.

24.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet å videreføre Datatilsynets adgang til å ilegge tvangsmulkt, se lovutkastet § 23. Departementet viste til at forordningen artikkel 58 nr. 6 åpner for at nasjonal lovgivning fastsetter regler om tvangsmulkt.

Personopplysningsloven § 47 annet ledd fastsetter at tvangsmulkten ikke løper før klagefristen er ute, eller dersom vedtaket blir påklaget, fra tidspunktet Personvernnemnda har fastsatt. I høringsnotatet ga departementet uttrykk for at det ikke er hensiktsmessig at en klage automatisk fører til utsettelse av tidspunktet for når tvangsmulkten begynner å løpe, da dette kan oppfordre til trenering av saken. I forvaltningsloven § 51, som gir enkelte generelle regler om tvangsmulkt, er det ikke gitt spesialregler om utsatt iverksettelse ved klage. Departementet foreslo i høringsnotatetat at de alminnelige reglene om utsatt iverksettelse bør komme til anvendelse, slik at Datatilsynet eller Personvernnemnda har anledning til å beslutte utsatt iverksettelse etter forvaltningsloven § 42.

24.4 Høringsinstansenes syn

Høringsinstansene har generelt vært positive til forslaget i høringsnotatet om å videreføre en bestemmelse om tvangsmulkt i personopplysningsloven.

Datatilsynet uttaler at de er enige i departementets forslag når det gjelder å videreføre tvangsmulkt. Politidirektoratet støtter departementets forslag og er enig i at tvangsmulkt kan være et effektivt virkemiddel for å sikre oppfyllelse av regelverket. Politidirektoratet uttaler at de likevel vil bemerke at bruken av tvangsmulkt må tilpasses den enkelte sak for å oppnå formålet med reaksjonen. Tvangsmulkt vil for eksempel være mindre egnet i tilfeller der det er tidkrevende IKT-utviklingsarbeid som må til for å oppfylle regelverkets krav. Politidirektoratet viser for øvrig til uttalelsen til Kripos på dette punktet. Kripos uttaler at de er skeptisk til bruk av tvangsmulkt for å effektuere vedtak som ikke ligger innenfor den behandlingsansvarliges reelle kontroll, eksempelvis hvor et offentlig organ er avhengig av lovendringer, ressurstilførsel, tidkrevende systemutvikling eller er avhengig av et annet (offentlig) organ for å kunne etterleve de kravene som stilles. Videre bør det foreligge en viss terskel for ileggelse av tvangsmulkt, hvor alvorlighetsgrad og personvernkonsekvenser er vektige momenter.

Regnskap Norge uttaler at Datatilsynet bør instrueres i å utvise forståelse for at pålegg kan være krevende å etterkomme, slik at bruk av tvangsmulkt vurderes ut fra aktuell situasjon og alvorlighetsgrad. Regnskap Norge er enige i at bestemmelsen i § 23 bør være en «kan»-bestemmelse, men slik at bestemmelsen praktiseres med rimelighet og fornuft. Også Landsorganisasjonen i Norge uttaler at de er positive til en bestemmelse om tvangsmulkt.

Næringslivets Hovedorganisasjon mener på den annen side at behovet for hjemmel til å ilegge tvangsmulkt ikke er tilstrekkelig utredet, og at det ikke bør gis en hjemmel for dette. Næringslivets Hovedorganisasjon viser til at Datatilsynet har hatt hjemmel til å ilegge tvangsmulkt i nesten 17 år, etter det opplyste uten å ha brukt den.

24.5 Departementets vurdering

Departementet foreslår at det gis en bestemmelse om tvangsmulkt, se lovforslaget § 29. Bestemmelsen tilsvarer forslaget i høringsnotatet og viderefører gjeldende rett i personopplysningsloven § 47 første ledd, men med den endring at adgangen til å fastsette tvangsmulkt er generell og ikke som etter dagens personopplysningslov knyttet til pålegg etter bestemte bestemmelser i loven. Departementet viser til at høringsinstansene generelt har støttet forslaget.

Bestemmelsen i någjeldende personopplysningslov § 47 annet ledd om at tvangsmulkten ikke løper før klagefristen er ute, og ikke før Personvernnemnda har bestemt det i tilfeller hvor vedtaket påklages, foreslås ikke videreført. Departementet viser til at en slik bestemmelse kan oppfordre til trenering av saken. Departementet mener det alminnelige forvaltningsrettslige utgangspunktet om at virkningene av et forvaltningsvedtak inntrer fra det tidspunkt vedtaket er truffet bør gjelde her, men slik at det vil være adgang til å beslutte utsatt iverksetting etter reglene i forvaltningsloven § 42.

Bestemmelsen i någjeldende personopplysningslov § 47 tredje ledd om at Datatilsynet kan frafalle påløpt tvangsmulkt foreslås ikke videreført, da departementet anser bestemmelsen overflødig ved siden av forvaltningsloven § 51 tredje ledd som bestemmer at forvaltningsorganet i særlige tilfeller kan redusere eller frafalle påløpt mulkt.

25 Tilsynsmyndighetens organisering

25.1 Gjeldende rett

Personopplysningsloven § 42 gir det rettslige grunnlaget for Datatilsynet og fastsetter hvilke oppgaver Datatilsynet har. I henhold til § 42 skal Datatilsynet føre tilsyn med at personopplysningslovens regler overholdes. Videre skal tilsynet gi råd og veiledning i spørsmål om personvern. Datatilsynet er også pålagt en rekke nærmere bestemte oppgaver, som behandling av søknader om konsesjon.

Det følger av 95-direktivet at tilsynsmyndigheten skal være fullstendig uavhengig når den utfører sine oppgaver. Datatilsynet er administrativt underlagt Kongen og departementet, jf. personopplysningsloven § 42 første ledd. Kompetansen etter bestemmelsen er delegert til Kommunal- og moderniseringsdepartementet. Det følger klart av bestemmelsen at Kongen og departementet ikke kan gi instruks om eller omgjøre Datatilsynets utøving av myndighet i enkelttilfeller etter loven.

Datatilsynet ledes av en direktør som utnevnes av Kongen. Etter personopplysningsloven § 42 annet ledd kan direktøren utnevnes på åremål. Den sittende direktøren er utnevnt på åremål i samsvar med de alminnelige reglene om åremål i den dagjeldende tjenestemannsloven med forskrifter, som nå er erstattet av lov om statens ansatte mv. (statsansatteloven) 16. juni 2017 nr. 67. Direktøren er en uavsettelig embetsmann. Det er Kongen i statsråd som er tilsettingsmyndighet, men departementet som har arbeidsgiveransvar for direktøren i Datatilsynet. For å sikre direktørens uavhengighet er lønnen ikke knyttet til lederlønnssystemet i staten, men reguleres i stedet i samsvar med lønnsregulering for stortingsrepresentantene.

25.2 Forordningen

Det følger av forordningen artikkel 51 at hver stat skal opprette en uavhengig tilsynsmyndighet som skal ha ansvar for å overvåke anvendelsen av forordningen i sitt hjemland, samt bidra til enhetlig anvendelse av forordningen. En stat kan ha mer enn én tilsynsmyndighet.

Etter artikkel 52 skal tilsynsmyndigheten opptre fullstendig uavhengig når den utfører sine oppgaver etter forordningen. Medlemmene av tilsynsmyndigheten skal ikke kunne påvirkes utenfra, og skal verken be om eller ta imot instrukser fra noen. De skal også avstå fra aktiviteter som er uforenlige med oppgaven i tilsynsmyndigheten, uavhengig av om aktivitetene er inntektsbringende eller ikke. Landene pålegges å sørge for at tilsynsmyndigheten har de ressurser og den bemanning den behøver for å løse sine oppgaver på en effektiv måte. Tilsynsmyndigheten skal tildeles et særskilt budsjett og underlegges revisjon på en slik måte at det ikke går ut over uavhengigheten. Videre skal medlemsstatene sørge for at tilsynsmyndigheten velger sitt eget personell og at de ansatte utelukkende skal stå under ledelse av tilsynsmyndigheten.

Artikkel 53 angir vilkår for utnevning og avskjedigelse av medlemmer av tilsynsmyndigheten. Medlemmene skal tilsettes gjennom en åpen prosess, og tilsettingsmyndighet skal være parlamentet, regjeringen, statsoverhodet eller et uavhengig organ som i nasjonal lovgivning er gitt i oppgave å forestå tilsettingen. Medlemmene skal ha kvalifikasjoner, kompetanse og erfaring, særlig om personvern, som gjør dem i stand til å gjennomføre sine oppgaver og utøve sin myndighet. I henhold til artikkel 53 nr. 3 vil et medlems oppgaver opphøre ved utløpet av utnevnelsesperioden, ved avgang eller ved avsettelse i samsvar med nasjonal rett. Et medlem kan i henhold til artikkel 53 nr. 4 bare avskjediges ved alvorlig forsømmelse eller dersom medlemmet ikke lenger oppfyller vilkårene for å utføre oppgavene.

Forordningen gir landene et visst handlingsrom med hensyn til organisering av tilsynsmyndigheten. Samtidig er tilsynsmyndighetens uavhengighet etter 95-direktivet tolket svært strengt av EU-domstolen, se blant annet sak C-614/10 mot Østerrike, C-518/07 mot Tyskland og C-288/12 mot Ungarn. Med bakgrunn i blant annet disse sakene åpnet ESA våren 2016 sak mot Norge for uriktig gjennomføring av personverndirektivets bestemmelser om tilsynsmyndighetens uavhengighet. Etter dialog med ESA har Norge begrenset sin styring av Datatilsynet til et minimum. I vurderingen av hvordan handlingsrommet forordningen gir til landene, skal benyttes, er det derfor nødvendig å se hen til eksisterende rettspraksis etter direktivet, samt ESAs vurderinger av det norske Datatilsynets uavhengighet.

Etter artikkel 54 skal medlemsstatene fastsette regler om opprettelse av tilsynsmyndigheten. Reglene skal inneholde bestemmelser om opprettelse av hver tilsynsmyndighet, medlemmenes kvalifikasjoner og forutsetninger for oppdraget, regler om utnevnelse, funksjonsperiode og gjenutnevnelse, samt regler om bierverv og roller som ikke er forenlige med stillingen i tilsynsmyndigheten både under og etter arbeidsforholdet. Endelig skal det fastsettes regler om opphør av arbeidsforholdet og om taushetsplikt for medlemmer og ansatte ved tilsynsmyndigheten.

25.3 Forslaget i høringsnotatet

25.3.1 Tilsynsmyndigheten

Departementet foreslo i høringsnotatet å videreføre Datatilsynet som det organet som skal håndheve personvernregelverket og ivareta de oppgavene forordningen pålegger tilsynsmyndigheten.

Det ble foreslått at Datatilsynet fortsatt skal være administrativt underordnet Kongen og departementet. Videre ble det foreslått at Stortinget skal fastsette de årlige budsjettene til Datatilsynet etter forslag fra departementet. Departementet mente det var tilstrekkelig at bestemmelser om adgangen til å ansette personell mv. er fastsatt i instruks, og fant ikke grunn til å foreslå nærmere regler om ordningen.

Departementet foreslo en videreføring av gjeldende forskriftshjemmel til å fastsette forskrifter om dekning av Datatilsynets utgifter ved kontroll, og at et slikt krav er tvangsgrunnlag for utlegg.

25.3.2 Tilsetting av Direktøren i Datatilsynet

Det ble i høringsnotatet vist til at det i samsvar med artikkel 53 skal fastsettes nasjonale regler om tilsetting av medlemmer av tilsynsmyndigheten, og at dette i Norge vil være Datatilsynets direktør. Det ble foreslått å videreføre en regel om at direktøren ansettes av Kongen i statsråd. Det ble foreslått at direktøren fremdeles bør være embetsmann og beskyttet av oppsigelsesvernet i Grunnloven § 22 annet ledd. Det ble videre foreslått å videreføre gjeldende regel om at Datatilsynets leder kan tilsettes på åremål.

25.4 Høringsinstansenes syn

Det er få høringsinstanser som har hatt merknader til forslagene knyttet til tilsynsmyndighetens organisering. Datatilsynet deler departementets vurderinger av de krav som forordningen stiller til tilsynsmyndigheten, slik de er beskrevet i forordningen kapittel VI.

Forbrukerrådet mener det er grunn til å tro at det omfattende ansvaret Datatilsynet pålegges med å sikre at forordningens regler forstås, gjennomføres og følges opp, samlet sett vil medføre et merarbeid. Høringsinstansen understreker derfor at dersom de nye reglene skal få den ønskede effekt, er det avgjørende at Datatilsynet til enhver tid blir tilført tilstrekkelige ressurser.

25.5 Departementets vurdering

En uavhengig myndighet som fører tilsyn med behandling av personopplysninger, er etter departementets syn en svært viktig institusjon i dagens informasjonssamfunn. Det er av avgjørende betydning for den enkelte, og for samfunnet som helhet, at borgerne har en lett tilgjengelig klageordning dersom de opplever misbruk av egne personopplysninger, samt tilgang på god informasjon og veiledning om hvilke regler som gjelder ved behandling av personopplysninger. Departementet ser svært positivt på det at forordningen viderefører og understreker reglene om tilsynsmyndighetens uavhengighet, da uavhengighet er helt sentralt for å sikre tilliten til institusjonen.

Etter artikkel 54 skal medlemsstatene fastsette regler om opprettelse av tilsynsmyndigheten. Det fremgår at statene ved lov skal fastsette opprettelse av hver tilsynsmyndighet, de nødvendige kvalifikasjonene og utvelgelseskriteriene for å kunne bli utnevnt som medlem av en tilsynsmyndighet, reglene og fremgangsmåten for utnevnelse av medlemmet av hver tilsynsmyndighet, varigheten av mandatet til medlemmet, om mandatet til medlemmet kan fornyes, og eventuelt hvor mange ganger. Det skal videre fastsettes vilkår som gjelder for forpliktelsene til medlemmet av hver tilsynsmyndighet, forbud mot aktiviteter, yrkesvirksomhet og fordeler som er uforenlige med disse i og etter utnevningsperioden, samt regler om avslutning av arbeidsforholdet. Medlemmene og personellet hos hver tilsynsmyndighet skal etter artikkel 54 nr. 2 også være bundet av taushetsplikt, se nærmere om dette i kapittel 28.

Det er ikke kommet innvendinger i høringen mot å videreføre dagens regler om Datatilsynets organisering. Departementet fastholder derfor forslagene om at det fastsettes i personopplysningsloven at Datatilsynet skal være tilsynsmyndighet etter forordningen artikkel 51. Videre foreslås det å videreføre ordningen med at Datatilsynet skal være administrativt underordnet Kongen og departementet. Stortinget skal etter forslaget her fortsatt fastsette de årlige budsjettene til Datatilsynet etter forslag fra departementet.

Når det gjelder kvalifikasjoner, foreslås det ikke å lovfeste noen særlige regler om kvalifikasjoner for Datatilsynets direktør i personopplysningsloven. Det følger av statsansatteloven § 3 første ledd at den best kvalifiserte søkeren skal ansettes eller utnevnes i ledig stilling eller embete, med mindre det er gjort unntak i lov eller forskrift. Det følger videre av statsansatteloven § 3 annet ledd at det ved vurderingen av hvem som er best kvalifisert, skal legges vekt på utdanning, erfaring og personlig egnethet, sammenholdt med kvalifikasjonskravene som er fastsatt i utlysningen. Det ble ved forrige tilsetting av direktør i Datatilsynet stilt krav om blant annet god forståelse for personvern, samfunnsengasjement og integritet i utlysningen.

I Norge vil Datatilsynets direktør være den som omfattes av begrepet «medlemmer av tilsynsmyndigheten». Departementet foreslår å videreføre en regel om at direktøren ansettes av Kongen i statsråd. Dermed vil kravene i forordningen artikkel 53 om at medlemmene skal tilsettes gjennom en åpen prosess, og at tilsettingsmyndigheten skal være parlamentet, regjeringen, statsoverhodet eller et uavhengig organ som i nasjonal lovgivning er gitt i oppgave å forestå tilsettingen, være oppfylt.

Når det gjelder kravet om nasjonale regler om varigheten av mandatet og adgangen til fornyelse, er det etter gjeldende rett slik at Kongen kan bestemme at Datatilsynets direktør skal ansettes på åremål. Dagens direktør er ansatt på åremål for en periode på seks år, og har blitt gjenutnevnt én gang. Statsansatteloven er nylig vedtatt og satt i kraft. Loven inneholder i § 10 regler om bruk av åremål, herunder en hjemmel til å fastsette nærmere regler om dette i forskrift. I forskrift til statsansatteloven fremgår det at åremål ikke kan benyttes for statsansatt som er øverste leder for en virksomhet, dersom virksomheten i hovedsak har kontrollerende funksjoner overfor arbeids- eller næringsliv, eller hvor det for øvrig er særlig viktig at lederen har en uavhengig stilling. Det vises imidlertid i statsrådsforedraget, se Kongelig resolusjon 21. juni 2017 punkt 6.4.1, til at bruk av åremålsstillinger skal utredes nærmere. Departementet fastholder forslaget fra høringsnotatet om at det i forbindelse med en generell utredning av bruk av åremålsstillinger også kan være naturlig å foreta en vurdering av vilkårene for ansettelse av Datatilsynets direktør. Det må imidlertid fastsettes en ordning som skal fungere i hvert fall frem til et slikt arbeid gjennomføres.

Departementet har merket seg at utgangspunktet etter forskrift til lov om statens ansatte mv. § 5 er at åremål ikke skal benyttes der virksomheten har kontrollerende funksjoner overfor arbeids- eller næringsliv, eller hvor det for øvrig er særlig viktig at lederen har en uavhengig stilling. Etter departementets vurdering vil Datatilsynets virksomhet være dekket av angivelsen i nevnte bestemmelse. Bruk av åremål kan imidlertid reguleres i særlov, og vilkårene i nevnte forskriftsbestemmelse vil da ikke gjelde. I forordningen artikkel 54 nr. 1 bokstav d synes det å være forutsatt at tidsbegrensede mandater kan benyttes ved tilsetting av Datatilsynets leder. Departementet forstår imidlertid ikke bestemmelsen som noe krav om at Datatilsynets leder må ansettes på åremål, og at det dermed i fravær av en slik løsning må kunne vises til at ansettelsen etter nasjonal rett i utgangspunktet vil være tidsubegrenset.

Departementet ser at åremål kan utfordre tilsynets uavhengighet, slik det synes å være forutsatt i forskrift til lov om statens ansatte mv. § 5. Etter departementets syn vil dette i første rekke komme på spissen der det gis adgang til gjenutnevnelse. Dersom det ikke gis adgang til gjenutnevnelse vil lederen på samme måte som ved en tidsubegrenset stilling med sterkt oppsigelsesvern stå fritt i forholdet til den myndigheten som ansetter.

Forskrift til lov om statens ansatte mv. § 5 gir også regler om åremålets lengde og adgangen til gjenutnevnelse. Det følger av § 5 annet ledd at «åremålsperiodene for statsansatt som er øverste leder i en virksomhet, og for embetsmann, skal være seks år. Det kan fastsettes en kortere periode i særlige tilfeller. Ansettelse på åremål kan bare gjentas én gang for hver statsansatt i samme stilling og for hver embetsmann i samme embete.» Etter departementets syn kan det i dette tilfellet være gode grunner for å fravike normalordningen med seks års åremålsperioder og adgang til gjenutnevnelse. En mulig løsning for å sikre tilsynsmyndighetens uavhengighet er at åremålsperioden settes til mellom åtte og ti år, men uten adgang til å gjenta utnevnelsen.

Etter departementets syn vil det være mest hensiktsmessig at det overlates til Kongen i forskrift å fastsette nærmere regler for bruk av åremål, dette gjelder både om åremål skal benyttes, lengden på åremålet og adgangen til gjenutnevnelse. Dette vil gi større fleksibilitet til å vurdere behov for eventuelle endringer i reglene for tilsettingen, herunder ta høyde for konklusjonene i en eventuell generell utredning av temaet som forespeilet i Prop. 94 L (2016–2017) punkt 13.4.6 side 124. Etter departementets syn bør imidlertid dette nedfelles som generelle forskriftsregler, og ikke besluttes kun med sikte på den enkelte ansettelse, slik ordningen er i dag.

Når det gjelder fastsettelse av vilkår for medlemmet av og personellet hos tilsynsmyndigheten etter artikkel 54 nr. 1 bokstav f, viser departementet til de generelle reglene i Hovedtariffavtalen. I punkt 1.1.4. fremgår blant annet følgende:

«Arbeidstakere må ikke inneha bistillinger, bierverv, styreverv eller andre lønnede oppdrag som kan hemme eller sinke deres ordinære arbeid med mindre det foreligger særskilt pålegg eller tillatelse.»

Ulovfestede forvaltningsrettslige prinsipper innebærer også at statsansatte skal vurdere alle relevante hensyn, behandle like tilfeller likt og ikke ta utenforliggende eller vilkårlige hensyn. Kommunal- og moderniseringsdepartementet har videre fastsatt etiske retningslinjer for statsansatte der blant annet følgende fremgår:

«Ansatte i statsforvaltningen skal ledes av både allmennetiske og forvaltningsetiske verdier og normer. Enhver ansatt har et selvstendig ansvar for å bidra til at virksomhetens tillit og anseelse blir ivaretatt. Statsansatte skal ikke la egne interesser påvirke saksbehandlingen eller arbeidet for øvrig, og heller ikke la hensynet til egen eller virksomhetens bekvemmelighet eller prestisje påvirke handlinger eller avgjørelser.»

Direktøren vil etter forslaget her fortsatt være embetsmann og beskyttet av det særlige oppsigelsesvernet i Grunnloven § 22 annet ledd. Nasjonale regler om avslutning av arbeidsforholdet følger dermed av Grunnloven § 22 og statsansatteloven §§ 27 og 28.

Forordningen artikkel 52 krever at tilsynsmyndigheten skal opptre fullstendig uavhengig når den utfører sine oppgaver og bruker sin myndighet etter forordningen. Kongen og departementet kan derfor ikke på noen måte påvirke Datatilsynets myndighetsutøvelse. Dette er en videreføring av gjeldende rett.

Departementet foreslår en videreføring av gjeldende forskriftshjemmel til å fastsette forskrifter om dekning av Datatilsynets kostnader ved kontroll og at et slikt krav er tvangsgrunnlag for utlegg.

26 Tilsynsmyndighetens oppgaver

26.1 Gjeldende rett

Datatilsynets oppgaver er i dag regulert i personopplysningsloven § 42. I henhold til denne bestemmelsen skal Datatilsynet blant annet føre tilsyn med etterlevelse av personvernregelverket, gi råd og veiledning, holde seg orientert om utviklingen på personvernområdet og delta i den offentlige debatten om personvern, og gi uttalelser i spørsmål om behandling av personopplysninger. I tillegg følger det av andre bestemmelser i loven at Datatilsynet kan gi pålegg eller tillatelser til behandlingsansvarlige i forskjellige saker, avgjøre konsesjoner og ilegge tvangsmulkt og overtredelsesgebyr, jf. personopplysningsloven §§ 9, 12, 27, 28, 30, 33, 34, 35, 44, 46 og 47.

Datatilsynet avgir årlige rapporter om sin virksomhet til Kongen, jf. personopplysningsloven § 42 tredje ledd nr. 8.

26.2 Forordningen

Tilsynsmyndighetens kompetanse reguleres i artikkel 55. Hver tilsynsmyndighet er kompetent i samsvar med de plikter og fullmakter tilsynet er gitt etter forordningen på sitt hjemlands territorium. Artikkel 55 bestemmer også at tilsynsmyndighetene ikke skal ha kompetanse til å føre tilsyn med domstolenes behandling av personopplysninger i deres dømmende virksomhet. I artikkel 56 reguleres kompetansen til den ledende tilsynsmyndigheten i saker som involverer tilsynsmyndigheten i flere land.

Artikkel 57 gir en oppregning av tilsynsmyndighetenes oppgaver. Det følger av bestemmelsen at tilsynsmyndigheten blant annet skal føre tilsyn med og håndheve anvendelsen av forordningen og behandle klager. Tilsynsmyndigheten skal videre blant annet ha rådgivnings- og informasjonsoppgaver. I tillegg skal den vedta standardkontraktsvilkår, godkjenne atferdsnormer og bindende virksomhetsregler og utarbeide kriterier for akkrediterings- og sertifiseringsorganer. Det fastslås at tilsynets tjenester skal være gratis for den registrerte.

Artikkel 58 gir nærmere bestemmelser om hvilken myndighet tilsynsmyndighetene skal ha. Tilsynsmyndighetene skal ha nærmere definert undersøkelsesmyndighet, myndighet til å beslutte korrigerende tiltak og til å godkjenne visse typer behandlinger samt standardregler.

Artikkel 59 bestemmer at hver tilsynsmyndighet skal utarbeide en årlig rapport. Rapporten skal sendes nasjonalforsamlingen, regjeringen og andre organer utpekt i nasjonal rett, og skal inneholde en oversikt over de tiltak som er iverksatt med grunnlag i forordningen artikkel 58 nr. 2 for å håndheve regelverket. Rapporten skal gjøres tilgjengelig for allmennheten, for Kommisjonen og Personvernrådet.

Artikkel 57 og 58 om tilsynsmyndighetenes oppgaver og myndighet vil gjelde direkte som norsk rett ved at forordningen inkorporeres i personopplysningsloven. Artikkel 58 nr. 6 åpner i tillegg for at nasjonal lovgivning kan gi tilsynsmyndigheten mer omfattende myndighet så langt det ikke hindrer en effektiv anvendelse av kapittel VII.

Artikkel 77 fastsetter at enhver har rett til å inngi klage til tilsynsmyndigheten, og at tilsynsmyndigheten plikter å underrette klageren om forløpet av klagebehandlingen og utfallet av klagen. Artikkel 80 nr. 1 fastsetter at den registrerte kan la seg representere av en ideell organisasjon som er aktiv på personvernområdet.

26.3 Forslaget i høringsnotatet

Det ble i høringsnotatet vist til at en rekke av de oppgaver forordningen tillegger tilsynsmyndigheten, tilsvarer de oppgaver Datatilsynet har i dag. Videre ble det vist til at Datatilsynet også vil få en rekke nye oppgaver etter forordningen.

Departementet fremholdt at forordningen må forstås slik at Datatilsynet har samme oppgaver og myndighet etter forordningen artikkel 57 og 58 uavhengig av om behandlingen av personopplysningene er regulert direkte av forordningen eller om den er regulert i særlov i medhold av forordningen. Departementet foreslo at personvernbestemmelser i særlovgivningen som regulerer behandling av personopplysninger til formål som faller utenfor EØS-avtalen, og derfor ikke er omfattet av forordningen, bør omfattes av Datatilsynets myndighet i artikkel 57 og 58 med mindre annet er særskilt fastsatt. Det ble vist til at en slik løsning innebærer at Datatilsynet har den myndighet som fremgår av forordningen artikkel 57 og 58 for all behandling av personopplysninger.

26.4 Høringsinstansenes syn

Det er kun Datatilsynet som har uttalt seg om forslagene som fremmes under dette punktet. Datatilsynet påpekte at de deler departementets vurderinger av de krav som forordningen stiller til tilsynsmyndigheten, slik de er beskrevet i forordningen kapittel VI. Datatilsynet viste til at departementet mener at Datatilsynets myndighet også bør omfatte særlovgivningen som faller utenfor EØS-avtalen og at hovedregelen dermed vil være at Datatilsynet har den myndighet som fremgår av forordningen artikkel 57 og 58 for all behandling av personopplysninger. Datatilsynet etterlyste en omtale i høringsbrevet av hvilke konsekvenser en slik plassering av ansvar eventuelt vil få for andre myndigheter og organer som i dag er tillagt oppgaver knyttet til ivaretakelse av personvernet.

26.5 Departementets vurdering

Forordningen gir en detaljert regulering av tilsynsmyndighetens oppgaver. Etter departementets syn er det derfor ikke behov for å foreslå noen nasjonale regler om tilsynsmyndighetens oppgaver. Departementet fastholder forslaget om at Datatilsynet skal ha tilsynskompetanse også for behandling av personopplysninger som faller utenfor EØS-avtalens virkeområde med mindre annet er fastsatt. Dette innebærer at Datatilsynet har den myndighet som fremgår av forordningen artikkel 57 og 58 for all behandling av personopplysninger. Reglene i forordningen artikkel 56 og kapittel VII om samarbeids- og konsistensmekanismen, vil imidlertid ikke komme til anvendelse for behandling av opplysninger som ikke dekkes av forordningen.

I en rekke tilfeller åpner forordningen for nasjonale regler som spesifiserer og supplerer forordningens regler. Departementet foreslår en særskilt bestemmelse som gjør det klart at tilsynsmyndigheten har kompetanse også når det gjelder overholdelse av nasjonale regler om behandling av personopplysninger i personopplysningsloven og i særlovgivningen, som utfyller forordningens regler. Datatilsynet har etterlyst en omtale av hvilke konsekvenser det at Datatilsynet har myndighet til å føre tilsyn med all behandling av personopplysninger vil få for andre myndigheter og organer som i dag er tillagt oppgaver knyttet til ivaretakelse av personvernet. Fordelingen av myndighet mellom Datatilsynet og eventuelle andre myndigheter vil bero på en tolkning av reglene i personopplysningsloven og eventuelle regler i særlovgivningen.

Forordningen gir den enkelte rett til å klage til tilsynsmyndigheten, men overlater til nasjonal rett å fastsette regler om behandling av klagen. Departementet legger til grunn at forvaltningslovens alminnelige saksbehandlingsregler vil gjelde for Datatilsynets behandling av klager.

Departementet foreslår en videreføring av gjeldende ordning som går ut på at Datatilsynet leverer årsrapport til Kongen, og at Kongen hvert år legger rapportene frem for Stortinget i en stortingsmelding. En slik ordning er etter departementets syn hensiktsmessig for å sikre at regjeringen årlig legger frem en redegjørelse for utviklingen på personvernområdet i foregående år for Stortinget i sammenheng med fremleggelse av årsrapporten. Departementet foreslår på denne bakgrunn en bestemmelse som fastslår at årsmeldingen skal legges frem for Kongen, som legger rapporten frem for Stortinget. Det følger i tillegg av forordningen artikkel 59 at rapporten skal gjøres tilgjengelig for allmennheten, Kommisjonen og Personvernrådet. Departementet foreslår ingen særlig nasjonal regulering knyttet til dette og legger til grunn at denne forpliktelsen påhviler Datatilsynet direkte etter artikkel 59.

27 Klage over Datatilsynets vedtak

27.1 Gjeldende rett

Det følger av personopplysningsloven § 43 at Personvernnemnda er klageorgan for vedtak fattet av Datatilsynet. Nemnda er et uavhengig forvaltningsorgan administrativt underlagt Kongen og departementet.

Personvernnemnda består av syv medlemmer med personlige varamedlemmer. Funksjonstiden for både faste medlemmer og varamedlemmer er fire år med mulighet for én gjenutnevnelse. Leder og nestleder oppnevnes av Stortinget, mens de øvrige fem medlemmene utnevnes av Kongen. Det følger av Ot.prp. nr. 92 (1998–99) punkt 13.3.5.2 side 92 at leder og nestleder bør ha juridisk embetseksamen. For øvrig er det ikke stilt formelle kompetansekrav til medlemmene. Departementet har ved utnevnelser lagt vekt på at nemnda skal være bredt sammensatt og på å sikre at den særlig har arbeidsrettslig, teknisk og medisinsk kompetanse, i tillegg til personvernkompetanse.

27.2 Forordningen

Forordningen inneholder ingen særskilte regler om administrativ overprøving av tilsynsmyndighetens vedtak. Det følger imidlertid forutsetningsvis at forordningen åpner for administrativ eller ikke-rettslig prøving av tilsynsmyndighetens vedtak. Det fremgår av artikkel 78 at «uten at det berører annen administrativ eller ikke-rettslig prøving» skal enhver fysisk eller juridisk person ha rett til et effektivt rettsmiddel overfor en rettslig bindende avgjørelse som gjelder dem, og som er truffet av en tilsynsmyndighet.

27.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet å videreføre Personvernnemnda som klageorgan for Datatilsynets vedtak.

Departementet foreslo at Personvernnemnda fortsatt skal behandle alle klager over vedtak fattet av den nasjonale tilsynsmyndigheten med unntak av tilfeller der det er fastsatt særlige klageordninger i særlov og saker som berører behandlingsansvarlige eller registrerte i flere EU-/EØS-land, som skal behandles etter de særlige reglene i forordningen artikkel 60 til 66.

Departementet foreslo å ikke videreføre bestemmelsen i personopplysningsloven § 42 fjerde ledd siste punktum om at avgjørelser som Personvernnemnda fatter med hjemmel i personopplysningsloven §§ 27 og 28 om retting og sletting av personopplysninger, skal kunne påklages videre til Kongen dersom avgjørelsen gjelder personopplysninger som behandles for historiske formål.

Det ble foreslått at alle Personvernnemndas medlemmer med vararepresentanter, inkludert leder og nestleder, skal utnevnes av Kongen. Departementet ba om høringsinstansenes syn på om antallet medlemmer i nemnda bør reduseres fra syv til fem. Det ble foreslått at medlemmene fremdeles bør utnevnes for fire år med mulighet for én gjenutnevnelse, slik at maksimal total funksjonstid vil være åtte år. Det ble videre foreslått at ordningen med personlige varamedlemmer bør videreføres.

27.4 Høringsinstansenes syn

Helse Sør-Øst RHF støtter departementets forslag om at utnevning av alle medlemmene til Personvernnemnda skal skje av ett organ, og at det er Kongen i statsråd som skal forestå utnevningen.

En rekke høringsinstanser uttaler seg om spørsmålet om antallet medlemmer av Personvernnemnda bør reduseres fra syv til fem. Et flertall går imot en reduksjon av antall medlemmer i nemnda. Advokatforeningen, Arbeidsgiverforeningen Spekter, Arbeids- og velferdsdirektoratet, Brækhus Advokatfirma DA, Direktoratet for e-helse, Forbrukerrådet, Helse Stavanger HF, Helse Nord RHF, Skattedirektoratet og Sporveien Oslo AS mener at nemnda fortsatt bør ha syv medlemmer. Arkivverket, Næringslivets Hovedorganisasjon og Vestfold fylkeskommune støtter forslaget om å redusere antall medlemmer til fem. Universitetet i Oslo mener at nemnda bør ha rom for minst seks ulike kompetanseområder og dermed også bestå av minst seks personer. Datatilsynet har ingen merknader til forslaget om redusere antall medlemmer i nemnda til fem.

Advokatforeningen og Forbrukerrådet peker på at de ikke ser for seg at det over tid vil være krevende å finne tilstrekkelig mange personer som har nødvendig kompetanse og interesse for personvern.

Både Arbeids- og velferdsdirektoratet, Arbeidsgiverforeningen Spekter, Brækhus Advokatfirma DA, Brønnøysundregistrene, Direktoratet for e-helse, Helse Stavanger HF, Helse Nord RHF og Universitetet i Oslo mener det er viktig å ha bred kompetanse i nemnda. Brønnøysundregistrene peker imidlertid på at dersom behovet for en bredt sammensatt nemd kan ivaretas med færre medlemmer, anser de det for å være hensiktsmessig å redusere antallet til fem.

Helse Stavanger HF fremholder også hensynet til at nemnda skal være beslutningsdyktig som et argument for at dagens ordning med syv medlemmer opprettholdes.

Forbrukerrådet peker særlig på at sammensetningen av nemnda bør endres til at et av medlemmene i nemnda skal representere forbrukerinteresser. Direktoratet for e-helse mener at nemnda bør ha et medlem som kjenner helseområdet godt.

Datatilsynet reiser spørsmål om innretningen på den administrative klageordningen. Etter høringsinstansens syn bør klageordningen innrettes mer mot Personvernnemnda som et domstolliknende organ, med mer innslag av partsprosess. Høringsinstansen mener nemnda bare bør ha anledning til å behandle saker etter klage, og ikke ha adgang til å gripe inn i saken på eget initiativ med omgjøring etter forvaltningsloven § 35. Datatilsynet stiller spørsmål ved om det er forenlig med forordningen at det etableres et administrativt klageorgan, med medlemmer utnevnt av regjeringen (Kongen), som på eget initiativ har rett til å gripe inn overfor Datatilsynets avgjørelser.

Datatilsynet peker også på at det etter omstendighetene er vanskelig å si om man står overfor et enkeltvedtak eller ikke. På bakgrunn av dette mener Datatilsynet det bør vurderes å gi mer presise bestemmelser om hvilke avgjørelser som kan påklages til Personvernnemnda.

27.5 Departementets vurdering

Departementet foreslår å videreføre ordningen med Personvernnemnda som et administrativt klageorgan for Datatilsynets avgjørelser. Det bør etter departementets syn sikres tilgang til en lavterskel klageordning ved klage over Datatilsynets vedtak. Alternativet til å kunne klage til Personvernnemnda vil være at den enkelte borger eller bedrift vil måtte ta tilsynsmyndighetens vedtak inn for domstolene ved uenighet, noe som kan representere en stor byrde for den enkelte.

Etter departementets syn er ikke Personvernnemnda omfattet av forordningens regler om tilsynsmyndighetens organisering, kompetanse og oppgaver. Det er likevel viktig å sikre at nemnda er et uavhengig organ, som ikke kan instrueres av regjering eller departement. En annen løsning vil i praksis undergrave Datatilsynets uavhengighet.

Departementet opprettholder ikke forslaget om å redusere antall medlemmer i nemnda fra syv til fem. Flere høringsinstanser peker på at det er viktig å opprettholde en nemnd med syv medlemmer for å sikre at nemnda har tilstrekkelig bred kompetanse og kan håndtere sakstilfanget. Departementet slutter seg til disse synspunktene.

Etter departementets syn bør alle Personvernnemndas medlemmer med vararepresentanter, inkludert leder og nestleder, utnevnes av Kongen. Dette vil sikre en helhetlig vurdering av nemndas sammensetning. Departementet fastholder forslaget om at medlemmene fremdeles bør utnevnes for fire år med mulighet for én gjenutnevnelse, slik at maksimal total funksjonstid vil være åtte år. Det foreslås videre at ordningen med personlige varamedlemmer videreføres.

Departementet fastholder forslaget om at Personvernnemnda fortsatt skal behandle alle klager over vedtak fattet av Datatilsynet med unntak av tilfeller der det er fastsatt særlige klageordninger i særlov og saker som berører behandlingsansvarlige eller registrerte i flere EU-/EØS-land, som skal behandles etter de særlige reglene i forordningen artikkel 60 til 66.

Datatilsynet ber i sin høringsuttalelse om en nærmere regulering av hvilke avgjørelser som kan påklages til nemnda. Departementet foreslår å knytte klageadgangen til «vedtak». Etter departementets syn bør forvaltningslovens generelle regler regulere spørsmål om hvilke saker som skal regnes som vedtak i lovens forstand.

Departementet foreslår å videreføre gjeldende regel om at søksmål mot Personvernnemnda rettes mot staten ved Personvernnemnda.

Departementet foreslår ikke å videreføre bestemmelsen i personopplysningsloven § 42 fjerde ledd siste punktum om at Personvernnemndas avgjørelser om retting og sletting av personopplysninger som behandles for historiske formål skal kunne påklages videre til Kongen. Dette vil etter departementets syn stå i dårlig sammenheng med forordningens uavhengighetskrav. Det synes også å være lite praktisk behov for bestemmelsen, da den så vidt departementet kjenner til aldri er blitt benyttet.

Datatilsynet har kommet med innspill til endringer i Personvernnemndas saksbehandling. I denne omgang tar departementet sikte på å foreslå lovendringer som er nødvendige for gjennomføring av forordningen og går i denne sammenheng ikke nærmere inn på behovet for endringer i hvordan nemnda behandler saker. Departementet viser til at nemndas saksbehandling reguleres av forvaltningslovens generelle regler.

28 Datatilsynets og Personvernnemndas taushetsplikt og tilgang til opplysninger

28.1 Gjeldende rett

Personopplysningsloven § 44 regulerer Datatilsynets og Personvernnemndas tilgang til opplysninger og adgang til steder mv. De samme reglene gjelder for Personvernnemnda som for Datatilsynet, som med hjemmel i § 44 første ledd kan kreve de opplysninger som trengs for at de kan gjennomføre sine oppgaver. Etter § 44 tredje ledd, jf. første og annet ledd, gjelder dette også taushetsbelagte opplysninger.

Personopplysningsloven § 45 første ledd fastsetter at taushetsplikten etter forvaltningsloven § 13 flg. gjelder tilsvarende. Det er presisert i personopplysningsloven § 45 første ledd at taushetsplikten også omfatter opplysninger om sikkerhetstiltak. Det følger videre av personopplysningsloven § 45 annet ledd at Datatilsynet og Personvernnemnda uten hinder av taushetsplikten etter første ledd kan gi opplysninger til utenlandske tilsynsmyndigheter når det er nødvendig for å treffe vedtak som ledd i tilsynsvirksomheten.

28.2 Forordningen

Det følger av forordningen artikkel 54 nr. 2 at medlemmene og personellet hos tilsynsmyndigheten både i og etter utnevnelsesperioden skal være bundet av taushetsplikt med hensyn til eventuell konfidensiell informasjon de får kjennskap til under utførelsen av sine oppgaver eller utøvelsen av sin myndighet, i samsvar med unionsretten eller nasjonal rett. Det følger videre av artikkel 54 nr. 2 at i utnevnelsesperioden skal taushetsplikten særlig omfatte fysiske personers varsling om overtredelser av denne forordning.

Etter artikkel 58 nr. 1 bokstav a, e og f kan tilsynsmyndigheten kreve tilgang til alle opplysninger eller alle steder der opplysninger finnes når dette er nødvendig for utførelse av tilsynsmyndighetens oppgaver.

Etter artikkel 90 kan statene fastsette nasjonale regler om tilsynsmyndighetens tilgang til opplysninger underlagt lovbestemt taushetsplikt, dersom slike regler er nødvendige for å forene retten til personvern med bestemmelser om taushetsplikt. Eventuelle nasjonale regler skal kun omfatte personopplysninger som den behandlingsansvarlige eller databehandleren har mottatt som følge av, eller har innhentet i forbindelse med, en aktivitet som omfattes av den lovbestemte taushetsplikten.

28.3 Forslaget i høringsnotatet

Det ble i høringsnotatet foreslått å videreføre reglene i personopplysningsloven § 45.

For å ivareta hensynet til varslere slik forordningen forutsetter i artikkel 54 nr. 2 siste punktum, foreslo departementet å utvide taushetspliktsbestemmelsen til også å gjelde for opplysninger om varsling.

Departementet foreslo ikke å videreføre bestemmelsen i personopplysningsloven § 44 første ledd for så vidt gjelder Datatilsynets tilgang til opplysninger, fordi denne tilgangen følger direkte av forordningen artikkel 58 nr. 1 bokstav a og e. Departementet foreslo å videreføre personopplysningsloven § 44 første ledd for Personvernnemnda ved å la personvernforordningen artikkel 58 nr. 1 bokstav a og e gjelde tilsvarende for Personvernnemnda.

Personopplysningsloven § 44 annet ledd ble ikke foreslått videreført, da Datatilsynets rett til å kreve adgang til steder hvor det finnes personopplysninger følger direkte av forordningen, jf. artikkel 58 nr. 1 bokstav f.

Departementet foreslo å videreføre regelen i personopplysningsloven § 44 tredje ledd om at tilgangen til opplysninger eller steder gjelder uten hinder av taushetsplikt.

28.4 Høringsinstansenes syn

Statistisk sentralbyrå viser til at det i den foreslåtte bestemmelsen om taushetsplikt ikke er oppstilt noen begrensinger, og formoder da at slik tilgang også er ment å gjelde opplysninger som er taushetsbelagt etter særlovgivning og i ytterste konsekvens også sikkerhetsgradert informasjon. Høringsinstansen viser videre til at dersom tilsynsmyndighet gis tilgang til opplysninger som er regulert av en streng taushetsplikt etter særlov, har det formodningen mot seg at de etter forslaget til § 20 kun er underlagt taushetsplikt etter forvaltningslovens alminnelige taushetspliktregler. Høringsinstansen mener det her må presumeres at særlovgivningens taushetsplikt følger med opplysningene, og derigjennom pålegger tilsynsmyndighetens personale samme taushetsplikt som opplysningene er regulert av, ved tilgang til slike opplysninger.

Datatilsynet mener at taushetsplikten må forsterkes. Etter høringsinstansens syn er det det sentrale poenget med taushetsplikten å beskytte varslere, for å bidra til å motivere de som sitter på informasjon om mulige regelbrudd til å komme frem. Datatilsynet mener at taushetsplikten også bør gjelde for sakens parter. Høringsinstansen mener videre at en slik taushetsplikt med hensyn til varslere antakelig også bør gjelde overfor Personvernnemnda.

Datatilsynet viser til at departementet har foreslått at forordningen artikkel 58 nr.1 bokstav a og e skal gis tilsvarende anvendelse overfor Personvernnemnda. Etter høringsinstansens syn innebærer dette at nemnda skal ha undersøkelseskompetanse, herunder kunne gjennomføre stedlig kontroll (on sight inspections). Høringsinstansen mener det er betenkeligheter knyttet til at en behandlingsansvarlig eller databehandler som klager til Personvernnemnda kan risikere at nemnda selv etterforsker saken, herunder foretar stedlige kontroller.

28.5 Departementets vurdering

Det følger av artikkel 54 nr. 2 at «medlemmet/medlemmene og personellet hos hver tilsynsmyndighet skal, i samsvar med unionsretten eller medlemsstatenes nasjonale rett, både i og etter utnevnelsesperioden være bundet av taushetsplikt med hensyn til eventuell konfidensiell informasjon de får kjennskap til under utførelsen av sine oppgaver eller utøvelsen av sin myndighet. I utnevnelsesperioden skal taushetsplikten særlig omfatte fysiske personers varsling om overtredelser av denne forordning.» På denne bakgrunn foreslår departementet å fastsette særlige regler om taushetsplikt for den som utfører arbeid for Datatilsynet. Etter departementets syn bør det gjelde tilsvarende taushetspliktsregler for Personvernnemnda.

Det følger av forordningen artikkel 54 nr. 2 siste punktum at taushetsplikten skal omfatte opplysninger om fysiske personers varsling om brudd på forordningen. Etter offentleglova § 24 annet ledd kan det gjøres unntak fra innsynsrett i melding, tips eller lignende om lovbrudd fra private. Slike opplysninger kan det derfor nektes innsyn i. Departementet foreslår at det også fastsettes særskilt at taushetsplikten omfatter enkeltpersoners varsling om overtredelser av loven her. Datatilsynet har fremholdt at taushetsplikten om varsling bør gjelde også overfor sakens parter. Departementet viser i denne forbindelse til arbeidsmiljøloven § 2 A-4 der det fastsettes en særskilt taushetsplikt om arbeidstakere som varsler myndighetene om kritikkverdige forhold. Det følger videre av bestemmelsens annet ledd at denne taushetsplikten gjelder også overfor sakens parter. Etter departementets syn er det ikke behov for regler om at taushetsplikten også skal gjelde overfor sakens parter utenom i arbeidsforhold. Det er primært der det er en ubalanse i maktforholdet mellom varsleren og den det varsles om at en slik bestemmelse er aktuell. Departementet ser at det kan tenkes andre tilfeller der det er en slik ubalanse når det gjelder varsling om ulovlig behandling av personopplysninger. Etter departementets syn bør terskelen for å unnta parten for innsyn i sakens opplysninger legges høyt, og departementet kan ikke se at det på nåværende tidspunkt foreligger andre typetilfeller som bør reguleres særskilt. Det vises for øvrig til de generelle reglene i forvaltningsloven § 19 som også gir adgang til å unnta opplysninger fra sakens parter på nærmere bestemte vilkår.

Statistisk sentralbyrå mener at dersom tilsynsmyndigheten gis tilgang til opplysninger som er regulert av en streng taushetsplikt etter særlov, har det formodningen mot seg at den etter forslaget til § 20 kun er underlagt taushetsplikt etter forvaltningslovens alminnelige taushetspliktregler. Departementet foreslår ingen særlige regler om at taushetsplikt i særlov skal gjelde også for Datatilsynet og Personvernnemnda. Rekkevidden av eventuell taushetsplikt som følger av særlov vil måtte fastlegges i det enkelte tilfellet.

For at samarbeidet mellom tilsynsmyndighetene i ulike land skal bli effektiv, er det viktig at Datatilsynet får anledning til å samarbeide med tilsynsmyndighetene i andre land uten hinder av taushetsplikten. Departementet foreslår derfor å videreføre personopplysningsloven § 45 annet ledd som fastslår at Datatilsynet og Personvernnemnda kan gi opplysninger til utenlandske tilsynsmyndigheter uten hinder av taushetsplikten når dette er nødvendig for å kunne treffe vedtak som ledd i tilsynsvirksomheten.

Når det gjelder Datatilsynets tilgang til opplysninger, følger regler om dette av forordningen artikkel 58. Departementet finner imidlertid grunn til å fastsette særskilt i nasjonal rett at tilgangen til opplysninger skal gjelde uavhengig av taushetsplikt.

Forordningen gir ingen regler om Personvernnemndas tilgang til opplysninger. Departementet foreslo i høringsnotatet å videreføre gjeldende rett på dette punktet, ved å la forordningen artikkel 58 nr. 1 bokstav a og e gjelde tilsvarende for nemnda. Departementet har merket seg innvendingen fra Datatilsynet om at forslaget innebærer at nemnda har undersøkelseskompetanse. Departementet har etter dette kommet til at kun artikkel 58 nr. 1 bokstav a bør gjøres gjeldende for nemnda, og mener dette vil være en videreføring av gjeldende rett i personopplysningsloven § 44 første ledd. Det vises for øvrig til de generelle reglene i forvaltningsloven om klage og omgjøring, herunder § 33 femte ledd.

Bestemmelsene om tilgang til opplysninger må som i dag leses med de begrensninger som følger av forbudet mot selvinkriminering i Den europeiske menneskerettskonvensjon. Datatilsynet vil dermed ha begrenset rett til å kreve opplysninger i saker om overtredelsesgebyr eller andre administrative sanksjoner. Videre vil det foreligge begrensninger for bruk av tidligere innhentede opplysninger i disse sakene. Det vises til Prop. 62 L (2015–2016) kapittel 22 side 134–139 om rekkevidden av forbudet mot selvinkriminering.

Forholdet til kildevernet omtales i kapittel 14 om ytrings- og informasjonsfrihet.

29 Domstolsprøving

29.1 Gjeldende rett

Etter gjeldende rett kan vedtak fra Datatilsynet og Personvernnemnda bringes inn for domstolene etter tvisteloven § 1-3. Det er også adgang for en registrert til å bringe en sak mot en behandlingsansvarlig eller databehandler direkte inn for domstolene etter samme bestemmelse. Det følger av personopplysningsloven § 43 femte ledd at søksmål om gyldigheten av Personvernnemndas avgjørelser rettes mot staten ved Personvernnemnda. Det er ikke fastsatt noen tilsvarende bestemmelse for Datatilsynet.

Når det gjelder Datatilsynets adgang til selv å ta ut søksmål, må dette gjøres på grunnlag av tvistelovens alminnelige regler. Departementet kjenner ikke til at spørsmålet har vært aktualisert.

29.2 Forordningen

Etter artikkel 58 nr. 4 skal landene sørge for at den myndighet som tilsynsmyndigheten gis i henhold til artikkel 58, skal være underlagt nødvendige «garantier», herunder effektive rettsmidler og rettferdig rettergang fastsatt i unionsretten eller nasjonal rett.

Artikkel 78 nr. 1 gir enhver fysisk eller juridisk person rett til et effektivt rettsmiddel overfor et bindende vedtak som gjelder dem. En sak mot tilsynsmyndigheten skal anlegges i den stat der tilsynsmyndigheten er etablert. Dersom det gjelder en sak hvor vedtaket har blitt truffet etter en uttalelse eller en avgjørelse fra Personvernrådet, skal tilsynsmyndigheten fremlegge uttalelsen eller avgjørelsen for domstolen. Etter artikkel 78 nr. 2 skal enhver registrert ha rett til et effektivt rettsmiddel dersom den kompetente tilsynsmyndigheten ikke behandler en klage eller ikke underretter den registrerte innen tre måneder om utfallet av saken eller om behandlingsforløpet.

Forordningen artikkel 79 omhandler retten til et effektivt rettsmiddel overfor en behandlingsansvarlig eller databehandler. Det er der bestemt at saken skal bringes inn for domstolene i den staten der den behandlingsansvarlige eller databehandleren er etablert eller der den registrerte er bosatt. Dersom den behandlingsansvarlige eller databehandleren er en offentlig myndighet, og saken gjelder utøvelse av offentlig myndighet, kan saken bare behandles i den staten der den offentlige myndigheten er etablert.

Artikkel 80 nr. 1 fastsetter at en registrert kan la seg representere av en ideell organisasjon eller sammenslutning som tilfredsstiller visse vilkår overfor tilsynsmyndigheten og domstolene.

I henhold til artikkel 58 nr. 5 skal medlemsstatene fastsette i lov at tilsynsmyndigheten har myndighet til å opplyse rettshåndhevende myndigheter om overtredelser av forordningen. Der det er relevant, skal tilsynsmyndigheten videre ha myndighet til å innlede eller på annen måte opptre i rettssaker.

Artikkel 81 nr. 1 pålegger en domstol i en medlemsstat å informere en domstol i en annen medlemsstat dersom den har kunnskap om at det verserer en sak om samme saksgjenstand mot samme behandlingsansvarlig eller databehandler. Artikkel 81 nr. 2 åpner for at en domstol i disse tilfellene kan utsette saken.

29.3 Forslaget i høringsnotatet

Det ble i høringsnotatet vist til at forordningen fastsetter at det skal være adgang til rettslig prøving av Datatilsynets vedtak, jf. artikkel 78. Departementet la i høringsnotatet til grunn at de norske reglene om adgang til å prøve forvaltningsvedtak for domstolene oppfyller forordningens krav til et effektivt rettsmiddel overfor tilsynsmyndigheten.

Det ble i høringsnotatet vist til at det etter artikkel 79 kreves at de registrerte skal kunne bringe en behandlingsansvarlig eller databehandler inn for domstolene dersom de mener at deres rettigheter er krenket. Departementet fremholdt i høringsnotatet at tvistelovens regler oppfyller kravet til et effektivt rettsmiddel.

I høringsnotatet viste departementet til at artikkel 80 nr. 1 fastsetter at en part kan la seg representere overfor tilsynsmyndighetene og domstolene av en ideell organisasjon eller sammenslutning som tilfredsstiller visse vilkår. Departementet fremholdt at bestemmelsen må forstås slik at organisasjonen eller sammenslutningen må følge nasjonale prosessregler i utøvelsen av rettigheten. Departementet viste til bestemmelsene i tvisteloven §§ 1-4 første ledd, 3-3 fjerde ledd og 15-7, og foreslo ingen ytterligere nasjonale regler.

Det ble i høringsnotatet vist til at etter artikkel 58 nr. 5 skal nasjonal rett fastsette at tilsynsmyndigheten skal ha adgang til å opplyse rettshåndhevende myndigheter om overtredelser av forordningen. Videre ble det vist til at tilsynsmyndigheten skal, der det er relevant, ha anledning til å delta i en rettslig prosess for å sikre etterlevelse av forordningens bestemmelser. Departementet viste til reglene i tvisteloven §§ 1-4 og 15-7, og la til grunn at disse er tilstrekkelige til å oppfylle forordningen artikkel 58 nr. 5.

29.4 Høringsinstansenes syn

Næringslivets Hovedorganisasjon mener at Datatilsynets vedtak i saker om overtredelsesgebyr bør kunne bringes direkte inn for domstolene, uten at saken først må behandles i Personvernnemnda.

Forbrukerrådet peker på forordningens regler om domstolskontroll og fremholder at Forbrukerrådet selv kan reise selvstendig søksmål uavhengig av fullmakt fra registrerte til vern av personverninteresser, jf. artikkel. 80 nr. 2. Forbrukerrådet peker også på muligheten til å utforme et skriftlig innlegg som legges frem i rettssaken til belysning av allmenne interesser som en sak reiser «innenfor rammene av deres formål og naturlige virkeområde» med hjemmel i tvisteloven § 15-8.

Datatilsynet mener at tilsynet må gis uttrykkelig adgang til å angripe nemndas vedtak for domstolene. Datatilsynet peker på at det for eksempel kan være slik at saken reiser prinsipielle og uavklarte spørsmål, eller nemndas avgjørelse kolliderer med praksis og avklaringer som er blitt til gjennom samarbeid- og konsistensmekanismen, og følgelig går mot den harmoniseringen som er forordningens grunntanke og som tilsynsmyndighetene har en særskilt oppgave med å fremme. Datatilsynet viser videre til at det følger av forarbeidene til tvisteloven § 1-4 at «bestemmelsen vil ikke ha selvstendig betydning for tilsynsorganer i forhold til den lovgivningen de har som oppgave å håndheve», og mener på denne bakgrunn det er behov for uttrykkelig regulering for å gjøre det klart at Datatilsynet kan bringe saker inn for retten.

29.5 Departementets vurdering

Prosessuelle regler faller i utgangspunktet ikke inn under EØS-avtalens anvendelsesområde. Reglene om domstolsprøving er likevel en integrert del av regelverket, og departementet antar at regelverket i forordningen om domstolsprøving bør tas inn i norsk rett i sin helhet sammen med forordningen ellers.

Forordningen gir utfyllende regler om domstolsprøving av saker som gjelder behandling av personopplysninger. Adgangen til domstolsprøving av tilsynsmyndighetens vedtak kan etter departementets syn bli viktigere i praksis når forordningen gir grunnlag for svært høye overtredelsesgebyrer. Det å gå til domstolene for å gjøre gjeldende et krav direkte mot en behandlingsansvarlig kan også etter omstendighetene tenkes å være av stor praktisk betydning. Etter departementets syn vil forordningens regler sett i sammenheng med tvistelovens generelle regler regulere adgangen til domstolsprøving innenfor forordningens virkeområde, og det er i all hovedsak verken rom eller behov for noen særskilt nasjonal regulering. Artikkel 78 nr. 2 om retten til et effektivt rettsmiddel der tilsynsmyndigheten ikke behandler en klage eller ikke underretter den registrerte om klagebehandlingsforløpet eller utfallet av klagen innen tre måneder, vil for eksempel, etter departementets syn, kunne påberopes direkte for norske domstoler i et søksmål om hvorvidt tilsynet har oppfylt sine forpliktelser etter forordningen.

Departementet har ikke funnet grunn til å fastsette noen særskilte regler om organisasjoners og sammenslutningers adgang til å representere den registrerte uavhengig av fullmakt, jf. artikkel 80 nr. 2.

Departementet finner imidlertid grunn til å knytte noen særlige merknader til Datatilsynets tilgang til domstolene. Datatilsynet ber i sin høringsuttalelse både om at tilsynet gis uttrykkelig adgang til å angripe nemndas vedtak for domstolene og en regulering av tilsynets mulighet til å ta saker for retten. Når det gjelder spørsmålet om Datatilsynet skal ha adgang til å angripe nemndas vedtak for domstolene, foreslår departementet i denne omgang ingen slik adgang for Datatilsynet. En slik eventuell adgang bør etter departementets syn være gjenstand for nærmere utredning.

Når det gjelder tilsynets mulighet til å opptre for domstolene utover dette, ser departementet at det kan være grunn til å avklare tilsynets partsstilling nærmere i personopplysningsloven. Det foreslås derfor en bestemmelse om at Datatilsynet opptrer som part på vegne av staten i søksmål som er knyttet til tilsynsvirksomheten. Etter departementets syn vil dette sikre at Datatilsynet i tråd med forordningen artikkel 58 nr. 5 vil kunne innlede eller på annen måte opptre i rettssaker med det som mål å håndheve bestemmelsene i forordningen, der dette er relevant. Bestemmelsen innebærer blant annet at eventuelle søksmål om gyldigheten av tilsynets vedtak rettes mot staten ved Datatilsynet og at Datatilsynet i slike tilfeller utøver partsbeføyelsene selvstendig. Departementet legger for øvrig til grunn at tilsynets håndheving av forordningens regler i all hovedsak vil skje gjennom utøvelsen av øvrig kompetanse etter artikkel 58. Adgangen til å erklære partshjelp etter tvisteloven § 15-7 kan for eksempel likevel tenkes å bli aktuell.

30 Et nytt europeisk tilsynssystem – samarbeids- og konsistensmekanismen

30.1 Innledning

Forordningen legger opp til et utvidet samarbeid mellom tilsynsmyndighetene i EU og fastsetter til dels detaljerte regler for hvordan dette samarbeidet skal foregå. Det opprettes et europeisk Personvernråd, hvor alle nasjonale tilsynsmyndigheter skal være representert ved lederen i tilsynsorganet, og det legges opp til mekanismer som skal benyttes for at de nasjonale tilsynsmyndighetene skal komme frem til en ensartet tolkning og anvendelse av forordningen når en behandling av personopplysninger har virkninger i flere EU-stater.

30.2 Det europeiske Personvernråd (Personvernrådet)

I henhold til 95-direktivet er det opprettet en arbeidsgruppe bestående av representanter for EU-landenes nasjonale datatilsyn, den såkalte Artikkel 29-gruppen. Artikkel 29-gruppens hovedoppgave er å gi råd og informasjon til Kommisjonen, men den kan også utarbeide anbefalinger på eget initiativ. Det følger av tilpasningsteksten til 95-direktivet at EØS/EFTA-statenes tilsynsmyndigheter har rett til å delta i Artikkel 29-gruppen som observatør uten stemmerett. Datatilsynet deltar i gruppen på vegne av Norge.

Forordningen fastsetter at det skal opprettes et europeisk Personvernråd, i det følgende omtalt som Personvernrådet, jf. artikkel 68 til 76. Personvernrådet skal være et eget rettssubjekt bestå av representanter fra nasjonale tilsynsmyndigheter og EUs datatilsyn (EDPS). Kommisjonen skal ha rett til å delta i Personvernrådets møter uten stemmerett. Personvernrådet skal assisteres av et sekretariat stilt til rådighet av EUs datatilsyn.

Personvernrådet kan sees på som en videreføring av Artikkel 29-gruppen, men med utvidede oppgaver. Personvernrådet skal gi råd til Kommisjonen i personvernspørsmål, gi retningslinjer og anbefalinger til medlemsstatenes tilsynsmyndigheter og arbeide for effektivt samarbeid mellom tilsynsmyndighetene. Uttalelser og retningslinjer fra Personvernrådet er ikke bindende, men det er grunn til å anta at uttalelsene i praksis vil bli tillagt stor vekt. Personvernrådet skal utarbeide en årlig rapport.

Personvernrådet spiller også en sentral rolle i den såkalte konsistensmekanismen, og vil i den forbindelse også ha kompetanse til å treffe bindende avgjørelser. Konsistensmekanismen omtales nedenfor.

30.3 Samarbeid mellom de nasjonale tilsynsmyndighetene

30.3.1 Gjeldende rett

Etter 95-direktivet har hver stats tilsynsmyndighet kompetanse til å utøve tilsyn og fatte vedtak om behandling av personopplysninger som skjer på eget territorium. Andre lands tilsynsmyndigheter kan anmode om at kompetent tilsynsmyndighet utøver sin myndighet, og det foreligger en plikt for tilsynsmyndighetene til å samarbeide, herunder utveksle nødvendig informasjon. Personopplysningsloven § 45 annet ledd fastsetter at Datatilsynet og Personvernnemnda kan utveksle opplysninger med utenlandske tilsynsmyndigheter uten hinder av taushetsplikten når det er nødvendig for å kunne treffe vedtak som et ledd i tilsynsvirksomheten.

30.3.2 Forordningen

Også etter forordningen er utgangspunktet at hver stats tilsynsmyndighet skal utøve den myndighet de er tillagt etter forordningen på eget territorium, jf. artikkel 55 nr. 1. Ved forordningen innføres samtidig en ordning der bedrifter som er etablert i flere EU-land, eller som er etablert i ett EU-land, men like fullt utøver grenseoverskridende behandling av personopplysninger, bare behøver å forholde seg til én tilsynsmyndighet (ettstedsmekanismen), jf. artikkel 56. Formålet med ordningen er å redusere administrative byrder for selskaper som opererer i flere EU-land, ved at de kan forholde seg til én tilsynsmyndighet.

I artikkel 56 reguleres kompetansen til den ledende tilsynsmyndigheten i saker som involverer tilsynsmyndigheter i flere land. Det fastsettes at tilsynsmyndigheten i det landet den behandlingsansvarlige eller databehandleren har sin hovedvirksomhet, skal fungere som ledende tilsynsmyndighet i saker med grenseoverskridende behandling av personopplysninger. Det fastsettes også nærmere saksbehandlingsregler. Den ledende tilsynsmyndigheten skal være den behandlingsansvarlige eller databehandlerens eneste kontaktpunkt.

Ordningen gjelder ikke for offentlige myndigheter eller for private hvor behandlingen er nødvendig for å oppfylle en rettslig forpliktelse, eller der behandlingen er nødvendig for å utføre en oppgave i offentlighetens interesse eller utøve offentlig myndighet, jf. artikkel 55 nr. 2. Den gjelder i utgangspunktet heller ikke hvis behandlingen av personopplysninger bare skjer i én medlemsstat eller i vesentlig grad påvirker registrerte bare i én medlemsstat, jf. artikkel 56 nr. 2.

Artikkel 60 regulerer samarbeidet mellom den ledende tilsynsmyndigheten og andre tilsynsmyndigheter i saker der flere EU-stater er berørt. Det fastsettes at den ledende tilsynsmyndigheten skal samarbeide med de andre berørte tilsynsmyndighetene og bestrebe seg på å oppnå enighet om et vedtak i saken. Andre berørte tilsynsmyndigheter er forpliktet til å yte bistand. Forordningen har detaljerte bestemmelser om den ledende tilsynsmyndighetenes plikt til å forelegge utkast til vedtak for de berørte tilsynsmyndighetene, inkludert tidsfrister. Når alle berørte tilsynsorganer er enige om et vedtak, eller det ikke er kommet innsigelser innen fristen, treffer den ledende tilsynsmyndighet vedtaket og meddeler denne til den behandlingsansvarliges eller databehandlerens hovedvirksomhet, som plikter å gjennomføre de nødvendige tiltak for å overholde vedtaket i alle medlemsstater de har virksomhet. Vedtaket skal også meddeles de berørte tilsynsmyndighetene, som blir bundet av det, og til Personvernrådet. Tilsynsmyndigheten i den stat der klagen er inngitt, meddeler vedtaket til klageren. Det er gitt egne regler om beslutningsmyndighet og meddelelse i de tilfellene en klage helt eller delvis skal avvises.

Artikkel 61 regulerer plikten til å yte gjensidig bistand mellom nasjonale tilsynsmyndigheter og gir anvisning på hvilke prosedyrer og frister som gjelder. Alle tilsynsmyndigheter er forpliktet til å yte gjensidig bistand etter anmodning, med mindre de ikke har kompetanse til å gjennomføre de tiltak de er bedt om å iverksette, eller dersom det vil være i strid med forordningen, EU-lovgivningen eller nasjonal rett å etterkomme anmodningen. Dersom en tilsynsmyndighet ikke underretter den anmodende tilsynsmyndighet om resultatene eller tiltakene som er truffet for å besvare anmodningen innen én måned, kan den anmodende tilsynsmyndighet iverksette midlertidige tiltak på sitt territorium, og saken skal forelegges Personvernrådet for bindende avgjørelse.

Artikkel 62 gir regler for felles aktiviteter, herunder felles undersøkelser og felles håndhevingstiltak. Artikkelen fastsetter bestemmelser om rett til deltakelse, de forskjellige tilsynsmyndighetenes kompetanse og erstatningsansvar. Dersom en behandlingsansvarlig eller databehandler har virksomhet i flere stater eller virksomheten i vesentlig grad berører et betydelig antall registrerte i flere medlemsstater, skal tilsynsmyndighetene i alle berørte medlemsstater ha rett til å delta. Hvilken myndighet som kan utøves av deltakerne i aktivitetene, avgjøres av vertsstatens lovgivning.

Artikkel 63 fastslår at tilsynsmyndighetene skal samarbeide med hverandre.

30.4 Konsistensmekanismen

For å bidra til en ensartet anvendelse av forordningen er det opprettet en konsistensmekanisme hvor Personvernrådet er gitt en sentral rolle, jf. artikkel 64 til 67.

Artikkel 64 pålegger nasjonale tilsynsmyndigheter å forelegge visse typer tiltak for Personvernrådet. Blant annet skal vedtak med lister over hvilke behandlingsaktiviteter som omfattes av kravet om personvernkonsekvensutredning, godkjenning av kriterier for akkreditering, godkjenning av avtalevilkår for overføring av opplysninger til tredjestater og godkjenning av konsernregler forelegges Personvernrådet. I tillegg kan Kommisjonen og nasjonale tilsynsmyndigheter anmode om uttalelse om forhold med allmenn rekkevidde eller som har virkning i mer enn én medlemsstat. Personvernrådet må behandle saken innen visse frister. I perioden saken behandles i Personvernrådet, kan ikke nasjonale tilsynsmyndigheter treffe vedtak i saken. Uttalelsen fra Personvernrådet er i utgangspunktet ikke bindende, men de nasjonale tilsynsmyndigheter er pålagt å ta størst mulig hensyn til uttalelsen. De nasjonale tilsynsmyndighetene er dessuten pålagt å informere Personvernrådet dersom de ikke følger uttalelsen, og Personvernrådet vil da ha anledning til å treffe bindende avgjørelse.

Artikkel 65 fastsetter at Personvernrådet skal kunne fatte avgjørelser dersom en ledende nasjonal tilsynsmyndighet ikke følger en innsigelse fra en annen berørt nasjonal tilsynsmyndighet, dersom det er uenighet om hvilken nasjonal tilsynsmyndighet som har kompetanse til å behandle saken, eller dersom en nasjonal tilsynsmyndighet ikke anmoder om eller ikke følger en uttalelse gitt i medhold av artikkel 64. Det fastsettes også saksbehandlingsregler, inkludert tidsfrister for behandling av disse sakene. De nasjonale tilsynsmyndighetene kan ikke fatte avgjørelser i sakene mens saken er til behandling i Personvernrådet, og avgjørelsene er bindende for de nasjonale tilsynsmyndighetene.

I artikkel 66 gis det anvisning på en hasteprosedyre som kan benyttes dersom det anses å være et akutt behov for å treffe tiltak. I disse tilfellene kan den nasjonale tilsynsmyndigheten treffe midlertidig vedtak og også anmode om at Personvernrådet treffer en hastebeslutning i saken.

30.5 Departementets vurdering

Departementet anser det som en fordel at det er opprettet mekanismer for samarbeid mellom tilsynsmyndighetene for å bidra til en ensartet praksis i hele EU/EØS. Som det fremgår av utkast til EØS-komiteens beslutning, vil det norske Datatilsynet delta fullt ut i Personvernrådet, dog uten stemmerett. Utkast til EØS-komiteens beslutning fastsetter videre at Personvernrådet skal treffe beslutninger overfor EØS/EFTA-statenes tilsynsmyndigheter. For en nærmere gjennomgang av utkast til EØS-komiteens beslutning og grunnlovsvurderinger knyttet til dette, vises det til kapittel 36.

For at samarbeidsmekanismen skal bli effektiv, er det viktig at Datatilsynet får anledning til å samarbeide med tilsynsmyndighetene i andre land uten hinder av taushetsplikten. Som nevnt i punkt 28.5 vil departementet derfor foreslå å videreføre personopplysningsloven § 45 annet ledd, som fastslår at Datatilsynet og Personvernnemnda kan gi opplysninger til utenlandske tilsynsmyndigheter uten hinder av taushetsplikten når dette er nødvendig for å kunne treffe vedtak som ledd i tilsynsvirksomheten, se lovutkastet § 24 annet ledd.

Departementet finner ikke på nåværende tidspunkt grunn til å fastsette regler for at andre lands tilsynsmyndigheter kan utøve myndighet på norsk territorium etter artikkel 62 nr. 3. Det anses som tilstrekkelig at ansatte fra andre lands tilsynsmyndigheter kan være til stede ved tilsynsaktiviteter sammen med det norske Datatilsynet, men uten å ha myndighet på norsk territorium. Etter departementet vurdering vil det foreligge et bedre grunnlag for å vurdere behovet for regler om overføring av myndighet til representanter for utenlandske tilsynsmyndigheter når forordningen har vært i kraft noen tid og man har fått erfaring med hvordan samarbeidsmekanismene fungerer.

31 Kameraovervåking i arbeidsforhold og innsyn i ansattes e-postkasse mv.

31.1 Gjeldende rett

31.1.1 Generelt om behandling av personopplysninger i arbeidslivet

Et arbeidsforhold innebærer at arbeidsgiver regelmessig og over tid vil ha behov for å behandle personopplysninger om sine ansatte, for eksempel som ledd i sin alminnelige personaladministrasjon. For å kunne beregne rett lønn vil for eksempel arbeidsgiver kunne ha behov for å behandle opplysninger om den ansattes fagforeningstilknytning. Andre eksempler er behandling av helseopplysninger i forbindelse med tilrettelegging av arbeidssituasjonen, behandling av personopplysninger som kan utledes fra ulike former for kontrolltiltak eller behandling av personopplysninger i forbindelse med en personalsak.

Personopplysningsloven gjelder for behandling av personopplysninger på alle samfunnsområder, inkludert i arbeidslivet. Det innebærer at arbeidsgiver bare kan behandle personopplysninger om arbeidstakerne i den utstrekning personopplysningsloven åpner for det, og opplysningene må behandles i tråd med kravene personopplysningsloven stiller. Dersom arbeidsgiver skal ha adgang til å behandle personopplysninger om arbeidstaker, må det for eksempel kunne vises til at behandlingsadgang følger av lov eller at behandlingen er nødvendig for å oppfylle en avtale eller for å ivareta en berettiget interesse, jf. personopplysningsloven § 8. Er det tale om sensitive personopplysninger, må arbeidsgiver i tillegg kunne vise til at vilkårene i § 9 er oppfylt, for eksempel fordi behandlingen av personopplysningene følger av lov eller er nødvendig for å ivareta arbeidsrettslige rettigheter og plikter. Behandlingen av personopplysninger må også tilfredsstille øvrige krav i personopplysningsloven, herunder grunnkravene som følger av § 11.

Arbeidsmiljøloven har flere bestemmelser som mer eller mindre uttrykkelig forutsetter behandling av personopplysninger. Eksempelvis vil arbeidsgiver kunne ha behov for å behandle personopplysninger i forbindelse med plikten til å legge til rette for arbeidstakere med redusert arbeidsevne etter § 4-6. Et annet eksempel er arbeidsgivers plikt til å registrere personskader og sykdom som oppstår på grunn av arbeidet eller som antas å ha sin bakgrunn i forholdene på arbeidsplassen, jf. arbeidsmiljøloven § 5-1. Personopplysningslovens regler gjelder også for behandling av personopplysninger i slike tilfeller.

Arbeidsmiljøloven kapittel 9 regulerer arbeidsgivers adgang til å iverksette kontrolltiltak i virksomheten. Kontrolltiltak i arbeidslivet spenner fra den helt «trivielle» kontroll, som for eksempel registrering av oppmøtetidspunkt eller kontroll av at arbeidstaker anvender påbudt verneutstyr, til mer inngripende tiltak som kameraovervåking eller rusmiddelkontroll. Arbeidsmiljøloven § 9-1 stiller grunnkrav til arbeidsgivers kontrolladgang, og fastsetter at alle kontrolltiltak må ha saklig grunn i virksomhetens forhold og ikke være uforholdsmessig inngripende overfor arbeidstaker. I § 9-2 er det gitt regler om arbeidstakermedvirkning ved innføring av kontrolltiltak og om plikt til å evaluere slike tiltak. I §§ 9-3 og 9-4 er arbeidsgiver gitt adgang til å behandle nærmere angitte helseopplysninger i forbindelse med ansettelse og medisinske undersøkelser. Arbeidsmiljøloven § 9-5 er en henvisningsbestemmelse som opplyser at arbeidsgivers adgang til innsyn i arbeidstakers e-post mv. er regulert i forskrift etter personopplysningsloven.

Arbeidsgivers adgang til å behandle personopplysninger som fremkommer gjennom et kontrolltiltak reguleres av personopplysningsloven, noe som også er presisert i arbeidsmiljøloven § 9-1 annet ledd. I lovforarbeidene til arbeidsmiljølovens kapittel om kontrolltiltak, ble det for øvrig lagt til grunn som et generelt synspunkt at vilkårene for å behandle personopplysninger etter personopplysningsloven § 8 bokstav f normalt vil være oppfylt dersom vilkårene for å gjennomføre kontrolltiltaket etter arbeidsmiljølovens regler er til stede, jf. Ot.prp. nr. 49 (2004–2005) side 146.

31.1.2 Kameraovervåking i arbeidslivet

Personopplysningsloven kapittel VII og personopplysningsforskriften kapittel 8 inneholder særlige bestemmelser om kameraovervåking. Bestemmelsene utfyller lovens og forskriftens alminnelige regler om behandling av personopplysninger.

Kameraovervåking defineres i personopplysningsloven § 36 første ledd første punktum som «vedvarende eller regelmessig gjentatt personovervåking ved hjelp av fjernbetjent eller automatisk virkende overvåkningskamera eller lignende utstyr som er fastmontert». Ettersom reglene kun gjelder kameraer som er fastmonterte, vil bruk av for eksempel droner eller mobile og håndholdte kameraer falle utenfor reglenes virkeområde.

Personopplysningsloven § 36 første ledd tredje punktum slår fast at også bruk av utstyr som lett kan forveksles med en ekte kameraløsning – såkalte «dummy-kameraer» – skal anses som kameraovervåking etter personopplysningsloven.

Av personopplysningsloven § 37 følger det generelle regler om kameraovervåking, herunder at personopplysningslovens alminnelige regler gjelder for kameraovervåking, med de presiseringene som følger av kapittel VII. Annet ledd slår fast at kameraovervåking som må antas å ha vesentlig betydning for forebygging og oppklaring av straffbare handlinger er tillatt selv om vilkårene i personopplysningsloven § 9 første ledd ikke er oppfylt. Av tredje ledd følger det at det ved vurderingen av om det foreligger berettiget interesse etter § 8 bokstav f skal «legges vesentlig vekt på om overvåkingen bidrar til å verne om liv eller helse eller forebygger gjentatte eller alvorlige straffbare handlinger». I bestemmelsens fjerde ledd er det fastslått at kameraovervåking skal anses som behandling av sensitive personopplysninger bare «der slike utgjør en vesentlig del av opplysningene som overvåkingen omfatter».

I personopplysningsloven § 38 a oppstilles det tilleggsvilkår for «parker, strender og lignende rekreasjonsområder som er tilgjengelig for allmennheten». Bestemmelsen slår fast at slik overvåking bare er tillatt når behovet for tiltaket klart overstiger den enkeltes interesse av ikke å bli overvåket.

Personopplysningsloven § 38 angir tilleggsvilkår for kameraovervåking av sted «hvor en begrenset krets av personer ferdes jevnlig», hvilket typisk kan være en arbeidsplass. Det fremgår at slik overvåking bare er tillatt dersom det ut fra virksomheten er behov for å forebygge at farlige situasjoner oppstår og ivareta hensynet til ansattes eller andres sikkerhet eller det for øvrig er et særskilt behov for overvåkingen.

I personopplysningsloven § 39 er det fastsatt tilleggsvilkår for utlevering av opptak gjort ved kameraovervåking. Ved kameraovervåking på offentlig sted eller sted hvor en begrenset krets av personer ferdes jevnlig, skal det varsles ved skilting eller lignende at overvåking finner sted, jf. personopplysningsloven § 40.

I personopplysningsforskriften § 8-3 er det gitt særregler om politiets bruk av opptak og unntak fra den registrertes rettigheter til innsyn i opplysninger som politiet er i besittelse av.

Av forskriften § 8-4 følger det frister for sletting av opptak. Opptak skal som hovedregel slettes så snart det ikke lenger er behov for oppbevaring, men senest sju dager etter at opptakene er gjort, jf. § 8-4 annet ledd. Unntak fra dette gjelder når det må antas at politiet vil få behov for opptakene, hvor fristen forlenges til 30 dager, og for opptak gjort i post- og banklokaler, som kan oppbevares i inntil tre måneder. Datatilsynet kan gjøre unntak fra slettebestemmelsene i § 8-4 annet og tredje ledd dersom det foreligger et særlig behov for oppbevaring i lengre tid.

31.1.3 Arbeidsgivers innsyn i arbeidstakers e-postkasse mv.

Personopplysningsforskriften kapittel 9 regulerer arbeidsgivers adgang til innsyn i arbeidstakers e-postkasse mv. Av § 9-1 følger det at reglene gjelder innsyn i e-postkasse og arbeidstakers personlige område i virksomhetens datanettverk og i andre elektroniske kommunikasjonsmedier eller elektronisk utstyr som arbeidsgiver har stilt til arbeidstakers disposisjon til bruk i arbeidet ved virksomheten. Bestemmelsene gjelder også opplysninger som er slettet fra de nevnte områdene.

Reglene gjelder både tidligere og nåværende arbeidstakere, samt andre som utfører eller har utført arbeid for arbeidsgiver, og gjelder tilsvarende for universiteters og høyskolers innsyn i studenters e-postkasse, og for organisasjoners og foreningers innsyn i frivilliges og tillitsvalgtes e-postkasse.

Vilkårene for innsyn fremgår av personopplysningsforskriften § 9-2, som slår fast at arbeidsgiver bare kan foreta innsyn når det er nødvendig for å ivareta den daglige driften eller andre berettigede interesser, eller ved begrunnet mistanke om at arbeidstakers bruk av e-postkassen medfører grovt brudd på de plikter som følger av arbeidsforholdet eller kan gi grunnlag for oppsigelse eller avskjed. I annet ledd slås det fast at arbeidsgiver ikke har rett til å overvåke arbeidstakers bruk av elektronisk utstyr, herunder bruk av Internett, utover det som følger av forskriften § 7-11, noe som innebærer at slik overvåking kun kan skje dersom behandlingen har som formål å administrere systemet eller å avdekke eller oppklare brudd på sikkerheten i edb-systemet.

I forskriften § 9-3 er det gitt regler for prosedyrer ved innsyn, herunder at arbeidstaker så langt det er mulig skal varsles, få anledning til å uttale seg på forhånd, og til å være tilstede under gjennomføringen. Dersom arbeidstakeren ikke har fått varsel, skal arbeidstakeren som hovedregel få skriftlig underretning som blant annet opplyser om begrunnelsen for innsynet. Videre skal innsynet skje på en måte som gjør at dataene så langt det er mulig ikke endres og at frembrakte opplysninger kan etterprøves. Av siste ledd fremgår det at åpnede e-poster og dokumenter som arbeidsgiver ikke har rett til innsyn i straks skal lukkes, og at eventuelle kopier skal slettes.

Av personopplysningsforskriften § 9-4 følger det at arbeidstakers e-postkasse mv. skal avsluttes ved arbeidsforholdets opphør, og at innhold som ikke er nødvendig for den daglige driften skal slettes innen rimelig tid.

Personopplysningsforskriften § 9-5 slår fast at det ikke er adgang til å fastsette instruks eller inngå avtale om arbeidsgivers innsyn i arbeidstakers e-postkasse mv. som fraviker bestemmelsene i kapittelet til ugunst for arbeidstaker.

31.2 Forordningen

Forordningen inneholder ikke særregler om kameraovervåking i arbeidsforhold eller om innsyn i ansattes e-postkasse mv. I forordningen artikkel 88 nr. 1 er det imidlertid gitt adgang til ved lov eller tariffavtale å fastsette særregler om behandling av personopplysninger i forbindelse med arbeidsforhold. Av forordningsteksten følger det at det kan fastsettes

«nærmere regler for å sikre vern av rettigheter og friheter ved behandling av arbeidstakeres personopplysninger i forbindelse med ansettelsesforhold, særlig med henblikk på rekruttering, oppfyllelse av arbeidsavtaler, herunder oppfyllelse av forpliktelser fastsatt ved lov eller tariffavtaler, ledelse, planlegging og organisering av arbeidet, likestilling og mangfold samt helse og sikkerhet på arbeidsplassen, vern av arbeidsgiverens eller kundens eiendom, individuell eller kollektiv utøvelse av eller rett til å nyte godt av rettighetene og fordelene knyttet til ansettelsen samt for å avslutte ansettelsesforholdet.»

Slike særregler skal omfatte «egnede og særlige tiltak» for å verne registrertes rettigheter, jf. artikkel 88 nr. 2.

31.3 Hvorvidt dagens regler om kameraovervåking og innsyn i arbeidstakers e-postkasse mv. skal videreføres for arbeidslivet

31.3.1 Innledning

Som det fremgår i punkt 31.1.2 over, har Norge lenge hatt særregler om kameraovervåking. Etter departementets oppfatning er det ikke adgang til å videreføre generelle nasjonale bestemmelser om kameraovervåking, jf. punkt 18.1. Forordningen artikkel 88 åpner imidlertid etter departementets syn for nasjonal særregulering av kameraovervåking i arbeidsforhold.

Også reglene om innsyn i e-post mv. kan etter departementets syn videreføres med grunnlag i forordningen artikkel 88. Reglene må imidlertid være begrenset til å gjelde i arbeidsforhold.

Departementet foreslo i høringsnotatet å videreføre dagens regler om kameraovervåking og innsyn i e-post mv. i arbeidsforhold innenfor rammen av forordningen artikkel 88, se nærmere om forslagene i punkt 31.3.3.1 og 31.3.4.1 under. Flere høringsinstanser har tatt opp spørsmål om det kan være behov for materielt å revidere dagens regulering på disse områdene, eller om handlingsrommet bør benyttes til å ha særregler for arbeidslivet også på andre områder enn kameraovervåking og e-postinnsyn. Flere arbeidstakerorganisasjoner tar også til orde for at det bør nedsettes et lovutvalg e.l. som skal se på slike spørsmål. I forbindelse med arbeidet med å gjennomføre forordningen i norsk rett har departementet som nevnt i all hovedsak konsentrert seg om å videreføre gjeldende rett innenfor forordningens rammer, jf. punkt 2.3 over om rammene for lovarbeidet. Eventuelle andre prosesser må derfor gå i egne løp.

31.3.2 Lovplassering og tilsynsansvar ved en videreføring av regelverkene for arbeidsforhold

Departementet mener at de beste grunner taler for å videreføre dagens regulering om kameraovervåking og e-postinnsyn så langt forordningen tillater det, altså for arbeidsforhold, se nærmere under punkt 31.3.3 og 31.3.4 om departementets forslag i denne forbindelse.

Arbeidsmiljøloven kapittel 9 regulerer adgangen til å iverksette kontrolltiltak i virksomheten, mens adgangen til å behandle personopplysninger som kan utledes av slike kontrolltiltak reguleres av personopplysningsloven. Arbeidsgiverne må således, som den klare hovedregel, forholde seg til både arbeidsmiljøloven og personopplysningsloven ved gjennomføring av kontrolltiltak i arbeidslivet.

Adgangen til å iverksette kameraovervåking og foreta innsyn i arbeidstakeres e-post mv. reguleres i dag av personopplysningsloven og personopplysningsforskriften, og ikke av arbeidsmiljøloven. En viktig grunn for dette er at de aktuelle reglene gjelder utover arbeidsmiljølovens virkeområde. Reglene om kameraovervåking gjelder i samfunnet generelt, mens reglene om innsyn i e-postkasse mv. også gjelder ved universiteters og høyskolers innsyn i studenters e-postkasser mv., for organisasjoners og foreningers innsyns i frivilliges og tillitsvalgtes e-postkasser mv. og for innsyn i e-postkasse mv. til «andre som utfører, eller har utført, arbeid for arbeidsgiver». De foreslåtte reglene vil som nevnt kunne gis i medhold av forordningen artikkel 88, noe som innebærer at reglenes rekkevidde må begrenses til arbeidslivet og «arbeidsforhold». Etter departementets mening vil det da være hensiktsmessig å innta denne reguleringen i arbeidsmiljøloven kapittel 9. Dette vil gjøre at reglene om kontrolltiltak i virksomheten i størst mulig grad plasseres sammen. Slik departementet ser det, vil dette gi den mest pedagogiske plasseringen, noe som også påpekes av flere høringsinstanser.

Dagens regler om kameraovervåking og e-postinnsyn er relativt omfattende og klart mer detaljerte enn dagens bestemmelser i arbeidsmiljøloven kapittel 9. Slik departementet ser det, vil en plassering av gjeldende regulering om kameraovervåking og innsyn i e-postkasse mv. direkte i arbeidsmiljøloven kapittel 9 innebære at kapittelet blir uhensiktsmessig omfattende og detaljert. Etter departementets oppfatning vil den beste løsningen derfor være å videreføre dagens regler gjennom forskrifter til lovens kapittel 9. Departementet fremmer derfor forslag til nødvendige forskriftshjemler i denne forbindelse i nye §§ 9-5 og 9-6 i arbeidsmiljøloven.

Som nevnt over i kapittel 25 fastholder departementet forslaget om at Datatilsynet skal være tilsynsmyndighet etter forordningen artikkel 51. Det ligger i dette at Datatilsynet også vil være tilsynsmyndighet for bestemmelser gitt i medhold av forordningen artikkel 88, herunder reglene om kameraovervåking og innsyn i e-postkasse mv. for arbeidslivet. Datatilsynet fører tilsyn med disse reglene også i dag, og har opparbeidet seg bred kompetanse og erfaring med reglene. Ved en videreføring av gjeldende regler innenfor arbeidsmiljølovens ramme, tar derfor Arbeids- og sosialdepartementet sikte på, med hjemmel i arbeidsmiljøloven § 18-1 annet ledd annet punktum, å fastsette at Datatilsynet (og ikke Arbeidstilsynet), skal være tilsynsmyndighet etter disse to regelsettene. Dette vil altså innebære at også dagens tilsynsordning videreføres. Klager over Datatilsynets vedtak behandles av Personvernnemnda, se nærmere omtale i kapittel 27.

31.3.3 Kameraovervåking

31.3.3.1 Forslaget i høringsnotatet

I høringsnotatet foreslo departementet at det gis regler om kameraovervåking på arbeidsplasser som viderefører gjeldende rett innenfor forordningens rammer.

Departementet foreslo også utvidet slettefrist for opptak gjort på utsalgssteder som benytter betalingskort, slik at opptak i slike tilfeller skal slettes senest innen tre måneder, og ikke én uke som i dag. Bakgrunnen for dette forslaget er at departementet gjennom flere henvendelser fra næringen er blitt gjort oppmerksom på at det gjerne tar lengre tid enn én uke før misbruk av identifikasjons- og betalingskort oppdages, med den følge at kameraopptakene på oppdagelsestidspunktet vil kunne være slettet.

31.3.3.2 Høringsinstansenes syn

De aller fleste høringsinstansene som uttaler seg om spørsmålet, herunder blant andre Akademikerne, Unio, Yrkesorganisasjonenes Sentralforbund, Advokatforeningen, Norges Ingeniør- og Teknologorganisasjon, Fagforbundet, Tekna – Teknisk-naturvitenskapelig forening, Næringslivets Hovedorganisasjon, SAMFO – Arbeidsgiverforening for samvirkeforetak, Datatilsynet, Norges teknisk-naturvitenskapelige universitet, Universitets- og høgskolerådet, Universitetet i Oslo og Universitetet i Bergen, støtter uttrykkelig at det gis særregler om kameraovervåking på arbeidsplass. Kripos mener at det vil være bedre å la de generelle reglene i forordningen regulere behandling av personopplysninger ved bruk av kameraovervåking både innenfor og utenfor arbeidsplassen. Unio trekker frem en økende bruk av kontroll- og styringstiltak i arbeidslivet:

«Bruken av elektroniske kontroll- og styringstiltak i arbeidslivet er blitt mer omfattende i løpet av de siste årene. Ny og forbedret teknologi muliggjør økende styring og kontroll på individnivå. Vi mener at kameraovervåking av personer som kan gjenkjennes er et inngrep i personvernet.»

Juristforbundet er enig med departementet i at det er gode grunner som tilsier at de gjeldende prinsippene for kameraovervåking videreføres innenfor visse deler av arbeidslivet, men mener det kan stilles spørsmål ved om departementets forslag til regulering er hensiktsmessig:

«Juristforbundet er likevel i tvil om forslaget til kommende regulering er hensiktsmessig for å oppnå den ønskede effekten. En alternativ løsning er etter vårt syn at det tydeliggjøres nærmere at kameraovervåking på arbeidsplass er et kontrolltiltak etter arbeidsmiljøloven kapittel 9, med de konsekvenser det får også for behandlingen av personopplysningene som behandles i den forbindelse.»

Datatilsynet mener at det av pedagogiske hensyn bør inntas en egen bestemmelse som henviser til forordningens øvrige bestemmelser. De skriver også at de ofte opplever at kameraer på arbeidsplasser ofte fanger opp større områder enn det som er nødvendig ut i fra formålet, og foreslår derfor at:

«… departementet inntar en egen bestemmelse som sier at kamera ikke kan fange opp andre områder enn det som er strengt nødvendig for å oppnå formålet med overvåkingen. (…) Dette er i tråd med minimeringsprinsippet, og kan trolig bidra til at ansatte i større grad enn i dag har «friområder» der de ikke blir overvåket.»

Flere høringsinstanser, herunder Datatilsynet, Kripos,Landsorganisasjonen i Norge, Advokatforeningen, Juristforbundet, Næringslivets Hovedorganisasjon, Arbeidsgiverforeningen Spekter, NHO Service, IT-politisk råd i Den Norske Dataforening og Sporveien Oslo AS, påpeker at det kan være uklart hva som skal forstås med begrepet «arbeidsplass», og ber om en klargjøring av dette.

Landsorganisasjonen i Norge mener begrepet «arbeidsplass» gir liten veiledning for reglenes anvendelsesområde:

«Begrepet «på arbeidsplass», sondrer ikke mellom overvåking av inngangsparti vs bakrom, kunde-område, kasseområde, spiserom, lager, terminal, inn- utkjøringsrampe mv. Det tar heller ikke opp i seg at mange ansatte ikke har en fysisk arbeidsplass, men kan arbeide hjemmefra, i bil, hos kunder etc.»

Også Næringslivets Hovedorganisasjon mener begrepet «arbeidsplass» gir et uklart virkeområde, og peker på at de fleste steder vil være noens arbeidsplass:

«Det kan tenkes parker der det jobber gartnere, sandstrender der det jobber badevakter eller parkeringsplassen der det jobber parkeringsvakter. Et virkeområde som foreslått er dermed etter vår oppfatning lite egnet til å avgrense regelverkets anvendelse, og vi oppfordrer departementet til å klargjøre dette.»

Advokatforeningen, Juristforbundet og Sporveien Oslo AS mener det bør presiseres at reglene gjelder for kameraovervåking som har til formål å overvåke arbeidstakerne på arbeidsplassen. Også Arbeidsgiverforeningen Spekter fremhever at det bør tydeliggjøres at reglene ikke dreier seg om kameraovervåking ut fra andre formål enn overvåking av arbeidstakere:

«Flere av våre medlemmer innenfor helse- og samferdsel har kameraovervåking hvor kameraet er plassert på arbeidsplassen, men hvor formålet dreier seg om brukeres og pasienters sikkerhet mv. Begrepet «arbeidsplass» bør derfor presiseres slik at regelen kun gjelder kameraovervåking som har som formål å overvåke arbeidstakere på arbeidsplassen.»

Enkelte høringsinstanser, herunder Advokatforeningen, Juristforbundet og Sporveien Oslo AS, mener det er uklart hva som menes med «særskilt behov» i bestemmelsen som gjelder overvåking av område hvor en begrenset krets av personer ferdes jevnlig.

Det er bare ASIS Norge som uttaler seg om forslaget om å videreføre reglene om adgangen til å utlevere personopplysninger som er innsamlet ved kameraovervåking. ASIS Norge mener «det bør være i samfunnets interesse at opptak som kan frikjenne noen fra mistanke eller dokumentere faktiske forhold bør kunne utleveres til et forsikringsselskap eller benyttes i en sivilrettslig sak» og at «[s]lik utlevering bør kun skje etter en rettskjennelse om utlevering».

Det er få høringsinstanser som uttaler seg om hovedregelen om at opptak gjort ved kameraovervåking på arbeidsplass skal slettes senest innen én uke. Arbeids- og velferdsdirektoratet mener hovedregelen om sletting innen én uke kan virke noe snau, særlig for større organisasjoner.

De aller fleste høringsinstansene som uttaler seg om utvidet lagringstid for opptak gjort i post- og banklokaler og på utsalgssteder støtter utvidelsen. Hovedorganisasjonen Virke, NHO Service, SAMFO – Arbeidsgiverforening for samvirkeforetak, Kripos, ASIS Norge, Coop Norge SA og Næringslivets Sikkerhetsråd, som støttes av flere, blant andre Næringslivets Hovedorganisasjon, Drivkraft Norge, DHL Express (Norway) AS, NorgesGruppen ASA, Telenor Norge AS og Telia, støtter forslaget om utvidet lagringstid for opptak i post- og banklokaler og utsalgssteder.

Politidirektoratet, Kripos, Hovedorganisasjonen Virke, NHO Service, SAMFO – Arbeidsgiverforening for samvirkeforetak, Næringslivets Sikkerhetsråd, ASIS Norge, Coop Norge SA og NorgesGruppen ASA peker imidlertid på at virkeområdet bør gjøres teknologinøytralt, og foreslår at begrepet «betalingskort» byttes med «betalingsinstrument» og «identitetsbevis». Næringslivets Sikkerhetsråd uttaler i denne forbindelse:

«Videre er det nødvendig å bruke robuste og teknologinøytrale begreper som dekker «betalingskort» og «identitetskort» i ordlyden. Formålet som begrunner departementets forslag om utvidet slettefrist er lang deteksjonstid for misbruk. Den lange deteksjonstiden gjør seg gjeldende for alle betalingsinstrumenter, herunder fremtidige betalingsinstrumenter og fremtidig bruk av disse.»

Noen høringsinstanser peker også på at det kan være uklart hvilke utsalgssteder og opptak som er omfattet av bestemmelsen om utvidet lagringstid. Landsorganisasjonen i Norge peker for eksempel på at «utsalgssteder» kan være «markedsplasser, gate-selgere, loppemarked, take-away-biler etc.».

Flere høringsinstanser, herunder Politidirektoratet, Hovedorganisasjonen Virke, NHO Service, NorgesGruppen ASA og Næringslivets Sikkerhetsråd, mener at alle kameraer på utsalgssteder som er egnet til å motvirke og oppklare misbruk av betalingsinstrument eller identitetsbevis, skal kunne operere med utvidet slettefrist, og enkelte mener at regelen må gjelde for opptak gjort i hele lokalet. Politidirektoratet mener at det er viktig at den gjelder ikke bare opptak fra «kassepunktet/selve betalingssituasjonen, men også gjelder opptak av eventuelle gjerningsmenns aktiviteter/bevegelser før og etter selve den straffbare handlingen». Datatilsynet mener imidlertid at den utvidede slettefristen for utsalgssteder kun bør gjelde kameraer som er rettet mot betalingspunkt:

«Slik bestemmelsen er formulert kan den forstås som at arbeidsplasser med betalingspunkter automatisk omfattes av bestemmelsen. Dette innebærer i prinsippet at all kameraovervåking i f.eks. en butikk lagres i tre måneder. Dette vil i så fall være fullstendig uproporsjonalt, tilfeldig og lite personvernvennlig. Arbeidstakere vil kunne oppleve det som svært belastende at arbeidsgiver lagrer opptak av arbeidshverdagen tre måneder tilbake i tid. Det er derfor svært viktig at departementet presiserer i lovteksten at utvidet lagringstid bare gjelder kamera som er rettet mot selve betalingspunktet.»

Når det gjelder forslaget om å videreføre bestemmelsen om utvidet slettefrist for opptak gjort i post- og banklokaler, peker flere høringsinstanser på at også post og bank i butikk bør omfattes av bestemmelsen. Datatilsynet, Hovedorganisasjonen Virke, Næringslivets Sikkerhetsråd, SAMFO – Arbeidsgiverforening for samvirkeforetak, Coop Norge SA, DHL Express (Norway) AS og NorgesGruppen ASA mener at post og bank i butikk bør gis adgang til å lagre opptak i tre måneder, i likhet med post- og banklokaler.

Noen høringsinstanser, herunder NHO Service, SAMFO – Arbeidsgiverforening for samvirkeforetak, ASIS Norge, Coop Norge SA og NorgesGruppen ASA, mener det er behov for å gjøre unntak fra sletteplikten når det er nødvendig å lagre opptakene lenger og det er i tråd med formålet for overvåkingen. Det vises særlig til at det vil være nødvendig i forbindelse med en rettssak, og enkelte foreslår at slik viderebehandling skal være tillatt for å fastsette, gjøre gjeldende eller forsvare rettskrav. SAMFO – Arbeidsgiverforening for samvirkeforetak mener at videre lagring av opptak må være tillatt i større utstrekning enn det som følger av gjeldende rett i dag:

«SAMFO oppfatter imidlertid at videre lagring av opptak og/eller bilder fra opptak likevel må være tillatt, dersom formålet med den videre lagringen er forenelig med det opprinnelige formålet for kameraovervåkningen. Forutsetningen for dette er at den videre lagringen har et gyldig behandlingsgrunnlag. Dette vil f.eks. være tilfelle der kameraovervåkning er satt opp for å forhindre og oppklare tyveri fra arbeidsgiver og opptakene viser at en ansatt stjeler. Da vil arbeidsgiver ha saklig behov for å lagre opptak og/eller bilder videre som bevis i en eventuell tvist om avslutning av arbeidsforholdet. Etter SAMFOs oppfatningen vil hensikten med kameraovervåkningen være svært redusert hvis arbeidsgiver ikke kan lagre opptakene/bildene så lenge tvist om ansettelsesforholdet består. Og det kan ikke være meningen at bestemmelsen skal medføre at bevis må slettes med mindre den ansatte samtykker til videre lagring av dem.»

Enkelte høringsinstanser stiller spørsmål ved om forordningen artikkel 88 åpner for å gi de foreslåtte reglene om kameraovervåking i virksomheter. Advokatforeningen, Juristforbundet og Sporveien Oslo AS mener at det er uklart om virkeområdet for de foreslåtte reglene går utover hva det åpnes for etter forordningen artikkel 88, som er knyttet til «ansettelsesforhold». Kripos stiller spørsmål ved om artikkel 88 åpner for å gi bestemmelser om utvidet lagringstid for utsalgssteder.

31.3.3.3 Departementets vurdering

Kameraovervåking i arbeidslivet iverksettes av mange grunner. Det kan for eksempel være for å ivareta helse, miljø og sikkerhet i virksomheten, for å ivareta kvalitetssikringshensyn i produksjonen eller for å forebygge og/eller oppklare eventuelle ulovligheter. I mange tilfeller vil både arbeidsgiver og arbeidstaker se seg tjent med overvåkingstiltaket, mens interessene i andre tilfeller kan stå mer imot hverandre. En fellesnevner for slik overvåking er likevel at den gjerne fanger opp steder hvor arbeidstakere regelmessig ferdes og/eller oppholder seg store deler av arbeidsdagen. En slik overvåking vil, uavhengig av tiltakets formål, kunne innebære et inngrep i de aktuelle arbeidstakernes privatliv og integritet.

Departementet mener at de beste grunner taler for at de reglene som gjelder i dag for kameraovervåking i virksomheter bør videreføres, og at dette bør gjøres i forskrift til arbeidsmiljøloven. På denne måten vil det på dette området fortsatt gjelde klare og kjente regler for kameraovervåking innenfor arbeidslivet. Når det gjelder det nærmere innholdet i reguleringen som skal videreføres, vises det til gjennomgangen av gjeldende rett i punkt 31.1.2 over.

Reguleringen må som nevnt være i tråd med forordningen artikkel 88, noe som innebærer at reglenes rekkevidde må begrenses til rammen av arbeidsforhold. I høringsnotatet ble det på denne bakgrunn foreslått at virkeområdet skulle avgrenses til overvåking av «arbeidsplass». I høringen er flere instanser skeptisk til dette begrepet for å avgrense virkeområdet for reguleringen.

På bakgrunn av høringsinnspillene er departementet kommet til at «arbeidsplass» ikke er det mest egnede begrepet for å avgrense reglenes rekkevidde. Arbeidsmiljøloven kapittel 9 omhandler arbeidsgivers adgang til å iverksette kontrolltiltak i sin virksomhet. Slik departementet ser det, vil det derfor være mer hensiktsmessig at reglene avgrenses til arbeidsgivers kameraovervåking «i virksomheten», noe som også korresponderer godt med rammene for artikkel 88 i forordningen. I dette ligger det for det første at kameraovervåking som forestås av andre enn arbeidsgiver, vil falle utenfor, selv om kameraet også kan fange opp arbeid og arbeidsplasser. Det kan for eksempel dreie seg om kameraovervåking av et torg iverksatt av politiet for å ivareta ordenshensyn, men som også fanger opp salgsboder e.l. På den annen side vil det ikke være avgjørende at arbeidsgiver selv setter opp og/eller administrerer selve overvåkingen. Det vil være tilstrekkelig at overvåkingen skjer i forståelse med arbeidsgiver, er i arbeidsgivers interesse og at formålet (blant annet) er å overvåke arbeidsgivers virksomhet. Et typisk eksempel vil være overvåking av butikklokale i et kjøpesenter, hvor overvåkingen administreres av senterselskapet.

For det andre vil det være et vilkår at overvåkingen kan anses som et kontrolltiltak i arbeidsmiljølovens forstand. Departementet mener derfor at kameraovervåking som ikke, eller i svært liten grad, vil kunne anses som en belastning for arbeidstakeres personlige integritet, vil falle utenfor reglenes anvendelsesområde, altså selv om den skjer «i virksomheten», jf. formålet med reguleringen i arbeidsmiljøloven kapittel 9.

Begrepet «i virksomheten» vil i prinsippet gjelde alle steder hvor arbeidstakerne arbeider, for eksempel butikklokaler, kontorlokaler, restauranter mv.

Departementet understreker at reglene, på samme måte som i dag, vil gjelde kameraovervåking i virksomheter generelt, og at det vil gjelde tilleggsvilkår for overvåking av områder hvor «en begrenset krets av personer ferdes jevnlig». Om adgangen til å behandle særlige kategorier av personopplysninger og personopplysninger om straffbare forhold mv. i forbindelse med kameraovervåking, vises det til kapittel 18.

For ordens skyld presiserer departementet også at det ikke er fritt frem for å iverksette kameraovervåking dersom den faller utenfor virkeområdet til de særlige reglene som skal fastsettes i medhold av arbeidsmiljøloven kapittel 9. All annen kameraovervåking må ha hjemmel i den nye personopplysningslovens, og dermed også personvernforordningens, alminnelige regler.

Flere høringsinstanser mener at det bør presiseres at reglene bare skal gjelde kameraovervåking som skjer med det formål å overvåke arbeidstakerne på arbeidsplassen, slik at særreglene ikke skal sette skranker for overvåking med annet formål. Departementet er ikke enig i dette. Som beskrevet over vil kameraovervåking i virksomheter ofte nettopp ikke ha som formål å overvåke arbeidstakerne – overvåkingen kan for eksempel skje for å forebygge ulykker eller kriminalitet. Etter departementets oppfatning vil det etter omstendighetene kunne oppleves som like inngripende å bli fanget opp av overvåkingskameraer i slike tilfeller som der formålet mer direkte er å overvåke arbeidstakerne.

Departementets forslag om å utvide slettefristen til tre måneder for opptak i «utsalgssted som benytter betalingskort», får bred støtte i høringen. Forslaget omfatter alle virksomheter som gir kunder anledning til å betale med for eksempel bankkort, og formålet er å ramme misbruk av identitet eller betalingskort. Bakgrunnen for at slike utsalgssteder bør ha en utvidet slettefrist, er at det i praksis ofte tar lengre tid enn én uke – som er fristen i dag – før slikt misbruk oppdages. På denne bakgrunn tar departementet sikte på å fastsette en regel om en slettefrist på tre måneder for slike utsalgssteder i forskriftene som skal fastsettes med hjemmel i ny § 9-6. Departementet understreker at en slik utvidet frist bare vil innebære at opptakene «senest» skal slettes etter tre måneder. Regelen vil derfor være at opptak skal slettes tidligere enn dette dersom lagring ikke lenger er nødvendig for å ivareta formålet med kameraopptaket.

Flere høringsinstanser har påpekt at benevnelsen «betalingskort» bør gjøres teknologinøytral og byttes ut med for eksempel «betalingsinstrument». Departementet er enig i dette, og vil benytte slik teknologinøytral terminologi i forskriftsreguleringen.

Post- og banklokaler har allerede en slettefrist på tre måneder. I høringen får videreføring av denne regelen bred støtte, men flere trekker frem at post- og banktjenester i dag også leveres i butikklokaler. Departementet slutter seg til at de samme hensynene gjør seg gjeldende uavhengig av om post- eller banktjenester leveres i butikk eller i tradisjonelle post- eller banklokaler, og at også disse bør omfattes av tremånedersfristen.

Enkelte høringsinstanser har stilt spørsmål ved om de foreslåtte reglene går for langt i forhold til hva artikkel 88 i forordningen åpner for knyttet til behandling av personopplysninger i ansettelsesforhold. Det pekes særlig på at virkeområdet for reglene er vidt, og at det foreslås særregler for blant annet post- og banklokaler og utsalgssteder. Departementet viser i den forbindelse til at forordningen artikkel 88 uttrykkelig angir at det kan gis særregler for behandling av ansattes personopplysninger for nærmere angitte hensyn, herunder hensynet til sikkerhet på arbeidsplassen og vern av arbeidsgivers eller kunders eiendom. Dette innebærer at det kan gis særregler for behandling av personopplysninger som har blitt innsamlet ved kameraovervåking i forbindelse med arbeidssituasjonen. Etter departementets syn gjelder dette også dersom formålet med overvåkingen ikke er knyttet til ansettelsesforholdet som sådan, men for eksempel er iverksatt av sikkerhetsgrunner. Tilsvarende mener departementet at det kan fastsettes øvre grenser for lagringstid av opptak gjort på arbeidsplasser i medhold av forordningen artikkel 88, og at lengden på slettefristen for slike opptak kan gjøres avhengig av om opptakene for eksempel er gjort i områder som er særlig utsatt for kriminalitet som det tar lang tid å avdekke.

I høringsnotatet ble det foreslått å videreføre Datatilsynets adgang til å gjøre unntak fra sletteplikten i tilfeller hvor det foreligger et særlig behov for oppbevaring i lengre tid enn det som følger av reglene om sletteplikt. I den forbindelse har Datatilsynet i høringen gitt uttrykk for at allerede gitte dispensasjoner etter personopplysningsforskriften § 8-4 fortsatt skal være gyldige etter nytt regelverk. Departementet er enig i dette.

31.3.4 Arbeidsgivers innsyn i e-postkasse mv.

31.3.4.1 Forslaget i høringsnotatet

I høringsnotatet foreslo departementet en videreføring av dagens regler i personopplysningsforskriften kapittel 9 om rett til innsyn i e-postkasser mv. innenfor forordningens rammer. Reglene ble foreslått å omfatte arbeidsgivers innsyn i arbeidstakeres e-postkasse mv., men ikke universiteters og høyskolers innsyn i studenters e-postkasse eller organisasjoners og foreningers innsyn i frivilliges og tillitsvalgtes e-postkasse.

Departementet foreslo at reglene fortsatt skal gjelde for innsyn i opplysninger lagret i e-postkasse som arbeidsgiver har stilt til arbeidstakers disposisjon og arbeidstakers personlige områder i virksomhetens datanettverk eller annet elektronisk utstyr som arbeidsgiver har stilt til disposisjon til bruk i arbeidet.

31.3.4.2 Høringsinstansenes syn

De aller fleste høringsinstansene som uttaler seg om temaet, herunder blant andre Datatilsynet, Landsorganisasjonen i Norge, Unio, Yrkesorganisasjonenes Sentralforbund, Juristforbundet, Norges Ingeniør- og Teknologorganisasjon, Tekna – Teknisk-naturvitenskapelig forening, Hovedorganisasjonen Virke og Finans Norge, støtter eksplisitt departementets forslag om å videreføre dagens regler om innsyn i e-postkasse mv. så langt forordningen tillater. Enkelte høringsinstanser, herunder Arkivverket, Graveteamet på rusfeltet og Norsk Arkivråd, peker imidlertid på behovet for regler som i større grad tar hensyn til risikoen for at arkiverings- og journalføringsplikt og retten til offentlig innsyn enkelt kan omgås.

Enkelte høringsinstanser, herunder Næringslivets Hovedorganisasjon og Arbeidsgiverforeningen Spekter, har innholdsmessige innvendinger til gjeldende regulering. Næringslivets Hovedorganisasjon mener det er grunn til å stille spørsmål ved om «det prinsipielle utgangspunktet for reglene burde vært snudd på hodet, nemlig slik at innsyn i den ansattes jobb e-post i utgangspunktet var lovlig». De viser særlig til at e-postkassen er «et verktøy som eies av arbeidsgiver» som stilles til den ansattes disposisjon for «utførelsen av arbeidet» og at de fleste i dag har en egen privat e-postkasse. Næringslivets Hovedorganisasjon viser også til at Arbeidslivslovutvalget «i sin tid foreslo å skille mellom privat og virksomhetsrelatert e-post, slik at forbudet mot innsyn kun omfattet den første typen e-poster (NOU 2004: 5)».

Flere høringsinstanser, herunder Akademikerne, Fagforbundet,Tekna – Teknisk-naturvitenskapelig forening, Hovedorganisasjonen Virke, Norges teknisk-naturvitenskapelige universitet, Universitetet i Bergen, Universitetet i Oslo og Universitets- og høgskolerådet, mener det er problematisk at reglene ikke videreføres for innsyn i tillitsvalgtes og/eller studenters e-postkasse.

Advokatforeningen, Arbeidsgiverforeningen Spekter, Finans Norge og IT-politisk råd i Den Norske Dataforening mener det bør tydeliggjøres at virkeområdet for reglene er teknologinøytralt. Telia Norge AS stiller spørsmål ved hvilke kommunikasjonskanaler som er omfattet av reglene og trekker frem enkelte utfordringer:

«Vi etterlyser likevel en gjennomgang av reglenes anvendelsesområde sett opp mot nye kommunikasjonskanaler som Slack, Facebook at Work osv. Et kjennetegn ved disse kommunikasjonskanalene er at innholdet lagres og tilgjengeliggjøres via skytjenester, og en kan således stilles spørsmål ved om slike kommunikasjonskanaler er omfattet av gjeldende regelverk. Etter vårt syn har disse kommunikasjonskanalene et mer personlig preg en tradisjonell e-post, og departementet bør være varsom med å utvide virksomhetsområdet til denne typen tjenester.»

Juristforbundet mener at «gode grunner tilsier at forslaget bør utvides til også å omfatte arbeidsgivers innsyn i annet elektronisk utstyr som ikke arbeidsgiver selv har stilt til arbeidstakerens disposisjon til bruk i arbeidet».

Når det gjelder adgang til innsyn i arbeidstakers mobiltelefon, skriver Telia Norge AS at selv om mobiltelefoner kan være omfattet av «elektronisk utstyr som arbeidsgiver har stilt til arbeidstakers disposisjon til bruk i arbeidet», vil disse også ha et svært personlig bruksområde for de fleste:

«Det er eksempelvis høyst vanlig at ansatte lagrer beskyttelsesverdig informasjon som private bilder og meldinger m.v på sin mobiltelefon. Selv en enkelt gjennomgang av «SMS-innboksen» vil kunne avsløre informasjon av svært sensitiv og privat karakter i langt større utstrekning enn hva som er tilfellet gjennom eksempelvis en e-postkasse som stilles til disposisjon av arbeidsgiver. (…) Vi mener derfor det ikke bør gis adgang til innsyn i innhold på ansattes mobiltelefon med mindre arbeidsgiver har gitt instruks om at mobilen kun kan benyttes til arbeidsrelaterte gjøremål.»

Flere høringsinstanser stiller spørsmål ved om arbeidsgiver i utkastet gis en utvidet adgang til å gjøre innsyn i aktivitetslogger i virksomhetens datanettverk sammenlignet med gjeldende rett, uten at dette tas særskilt opp i høringsnotatet. Flere høringsinstanser er kritiske til at innsyn i aktivitetslogg skal omfattes av reglene om arbeidsgivers innsyn i e-postkasse mv. Datatilsynet, Landsorganisasjonen i Norge, Akademikerne, Yrkesorganisasjonenes Sentralforbund, Juristforbundet, Norges Ingeniør- og Teknologorganisasjon, Tekna – Teknisk-naturvitenskapelig forening, SAMFO – Arbeidsgiverforening for samvirkeforetak og Telia Norge AS ber om at forbudet mot overvåking av arbeidstakers bruk av elektronisk utstyr videreføres, og at arbeidsgiver kun gis adgang til å gjøre innsyn i aktivitetslogg dersom formålet er å administrere eller å avdekke/oppklare brudd på sikkerheten i nettverket.

Datatilsynet støtter ikke forslaget om at bestemmelsene om innsyn i e-postkasse mv. også skal gjelde innsyn i aktivitetslogger:

«Bakgrunnen for [dette] er at vi mener at de foreslåtte bestemmelsene i så liten grad klargjør grensene for lovlig overvåking at det er enklere for å forholde seg til de alminnelige reglene i forordningen. Det er åpenbart stor forskjell på bruk av e-post som kommunikasjonsmiddel og iverksetting av overvåkingstiltak og det er derfor ikke hensiktsmessig å ha like regler om dette.

(…)

Forslag til § 2 og 3 gir liten veiledning med hensyn til sentrale krav for innføring av et overvåkingstiltak. Bestemmelsene regulerer etter sin ordlyd vilkår og prosedyrer ved innsyn som gjøres i aktivitetslogger som allerede er innført.

Innsyn i aktivitetslogg kan dermed være ulovlig etter de alminnelige reglene i forordningen, mens vilkårene for innsyn og prosedyrekrav i §§ 2 og 3 isolert sett er oppfylt. For eksempel kan formålet med innsynet være uforenlig med det opprinnelige formålet med aktivitetsloggen. På dette området blir for øvrig det foreslåtte regelverket mer uklart enn det gjeldende, siden departementet har fjernet formålsbegrensningen i dagens § 9-2 jf. 7-11. Det vil si at adgangen til overvåking ikke lenger er avgrenset til administrasjons- og sikkerhetsformål. Departementet har ikke begrunnet dette i høringen.»

SAMFO – Arbeidsgiverforening for samvirkeforetak mener skillet mellom overvåking og innsyn som gjelder i personopplysningsforskriften i dag, ikke er videreført i departementets forslag til regler om innsyn i arbeidstakers e-postkasse mv.:

«Det er viktig å skille på det konkrete innsyn som arbeidsgiver kan ha behov for i de enkeltstående situasjoner som fremgår av forslagets § 2, bokstav a) og bokstav b), og den mer kontinuerlige overvåkning av datatrafikk som kan være nødvendig av hensyn til IT-sikkerhet. Dette skillet fremgikk tidligere klart av personopplysningsforskriften § 9-2, 2. ledd, og kontinuerlig overvåkning var kun tillatt som del av IT-sikkerhetsløsningen. Forslaget til § 3, 7. ledd ivaretar ikke fullt ut dette skillet. Forslagets § 3, 7. ledd kan tvert imot leses slik at kontinuerlig overvåkning av utvalgte ansatte for formålene i § 2 vil være tillatt. Dette har neppe vært hensikten. SAMFO anbefaler derfor at man justerer ordlyden slik at det fremgår at kontinuerlig overvåkning av ansattes e-post eller bruk av elektroniske dataløsninger for formålene nevnt i forslagets § 2 a) og b), ikke er tillatt.»

Noen høringsinstanser legger til grunn at det ikke har vært departementets mening å utvide adgangen til å gjøre innsyn i aktivitetslogger sammenlignet med gjeldende rett. Eksempelvis uttaler Akademikerne følgende:

«Akademikerne forutsetter derfor at vernebestemmelsene knyttet til aktivitetsloggene, i likhet med innsyn i arbeidstakeres epost mv, videreføres regulert med det samme vernet som i dag overfor de ansatte i en fremtidig forskriftsbestemmelse. En antar at dette er meningen fra departementets side da de materielle endringene som følge av forordningen fra departementets side fremheves å være minimale.»

Også Landsorganisasjonen i Norge legger til grunn at forbudet mot overvåking av arbeidstakers bruk av elektronisk utstyr videreføres:

«Slik lovutkastet er formulert i høringsnotatet synes det som om dagens bestemmelse i personvernforskriftens § 9-2 (2), om forbud mot overvåking av arbeidstakers bruk av elektronisk utstyr er falt ut. Det antas at dette ikke er tilsiktet, og det bes derfor om at Departementet tar inn en presisering i loven tilsvarende personopplysningsforskrift § 9-2 (2).»

Arbeids- og velferdsdirektoratet og Utlendingsdirektoratet peker på at de har behov for innsynslogging for å forebygge uberettiget innsyn i personopplysninger, og stiller spørsmål ved om de foreslåtte reglene gir åpning for slik logging. De mener også det bør gjøres unntak fra prosedyrereglene for slik overvåking. Universitetet i Tromsø – Norges arktiske universitet mener departementet bør vurdere nøye hvorvidt en utvidelse av reglene til å omfatte innsyn i aktivitetslogg er ønskelig, og viser særlig til utfordringer med prosedyrereglene og muligheten til å agere raskt ved sikkerhetsbrudd. Arkivverket mener forholdet til arkivering og offentlighet bør problematiseres og stiller spørsmål ved om det åpnes for å videreføre ordninger med innsynslogger som skal forhindre «snoking».

Kripos, Lånekassen,Advokatforeningen, Juristforbundet, Hovedorganisasjonen Virke, Finans Norge, Brønnøysundregistrene og Sporveien Oslo AS mener at det er gode grunner for at også slikt innsyn skal omfattes av reglene om arbeidsgivers innsyn i e-post mv., slik departementet foreslo i høringen.

Juristforbundet peker på at innsyn i aktivitetslogg kun omfatter «arbeidsgivers» innsyn, uten å problematisere arbeidsgiverbegrepet.

Akademikerne, Norges Ingeniør- og Teknologorganisasjon og Tekna – Teknisk-naturvitenskapelig forening mener det bør stilles strengere krav til innsyn i tillitsvalgtes e-postkasse som er stilt til rådighet av arbeidsgiver. Akademikerne mener i tillegg det bør inntas en bestemmelse om at innsyn i tillitsvalgtes e-postkasse skal loggføres.

Når det gjelder prosedyrereglene for innsyn i arbeidstakeres e-postkasse mv., er Yrkesorganisasjonenes Sentralforbund positive til at informasjonsplikten overfor arbeidstaker ved innsyn utvides. Landsorganisasjonen i Norge mener prosedyrene som gjelder ved arbeidsgivers innsyn i e-post, bør gjelde tilsvarende ved arbeidsforholdets opphør. Datatilsynet er «positive til mange av de prosedyrekrav som er foreslått i § 3», men mener arbeidstaker bør ha en innsigelsesrett, og ikke bare en rett til å uttale seg. De savner også en klargjøring om dataminimering/proporsjonalitetsprinsippet gjelder ved innsyn i arbeidstakers e-postkasse mv.

Juristforbundet og Kulturrådet støtter forslaget om at prosedyrereglene ikke skal gjelde «ved innsyn i aktivitetslogger når formålet med innsynet er å administrere virksomhetens datanettverk eller å oppklare sikkerhetsbrudd i nettverket, og innsynet ikke er rettet mot én eller flere konkrete ansatte». Akademikerne ber departementet vurdere om regelen også bør omfatte slikt innsyn som har til formål å forebygge eller forhindre sikkerhetsbrudd. Universitetet i Tromsø – Norges arktiske universitet ber om avklaring på om det etter utkastet § 3 sjuende ledd er avgjørende for om prosedyrereglene skal komme til anvendelse at innsynet fra starten av retter seg mot konkrete ansatte, eller om bestemmelsen vil tre inn i det øyeblikket gjennomgangen og analysen av loggene kommer ned på enkeltansattnivå. Advokatforeningen foreslår «at departementet også vurderer om innsyn i logger for å forebygge eller forhindre sikkerhetsbrudd skal tillates, så lenge analysene ikke er rettet mot én eller flere konkrete ansatte».

Flere høringsinstanser peker på utfordringer med hensyn til den foreslåtte videreføringen av plikten til å avslutte arbeidstakers e-postkasse og til å slette opplysninger som er lagret i e-postkassen, arbeidstakerens personlige områder i virksomhetens datanettverk eller annet elektronisk utstyr. Landsorganisasjonen i Norge mener at regelen er vanskelig å forstå og at det kan stilles spørsmål ved hva som ligger i begrepet «ansettelsesforholdets opphør»:

«LO savner en tydeligere regel om sletting av e-post m.v ved opphør av arbeidsforholdet. I praksis ser man at bestemmelsen er vanskelig å forstå. Det kan stilles spørsmål ved hva som ligger i begrepet «ansettelsesforholdets opphør», f.eks ved inngåelse av sluttavtale hvor fratredelsestidspunktet er et annet enn opphørstidspunktet, eller i situasjoner ved oppsigelse uten rett til å stå i stilling (etter begjæring om fratreden, i prøvetid, eller i ved avskjed).»

Advokatforeningen, Næringslivets Hovedorganisasjon, Arbeidsgiverforeningen Spekter, Gassco AS og Sporveien Oslo AS peker på at arbeidsgiver vil kunne ha et legitimt behov for å kunne beholde tidligere ansattes e-postkasse og dokumenter, og at sletteplikten kan medføre at virksomhetskritisk informasjon slettes. Sporveien Oslo AS trekker særlig frem at det kan tenkes at arbeidstaker av ulike grunner ikke får overført slik informasjon til arbeidsgiver før vedkommende slutter, for eksempel ved avskjed eller arbeidstakers død.

Datatilsynet støtter en videreføring av bestemmelsen om sletting ved opphør av arbeidsforhold, men mener at begrepet «daglige driften» er uklart og at det bør gis veiledning om innholdet. Gassco AS mener at virksomheter også vil kunne ha behov for å bevare informasjon som ikke er nødvendig for den daglige driften i virksomheten.

Datatilsynet peker også på at krav om sletting av aktivitetslogg ikke er regulert, og at arbeidsgiver dermed må forholde seg til forordningen artikkel 5 nr. 1 bokstav e og artikkel 17.

Det er få høringsinstanser som har uttalt seg om forslaget om å videreføre forbudet mot å fastsette instruks eller inngå avtaler som fraviker bestemmelsene om innsyn i e-postkasse mv. til ugunst for arbeidstaker. SAMFO – Arbeidsgiverforening for samvirkeforetak mener bestemmelsen bør suppleres med et unntak for tilfeller hvor den ansatte skriftlig samtykker til at e-postkassen holdes aktiv lenger enn det som følger av sletteplikten. De viser til at det kan være «hensiktsmessig, både for arbeidsgiver og arbeidstaker at det kan avtales at e-postkasssen holdes aktiv noen få dager eller uker etter at arbeidsforholdet er opphørt». Også Gassco AS mener det er uheldig at det ikke åpnes for at det kan inngås avtale til ugunst for arbeidstaker:

«Vi mener videre at det er uheldig at forslaget ikke åpner opp for at det kan inngås avtale som fraviker bestemmelsene til ugunst for arbeidstaker.

Vi er enig at det ved etablering av arbeidsforholdet og til dels også under arbeidsforholdet er en asymmetri i maktbalansen mellom arbeidsgiver og arbeidstaker som kan tilsi behov for beskyttelse for arbeidstakeren mot å bli «påtvunget» en avtale. Dette hensynet er imidlertid ikke tilstede, eller er i hvert fall betydelig mindre tungtveiende, når den ansatte har sagt opp og skal slutte. Det er nettopp i en slik situasjon behovet for å etablere en avtale er størst, for å sikre at virksomhetskritisk informasjon blir bevart.»

31.3.4.3 Departementets vurdering

Det er departementets oppfatning at dagens særregler om arbeidsgivers innsyn i arbeidstakers e-postkasse mv. har skapt klarhet og forutberegnelighet når det gjelder hvilke tilfeller og på hvilken måte arbeidsgiver kan foreta innsyn i arbeidstakers e-postkasse mv. Det er også departementets syn at dagens regler på en god måte avveier arbeidsgivers og arbeidstakernes interesser på dette området. Departementet har merket seg at Datatilsynet i sitt høringssvar opplyser at arbeidsgivers adgang til å foreta innsyn i arbeidstakers e-postkasse mv. har utgjort en betydelig andel av henvendelsene de har fått de siste årene, og at de støtter en videreføring av reglene. Også de fleste øvrige høringsinstansene støtter opp om at reglene videreføres. Departementet mener derfor at handlingsrommet i artikkel 88 bør benyttes til å videreføre gjeldende regler som klargjør når, og på hvilken måte, arbeidsgiver kan foreta innsyn i de ansattes e-postkasse mv.

I høringen har flere høringsinstanser tatt til orde for at reglene også bør gjelde for innsyn i studenters og tillitsvalgtes e-postkasse. Departementet fastholder imidlertid at forordningen artikkel 88 ikke åpner for nasjonal særregulering av universiteters og høyskolers innsyn i studenters e-postkasse eller for organisasjoners og foreningers innsyn i frivilliges og tillitsvalgtes e-postkasse. Reguleringen må derfor begrenses til innsyn i arbeidstakeres e-postkasse mv.

Departementet har merket seg at noen høringsinstanser har enkelte innholdsmessige innvendinger til reguleringen slik den gjelder i dag. Som nevnt har imidlertid departementet i forbindelse med arbeidet med å gjennomføre personvernforordningen i norsk rett konsentrert seg om å videreføre gjeldende rett innenfor forordningens rammer og har derfor i all hovedsak ikke tatt stilling til hvorvidt det kan være behov for materielle endringer i regelverket.

Flere høringsinstanser har påpekt at forslaget til regulering slik det er formulert i høringsnotatet, i realiteten vil innebære en utvidelse av arbeidsgivers adgang til innsyn i såkalte aktivitetslogger. Flere trekker også frem at dagens bestemmelse i personopplysningsforskriften § 9-2 annet ledd, om arbeidsgivers adgang til å overvåke arbeidstakers bruk av elektronisk utstyr, ikke var med i høringsutkastet. Departementet har også merket seg at Datatilsynet i sitt høringssvar gir uttrykk for at «de foreslåtte bestemmelsene [om innsyn i aktivitetslogg] i så liten grad klargjør grensene for lovlig overvåking at det er enklere for å forholde seg til de alminnelige reglene i forordningen». Departementet bemerker at intensjonen i høringsnotatet heller ikke på disse punktene har vært å endre gjeldende rett, og departementet vil være særlig oppmerksom på disse innspillene ved utforming av forskriften.

32 Helselovene

Departementet foreslår endringer i helselovene slik at de tilpasses de generelle personvernreglene i EUs personvernforordning og den nye personopplysningsloven.

I helsesektoren behandles helseopplysninger i forbindelse med helsehjelp, kvalitetsforbedring, forskning, statistikk, helseanalyser mv. Vi har flere lover og en rekke forskrifter som gir særregler om behandling av helseopplysninger. Disse reglene utfyller og til dels skjerper de generelle kravene etter personopplysningsloven. Det er satt strenge vilkår for å kunne samle inn, lagre og behandle helseopplysninger, og strenge krav til konfidensialitet, informasjonssikkerhet, innsyn osv. Departementet legger til grunn at slike nasjonale særregler, som setter vilkår for eller begrenser behandlingen av helseopplysninger, kan videreføres, jf. artikkel 9 nr. 4.

Det foreslås endringer i følgende lover:

pasient- og brukerrettighetsloven

helsepersonelloven

helseberedskapsloven

behandlingsbiobankloven

matloven

helseforskningsloven

pasientjournalloven

helseregisterloven

32.1 Videreføring av gjeldende regler med lovtekniske tilpasninger

Departementet foreslår at gjeldende helselover videreføres så langt det er adgang til det etter forordningen. Dette betyr at gjeldende lovgivning i all hovedsak videreføres.

Departementet har gått gjennom og vurdert alle relevante helselover. Flere av høringsinstansene har pekt på at det er behov for en slik gjennomgang og vurdering. Forslaget til lovendringer er basert på disse vurderingene. I denne lovproposisjonen er det likevel kun de bestemmelsene som foreslås endret, som er kommentert. De bestemmelsene som ikke foreslås endret, er med andre ord vurdert og funnet å være i samsvar med forordningen.

For at behandling av helseopplysninger skal være lovlig etter forordningen, må minst ett av vilkårene i forordningen artikkel 6 nr. 1 og i artikkel 9 nr. 2 være oppfylt, se punkt 6.3 til 6.4 og 7.1 over om reglene om behandlingsgrunnlag og behandling av særlige kategorier av personopplysninger. Når behandlingen ikke er basert på samtykke, vil det ofte kunne være nødvendig med supplerende nasjonale regler om behandlingen, jf. artikkel 6 nr. 1 bokstav c og e og artikkel 9 nr. 2 bokstav g, h, i og j. Departementet har ikke avdekket et behov for å utforme nye supplerende rettsgrunnlag, jf. artikkel 6 nr. 1 bokstav c og e og nr. 3, for behandling av personopplysninger innenfor helselovgivningens virkeområde. Departementet har heller ikke avdekket behov for nye nasjonale bestemmelser som gjør unntak fra forbudet mot å behandle særlige kategorier av personopplysninger, som også omfatter helseopplysninger, jf. artikkel 9 nr. 1. Det foreslås heller ikke nye «egnede og særlige tiltak» for å verne den registrertes rettigheter og interesser i tråd med artikkel 9 nr. 2. Helselovgivningen med forskrifter gir en rekke slike garantier, med taushetsplikten som en særlig vesentlig garanti i denne sammenhengen. Et annet tiltak er for eksempel kravet om kryptering i helseregisterloven § 21. Krav om sletting og andre særlige tiltak er fastsatt i eller i medhold av lov- eller forskriftsbestemmelser, for eksempel registerforskriftene, forhåndsgodkjenning fra den regionale komiteen for medisinsk og helsefaglig forskningsetikk (REK) eller vedtak om utlevering av opplysninger.

Det må imidlertid gjøres lovtekniske tilpasninger. Blant annet er det en rekke lovbestemmelser som henviser til eller gjengir gjeldende personopplysningslov, som må oppheves eller erstattes av henvisninger til artikler i forordningen. Ettersom forordningen må gjennomføres slik den lyder, åpner forordningen i mindre grad enn 95-direktivet for omskrivninger og gjengivelser i helselovgivningen. Departementet foreslår at forordningens bestemmelser og definisjoner som hovedregel ikke gjentas i helselovene. Kun dersom det er tale om helt sentrale bestemmelser, gjengis disse, eller det henvises til dem i loven. Dette vil på mange punkter innebære at man ved behandling av personopplysninger innenfor helselovenes virkeområde i større grad enn i dag må se hen til den generelle personopplysningsloven og forordningen.

32.2 Dataansvarlig

Departementet foreslår at uttrykket «databehandlingsansvarlig» i helselovgivningen erstattes med «dataansvarlig». I dansk personvernlovgivning brukes uttrykket dataansvarlig på alle områder.

Forslaget er en språklig forenkling som ikke innebærer innholdsmessige endringer. Uttrykket er synonymt med «behandlingsansvarlig», som er uttrykket som brukes i gjeldende personopplysningslov, den norske oversettelsen av forordningen og forslaget til ny personopplysningslov. Behandlingsansvarlig er definert i forordningen artikkel 4 nr. 7. Det er nødvendig med en annen terminologi i helselovgivningen for å unngå forveksling med behandlingsansvarlig for helsehjelp. Uttrykket «databehandlingsansvarlig» er imidlertid tungt og er ikke intuitivt forståelig.

32.3 Supplerende rettsgrunnlag og unntak fra forbudet mot behandling av helseopplysninger

32.3.1 Oversikt

Behandling av helseopplysninger krever som nevnt i punkt 32.1 både behandlingsgrunnlag etter forordningen artikkel 6 nr. 1 og at vilkårene i et av unntakene fra forbudet mot behandling av særlige kategorier av personopplysninger (blant annet helseopplysninger) i artikkel 9 nr. 2 er oppfylt. Et gyldig samtykke etter forordningen artikkel 4 nr. 11, gir behandlingsgrunnlag etter artikkel 6 nr. 1 bokstav a og vil som regel også gi adgang til behandling av særlige kategorier av personopplysninger etter artikkel 9 nr. 2 bokstav a. For behandling som ikke er basert på et slikt samtykke, vil det etter forordningen ofte være nødvendig med supplerende rettsgrunnlag i nasjonal rett e. Dette gjelder blant annet for behandling på grunnlag av artikkel 6 nr. 1 bokstav c (behandlingen er nødvendig for å oppfylle en rettslig forpliktelse) eller bokstav e (behandlingen er nødvendig for å utføre en oppgave i offentlighetens interesse eller for å utøve offentlig myndighet som den behandlingsansvarlige er pålagt). Ved behandling av helseopplysninger stiller artikkel 9 nr. 2 bokstav g, h, i og j krav om at behandlingen er tillatt i nasjonal rett. Se nærmere i punkt 6.3 til 6.4 og 7.1 om kravene til slike nasjonale supplerende lovbestemmelser.

Departementet legger til grunn at gjeldende bestemmelser i helselovene vil gi supplerende rettsgrunnlag for ikke-samtykkebasert behandling av helseopplysninger og unntak fra forbudet mot behandling av særlige kategorier av personopplysninger for de formålene som omfattes. Det understrekes samtidig at det etter forordningens system på vanlig måte beror på en nærmere vurdering i det enkelte tilfelle i hvilken utstrekning behandling kan skje. Dette behandles nærmere under i punkt 32.3.2 til 32.3.4.

32.3.2 Helseforskningsloven og REKs forskningsetiske vurdering

Som flere av høringsinstansene har påpekt, reiser personvernforordningen spørsmål om den videre rollen til den regionale komiteen for medisinsk og helsefaglig forskningsetikk (REK).

REKs forhåndsgodkjenning skal ikke ha personopplysningsrettslig betydning

Etter gjeldende regler gir forhåndsgodkjenningen fra REK et «nødvendig og tilstrekkelig behandlingsgrunnlag» for helseopplysninger i medisinsk og helsefaglig forskning. Dette innebærer at kravet om etisk forhåndsgodkjenning fra REK erstatter kravet om behandlingsgrunnlag etter personopplysningsloven §§ 8 og 9.

Denne løsningen åpner forordningen etter departementets vurdering ikke for å videreføre. Etter forordningen må enhver behandling ha behandlingsgrunnlag etter artikkel 6 nr. 1, og vilkårene i et av unntakene fra forbudet mot behandling av særlige kategorier av personopplysninger må være oppfylt, jf. artikkel 9 nr. 2. Også behandling av personopplysninger i forbindelse med medisinsk og helsefaglig forskning må forankres i disse bestemmelsene, og den forskningsetiske godkjenningen kan derfor ikke i seg selv anses som et nødvendig og tilstrekkelig grunnlag for behandlingen.

Den personopplysningsrettslige betydningen av REKs forhåndsgodkjenning foreslås på denne bakgrunn endret, vet at godkjenningen som sådan ikke lenger vil utgjøre et nødvendig og tilstrekkelig behandlingsgrunnlag. I stedet må det på vanlig måte påvises et grunnlag for behandlingen i tråd med forordningens regler, om nødvendig i kombinasjon med nasjonale supplerende lovbestemmelser.

Når behandlingen er samtykkebasert, vil artikkel 6 nr. 1 bokstav a gi behandlingsgrunnlag, og artikkel 9 nr. 2 bokstav a vil åpne for behandling av helseopplysninger. Det er i slike tilfeller ikke nødvendig med nasjonale supplerende lovbestemmelser.

For behandling av helseopplysninger for forskningsformål som ikke er basert på samtykke, vil det derimot være nødvendig med nasjonale lovbestemmelser som åpner for behandlingen, jf. artikkel 9 nr. 2 bokstav j. Det vises til punkt 11.2 over om denne bestemmelsen. Dersom behandlingen skal ha grunnlag i artikkel 6 nr. 1 bokstav e, kreves også et supplerende rettsgrunnlag, se punkt 6.3.2 og 11.1 om dette kravet. I forslaget til ny personopplysningslov er det foreslått generelle bestemmelser som åpner for behandling av personopplysninger for forskningsformål uten samtykke, både alminnelige opplysninger og særlige kategorier av personopplysninger, jf. § 8 og 9. Departementet foreslår at disse bestemmelsene også skal gjelde medisinsk og helsefaglig forskning. Helselovene, kombinert med forordningen artikkel 6 nr. 1 bokstav e og artikkel 9 nr. 2 bokstav j, vil imidlertid etter departementets vurdering gi supplerende rettsgrunnlag og unntak fra forbudet mot behandling av særlige kategorier av personopplysninger. Dersom behandlingen skjer i tråd med helselovene, er det dermed ikke nødvendig å oppfylle vilkårene i personopplysningsloven § 8 eller § 9.

Ikke-samtykkebasert forskning på taushetsbelagte helseopplysninger vil være avhengig av lovbestemmelser som åpner for unntak fra taushetsplikten. Disse bestemmelsene vil etter departementets vurdering også gi supplerende rettsgrunnlag etter artikkel 6 nr. 1 bokstav e og gjøre unntak fra forbudet mot behandling av særlige kategorier av personopplysninger, jf. artikkel 9 nr. 2 bokstav j, samt sikre de nødvendige «egnede og særlige tiltak» i denne forbindelse. Departementet redegjør nærmere for dette i neste punkt.

I de tilfellene der REK fatter vedtak om dispensasjon fra taushetsplikt, får det liten praktisk betydning at reglene om dispensasjon fra taushetsplikt anses å utgjøre det supplerende rettsgrunnlaget for behandlingen i stedet for at REKs forskningsetiske vurdering utgjør et nødvendig og tilstrekkelig behandlingsgrunnlag. Prinsipielt har det likevel betydning at behandlingen forankres i forordningen artikkel 6 nr. 1 og artikkel 9 nr. 2.

Det understrekes at endringen i den rettslige betydningen av REKs forhåndsgodkjenning ikke innebærer at behandlingen må forhåndsgodkjennes av Datatilsynet, se punkt 12.5 over om forslaget om ikke å videreføre konsesjonsplikten. Forordningens regler om vurdering av personvernkonsekvenser og forhåndsdrøftinger med Datatilsynet, vil derimot gjelde også for behandlingen som omfattes av helseforskningsloven, se punkt 16.5 om disse reglene.

REKs forskningsetiske vurderinger videreføres

Det understrekes at det ikke forslås endringer i REKs forskningsetiske vurderinger. Det vil altså fortsatt gjelde krav om etisk forhåndsgodkjenning fra REK for å kunne behandle helseopplysninger i medisinsk og helsefaglig forskning, jf. helseforskningsloven § 9.

REKs forhåndsgodkjenning skal sikre at forskningsetikken ved nye prosjekter er ivaretatt. REK gjør en helhetlig forskningsetisk vurdering av alle prosjektets sider og påser at det totalt sett er forsvarlig og i henhold til anerkjente etiske normer. Selv om den forskningsetiske vurderingen ikke utgjør et grunnlag for behandling av personopplysninger, vil REKs vurdering utgjøre et egnet og særlig tiltak for å verne den registrertes grunnleggende rettigheter og interesser, jf. forordningen artikkel 9 nr. 2 bokstav j.

Som et ledd i den forskningsetiske vurderingen, skal REK, som i dag, ta stilling til behandlingen av personopplysninger som prosjektene innebærer. Dette gjelder blant annet om datainnhenting, datahåndtering, deling av data og dataeierskap er i samsvar med reglene om taushetsplikt og personvern. Hvorvidt samtykket er dekkende og om informasjonen til de registrerte er tilstrekkelig, er sentrale spørsmål i denne forskningsetiske vurderingen.

REKs vurdering av de personvernmessige sidene av behandlingen, kan imidlertid ikke være bindende for Datatilsynet ved et eventuelt tilsyn. Den dataansvarlige (forskningsansvarlig) vil fortsatt ha ansvar for at behandlingen er i samsvar med personvernreglene. Datatilsynet må på selvstendig grunnlag kunne ta stilling til om behandlingen er i samsvar med forordningen, for eksempel om det er avgitt gyldig samtykke, om informasjonen til de registrerte er tilstrekkelig og om prinsippet om dataminimering er ivaretatt. Datatilsynet vil dermed, uavhengig av REKs forhåndsgodkjenning, kunne fastsette tvangsmulkt eller overtredelsesgebyr dersom kravene i forordningen ikke er overholdt.

Helsedatautvalgets flertall har foreslått at det ikke lenger skal kreves forskningsetiske vurderinger fra REK i prosjekter som kun innebærer bruk av helsedata fra helseregistre, det vil si prosjekter som ikke innebærer direkte kontakt med forskningsdeltakere som for eksempel medisinske tester, klinisk utprøving av legemidler eller operative inngrep. (Et nytt system for enklere og sikrere tilgang til helsedata. Rapport fra Helsedatautvalget 2016–2017). Departementet har ikke tatt stilling til dette forslaget. Endringer i helseforskningslovens regler om dette vil eventuelt bli vurdert i sammenheng med oppfølgingen av utvalgets rapport.

32.3.3 Dispensasjon og unntak fra taushetsplikten

Departementet legger til grunn at Helsedirektoratets eller REKs lovhjemlede vedtak om dispensasjon eller unntak fra taushetsplikten vil gi supplerende rettsgrunnlag etter artikkel 6 nr. 3 og unntak fra forbudet mot behandling av særlige kategorier av personopplysninger i tråd med artikkel 9 nr. 2. Departementet viser til at lovbestemmelsene som vedtakene er hjemlet i, avgrenser hvilke spesifikke formål opplysningene skal kunne brukes til. Videre vil vedtakene sikre særlige tiltak eller garantier for å verne de registrertes rettigheter og friheter, jf. artikkel 9 nr. 2 bokstav g, h, i og j. Dette begrunnes nærmere i det følgende.

Aktuelle lovbestemmelser

Helseopplysninger som behandles for formålene som omfattes av helselovgivningen, er i utgangspunktet underlagt lovfestet taushetsplikt, jf. helsepersonelloven § 21, pasientjournalloven § 15, helseregisterloven § 17 og helseforskningsloven § 7. Dersom det skal gis tilgang til helseopplysninger fra pasientjournaler eller andre helseregistre, kreves det derfor lovhjemmel, samtykke eller dispensasjon fra taushetsplikt.

Helsepersonelloven § 29 b gjelder utlevering av opplysninger til helseanalyser, kvalitetssikring, administrasjon, planlegging eller styring av helse- og omsorgstjenesten: Departementet «kan bestemme at helseopplysninger kan eller skal gis til [slik] bruk». Det er lovfestet følgende vilkår for å kunne gi dispensasjon:

«Dette kan bare skje dersom behandlingen av opplysningene er av vesentlig interesse for samfunnet og hensynet til pasientens integritet og velferd er ivaretatt. Graden av personidentifikasjon skal ikke være større enn nødvendig for det aktuelle formålet. Kun i særskilte tilfeller kan det gis tillatelse til bruk av direkte personidentifiserbare opplysninger som for eksempel navn eller fødselsnummer.»

Helsepersonelloven § 29 gjelder utlevering av helseopplysninger til forskning. Myndigheten til å dispensere ligger hos departementet, men er delegert til REK. Dispensasjonsmyndigheten «kan bestemme at opplysninger kan eller skal gis til bruk i forskning». Bestemmelsen eller forarbeidene sier ellers ikke noe om når det kan gis dispensasjon. Vurderingen er i praksis basert på de samme vurderingstemaene som er lovregulert i § 29 b og i helseregisterloven § 20, og som er foreslått lovregulert i den nye personopplysningsloven § 9.

Helsepersonelloven § 29 c gjør unntak fra taushetsplikten ved helsepersonells bruk av opplysninger til læringsarbeid og kvalitetssikring. Dette er en bestemmelse om utlevering til personell som har ytt eller vært delaktig i helsehjelp til den pasienten en ber om innsyn i journalen til. Departementet legger til grunn at også tilgjengeliggjøring etter denne bestemmelsen vil gi supplerende rettsgrunnlag og unntak fra forbudet behandling av særlige kategorier av personopplysninger for mottageren.

Det samme vil gjelde REKs vedtak etter helseforskningsloven § 15 om ny eller endret bruk dersom det er vanskelig å innhente nytt samtykke eller § 35 om at helseopplysninger kan eller skal gis til bruk i forskning.

Vedtak om tilgjengeliggjøring av indirekte identifiserbare helseopplysninger fra lovbestemte registre etter helseregisterloven § 20, vil også gi mottageren supplerende rettsgrunnlag og unntak fra forbudet mot behandling av særlige kategorier av personopplysninger. Helseregisterloven § 20 gjør unntak fra taushetsplikten når det gjelder indirekte personidentifiserbare opplysninger. Den dataansvarlige kan etter en konkret vurdering og uten hinder av taushetsplikten, tilgjengeliggjøre indirekte identifiserbare opplysninger til formål som det aktuelle registeret er etablert for. Bestemmelsen gjelder kun utlevering av opplysninger fra lovbestemte registre etter helseregisterloven § 11. Slike registre er for eksempel Norsk pasientregister eller Kreftregisteret. Det er den dataansvarlige som vurderer om vilkårene i unntaksbestemmelsen er oppfylt. Dataansvarlige for de lovbestemte registrene er Folkehelseinstituttet, Helsedirektoratet eller Oslo universitetssykehus HF.

Unntaket etter § 20 gjelder bare dersom opplysningene skal brukes til forskning, helseanalyser, kvalitetssikring, administrasjon, planlegging eller styring av helse- og omsorgstjenesten. Helseopplysningene kan bare utleveres dersom behandlingen av dem er av vesentlig interesse for samfunnet, hensynet til pasientens integritet og konfidensialitet er ivaretatt, og behandlingen er ubetenkelig ut fra etiske, medisinske og helsefaglige hensyn. Utleveringen skal baseres på en konkret vurdering. Den dataansvarlige må vurdere risikoen for identifisering og misbruk. I vurderingen må det også blant annet legges vekt på antall personer som kan få innsyn i de utleverte opplysningene.

Vedtakene gir supplerende rettsgrunnlag og adgang til behandling av helseopplysninger

Departementet legger til grunn at vedtakene med hjemmel i lovbestemmelsene nevnt over vil gi behandlingen supplerende rettsgrunnlag i tråd med artikkel 6 nr. 3 og åpne for behandling av særlige kategorier av personopplysninger i tråd med artikkel 9 nr. 2. Det følger av fortalepunkt 45 i forordningen at det ikke kreves en særlig lovbestemmelse for hver enkelt behandling, men at én lovbestemmelse kan være tilstrekkelig som grunnlag for flere behandlingsaktiviteter. Departementet viser til at det her er tale om lovhjemlede beslutninger som fattes av offentlige myndigheter, på bakgrunn av en vurdering og avveining av behandlingens nytte og av konsekvensene for de registrerte. Dette er vurderinger som etter gjeldende regler i stor grad er overlappende med de vurderingene som ligger til grunn for Datatilsynets konsesjoner. Departementet viser også til at REK, Helsedirektoratet eller eventuelt den dataansvarlige kan fastsette vilkår for å verne de registrertes grunnleggende rettigheter og interesser, jf. artikkel 9 nr. 4. Departementet foreslår at dette presiseres i de aktuelle bestemmelsene for å synliggjøre behovet for særlige tiltak eller garantier for å verne de registrertes rettigheter og friheter, jf. artikkel 9 nr. 2 bokstav g, h, i og j.

Departementet understreker at lovbestemmelsene må tolkes i lys av de kravene artikkel 6 nr. 3 og artikkel 9 nr. 2 stiller til nasjonale lovbestemmelser som åpner for behandling av personopplysninger, for eksempel kravet om proporsjonalitet i artikkel 9 nr. 2 bokstav g og j, jf. også kravene om proporsjonalitet og rettsgrunnlag etter Grunnloven § 102 og EMK artikkel 8. Se punkt 6.3.2 til 6.4 og 7.1 over.

Departementet presiserer at vedtak etter bestemmelsene som er nevnt over, ikke angir uttømmende hva som kan gi supplerende rettsgrunnlag og unntak fra forbudet mot behandling av særlige kategorier av personopplysninger. Dette betyr at behandling også kan skje på andre grunnlag, for eksempel unntak eller dispensasjonsvedtak etter andre bestemmelser.

32.3.4 Behandling av helseopplysninger i forbindelse med helsehjelp

Adgang og plikt til å behandle helseopplysninger i forbindelse med helsehjelp, følger av helsepersonelloven og pasientjournalloven. Behandling av helseopplysninger i forbindelse med helsehjelp er omfattet av andre behandlingsgrunnlag enn samtykke i forordningen og andre unntak fra forbudet mot behandling av særlige kategorier av personopplysninger. Dette vil kunne være artikkel 6 nr. 1 bokstav d (nødvendig for å verne den registrertes vitale interesser) og unntaket i artikkel 9 nr. 2 bokstav h (nødvendig i forbindelse med yting av helsetjenester), se helsepersonelloven §§ 39 og 40 og pasientjournalloven kapittel 2.

Etter helsepersonelloven og pasientjournalloven er det ikke et krav om at pasientens samtykke oppfyller vilkårene til samtykke i forordningens forstand. Dette betyr at det fremdeles ikke vil være nødvendig med en erklæring eller tydelig bekreftelse om samtykke til behandling av helseopplysninger i forbindelse med helsehjelp. Derfor videreføres dagens regler om hvordan samtykke kan gis til helsehjelp og tilhørende behandling av helseopplysninger, jf. pasient- og brukerrettighetsloven §§ 4-1 flg.

32.4 De registrertes rettigheter

Forordningen har bestemmelser om de registrertes rett til informasjon, innsyn, retting og sletting i artikkel 12 til 19. Departementet foreslår generelle unntak fra de registrertes rettigheter i den nye personopplysningsloven §§ 16 og 17, se punkt 10.2 og 11.3.

Departementet mener at gjeldende særregler i helselovene om de registrertes rettigheter kan og bør videreføres. Departementet viser til unntaksadgangen som følger av de enkelte bestemmelsene, samt til artikkel 23 og artikkel 89 nr. 2 og nr. 3, som kan hjemle begrensninger i rettighetene. Det vises også til at artikkel 9 nr. 4 kan hjemle utvidede rettigheter.

Departementet foreslår at det tas inn en henvisning i helselovene til sentrale artikler i forordningen som gjelder de registrertes rettigheter. Henvisningene tas kun inn av informasjonshensyn, da de vil gjelde uansett. Gjeldende særregler videreføres som presiseringer, begrensninger eller utvidelser av de generelle reglene i forordningen.

32.4.1 Informasjon og innsyn

I bestemmelsene om informasjon og innsyn i pasient- og brukerrettighetsloven § 5-1, pasientjournalloven § 18, helseregisterloven § 24 og helseforskningsloven § 40, foreslås det henvisninger til forordningens artikler om informasjon og innsyn. Departementet foreslår generelle unntak fra retten til informasjon og innsyn, jf. personopplysningsloven §§ 16 og 17. Disse vil også gjelde for helsesektoren, med mindre annet er bestemt.

Artikkel 14 om informasjon om opplysninger som er samlet inn fra andre enn den registrerte, gjelder ikke dersom behandlingen er uttrykkelig fastsatt i nasjonal rett, jf. artikkel 14 nr. 5 bokstav c. Dette er i samsvar med unntaket i gjeldende personopplysningslov § 20 annet ledd bokstav a og er således en videreføring av gjeldende rett. Departementet viser her til at føring av journal følger av helsepersonells dokumentasjonsplikt etter helsepersonelloven § 39. Artikkel 14 gjelder dermed ikke pasientjournaler.

Når det gjelder informasjon om og innsyn i behandling av helseopplysninger i medisinsk og helsefaglig forskning, inneholder den gjeldende § 42 i helseforskningsloven en gjengivelse av unntakene i personopplysningsloven. Departementet foreslår å erstatte denne bestemmelsen med henvisninger til personopplysningslovens generelle unntaksregler.

Pasient- og brukerrettighetsloven § 5-1 annet og tredje ledd videreføres. Disse bestemmelsene gir helsepersonell adgang til å nekte pasienter innsyn i opplysninger i journalen dersom dette er påtrengende nødvendig for å hindre fare for liv eller alvorlig helseskade for pasienten eller brukeren selv, eller innsyn er klart utilrådelig av hensyn til personer som står vedkommende nær. Dersom innsyn nektes, har en representant for den representerte rett til innsyn, med mindre representanten anses uskikket for dette. Departementet viser til at forordningen artikkel 23 nr. 1 bokstav i åpner for begrensninger i innsynsretten av hensyn til vern av den registrertes interesser.

32.4.2 Retting og sletting

Forordningen har regler om retting og sletting i artikkel 16 og 17. Når det gjelder medisinsk og helsefaglig forskning, foreslår departementet at helseforskningsloven § 36 viser til forordningen artikkel 16 og 17. I tillegg beholdes gjeldende regler som presiseringer. Departementet foreslår videre at tilsvarende henvisning til forordningen artikkel 16 og 17 tas inn i helseregisterloven § 25 om sletting og sperring. Når det gjelder pasientjournaler, tas det inn en henvisning til forordningen artikkel 16 i bestemmelsene om retting i helsepersonelloven § 42. Retten til sletting etter artikkel 17 gjelder ikke pasientjournaler, jf. nr. 3 bokstav b.

I den nye personopplysningsloven § 17 annet og tredje ledd er det foreslått unntak fra retten til retting og begrensning av behandlingen for behandling til bruk i arkiv, forskning eller statistikk. Dette unntaket vil også gjelde for helsesektoren.

32.5 Overføring av opplysninger til og fra andre land

Forordningen gjelder likt for behandling i alle land innenfor EØS. Det følger av artikkel 1 nr. 3 at fri utveksling av personopplysninger mellom statene verken skal begrenses eller forbys av hensyn til personvernet. Artikkel 44 til 50 regulerer overføring av opplysninger til tredjestater (utenfor EU/EØS) eller til internasjonale organisasjoner, jf. kapittel 19 i proposisjonen her. Det er derfor ikke behov for egne bestemmelser om behandling av helseopplysninger på tvers av landegrensene. Departementet foreslår på denne bakgrunn å oppheve helseforskningsloven § 37 som regulerer overføring av helseopplysninger til og fra utlandet. Det vil dermed ikke være bestemmelser i helselovene som regulerer eller hindrer behandling av helseopplysninger på tvers av landegrensene.

33 Endringer i veglova

33.1 Innledning

I proposisjonen her blir det foreslått å ta inn to bestemmelser om behandling av personopplysninger i lov 21. juni 1963 nr. 23 om vegar (veglova).

33.2 Forslag til nytt kapittel II B og ny § 11 f

Veglova er rammeloven som regulerer de offentlige vegene i Norge og myndighetene som har ansvaret for de offentlige vegene – vegstyresmaktene. Vegstyresmaktene er nærmere regulert i lovens kapittel II. I § 9, jf. § 1, deles det offentlige vegnettet inn i tre typer veger: riksveger, fylkesveger og kommunale veger. Vegstyresmaktene for disse vegene er henholdsvis Vegdirektoratet, fylkeskommunene og kommunene. I henhold til veglova § 9 første ledd tredje punktum kan departementet legge Vegdirektoratets eller regionvegkontorets styresmakt til å fatte vedtak som gjelder utbygging, drift og vedlikehold av bestemte riksveger, til et statlig utbyggingsselskap for veg. Denne adgangen er benyttet gjennom opprettelsen av selskapet Nye Veier AS. I den gjeldende organiseringen av vegstyresmaktene for øvrig utfører Statens vegvesens regionvegkontorer i dag felles vegadministrasjon for fylkeskommunene, jf. veglova §§ 10 og 19.

Veglova regulerer i kapittel II A tilsyn med riksvegene. Tilsynsmyndigheten er i henhold til instruks fra departementet lagt til Vegtilsynet, som fører tilsyn med at Statens vegvesen og det statlige utbyggingsselskapet har og bruker styringssystemer for å ivareta trafikksikkerheten knyttet til riksvegene.

Vegstyresmaktenes oppgaver knyttet til det offentlige vegnettet er regulert i kapittel I, III–VI, VIII og IX og i forskrifter til loven. Dette omfatter rollene som myndighetsorganer og vegforvalter. Det er en overordnet målsetting for vegstyresmaktene å skape størst mulig trygg og god avvikling av trafikken, og ta hensyn til vegenes naboer, et godt miljø og andre samfunnsinteresser ellers, jf. veglova § 1 a.

Selskapet Nye Veier AS' rolle og oppgaver innenfor det offentlige riksvegnettet er nærmere beskrevet i Meld. St. 25 (2014–2015) På rett vei – Reformer i vegsektoren, jf. Innst. 362 S (2014–2015), og i Prop. 1 S (2015–2016) og Prop. 1 S Tillegg 2 (2015–2016). Selskapet skal forestå planlegging, utbygging, drift og vedlikehold av særskilte utvalgte riksvegstrekninger. Selskapet er ikke et myndighetsorgan, men det er åpnet for at selskapet på enkelte konkrete områder kan gis vedtaksmyndighet når dette er hensiktsmessig for gjennomføringen av selskapets oppgaver og for øvrig er forsvarlig.

Vegtilsynets oppgaver er regulert av veglova kapittel II A og instruks fra departementet. Vegtilsynet fører tilsyn med at krav til riksvegene knyttet til trafikksikkerhet er ivaretatt av Statens vegvesen og Nye Veier AS. Statens vegvesen og Nye Veier AS er gitt nærmere plikter etter loven kapittel II A, som er knyttet til Vegtilsynets tilsynsvirksomhet for riksvegene.

I tillegg til funksjonen som vegstyresmakt har Statens vegvesen et sektoransvar innenfor vegområdet som innebærer et samlet ansvar for hele vegtransportsystemet. Dette omfatter blant annet en pådriverrolle for å opprettholde og utvikle helhetlige og effektive løsninger innenfor areal- og transportplanlegging, kollektivtrafikk og miljøarbeid, både nasjonalt, regionalt og lokalt. Etaten bidrar også i betydelig grad til å opprettholde og utvikle et velfungerende marked for anleggsbransjen og rådgivningsbransjen innenfor planlegging og på byggherreområdet.

Statens vegvesens ansvar for riksvegene og andre statlige oppgaver innebærer blant annet drift av vegtrafikksentralene som overvåker og styrer trafikken, herunder trafikken i tunneler på riks- og fylkesveger, innsamling av veg- og vegtrafikkdata og bearbeiding av slike data, inspeksjon og sikkerhetskontroll av riksveg- og vegrelaterte elementer, sikkerhetsgodkjenning av riksveg- og fylkesvegtunneler, behandling av fravikssøknader fra vegnormalene for bruer og ferjekaier på riksvegene og fylkesvegene, forvaltning av grunneiendommer, avgivelse av uttalelser til andres planer etter plan- og bygningsloven, behandling av søknader om dispensasjon fra byggegrensene, avkjørsel, gravetillatelse med mer for riksveger, erverv av nødvendig grunn og rettigheter samt ivaretakelse av arbeidet med samfunnssikkerhet og beredskap. Statens vegvesens vegadministrasjon på regionalt nivå utfører tilsvarende oppgaver for fylkeskommunene i fylkesvegsaker, jf. veglova § 10.

Til sine ansvarsområder etter veglova har vegstyresmaktene, og til dels Nye Veier AS, mange systemer, registre og andre ordninger der personopplysninger blir registrert, behandlet og videreformidlet. I arbeidet med utredning og planlegging av de offentlige vegene blir det benyttet registre som brukes i analyser og saksbehandling for planlegging, og registre som brukes til prosjektering, for eksempel knyttet til trasévalg og tiltak. I disse registrene blir det registrert og behandlet personopplysninger i tilknytning til eierskapsforhold, tilstanden på eiendommer og lignende. I arbeidet med å bygge, drifte og vedlikeholde vegene blir det i saksbehandlingen benyttet registre til gjennomføring av tiltak, for eksempel registre over naboer, berørte grunneiere med mer. I arbeidet med entreprisekontraktene blir det behandlet personopplysninger som en del av byggherreforpliktelsene som gjelder entreprenører, organisering, roller og tilstedeværelse på anleggsplass, HMS-forhold og så videre. I forbindelse med forvaltningen av det offentlige vegnettet blir det også utført registreringer i forbindelse med henvendelser og søknader knyttet til offentlig veggrunn, som for eksempel gjelder byggegrenser og avkjørsler.

Under Statens vegvesens sektoransvar har etaten et særlig ansvar for vegdata knyttet til tilstanden på vegene og vegelementene. Innenfor dette området forekommer det både fortløpende fotografering og videoovervåking av vegnettet og av trafikksituasjonen. Fotograferingen og videoovervåkingen er av hensyn til trafikksikkerheten på vegene, og eventuell behandling av personopplysninger er ikke et mål med arbeidet. Det blir ikke behandlet sensitive opplysninger. Vegdirektoratet arbeider med tekniske løsninger som skal håndtere automatisk fjerning av personkjennetegn og andre opplysninger som kan knyttes til enkeltpersoner, så langt det er mulig, slik at trafikantene som blir tatt bilde av eller filmet, fortrinnsvis kan være anonyme.

Under Vegtilsynets ansvarsområde innebærer enkelte deler av arbeidet at tilsynet behandler personopplysninger. Tilsynet gjennomfører intervjuer med enkeltpersoner og innhenter opplysninger fra de som er underlagt tilsyn. Dette medfører at Vegtilsynet behandler personopplysninger om tilsatte i Statens vegvesen, Nye Veier AS, entreprenører, konsulenter og andre som gir opplysninger til eller samhandler med tilsynsobjektene i tilsynssakene. Vegtilsynet innhenter også bilder og videoopptak av vegene og veganlegg. Dette innebærer at personer som oppholder seg på vegen eller anlegget, kan bli en del av grunnlagsmaterialet til Vegtilsynet, selv om dette ikke er formålet med bildene eller videoopptakene. Departementet vil be Vegtilsynet om å vurdere tekniske løsninger som gjør at personopplysninger ikke blir behandlet der det ikke er nødvendig.

I veglova og forskriftene til veglova er det ikke gitt egne bestemmelser om vegstyresmaktenes arbeid som regulerer behandlingen av personopplysninger i tilknytning til arbeidet med å bygge ut, drifte, vedlikeholde og forvalte de offentlige vegene. På tilsvarende måte er ikke Statens vegvesens behandling av personopplysninger med henhold til det særskilte sektoransvaret regulert i lovgivningen, og det er heller ikke gitt bestemmelser om Vegtilsynets og Nye Veier AS' behandling av personopplysninger.

Etter departementets vurdering vil lovforslaget, sammen med omtalen i denne proposisjonen, klargjøre at de omtalte myndighetene og selskapet som er tildelt oppgaver i medhold av § 9 første ledd, kan behandle personopplysninger, og i hvilken sammenheng personopplysninger faktisk blir behandlet når de utfører oppgaver etter loven.

I forslaget til ny § 11 f er det i annet ledd tatt inn en bestemmelse som gir departementet hjemmel til å gi utfyllende bestemmelser om behandling av personopplysninger i forskrift. Vegdirektoratet vil i 2018 vurdere behovene for en klarere lovgivning knyttet til bruk av IKT innenfor veginfrastruktur- og vegtrafikkområdet, jf. omtalen i Samferdselsdepartementets Prop. 1 S (2017–2018) side 89. Departementet vil i sammenheng med dette arbeidet vurdere nærmere om det er behov for og hensiktsmessig å regulere nærmere bestemmelser om behandling av personopplysninger i forskrift til veglova, eller om dette er et område som bør behandles mer helhetlig for sektoren i et eget regelverk som på sikt kan avløse bestemmelsene som legges frem i denne proposisjonen.

33.3 Forslag til nye femte og sjette ledd i § 27

Veglova § 27 første ledd fastsetter at departementet med samtykke fra Stortinget kan bestemme at det skal kreves inn bompenger på offentlig veg, hvor mye som skal kreves inn og vilkår ellers for bestemt bruk av bompengene. Veglova § 27 annet ledd fastsetter at departementet med samtykke fra Stortinget kan fastsette særskilte ordninger for bompenger i byområder, med takster som er tilpasset de særskilte behovene i området, ut fra hensyn til transportløsningene i området, bruken av arealet, lokalmiljøet eller lignende. I henhold til langvarig praksis legges hver bompengesak om det enkelte prosjekt eller bypakke frem for Stortinget for behandling gjennom en Prop. S, og Stortinget gir deretter sin tilslutning i et vedtak som gir samtykke til innkrevingen. Vedtakene fra Stortinget blir deretter fulgt opp med fullmakt fra departementet til Vegdirektoratet om å inngå avtale med bompengeselskapet i den enkelte sak.

Veglova § 27 gir ikke direkte føringer for valg av betalingssystemer. Dagens løsning for innkreving av bompengebetaling er AutoPASS-systemet, som er et elektronisk system som er utviklet over tid i et samarbeid mellom vegmyndighetene og bompengeselskapene. Stortinget legger i sin behandling av den enkelte bompengesak til grunn at innkrevingen av bompenger skal skje gjennom denne elektroniske løsningen. Med unntak av ett bompengeprosjekt foregår all bompengeinnkreving i Norge i dag gjennom AutoPASS-systemet.

Systemet opererer med to kundegrupper – avtalekunder og trafikanter som ikke har avtale. For avtalekunder skjer bompengeinnkrevingen ved registrering av en elektronisk identitetsbærer (brikke) ved passering av vegkantutstyret i bomsnittet. For trafikanter som ikke er avtalekunder, blir kjøretøyet / kjøretøyets kjennemerke fotografert ved passering av bomsnittet, og eieren blir fakturert for passeringen ved bruk av oppslag i kjøretøyregisteret.

Den elektroniske bompengeinnkrevingen innebærer at følgende personopplysninger behandles: navn og kontaktinformasjon for avtalepart der det foreligger avtale, nummerskiltopplysninger, tekniske opplysninger om kjøretøyet, fakturerings- og betalingsinformasjon og informasjon om trafikantens passeringer (tid og sted). Opplysningene i bompengesystemet behandles for å ivareta en berettiget interesse, det vil si for å kreve inn betaling fra trafikantene for passeringer på det bompengefinansierte vegnettet, jf. veglova § 27 og forskrift 28. november 2016 nr. 1418 om betaling av bompenger. For både trafikanter med og uten avtale blir det registrert tid og sted for passeringen av en bomstasjon, som knyttes til enten navn eller kjennemerke. Dette innebærer behandling av personopplysninger.

Per i dag er de behandlingsansvarlige på bompengeområdet både bompengeselskapene, egne driftsselskaper som har avtaler med bompengeselskapene om håndtering av avtalepasseringer, og Statens vegvesen. Som nærmere omtalt i blant annet Meld. St. 25 (2014–2015) På rett vei og Prop. 1 S Tillegg 2 (2015–2016) pågår det en reform på bompengeområdet der det skal etableres fem regionale bompengeselskaper, med sikte på avvikling av den tidligere praksisen med ett selskap per bompengeprosjekt. De fem permanente regionale bompengeselskapene skal stå for bompengeinnkrevingen i fremtiden. Det er også besluttet at funksjonen som utsteder, det vil si tjenesten som tilbyr trafikantene avtalepasseringer, skal skilles ut fra bompengeselskapene. Som en del av reformen arbeider departementet med en egen forskrift om denne virksomheten. Forskriften vil etablere en tydeligere rolledeling i selve innkrevingen, med en avgrensning av bompengeselskapets ansvar som operatør gjennom etablering av en tydelig utstederrolle som er uavhengig fra bompengeselskapet. Etter at bompengereformen er gjennomført, skal Statens vegvesen i utgangspunktet være et myndighetsorgan innenfor bompengeforvaltningen. Statens vegvesen vil først og fremst ha ansvaret for å påse en enhetlig, effektiv og velfungerende bompengeinnkreving i hele landet. Etaten vil også blant annet ha oppgaver som er knyttet til bompengeselskapenes operative oppgaver, for å ivareta en helhetlig og effektiv innkreving. Dessuten har Statens vegvesen ansvaret for baksystemet for bompengeinnkrevingen, i alle fall frem til ny systemløsning for bompengeinnkreving er i drift.

Ansvarsinndelingen innenfor bompengeområdet innebærer at det blir eller vil bli behandlet personopplysninger om trafikantene som bruker de bompengefinansierte vegene, både av selskapene som opererer på området og av Statens vegvesen.

På bakgrunn av samarbeidsavtalen mellom norske, svenske og danske myndigheter, den såkalte EasyGO-avtalen, foregår det i dag utveksling av norske passeringsopplysninger til svenske og danske aktører på bompengeområdet. I tillegg er det, på bakgrunn av et foreliggende forslag fra Kommisjonen, sannsynlig at det i fremtiden vil være en del av direktiv 2004/52/EF, som regulerer samvirkningsevnen mellom de elektroniske bompengesystemene i EU, at medlemsstatenes nasjonale kontaktpunkter skal dele opplysninger om passeringsdata med hverandre knyttet til kjøretøy og eierne av kjøretøyene. Målet med dette er å gjøre bompengeinnkrevingen på tvers av EU-landene enklere. Direktivet og Kommisjonens vedtak 2009/750/EF er tatt inn i EØS-avtalen, jf. vedlegg XIII nr. 18b og nr. 18 ba, og Norges forpliktelser på dette området er gjennomført i forskrift 20. mars 2015 nr. 230. Det nye forslaget fra Kommisjonen er vurdert å ligge innenfor EØS-avtalens virkeområde. Departementet har etter en helhetsvurdering kommet til at lovforslaget bør utformes generelt når det gjelder utveksling av personopplysninger på bakgrunn av forpliktelser etter internasjonale rettsakter og avtaler, slik at også eventuelle fremtidige forpliktelser i henhold til direktiver fra EU kan favne under bestemmelsen. Når slike nærmere krav blir vedtatt i et direktiv som tas inn i EØS-avtalen, vil det etter departementets vurdering uansett bli nødvendig å vurdere nærmere forskriftsregulering.

Det er et særlig spørsmål innenfor bompengeordningen om aktørene på området behandler særlige kategorier av personopplysninger. Etter takstretningslinjene pkt. 4.6 er det gitt hjemmel til fritak fra betalingsplikt for forflytningshemmede personer, blant annet på vilkår om inngåelse av avtale med et av bompengeselskapene. Også andre fritaksgrunner av medisinsk art kan i prinsippet tenkes. Slike opplysninger vil etter sin art være helseopplysninger, jf. forordningen artikkel 9. Det er i denne sammenhengen grunnlaget for fritak som anses som særlige kategorier av personopplysninger. Slik dette systemet er lagt opp i dag, behandler aktørene på bompengeområdet særlige kategorier av personopplysninger i tilknytning til behandling av fritak. Vegdirektoratet arbeider med å vurdere løsninger som gjør det mulig å begrense kravene til opplysninger fra en bruker til bompengeselskapene eller utstederne, slik at behandling av helseopplysninger i disse selskapene kan opphøre.

Departementet er av oppfatningen at trafikantenes personvern ikke overstiger den berettigede interessen som bompengeselskapene og utstederne har til å innhente og behandle nødvendige opplysninger om brukerne som kjører uten avtale og brukerne som inngår brukeravtaler med utstederne. Både bompengeselskapene og utstederne må kunne behandle og lagre de nødvendige opplysningene om brukernes passeringer som gjør at de er i stand til å ivareta oppgavene de er gitt etter avtale med staten eller med hjemmel i forskrift. Dette følger også av pålagte krav etter forskrift til bokføringsloven.

Etter departementets vurdering vil lovforslaget, sammen med omtalen i denne proposisjonen, klargjøre at aktørene på bompengeområdet (bompengeselskapene og utstederne) kan behandle personopplysninger knyttet til oppgavene med å kreve inn bompenger, og i hvilken sammenheng. Tilsvarende vil forslaget klargjøre at Statens vegvesen kan behandle personoppgaver som en del av sine forvaltningsoppgaver innenfor bompengeområdet.

I forslaget til nytt sjette ledd i § 27 er det tatt inn en bestemmelse som gir departementet hjemmel til å gi utfyllende bestemmelser om behandling av personopplysninger i forskrift. Denne forskriftshjemmelen er særlig aktuell i forbindelse med departementets arbeid med å fastsette en forskrift om utstedervirksomheten for bompenger på det offentlige vegnettet. Departementet vil også vurdere nærmere om det er behov for og hensiktsmessig å gi nærmere bestemmelser om behandling av personopplysninger i andre sammenhenger innenfor området, eller om dette er et område som bør behandles mer helhetlig for vegsektoren i et eget regelverk som på sikt kan avløse bestemmelsene som legges frem i denne proposisjonen, jf. omtalen til ny § 11 f i veglova.

34 Endringer i politiloven – politiets bruk av kameraovervåking

34.1 Gjeldende rett

Politiets behandling av opplysninger til politimessige formål reguleres av politiregisterloven og politiregisterforskriften, og faller dermed utenfor personopplysningslovens virkeområde, jf. personopplysningsloven § 5. Verken politiregisterloven eller politiloven inneholder spesifikke regler om kameraovervåking. Det har i praksis fra Datatilsynet og Personvernnemnda vært lagt til grunn at politiets bruk av kameraovervåking reguleres av personopplysningsloven, jf. Personvernnemndas vedtak PVN-2017-10 Kameraovervåking Brumunddal. I personopplysningsloven kapittel VII er det gitt en rekke regler om hvilke vilkår som gjelder i forbindelse med kameraovervåking, men loven inneholder ingen eksplisitte bestemmelser om adgangen til å sette opp overvåkingskameraer.

Politiet benytter i dag personopplysningsloven § 8 bokstav f som grunnlag for å iverksette kameraovervåking utenfor etterforskning. Denne bestemmelsen åpner for behandling av personopplysninger som er nødvendig for at den behandlingsansvarlige kan ivareta en berettiget interesse, og hensynet til den registrertes personvern ikke overstiger denne interessen.

Etter personopplysningsloven § 37 tredje ledd skal det i vurderingen av hva som er en berettiget interesse, legges vesentlig vekt på om overvåkingen bidrar til å verne om liv eller helse eller forebygger gjentatte eller alvorlige straffbare handlinger. Også andre forhold har vært ansett å kunne utgjøre berettigede interesser for politiet, herunder oppklaring av straffbare handlinger og vern av lokalbefolkningens trygghetsfølelse, jf. PVN-2017-10 Kameraovervåking Brumunddal.

Personopplysningsforskriften inneholder enkelte bestemmelser om behandling av opptak som politiet er i besittelse av. Etter gjeldende forskrift § 8-3 er personopplysningsloven § 11 første ledd bokstav c (kravet om at den behandlingsansvarlige​ skal sørge for at personopplysninger ikke brukes til uforenlige formål) ikke til hinder for at politiet bruker opptak i forbindelse med forebygging av straffbare handlinger, i forbindelse med oppklaring av ulykker eller i saker om ettersøking av forsvunne personer. Videre kan innsynsrett etter personopplysningsloven ikke gjøres gjeldende for opptak politiet er i besittelse av, jf. § 8-3 annet ledd. Etter § 8-4 fjerde ledd gjelder slettefristene i annet og tredje ledd, på henholdsvis syv dager og tre måneder, ikke for opptak som politiet er i besittelse av.

34.2 Forordningen og direktiv (EU) 2016/680

Personvernforordningen omfatter ikke politiets behandling av personopplysninger «med henblikk på å forebygge, etterforske, avsløre eller straffeforfølge straffbare forhold eller iverksette strafferettslige sanksjoner, herunder vern mot og forebygging av trusler mot den offentlige sikkerhet», jf. artikkel 2 nr. 1 bokstav d og punkt 4.2 over. Behandlingen omfattes i stedet av direktiv (EU) 2016/680, som gjennomføres i politiregisterloven, jf. lov 21. juni 2017 nr. 94 om endringer i politiregisterloven mv. Politiet kan ikke benytte seg av behandlingsgrunnlagene i forordningen artikkel 6 nr. 1 som grunnlag for innsamling av personopplysninger for disse formålene.

Det følger av direktiv (EU) 2016/680 artikkel 8 at politiets behandling av personopplysninger må ha grunnlag i unionsretten eller nasjonal rett.

34.3 Høringsinstansenes syn

Politiets adgang til å benytte kameraovervåking ble ikke særskilt omtalt i høringsnotatet, men er kommentert av enkelte høringsinstanser.

Datatilsynet viser til at det tidligere har vært lagt til grunn at politiets bruk av kameraovervåking i forebyggende øyemed reguleres av personopplysningsloven og ikke av politiregisterloven. Det antas at politiets og «andre kompetente myndigheters» kameraovervåking faller utenfor forordningens virkeområde, jf. artikkel 2 nr. 2 bokstav d og fortalepunkt 19, og tilsvarende vil falle innenfor direktiv (EU) 2016/680. Etter direktivet artikkel 8 må behandling av personopplysninger ha hjemmel i lov for å være lovlig. Slik Datatilsynet ser det, foreligger det ikke hjemmel for politiets bruk av kameraovervåking i forebyggende øyemed i politiregisterloven. Uten slik hjemmel vil politiet ikke kunne iverksette kameraovervåking etter at forordningen trer i kraft.

Politidirektoratet viser til at opphevingen av reglene i personopplysningsloven og forskriften aktualiserer spørsmålet om politiet trenger særlig behandlingsgrunnlag for å sette opp overvåkingskameraer og behandle informasjonen fra disse, samt i hvilket regelverk slike regler i så fall skal plasseres. Etter Politidirektoratets vurdering er det behov for å tydeliggjøre politiets adgang til bruk av overvåkingskameraer, slik at det ikke oppstår tvil om politiets adgang til dette. Et mulig grunnlag vil være at politiets oppsetting og bruk av slike kameraer reguleres av politiregisterloven. Det er Politidirektoratets vurdering at de generelle regler i politiregisterloven er tilstrekkelige for å dekke politiets behov for å kunne sette opp og behandle opplysninger fra overvåkingskameraer. Dersom eksplisitt hjemmel anses nødvendig, kan det etter Politidirektoratets syn eventuelt være aktuelt å innta bestemmelser om dette i politiloven.

34.4 Departementets vurderinger

Departementet finner det ikke tvilsomt at kameraovervåking kan være et egnet virkemiddel for å bekjempe kriminalitet og for å opprettholde ro og orden. Departementet foreslår derfor å videreføre den adgangen som politiet i dag har til å benytte kameraovervåking, jf. punkt 34.1 over.

Kameraovervåkingen som det er her tale om, utgjør etter departementets vurdering et inngrep i EMK artikkel 8, jf. også Grunnloven § 102. Dette innebærer at overvåkingen bare kan finne sted så langt den har et legitimt formål, har tilstrekkelig lovhjemmel og er proporsjonal. Etter departementets syn er det ikke tvilsomt at kriminalitetsbekjempelse og opprettholdelse av ro og orden er legitime formål, og at det etter omstendighetene må anses å være et proporsjonalt inngrep at politiet benytter overvåkingskameraer for disse formålene. Det er imidlertid nødvendig å sikre at overvåkingen har en tilstrekkelig spesifikk lovhjemmel, og at overvåkingen – på samme måte som i dag – begrenses til det som er nødvendig og proporsjonalt.

Politiregisterloven regulerer politiets behandling av opplysninger, men den regulerer ikke hvilke virkemidler eller metoder politiet kan bruke til å innhente opplysninger. Sistnevnte forhold reguleres av henholdsvis straffeprosessloven og politiloven. Departementet foreslår derfor en lovbestemmelse som åpner for at politiet kan benytte seg av kameraovervåking, og at denne plasseres i politiloven kapittel II om utførelsen av polititjenesten, se forslaget til ny § 6 a. Behandlingen av opplysningene som er innhentet ved slik kameraovervåking, vil imidlertid reguleres av politiregisterloven. Departementet anser det ikke nødvendig å utforme særlige regler om politiets videre behandling av personopplysninger som samles inn ved kameraovervåking. Det foreslås likevel en forskriftshjemmel som åpner for nærmere regulering dersom det skulle vise seg å være behov for dette. Slike regler vil i tilfelle bli plassert i politiregisterforskriften.

Bestemmelsene om kameraovervåking i gjeldende personopplysningslov er forholdsvis detaljerte. Det er etter departementets syn ikke nødvendig å videreføre disse i sin helhet. For eksempel er det etter departementets syn ikke nødvendig å angi når kameraovervåking vil utgjøre behandling av særlige kategorier opplysninger, jf. også omtalen i punkt 18.2 over. Videre er det ikke nødvendig å gi særskilte regler om utlevering av opptak, jf. gjeldende personopplysningslov § 39, da utleveringsadgangen følger av politiregisterlovgivningen.

Etter forslaget er grunnvilkåret for å iverksette kameraovervåking at det er nødvendig for politiets oppgaver etter politiloven § 2 nr. 1 til 4. Politiet kan dermed iverksette kameraovervåking blant annet dersom det er nødvendig for å opprettholde offentlig orden og sikkerhet, forebygge kriminalitet, avdekke og stanse kriminell virksomhet eller forfølge straffbare forhold. Bestemmelsen er dermed både mer konkret og snevrere enn § 8 bokstav f i den någjeldende personopplysningsloven, ettersom ikke enhver berettiget interesse som overstiger hensynet til den registrerte, kan begrunne kameraovervåking.

I tillegg til at kameraovervåking må være nødvendig for konkrete oppgaver, må det foretas en avveining mellom de hensyn som tilsier overvåking, og hensynet til den eller dem som vil fanges opp av kameraovervåkingen. Kameraovervåking kan bare benyttes dersom de hensyn som tilsier overvåking, overstiger hensynet til den registrertes personvern. Det anses ikke nødvendig med særskilte regler om tilleggsvilkår for overvåking av sted hvor en begrenset krets av personer ferdes jevnlig, eller for overvåking av rekreasjonsområder mv., slik det er gitt i gjeldende personopplysningslov §§ 38 og 38 a. Etter departementets vurdering vil typen område som ønskes overvåket, og hvilke personer overvåkingen vil omfatte, være noe som må tillegges vekt i vurderingen av om de hensyn som begrunner overvåking, overstiger hensynet til den registrertes personvern. Det foreslås imidlertid at det presiseres i lovteksten at det særlig skal legges vekt på hvordan overvåkingen skal skje, samt hva slags område som skal overvåkes. Videre foreslås kravet om tydelig varsling i gjeldende § 40 videreført, herunder kravet om at det skal varsles om at overvåkingen eventuelt inkluderer lydopptak.

35 Overgangsregler

Når det gjelder henvisninger i lovverket for øvrig til gjeldende personopplysningslov, har departementet tatt sikte på å foreslå endringer av samtlige henvisninger som forekommer. Dersom det likevel skulle forekomme henvisninger til gjeldende personopplysningslov som ikke er fanget opp av endringene som foreslås i proposisjonen her, må disse etter departementets syn leses som henvisninger til tilsvarende bestemmelser i ny personopplysningslov og forordningen. Der det i lovverket kun henvises til «personopplysningsloven», vil henvisningen etter ikrafttredelse av ny lov måtte leses som en henvisning til ny personopplysningslov.

Forordningen gjelder ikke for behandling av personopplysninger som ledd i straffegjennomføring eller i forsvarets etterretningstjeneste. I dag reguleres behandling av personopplysninger på disse områdene av gjeldende personopplysningslov samt bestemmelser i særlovgivningen. Nye lover om behandling av personopplysninger på disse områdene er under utarbeidelse. Det tas derfor sikte på å fastsette i overgangsreglene at gjeldende personopplysningslov fortsetter å gjelde for disse områdene inntil de nye reglene trer i kraft.

Det vil være en rekke saker som verserer for tilsynsmyndigheten og Personvernnemnda på ikraftsettingstidspunktet for den nye personopplysningsloven. Forordningen inneholder ingen overgangsbestemmelser som regulerer behandlingen av slike saker. Utgangspunktet vil være at vedtak hos Datatilsynet og Personvernnemnda vil måtte fattes på grunnlag av de til enhver tid gjeldende materielle regler.

Etter departementets syn må imidlertid saker om ileggelse av overtredelsesgebyr for behandling av personopplysninger vurderes etter de materielle reglene som gjaldt på behandlingstidspunktet. Dette vil hindre at de nye reglene gis tilbakevirkende kraft i strid med EMK artikkel 7 og Grunnloven § 97. EMD har i storkammerdom 17. september 2009 i saken Scoppola mot Italia innfortolket et krav i EMK artikkel 7 om at lempeligere strafferegler, vedtatt og trådt i kraft etter at lovbruddet fant sted, skal anvendes, jf. HR-2016-1982-A avsnitt 48. Departementet foreslår at en slik regulering tas inn i lovforslaget.

Departementet foreslår også at det tas inn en hjemmel i lovforslaget som gir Kongen kompetanse til å fastsette nærmere overgangsregler.

Behovet for overgangsregler i forbindelse med bortfall av konsesjoner og tillatelser etter den någjeldende personopplysningsloven § 9 tredje ledd omtales over i punkt 12.6.

36 Utkast til EØS-komiteens beslutning med tilpasninger

36.1 Innledning

Utkastet til EØS-komiteens beslutning om innlemmelse av forordningen i EØS-avtalen inneholder en fortale og fem artikler.

Artikkel 1 fastsetter at personvernforordningen tas inn i EØS-avtalens vedlegg XI og erstatter gjeldende personverndirektiv. Artikkelen fastsetter videre en rekke tilpasninger til forordningen. Disse tilpasningene gjennomgås under i punkt 36.2.

Artikkel 2 fastslår at henvisningen til artikkel 29-komiteen i punkt 13 i protokoll 37 til EØS-avtalen skal slettes. Artikkel 29-komiteen oppheves ved ikrafttredelsen av personvernforordningen og erstattes av Personvernrådet.

Artikkel 3 fastslår at den islandske og den norske språkversjonen av forordningen gis gyldighet og kunngjøres i EØS-tillegget til Den europeiske unions tidende.

Artikkel 4 regulerer når beslutningen trer i kraft.

Artikkel 5 fastslår at beslutningen selv skal kunngjøres i EØS-avdelingen og i EØS-tillegget til Den europeiske unions tidende.

Utkastet til beslutning har også vedlagt en erklæring som klargjør at løsningen med at det er Personvernrådet som treffer beslutninger rettet mot EØS/EFTA-tilsynsorganene (altså en én-pilar-løsning), ikke skal skape presedens for innlemming av senere rettsakter.

Nedenfor gjøres det rede for hovedtrekkene i utkastet til tilpasningstekst. Tekniske tilpasninger og tilpasninger av mindre betydning omtales ikke.

Utkastet til EØS-komiteens beslutning følger vedlagt. Utkastet er utarbeidet av EØS/EFTA-statene og ligger til behandling i EUs organer. For at Norge ikke skal forsinke ikrafttredelsen av beslutningen, legges det opp til at Stortingets samtykke innhentes før beslutningen er fattet i EØS-komiteen. Det er ikke ventet at det vil komme endringer av betydning i utkastet til beslutning i EØS-komiteen. Dersom den endelige beslutningen skulle avvike vesentlig fra utkastet som er lagt frem i denne proposisjonen, vil saken bli fremlagt for Stortinget på nytt.

36.2 Tilpasningsteksten til forordningen

36.2.1 EØS/EFTA-statenes tilsynsmyndigheters deltakelse i samarbeids- og konsistensmekanismen – Personvernrådet

Som beskrevet i kapittel 30 oppretter forordningen et nytt europeisk tilsynssystem gjennom en samarbeids- og konsistensmekanisme. En behandlingsansvarlig eller databehandler skal i utgangspunktet bare behøve å forholde seg til tilsynsmyndigheten i den staten den har sin hovedvirksomhet. Denne tilsynsmyndigheten kalles den ledende tilsynsmyndigheten og har ansvaret for å koordinere sitt vedtak med andre berørte tilsynsmyndigheter. Ved uenighet mellom den ledende tilsynsmyndigheten og andre berørte tilsynsmyndigheter skal saken henvises til Personvernrådet.

I forhandlingene med Kommisjonen om utkast til tilpasningstekst har det vært et førende prinsipp for Norge at den norske tilsynsmyndigheten skal kunne delta fullt ut i samarbeids- og konsistensmekanismen, herunder være ledende tilsynsmyndighet på samme vilkår som EU-statenes tilsynsmyndigheter.

Deltakelse i samarbeidsmekanismen, inkludert mulighet til å være ledende tilsynsmyndighet, krever ikke spesielle tilpasninger til forordningen, men følger av den generelle tilpasningen i artikkel 1 bokstav b, som fastslår at uttrykket «tilsynsmyndigheter» i forordningen skal forstås som å dekke også EØS/EFTA-statenes tilsynsmyndigheter. Det er imidlertid tatt inn i fortalen til utkastet til EØS-komitébeslutning at EØS/EFTA-statenes tilsynsmyndigheter deltar fullt ut i samarbeidsmekanismen.

Det har også vært viktig for Norge å få gjennomslag for at EØS/EFTA-statenes tilsynsmyndigheter skal delta i Personvernrådet på lik linje med EU-statenes tilsynsmyndigheter. Tilpasningsteksten inneholder en generell bestemmelse om at EØS/EFTA-statenes tilsynsmyndigheter skal delta i Personvernrådet med samme rettigheter og plikter som EU-statenes tilsynsmyndigheter uten stemmerett, jf. artikkel 1 bokstav a. I og med at Personvernrådet er et EU-organ, er det ikke mulig i henhold til EU-retten å gi EØS/EFTA-statenes tilsynsmyndigheter stemmerett. Det er imidlertid fastslått at den enkelte tilsynsmyndighet fra en EØS/EFTA-stat skal kunne kreve å få protokollert sitt syn på den aktuelle saken. Det antas at denne rettigheten er spesielt viktig i saker hvor en EØS/EFTA-stats tilsynsmyndighet er uenig i vedtaket som treffes av Personvernrådet. Rettigheten er ment å være et avhjelpende tiltak for manglende stemmerett.

Det følger av forordningen artikkel 65 nr. 3 at Personvernrådet treffer beslutninger ved simpelt flertall. Ved stemmelikhet skal lederens stemme være avgjørende. I og med at EØS/EFTA-statenes tilsynsmyndigheter ikke har stemmerett, kan de heller ikke være leder av Personvernrådet. Det er fastsatt i utkast til EØS-komiteens beslutning artikkel 1 bokstav a og o at EØS/EFTA-statenes medlemmer i Personvernrådet ikke kan være leder eller nestleder.

36.2.2 EFTAs overvåkingsorgans rett til å be om råd eller uttalelser fra Personvernrådet samt delta i Personvernrådets møter

Forordningen har en rekke bestemmelser som gir Kommisjonen rett til å be om råd eller uttalelser fra Personvernrådet. Dette gjelder blant annet rett for Kommisjonen til å fremlegge ethvert forhold med allmenn rekkevidde eller som har virkning i flere enn én medlemsstat for Personvernrådet for å få en uttalelse derfra, jf. artikkel 64 nr. 2, rett for Kommisjonen til å fremlegge et forhold for Personvernrådet dersom en tilsynsmyndighet ikke anmoder om uttalelse fra Personvernrådet i saker som skal behandles etter konsistensmekanismen, eller ikke følger uttalelsen, jf. artikkel 65 nr. 1 bokstav c, og rett til å be Personvernrådet om å granske ethvert spørsmål som berører forordningen, jf. artikkel 70 nr. 1 bokstav e. I utkastet til EØS-komiteens beslutning artikkel 1 bokstav l er det fastslått at EFTAs overvåkingsorgan også skal ha disse rettighetene i den grad det er relevant for overvåkingspliktene etter EØS-avtalen artikkel 109. I artikkel 1 bokstav m fastsettes det forpliktelser for Personvernrådet til å informere EFTAs overvåkingsorgan om en rekke saker, slik det også er forpliktet til å informere Kommisjonen.

I utkastet til EØS-komiteens beslutning artikkel 1 bokstav k fastslås det at EFTAs overvåkingsorgan skal kunne møte i Personvernrådet uten stemmerett.

Rettighetene til EØS/EFTA-statenes tilsynsmyndigheter og EFTAs overvåkingsorgan skal nedfelles i prosedyrereglene for Personvernrådet, jf. artikkel 1 bokstav a.

36.2.3 Overføring av personopplysninger til tredjestater

36.2.3.1 Innledning

Det følger av forordningen artikkel 44 at overføring av personopplysninger til tredjestater og internasjonale organisasjoner bare kan finne sted dersom vilkårene i kapittel V er oppfylt. Ett av grunnlagene som muliggjør overføring, er at Kommisjonen har truffet en beslutning om at beskyttelsesnivået for personopplysninger i en tredjestat eller internasjonal organisasjon er tilstrekkelig, jf. forordningen artikkel 45. Et annet grunnlag er at den behandlingsansvarlige sikrer at overføringen er omfattet av nødvendige garantier gjennom bruk av standard personvernbestemmelser som er vedtatt eller godkjent av Kommisjonen, jf. artikkel 46 nr. 2 bokstav c og d. Det vises til kapittel 19 for en nærmere gjennomgang av grunnlagene for overføring av personopplysninger til tredjestater.

36.2.3.2 Gjeldende rett

Også etter 95-direktivet kan Kommisjonen treffe beslutning om at en stat sikrer et tilstrekkelig beskyttelsesnivå. Kommisjonen kan også treffe beslutning om at en stat ikke har et tilstrekkelig beskyttelsesnivå. Etter direktivet har disse imidlertid ikke direkte virkning, men forutsetter at medlemsstatene gjennomfører beslutningene. Beslutningen fra Kommisjonen tas på vanlig måte inn i EØS-avtalen gjennom en beslutning av EØS-komiteen.

Tilpasningsteksten til direktivet inneholder imidlertid regler som tillater EØS/EFTA-statene å anvende Kommisjonens beslutning om tilstrekkelig beskyttelsesnivå før EØS-komiteen har innlemmet beslutningen i EØS-avtalen. Hovedregelen er at hver EØS/EFTA-stat skal informere Kommisjonen om hvorvidt den vil anvende beslutningen om tilstrekkelig beskyttelsesnivå før den er inntatt i EØS-avtalen. Dersom en EØS/EFTA-stat ikke informerer om at den ikke vil anvende beslutningen, skal denne staten anvende Kommisjonens beslutning fra samme tidspunkt som EUs medlemsstater. Dersom man ikke kommer til enighet om å innta beslutningen i EØS-avtalen innen tolv måneder, kan den enkelte EØS/EFTA-stat meddele Kommisjonen at den ikke lenger vil anvende beslutningen. Hvis Kommisjonen har besluttet at en tredjestat ikke har et tilstrekkelig beskyttelsesnivå, medfører en beslutning fra en EØS/EFTA-stat om ikke å anvende Kommisjonens beslutning at EUs medlemsstater skal hindre eller begrense overføring av personopplysninger til denne EØS/EFTA-staten.

For å sikre nasjonal gjennomføring av ordningen med anvendelse før beslutningene innlemmes i EØS-avtalen, er det tatt inn en bestemmelse i personopplysningsforskriften § 6-1 første ledd som fastsetter at Kommisjonens beslutninger gjelder i Norge med mindre reservasjonsadgangen er benyttet.

36.2.3.3 Forordningen med tilpasningstekst

Kommisjonens beslutninger om tilstrekkelig beskyttelsesnivå er ett av flere grunnlag etter forordningen for å overføre personopplysninger til tredjestater, spesifikke sektorer eller territorier i tredjestater eller internasjonale organisasjoner, jf. forordningen artikkel 45 nr. 1 og 3. Kommisjonen har også kompetanse til å treffe en beslutning som opphever, endrer eller midlertidig opphever en slik beslutning dersom den mottar informasjon om at tredjestaten, enkelte sektorer eller territorier eller den internasjonale organisasjonen ikke lenger sikrer et tilstrekkelig beskyttelsesnivå, jf. artikkel 45 nr. 5. Beslutningene treffes som gjennomføringsrettsakter.

Den alminnelige ordningen etter EØS-avtalen er at delegerte rettsakter og gjennomføringsrettsakter blir bindende for EØS-statene først når de er innlemmet i EØS-avtalen. Dette vil også gjelde etter forordningen, der de fleste av Kommisjonens beslutninger først vil bli gjeldende i Norge når de er innlemmet i EØS-avtalen gjennom en beslutning i EØS-komiteen og gjennomført i norsk rett. Departementet foreslår en hjemmel for å gi forskrifter om gjennomføring av EØS-komiteens beslutninger i norsk rett, se lovforslaget § 15.

Når det gjelder Kommisjonens beslutninger som gir grunnlag for overføring av personopplysninger til tredjestater og internasjonale organisasjoner, er det etter departementets syn grunn til å videreføre tilpasningsteksten fra 95-direktivet. Uten tilpasning må norske behandlingsansvarlige vente på at Kommisjonens beslutninger om tilstrekkelig beskyttelsesnivå innlemmes i EØS-avtalen, for å kunne overføre personopplysninger på grunnlag av disse. Etter departementets syn er det en klar fordel for norske behandlingsansvarlige å kunne anvende Kommisjonens beslutninger på dette området samtidig som behandlingsansvarlige i EUs medlemsstater. Utkastet til EØS-komiteens beslutning artikkel 1 bokstav e viderefører derfor ordningen med at Kommisjonens beslutning blir gjeldende i Norge med mindre norske myndigheter informerer om at de ikke vil anvende den.

Det følger av utkastet til EØS-komiteens beslutning artikkel 1 bokstav h at samme ordning skal gjelde for bruk av standard personvernbestemmelser vedtatt eller godkjent av Kommisjonen som grunnlag for overføring av personopplysninger til tredjestater.

36.2.4 Særlig om beslutninger om tilstrekkelig beskyttelsesnivå hvor tredjestater, spesifikke sektorer eller territorier eller en internasjonal organisasjon påtar seg forpliktelser i forbindelse med beslutningen

Det følger av forordningen artikkel 45 at Kommisjonen skal vurdere en rekke momenter i sin vurdering av om en tredjestat eller en internasjonal organisasjon sikrer et tilstrekkelig beskyttelsesnivå. Det skal blant annet legges vekt på overholdelse av menneskerettighetene, relevant lovgivning, om det finnes velfungerende uavhengige tilsynsmyndigheter, og om tredjestaten har påtatt seg internasjonale rettslige forpliktelser gjennom bi- eller multilaterale konvensjoner eller avtaler. Under 95-direktivet har det forekommet at den aktuelle tredjestaten eller sektoren, som et vilkår for at det skal fattes beslutning om tilstrekkelig beskyttelsesnivå, har påtatt seg forpliktelser om å behandle personopplysninger som overføres fra et EU-land, på en bestemt måte. Et eksempel på dette er beslutningen om overføring av personopplysninger til USA, som bare gjelder for bedrifter som har tilsluttet seg et spesielt regelverk. Det er ingen tradisjon for at EU forhandler på vegne av EØS/EFTA-statene. For å sikre at personopplysninger som overføres fra en EØS/EFTA-stat, underlegges samme vilkår, er det derfor fastsatt i tilpasningsteksten artikkel 1 bokstav f at EØS/EFTA-statene skal informeres om slike forhandlinger, og at EU skal diskutere mekanismer som muliggjør anvendelse av slike forpliktelser også for EØS/EFTA-statene.

36.3 Konstitusjonelle forhold

36.3.1 Innledning

Grunnloven bygger på en forutsetning om at lovgivende, utøvende og dømmende myndighet i Norge i utgangspunktet skal utøves av norske statsorganer. Overføres slik myndighet som etter Grunnloven ellers ligger til statens myndigheter, til internasjonale organer, taler en om myndighetsoverføring.

I vurderingen av om det foreligger myndighetsoverføring, trekkes det vanligvis et skille mellom de tilfellene hvor en beslutning fra et internasjonalt organ gjelder direkte overfor private rettssubjekter uten et mellomliggende nasjonalt vedtak, og de tilfellene hvor beslutningen er rettet mot norske myndigheter som deretter har plikt til å gjennomføre beslutningen nasjonalt. De to tilfellene kan betegnes som overføring av myndighet til å treffe vedtak med henholdsvis direkte (internrettslig) virkning og med folkerettslig virkning.

Innenfor rammene av Grunnloven § 26 annet ledd har en i statspraksis lagt til grunn at det er en vid adgang for staten til å overlate myndighet til å binde seg folkerettslig til et internasjonalt organ. I de tilfellene det overføres myndighet til å treffe vedtak som gjelder direkte overfor norske borgere, bedrifter eller organisasjoner, følger det av sikker konstitusjonell praksis at overføring av myndighet som er «lite inngripende», kan skje med Stortingets samtykke etter Grunnloven § 26 annet ledd. For en nærmere redegjørelse for de rettslige utgangspunktene vises det til uttalelsen fra Lovavdelingen 27. februar 2018 (snr. 16/2442) punkt 3.4 om de konstitusjonelle spørsmålene i Prop. 4 S (2017-2018) om tredje energimarkedspakke:

«Myndighetsoverføring som anses som «lite inngripende», kan etter sikker konstitusjonell praksis likevel skje ved bruk av Grunnloven § 26 (i praksis med Stortingets samtykke etter Grunnloven § 26 annet ledd). Vi viser særlig til drøftelsene i St.prp. nr. 100 (1991–92) (EØS-avtalen) side 342 med videre henvisninger og St.prp. nr. 50 (1998–99) (Schengen) side 35, og de vedtakene som ble fattet i den forbindelse, samt beskrivelsen i Prop. 100 S (2015–2016) (om europeiske finanstilsyn) punkt 10, særlig punkt 10.2, jf. Innst. 386 S (2015–2016). Det finnes etter hvert en rekke tilfeller der Stortinget har samtykket etter Grunnloven § 26 annet ledd basert på det synet at det har foreligget myndighetsoverføring, men at denne har vært «lite inngripende». Vi viser, som eksempler, til St.prp. nr. 44 (2004–2005), jf. Innst. S. nr. 164 (2004–2005) (flysikkerhet – EASA-forordningen), Prop. 133 S (2011–2012), jf. Innst. 86 S (2012–2013) (resirkulert plast), Prop. 16 S (2012–2013), jf. Innst. 191 S (2012–2013) (vinforordningene), Prop. 27 S (2012–2013), jf. Innst. 146 S (2012–2013) (flysikkerhet II – revidert EASA-forordning), Prop. 4 S (2013–2014), jf. Innst. 94 S (2013–2014) (tømmerforordningen), Prop. 35 S (2013–2014), jf. Innst. 156 S (2013–2014 (markedsføring og bruk av biocidprodukter), Prop. 80 S (2014–2015), jf. Innst. 270 S (2014–2015) (konsortium for europeisk forskningsinfrastruktur – ERIC) og Prop. 123 S (2014–2015), jf. Innst. 390 S (2014–2015) (luftfartsvirksomhet utøvd av tredjestatsoperatører – «EASA III») (..)

Grunnloven gir selv ingen veiledning om vurderingen av når myndighetsoverføring er å anse som «lite inngripende». Vurderingen av hva som kan aksepteres, må prinsipielt ta utgangspunkt i den enkelte kompetansebestemmelsen i Grunnloven som det er tale om å gripe inn i (§ 3, § 49, § 75, §§ 88 til 90 mfl.). Norske statsorganer kan ikke inngå traktater som kommer i strid med Grunnloven. Praksis, i første rekke slik den er kommet til uttrykk i forbindelse med Stortingets behandling av tidligere saker, vil kunne gi veiledning om hvor grensen for «lite inngripende» myndighetsoverføring går. Denne praksisen bygger på at en rekke momenter kan være relevante ved vurderingen av hva som er «lite inngripende». I St.prp. nr. 100 (1991–92) side 342 er følgende uttalt:

«Kriteriet «lite inngripende» gir anvisning på en skjønnsmessig helhetsvurdering, der det ikke er mulig å gi en uttømmende oppregning en gang for alle av de hensyn som kan ha betydning ved vurderingen.»

Etter praksis er relevante momenter bl.a. den nærmere arten av myndigheten som overføres, omfanget av myndighetsoverføringen og i den forbindelse om overføringen gjelder et bestemt og avgrenset saksområde. Det har videre betydning om overføringen er basert på gjensidighet og likeverdig deltakelse. I praksis er det også lagt vekt på i hvilken grad norske myndigheter har mulighet til å avbøte uheldige virkninger av myndighetsoverføringen. Det må også legges vekt på arten av de samfunnsmessige og politiske interessene som berøres gjennom myndighetsoverføringen. I grensetilfeller kan Stortingets standpunkt i det enkelte tilfellet bli avgjørende for spørsmålet om Grunnloven § 26 kan brukes.»

Det er også adgang til å overføre myndighet til en internasjonal organisasjon Norge ikke er medlem av, så lenge myndighetsoverføringen anses som «lite inngripende». Som eksempel kan det vises til St.prp. nr. 44 (2004–2005), jf. Innst. S.nr. 164 (2004–2005), hvor Stortinget samtykket til en viss myndighetsoverføring til EUs byrå for flysikkerhet (EASA). Det kan også vises til St.prp. nr. 49 (2007–2008), jf. Innst. S. nr. 246 (2007–2008), hvor Stortinget samtykket til en viss myndighetsoverføring til EUs byrå for kjemikalier (ECHA). I begge disse tilfellene gjaldt det overføring av myndighet til å treffe beslutninger som gjaldt direkte overfor private, men i og med at myndighetsoverføringen ble ansett som lite inngripende, samtykket Stortinget til innlemmelse av regelverket i EØS-avtalen etter Grunnloven § 26 annet ledd.

I andre tilfeller hvor et EU-organ har myndighet til å treffe beslutninger overfor private etter EU-regelverket, er denne myndigheten gjennom EØS-komiteens beslutning lagt til nasjonale norske organer. Samtidig vil det nasjonale organet ha en folkerettslig plikt til å treffe et likelydende vedtak. Som eksempel kan det vises til EØS-komiteens beslutning nr. 129/2009 av 4. desember 2009, som innlemmet Kommisjonsforordning (EF) nr. 658/2007 av 14. juni 2007 om økonomiske sanksjoner for brudd på visse forpliktelser i forbindelse med markedsføringstillatelser på legemiddelområdet. Tilpasningsteksten til denne forordningen lyder:

«Retten til å ilegge økonomiske sanksjoner overfor innehavere av markedsføringstillatelser i henhold til forordning (EF) nr. 726/2004 artikkel 84 nr. 3 skal, i tilfeller der innehaveren av markedsføringstillatelsen er etablert i en EFTA-stat, utøves av den aktuelle EFTA-staten på grunnlag av et forslag fra Kommisjonen.»

Kommisjonsforordningen ble tatt inn i EØS-avtalen etter Stortingets samtykke i henhold til Grunnloven § 26 annet ledd, fordi det var nødvendig med lovendringer. Spørsmålet om myndighetsoverføring ble ikke berørt. Det vises til Prop. 90 S (2009–2010) og Innst. 258 S (2009–2010).

Løsningen som er valgt i disse tilfellene, kan ses som parallell til løsningen som følger direkte av personvernforordningen. Personvernrådet treffer en beslutning overfor Datatilsynet, og Datatilsynet har en folkerettslig plikt til å treffe sin beslutning på bakgrunn av beslutningen fra Personvernrådet.

Et element i vurderingen av om en myndighetsoverføring er «lite inngripende», er om norske myndigheter har likeverdig deltakelse i beslutningsprosessene. Hvorvidt myndighetsoverføringen skjer til et organ Norge er medlem av eller ikke, vil være et moment i vurderingen av om myndighetsoverføringen er «lite inngripende».

36.3.2 Utkast til EØS-komiteens beslutning om Personvernrådets kompetanse til å treffe bindende beslutninger overfor EØS/EFTA-statenes tilsynsmyndigheter

Som nevnt i kapittel 30 oppretter forordningen et nytt kontroll- og tilsynsregime på europeisk nivå. Det vises til omtalen der for en gjennomgåelse av disse bestemmelsene.

I henhold til forordningen artikkel 70, jf. artikkel 65 nr. 1, har Personvernrådet kompetanse til å treffe bindende avgjørelser overfor nasjonale tilsynsmyndigheter i følgende tilfeller:

Dersom en konkret sak er behandlet etter samarbeidsmekanismen (one-stop-shop), og en berørt tilsynsmyndighet har reist en relevant og grunngitt innsigelse mot et utkast til beslutning fra den ledende tilsynsmyndigheten, som ikke er tatt til følge

Dersom det er uenighet om hvilken stats tilsynsmyndighet som har kompetanse overfor virksomheten

Dersom en tilsynsmyndighet ikke anmoder om en uttalelse etter artikkel 64 nr. 1, eller ikke følger en uttalelse Personvernrådet har gitt i henhold til artikkel 64 nr. 1 og 2

Avgjørelsene fra Personvernrådet er bindende for den ledende tilsynsmyndigheten og alle berørte tilsynsmyndigheter, jf. artikkel 65 nr. 2. Den ledende tilsynsmyndigheten, eller om relevant, den tilsynsmyndigheten der klagen er inngitt, skal treffe sin endelige avgjørelse på grunnlag av avgjørelsen fra Personvernrådet.

Samtidig fremgår det av forordningen artikkel 52 slik den foreslås gjennomført i norsk lov, at den norske tilsynsmyndigheten (Datatilsynet) skal være uavhengig og ikke skal kunne instrueres, se omtalen i kapittel 25.

Den kompetansen som forordningen gir Personvernrådet til å treffe bindende avgjørelser etter artikkel 65, innebærer elementer av myndighetsoverføring, slik dette uttrykket må forstås i Grunnlovens § 115 annet ledds forstand. Det er tale om overføring av myndighet til å treffe bindende avgjørelser rettet mot et uavhengig nasjonalt tilsynsorgan. Departementet legger til grunn at Personvernrådets avgjørelser «bare har rent folkerettslig virkning». Det vises til de parallelle spørsmålene som er vurdert av Lovavdelingen i en uttalelse 27. februar 2018 (snr. 16/2442) knyttet til Prop. 4 S (2017-2018) om tredje energimarkedspakke, jf. særlig uttalelsen punkt 2.1 til 2.4. Lovavdelingen oppsummerer betydningen av at EFTAs overvåkingsorgan i den saken kan rette pålegg mot et underordnet forvaltningsorgan som skal være uavhengig i utøvelsen av sine oppgaver, slik under punkt 2.4:

«Vi kan etter dette ikke se at det, med sikte på ESAs kompetanse i disse sakene, foreligger konkrete forhold som fører til at ESA treffer vedtak som må sies å ha virkning ut over det rent folkerettslige.

Det foreligger etter dette for så vidt et element av myndighetsoverføring, men det er tale om overføring av myndighet til å treffe vedtak med folkerettslig virkning. Overføring av denne typen myndighet faller i denne saken dermed utenfor Grunnloven § 115, jf. avgrensningen i paragrafens annet ledd. Det må like fullt vurderes om denne myndighetsoverføringen kan aksepteres etter Grunnloven § 26».

Forordningen artikkel 52 nr. 1 krever at tilsynsmyndigheten skal utføre sine oppgaver og utøve sin myndighet etter forordningen i «full uavhengighet.» Videre følger det av artikkel 52 nr. 2 at «[n]år medlemmet/medlemmene av hver tilsynsmyndighet utfører sine oppgaver og utøver sin myndighet i samsvar med denne forordning, skal de ikke utsettes for påvirkninger utenfra, verken direkte eller indirekte, og skal ikke anmode om eller motta instrukser fra noen».

Dette innebærer blant annet at Kongen er avskåret fra å instruere Datatilsynet. Etter departementets syn ligger det i dette et ytterligere element av myndighetsoverføring knyttet til Grunnloven § 3. Vi viser her til Lovavdelingens uttalelse om tredje energimarkedspakke punkt 2.5:

«Vi finner spørsmålet tvilsomt, men etter vårt syn er det trolig mest treffende å se det slik at det prinsipielt foreligger et ytterligere element av myndighetsoverføring, knyttet til Grunnloven § 3, ved at ESA gis kompetanse til å treffe pålegg, samtidig som Kongen har plikt til å avstå fra å treffe pålegg om den samme typen spørsmål (jf. tredje elmarkedsdirektiv artikkel 35 nr. 4, slik dette blir gjennomført i norsk rett). Det er videre tale om utøving av en kompetanse av internrettslig art. Dette elementet har imidlertid, som vi kommer tilbake til, begrenset selvstendig betydning for den konstitusjonelle vurderingen.»

De to tilfellene av myndighetsoverføring nevnt over – kompetansen for Personvernrådet til å treffe bindende vedtak rettet mot Datatilsynet og elementene av myndighetsoverføring knyttet til Grunnloven § 3 – må vurderes samlet. Det første tilfellet dreier seg om overføring av myndighet til å treffe avgjørelser med folkerettslig virkning, mens det andre elementet knytter seg til overføring av myndighet av internrettslig karakter. Det er da naturlig å ta utgangspunkt i det inngrepet som skjer i Grunnloven § 3, og vurdere om denne myndighetsoverføringen er «lite inngripende». Kompetansen Personvernrådet har til å treffe vedtak, har så nær sammenheng med inngrepet som skjer i § 3-kompetansen at dette bør trekkes inn som et moment i vurderingen. En slik tilnærming samsvarer med den som er lagt i grunn i Lovavdelingens uttalelse knyttet til tredje energimarkedspakke, jf. over.

Personvernrådet har ennå ikke begynt sin virksomhet, og det er dermed foreløpig ikke klart hvordan det vil utøve beslutningskompetansen etter forordningen. Visse holdepunkter finnes imidlertid i forordningen selv. Det klare utgangspunkt er at det er de nasjonale tilsynsmyndighetene som skal treffe vedtak, enten alene eller gjennom samarbeidsmekanismen. Det er først når det er uenighet mellom tilsynsmyndighetene, eller når et tilsynsorgan ikke anmoder om eller ikke følger en rådgivende uttalelse fra Personvernrådet, at Personvernrådet kan treffe bindende beslutninger. Det kreves videre at spørsmålet aktivt bringes inn for Personvernrådet. I tilfeller som nevnt i forordningen artikkel 65 nr. 1 bokstav a og b kreves det at den berørte tilsynsmyndigheten bringer saken inn for Personvernrådet. I tilfeller som nevnt i bokstav c vil i tillegg Kommisjonen og EFTAs overvåkingsorgan kunne bringe saken inn for Personvernrådet. Personvernrådet vil med andre ord ha karakter av et tvisteløsningsorgan, jf. også overskriften i artikkel 65. Det er videre grunn til å tro at Personvernrådet ikke vil ta stilling til alle spørsmål saken for den nasjonale tilsynsmyndigheten reiser, men heller avklare hvordan et eller flere omstridte punkter i forordningen skal tolkes, jf. formuleringen «beslutningen skal gjelde alle forhold som omfattes av den relevante og begrunnede innsigelsen» (departementets uthevelse) i artikkel 65 nr. 1 bokstav a. Det nasjonale tilsynsorganet vil deretter treffe det endelige vedtaket på bakgrunn av den tolkningen Personvernrådet legger til grunn, jf. artikkel 65 nr. 6.

Departementet vil også peke på at det her er tale om overføring av myndighet på et avgrenset område. Personvernrådets myndighetsutøvelse skjer videre innenfor et nokså detaljert rettslig rammeverk som vil bli gjennomført av norske myndigheter gjennom den nye personopplysningsloven med forskrifter.

Et element i vurderingen av om en myndighetsoverføring er «lite inngripende», er om norske myndigheter har likeverdig deltakelse i beslutningsprosessen. I og med at Personvernrådet er et EU-organ, er det ikke mulig i henhold til EU-retten å gi EØS/EFTA-statenes tilsynsmyndigheter stemmerett. Det følger imidlertid av tilpasningsteksten til forordningen at Datatilsynet skal ha rett til å delta i Personvernrådet og ha alle rettigheter bortsett fra stemmerett. For å avhjelpe manglende stemmerett skal den enkelte EØS/EFTA-stats tilsyn ha rett til å få protokollert sitt standpunkt i saken. Den norske tilsynsmyndigheten (Datatilsynet) vil dermed ha gode muligheter til å påvirke beslutningen fra Personvernrådet.

Personopplysningsvern er en rettighet som er vernet både av den norske Grunnloven § 102 og av flere internasjonale konvensjoner, herunder Den europeiske menneskerettskonvensjon artikkel 8. Den europeiske menneskerettskonvensjon gjelder i hele EØS, og det er i felles europeisk interesse at personopplysningsvernet styrkes. Overføring av myndighet skjer etter departementets syn dermed på et område der Norge ikke på samme måte som for energimarkedet har egne særskilte nasjonale interesser. Personvernet styrkes ved en felleseuropeisk tilnærming.

Når det gjelder inngrepet i Kongens instruksjonsmyndighet etter Grunnloven § 3, innebærer dette prinsipielt at et viktig element av kontroll- og styringsmulighet fra de øverste statsmaktene skjæres bort. Samtidig må tapet av kontrollmulighet sees i sammenheng med andre momenter. Det dreier seg her om å utøve forvaltningsmyndighet på et bestemt og avgrenset saksområde.

Personvernrådet vil også måtte utøve sin myndighet innenfor et nokså detaljert EØS-rettslig rammeverk. Dette rammeverket må godkjennes av norske myndigheter som en folkerettslig forpliktelse som vil bli gjennomført i norsk rett på ordinært vis, i samsvar med det dualistiske prinsippet.

Som det fremgår av forordningen artikkel 54, vil det også være norske myndigheter som skal fastsette regler om Datatilsynets opprettelse og organisering, innenfor de rammene EØS-retten tillater. Videre gir forordningen vid adgang for statene til å fastsette nasjonale saksbehandlingsregler for tilsynsmyndighetene. Datatilsynet vil være bundet av Grunnloven § 102, som ved motstrid vil gå foran et vedtak fra Personvernrådet. Datatilsynets ansatte er underlagt reglene i norsk rett om ansvar for tjenestehandlinger, med ansvar etter blant annet statsansatteloven og straffelovgivningen.

Som det fremgår av Lovavdelingens uttalelse 27. februar 2018, vil det ved vurderingen av om myndighetsoverføringen er mer enn lite inngripende, bli for snevert å skjære ut én begrenset funksjon (Kongens instruksjonsmyndighet) i det settet av ulike virkemidler som statsmaktene har for å regulere Datatilsynets virksomhet ved bruk av generelle regler. Dessuten er Kongen også på en rekke andre områder gjennom lov avskåret fra å utøve instruksjonsmyndighet over forvaltningen. Trekker en inn dette perspektivet, blir den beskjæringen av Kongens instruksjonsmyndighet som det her er tale om, meget beskjeden.

Etter departementets syn er det derfor ikke tvilsomt at myndighetsoverføringen er «lite inngripende».

36.3.3 Utkast til EØS-komiteens beslutning om anvendelse av Kommisjonens beslutninger om tilstrekkelig beskyttelsesnivå og standard personvernbestemmelser

Som nevnt over i punkt 36.2.3 fastsetter utkastet til EØS-komiteens beslutning at Kommisjonens beslutninger om at en tredjestat eller internasjonal organisasjon sikrer et tilstrekkelig beskyttelsesnivå, eller at de ikke lenger gjør det, skal anvendes samtidig i EØS/EFTA-landene som i EU-landene selv om beslutningen ikke er tatt inn i EØS-avtalen, med mindre de reserverer seg mot dette. Dette er en videreføring av tilpasningsteksten til 95-direktivet. Også standard personvernbestemmelser som er vedtatt eller godkjent av Kommisjonen, kan anvendes samtidig i EØS/EFTA-landene som i EU-landene selv om ikke beslutningen er inntatt i EØS-avtalen. Departementet tar sikte på å gjennomføre disse ordningene i nasjonal rett gjennom forskrift som gir Kommisjonens vedtak direkte virkning med mindre Norge reserverer seg mot anvendelsen.

Ettersom Kommisjonens vedtak vil kunne få direkte virkning i Norge, kan dette sees på som en form for myndighetsoverføring. Etter departementets syn er det ikke tvilsomt at dette må anses som lite inngripende overføring av myndighet. Det vises særlig til at overføring skjer på et svært begrenset område. Videre vil norske myndigheter kunne hindre myndighetsoverføringen i det enkelte tilfellet ved å informere Kommisjonen og EFTAs overvåkingsorgan om at Norge ikke vil anvende Kommisjonens beslutning før innlemmelse i EØS-avtalen.

36.3.4 Samlet vurdering

I punkt 36.3.2 og 36.3.3 over er to forskjellige elementer av myndighetsoverføring vurdert i lys av Kongens traktatkompetanse etter Grunnloven 26 (med Stortingets samtykke etter Grunnloven § 26 annet ledd) til å innlemme forordningen i EØS-avtalen. Etter departementets syn er det ikke tvilsomt at verken den myndighetsoverføringen som ligger i Personvernrådets adgang til å treffe folkerettslig bindende beslutninger overfor Datatilsynet, eller muligheten for å gi Kommisjonens beslutninger om tilstrekkelig beskyttelsesnivå og om standard personvernbestemmelser direkte virkning i norsk rett, er mer enn «lite inngripende» hver for seg. Også etter en samlet vurdering av de forskjellige elementene av myndighetsoverføring finner departementet at det ikke er tvilsomt at den myndighetsoverføringen som er beskrevet over, ligger godt innenfor rammene av det Stortinget kan samtykke til etter Grunnloven § 26 annet ledd.

36.4 Konklusjon og tilrådning

Forordningen er EØS-relevant og anses som en oppdatering av det någjeldende 95-direktivet for å tilpasse lovgivningen til den teknologiske utviklingen. Samtidig vil et mer harmonisert regelverk, som forordningen legger opp til, motvirke uoversiktlig og ulik gjennomføring av personvernreglene i de ulike EØS-statene, og dermed styrke norske borgeres rettigheter i møte med europeiske aktører. Det vil også bli enklere for norsk næringsliv som opererer i EØS, å forholde seg til et mer harmonisert regelverk.

Forordningen viderefører i hovedsak de sentrale prinsippene i 95-direktivet, som oppheves ved forordningen, og den gjeldende norske personopplysningsloven. Samtidig er det enkelte materielle endringer, som beskrevet i punkt 2.1. Mange av disse endringene er nødvendige som følge av den teknologiske utviklingen og den sterkt økende bruken av personopplysninger, ikke minst grensekryssende behandling av personopplysninger ved bruk av internett. Disse endringene anses som en positiv utvikling på personvernområdet.

Utvikling av et nytt kontroll- og tilsynsregime på europeisk nivå vil også gjøre det enklere for norsk næringsliv, da de i utgangspunktet bare trenger å forholde seg til ett tilsynsorgan, nemlig tilsynsorganet i den staten der de har sin hovedvirksomhet. Det nye kontroll- og tilsynsregimet vil også føre til en mer harmonisert anvendelse av forordningens regler i hele EØS, noe som må anses som en klar fordel for næringslivet og andre aktører som driver grensekryssende virksomhet.

Som beskrevet over skal Personvernrådet i henhold til utkastet til tilpasningstekst også treffe bindende beslutninger overfor EØS/EFTA-statenes tilsynsorganer. Det har vært vurdert om myndigheten til å fastsette bindende avgjørelser skulle legges til EFTAs overvåkingsorgan. Dette ble imidlertid forkastet, da en slik løsning ville være svært vanskelig å praktisere. EFTAs overvåkingsorgan har heller ikke den nødvendige kompetanse til å treffe denne type beslutninger. Videre ville en slik løsning muligens svekket EØS/EFTA-statenes tilsynsmyndigheters mulighet til å delta i Personvernrådet og tyngden av deres argumenter i diskusjonene. Etter departementets syn er derfor løsningen med at Personvernrådet treffer beslutninger også overfor EØS/EFTA-statene, den klart foretrukne løsningen i dette tilfellet. For å avhjelpe EØS/EFTA-tilsynenes manglende stemmerett er det fastsatt at de kan kreve at deres standpunkter blir protokollert.

Justis- og beredskapsdepartementet anbefaler derfor at Stortinget samtykker til innlemmelse av forordningen med tilpasningstekst i EØS-avtalen.

37 Økonomiske og administrative konsekvenser

37.1 Generelt

Da Kommisjonen i 2012 la frem utkast til nytt regelverk om behandling av personopplysninger, viste Kommisjonen til at en viktig målsetting med forslaget var å redusere administrative byrder og eliminere unødvendige kostnader. Videre skulle retten til personopplysningsvern gjøres mer effektiv, og den enkelte skulle få kontroll over egne opplysninger.[1] Kommisjonen anslo besparelser på om lag 2,3 milliarder euro per år som en følge av reduserte administrative byrder i de nye reglene. Kommisjonen viste da blant annet til forslaget om å lage felles regler for hele EU og å sette opp en ettstedsmekanisme («one-stop-shop»).[2] Kommisjonen viste også til at nye regler trolig vil medføre økte kostnader, særlig for noen behandlingsansvarlige. På den andre siden viste Kommisjonen til at strenge regler for behandling av personopplysninger kan gi EUs økonomi et konkurransefortrinn, da det øker forbrukernes tillit til markedet.

Forordningen slik den ble vedtatt i mai 2016, skiller seg på mange punkter fra den teksten Kommisjonen foreslo i 2012. De overordnede målsettingene med forslaget og de beregningene Kommisjonen hadde gjort, kan likevel etter departementets syn gi noen utgangspunkter for vurderingen av administrative og økonomiske konsekvenser ved gjennomføringen av forordningen. Kommisjonens vurderinger ved fremleggelsen av forslaget viser også hvor sammensatt en vurdering av forordningens økonomiske konsekvenser vil bli. Det må dels sees hen til implementeringskostnader som en følge av nytt regelverk, dels eventuelle kostnadsøkninger og besparelser som en følge av de nye materielle reglene, og dels mer avledede konsekvenser, for eksempel i form av bedrede forutsetninger for økonomisk vekst i Europa over tid.

At nytt regelverk gis i form av en forordning, som høringen viser at mange opplever som vanskelig tilgjengelig, og som i sin form er et uvanlig innslag i norsk lovgivningstradisjon, innebærer i seg selv økonomiske og administrative byrder knyttet til tolkningstvil og usikkerheten dette skaper. Veiledning fra Datatilsynet og uttalelser fra Personvernrådet vil kunne avhjelpe dette. Også atferdsnormer som utvikles på ulike livsområder, vil kunne gi veiledning. På sikt vil det også komme praksis fra både nasjonale tilsynsmyndigheter og domstoler samt EU- og EFTA-domstolen som vil bidra til å avklare tolkningstvil. Videre vil en rekke bedrifter få fordeler av at det nå blir et enhetlig regelverk i EØS, slik at byrder knyttet til å operere i flere EØS-land vil reduseres.

I det følgende vil det skilles mellom vurderingen av konsekvenser av reglene i forordningen og de utfyllende reglene som foreslås i ny personopplysningslov. Når det gjelder de direkte anvendelige reglene i forordningen, er konsekvensene av reglene som nevnt vurdert av EU under utarbeidelse av reglene. Videre må forordningens regler vurderes samlet med sikte på å avgjøre om forordningen som sådan skal tas inn i EØS-avtalen, da det ikke er mulig på nåværende tidspunkt å endre enkeltregler i forordningen.

37.2 Konsekvenser for offentlig sektor

Flere av høringsinstansene har uttalt seg om økonomiske og administrative konsekvenser for offentlig sektor. En rekke høringsinstanser mener at forordningens regler vil innebære betydelige kostnader for offentlig sektor og at spørsmålet ikke er tilstrekkelig utredet i høringsnotatet, dette gjelder Arbeids- og velferdsdirektoratet, Kirkerådet, Arkivverket, Helse Stavanger HF, Helse Nord RHF, Medietilsynet, Tolldirektoratet, Oslo kommune, Den norske legeforening, Utlendingsdirektoratet, IT-politisk råd i Den Norske Dataforening, Skattedirektoratet, Politidirektoratet og KS.

Arbeids- og velferdsdirektoratet viser til at forordningens regler trolig vil innebære store kostnader for direktoratet, men understreker at det er knyttet usikkerhet til beregningene. Høringsinstansen uttaler blant annet følgende:

«Ny personvernlov med personvernforordningen, setter strengere krav til styringssystem, dokumentasjon av behandlinger og dataflyt og utviklingsprosessen. Vår vurdering er at dette arbeidet har en engangskostnad på mellom 5 og 10 millioner kroner og økt forvaltningsomfang tilsvarende på 3-5 årsverk.

Det er knyttet stor usikkerhet til kostnadsanslagene for IT-løsningene og det vil i det videre arbeidet både vurderes alternative løsningstilnærminger og om kravene kan løses tilfredsstillende med enklere løsninger. Det vil også bli vurdert om det er mest hensiktsmessig å forbedre dagens IT-løsninger for å møte kravene eller om det er bedre å møte kravene gjennom å erstatte enkelte av dagens IT-løsninger med nye. Det må også vurderes om deler av kravene er riktig å se sammen med nye funksjonelle behov, og at gjennomføring og eventuelt også finansiering av lovkravene knyttes til nye behov.

Vår vurdering på nåværende tidspunkt er at totalkostnaden for at NAVs IT-løsninger skal møte kravene i ny personopplysninglov er mellom 90 og 140 millioner kroner.»

Også Politidirektoratet mener det nye regelverket vil innebære store administrative og økonomiske konsekvenser, og det pekes særlig på behovet for endringer i styrende dokumenter, kompetanseheving og endrede arbeidsprosesser. Høringsinstansen uttaler blant annet følgende:

«Etter direktoratets vurdering vil det nye regelverket generelt medføre behov for endringer i eksisterende styrende dokumenter og instrukser og utarbeidelse av nye, både internt i direktoratet og til underliggende organ, og i tillegg arbeid knyttet til innføring av nye krav til IKT-utviklingsprosjekter. Videre vil det være behov for endrede/nye arbeidsprosesser og rutiner og opplæring/kompetanseheving. Våre erfaringer med innføring av politiregisterloven tilsier at endring av arbeidsprosesser og kompetanseheving er ressurskrevende og vil berøre mange deler av organisasjonen, og at dette arbeidet er svært sentralt for en vellykket innføring. I Ot.prp. 108 (2008–2009) om lov om behandling av opplysninger i politiet og påtalemyndigheten (politiregisterloven) var de økonomiske og administrative kostnadene særlig anslått ut fra behov for IKT-tilpasninger og ansettelse av personvernrådgivere, mens i praksis har kostnader knyttet til styrende dokumenter, kompetanseheving og arbeidsprosesser vist seg å utgjøre en betydelig del av de totale kostnadene for politiet.»

Høringen har også vist at gjennomføring av forordningen i norsk rett vil innebære kostnader for kommunene. KS uttaler blant annet følgende i sin høringsuttalelse:

«Ettersom konsekvensene for teknisk utvikling ikke er kjent, er det heller ikke mulig å si noe om hvorvidt dette er utgifter man kan håndtere innenfor eksisterende budsjettrammer eller ikke.»

Kirkerådet mener også at kommunene kan bli påført nye kostnader og peker særlig på kravet om personvernombud. Høringsinstansen uttaler følgende om dette:

«Kirkerådet bemerker at kommunene i Norge er pålagt å dekke kirkelig fellesråds utgifter til «administrasjon og kontorhold», jf. kirkeloven § 15 bokstav d. Ca. 420 kirkelige fellesråd i Den norske kirke vil trolig måtte opprette personvernombud eller gjøre innkjøp av slike tjenester. Siden kommunen etter loven har plikt til å dekke utgifter til administrasjon og kontorhold, vil innføring av plikt, dersom denne også vil gjelde kirkelig fellesråd, kunne medføre en ikke ubetydelig kostnad for kommunene.»

Høringen har vist at overgangen til et nytt regelverk vil innebære kostnader for offentlig sektor, blant annet knyttet til opplæring av ansatte og gjennomgåelse av rutiner og systemer. Det fremgår også at det er knyttet usikkerhet til hvor store kostnadene i forbindelse med tilpasning til det nye regelverket vil bli. Departementet fastholder at forordningen innebærer en videreføring av gjeldende rett på en rekke punkter, noe som begrenser kostnadene knyttet til innføringen av regelverket. Departementet påpeker videre at overgangen til forordningens regler også innebærer forenklinger, for eksempel ved at melde- og konsesjonsplikten avskaffes.

Departementet er enig med Kirkerådet i at plikten til å utpeke personvernombud etter forordningen artikkel 37, som pålegger behandlingsansvarlige og databehandlere plikt til å utpeke personvernombud i alle tilfeller hvor en offentlig myndighet eller et offentlig organ forestår behandlingen, vil innebære kostnader for offentlige organer. Kostnadene vil kunne begrenses noe ved at forordningen åpner for at flere aktører kan ha felles personvernombud.

Det er usikkert hvor store kostnadene for de ulike virksomhetene i offentlig sektor vil bli. Eventuelle implementeringskostnader vil dekkes innenfor berørte departementers gjeldende budsjettrammer.

Departementet foreslår i hovedsak nasjonale regler som viderefører gjeldende rett, noe som innebærer at forslagene ikke vil ha vesentlige økonomiske og administrative kostnader. Det foreslås nasjonale regler om at reglene om overtredelsesgebyrer skal gjelde tilsvarende for offentlige organer. Dette er en videreføring av gjeldende rett, men det at den øvre grensen for hvor store gebyrer som kan ilegges i det enkelte tilfelle, heves betraktelig, innebærer at offentlige organer kan bli ilagt langt høyere gebyrer enn etter gjeldende rett. Slike gebyrer vil imidlertid tilfalle statskassen. Bortfallet av straffansvar vil innebære færre oppgaver for politi og påtalemyndighet. Departementet kjenner imidlertid til få straffesaker om overtredelser av den gjeldende straffebestemmelsen i personopplysningsloven.

37.3 Særlig om konsekvenser for Datatilsynet

Datatilsynet vil få økte veilednings- og informasjonsoppgaver samt nye forvaltningsoppgaver etter forordningen. Datatilsynets arbeidsmåter og oppgaver endres i både omfang og innhold. Det må påregnes behov for økt bemanning for å håndtere nye oppgaver og økt sakstilfang knyttet blant annet til forhåndsdrøftinger, utarbeidelse av atferdsnormer, behandling av saker om lovovertredelser og ileggelse av administrative sanksjoner, deltakelse i sertifiseringsarbeid og generell veiledning om nytt regelverk. Fordi sanksjonene ved brudd på personvernregelverket kan bli svært tyngende, må det påregnes større behov for bistand fra Datatilsynet når nye ordninger og systemer som forutsetter behandling av personopplysninger, planlegges. I tillegg vil det være behov for å øke ressursene til utvikling og drift av nye IKT-systemer, nye digitale kommunikasjonsløsninger, flere nye informasjons- og kommunikasjonstiltak og kompetanseutvikling. Regelverket forutsetter at de nasjonale tilsynsmyndighetene deltar aktivt i det europeiske personvernsamarbeidet, og også samarbeider med hverandre om håndhevelse av reglene. Det må påregnes at Datatilsynet vil få betydelig økte kostnader til samhandling med andre personvernmyndigheter og deltagelse i internasjonalt personvernarbeid. Datatilsynet ble i 2017 gitt 7,5 millioner i økte bevilgninger for å kunne drive en rekke ulike aktiviteter knyttet til gjennomføringen av forordningen i norsk rett. I budsjettet for 2018 er det vedtatt å videreføre økningen fra 2017 på 7,5 millioner kroner, samt å øke posten med ytterligere 3,5 millioner kroner for å dekke Datatilsynets økte kostnader ved gjennomføring av nytt personvernregelverk. Midlene skal blant annet dekke intern kompetanseutvikling, ekstraordinære informasjonstiltak, utvikling av saksbehandlingsrutiner tilpasset nytt regelverk, utvikling av digitale kommunikasjonsløsninger og økt deltakelse i internasjonalt personvernarbeid. Det forutsettes at eventuelle ytterligere budsjettmessige konsekvenser for Datatilsynet vil bli dekket innenfor gjeldende budsjettrammer.

Den nye personopplysningslovgivningen innebærer en betydelig økning av den øvre grensen for overtredelsesgebyr. Den øvre grensen for overtredelsesgebyr økes fra 10 G til 20 millioner euro, eller 4 % av foretakets samlede globale årsomsetning fra forutgående regnskapsår. Det er knyttet usikkerhet til hvor store overtredelsesgebyrer som vil bli ilagt i praksis. Størrelsen på gebyrene vil avhenge av flere ulike faktorer. Datatilsynet må i hver enkelt sak ta hensyn til momentene som er listet opp i forordningen artikkel 83 nr. 2. Datatilsynet vil trolig også se hen til utviklingen i EØS, herunder retningslinjer og praksis fra Personvernrådet. Gebyrene vil på tilsvarende måte som i dag tilfalle statskassen.

Forslaget til nasjonale bestemmelser innebærer ingen særlige økonomiske og administrative konsekvenser for Datatilsynet, da forslagene i stor grad er en videreføring av gjeldende rett.

37.4 Konsekvenser for privat sektor

Departementet har merket seg at flere av høringsinstansene peker på at forordningen vil kunne ha betydelige økonomiske konsekvenser for private aktører, og at omfanget av slike konsekvenser ikke er tilstrekkelig utredet i høringsnotatet. Dette gjelder Arbeidsgiverforeningen Spekter, Juristforbundet, Nærings- og fiskeridepartementet, Næringslivets Hovedorganisasjon, Advokatforeningen, Medietilsynet, Coop Norge SA, Den norske legeforening, Sporveien Oslo AS, Rederiforbundet og IT-politisk råd i Den Norske Dataforening. Advokatforeningen uttaler blant annet følgende om spørsmålet:

«Det må forventes både betydelige økte kostnader og administrative konsekvenser ved flere endrede og nye krav etter forordningen. Utover plikten til å utnevne en personvernrådgiver, må også plikten til omfattende protokollering av behandlingsaktiviteter, gjennomføring av personvernkonsekvensutredning, innføring av nye tiltak som sikrer innebygd personvern og dataportabilitet mv, samt endring av eksisterende IT-systemer, endring av standarddokumentasjon og eksisterende databehandleravtaler og en lang rekke andre nye og utvidede forpliktelser, forventes å innebære økte kostnader og få betydelige organisatoriske konsekvenser for de fleste offentlige og private aktører.

Oppgavene som er forbundet med gjennomføringen av slike helt nye eller utvidede krav, vil innebære et betydelig behov for omorganisering, innhenting av nye ressurser, innføring av nye rutiner, utdanning av personell, innkjøp av tjenester mv. hos langt de fleste foretak.»

Finans Norge uttaler følgende når det gjelder konsekvenser for finanssektoren:

«Etter Finans Norges syn må det forventes betydelige økonomiske og administrative konsekvenser som følge av flere endrede og nye krav etter forordningen. Forordningens krav om personvernkonsekvensutredning, innføring av nye tiltak som sikrer innebygd personvern, dataportabilitet og endring av eksisterende IT-systemer vil alene medføre betydelige økonomiske og administrative kostnader, i tillegg kommer blant annet endring av dokumentasjon, gjennomgang, endring av databehandleravtaler m.m. og ansettelse av personvernrådgiver. For finansnæringen antas det å beløpe seg til flere hundre millioner.»

Næringslivets Hovedorganisasjon trekker frem kostnader knyttet til gjennomføring av forordningen, men peker også på at for bedrifter som opererer i flere land i EØS, vil regelverket ha positive effekter. Næringslivets Hovedorganisasjon uttaler blant annet følgende:

«Forordningen skal styrke personvernet i en digital hverdag, der opplysninger om personer brukes i stadig større utstrekning og samtidig blir utvekslet over landegrenser. Samtidig er det klart at opplysninger om personer er en helt nødvendig – og fullt ut legitim – del av virksomheten i nesten enhver bedrift.

Den nye loven vil gi svært mange bedrifter store utfordringer med å etterleve regelverket. I realiteten vil nok en stor del av forpliktelsene i dagens lov være lik forpliktelsene i den nye loven. Høringsnotatet tar i stor grad dette som utgangspunkt. Det er likevel ikke tvil om at også realiteter vil bli endret.

De formelle forskjellene mellom de to lovene er imidlertid store. Vi får en helt ny lov med en helt annen struktur enn tidligere. Den vil ha formuleringer som vi normalt ikke finner i norskutviklet lovverk. Avviket fra alminnelig norsk lovgivningsteknikk gjør det vanskeligere enn ellers å forstå innholdet i loven. Den veiledningen man vanligvis vil finne i forarbeidene er nær fraværende.

Samlet gjør dette at gjennomføring av personvernforordningen vil påføre norsk næringsliv store kostnader, både ved omstilling og drift. Det er ikke bare snakk om å sette seg inn i og forstå et komplisert regelverk. Bedriftene må endre og implementere rutiner, og de må endre systemløsninger, for å nevne noe. Reglene vil gjelde for omtrent alle norske bedrifter. For bedrifter med virksomhet i flere EØS-land, er harmonisering av regelverket kjærkomment.»

Departementet vil i denne sammenhengen peke på at forordningen i betydelig utstrekning viderefører det gjeldende personopplysningsregelverket. Det synes likevel klart at innføringen av nytt regelverk vil medføre kostnader for mange virksomheter, for eksempel knyttet til opplæring av ansatte i det nye regelverket og gjennomgåelser av gjeldende praksis og rutiner. Samtidig oppstiller forordningen enkelte nye plikter som vil kunne medføre administrative konsekvenser og økonomiske kostnader. Private aktører er også pålagt å utpeke personvernombud dersom de nærmere vilkårene for dette i artikkel 37 er oppfylt. For aktører som ikke allerede har personvernombud, men som er pålagt å ha dette etter forordningen, vil dette utgjøre en ny økonomisk og administrativ kostnad.

En rekke høringsinstanser mener regelverket vil innebære økte kostnader, men har til dels ulike vurderinger av hvilke regler som vil innebære størst kostnader. Det finnes også rapporter utarbeidet av private aktører[3] der kostnadene knyttet til implementering av forordningen er beregnet, som indikerer store kostnader knyttet til etterlevelse av forordningen i den enkelte bedrift. Etter departementets syn hefter det stor usikkerhet ved slike beregninger, og videre vil kostnadene for den enkelte bedrift trolig i stor grad avhenge av i hvilken grad bedriftene etterlever gjeldende regelverk. Det synes likevel klart at for store bedrifter som behandler større mengder personopplysninger, vil kostnadene knyttet til etterlevelse kunne være betydelige, særlig i en overgangsfase ved tilpasningen til nytt regelverk. Også mindre bedrifter vil trolig måtte bruke ressurser på tilpasningen til nytt regelverk, for eksempel ved å kjøpe inn bistand fra eksterne aktører. De positive virkningene, herunder konkurransefordeler, vil trolig være størst for bedrifter der behandling av personopplysninger er en del av deres kjernevirksomhet. Det kan for eksempel tenkes at for banker, forsikringsselskaper eller lignende kan etterlevelse av personvernregelverket gi høyere tillit hos forbrukerne, mens det for andre typer virksomheter, som håndverksbedrifter, restauranter eller lignende, i mindre grad vil påvirke forbrukernes tillit til virksomheten som sådan. Forordningens regler innebærer da også på flere punkter mindre omfattende krav for mindre bedrifter som ikke har behandling av personopplysninger som en del av sin kjernevirksomhet.

En del bedrifter vil trolig som en følge av innføring av forordningen rette større oppmerksomhet mot etterlevelse av personvernregler som også følger av gjeldende rett. Dette vil kunne medføre kostnader. En slik økt oppmerksomhet mot å etterleve reglene på området, og dermed gjøre retten til personopplysningsvern mer effektiv i praksis, er imidlertid også et av formålene med forordningen.

Etter departementets vurdering synes forordningen å medføre både administrative lettelser, for eksempel ved avskaffelse av meldeplikt, konsesjonsplikt og innføring av ettstedsmekanismen, og økte administrative byrder, herunder byrden ved å implementere et nytt regelverk. Departementet mener videre at den overordnede målsettingen om å sikre et konkurransedyktig næringsliv på sikt må tillegges vekt ved vurderingen av byrdene som legges på bedriftene. Slik også Næringslivets Hovedorganisasjon er inne på, vil et harmonisert regelverk være en fordel for bedrifter som opererer i flere land innenfor EØS. Det er videre satt i verk tiltak for å avbøte negative konsekvenser for næringslivet. Datatilsynet har utarbeidet informasjonsmateriell som ligger tilgjengelig på deres nettsider, avholder en rekke kurs om temaet og gir også tilpasset veiledning til bedrifter og enkeltpersoner. Videre deltar Datatilsynet i Artikkel 29-gruppen, som består av alle de europeiske tilsynsmyndighetene. Artikkel 29-gruppen har også gitt ut en rekke veiledere til forordningens regler som er offentlig tilgjengelige. Etter departementets syn må det også ved vurderingen av økonomiske og administrative konsekvenser av å gjennomføre forordningen i norsk rett legges vekt på at gjennomføring av forordningens regler på sikt vil være en forutsetning for at Norge skal være del av et felles europeisk område der personopplysninger kan utveksles fritt. Dette vil trolig ha store positive økonomiske konsekvenser for norske virksomheter.

Når det gjelder de nasjonale reglene som foreslås, vil disse ikke innebære vesentlige konsekvenser for privat sektor, da reglene i hovedsak vil innebære en videreføring av gjeldende rett.

38 Merknader til de enkelte bestemmelsene

38.1 Ny personopplysningslov

Til § 1 Gjennomføring av personvernforordningen

Det følger av bestemmelsen at personvernforordningen, slik den er inntatt i EØS-avtalen og med de tilpasninger som følger av EØS-komiteens beslutning om innlemmelse og EØS-avtalen for øvrig, gjelder som norsk lov. Forordningen er foreløpig ikke innlemmet i EØS-avtalen, og det er derfor ikke formelt besluttet i hvilket nummer rettsakten skal tas inn. Forslaget her bygger på at rettsakten tas inn i samme nummer som 95-direktivet. Dette er også løsningen som er valgt i utkastet til beslutning fra EØS-komiteen om innlemmelse av forordningen i EØS-avtalen.

Henvisninger i loven til personvernforordningen skal forstås som henvisninger til personvernforordningen slik den er innlemmet i EØS-avtalen og gjennomført i § 1.

Til § 2 Saklig virkeområde

Første ledd bestemmer at loven og forordningen gjelder ved helt eller delvis automatisert behandling av personopplysninger og på ikke-automatisert behandling av personopplysninger som inngår i eller skal inngå i et register, dersom ikke annet er bestemt i eller i medhold av lov. Loven og forordningen gjelder ikke for behandling av personopplysninger om avdøde personer, se nærmere om dette i punkt 4.5.3.

Ordlyden i første punktum tilsvarer forordningen artikkel 2 nr. 1, og skal tolkes likt som denne. Bestemmelsen går imidlertid foran unntakene i forordningen artikkel 2 nr. 2, som dermed ikke får selvstendig betydning. Dersom det skal gjelde unntak fra virkeområdet i tråd med artikkel 2 nr. 2, må dette fastsettes i eller med hjemmel i lov, jf. annet punktum. Første ledd innebærer dermed at loven og forordningen også gjelder utenfor EØS-avtalens saklige virkeområde, i motsetning til det som ellers ville fulgt av forordningen artikkel 2 nr. 2 bokstav a At loven gjelder både innenfor og utenfor EØS-avtalens virkeområde, er en videreføring av gjeldende rett etter gjeldende personopplysningslov. Det foreslås likevel en bestemmelse i tredje ledd om at forordningen artikkel 56 og kapittel VII bare skal gjelde innenfor EØS-avtalens virkeområde. Det vises til spesialmerknadene om dette under.

Første ledd innebærer videre at heller ikke forordningen artikkel 2 nr. 2 bokstav b c og d får noen selvstendig betydning. Etter artikkel 2 nr. 2 bokstav b, c og d gjelder forordningen ikke for henholdsvis aktiviteter i forbindelse med EUs felles utenriks- og sikkerhetspolitikk, i forbindelse med rent personlige eller familiemessige aktiviteter og på området for direktiv (EU) 2016/680. Behandlinger som ellers ville vært unntatt etter artikkel 2 nr. 2 bokstav b, c og d, er omfattet av loven og forordningens regler med mindre noe annet er bestemt i eller i medhold av lov. Når det gjelder unntaket i bokstav c for rent personlige eller familiemessige aktiviteter, er det fastsatt i § 2 annet ledd bokstav a at loven eller forordningen ikke gjelder, se merknadene til denne bestemmelsen under. Det er ikke fastsatt generelle unntak tilsvarende artikkel 2 nr. 2 bokstav a, b og d.

At forordningen og loven gjelder med mindre annet er bestemt i eller med hjemmel i lov, innebærer at det må sees hen til eventuell særlovgivning som helt eller delvis gjør unntak fra forordningen og loven på nærmere bestemte områder. Det understrekes at forordningen kun kan fravikes i den utstrekning den åpner for det. I tilfelle konflikt vil forordningen gå foran bestemmelser i annen lov som regulerer samme forhold, jf. EØS-loven § 2 og merknaden til fjerde ledd under.

Annet ledd lister opp tilfeller hvor det gjøres nærmere avgrensede unntak fra hovedregelen i første ledd.

Bokstav a bestemmer at loven og forordningen ikke gjelder ved behandling av personopplysninger som utføres av en fysisk person som ledd i rent personlige eller familiemessige aktiviteter. Unntaket tilsvarer forordningen artikkel 2 nr. 2 bokstav c.

Bokstav b bestemmer at loven og forordningen ikke gjelder for saker som behandles eller avgjøres i medhold av rettspleielovene (domstolloven, straffeprosessloven, tvisteloven og tvangsfullbyrdelsesloven mv.). Bestemmelsen viderefører gjeldende rett etter gjeldende personopplysningsforskrift § 1-3.

Tredje ledd bestemmer at forordningen artikkel 56 og kapittel VII bare gjelder innenfor EØS-avtalens virkeområde. Forordningen kapittel VII inneholder bestemmelser om blant annet nasjonale tilsynsmyndigheters rett og plikt til å samarbeide med hverandre og Personvernrådets rett og plikt til å avsi bindende beslutninger i tilfeller av uenighet mellom nasjonale tilsynsmyndigheter, og det vil ikke være adgang til å gi disse bestemmelsene anvendelse utenfor EØS-avtalens virkeområde.

Fjerde ledd bestemmer at bestemmelsene i forordningen i tilfelle konflikt skal gå foran bestemmelser i annen lov som regulerer samme forhold. Bestemmelsen har kun pedagogisk betydning, da det samme følger av EØS-loven § 2. Bestemmelsen innebærer et unntak fra bestemmelsen i første ledd om at loven og forordningen bare gjelder så langt ikke annet er bestemt i lov, ved at slik lov likevel må vike hvis den er i strid med forordningen.

Femte ledd inneholder en forskriftshjemmel hvoretter Kongen kan fastsette at loven eller deler av den ikke skal gjelde for bestemte institusjoner og saksområder.

Til § 3 Forholdet til ytrings- og informasjonsfriheten

Bestemmelsen gjør av hensyn til ytrings- og informasjonsfriheten unntak fra de fleste av forordningens regler ved behandling utelukkende for journalistiske formål eller med henblikk på akademiske, kunstneriske eller litterære ytringer, jf. forordningen artikkel 85. Anvendelsesområdet for journalistiske, kunstneriske og litterære formål er det samme som etter gjeldende rett, herunder at bestemmelsen kun kommer til anvendelse for behandling som skjer utelukkende for disse formålene, se Ot.prp. nr. 92 (1998–99) side 107–108 og Prop. 47 L (2011–2012) side 41. I tråd med forordningen artikkel 85 omfatter bestemmelsen også behandling utelukkende med henblikk på akademiske ytringer. Akademiske ytringer skal forstås på samme måte som i forordningen artikkel 85, jf. punkt 14.2 over.

De materielle pliktbestemmelsene i forordningen som gis anvendelse, er artikkel 24 (den behandlingsansvarliges ansvar), artikkel 26 (felles behandlingsansvarlige), artikkel 28 (databehandler), artikkel 29 (behandling som utføres for den behandlingsansvarlige eller databehandleren) og artikkel 32 (sikkerhet ved behandlingen). I tillegg gjelder forordningens bestemmelser om atferdsnormer og sertifisering. Slike ordninger er frivillige, men kan lette oppfyllelsen av de forpliktelsene som er gjort gjeldende.

Endelig gjelder forordningens og lovens regler om tilsynsmyndigheten og sanksjoner mv., jf. forordningen kapittel VI og VIII og lovens kapittel 6 og 7, men bare i samme utstrekning som de materielle bestemmelsene. Det understrekes at Datatilsynets tilsynskompetanse, herunder adgangen til å få tilgang til opplysninger og lokaler mv., må utøves i tråd med de alminnelige skrankene for inngrep ytrings- og informasjonsfriheten, jf. Grunnloven § 100 og EMK artikkel 10.

Til § 4 Geografisk virkeområde

Bestemmelsen fastsetter lovens geografiske virkeområde. Bestemmelsen konsumerer reglene om geografisk virkeområde i forordningen artikkel 3. Artikkel 3 får dermed ingen selvstendig betydning for fastleggelse av lovens geografiske virkeområde, men som det fremgår under må det likevel sees hen til artikkel 3 ved tolkningen av bestemmelsen.

Første ledd er hovedregelen om lovens geografiske anvendelsesområde og bygger på etableringslandsprinsippet, jf. forordningen artikkel 3 nr. 1. Første ledd tilsvarer forordningen artikkel 3 nr. 1 og bestemmer at loven gjelder for behandling av personopplysninger som utføres i forbindelse med aktivitetene ved virksomheten til en behandlingsansvarlig eller en databehandler i Norge, uavhengig av om hvor behandlingen finner sted i EØS eller ikke. Bestemmelsen skal forstås på samme måte som forordningen artikkel 3 nr. 1, jf. også fortalepunkt 22 som gir anvisning på den nærmere forståelsen av bestemmelsens nedslagsfelt.

Annet ledd tilsvarer forordningen artikkel 3 nr. 2 og bestemmer at loven på nærmere vilkår også gjelder for behandling av personopplysninger i tilfeller hvor den behandlingsansvarlige eller databehandleren ikke er etablert i EØS. Vilkårene for at loven skal gjelde i disse tilfellene, er at den registrerte befinner seg i Norge, og at behandlingen er knyttet til a) tilbud av varer eller tjenester til slike registrerte i Norge, uavhengig av om det kreves betaling fra den registrerte eller ikke, eller b) monitorering av deres atferd, i den grad deres atferd finner sted i Norge. Bestemmelsen skal forstås på samme måte som forordningen artikkel 3 nr. 2, jf. også fortalepunkt 24. I fortalepunkt 24 er det gitt en anvisning på momenter som skal vektlegges ved vurderingen av om en behandlingsaktivitet kan anses som monitorering av de registrertes atferd.

Tredje ledd bestemmer at loven og personvernforordningen også gjelder for behandling av personopplysninger som utføres av en behandlingsansvarlig som ikke er etablert i Norge, men på et sted der norsk rett får anvendelse i henhold til folkeretten. Bestemmelsen skal forstås på samme måte som forordningen artikkel 3 nr. 3, jf. også fortalepunkt 25.

Fjerde ledd gir hjemmel for forskrift om anvendelse av loven på Svalbard og Jan Mayen. Kongen kan i forskrift fastsette særlige regler om behandling av personopplysninger for disse områdene.

Til § 5 Barns samtykke i forbindelse med informasjonssamfunnstjenester

I forordningen artikkel 8 nr. 1 fastsettes det en særskilt aldersgrense på 16 år for barns samtykke i forbindelse med informasjonssamfunnstjenester. Det åpnes for at aldersgrensen i nasjonal rett kan settes lavere enn grensen på 16 år som følger av artikkel 8. Etter forslaget her settes aldersgrensen i norsk rett til 13 år. Aldersgrensen representerer dermed et lovbestemt unntak fra utgangspunktet om mindreåriges rettslige handleevne, jf. vergemålsloven § 9, som gjelder innenfor virkeområdet til forordningen artikkel 8. Artikkel 8 gjelder ved barns samtykke i forbindelse med informasjonssamfunnstjenester. I forordningen artikkel 4 nr. 25 er «informasjonssamfunnstjeneste» definert som «en tjeneste som definert i artikkel 1 nr.1 bokstav b i europaparlaments- og rådsdirektiv (EU) 2015/1535». Direktiv (EU) 2015/1535 artikkel 1 nr. 1 bokstav b lyder i dansk språkversjon slik:

««tjeneste»: enhver tjeneste i informationssamfundet, dvs. enhver tjeneste, der normalt ydes mod betaling, og som teleformidles ad elektronisk vej på individuel anmodning fra en tjenestemodtager.

Med henblik på denne definition forstås ved:

i) «teleformidling»: at en tjeneste ydes, uden at parterne er til stede samtidig

ii) «ad elektronisk vej»: at en tjeneste fra afsendelsesstedet sendes og på bestemmelsesstedet modtages ved hjælp af elektronisk databehandlingsudstyr (herunder digital komprimering) og datalagringsudstyr, og som udelukkende sendes, rutes og modtages via tråd, radio, optiske midler eller andre elektromagnetiske midler

iii) «på individuel anmodning fra en tjenestemodtager»: at en tjeneste ydes ved transmission af data på individuel anmodning.»

Til § 6 Behandling av særlige kategorier av personopplysninger i arbeidsforhold

Bestemmelsen åpner på grunnlag av forordningen artikkel 9 nr. 2 bokstav b for behandling av særlige kategorier personopplysninger, jf. artikkel 9 nr. 1. Bestemmelsen gjelder kun behandling av opplysninger på arbeidsrettens område, ikke for trygderettslige eller sosialrettslige formål, som også reguleres i artikkel 9 nr. 2 bokstav b. Bestemmelsen viderefører gjeldende rett etter personopplysningsloven § 9 første ledd bokstav f, se Ot.prp. nr. 92 (1998–99) side 110–111.

Det understrekes at bestemmelsen bare gjør unntak fra forbudet mot behandling av særlige kategorier av personopplysninger i artikkel 9 nr. 1. Det er altså på vanlig måte nødvendig å påvise et behandlingsgrunnlag etter artikkel 6 nr. 1. Bestemmelsen vil ikke utgjøre supplerende rettsgrunnlag etter artikkel 6 nr. 3.

Til § 7 Behandling av særlige kategorier av personopplysninger etter tillatelse eller forskrift

Bestemmelsen er fastsatt på grunnlag av forordningen artikkel 9 nr. 2 bokstav g og åpner for unntak fra forbudet mot behandling av særlige kategorier av opplysninger av hensyn til viktige allmenne interesser.

Første ledd åpner for at Datatilsynet i særlige tilfeller kan tillate behandlinger av særlige kategorier av personopplysninger dersom behandlingen er nødvendig av hensyn til viktige allmenne interesser. Bestemmelsen er en sikkerhetsventil som åpner for at Datatilsynet etter en konkret vurdering kan tillate én eller flere spesifikke behandlinger av særlige kategorier av personopplysninger der det ikke foreligger andre lov- eller forskriftsbestemmelser som åpner for behandling av slike personopplysninger.

Vilkåret «særlige tilfeller» innebærer at det må foretas en helhetsvurdering av hvorvidt tillatelse skal gis. I denne vurderingen må særlig vekten av den aktuelle allmenne interessen tas i betraktning, samt muligheten for å lov- eller forskriftsregulere behandlingen. Tillatelse skal som den klare hovedregel bare gis i tilfeller der det ikke er tilstrekkelig tid til å forberede og vedta lov eller forskrift som regulerer behandlingen, eller der behandlingssituasjonen er så unik at det ikke vil være naturlig å regulere den gjennom generelle regler i lov eller forskrift.

Tillatelsen kan gjøres tidsbegrenset. Dersom tillatelsen gis på bakgrunn av at det på vedtakstidspunktet ikke er tilstrekkelig tid til å forberede og vedta lov eller forskrift om behandlingen, bør tillatelsen være tidsbegrenset.

Datatilsynet skal fastsette vilkår for å verne den registrertes grunnleggende rettigheter og interesser, jf. første ledd annet punktum.

Annet ledd gir hjemmel for forskrifter om unntak fra forbudet i forordningen artikkel 9 nr. 1 når det er nødvendig av hensyn til viktige allmenne interesser, jf. forordningen artikkel 9 nr. 2 bokstav g. Det skal i forskriften fastsettes egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser.

Departementet understreker at tillatelser og forskrifter etter § 7 kun gjelder unntak fra forbudet i artikkel 9 nr. 1. Det vil si at det på vanlig måte er nødvendig å påvise et behandlingsgrunnlag etter artikkel 6 nr. 1. En tillatelse eller forskrift vil ikke kunne utgjøre supplerende rettsgrunnlag for behandling på grunnlag av artikkel 6 nr. 1 bokstav c og e.

Til § 8 Behandling av personopplysninger uten samtykke for arkivformål i allmennhetens interesse, formål knyttet til vitenskapelig eller historisk forskning eller statistiske formål

Første punktum gir supplerende rettsgrunnlag for behandling av personopplysninger som er nødvendig for arkivformål i allmennhetens interesse, formål knyttet til vitenskapelig eller historisk forskning eller statistiske formål på grunnlag av artikkel 6 nr. 1 bokstav e, jf. nr. 3. At behandlingen kan skje på grunnlag av artikkel 6 nr. 1 bokstav e, innebærer at det ikke er nødvendig med den registrertes samtykke. Bestemmelsen tar sikte på å videreføre adgangen etter gjeldende rett til å behandle personopplysninger for arkiv-, forsknings- og statistikkformål i allmennhetens interesse, jf. personopplysningsloven § 8 bokstav d. Bestemmelsen gjelder ved siden av andre supplerende rettsgrunnlag for arkiv, forsknings- og statistikkformål, og begrenser heller ikke adgangen til å behandle personopplysninger for disse formålene på grunnlag av de andre alternativene i artikkel 6 nr. 1.

Arkivformål i allmennhetens interesse, formål knyttet til vitenskapelig eller historisk forskning og statistiske formål skal forstås på samme måte som i forordningen, jf. blant annet forordningen artikkel 5 nr. 1 bokstav b og artikkel 89 nr. 1, jf. fortalepunkt 158 til 162.

Annet punktum viser av pedagogiske grunner til at behandlingen må oppfylle kravene i forordningen artikkel 89 nr. 1.

Til § 9 Behandling av særlige kategorier av personopplysninger uten samtykke for arkivformål i allmennhetens interesse, formål knyttet til vitenskapelig eller historisk forskning eller statistiske formål

Bestemmelsen åpner på nærmere vilkår for behandling av særlige kategorier av personopplysninger, uten at den registrerte samtykker, for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål, jf. forordningen artikkel 9 nr. 2 bokstav j.

Første ledd første punktum angir som grunnvilkår for behandlingen at samfunnets interesse i at behandlingen finner sted, klart overstiger ulempene for den enkelte. Dette vilkåret viderefører gjeldende rett etter personopplysningsloven § 9 første ledd bokstav h. Første ledd annet punktum henviser av pedagogiske årsaker til den behandlingsansvarliges forpliktelser etter forordningen artikkel 89 nr. 1.

Annet ledd pålegger den behandlingsansvarlige en plikt til å rådføre seg med personvernombudet etter forordningen artikkel 37 eller en annen som oppfyller vilkårene i forordningen artikkel 37 nr. 5 og 6 og 38 nr. 3 første og annet punktum før behandling av særlige kategorier av personopplysninger etter første ledd. Plikten til å rådføring innebærer at den behandlingsansvarlige må innhente personvernombudets eller rådgiverens konkrete vurdering av den planlagte behandlingen og om denne etter ombudets eller rådgiverens synspunkt vil være i tråd med forordningens eller lovens krav, jf. annet punktum. Ombudet eller rådgiveren trenger imidlertid ikke å gi noen formell godkjennelse eller tilrådning.

Det vil fortsatt være den behandlingsansvarliges ansvar å sørge for at behandlingen er lovlig. Personvernombudets eller rådgiverens vurdering er ikke bindende for den behandlingsansvarlige. Den behandlingsansvarlige kan dermed la være å følge anbefalingene uten at det i seg selv er i strid med loven. Tilsvarende kan Datatilsynet komme til at behandlingen er ulovlig, og eventuelt ilegge sanksjoner, selv om den behandlingsansvarlige har fulgt ombudets eller rådgiverens anbefalinger.

Bestemmelsen oppstiller ingen formelle krav til innholdet i ombudets ellers rådgiverens vurdering utover at ombudet eller rådgiveren skal vurdere om behandlingen oppfyller kravene i forordningen og personopplysningsloven for øvrig, samt eventuelle forskrifter fastsatt i medhold av personopplysningsloven. Rådføringen må gjelde alle kravene som regulerer behandlingen, og er altså ikke begrenset til vilkårene for behandling av særlige kategorier av personopplysninger uten samtykke. Bestemmelsen pålegger derimot ikke den behandlingsansvarlige å rådføre seg om kravene i annen lovgivning.

Personvernombudets eller rådgiverens vurdering må være en reell og konkret vurdering av om en planlagt behandling oppfyller kravene i forordningen og loven med forskrifter. Kravet om en reell og konkret vurdering innebærer at det ikke er tilstrekkelig med generell veiledning om regelverket. Videre kan den endelige vurderingen ikke skje på et så tidlig stadium av planleggingen at ombudet eller rådgiveren ikke har mulighet til å gjøre en konkret vurdering av om behandlingen vil tilfredsstille forordningens og lovens krav.

Bestemmelsen oppstiller ingen nærmere formkrav til vurderingen. Den pålegger heller ingen særlig dokumentasjonsplikt. Den behandlingsansvarlige har imidlertid et generelt ansvar for å kunne påvise av lovens regler er fulgt, jf. forordningen artikkel 5 nr. 2. Den behandlingsansvarlige må derfor på vanlig måte kunne påvise at vilkåret om rådføring er oppfylt.

Den behandlingsansvarlige står fritt til å velge mellom å rådføre seg med noen som er utpekt som personvernombud i henhold til artikkel 37, eller en annen tilsvarende kvalifisert og uavhengig rådgiver. For andre rådgivere gjelder det tilsvarende krav til faglige kvalifikasjoner som for personvernombud, jf. artikkel 37 nr. 5. Det er videre et krav at vedkommende enten er ansatt hos den behandlingsansvarlige eller utfører oppgaven på grunnlag av en tjenesteavtale, jf. artikkel 37 nr. 6. Endelig skal vedkommende ikke kunne motta instrukser om oppgaven eller straffes eller avsettes for å utføre den, jf. artikkel 38 nr. 3 første og annet punktum.

Det følger av annet ledd tredje punktum at plikten til rådføring etter første punktum ikke gjelder dersom det er utført en vurdering av personvernkonsekvenser etter forordningen artikkel 35.

Formålet med første og annet ledd er å tillate og sikre nødvendige garantier for behandling av særlige kategorier av personopplysninger for arkiv-, forsknings- og statistikkformål uten samtykke i de tilfellene der det ikke finnes annen lovgivning som åpner for behandlingen. Bestemmelsen begrenser følgelig ikke adgangen til behandling som er tillatt etter annen lov, jf. også lovens § 2 første ledd. Dersom det finnes bestemmelser i annen lovgivning som regulerer behandling av særlige kategorier av personopplysninger for disse formålene uten samtykke, beror det på en konkret tolkning av disse om de gjelder i stedet for eller i tillegg til personopplysningslovens bestemmelse.

Tredje ledd gir hjemmel for forskrifter med nærmere bestemmelser om behandling av særlige kategorier av personopplysninger for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål.

Til § 10 Rådføringsplikt før behandling av særlige kategorier av personopplysninger for forskningsformål på grunnlag av samtykke

Det følger av bestemmelsen at § 9 annet ledd om rådføringsplikt gjelder tilsvarende når særlige kategorier av personopplysninger behandles for forskningsformål på grunnlag av den registrertes samtykke, jf. forordningen artikkel 9 nr. 2 bokstav a. Dette innebærer at rådføringsplikten også gjelder for samtykkebasert forskning som innebærer bruk av særlige kategorier av personopplysninger. Rådføringen skal skje på den måten som er fastsatt i § 9 annet ledd. Unntaket for tilfellene der det er utført vurdering av personvernkonsekvenser etter forordningen artikkel 35, gjelder på samme måte.

Bestemmelsen gjelder bare så langt ikke annet er bestemt i lov, jf. lovforslaget § 2 første ledd om forholdet til særlovgivningen.

Til § 11 Behandling av personopplysninger om straffedommer og lovovertredelser mv.

Bestemmelsen åpner for behandling av personopplysninger om straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak som ikke utføres under en offentlig myndighets kontroll, jf. forordningen artikkel 10. Etter forordningen artikkel 10 er hovedregelen at personopplysninger om straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak bare kan behandles under en offentlig myndighets kontroll, se omtalen i punkt 8.2 over. Behandling av slike opplysninger som ikke skjer under en offentlig myndighets kontroll, er altså som utgangspunkt forbudt. Behandling utenfor en offentlig myndighets kontroll kan likevel skje i den utstrekning det er tillatt i unionsretten eller nasjonal rett som sikrer nødvendige garantier for de registrertes rettigheter og friheter, jf. artikkel 10 første punktum.

Forslaget til § 11 første ledd første punktum åpner for behandling av personopplysninger om straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak også utenfor en offentlig myndighets kontroll, ved å gi forordningen artikkel 9 nr. 2 bokstav a og c til f og lovens §§ 6, 7 og 9 tilsvarende anvendelse. Dette innebærer at opplysningene kan behandles utenfor en offentlig myndighets kontroll på samme vilkår og i samme utstrekning som de nevnte bestemmelsene åpner for behandling av særlige kategorier av personopplysninger. For eksempel kan opplysningene behandles utenfor en offentlig myndighets kontroll dersom den registrerte samtykker til dette, jf. artikkel 9 nr. 2 bokstav a, dersom behandlingen er nødvendig for å gjennomføre arbeidsrettslige plikter eller rettigheter, jf. § 6, eller dersom Datatilsynet gir tillatelse til behandlingen etter § 7 første ledd.

Bestemmelsen begrenser ikke adgangen til å behandle slike opplysninger i medhold av annen lovgivning som oppfyller kravene i artikkel 10 første punktum, det vil si at det sikres nødvendige garantier for de registrertes rettigheter og friheter.

Bestemmelsen fastsetter kun unntak fra hovedregelen om at opplysningene bare kan behandles under en offentlig myndighets kontroll. Det er altså på vanlig måte nødvendig å påvise et behandlingsgrunnlag etter artikkel 6 nr. 1. På samme som bestemmelsene om unntak fra forbudet mot behandling av særlige kategorier av personopplysninger som det vises til, utgjør bestemmelsen altså ikke et supplerende rettsgrunnlag for behandling på grunnlag av artikkel 6 nr. 1 bokstav c og e.

Første ledd annet punktum klargjør at første punktum ikke åpner for å føre omfattende registre over straffedommer, jf. forbudet i forordningen artikkel 10 annet punktum.

Annet ledd fastsetter rådføringsplikt for behandling for forskningsformål av personopplysninger nevnt i artikkel 10, gjennom å gi § 9 annet ledd tilsvarende anvendelse. Etter bokstav a gjelder det plikt til rådføring også for samtykkebasert behandling for forskningsformål av personopplysninger som omfattes av artikkel 10, på samme måte som etter § 10 om samtykkebasert forskning på personopplysninger som omfattes av artikkel 9 nr. 1. Plikten gjelder uavhengig av om behandlingen skjer under en offentlig myndighets kontroll eller ikke. Bokstav b fastsetter rådføringsplikt for eventuelle tilfeller der behandling for forskningsformål skjer etter § 8 i loven og under en offentlig myndighets kontroll. Bakgrunnen for dette er at behandling av opplysninger som nevnt i artikkel 10 bare trenger grunnlag i artikkel 6 nr. 1 når den utføres under en offentlig myndighets kontroll. I slike tilfeller vil dermed lovens § 8, som gir supplerende rettsgrunnlag for forskning uten samtykke på grunnlag av artikkel 6 nr. 1 bokstav e, være tilstrekkelig for behandling uten samtykke, og det vil ikke være nødvendig å benytte § 9 i tillegg. Dermed vil det som utgangspunkt heller ikke være noen rådføringsplikt, i motsetning til ved behandling utenfor en offentlig myndighets kontroll, der det er nødvendig å benytte § 9, jf. § 11 første ledd. For å likestille tilfellene fastsetter § 11 annet ledd bokstav b at det er rådføringsplikt også når behandling skjer etter § 8 og under en offentlig myndighets kontroll.

Rådføringen skal skje på den måten som er fastsatt i § 9 annet ledd. Unntaket for tilfellene der det er utført vurdering av personvernkonsekvenser etter forordningen artikkel 35, gjelder på samme måte.

Til § 12 Bruk av fødselsnummer og andre entydige identifikasjonsmidler

Bestemmelsens første ledd oppstiller særlige vilkår for bruk av fødselsnummer og andre entydige identifikasjonsmidler, herunder biometriske identifikasjonsmidler, jf. forordningen artikkel 87 og artikkel 9 nr. 4. Vilkårene viderefører gjeldende rett etter personopplysningsloven § 12 første ledd, se Ot.prp. nr. 92 (1998–99) side 114 om bakgrunnen for bestemmelsen.

Bestemmelsen gir ikke i seg selv grunnlag for behandling av fødselsnummer og andre entydige identifikasjonsmidler, men oppstiller vilkår som gjelder i tillegg til de alminnelige vilkårene for lovlig behandling. Det må dermed på vanlig måte foreligge et behandlingsgrunnlag, jf. forordningen artikkel 6 nr. 1. For behandling av biometriske identifikasjonsmidler kreves det også at et av unntakene for behandling av særlige kategorier av opplysninger kommer til anvendelse, jf. artikkel 9 nr. 2.

Etter annet ledd kan Kongen gi forskrift med nærmere bestemmelser om bruk av fødselsnummer og andre entydige identifikasjonsmidler.

Til § 13 Forskrifter om overføring av personopplysninger til tredjestater eller internasjonale organisasjoner

Bestemmelsen gir hjemmel for Kongen til å gi forskrift med nærmere bestemmelser om overføring av personopplysninger til tredjestater eller internasjonale organisasjoner i den utstrekning forordningen åpner for dette. Det gis hjemmel for forskrifter om når Kommisjonens beslutninger om tilstrekkelig vernenivå og standard personvernbestemmelser skal gjelde i Norge, se punkt 36.2.3 over for en nærmere omtale av reguleringen av disse spørsmålene i forordningen og utkastet til EØS-komiteens beslutning med tilpasningstekst.

Bestemmelsen gir også hjemmel for å fastsette grenser for overføring av nærmere bestemte kategorier av personopplysninger når det ikke er truffet en beslutning om tilstrekkelig beskyttelsesnivå, jf. forordningen artikkel 49 nr. 5.

Til § 14 Forskrifter om forhåndsdrøfting og forhåndsgodkjenning

Bestemmelsen åpner for å gi forskrift om forhåndsdrøfting med tilsynsmyndigheten på grunnlag av forordningen artikkel 36 nr. 5. Det kan blant annet fastsettes bestemmelser om plikt til forhåndsdrøfting i andre tilfeller enn det som følger av forordningen artikkel 36 nr. 1.

Det åpnes for at Kongen i forskrift kan innføres en ordning med forhåndsgodkjenning (konsesjonsplikt) på nærmere bestemte livsområder. Bestemmelsen er fastsatt på grunnlag av artikkel 36 nr. 5. Det bør ved innføringen av en plikt til forhåndsgodkjenning etter departementets syn også forskriftfestes hva som skal vurderes som ledd i forhåndskontrollen hos Datatilsynet. Forordningen regulerer så langt departementet kan se ikke dette spørsmålet. Det foreslås derfor at Kongen også kan gi forskrift om hva forhåndsgodkjenningen nærmere skal bestå i. Etter departementets syn bør forhåndsgodkjenningen legges opp etter mønster av gjeldende rett, som en bred interesseavveining.

Til § 15 Forskrifter om gjennomføring av delegerte rettsakter og gjennomføringsrettsakter

Bestemmelsen gir hjemmel for forskrifter om gjennomføring av delegerte rettsakter og gjennomføringsrettsakter som vedtas av Kommisjonen i medhold av forordningen. Dette gjelder blant annet rettsakter om standardvilkår for databehandleravtaler, jf. artikkel 28 nr. 7, godkjente atferdsnormer som gis allmenn gyldighet i EØS, jf. artikkel 40 nr. 9, tekniske standarder for sertifiseringsmekanismer og personvernsegl og -merker mv., jf. forordningen artikkel 43 nr. 9, og formatet og fremgangsmåtene for utveksling av informasjon mellom behandlingsansvarlige, databehandlere og tilsynsmyndigheter om bindende virksomhetsregler, jf. artikkel 47 nr. 3. Før slike rettsakter gjelder i Norge, må de inntas i EØS-avtalen og gjennomføres særskilt i norsk rett, jf. punkt 36.2.4 over. Gjennomføring i norsk rett kan skje i forskrift i medhold av denne bestemmelsen.

Om Kommisjonens beslutninger om tilstrekkelig beskyttelsesnivå og standard personvernbestemmelser i forbindelse med overføring til tredjestater og internasjonale organisasjoner vises det til punkt 36.2.3 og merknaden til § 13.

Til § 16 Unntak fra retten til informasjon og innsyn og plikten til underretning om brudd på personopplysningssikkerheten

Bestemmelsen fastsetter unntak fra retten til informasjon og innsyn etter forordningen artikkel 13 til 15 samt plikten til underretning om brudd på personopplysningssikkerheten etter artikkel 34.

Første ledd gjør unntak fra retten til informasjon og innsyn etter forordningen artikkel 13 til 15, og supplerer unntakene som følger direkte av forordningen, jf. artikkel 13 nr. 4, artikkel 14 nr. 5 og 15 artikkel nr. 4.

Første ledd bokstav a gjør unntak for opplysninger som er av betydning for Norges utenrikspolitiske interesser eller nasjonale forsvars- og sikkerhetsinteresser og som den behandlingsansvarlige kan unnta fra innsyn etter offentleglova §§ 20 eller 21. Unntaket tilsvarer forvaltningsloven § 19 første ledd bokstav a, og har til formål å unngå at forordningens innsynsregler uthuler unntakene i forvaltningsloven og offentleglova. Vilkåret om at den behandlingsansvarlige kan unnta opplysningene etter offentleglova §§ 20 eller 21, innebærer at unntaket bare kan benyttes av behandlingsansvarlige som er omfattet av offentleglova.

Første ledd bokstav b gjør unntak for opplysninger som det er påkrevd å hemmeligholde av hensyn til forebygging, etterforskning, avsløring og rettslig forfølgning av straffbare handlinger, og viderefører gjeldende lov § 23 første ledd bokstav b, jf. Ot.prp. nr. 92 (1998–99) side 121.

Første ledd bokstav c gjør unntak for opplysninger som det må anses utilrådelig at den registrerte får kjennskap til av hensyn til vedkommendes helse eller forholdet til personer som står vedkommende nær, og viderefører gjeldende lov § 23 første ledd bokstav c. Opplysningene kan på anmodning likevel gjøres kjent for en representant for den registrerte når ikke særlige grunner taler mot det, jf. annet ledd. Bestemmelsen svarer til forvaltningsloven § 19 første ledd bokstav d, jf. Ot.prp. nr. 92 (1998–99) side 121.

Første ledd bokstav d gjør unntak for opplysninger som i lov eller i med hjemmel i lov er underlagt taushetsplikt, og svarer til gjeldende lov § 23 første ledd bokstav d, jf. Ot.prp. nr. 92 (1998–99) side 121. For informasjonsplikten etter artikkel 14 følger det samme av direkte av forordningen artikkel 14 nr. 5 bokstav d.

Første ledd bokstav e gjør unntak for opplysninger som utelukkende finnes i tekst som er utarbeidet for intern saksforberedelse, og som heller ikke er utlevert til andre, så langt det er nødvendig for å sikre forsvarlige interne avgjørelsesprosesser. Unntaket viderefører § 23 første ledd bokstav e i gjeldende lov, men oppstiller et ytterligere krav om at det bare kan gjøres unntak så langt det er nødvendig å nekte innsyn for å sikre forsvarlige interne avgjørelsesprosesser. Dette vilkåret svarer til vilkåret i offentleglova § 15 første ledd, og denne bestemmelsen kan gi veiledning for vurderingen. På samme måte som etter offentleglova § 15 første ledd er det ikke bare hensynet til den interne saksforberedelse i den enkelte saken som kan vektlegges, men også hensynet til avgjørelsesprosessene i fremtidige saker.

Første ledd bokstav f gjør unntak for opplysninger som det vil være i strid med åpenbare og grunnleggende private eller offentlige interesser å informere om. Bestemmelsen viderefører gjeldende rett etter personopplysningsloven § 23 første ledd bokstav f, jf. Ot.prp. nr. 92 (1998–99) side 122. I motsetning til etter gjeldende lov er det imidlertid ikke understreket i bestemmelsen at det også kan legges vekt på hensynet til den registrerte selv. Dette medfører ingen realitetsendring.

Det følger av tredje ledd første punktum at den som nekter å gi innsyn i medhold av unntakene i første ledd, må begrunne dette skriftlig og gi presis henvisning til unntakshjemmelen. Dette er en videreføring av gjeldende rett. Av annet punktum følger det at en begrunnelse for nektelse av innsyn på grunnlag av første ledd bokstav f også må angi hvilke hensyn som begrunner hemmelighold. Dette kravet er nytt sammenlignet med gjeldende rett.

Det følger av fjerde ledd at plikten til å underrette den registrerte om brudd på personopplysningssikkerheten etter forordningen artikkel 34 ikke gjelder i den utstrekning slik underretning vil røpe opplysninger som nevnt i første ledd bokstav a, b og d. At bestemmelsen kun gjør unntak i den utstrekning underretningen vil røpe slike opplysninger, innebærer at det foreligger underretningsplikt så langt det er mulig å gi underretning uten å røpe de nevnte opplysningene. Dette kan etter omstendighetene medføre en plikt til begrenset underretning, for eksempel slik at visse detaljer om arten og konsekvensen av sikkerhetsbruddet holdes hemmelig fordi det er påkrevd for å forebygge straffbare handlinger.

Endelig følger det av femte ledd at Kongen kan gi forskrift om unntak fra og nærmere vilkår for informasjons- og innsynsrett og underretning om brudd på personopplysningssikkerheten.

Til § 17 Unntak fra den registrertes rettigheter ved behandling av personopplysninger for arkivformål i allmennhetens interesse, vitenskapelige eller historiske forskningsformål og statistiske formål

Bestemmelsen gjør unntak fra visse av den registrertes rettigheter i forbindelse med behandling av personopplysninger for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål. Avgrensningen av arkivformål i allmennhetens interesse, formål knyttet til vitenskapelig eller historisk forskning og statistiske formål er den samme etter forordningen, jf. for eksempel artikkel 5 nr. 1 bokstav b og artikkel 89 nr. 1. Når behandlingen har andre formål i tillegg, gjelder unntakene bare for arkiv-, forsknings- og statistikkformålene, jf. også forordningen artikkel 89 nr. 4.

Første ledd gjør unntak fra innsynsretten etter forordningen artikkel 15, og oppstiller to alternative vilkår.

Etter bokstav a kan det gjøres unntak dersom det vil kreve en uforholdsmessig stor innsats å gi innsyn. Det kan bare gjøres unntak i den utstrekning innsyn er uforholdsmessig. Det må derfor foretas en konkret vurdering av de ulike typene informasjon som omfattes av artikkel 15. Det kan for eksempel kreve en uforholdsmessig innsats å gi en kopi av personopplysningene som behandles, jf. artikkel 15 nr. 3, men ikke å gi slik generell informasjon som er nevnt i artikkel 15 nr. 1 og 2. Da vil det foreligge innsynsrett etter artikkel 15 nr. 1 og 2, men ikke etter nr. 3. I forholdsmessighetsvurderingen inngår ikke bare den enkelte innsynsbegjæringen; også den samlede mengden av innsynsbegjæringer og potensielle innsynsbegjæringer kan tas i betraktning. Unntaket er fastsatt med grunnlag i forordningen artikkel 23 nr. 1.

Etter bokstav b kan det gjøres unntak så langt innsynsrett sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med behandlingen nås. Bestemmelsen tar sikte på tilfeller der innsynsrett av andre grunner enn ressursårsaker vil være til hinder for at behandlingsformålet nås.

Unntakene i første ledd gjelder ved siden av unntakene i § 16.

Annet ledd gjør unntak fra retten til retting og begrensning av behandling etter forordningen artikkel 16 og 18 så langt rettighetene sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med behandlingen nås. Bestemmelsen må tolkes i tråd med artikkel 17 nr. 3 bokstav d og artikkel 89 nr. 2 og 3.

Det følger av tredje ledd at unntakene i første og annet ledd ikke gjelder dersom behandlingen får rettsvirkninger eller direkte faktiske virkninger for den registrerte. Unntaket tar sikte på tilfeller der behandlingen får virkninger for den registrerte utover opplevelsen av inngrep i personvernet.

Til § 18 Personvernombudets taushetsplikt

Bestemmelsen regulerer taushetsplikt for personvernombud.

Første ledd bokstav a til d fastsetter hovedregelen om at personvernombud plikter å hindre at andre får adgang eller kjennskap til det de i forbindelse med utførelsen av sine oppgaver får vite om noens personlige forhold, tekniske innretninger, produksjonsmetoder, forretningsmessige analyser og beregninger og forretningshemmeligheter ellers når opplysningene er av en slik art at andre kan utnytte dem i sin egen næringsvirksomhet, sikkerhetstiltak etter forordningen artikkel 32 eller enkeltpersoners varsling om overtredelser av loven her, herunder overtredelser av personvernforordningen, jf. § 1.

Annet ledd fastsetter unntak fra taushetsplikten. Taushetsplikten gjelder ikke dersom personvernombudet får samtykke fra den opplysningene gjelder til å legge dem frem, eller dette er nødvendig for gjennomføring av personvernombudets lovpålagte oppgaver.

Tredje ledd første punktum fastsetter taushetspliktens virkning i tid. Taushetsplikten gjelder også etter at personvernombudet har avsluttet tjenesten eller arbeidet. I tredje ledd annet punktum er det bestemt at opplysninger som er underlagt taushetsplikt etter bestemmelsen heller ikke kan utnyttes i egen virksomhet eller i tjeneste eller arbeid for andre.

Til § 19 Forskrifter om plikt til å utpeke personvernombud

Bestemmelsen inneholder en forskriftshjemmel hvoretter Kongen kan gi nærmere bestemmelser om plikt til å utpeke personvernombud.

Til § 20 Datatilsynet

Bestemmelsen gjennomfører deler av forpliktelsene etter forordningen artikkel 54 nr. 1 der det fremgår av det ved nasjonal lov skal fastsettes regler om opprettelse av tilsynsmyndigheten. Det følger av første ledd første punktum at Datatilsynet skal være tilsynsmyndighet, jf. artikkel 54 nr. 1 bokstav a. I første ledd annet og tredje punktum følger regler for å sikre tilsynsmyndighetens uavhengige stilling. Disse kravene er en nærmere spesifisering av uavhengighetskravene som følger av forordningen artikkel 52.

I annet ledd første punktum gis det regler om utnevnelse av medlemmet til tilsynsmyndigheten, jf. artikkel 54 nr. 1 bokstav c. I annet ledd annet punktum gis Kongen kompetanse til i forskrift å fastsette at direktøren skal ansettes på åremål, og varigheten på åremålet og om det er adgang til gjenutnevning, jf. artikkel 54 nr. 1 bokstav d og e. Dersom det ikke fastsettes slike regler i forskrift vil direktører som utnevnes etter at loven trer i kraft være fast ansatte, jf. statsansatteloven § 9 første ledd. Øvrig nasjonal regulering i henhold til artikkel 54 nr. 1 følger av generelle arbeidsrettslige og forvaltningsrettslige regler som gjelder for ansatte i staten, se omtale i punkt 25.5 over.

Det fremgår i tredje ledd at Datatilsynet har kompetanse til å føre tilsyn med overholdelse av nasjonale bestemmelser som utfyller forordningen, herunder regler som spesifiserer og supplerer forordningens regler. Dette gjelder både regler som følger av loven her og av særlovgivningen om behandling av personopplysninger. Det gjøres med denne bestemmelsen klart at det ikke er avgjørende for utøvelse av tilsynsmyndighetens kompetanse om en regel om behandling av opplysninger i det enkelte tilfelle følger av nasjonal lovgivning eller direkte av forordningen. Det er presisert i ordlyden at kompetansen kun gjelder behandling som omfattes av virkeområdet forordningen gis i norsk rett, jf. § 2, altså for «helt eller delvis automatisert behandling av personopplysninger og på ikke-automatisert behandling av personopplysninger som inngår i eller skal inngå i et register», som ikke omfattes av unntakene som oppstilles i § 2. Regelen om tilsynsmyndighets kompetanse kan, som i andre tilfeller, fravikes i særlovgivningen, så lenge reglene er innenfor rammene av forordningen der det gjelder behandling innenfor EØS-avtalens virkeområde.

Tredje ledd utvider ikke adgangen til å ilegge overtredelsesgebyr etter artikkel 83. Det følger imidlertid av artikkel 83 nr. 5 bokstav e og nr. 6 at manglende etterlevelse av pålegg fra tilsynsmyndigheten kan gi grunnlag for å ilegge overtredelsesgebyr. Dette vil også gjelde ved pålegg som omfattes av bestemmelsen her.

Fjerde ledd er en videreføring av gjeldende forskriftshjemmel til å fastsette forskrifter om dekning av Datatilsynets kostnader ved kontroll, herunder at et slikt krav er tvangsgrunnlag for utlegg.

Til § 21 Årsrapport fra Datatilsynet

Bestemmelsen gir en nærmere regulering av tilsynsmyndighetens plikt til å utforme årsrapport etter artikkel 59. Det følger av bestemmelsen her at Datatilsynet må sende rapporten direkte til Kongen, som sørger for overleveringen til Stortinget. Dette er en videreføring av gjeldende rett.

Til § 22 Personvernnemnda

Bestemmelsen gir regler om Personvernnemnda. Bestemmelsen viderefører i hovedsak gjeldende rett etter personopplysningsloven.

I første ledd gis det regler om nemndas organisasjon og uavhengighet.

I annet ledd følger regler om nemndas oppgaver og kompetanse. Nemnda kan etter annet ledd første punktum avgjøre klager over Datatilsynets vedtak. Begrepet «vedtak» skal forstås på samme måte som etter forvaltningsloven, jf. forvaltningsloven § 2 første ledd bokstav a. Det følger av annet ledd annet punktum at vedtak som omfattes av den såkalte «konsistensmekanismen» ikke kan påklages til nemnda. Unntaket er foreslått på grunn av at forordningen gir detaljerte regler om behandling av saker etter konsistensmekanismen som ikke kan forenes med klage til Personvernnemnda.

Det følger av tredje ledd at samtlige av nemndas medlemmer utnevnes av Kongen. Dette er nytt sammenlignet med gjeldende rett. Gjeldende regler om antall medlemmer i nemnda og krav om at leder og nestleder skal ha juridisk embetseksamen eller mastergrad i rettsvitenskap, videreføres. Fjerde til sjette ledd innebærer også videreføringer av gjeldende rett, men det er foretatt enkelte språklige endringer. Se nærmere om bestemmelsene i Ot.prp. nr. 92 (1998–99) side 132. En beslutning fra Personvernnemnda etter fjerde ledd skal kunne være generell, slik at det fastsettes en ordning som følges for behandling av alle hastesaker. I de tilfellene der lederen eller nestlederen og to nemndsmedlemmer skal kunne avgjøre klager som må behandles raskt, skal de også kunne ta stilling om den aktuelle klagen er å anse som en hastesak.

Til § 23 Tilgang til opplysninger

Det følger av første ledd at undersøkelsesmyndigheten gjelder uten hinder av taushetsplikt. Dette er en presisering av forordningens regler, da dette ikke fremgår klart av forordningen. Bestemmelsen er ment å videreføre gjeldende rett etter personopplysningsloven § 44 første og tredje ledd.

Da Personvernnemnda ikke omfattes av forordningens regler om tilsynsmyndigheten, er det i annet ledd fastsatt at reglene om å pålegge den behandlingsansvarlige eller databehandleren å fremlegge informasjon gjelder tilsvarende for nemnda. Bestemmelsen er ment å videreføre gjeldende rett etter personopplysningsloven § 44 første og tredje ledd.

Tredje ledd fastsetter at behandling av personopplysninger som er nødvendig av hensyn til rikets eller alliertes sikkerhet, forholdet til fremmede makter og andre vitale nasjonale sikkerhetsinteresser, er unntatt fra tilsynsmyndighetens undersøkelsesmyndighet etter forordningen artikkel 58. nr. 1. Dette innebærer en videreføring av gjeldende rett etter någjeldende personopplysningsforskrift § 1-2 første ledd. Videre fastsetter tredje ledd at uenighet mellom behandlingsansvarlig og Datatilsynet om utstrekningen av unntaket skal avgjøres av Personvernnemnda. Også dette er en videreføring av gjeldende rett etter personopplysningsforskriften § 1-2 annet ledd.

Til § 24 Taushetsplikt

Bestemmelsens første ledd er gitt på bakgrunn av artikkel 54 nr. 2, som fastsetter at taushetsplikt for medlemmer av tilsynsmyndigheten og personell hos tilsynsmyndigheten skal følge av nasjonal rett. Bestemmelsen viderefører i hovedsak gjeldende rett etter personopplysningsloven § 45 første ledd, men det er føyd til at taushetsplikten omfatter enkeltpersoners varsling av overtredelser av loven, herunder overtredelser av personvernforordningen, jf. § 1, på bakgrunn av kravene i artikkel 54 nr. 2.

I annet ledd videreføres reglene i personopplysningsloven § 45 annet ledd for så vidt gjelder Datatilsynet. Bestemmelsen muliggjør blant annet samarbeid innenfor den såkalte konsistensmekanismen. Den tilsvarende reguleringen av Personvernnemnda, som følger av gjeldende rett, er tatt ut da det fremstår som lite praktisk at nemnda skal gi opplysninger til utenlandske tilsynsmyndigheter. Det er videre foretatt en redaksjonell endring i bestemmelsen for å tydeliggjøre at opplysninger kan deles der det er nødvendig for at enten den norske eller utenlandske tilsynsmyndigheten skal kunne treffe vedtak. Se nærmere om bestemmelsen i Ot.prp. nr. 92 (1998–99) side 133.

Til § 25 Partsstilling

Første ledd regulerer utøvelsen av statens partsstilling etter tvisteloven § 2-1 første ledd bokstav b i forbindelse med saker knyttet til Datatilsynets virksomhet. Bestemmelsen innebærer at tilsynet kan opptre selvstendig i saker for domstolene. Reglene gjelder kun saker som er knyttet til tilsynsvirksomheten. Dette vil imidlertid også kunne omfatte saker som ikke gjelder gyldigheten av et vedtak fra Datatilsynet, for eksempel vil tilsynet selvstendig kunne erklære partshjelp etter tvisteloven § 15-7 i en tvist som er saklig knyttet til Datatilsynets virksomhetsområde. Den nærmere adgangen til å ta ut søksmål eller opptre i saker for domstolene på andre måter vil måtte vurderes på bakgrunn av tvistelovens regler i det enkelte tilfelle. I en eventuell sak mellom Datatilsynet og et annet offentlig organ, vil ikke begge parter kunne opptre på vegne av staten. Partsstillingen i en slik situasjon vil etter departementets syn måtte løses i praksis i det enkelte tilfellet.

Annet ledd viderefører gjeldende rett om partsstillingen ved søksmål om gyldigheten av Personvernnemndas vedtak. Se nærmere om bakgrunnen for bestemmelsen i Ot.prp. nr. 92 (1998–99) side 132.

Til § 26 Overtredelsesgebyr

Første ledd bestemmer at forordningen artikkel 83 nr. 4 gjelder tilsvarende for overtredelser av artikkel 10 og artikkel 24. Dette innebærer at også overtredelser av artikkel 10 og artikkel 24 vil kunne sanksjoneres med overtredelsesgebyr, og at det i disse tilfellene er de beløpsmessige grensene i artikkel 83 nr. 4 som vil komme til anvendelse.

Annet ledd bestemmer at Datatilsynet kan ilegge offentlige myndigheter og organer overtredelsesgebyr. Bestemmelsen er gitt i medhold av forordningen artikkel 83 nr. 7. Ved dette vil de samme reglene om ileggelse av administrative gebyrer gjelde for offentlige myndigheter og organer som for private, herunder reglene om maksimalsatser for administrative gebyrer.

Til § 27 Oppfyllelsesfrist og domstolsprøving i saker om overtredelsesgebyr

Første ledd bestemmer at oppfyllelsesfristen for overtredelsesgebyr er fire uker fra vedtaket er endelig og er en videreføring av gjeldende rett. Vedtaket er endelig når klagefristen er utløpt eller når den administrative klagemuligheten, det vil si klage til Personvernnemnda, er uttømt. I tilfeller hvor vedtaket ikke kan påklages blir Datatilsynets vedtak endelig. Bestemmelsen innebærer en noe annen regulering enn det som følger av forvaltningsloven § 44 femte ledd som knytter oppfyllelsesfristen til når vedtaket ble truffet.

Annet ledd bestemmer at retten kan prøve alle sider av saker om overtredelsesgebyr. Videre kan retten avsi dom for realiteten i saken dersom den finner det hensiktsmessig og forsvarlig. Det følger også av forvaltningsloven § 50 at retten ved prøving av vedtak om administrative sanksjoner kan prøve alle sider av saken. Bestemmelsen presiserer at retten også kan avsi dom for realiteten i saken.

Til § 28 Foreldelse

Bestemmelsen fastsetter at adgangen til å ilegge overtredelsesgebyr foreldes 5 år etter en overtredelse er opphørt. Fristen avbrytes ved at Datatilsynet gir forhåndsvarsel eller fatter vedtak om overtredelsesgebyr.

Til § 29 Tvangsmulkt

Første ledd fastsetter at Datatilsynet ved pålegg etter loven, herunder personvernforordningen, jf. § 1, kan fastsette en tvangsmulkt som løper for hver dag som går etter utløpet av den fristen som er satt for oppfylling av pålegget, inntil pålegget er oppfylt. Reglene om tvangsmulkt i forvaltningsloven § 51 vil komme supplerende til anvendelse. Forordningen åpner i en rekke situasjoner for at Datatilsynet kan gi pålegg. Et pålegg kan for eksempel gå ut på at den behandlingsansvarlige skal rette eller slette personopplysninger eller begrense behandlingen i henhold til artikkel 16, 17 og 18, jf. forordningen artikkel 58 nr. 2 bokstav g.

Annet ledd bestemmer at Kongen i forskrift kan gi nærmere bestemmelser om tvangsmulkt, blant annet om tvangsmulktens størrelse og varighet, fastsettelse av tvangsmulkt og frafall av påløpt tvangsmulkt.

Til § 30 Erstatning for ikke-økonomisk skade (oppreisning)

Bestemmelsen fastsetter at den som er erstatningsansvarlig etter reglene i forordningen artikkel 82 kan pålegges å betale slik erstatning for skade av ikke-økonomisk art (oppreisning) som synes rimelig. Bestemmelsen viderefører adgangen etter gjeldende personopplysningslov til å pålegge erstatningansvar for ikke-økonomisk tap, jf. personopplysningsloven § 49 tredje ledd annet punktum. Som etter gjeldende rett vil det ved vurderingen blant annet være naturlig å legge vekt på krenkelsens grovhet, utvist skyld, den behandlingsansvarliges økonomi og hvilke andre sanksjoner som rettes mot den behandlingsansvarlige eller databehandleren. Det vil også være naturlig å legge vekt på i hvilken utstrekning krenkingen har ført til en berikelse for den behandlingsansvarlige eller databehandleren. For personopplysninger som behandles for næringsformål vil det oftere være slik at den krenkelsen som den skadelidte er påført korresponderer med en berikelse for den behandlingsansvarlige eller databehandleren, jf. spesialmerknadene til § 49 tredje ledd i Ot.prp. nr. 92 (1998–99) på side 135.

§ 31 Uekte kameraovervåkingsutsyr

Første ledd første punktum oppstiller et forbud mot å benytte uekte kameraovervåkingsutstyr eller ved skilting, oppslag eller lignende gi inntrykk av at kameraovervåking likevel finner sted, dersom reell kameraovervåking ville vært i strid med forordningen eller loven for øvrig. Formålet med bestemmelsen er å unngå at begrensningene som gjelder for kameraovervåking, omgås ved hjelp av uekte overvåkingsutstyr og skilting eller lignende som gir inntrykk av at det likevel overvåkes.

Bestemmelsen er ment å videreføre gjeldende rett om at utstyr som lett kan forveksles med en ekte kameraløsning, bare kan benyttes i samme utstrekning som ekte løsninger. Bestemmelsen er imidlertid formulert som et uttrykkelig forbud, i stedet for at den gir vilkårene for ekte kameraovervåking tilsvarende anvendelse. Samtidig utvides anvendelsesområdet for begrensningene til også å gjelde skilting, oppslag og lignende som er egnet til å gi inntrykk av at kameraovervåking finner sted.

Kameraovervåking og uekte kameraovervåkingsutstyr er definert i annet ledd. Bestemmelsen viderefører definisjonene etter gjeldende rett av kameraovervåking og utstyr som lett kan forveksles med en ekte kameraløsning i personopplysningsloven § 36 første ledd, jf. Prop. 47 L (2011–2012) side 42. Presiseringen av at overvåking både med og uten opptaksmuligheter regnes som kameraovervåking, er unødvendig i denne sammenhengen og derfor utelatt.

Når det gjelder skilting, oppslag eller lignende som gir inntrykk av at kameraovervåking finner sted, må det på samme vis som ved uekte overvåkingsutstyr foretas en vurdering av hvordan skiltet eller oppslaget mv. oppfattes, eller må antas å bli oppfattet.

Etter første ledd annet punktum gjelder reglene om tilsyn, overtredelsesgebyr og tvangsmulkt tilsvarende, jf. forordningen artikkel 83 nr. 4 og kapittel VI samt kapittel 6, § 26 annet ledd og §§ 27 til 29 i loven her.

Til § 32 Ikrafttredelse

Det følger av første ledd at loven gjelder fra den tid Kongen bestemmer og at lov 14. april 2000 nr. 31 om behandling av personopplysninger oppheves fra samme tidspunkt. Gjeldende personopplysningslov vil trolig bli gitt anvendelse på enkelte nærmere bestemte saksområder i en overgangsperiode etter opphevelsen, se nærmere om dette i merknaden til § 33 om overgangsregler.

Annet ledd fastsetter at de ulike bestemmelsene i loven og forordningen kan settes i kraft til ulik tid. Det følger også av annet ledd at opphevelsen av lov 14. april 2000 nr. 31 om behandling av personopplysninger kan knyttes til et av tidspunktene for ikraftsetting eller at ulike bestemmelser kan oppheves til ulik tid.

Til § 33 Overgangsregler

Det foreslås i første ledd en særlig regel om at det er de materielle reglene på handlingstidspunktet som skal legges til grunn ved ileggelse av overtredelsesgebyr, med mindre de nyere reglene vil føre til et gunstigere resultat for den ansvarlige. Bestemmelsen vil etter departementets syn oppfylle kravene etter EMK artikkel 7 slik de er fortolket i EMDs avgjørelse Scoppola mot Italia, 17. september 2009.

Etter annet ledd gis Kongen kompetanse til å fastsette nærmere overgangsregler. Det blir trolig behov for å fastsette overgangsregler om at reglene i gjeldende personopplysningslov skal gjelde for personopplysninger som behandles etter straffegjennomføringsloven, konfliktrådsloven § 1 annet ledd og etterretningstjenesteloven, i en periode etter at loven er opphevet. Det arbeides med utvikling av nye lovregler om behandling av personopplysninger på disse områdene og gjeldende personopplysningslov vil gjelde inntil nye regler er vedtatte og satt i kraft. Etter departementets syn kan det også bli aktuelt å fastsettes overgangsregler i tilfeller som gjelder ilagt tvangsmulkt som fortsatt løper. Det vil trolig bli aktuelt å fastsette overgangsregler som går ut på at vedtak om tvangsmulkt og pålegg om behandlingen, som er fattet før ikrafttredelsen og ikke etterkommet, vil fortsette å gjelde etter ikrafttredelsen. Ut over dette vil trolig alminnelige forvaltningsrettslige regler, for eksempel om omgjøring av vedtak, løse de eventuelle overgangsspørsmål som vil oppstå. Omgjøring kan for eksempel være aktuelt der en sak som er avgjort etter gammel lov blir påklaget til nemnda etter ikraftsettingen av ny lov eller der et pålegg som er gitt etter gammel lov ikke er i tråd med forordningens regler. Ordningen med klage til Personvernnemnda videreføres uendret og det blir derfor ikke behov for noen særskilte overgangsbestemmelser knyttet til klagebehandlingen.

Når det gjelder opphevelse av ordningen med konsesjoner og bortfall av tillatelser etter personopplysningsloven § 9 tredje ledd reiser dette enkelte særskilte spørsmål som det kan bli aktuelt å fastsette overgangsregler om, se nærmere i punkt 12.6 over.

38.2 Endringer i annen lovgivning

Til endringen i lov 12. mai 1961 nr. 2 om opphavsrett til åndsverk m.v

Åndsverkloven § 56a oppheves, da konsesjonsplikten i någjeldende personopplysningslov ikke videreføres i den nye personopplysningsloven. Bestemmelsen er derfor uten betydning.

Til endringene i lov 21. juni 1963 nr. 23 om vegar

Til § 11 f

Nytt kapittel II B og ny § 11 f i veglova gir vegstyresmaktene etter kapittel II og tilsynsmyndigheten etter kapittel II A hjemmel til å behandle personopplysninger når det er nødvendig for å utføre oppgaver gitt i eller i medhold av veglova, eller for å oppfylle internasjonale forpliktelser under lovens virkeområde. Den tilsvarende hjemmelen er gitt til det statlige vegutbyggingsselskapet som er tildelt oppgaver av departementet med hjemmel i § 9 første ledd. Dette er selskapet Nye Veier AS, som iht. avtale med departementet utfører oppgaver med planlegging, utbygging, drift og vedlikehold av særskilte utvalgte riksvegstrekninger.

Kapittel II B og § 11 f er tatt inn i veglova for å klargjøre at slik behandling finner sted av vegstyresmaktene, Vegtilsynet og selskapet Nye Veier AS og i hvilken sammenheng disse aktørene faktisk foretar behandling av personopplysninger.

Første ledd gir hjemmel for behandling av personopplysninger når det er nødvendig for å utføre oppgavene etter veglova eller for å oppfylle internasjonale forpliktelser under lovens virkeområde. Dette omfatter all form for utføring av oppgaver og myndighetsutøvelse som er regulert i veglova eller forskrift gitt med hjemmel i veglova. Nærmere angitt er dette vegstyresmaktenes oppgaver knyttet til planlegging, utbygging, drift, vedlikehold og forvaltning av de offentlige vegene, selskapet Nye Veier AS' oppgaver slik det til enhver tid er tildelt av departementet iht. § 9 første ledd og Vegtilsynets oppgaver etter kapittel II A. Det gjelder også oppgaver som hører under Statens vegvesens særskilte sektoransvar for det offentlige vegnettet, herunder ansvaret for overvåking av tilstanden på de offentlige vegene og trafikksituasjonen. Når det gjelder utstrekningen av behandlingen som foregår på dette området, viser departementet omtalen i punkt 33.2.

Annet ledd gir departementet hjemmel til å gi nærmere bestemmelser om behandlingen av personopplysninger i forskrift. Sentralt i denne typen forskrifter vil være bestemmelser om formålet med behandlingen, hvilke opplysninger som kan behandles, hvordan opplysningene skal behandles, vilkår for eventuell utlevering av personopplysninger, bruk av databehandler, krav til sletting og krav til eventuell sammenstilling av personopplysninger til bruk i forskning og til statistiske formål. Dette er derfor nevnt som spesifikke områder som kan reguleres nærmere i medhold av forskriftshjemmelen.

Til § 27

De nye femte og sjette leddene i veglova § 27 gir hjemler til behandling av personopplysninger innenfor bompengeordningen som gjelder på det offentlige vegnettet og hjemmel til at departementet kan gi nærmere bestemmelser om slik behandling i forskrift.

Femte ledd gir to typer aktører og en statlig myndighet hjemmel til å behandle personopplysninger når det er nødvendig for å kreve inn bompenger på de offentlige vegene. I første punktum gis hjemmelen til selskaper eller andre juridiske personer som er gitt fullmakt fra departementet til å kreve inn bompenger. I annet punktum gis hjemmelen til selskaper eller andre juridiske personer som utfører tjenester på bompengeområdet i medhold av forskrift til veglova. Vilkåret for at disse aktørene gis hjemmel for å behandle personopplysninger, er at det er nødvendig for å utføre oppgavene. Selskapene som gis fullmakt fra departementet, er i dag bompengeselskapene. Disse selskapene inngår i dag avtale med Samferdselsdepartementet, eller med Vegdirektoratet etter fullmakt fra departementet. Avtalene gir bompengeselskapene rett til å kreve inn bompenger på vegen eller vegnettet avtalen gjelder, jf. § 27 første og annet ledd. Den andre typen aktører som gis hjemmel til å behandle personopplysninger er utstederselskapene, det vil si selskapene som tilbyr avtalepasseringer til trafikantene, se nærmere omtalen i punkt 33.3. Slike selskaper opererer på bompengeområdet i dag som en del av eller etter avtale med bompengeselskapene. Det er besluttet at denne tjenesten skal skilles ut fra bompengeselskapene og at utstedernes virksomhet skal reguleres av en egen forskrift. Forskriften er ventet å bli fastsatt i 2018. Oppgavene både bompengeselskapene og utstederne utfører på området er knyttet til betaling av bompenger fra trafikantene. Som en følge av at nær all bompengeinnkreving på det offentlige vegnettet i dag er elektronisk, er det i denne oppgaven nødvendig å behandle personopplysninger i forbindelse med registreringen av opplysninger knyttet til kjøretøyene når de passerer bomsnitt på vegene og i forbindelse med fakturering, jf. den nærmere omtalen i punkt 33.3. Opplysningene behandles for å ivareta en berettiget interesse.

Nærmere informasjon om aktørene på bompengeområdet er gitt i Meld. St. 25 (2014–2015) På rett vei og Prop. 1 S Tillegg 2 (2015–2016). Det er denne organiseringen som danner grunnlaget for formuleringen av hjemler i § 27 femte ledd. Lovbestemmelsen er likevel generelt utformet og angir ikke bestemte navngitte aktører. Ved eventuelle fremtidige endringer i organiseringen av aktørene på bompengeområdet, må det vurderes om organiseringen objektivt faller under ordlyden slik den er formulert eller om det er behov for lovendring.

I tillegg til aktørene etter første og annet punktum, gis også Statens vegvesen i annet punktum hjemmel til å behandle personopplysninger når etaten utfører oppgaver på bompengeområdet. Det er også her et vilkår at behandlingen av personopplysninger er nødvendig for å utføre oppgaven, jf. første punktum. Oppgavene Statens vegvesen utfører på dette området er en del av den pågående bompengereformen. Statens vegvesen er først og fremst et myndighetsorgan innenfor bompengeforvaltningen og har ansvaret for å påse en enhetlig, effektiv og velfungerende bompengeinnkreving i hele landet. Etaten har også operative oppgaver for å ivareta denne oppgaven, og har på det gjeldende tidspunktet ansvaret for baksystemet for den elektroniske bompengeinnkrevingen. Statens vegvesen har også hjemmel til å behandle personopplysninger etter § 11 f. Statens vegvesen er spesifikt gitt hjemmel i § 27 femte ledd annet punktum for at det skal være klart at etaten som en del av sitt arbeid behandler personopplysninger også på dette området.

I femte ledd tredje punktum er det tatt inn et krav om at behandling av sensitive opplysninger bare skal finne sted når det er nødvendig ut fra formålet med behandlingen. Per i dag blir det behandlet sensitive personopplysninger knyttet til fritak for å betale bompenger for forflytningshemmede, og i den forbindelse blir det behandlet helseopplysninger. Kravet i tredje punktum er generelt utformet og hjemler bare behandling av sensitive opplysninger når det er nødvendig ut fra oppgaven. Den behandlingsansvarlige har ansvar for å vurdere om vilkåret er oppfylt.

Femte ledd fjerde punktum regulerer utlevering av personopplysninger når dette følger av internasjonale rettsakter eller avtaler som Norge er bundet av. Det følger av bestemmelsen at personopplysninger kan utleveres når dette følger av internasjonale rettsakter eller avtaler som Norge er bundet av. Norge er på det gjeldende tidspunktet forpliktet til å utlevere passeringsopplysninger iht. EasyGo-avtalen. Partene i denne avtalen som mottar slike opplysninger fra det norske systemet i dag er Sverige og Danmark. Det er ventet at direktiv 2004/52/EF, som regulerer samvirkningsevnen mellom de elektroniske bompengesystemene i EU, i fremtiden vil regulere utveksling av passeringsopplysninger i bompengesystemene i Europa. «Rettsakter» er tatt inn i fjerde punktum for at eventuelle forordninger og direktiver som faller innenfor EØS-avtalens virkeområde skal være dekket av bestemmelsen, i likhet med «internasjonale avtaler» ellers.

Sjette ledd gir departementet hjemmel til å gi nærmere bestemmelser om behandlingen av personopplysninger i forskrift. Sentralt i denne typen forskrifter vil være bestemmelser om formålet med behandlingen, hvilke opplysninger som kan behandles, hvordan opplysningene skal behandles, vilkår for eventuell utlevering av personopplysninger, bruk av databehandler, krav til sletting og bestemmelser om eventuell sammenstilling av personopplysninger til bruk i forskning og til statistiske formål. Dette er derfor nevnt som spesifikke områder som kan reguleres nærmere i medhold av forskriftshjemmelen.

Til endringen i lov 8. juni 1984 nr. 58 om gjeldsforhandling og konkurs

I konkursloven § 156 oppheves femte ledd annet punktum, da konsesjonsplikten i någjeldende personopplysningslov § 33 det der er vist til, ikke videreføres i den nye personopplysningsloven. Bestemmelsen er derfor uten betydning.

Til endringene i lov 16. juni 1989 nr. 69 om forsikringsavtaler

Henvisningen i forsikringsavtaleloven § 8-1 annet ledd til personopplysningsloven § 2 nr. 7 erstattes med en generell henvisning til personopplysningsloven. Definisjonen av samtykke følger av personvernforordningen artikkel 4 nr. 11. Der behandlingen gjelder særlige kategorier personopplysninger, skal samtykket være uttrykkelig, jf. artikkel 9 nr. 2 bokstav a.

Henvisningen i forsikringsavtaleloven § 18-1 annet ledd til personopplysningsloven § 2 nr. 7 erstattes med en generell henvisning til personopplysningsloven. Definisjonen av samtykke følger av personvernforordningen artikkel 4 nr. 11. Der behandlingen gjelder særlige kategorier personopplysninger, skal samtykket være uttrykkelig, jf. artikkel 9 nr. 2 bokstav a.

Til endringene i lov 4. desember 1992 nr. 126 om arkiv

Henvisningene til personopplysningslovens regler om sletting tas ut av lovens §§ 9 og 18. I motsetning til gjeldende personopplysningslov inneholder forordningen ikke regler om sletting som vil gå foran bevaringsplikten etter arkivlova. Det følger av forordningen artikkel 17 nr. 3 bokstav b at retten til sletting ikke gjelder dersom det foreligger en rettslig forpliktelse i nasjonal rett som krever behandling. En lovfestet bevaringsplikt etter arkivlovgivningen vil dermed gå foran den registrertes rett til sletting etter personvernforordningen. Det vises også til unntaket i artikkel 17 nr. 3 bokstav d, hvor det følger at retten til sletting ikke gjelder for behandling for arkivformål i allmennhetens interesse i den grad rettigheten sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med behandlingen nås.

Til endringene i lov 11. juni 1993 nr. 101 om luftfart

§ 12-14 oppheves som følge av at konsesjonsplikten i gjeldende personopplysningslov ikke videreføres.

Til endringen i lov 3. juni 1994 nr. 15 om Enhetsregisteret

I den nye personopplysningsloven videreføres ikke vilkåret om konsesjon fra Datatilsynet for å behandle personopplysninger i kredittopplysningsvirksomhet, jf. den någjeldende personopplysningsforskriften § 4-5. På denne bakgrunn bør vilkåret i enhetsregisterloven § 22 annet ledd tredje punktum om at kredittopplysningsforetaket må ha konsesjon fra Datatilsynet, oppheves. Vilkåret om at avtalen om tilgang til fødselsnummer og D-nummer må være godkjent av Datatilsynet videreføres.

Til endringen i lov 4. august 1995 nr. 53 om politiet

Til ny § 6 a

Første ledd første punktum gir hjemmel for politiet til å iverksette kameraovervåking. Kameraovervåking kan bare iverksettes dersom det er nødvendig for oppgaver som nevnt i § 2 nr. 1 til 4. Bestemmelsen tar sikte på å videreføre adgangen som politiet etter gjeldende rett har til å benytte kameraovervåking for disse formålene. Annet punktum viderefører definisjonen av kameraovervåking i gjeldende personopplysningslov § 36 første ledd, som også er inntatt i ny personopplysningslov § 31 annet ledd.

Annet ledd første punktum gir anvisning på at det skal foretas en avveining mellom hensynene som begrunner overvåkingen, for eksempel forebygging og oppklaring av straffbare handlinger, og hensynet til den registrertes personvern. Annet ledd annet punktum angir at det særlig skal legges vekt på hvordan overvåkingen skal skje, samt hva slags område som skal overvåkes. Det må i den forbindelse legges vesentlig vekt på om overvåkingen vil omfatte steder der en begrenset krets av personer ferdes jevnlig, eller om overvåkingen gjelder parker, strender og lignende rekreasjonsområder som er tilgjengelig for allmennheten, jf. gjeldende personopplysningslov §§ 38 og 38 a. Selv om den foreslåtte bestemmelsen ikke inneholder uttrykkelige tilleggsvilkår tilsvarende gjeldende personopplysningslov §§ 38 og 38 a, er bestemmelsen er ikke ment å utvide adgangen til overvåking av slike områder.

Tredje ledd viderefører gjeldende personopplysningslov § 40 om krav om varsling om at overvåking finner sted.

Fjerde ledd åpner for å gi forskrift med nærmere bestemmelser om behandling av opplysninger innhentet ved kameraovervåking. Eventuelle forskriftsbestemmelser vil plasseres i politiregisterforskriften.

Til endringene i lov 28. februar 1997 nr. 19 om folketrygd

Til § 21-4 d

Henvisningen i første ledd bokstav b annet punktum til definisjonen av sensitive personopplysninger i gjeldende personopplysningslov endres slik at det henvises til personvernforordningen artikkel 9 og 10, som er de tilsvarende bestemmelsene i personvernforordningen. Se kapittel 7 og 8 om disse bestemmelsene.

Til § 21-11 a

I syvende ledd første punktum endres henvisningen til personopplysningslovens definisjon av behandlingsansvarlig slik at det vises til den tilsvarende definisjonen i personvernforordningen. Videre presiseres det at behandlingsansvaret knytter seg til behandlingen av personopplysninger. Denne endringen er av rent språklig karakter. Passusen om Helsedirektoratets ansvar for informasjonssikkerhet og internkontroll tas ut av bestemmelsen, fordi dette uansett følger av at Helsedirektoratet tillegges behandlingsansvaret.

Åttende ledd oppheves første punktum oppheves, fordi dette punktumet er overflødig ved siden av første punktum i syvende ledd.

Til endringene i lov 19. juni 1997 nr. 62 om familievernkontorer

Lov om familievernkontorer § 11 tredje ledd oppheves, da konsesjonsplikten i någjeldende personopplysningslov § 33 det der er vist til, ikke videreføres i den nye personopplysningsloven.

Til endringene i lov 2. juli 1999 nr. 63 om pasient- og brukerrettigheter

Til § 3-6 Rett til vern mot spredning av opplysninger

I tredje ledd er uttrykket «utlevering» endret til «tilgjengeliggjøring». Med tilgjengeliggjøring menes at opplysningene gjøres tilgjengelige ved utlevering eller ved å gi tilgang til opplysningene, for eksempel i et analysemiljø. Dette uttrykket er mer i samsvar med forordningens ordlyd, jf. definisjonen av «behandling» i artikkel 4 nr. 2 som blant annet omfatter «utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring». Med denne ordlyden blir loven også mer teknologinøytral, ved at den uttrykkelig åpner for at mottakeren også kan få opplysninger ved at det gis tilgang, i stedet for ved distribusjon av data på minnepinne, utskrift, CD-rom, muntlig, på faks eller liknende. Tilsvarende endring foreslås i de andre helselovene.

Til § 5-1 Rett til innsyn i journal

Det er tatt inn en henvisning til forordningen artikkel 15 om innsyn.

Innsyn kan nektes dersom dette er påtrengende nødvendig for å hindre fare for liv eller alvorlig helseskade, jf. annet ledd. I særlige tilfeller vil også et av de generelle unntakene i personopplysningsloven § 16 eventuelt kunne gi grunnlag for å nekte innsyn. Bestemmelsen tilsvarer innsynsretten etter pasientjournalloven § 18.

Til § 5-3 Overføring og tilgjengeliggjøring av journal

Bestemmelsen omfatter både tilgjengeliggjøring av opplysninger fra journaler og overføring av journaler. Uttrykket «utlevering» i gjeldende bestemmelse endres til «tilgjengeliggjøring», se merknadene til pasient- og brukerrettighetsloven § 3-6.

Til endringene i lov 2. juli 1999 nr. 64 om helsepersonell m.v.

Til § 29 Opplysninger til forskning mv.

Bestemmelsen gir departementet myndighet til å dispensere fra taushetsplikten ved bruk av opplysninger til forskning mv. Myndigheten er delegert til den regionale komiteen for medisinsk og helsefaglig forskningsetikk (REK). Vedtak med hjemmel i denne bestemmelsen vil utgjøre supplerende rettsgrunnlag for behandling av personopplysninger etter forordningen artikkel 6 nr. 3 og gjøre unntak fra forbudet mot behandling av særlige kategorier av personopplysninger i tråd med artikkel 9 nr. 2 bokstav j, se punkt 32.3 om disse spørsmålene. Det er presisert at det kan fastsettes vilkår for å verne den registrertes grunnleggende rettigheter og interesser, jf. forordningen artikkel 9 nr. 2 bokstav j.

Uttrykket «utlevering» er endret til «tilgjengeliggjøring», se merknadene til pasient- og brukerrettighetsloven § 3-6. I siste punktum er det gjort en språklig endring for å få samme ordlyd som i andre tilsvarende bestemmelser.

Til § 29 b Opplysninger til helseanalyser, kvalitetssikring, administrasjon mv.

Bestemmelsen gir departementet myndighet til å dispensere fra taushetsplikten ved bruk av opplysninger til helseanalyser, kvalitetssikring, administrasjon mv. Myndigheten er delegert til Helsedirektoratet. Vedtak vil gi supplerende rettsgrunnlag for behandling av opplysningene i samsvar med forordningen artikkel 6 nr. 3 og unntak fra forbudet mot behandling av særlige kategorier av personopplysninger, se punkt 32.3 om disse spørsmålene. Det er presisert at det kan fastsettes vilkår for å verne den registrertes grunnleggende rettigheter og interesser, jf. forordningen artikkel 9 nr. 2 bokstav g og i.

Uttrykket «utlevering» er endret til «tilgjengeliggjøring», se merknadene til pasient- og brukerrettighetsloven § 3-6. Det er gjort noen språklige endringer for å få ensartet terminologi i loven.

Til § 29 c Opplysninger til bruk i læringsarbeid og kvalitetssikring

Bestemmelsen gjør unntak fra taushetsplikten ved helsepersonells bruk av opplysninger til læringsarbeid og kvalitetssikring knyttet til helsehjelpen helsepersonellet selv har ytt. Tilgjengeliggjøring vil gi supplerende rettsgrunnlag for behandling av opplysningene i samsvar med forordningen artikkel 6 nr. 3 og unntak fra forbudet mot behandling av særlige kategorier av personopplysninger i artikkel 9 nr. 1, se punkt 32.3 om disse spørsmålene.

Uttrykket «utlevering» er endret til «tilgjengeliggjøring», se merknadene til pasient- og brukerrettighetsloven § 3-6.

Til § 42 Retting av journal

Bestemmelsen regulerer helsepersonells rett og plikt til å rette feil i pasientjournaler. Gjeldende regler er erstattet med en henvisning til forordningen artikkel 16 om den registrertes rett til å få rettet uriktige eller ufullstendige opplysninger om seg selv. Regelen om at opplysningene skal rettes dersom de er utilbørlige, er en videreføring av gjeldende rett. Det er gjort en språklig endring i forskriftshjemmelen. Dette innebærer ingen realitetsendring.

Til § 45 Utlevering av og tilgang til journal og journalopplysninger

Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», se merknadene til pasientjournalloven § 2.

Til endringene i lov 23. juni 2000 nr. 56 om helsemessig og sosial beredskap

Til § 2-4 Beredskapsregistre

Reglene om melding til Datatilsynet ved etablering av beredskapsregistre, er opphevet fordi meldekravet ikke videreføres i den nye personopplysningsloven.

Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», se punkt 32.2. Uttrykket «utlevering» er endret til «tilgjengeliggjøring», se merknadene til pasient- og brukerrettighetsloven § 3-6.

Til endringene i lov 21. februar 2003 nr. 12 om behandlingsbiobanker

Til § 3 Virkeområde

Henvisningen i annet ledd til kravene i relevant lovgivning, er supplert med en henvisning til forordningen. Behandlingsbiobankene brukes til diagnostikk og behandling av pasienter. Fra 2014 har behandling av helseopplysninger i pasientjournaler og andre behandlingsrettede helseregistre blitt regulert i pasientjournalloven. Henvisningen til helseregisterloven er derfor erstattet med en henvisning til pasientjournalloven.

Til § 5 Melding om opprettelse av diagnostiske biobanker og behandlingsbiobanker

I første ledd nr. 7 er uttrykkene «databehandlingsansvarlig» og «behandlingsansvarlig» endret til «dataansvarlig», se punkt 32.2. Henvisningen til helseregisterloven er erstattet med en henvisning til pasientjournalloven, se merknaden til § 3.

Til § 7 Ansvarshavende

I første ledd er uttrykket «behandlingsansvarlig» endret til «dataansvarlig», se punkt 32.2. Henvisningen til helseregisterloven er erstattet med en henvisning til pasientjournalloven, se merknaden til § 3.

Til § 15 Andres tilgang til materiale i en biobank

I tredje ledd er det tatt inn en henvisning til forordningen. Det gjøres også en språklig justering, ved at «tillatelse» endres til «adgang».

Henvisningen til helseregisterloven er erstattet med en henvisning til pasientjournalloven, se merknaden til § 3.

Til § 17 Tilsyn

I annet ledd er det tatt inn en henvisning til forordningen. I tillegg er henvisningen til helseregisterloven endret til en henvisning til pasientjournalloven, se merknaden til § 3.

Til endringene i lov 19. desember 2003 nr. 124 om matproduksjon og mattrygghet mv.

Til § 29 Etablering av dataregistre

I første ledd er henvisningen til personopplysningsloven § 2 nr. 8 om sensitive personopplysninger, erstattet med en henvisning til forordningen artikkel 9 nr. 1 om særlige kategorier av personopplysninger.

Til endringene i lov 10. desember 2004 nr. 76 om arbeidsmarkedstjenester

En henvisning til personopplysningsloven inntas i § 14.

Til endringene i lov 17. juni 2005 nr. 62 om arbeidsmiljø, arbeidstid og stillingsvern mv.

Til § 9-5

Bestemmelsen viderefører personopplysningsloven § 3 for så vidt gjelder adgangen til å gi forskrift om arbeidsgivers adgang til innsyn i arbeidstakers e-postkasse og annet elektronisk lagret materiale.

Til § 9-6

Bestemmelsen gir adgang til å gi forskrift om kameraovervåking i virksomheten og gir således hjemmel for å videreføre dagens regulering i personopplysningsloven kapittel VII og personopplysningsforskriften kapittel 8, innenfor arbeidsmiljølovens rammer.

Til endringene i lov 17. juni 2005 nr. 101 om eigedomsregistrering

Til § 22

Henvisningene til personopplysningslovens regler om informasjon erstattes med henvisninger til de tilsvarende bestemmelsene i forordningen. Henvisningen til reglene om melde- og konsesjonsplikt tas ut av bestemmelsen som følge av at melde- og konsesjonsplikten ikke videreføres.

Til § 26

Henvisningen til personopplysningslovens regler om retting av mangelfulle opplysninger erstattes av en henvisning til personvernforordningen artikkel 16 om retting av uriktige opplysninger.

Til § 30

I syvende ledd utgår den delen av bestemmelsen som åpner for å gjøre unntak fra meldeplikten, som følge av at meldeplikten ikke videreføres i ny personopplysningslov.

Til endringen i lov 19. mai 2006 nr. 16 om rett til innsyn i dokument i offentleg verksemd

Henvisningen til personopplysningslovens definisjon av personopplysning tas ut av lovens § 10. Endringen har ingen realitetsbetydning.

Til endringen i lov 16. juni 2006 nr. 20 om arbeids- og velferdsforvaltningen

I § 3 tredje ledd første punktum erstattes henvisningen til personopplysningslovens definisjon av behandlingsansvarlig erstattes med en henvisning til den tilsvarende bestemmelsen i personvernforordningen. Passusen om direktoratets ansvar for informasjonssikkerhet og internkontroll tas ut av bestemmelsen, fordi dette uansett følger av at direktoratet tillegges behandlingsansvaret. Det gjøres i tillegg visse språklige endringer.

Til endringene i lov 29. juni 2007 nr. 75 om verdipapirhandel

Henvisningen i verdipapirhandelloven § 9-17 annet ledd nr. 2 til den gamle personopplysningsloven erstattes med en henvisning til personopplysningsloven.

Henvisningen i verdipapirhandelloven § 9-28 til någjeldende personopplysningslov § 2 nr. 8 bokstav b, som gjelder opplysninger om at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling, erstattes med henvisning til personvernforordningen artikkel 10.

Til endringen i lov 21. desember 2007 nr. 119 om toll og vareførsel

Henvisningene i tolloven § 13-12 første ledd til opplysninger om straffbare forhold og helseopplysninger i henholdsvis personopplysningsloven § 2 nr. 8 bokstav b og c, erstattes med tilsvarende henvisninger til den nye personopplysningsloven og personvernforordningen. Henvisningen til någjeldende personopplysingslov § 2 nr. 8 bokstav b erstattes med en henvisning til personvernforordningen artikkel 10 og henvisningen til någjeldende personopplysningslov § 2 nr. 8 bokstav c erstattes med en henvisning til personvernforordningen artikkel 9 nr. 1. Selve definisjonen av helseopplysninger fremgår av personvernforordningen artikkel 4 nr. 15, men departementet mener henvisningen bør være til artikkel 9, da dette fremhever at tolloven § 13-12 utgjør et unntak fra forbudet i artikkel 9 nr. 1.

Til endringene i lov 20. juni 2008 nr. 44 om medisinsk og helsefaglig forskning

Til § 2 Lovens saklige virkeområde

Henvisningen til personopplysningsloven er i annet ledd supplert med en henvisning til personvernforordningen. Når det gjelder lovens anvendelse for avdøde og andre taushetsbelagte opplysninger, se merknadene til § 4. I siste ledd er det rettet opp et par trykkfeil.

Til § 3 Lovens geografiske virkeområde

Annet ledd om dataansvarlige utenfor Norge, oppheves. Dette leddet gjennomførte personverndirektivet, som ikke lenger vil være gjeldende. Det vises til at forordningen gjelder likt for behandling i Norge og i andre land i EØS, og har egne bestemmelser om overføring av opplysninger til tredjestater.

Til § 4 Definisjoner

Definisjonen av begrepet «helseopplysninger» i bokstav d er erstattet med definisjonen i forordningen artikkel 4 nr. 15. Definisjonen omfatter ikke avdøde og alle opplysninger som omfattes av taushetsplikten, slik som gjeldende definisjon. Gjeldende rett videreføres ved at lovens saklige virkeområde etter § 2 utvides.

Til § 10 Søknad om forhåndsgodkjenning

I annet ledd er det tatt inn en presisering om at den regionale komiteen for medisinsk og helsefaglig forskningsetikk (REK) kan fastsette vilkår for å verne de registrertes grunnleggende rettigheter og interesser, jf. forordningen artikkel 9 nr. 2 bokstav j. REK kan også sette andre vilkår, for eksempel krav om bestemte prosedyrer for å verne deltakerens helse. Dette er en videreføring av gjeldende rett.

Til § 13 Hovedregel om samtykke

Kravene til gyldig samtykke, det vil si at samtykket må være informert, frivillig, uttrykkelig og dokumenterbart, er erstattet av en definisjon som samsvarer med forordningen artikkel 4 nr. 11. Det følger av denne definisjonen at med samtykke menes enhver frivillig, spesifikk, informert og utvetydig viljesytring fra den registrerte der vedkommende ved en erklæring eller en tydelig bekreftelse gir sitt samtykke til behandling av helseopplysninger som gjelder vedkommende. Dette betyr at kravene til samtykke fortsatt vil være de samme for behandling av helseopplysninger som for humant biologisk materiale. Selv om den nye ordlyden ikke er helt lik, innebærer dette i praksis ingen endring i gjeldende samtykkekrav.

Til § 32 Hovedregel for behandling av helseopplysninger

I bestemmelsen er det tatt inn en henvisning til forordningen artikkel 5 om prinsippene som gjelder ved all behandling av helseopplysninger. Dette er grunnleggende prinsipper som skal gjelde også i forskning.

Til § 33 Krav om forhåndsgodkjenning

Den personopplysningsrettslige betydningen av forhåndsgodkjenningen endres, ved at den forskningsetiske forhåndsgodkjenningen ikke lenger vil utgjøre et rettslig grunnlag for behandling av personopplysninger. I stedet er det på vanlig måte nødvendig med et behandlingsgrunnlag etter forordningen artikkel 6 nr. 1 og et unntak fra forbudet mot behandling av særlige kategorier av personopplysninger etter artikkel 9 nr. 2. Det vises til punkt 6.3 til 6.4 og 7.1 over for en generell omtale av disse kravene i forordningen, samt punkt 32.3 over om hvilke bestemmelser som åpner for behandling av helseopplysninger i medisinsk og helsefaglig forskning.

Dersom forskningen er basert på samtykke, gir forordningen artikkel 6 nr. 1 bokstav a behandlingsgrunnlag, og artikkel 9 nr. 2 bokstav a gjør unntak fra forbudet mot behandling av særlige kategorier av personopplysninger. Det er derfor ikke nødvendig med supplerende lovgivning.

For forskning som ikke er basert på samtykke, vil det derimot være nødvendig med supplerende nasjonale bestemmelser. Den nye personopplysningsloven inneholder to bestemmelser som åpner for forskning uten samtykke, som supplerer forordningen artikkel 6 nr. 1 bokstav e og artikkel 9 nr. 2 bokstav j, jf. forslaget til ny personopplysningslov §§ 8 og 9. Det vises til punkt 11.1 og 11.2 om disse forslagene. Bestemmelsene om forskning i personopplysningsloven §§ 8 og 9 omfatter blant annet medisinsk og helsefaglig forskning. Personopplysningsloven begrenser ikke adgangen til forskning i medhold av særlovgivning, og det vil ikke være nødvendig å se hen til bestemmelsene i personopplysningsloven §§ 8 og 9 dersom det finnes annen lovgivning som åpner for forskning uten samtykke. Helselovgivningen vil åpne for behandling av helseopplysninger uten samtykke i medisinsk og helsefaglig forskning. Bestemmelsene og dispensasjonsvedtak som gjør unntak fra taushetsplikten, vil utgjøre supplerende rettsgrunnlag for behandling av personopplysninger uten samtykke i tråd med forordningen artikkel 6 nr. 1 bokstav e og åpne for behandling av særlige kategorier av personopplysninger etter artikkel 9 nr. 2 bokstav j, se punkt 32.3 over om dette.

Helselovgivningens bestemmelser innebærer samtidig ikke at man er avskåret fra å basere behandlingen på personopplysningsloven §§ 8 og 9. Dersom det skulle oppstå tilfeller der helselovgivningen ikke gir tilstrekkelig supplerende rettsgrunnlag eller unntak fra forbudet mot behandling av særlige kategorier av personopplysninger, kan den dataansvarlige falle tilbake på de generelle bestemmelsene i personopplysningsloven dersom vilkårene der er oppfylt.

I et nytt tredje ledd er det gjort unntak fra personopplysningsloven § 10 og § 11 annet ledd, som stiller krav om rådføring med personvernombud eller annen rådgiver ved all samtykkebasert forskning på særlige kategorier av personopplysninger eller personopplysninger om straffedommer og lovovertredelser mv., jf. forordningen artikkel 9 og 10. Den dataansvarlige vil likevel måtte vurdere personvernkonsekvensene og drøfte behandlingen med personvernombudet så langt dette følger av de generelle reglene i forordningen artikkel 35.

Helseforskningslovens krav vil også gjelde uansett. Det vil fremdeles være et krav om REKs forhåndsgodkjenning ved bruk av helseopplysninger i medisinsk og helsefaglig forskning. Forhåndsgodkjenningen skal sikre at forskningsetikken ved nye prosjekter er ivaretatt, jf. helseforskningsloven § 9 og § 10. REK skal gjøre en helhetlig forskningsetisk vurdering av alle prosjektets sider og påse at det totalt sett er forsvarlig. REKs vurdering av de personvernmessige sidene av behandlingen, skal ikke være bindende for Datatilsynet ved et eventuelt tilsyn. Datatilsynet vil på selvstendig grunnlag kunne ta stilling til om behandlingen er i samsvar med forordningen, for eksempel om det er avgitt gyldig samtykke, om informasjonen til de registrerte er tilstrekkelig og om prinsippet om dataminimering er ivaretatt. Datatilsynet vil kunne fastsette tvangsmulkt eller overtredelsesgebyr dersom kravene i forordningen ikke er overholdt.

Til § 34 Behandling av helseopplysninger

Første og tredje ledd er justert i lys av at kravet om behandlingsgrunnlag i § 33 oppheves. I tredje ledd presiseres det at mottakeren må ha adgang til å behandle personopplysningene etter forordningen. Mottakeren vil ha adgang til å behandle opplysningene for eksempel dersom det er innhentet samtykke eller dersom det er fattet et vedtak om dispensasjon fra taushetsplikten.

Uttrykket «databehandlingsansvarlig» er i bestemmelsen endret til «dataansvarlig», se punkt 32.2. Uttrykket «utlevering» er endret til «tilgjengeliggjøring», se merknadene til pasient- og brukerrettighetsloven § 3-6.

Til § 35 Adgang til bruk av helseopplysninger som er innsamlet i helse- og omsorgstjenesten til forskning

I første ledd er det tatt inn en presisering om at REK kan fastsette vilkår for å verne den registrertes grunnleggende rettigheter og interesser, jf. forordningen artikkel 9 nr. 2 bokstav j.

Til § 36 Retting av helseopplysninger mv.

Det er tatt inn et nytt første ledd som henviser til forordningen artikkel 16 og 17 og til personopplysningsloven § 17 annet og tredje ledd.

Til § 40 Rett til innsyn for forskningsdeltakeren

Bestemmelsen regulerer forskningsdeltakerens (den registrertes), rett til innsyn i helseopplysninger om seg selv. Presiseringen av at dette gjelder personidentifiserbare og pseudonyme opplysninger, oppheves. Dette følger av definisjonen av helseopplysninger, og trenger ikke presiseres. Begrepet pseudonyme helseopplysninger ble tatt ut i helseregisterloven fra 2014.

Det er tatt inn en henvisning til forordningen artikkel 15, som regulerer innsyn. Retten til innsyn i sikkerhetstiltakene er en videreføring av gjeldende rett, og følger ikke av forordningen.

Til § 42 Unntak fra innsyn

Bestemmelsen henviser til personopplysningslovens regler om unntak fra innsynsretten, og fastsetter at disse bestemmelsene gjelder tilsvarende for unntak fra innsynsretten etter helseforskningsloven § 41. Det er gjort en språklig endring i siste ledd, ved at uttrykket «påklages» er endret til «overprøves».

Til § 47 Datatilsynets myndighet

Det er tatt inn en henvisning til personvernforordningen og den nye personopplysningslovens regler om Datatilsynet. Datatilsynet har etter forordningen artikkel 58, myndighet til blant annet å utføre undersøkelser og beslutte korrigerende tiltak, for eksempel ved å gi pålegg til dataansvarlige om å endre behandlingen slik at den blir i samsvar med forordningen. Det er tatt inn et krav om at Statens helsetilsyn skal informeres om eventuelle pålegg («korrigerende tiltak», jf. forordningen artikkel 58 nr. 2). Dette er en videreføring av gjeldende § 52 om at Datatilsynet skal varsle Statens helsetilsyn om pålegg om retting, stansing mv.

Til § 50 Erstatning

Bestemmelsen er redigert slik at erstatningsansvar ved behandling av humant biologisk materiale nå reguleres i annet ledd, mens erstatningsansvar ved behandling av helseopplysninger reguleres i tredje ledd. Reglene om erstatningsansvar ved behandling av helseopplysninger er endret tilsvarende helseregisterloven § 31. I samsvar med forordningen kan også databehandleren trekkes til ansvar.

Til § 52 Datatilsynets adgang til å fatte vedtak om overtredelsesgebyr mv.

Det er i bestemmelsen tatt inn en henvisning til forordningen og den nye personopplysningslovens regler om overtredelsesgebyr. Vedtakene kan påklages til Personvernnemnda etter reglene i personopplysningsloven § 22.

Til § 53 Tvangsmulkt

Bestemmelsen er endret slik at reglene om tvangsmulkt fastsatt av Statens helsetilsyn er regulert i første ledd, mens tvangsmulkt fastsatt av Datatilsynet er regulert i annet ledd ved en henvisning til personopplysningsloven § 29.

Til endringen i lov 17. oktober 2008 nr. 79 om utvalget for gjennomgang av stortingspensjoner

Lovens § 3 oppheves, da konsesjonsplikten i den någjeldende personopplysningsloven det der gjøres unntak fra, ikke videreføres i den nye personopplysningsloven. Bestemmelsen er dermed overflødig.

Til endringene i lov 19. juni 2009 nr. 97 om dyrevelferd

I § 36 første ledd annet punktum erstattes henvisningen til personopplysningslovens definisjon av sensitive personopplysninger med en henvisning til personvernforordningen artikkel 9 og 10.

Til endringene i lov 25. november 2011 nr. 44 om verdipapirfond

Henvisningen i § 1-6 til någjeldende personopplysningslov § 2 nr. 8 bokstav b, som gjelder opplysninger om at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling, erstattes med henvisning til personvernforordningen artikkel 10.

Til endringene i lov 24. august 2012 nr. 64 om bustøtte

Til § 8

I første ledd er henvisningen til personopplysningslovens regler om informasjonsplikt når det samles inn opplysninger fra andre enn den registrerte, erstattet med en henvisning til den tilsvarende bestemmelsen i forordningen. Det er i tillegg foretatt visse språklige endringer for å klargjøre at informasjonsplikten gjelder selv om det som et utgangspunkt ikke gjelder informasjonsplikt når innhentingen er uttrykkelig fastsatt i lov, jf. personvernforordningen artikkel 14 nr. 5 bokstav c. Endringen har ingen realitetsbetydning.

Til § 8 a

I tredje ledd er henvisningen til personopplysningslovens definisjon av sensitive personopplysninger erstattet med henvisninger til personvernforordningen artikkel 9 og 10.

Til § 8 b

I syvende ledd er henvisningen til personopplysningslovens regler om informasjonsplikt når det samles inn opplysninger fra andre enn den registrerte, erstattet med en henvisning til den tilsvarende bestemmelsen i forordningen. Det er i tillegg foretatt visse språklige endringer for å klargjøre at informasjonsplikten gjelder selv om det som et utgangspunkt ikke gjelder informasjonsplikt når innhentingen er uttrykkelig fastsatt i lov, jf. personvernforordningen artikkel 14 nr. 5 bokstav c. Endringen har ingen realitetsbetydning.

Til § 8 c

I annet ledd første punktum er henvisningen til personopplysningslovens regler om informasjonsplikt når det samles inn opplysninger fra andre enn den registrerte, erstattet med en henvisning til den tilsvarende bestemmelsen i forordningen. Det er i tillegg foretatt visse språklige endringer, for å klargjøre at informasjonsplikten gjelder selv om det som et utgangspunkt ikke gjelder informasjonsplikt når innhentingen er uttrykkelig fastsatt i lov, jf. personvernforordningen artikkel 14 nr. 5 bokstav c. Endringen har ingen realitetsbetydning.

Til endringene i lov 11. januar 2013 nr. 3 om Statens innkrevingssentral

I § 6 oppheves annet og tredje ledd om unntak fra konsesjons- og meldeplikt, som følge av at melde- og konsesjonsplikten ikke videreføres.

Til endringene i lov 20. juni 2014 nr. 28 om forvaltning av alternative investeringsfond

Henvisningen i § 1-6 til någjeldende personopplysningslov § 2 nr. 8 bokstav b, som gjelder opplysninger om at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling, erstattes med henvisning til personvernforordningen artikkel 10.

Til endringene i lov 20. juni 2014 nr. 42 om behandling av helseopplysninger ved ytelse av helsehjelp

Til § 2 Definisjoner

Det er gjort endringer i definisjonene av helseopplysninger og behandling av helseopplysninger slik at disse korresponderer med definisjonen av disse begrepene i forordningen artikkel 4 nr. 2 og 15. Definisjonen av begrepet «helseopplysninger» omfatter ikke avdøde eller alle opplysninger som omfatter av taushetsplikten, slik som gjeldende definisjon. Gjeldende rett videreføres ved at lovens saklige virkeområde i stedet utvides, se § 3.

Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», og definert i bestemmelsen, se punkt 32.2.

Til § 3 Saklig virkeområde

Bestemmelsen får et tillegg som sier at lovens bestemmelser om behandling av helseopplysninger også skal gjelde så langt de passer for opplysninger om avdøde personer og for andre opplysninger som er taushetsbelagte etter helsepersonelloven § 21. Dette betyr at det ikke blir innholdsmessige endringer i lovens saklige virkeområde, selv om definisjonen av helseopplysninger i forordningen er noe snevrere enn gjeldende definisjon i pasientjournalloven. Verken forordningen, jf. fortalen punkt 27, eller den nye personopplysningsloven omfatter opplysninger om avdøde personer. Vi kan likevel ha nasjonale (sær)regler om dette.

Til § 5 Forholdet til personvernforordningen og personopplysningsloven

Presiseringen av at personopplysningsloven gjelder så langt ikke annet følger av pasientjournalloven, videreføres. Det er tatt inn et tillegg som viser at dette også gjelder med hensyn til forordningen.

Til § 4 Geografisk virkeområde

Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», se punkt 32.2. Annet ledd om dataansvarlige i andre land, oppheves. Disse reglene gjennomførte regler i personverndirektivet som ikke er videreført i forordningen. Forordningen gjelder tilsvarende for alle EØS-stater, jf. artikkel 3. Videre har forordningen regler om dataansvarlige utenfor EU og overføring av opplysninger til tredjestater, jf. artikkel 27 og artikkel 44 flg. Utenfor virkeområdet til loven vil ikke særreglene i loven gjelde, men de generelle reglene i forordningen, jf. artikkel 3.

Til § 6 Rett til å behandle personopplysninger

Unntaket fra konsesjonsplikten etter personopplysningsloven oppheves som følge av at konsesjonsplikten ikke videreføres.

Til § 9 Samarbeid mellom virksomheter om behandlingsrettede helseregistre

Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», se punkt 32.2.

Til § 10 Etablering av nasjonale behandlingsrettede helseregistre

Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», se punkt 32.2.

Til § 11 Systemer for saksbehandling, administrasjon mv. av helsehjelp

Uttrykket «databehandlingsansvar» er endret til «dataansvar», se punkt 32.2.

Til § 12 Reseptformidleren

Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», se punkt 32.2.

Til § 13 Nasjonal kjernejournal

Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», se punkt 32.2.

Til § 18 Informasjon og innsyn

Det er tatt inn en henvisning til forordningen artikkel 13 og 15 om informasjon og innsyn. Første ledd annet punktum om rett til innsyn i hvem som har hatt tilgang til eller fått utlevert helseopplysninger som er knyttet til pasientens eller brukerens navn eller fødselsnummer, er opphevet. Denne retten til innsyn følger av forordningen 15 nr. 1 bokstav c. Henvisningen til pasient- og brukerrettighetsloven § 5-1 om rett til innsyn i journal er videreført. Det er i tillegg tatt inn en henvisning til pasient- og brukerrettighetsloven § 3-6 tredje ledd om rett til å bli informert når helseopplysninger utleveres til andre.

Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», se punkt 32.2.

Til § 19 Helseopplysninger ved helsehjelp

Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», se punkt 32.2.

Til § 20 Helseopplysninger til andre formål enn helsehjelp

Kravene til gyldig samtykke er erstattet med definisjonen i forordningen artikkel 2 nr. 11 som gjelder ved behandling av helseopplysninger. Samtykkekravet etter forordningen og denne bestemmelsen, fraviker fra kravene i pasient- og brukerrettighetsloven kapittel 4 som gjelder samtykke til helsehjelp. Se pasient- og brukerrettighetsloven § 4-2 om samtykke til behandling av helseopplysninger.

Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», se punkt 32.2.

Til § 21 Personopplysninger fra folkeregisteret

Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», se punkt 32.2.

Til § 22 Informasjonssikkerhet

Bestemmelsen erstatter bestemmelsen om sikring av konfidensialitet, integritet og tilgjengelighet, som korresponderte med personopplysningsloven § 13 om informasjonssikkerhet. Denne bestemmelse er foreslått opphevet i den nye personopplysningsloven.

Det er i stedet tatt inn en henvisning til forordningen artikkel 32 som krever at den dataansvarlige gjennomfører tekniske og organisatoriske tiltak som ivaretar informasjonssikkerheten. Forordningen har krav om konfidensialitet, integritet, tilgjengelighet og robusthet, som langt på vei tilsvarer helseregisterlovens krav om konfidensialitet, integritet og tilgjengelighet. Forordningen har også krav om protokoll over sikkerhetstiltakene og at protokollen skal gjøres tilgjengelig for tilsynsmyndighetene. Det skal også føres protokoll over kategoriene av mottakere dersom opplysningene utleveres, men ikke konkret hvem som opplysningen utleveres til (artikkel 30).

Kravet om tilgangsstyring, logging og etterfølgende kontroll er presiseringer som videreføres i loven. Se også forordningen artikkel 25 nr. 2 som stiller krav om innebygd personvern og tilgangsstyring.

Til § 23 Internkontroll

Bestemmelsen erstatter bestemmelsen om internkontroll som korresponderte med den tidligere personopplysningsloven § 14. Det er tatt inn en henvisning til forordningen artikkel 24 om plikten til å gjennomføre «egnede tekniske og organisatoriske tiltak». Kravet om dokumentasjon følger av forordningens krav i artikkel 30 om protokoll over sikkerhetstiltakene og at protokollen skal gjøres tilgjengelig for tilsynsmyndighetene.

Til § 26 Tilsynsmyndighetene

Denne bestemmelsen erstatter pasientjournalloven § 26 om tilsynsmyndigheter, § 27 om pålegg og § 28 om tvangsmulkt. Datatilsynet vil kunne pålegge tvangsmulkt etter personopplysningsloven § 29.

§ 29 Overtredelsesgebyr

Bestemmelsen gir Datatilsynet hjemmel til å fastsette overtredelsesgebyr ved behandling av helseopplysninger i strid med loven eller forskrifter gitt i medhold av loven. Det er tatt inn en henvisning til forordningen artikkel 83 og personopplysningsloven § 26 og § 27 om overtredelsesgebyr.

Til § 30 Straff

Straffansvaret i annet ledd oppheves. Dette er i tråd med innretningen i den nye personopplysningsloven som ikke viderefører straffansvar. Det vil fremdeles gjelde straffansvar for forsettlig eller grovt uaktsomt overtredelse av § 15 om taushetsplikt eller § 16 om forbud mot urettmessig tilegnelse av helseopplysninger, jf. § 30 første ledd. Også fjerde ledd, som åpner for å fastsette straffebestemmelser i forskrift, oppheves.

Til § 31 Erstatning

Bestemmelsen regulerer den dataansvarliges og databehandlerens erstatningsansvar. Bestemmelsen erstatter pasientjournalloven § 31. Artikkel 82 har detaljerte regler om erstatningsansvar for dataansvarlige og databehandlere ved brudd på forordningen. Forordningen åpner ikke for generelle nasjonale tilpasninger. Det foreslås ingen regler om erstatning i den nye personopplysningsloven. Det vises også til oppreisningsansvaret etter personopplysningsloven § 30. Siden artikkel 82 kun gjelder brudd på reglene i forordningen, presiseres det at erstatningsansvaret også gjelder ved brudd på loven eller forskrifter gitt i medhold av den. Nytt er at ansvaret for brudd på reglene ikke bare gjelder for den dataansvarlige, men også databehandleren. Dette er en lovfesting av det som gjelder etter forordningen.

Til endringene i lov 20. juni 2014 nr. 43 om helseregistre og behandling av helseopplysninger

Til § 2 Definisjoner

Det er gjort endringer i definisjonene av helseopplysninger, behandling av helseopplysninger, helseregister, dataansvar og samtykke slik at disse korresponderer med definisjonen av disse begrepene i forordningen artikkel 4 nr. 2, 6, 11 og 15. «Behandling» er definert i forordningen artikkel 4 nr. 2. Se ellers merknadene til pasientjournalloven § 2. Endringene innebærer ingen realitetsendring. Dette gjelder i utgangspunktet også kravene til samtykke, men dette vil avhenge av hvordan forordningen med tiden vil bli fortolket.

Til § 3 Saklig virkeområde

Bestemmelsen får et tillegg som sier at lovens bestemmelser om behandling av helseopplysninger også skal gjelde for tilsvarende opplysninger om avdøde personer og for andre opplysninger som er taushetsbelagte etter helsepersonelloven § 21. Se merknadene til pasientjournalloven § 3.

Til § 4 Geografisk virkeområde

Uttrykket «databehandlingsansvarlige» er endret til «dataansvarlige», se punkt 32.2.

Annet ledd om dataansvarlige i andre land, oppheves. Se merknadene til pasientjournalloven § 4.

Til § 5 Forholdet til personvernforordningen og personopplysningsloven

Presiseringen av at personopplysningsloven gjelder så langt ikke annet følger av helseregisterloven, videreføres. Det er også tatt inn et tillegg som viser at dette også gjelder med hensyn til forordningen.

Til § 6 Alminnelige vilkår for å behandle helseopplysninger

Gjeldende første, annet og tredje ledd erstattes av en henvisning til forordningen artikkel 5 som angir grunnvilkårene for all behandling av personopplysninger. Artikkel 5 stiller krav om lovlighet, rettferdighet og åpenhet, samt formålsbegrensning, dataminimering, nøyaktighet, lagringsbegrensning, integritet, konfidensialitet og ansvar.

Uttrykket «databehandlingsansvarlige» er endret til «dataansvarlige», se punkt 32.2.

Til § 8 Vilkår for etablering av helseregistre ved forskrift

Bestemmelsen gir hjemmel til å fastsette bestemmelser om behandling av opplysninger i registrene. Forskrifter gitt med hjemmel i § 8, jf. § 9 til § 11 vil gi supplerende rettsgrunnlag for å behandle helseopplysninger, jf. forordningen artikkel 6 nr. 3, og unntak fra forbudet mot behandling av særlige kategorier av personopplysninger i artikkel 9 nr. 1. Se nærmere i punkt 32.3 om disse spørsmålene.

Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», se punkt 32.2.

Til § 9 Registre som er samtykkebaserte eller uten direkte personidentifiserende kjennetegn

Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», se punkt 32.2.

Til § 12 Helsearkivregisteret

Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», se punkt 32.2.

Til § 14 Opplysninger fra Folkeregisteret

Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», se punkt 32.2.

Til § 19 Sammenstilling av helseopplysninger

Bestemmelsen gir hjemmel til å fastsette forskrifter om sammenstilling av registre. Slike forskriftsbestemmelser vil gi adgang til sammenstilling. Siste ledd om at sammenstillingen må være tillatt etter personopplysningsloven, oppheves. Adgangen til å sammenstille vil ikke være uttømmende oppregnet i forskriftene. Det kan også være adgang til å sammenstille med hjemmel i de generelle reglene om behandling av personopplysninger i forordningen artikkel 5, jf. artikkel 6 og 9. Dette presiseres i annet ledd.

Uttrykket «utlevering» er endret til «tilgjengeliggjøring», se merknadene til pasient- og brukerrettighetsloven § 3-6. Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», se punkt 32.2.

Til § 20 Unntak fra taushetsplikten for indirekte identifiserbare helseopplysninger

Uttrykket «utlevering» er endret til «tilgjengeliggjøring», se merknadene til pasient- og brukerrettighetsloven § 3-6. Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», se punkt 32.2.

Den dataansvarliges vedtak om tilgjengeliggjøring av indirekte identifiserbare helseopplysninger fra lovbestemte registre, vil gi supplerende rettsgrunnlag for behandling av opplysningene i samsvar med forordningen artikkel 6 nr. 3 og unntak fra forbudet mot behandling av særlige kategorier av personopplysninger i artikkel 9 nr. 1. Se nærmere i punkt 32.3 om disse spørsmålene. Det er presisert i bestemmelsen at den dataansvarlige kan fastsette vilkår for å verne den registrertes grunnleggende rettigheter og interesser, jf. forordningen artikkel 9 nr. 2.

Til § 21 Informasjonssikkerhet

Se merknadene til den tilsvarende bestemmelsen i pasientjournalloven § 22.

Til § 22 Internkontroll

Se merknadene til den tilsvarende bestemmelsen i pasientjournalloven § 23.

Til § 23 Informasjon til allmennheten om behandling av helseopplysninger

Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», se punkt 32.2.

Til § 24 Rett til informasjon og innsyn

Reglene om informasjon og innsyn i første ledd erstattes av en henvisning til de generelle reglene om dette i forordningen artikkel 13 til 15. Det følger av § 5 at unntaksbestemmelsene i personopplysningsloven kommer til anvendelse, men det er av pedagogiske hensyn tatt inn en henvisning til unntakene i personopplysningsloven § 16 og 17. Retten til innsyn i hvem som har fått tilgang til eller utlevert opplysningene, er videreført.

Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», se punkt 32.2.

Til § 25 Retting, sperring eller sletting

Det er tatt inn en henvisning til forordningen artikkel 16 og 17 og til unntakene i personopplysningsloven § 17 annet og tredje ledd. Gjeldende § 25 om sletting eller sperring er for øvrig videreført. Siden det er tatt inn en henvisning til artikkel 16 om retting, er overskriften endret.

Uttrykket «databehandlingsansvarlig» er endret til «dataansvarlig», se punkt 32.2.

Til § 26 Tilsynsmyndighetene

Denne bestemmelsen erstatter någjeldende helseregisterloven § 26 om tilsynsmyndigheter, § 27 om pålegg og § 28 om tvangsmulkt. Datatilsynet vil kunne ilegge tvangsmulkt etter personopplysningsloven § 29.

Til § 29 Overtredelsesgebyr

Se merknadene til den tilsvarende bestemmelsen i pasientjournalloven § 29

Til § 30 Straff

Straffansvaret i annet ledd oppheves. Dette er i tråd med innretningen i den nye personopplysningsloven som ikke viderefører straffansvar. Det vil fremdeles gjelde straffansvar for forsettlig eller grovt uaktsom overtredelse av § 17 om taushetsplikt eller § 18 om forbud mot urettmessig tilegnelse av helseopplysninger, jf. § 30 første ledd. Også fjerde ledd, som åpner for å fastsette straffebestemmelser i forskrift, oppheves.

Til § 31 Erstatning

Se merknadene til den tilsvarende bestemmelsen i pasientjournalloven § 31.

Til endringen i lov 10. april 2015 nr. 17 om finansforetak og finanskonsern

Henvisningen i § 9-8 første ledd til någjeldende personopplysningslov § 2 nr. 8 bokstav b, som gjelder opplysninger om at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling, erstattes med henvisning til personvernforordningen artikkel 10.

Til endringene i lov 4. september 2015 nr. 85 om gjennomføring av konvensjon 19. oktober 1996 om jurisdiksjon, lovvalg, anerkjennelse, fullbyrdelse og samarbeid vedrørende foreldremyndighet og tiltak for beskyttelse av barn

Någjeldende § 3 første ledd, som fastslår at det er adgang til å overføre personopplysninger til utlandet etter nærmere bestemte regler i personopplysningsloven, oppheves.

Forordningen begrenser ikke adgangen til å overføre personopplysninger til EU/EØS-land, jf. artikkel 1 nr. 3. Så langt forordningen stiller krav til overføringer til stater utenfor EU/EØS og internasjonale organisasjoner, må overføring vurderes etter disse bestemmelsene, jf. forordningen kapittel V.

Når det gjelder overføring til stater utenfor EU/EØS og internasjonale organisasjoner, viser departementet til artikkel 96, som fastsetter at tidligere inngåtte internasjonale avtaler om overføring av personopplysninger fortsetter å gjelde. Departementet legger på denne bakgrunn til grunn at personvernforordningen ikke er til hinder for å overføre personopplysninger til utlandet så langt Haagkonvensjonen 1996 pålegger eller åpner for dette.

Til endringene i lov 16. juni 2017 nr. 47 om gjeldsinformasjon ved kredittvurdering av privatpersoner

Til § 2

Kravet om konsesjon for behandling av personopplysninger i kredittopplysningsvirksomhet videreføres ikke i ny personopplysningslov. Definisjonen av kredittopplysningsforetak i bestemmelsens bokstav c endres derfor slik at den i stedet for å vise til foretak som har tillatelse til å drive kredittvirksomhet etter personopplysningsloven, viser til foretak som driver kredittopplysningsvirksomhet i samsvar med personopplysningsloven.

Til § 12

Henvisningen til personopplysningsloven § 3 fjerde ledd tas ut av bestemmelsen. Personvernforordningen og forslaget til ny personopplysningslov inneholder ikke særregler om kredittopplysningsvirksomhet.

Til § 13

Henvisningen til personopplysningsloven § 3 fjerde ledd tas ut av bestemmelsen. Personvernforordningen og forslaget til ny personopplysningslov inneholder ikke særregler om kredittopplysningsvirksomhet.

Til lov 16. juni 2017 nr. 53 om endringar i pasient- og brukarrettslova, helsepersonellova m.m. (styrking av rettsstillinga til barn ved yting av helse- og omsorgstenester m.m.)

Til pasientjournalloven § 30 om straff

I tråd med at straffansvaret etter någjeldende § 30 annet ledd i pasientjournalloven oppheves, oppheves også straffansvaret etter § 30 annet ledd bokstav a til d i endringsloven. Straffansvaret for overtredelse av forbudet mot urettmessig tilegnelse av helseopplysninger i pasientjournalloven § 16, jf. § 30 annet ledd bokstav e i endringsloven, står i den någjeldende pasientjournalloven i første ledd. Bestemmelsen foreslås videreført, se merknadene til endringer i pasientjournalloven § 30. Straffansvaret for overtredelser av § 16 videreføres som § 30 annet ledd i endringsloven.

Til helseregisterloven § 30 om straff

I tråd med at straffansvaret etter någjeldende § 30 annet ledd i helseregisterloven oppheves, oppheves også straffansvaret etter § 30 annet ledd bokstav a til e i endringsloven. Straffansvaret for overtredelse av forbudet mot urettmessig tilegnelse av helseopplysninger i helseregisterloven § 18, jf. § 30 annet ledd bokstav f i endringsloven, står i den någjeldende helseregisterloven i første ledd. Bestemmelsen foreslås videreført, se merknadene til endringer i helseregisterloven § 30. Straffansvaret for overtredelser av § 18 videreføres som § 30 annet ledd i endringsloven.

Til endringene i lov 15. desember 2017 nr. 112 om utprøving av selvkjørende kjøretøy

Lovhenvisningene i § 3 første ledd endres slik at de aktuelle lovene refereres til med sine korttitler.

Tilråding

Justis- og beredskapsdepartementet

tilrår:

At Deres Majestet godkjenner og skriver under et framlagt forslag til proposisjon til Stortinget om lov om behandling av personopplysninger (personopplysningsloven) og samtykke til deltakelse i en beslutning i EØS-komiteen om innlemmelse av forordning (EU) nr. 2016/679 (generell personvernforordning) i EØS-avtalen.

Vi HARALD, Norges Konge,

stadfester:

Stortinget blir bedt om å gjøre vedtak til lov om behandling av personopplysninger (personopplysningsloven) og vedtak om samtykke til deltakelse i en beslutning i EØS-komiteen om innlemmelse av forordning (EU) nr. 2016/679 (generell personvernforordning) i EØS-avtalen i samsvar med vedlagte forslag.

A Forslag
til lov om behandling av personopplysninger (personopplysningsloven)

Kapittel 1. Personvernforordningen

§ 1 Gjennomføring av personvernforordningen

EØS-avtalen vedlegg XI nr. 5e (forordning (EU) 2016/679) om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (generell personvernforordning) gjelder som lov med de tilpasningene som følger av vedlegg XI, protokoll 1 og avtalen for øvrig.

Kapittel 2. Lovens saklige og geografiske virkeområde

§ 2 Saklig virkeområde og forholdet til andre lover

Loven og personvernforordningen gjelder ved helt eller delvis automatisert behandling av personopplysninger og ved ikke-automatisert behandling av personopplysninger som inngår i eller skal inngå i et register. Loven og personvernforordningen gjelder ikke når annet er bestemt i eller med hjemmel i lov.

Loven og personvernforordningen gjelder ikke

a) ved behandling av personopplysninger som utføres av en fysisk person som ledd i rent personlige eller familiemessige aktiviteter

b) for saker som behandles eller avgjøres i medhold av rettspleielovene (domstolloven, straffeprosessloven, tvisteloven og tvangsfullbyrdelsesloven mv.)

Personvernforordningen artikkel 56 og kapittel VII gjelder bare innenfor EØS-avtalens virkeområde.

Bestemmelsene i personvernforordningen går i tilfelle konflikt foran bestemmelser i annen lov som regulerer samme forhold, jf. EØS-loven § 2.

Kongen kan gi forskrift om at loven eller deler av den ikke skal gjelde for bestemte institusjoner og saksområder.

§ 3 Forholdet til ytrings- og informasjonsfriheten

For behandling av personopplysninger utelukkende for journalistiske formål eller med henblikk på akademiske, kunstneriske eller litterære ytringer gjelder bare bestemmelsene i personvernforordningen artikkel 24, 26, 28, 29, 32 og 40 til 43, jf. personvernforordningen kapittel VI og VIII og kapittel 6 og 7 i loven her.

§ 4 Geografisk virkeområde

Loven og personvernforordningen gjelder for behandling av personopplysninger som utføres i forbindelse med aktivitetene ved virksomheten til en behandlingsansvarlig eller en databehandler i Norge, uavhengig av om behandlingen finner sted i EØS eller ikke.

Loven og personvernforordningen gjelder for behandling av personopplysninger om registrerte som befinner seg i Norge, og som utføres av en behandlingsansvarlig eller databehandler som ikke er etablert i EØS, dersom behandlingen er knyttet til

a) tilbud av varer eller tjenester til slike registrerte i Norge, uavhengig av om det kreves betaling fra den registrerte eller ikke, eller

b) monitorering av deres atferd, i den grad deres atferd finner sted i Norge

Loven og personvernforordningen gjelder også for behandling av personopplysninger som utføres av en behandlingsansvarlig som ikke er etablert i Norge, men på et sted der norsk rett får anvendelse i henhold til folkeretten.

Kongen kan i forskrift bestemme at loven og personvernforordningen helt eller delvis skal gjelde for Svalbard og Jan Mayen, og fastsette særlige regler om behandling av personopplysninger for disse områdene.

Kapittel 3. Utfyllende regler om behandling av personopplysninger

§ 5 Barns samtykke i forbindelse med informasjonssamfunnstjenester

Aldersgrensen er 13 år for samtykke etter personvernforordningen artikkel 6 nr. 1 bokstav a i forbindelse med formål som nevnt i personvernforordningen artikkel 8 nr. 1.

§ 6 Behandling av særlige kategorier av personopplysninger i arbeidsforhold

Personopplysninger som nevnt i personvernforordningen artikkel 9 nr. 1 kan behandles når det er nødvendig for å gjennomføre arbeidsrettslige plikter eller rettigheter.

§ 7 Behandling av særlige kategorier av personopplysninger etter tillatelse eller forskrift

Datatilsynet kan i særlige tilfeller gi tillatelse til å behandle personopplysninger som nevnt i personvernforordningen artikkel 9 nr. 1 dersom behandling er nødvendig av hensyn til viktige allmenne interesser. Datatilsynet skal fastsette vilkår for å verne den registrertes grunnleggende rettigheter og interesser.

Kongen kan i forskrift åpne for behandling av personopplysninger som nevnt i personvernforordningen artikkel 9 nr. 1 når det er nødvendig av hensyn til viktige allmenne interesser. I en slik forskrift skal det fastsettes egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser.

§ 8 Behandling av personopplysninger for arkivformål i allmennhetens interesse, formål knyttet til vitenskapelig eller historisk forskning eller statistiske formål

Personopplysninger kan behandles på grunnlag av personvernforordningen artikkel 6 nr. 1 bokstav e dersom det er nødvendig for arkivformål i allmennhetens interesse, formål knyttet til vitenskapelig eller historisk forskning eller statistiske formål. Behandlingen skal være omfattet av nødvendige garantier i samsvar med personvernforordningen artikkel 89 nr. 1.

§ 9 Behandling av særlige kategorier av personopplysninger uten samtykke for arkivformål i allmennhetens interesse, formål knyttet til vitenskapelig eller historisk forskning eller statistiske formål

Personopplysninger som nevnt i personvernforordningen artikkel 9 nr. 1 kan behandles uten samtykke fra den registrerte dersom behandlingen er nødvendig for arkivformål i allmennhetens interesse, formål knyttet til vitenskapelig eller historisk forskning eller statistiske formål og samfunnets interesse i at behandlingen finner sted, klart overstiger ulempene for den enkelte. Behandlingen skal være omfattet av nødvendige garantier i samsvar med personvernforordningen artikkel 89 nr. 1.

Før det foretas behandling på grunnlag av første ledd, skal den behandlingsansvarlige rådføre seg med personvernombudet etter personvernforordningen artikkel 37 eller en annen som oppfyller vilkårene i personvernforordningen artikkel 37 nr. 5 og 6 og artikkel 38 nr. 3 første og annet punktum. Ved rådføringen skal det vurderes om behandlingen vil oppfylle kravene i personvernforordningen og øvrige bestemmelser fastsatt i eller med hjemmel i loven her. Rådføringsplikten gjelder likevel ikke dersom det er utført en vurdering av personvernkonsekvenser etter personvernforordningen artikkel 35.

Kongen kan gi forskrift om behandling av særlige kategorier av personopplysninger for arkivformål i allmennhetens interesse, formål knyttet til vitenskapelig eller historisk forskning eller statistiske formål.

§ 10 Rådføringsplikt før behandling av særlige kategorier av personopplysninger for forskningsformål på grunnlag av samtykke

Rådføringsplikten etter § 9 annet ledd gjelder tilsvarende når personopplysninger som nevnt i personvernforordningen artikkel 9 nr. 1 skal behandles for vitenskapelige eller historiske forskningsformål på grunnlag av den registrertes samtykke.

§ 11 Behandling av personopplysninger om straffedommer og lovovertredelser mv.

Personvernforordningen artikkel 9 nr. 2 bokstav a og c til f samt §§ 6, 7 og 9 i loven her gjelder tilsvarende for behandling av personopplysninger som nevnt i personvernforordningen artikkel 10 som ikke utføres under en offentlig myndighets kontroll. Omfattende registre over straffedommer kan bare føres under en offentlig myndighets kontroll.

Rådføringsplikten etter § 9 annet ledd gjelder tilsvarende også når personopplysninger som nevnt i personvernforordningen artikkel 10 skal behandles for vitenskapelige eller historiske forskningsformål på grunnlag av

a) den registrertes samtykke, uten hensyn til om behandlingen utføres under en offentlig myndighets kontroll eller ikke

b) § 8 i loven her, dersom behandlingen utføres under en offentlig myndighets kontroll.

§ 12 Bruk av fødselsnummer og andre entydige identifikasjonsmidler

Fødselsnummer og andre entydige identifikasjonsmidler kan bare behandles når det er saklig behov for sikker identifisering og metoden er nødvendig for å oppnå slik identifisering.

Kongen kan gi forskrift om bruk av fødselsnummer og andre entydige identifikasjonsmidler.

§ 13 Forskrifter om overføring av personopplysninger til tredjestater eller internasjonale organisasjoner

Kongen kan gi forskrift om overføring av personopplysninger til tredjestater eller internasjonale organisasjoner.

§ 14 Forskrifter om forhåndsdrøfting og forhåndsgodkjenning

Kongen kan gi forskrift om forhåndsdrøfting med Datatilsynet og om forhåndsgodkjenning fra Datatilsynet.

§ 15 Forskrifter om gjennomføring av delegerte rettsakter og gjennomføringsrettsakter

Kongen kan gi forskrift om gjennomføring av delegerte rettsakter og gjennomføringsrettsakter.

Kapittel 4. Unntak fra den registrertes rettigheter

§ 16 Unntak fra retten til informasjon og innsyn og plikten til underretning om brudd på personopplysningssikkerheten

Retten til informasjon og innsyn etter personvernforordningen artikkel 13, 14 og 15 omfatter ikke opplysninger som

a) er av betydning for Norges utenrikspolitiske interesser eller nasjonale forsvars- og sikkerhetsinteresser, når den behandlingsansvarlige kan unnta opplysningene etter offentleglova §§ 20 eller 21

b) det er påkrevd å hemmeligholde av hensyn til forebygging, etterforskning, avsløring og rettslig forfølgning av straffbare handlinger

c) det må anses utilrådelig at den registrerte får kjennskap til av hensyn til vedkommendes helse eller forholdet til personer som står vedkommende nær

d) i lov eller med hjemmel i lov er underlagt taushetsplikt

e) utelukkende finnes i tekst som er utarbeidet for intern saksforberedelse, og som heller ikke er utlevert til andre, så langt det er nødvendig å nekte innsyn for å sikre forsvarlige interne avgjørelsesprosesser

f) det vil være i strid med åpenbare og grunnleggende private eller offentlige interesser å informere om.

Opplysninger som nevnt i første ledd bokstav c kan på anmodning likevel gjøres kjent for en representant for den registrerte når ikke særlige grunner taler mot det.

Den som nekter å gi innsyn i medhold av første ledd, må begrunne dette skriftlig og gi en presis henvisning til unntakshjemmelen. Dersom innsyn nektes på grunnlag av første ledd bokstav f, skal det også angis hvilke hensyn som begrunner hemmelighold.

Plikten til å underrette den registrerte om brudd på personopplysningssikkerheten etter personvernforordningen artikkel 34 gjelder ikke i den utstrekning en slik underretning vil røpe opplysninger som nevnt i første ledd bokstav a, b og d.

Kongen kan gi forskrift om unntak fra og nærmere vilkår for informasjons- og innsynsrett og underretning om brudd på personopplysningssikkerheten.

§ 17 Unntak fra den registrertes rettigheter ved behandling av personopplysninger for arkivformål i allmennhetens interesse, vitenskapelige eller historiske forskningsformål og statistiske formål

Retten til innsyn etter personvernforordningen artikkel 15 gjelder ikke for behandling av personopplysninger for arkivformål i allmennhetens interesse, formål knyttet til vitenskapelig eller historisk forskning eller statistiske formål i samsvar med personvernforordningen artikkel 89 nr. 1 så langt

a) det vil kreve en uforholdsmessig stor innsats å gi innsyn eller

b) innsynsrett sannsynligvis vil gjøre det umulig eller i alvorlig grad hindre at målene med behandlingen nås.

Retten til retting og begrensning av behandling etter personvernforordningen artikkel 16 og 18 gjelder ikke for behandling for arkivformål i allmennhetens interesse, formål knyttet til vitenskapelig eller historisk forskning eller statistiske formål i samsvar med personvernforordningen artikkel 89 nr. 1 så langt rettighetene sannsynligvis vil gjøre det umulig eller i alvorlig grad hindre at målene med behandlingen nås.

Første og annet ledd gjelder ikke dersom behandlingen får rettsvirkninger eller direkte faktiske virkninger for den registrerte.

Kapittel 5. Personvernombud

§ 18 Personvernombudets taushetsplikt

Personvernombud plikter å hindre at andre får adgang eller kjennskap til det de i forbindelse med utførelsen av sine oppgaver får vite om

a) noens personlige forhold

b) tekniske innretninger, produksjonsmetoder, forretningsmessige analyser og beregninger og forretningshemmeligheter ellers når opplysningene er av en slik art at andre kan utnytte dem i sin egen næringsvirksomhet

c) sikkerhetstiltak etter personvernforordningen artikkel 32

d) enkeltpersoners varsling om overtredelser av loven her.

Taushetsplikten gjelder ikke dersom personvernombudet får samtykke fra den opplysningene gjelder, til å legge dem frem, eller dette er nødvendig for gjennomføring av personvernombudets lovpålagte oppgaver.

Taushetsplikten gjelder også etter at personvernombudet har avsluttet tjenesten eller arbeidet. Opplysninger som nevnt i denne paragraf kan heller ikke utnyttes i egen virksomhet eller i tjeneste eller arbeid for andre.

§ 19 Forskrifter om plikt til å utpeke personvernombud

Kongen kan gi forskrift om plikt til å utpeke personvernombud.

Kapittel 6. Tilsyn og klage

§ 20 Datatilsynet

Datatilsynet er tilsynsmyndighet etter personvernforordningen artikkel 51 og er et uavhengig forvaltningsorgan administrativt underordnet Kongen og departementet. Datatilsynet kan ikke instrueres om behandlingen av enkeltsaker eller om den faglige virksomheten for øvrig. Kongen og departementet kan ikke omgjøre Datatilsynets vedtak.

Datatilsynet ledes av en direktør som utnevnes av Kongen. Kongen kan gi forskrift om at direktøren for Datatilsynet skal ansettes på åremål, om lengden på åremålet og om adgangen til gjenutnevnelse.

Datatilsynets myndighet etter personvernforordningen artikkel 58 gjelder tilsvarende for tilsyn med overholdelsen av

a) bestemmelser i loven her og i forskrifter gitt med hjemmel i loven her

b) bestemmelser om behandling av personopplysninger i andre lover og forskrifter, så langt behandlingen faller innenfor lovens og personvernforordningens virkeområde etter § 2.

Kongen kan gi forskrift om dekning av Datatilsynets kostnader ved kontroll.

§ 21 Årsrapport fra Datatilsynet

Datatilsynet skal sende sin årlige rapport etter personvernforordningen artikkel 59 til Kongen, som legger rapporten frem for Stortinget.

§ 22 Personvernnemnda

Personvernnemnda er et uavhengig forvaltningsorgan administrativt underordnet Kongen og departementet. Nemnda kan ikke instrueres om behandlingen av enkeltsaker eller om den faglige virksomheten for øvrig. Kongen og departementet kan ikke omgjøre nemndas vedtak.

Personvernnemnda avgjør klager over Datatilsynets vedtak med mindre noe annet er særskilt fastsatt. Datatilsynets vedtak etter personvernforordningen artikkel 56 og kapittel VII kan ikke påklages til Personvernnemnda.

Personvernnemnda har syv medlemmer med personlige varamedlemmer. Medlemmene og varamedlemmene utnevnes av Kongen for fire år, med adgang til gjenutnevning for ytterligere fire år. Det skal være en leder og nestleder, som begge skal ha juridisk embetseksamen eller mastergrad i rettsvitenskap.

Personvernnemnda kan bestemme at klager som må avgjøres raskt, skal kunne avgjøres av lederen eller nestlederen sammen med to andre nemndsmedlemmer.

Personvernnemnda skal årlig orientere Kongen om sin virksomhet.

Kongen kan gi forskrift om Personvernnemndas organisering og saksbehandling.

§ 23 Tilgang til opplysninger

Datatilsynet skal utøve sin undersøkelsesmyndighet etter personvernforordningen artikkel 58 nr. 1 uten hinder av taushetsplikt.

Personvernnemnda kan utøve myndighet etter personvernforordningen artikkel 58 nr. 1 bokstav a. Dette skal skje uten hinder av taushetsplikt.

Behandling av personopplysninger som er nødvendig av hensynet til rikets eller alliertes sikkerhet, forholdet til fremmede makter eller andre vitale nasjonale sikkerhetsinteresser, er unntatt fra personvernforordningen artikkel 58 nr. 1. Ved uenighet mellom den behandlingsansvarlige og Datatilsynet om utstrekningen av første punktum avgjøres spørsmålet av Personvernnemnda.

§ 24 Taushetsplikt

Bestemmelsene om taushetsplikt i forvaltningsloven § 13 flg. gjelder for ansatte i Datatilsynet, medlemmene i Personvernnemnda og alle andre som utfører tjeneste eller arbeid for Datatilsynet eller Personvernnemnda. Taushetsplikten omfatter også opplysninger om sikkerhetstiltak etter personvernforordningen artikkel 32 og enkeltpersoners varsling om overtredelser av loven her.

Datatilsynet kan uten hinder av taushetsplikten etter første ledd gi opplysninger til utenlandske tilsynsmyndigheter når det er nødvendig for at en tilsynsmyndighet som omfattes av forordningen, skal kunne treffe vedtak som et ledd i tilsynsvirksomheten.

§ 25 Partsstilling

Datatilsynet opptrer som part på vegne av staten i søksmål som er knyttet til tilsynsvirksomheten.

Søksmål om gyldigheten av Personvernnemndas vedtak rettes mot staten ved Personvernnemnda.

Kapittel 7. Sanksjoner og tvangsmulkt

§ 26 Overtredelsesgebyr

Personvernforordningen artikkel 83 nr. 4 gjelder tilsvarende for overtredelser av personvernforordningen artikkel 10 og artikkel 24.

Datatilsynet kan ilegge offentlige myndigheter og organer overtredelsesgebyr etter reglene i personvernforordningen artikkel 83, jf. artikkel 83 nr. 7.

§ 27 Oppfyllelsesfrist og domstolsprøving i saker om overtredelsesgebyr

Oppfyllelsesfristen for et vedtak om overtredelsesgebyr er fire uker fra vedtaket er endelig.

Retten kan prøve alle sider av saker om overtredelsesgebyr. Retten kan avsi dom for realiteten i saken dersom den finner det hensiktsmessig og forsvarlig.

§ 28 Foreldelse

Adgangen til å ilegge overtredelsesgebyr foreldes fem år etter overtredelsen er opphørt. Fristen avbrytes ved at Datatilsynet gir forhåndsvarsel om eller fatter vedtak om overtredelsesgebyr.

§ 29 Tvangsmulkt

Ved pålegg etter loven her kan Datatilsynet fastsette en tvangsmulkt som løper for hver dag som går etter utløpet av den fristen som er satt for oppfyllelse av pålegget, inntil pålegget er oppfylt.

Kongen kan i forskrift gi nærmere bestemmelser om tvangsmulkt, blant annet om tvangsmulktens størrelse og varighet, fastsettelse av tvangsmulkt og frafall av påløpt tvangsmulkt.

§ 30 Erstatning for ikke-økonomisk skade

Den som er erstatningsansvarlig etter reglene i personvernforordningen artikkel 82, kan også pålegges å betale slik erstatning for skade av ikke-økonomisk art (oppreisning) som synes rimelig.

Kapittel 8. Uekte kameraovervåkingsutstyr mv.

§ 31 Uekte kameraovervåkingsutstyr mv.

Når kameraovervåking vil være i strid med personvernforordningen eller loven her, er det heller ikke tillatt å benytte uekte kameraovervåkingsutstyr eller ved skilting, oppslag eller lignende gi inntrykk av at kameraovervåking finner sted. Personvernforordningen kapittel VI og artikkel 83 nr. 4 samt kapittel 6, § 26 annet ledd og §§ 27 til 29 i loven her gjelder tilsvarende.

Med kameraovervåking menes vedvarende eller regelmessig gjentatt personovervåking ved hjelp av fjernbetjent eller automatisk virkende overvåkingskamera eller annet lignende utstyr som er fastmontert. Med uekte kameraovervåkingsutstyr menes utstyr som lett kan forveksles med en ekte kameraløsning.

Kapittel 9. Ikrafttredelse. Overgangsregler. Endringer i andre lover

§ 32 Ikrafttredelse

Loven trer i kraft fra den tiden Kongen bestemmer. Fra samme tidspunkt oppheves lov 14. april 2000 nr. 31 om behandling av personopplysninger.

De ulike bestemmelsene kan settes i kraft og oppheves til ulik tid.

§ 33 Overgangsregler

Reglene om behandling av personopplysninger som gjaldt på handlingstidspunktet, skal legges til grunn når det treffes vedtak om overtredelsesgebyr. Lovgivningen på tidspunktet for avgjørelsen skal likevel anvendes når dette fører til et gunstigere resultat for den ansvarlige.

Kongen kan gi nærmere overgangsregler.

§ 34 Endringer i andre lover

Fra den tiden loven her trer i kraft, gjøres følgende endringer i andre lover:

1. I lov 12. mai 1961 nr. 2 om opphavsrett til åndsverk m.v. oppheves § 56 a.

2. I lov 21. juni 1963 nr. 23 om vegar gjøres følgende endringer:

Kapittel II B skal lyde:

Kapittel II B. Personopplysningar.

§ 11 f Handsaming av personopplysningar

Vegstyremaktene etter kapittel II og tilsynsmyndigheita etter kapittel II A kan handsame personopplysningar når det er naudsynt for å utføre oppgåver gitt i eller i medhald av lova her, eller for å oppfylle internasjonale plikter under verkeområdet til lova. Det same gjeld eit statleg utbyggingsselskap for veg som er tildelt oppgåver i medhald av § 9 første ledd.

Departementet kan gi forskrift om handsaming av personopplysningar, slik som føresegner om formålet med handsaminga, kva for opplysningar som kan handsamast, korleis opplysningar skal handsamast, vilkår for eventuell utlevering, bruk av datahandsamar, krav til sletting og krav til samanstillingar av personopplysningar til bruk for forsking og statistiske formål.

§ 27 femte ledd skal lyde:

Selskap eller andre juridiske personar som er gitt fullmakt frå departementet til å krevje inn bompengar, kan handsame personopplysningar når det er naudsynt for å utføre denne oppgåva. Det same gjeld selskap eller andre juridiske personar som utfører tenester på bompengeområdet i medhald av forskrift til denne lova, og når Statens vegvesen utfører oppgåver på bompengeområdet. Personopplysningar som nemnt i personvernforordninga artikkel 9 nr. 1 kan berre handsamas etter første og andre punktum dersom det er strengt naudsynt ut frå formålet med handsaminga. Dei som har heimel etter første og andre punktum til å handsame personopplysningar, kan levere ut opplysningar til tredjepartar når internasjonale rettsakter eller avtaler som Noreg er bunde av, opnar for ei slik utlevering.

§ 27 sjette ledd skal lyde:

Departementet kan gi forskrift om handsaming av personopplysningar, slik som føresegner om formålet med handsaminga, kva for opplysningar som kan handsamast, korleis opplysningar skal handsamast, vilkår for eventuell utlevering, bruk av datahandsamar, vilkår for handsaming av sensitive personopplysningar, krav til sletting og krav til eventuelle samanstillingar av personopplysningar til bruk for forsking og statistiske formål.

Någjeldende § 27 femte ledd blir nytt sjuende ledd.

3. I lov 8. juni 1984 nr. 58 om gjeldsforhandling og konkurs oppheves § 156 femte ledd annet punktum.

4. I lov 16. juni 1989 nr. 69 om forsikringsavtaler gjøres følgende endringer:

§ 8-1 annet ledd skal lyde:

Dersom selskapet ber om samtykke til innhenting av taushetsbelagte opplysninger fra en tredjeperson, skal samtykket begrenses til det som trengs på hvert trinn i saken. Samtykket skal oppfylle kravene i personopplysningsloven.

§ 18-1 annet ledd skal lyde:

Dersom selskapet ber om samtykke til innhenting av taushetsbelagte opplysninger fra en tredjeperson, skal samtykket begrenses til det som trengs på hvert trinn i saken. Samtykket skal oppfylle kravene i personopplysningsloven.

5. I lov 4. desember 1992 nr. 126 om arkiv gjøres følgende endringer:

§ 9 bokstav c og d skal lyde:

c. kasserast. Dette forbodet går framom føresegner om kassasjon i eller i medhald av andre lover. Personregister eller delar av personregister kan likevel slettast etter føresegnene i helseregisterlova og etter føresegner i medhald av helseregisterlova §§ 8 til 12. Slik sletting kan først gjerast etter at det er innhenta fråsegn frå Riksarkivaren. Personregister eller delar av personregister kan i tillegg slettast etter føresegner i medhald av politiregisterloven § 69 første ledd nr. 16.

d. rettast på ein slik måte at tidlegare urette eller ufullstendige opplysningar vert sletta, dersom desse har hatt noko å seia for saksførebuinga, vedtak eller anna som etter føremålet med denne lova bør kunna dokumenterast. Føresegner om sletting gjevne i medhald av §§ 8 til 11 og § 25 andre leden i helseregisterlova,​ gjeld likevel uinnskrenka.

§ 18 annet punktum skal lyde:

Reglane i helseregisterlova​ om retting og sletting av opplysningar vil likevel gjelda fullt ut.

6. I lov 11. juni 1993 nr. 101 om luftfart oppheves § 12-14.

7. I lov 3. juni 1994 nr. 15 om Enhetsregisteret skal § 22 annet ledd tredje punktum lyde:

Kredittopplysningsforetak kan likevel etter avtale godkjent av Datatilsynet få tilgang til slike numre til intern bruk.

8. I lov 4. august 1995 nr. 53 om politiet skal ny § 6 a lyde:

§ 6 a Kameraovervåking

Politiet kan benytte kameraovervåking dersom det er nødvendig for å gjennomføre oppgaver som nevnt i § 2 nr. 1 til 4. Med kameraovervåking menes vedvarende eller regelmessig gjentatt personovervåking ved hjelp av fjernbetjent eller automatisk virkende overvåkingskamera eller annet lignende utstyr som er fastmontert. Som kameraovervåking anses både overvåking med og uten mulighet for opptak av lyd- og bildemateriale.

Kameraovervåking kan bare benyttes dersom de hensyn som tilsier overvåking, overstiger hensynet til den registrertes personvern. Det skal særlig legges vekt på hvordan overvåkingen skal skje, samt hva slags område som skal overvåkes.

Det skal ved skilting eller på annen måte gjøres tydelig oppmerksom på at stedet blir overvåket av politiet, og om overvåkingen eventuelt inkluderer lydopptak.

Kongen kan gi forskrifter med nærmere bestemmelser om behandling av opplysninger innhentet ved kameraovervåking.

9. I lov 28. februar 1997 nr. 19 om folketrygd gjøres følgende endringer:

§ 21-4 d første ledd bokstav b annet punktum skal lyde:

Helseopplysninger og andre opplysninger som omfattes av personvernforordningen artikkel 9 eller 10, kan ikke innhentes ved masseinnhenting.

§ 21-11 a syvende ledd første punktum skal lyde:

Ved behandling av personopplysninger i saker etter kapittel 5 er Helsedirektoratet behandlingsansvarlig, jf. personvernforordningen artikkel 4 nr. 7.

§ 21-11 a åttende ledd første punktum oppheves. Någjeldende annet punktum blir nytt første punktum.

10. I lov 19. juni 1997 nr. 62 om familievernkontorer oppheves § 11 tredje ledd.

Någjeldende fjerde ledd blir nytt tredje ledd.

11. I lov 2. juli 1999 nr. 63 om pasient- og brukerrettigheter gjøres følgende endringer:

§ 3-6 tredje ledd skal lyde:

Dersom helsepersonell tilgjengeliggjør opplysninger som er undergitt lovbestemt opplysningsplikt, skal den opplysningene gjelder, så langt forholdene tilsier det, informeres om at opplysningene er gjort tilgjengelige og hvilke opplysninger det dreier seg om.

§ 5-1 første ledd første punktum skal lyde:

Pasienten og brukeren har rett til innsyn i journalen sin med bilag og har etter særskilt forespørsel rett til kopi, jf. personvernforordningen artikkel 15.

§ 5-3 skal lyde:

§ 5-3 Overføring og tilgjengeliggjøring av journal

Pasienten og brukeren har rett til å motsette seg overføring og tilgjengeliggjøring av journal eller opplysninger i journal. Opplysningene kan heller ikke overføres eller tilgjengeliggjøres dersom det er grunn til å tro at pasienten eller brukeren ville motsette seg det ved forespørsel. Overføring og tilgjengeliggjøring kan likevel skje dersom tungtveiende grunner taler for det. Overføring og tilgjengeliggjøring av journal eller opplysninger i journal skal skje i henhold til bestemmelsene i lov om helsepersonell.

12. I lov 2. juli 1999 nr. 64 om helsepersonell m.v. gjøres følgende endringer:

§ 29 første ledd skal lyde:

Departementet kan bestemme at opplysninger kan eller skal gjøres tilgjengelige til bruk for forskning, og at opplysningene skal kunne tilgjengeliggjøres og brukes uten hinder av taushetsplikt etter § 21. Reglene om taushetsplikt etter denne loven gjelder tilsvarende for den som mottar opplysningene. Departementet kan sette vilkår for bruken av opplysningenefor å verne den registrertes grunnleggende rettigheter og interesser.

§ 29 fjerde ledd første punktum skal lyde:

Departementet kan i forskrift regulere helsepersonells rett til tilgjengeliggjøring og bruk av taushetsbelagte opplysninger til andre formål enn helsehjelp når pasienten har gitt samtykke.

§ 29 b skal lyde:

§ 29 b Opplysninger til helseanalyser, kvalitetssikring, administrasjon mv.

Departementet kan bestemme at opplysninger kan eller skal gjøres tilgjengelige til bruk for helseanalyser og kvalitetssikring, administrasjon, planlegging eller styring av helse- og omsorgstjenesten og at opplysningene skal kunne tilgjengeliggjøres og brukes uten hinder av taushetsplikt etter § 21. Reglene om taushetsplikt etter denne loven gjelder tilsvarende for den som mottar opplysningene.

Tilgjengeliggjøring kan bare skje dersom bruken av opplysningene er av vesentlig interesse for samfunnet og hensynet til pasientens integritet og velferd er ivaretatt. Graden av personidentifikasjon skal ikke være større enn nødvendig for det aktuelle formålet. Kun i særskilte tilfeller kan det gis tillatelse til bruk av direkte personidentifiserbare opplysninger som for eksempel navn eller fødselsnummer.

Departementet kan sette vilkår for bruken av opplysningene for å verne den registrertes grunnleggende rettigheter og interesser.

§ 29 c skal lyde:

§ 29 c Opplysninger til bruk i læringsarbeid og kvalitetssikring

Med mindre pasienten motsetter seg det, kan taushetsbelagte opplysninger etter særskilt anmodning gjøres tilgjengelige for annet helsepersonell som tidligere har ytt helsehjelp til pasienten i et konkret behandlingsforløp, for kvalitetssikring av helsehjelpen eller egen læring. Behandlingen av anmodningen kan automatiseres. Første punktum omfatter opplysninger som er nødvendige og relevante for formålet. I pasientens journal skal det dokumenteres hvem opplysninger har blitt gjort tilgjengelige for, og hvilke opplysninger som har blitt gjort tilgjengelige, jf. § 40.

§ 42 skal lyde:

§ 42 Retting av journal

Helsepersonell som nevnt i § 39 skal etter krav fra den opplysningen gjelder, eller av eget tiltak, rette uriktige eller ufullstendige opplysninger, jf. personvernforordningen artikkel 16. Opplysningene skal etter krav fra den opplysningen gjelder, eller av eget tiltak, også rettes dersom de er utilbørlige. Retting skal skje ved at journalen føres på nytt, eller ved at en datert rettelse tilføyes i journalen. Retting skal ikke skje ved at opplysninger eller utsagn slettes.

Dersom et krav om retting avslås, skal kravet om retting og begrunnelse for avslaget nedtegnes i journalen. Avslag på krav om retting kan påklages til Fylkesmannen, som avgjør om retting kan foretas.

Departementet kan giforskrift omfremgangsmåten ved retting.

§ 45 annet ledd skal lyde:

Helseopplysninger som nevnt i første ledd kan gis av den dataansvarlige for opplysningene eller det helsepersonellet som har dokumentert opplysningene, jf. § 39.

13. I lov 23. juni 2000 nr. 56 om helsemessig og sosial beredskap gjøres følgende endringer:

§ 2-4 første ledd fjerde punktum skal lyde:

Organet som etablerer registeret, er dataansvarlig.

§ 2-4 annet ledd første punktum skal lyde:

Ved etableringen av registre skal den dataansvarlige dokumentere at helseopplysningene behandles i samsvar med helseregisterloven § 6, herunder beskrive formålet med behandlingen og hvilke helseopplysninger som behandles.

§ 2-4 tredje ledd første punktum skal lyde:

Opplysningene kan behandles uten samtykke fra den registrerte​ og tilgjengeliggjøres uten hinder av lovbestemt taushetsplikt dersom det er nødvendig for å oppnå registerets formål.

§ 2-4 fjerde ledd skal lyde:

Den dataansvarlige kan uten hinder av lovbestemt taushetsplikt kreve opplysninger som er nødvendige for registerets formål fra helsepersonell, fra virksomheter i helse- og omsorgstjenesten og fra personell og virksomheter som nevnt i folkehelseloven § 29 andre og tredje ledd.

§ 2-4 femte ledd oppheves. Någjeldende sjette ledd blir nytt femte ledd.

14. I lov 15. juni 2001 nr. 81 om elektronisk signatur skal § 7 annet ledd annet punktum lyde:

I den utstrekning ikke annet følger av denne lov, kommer personopplysningsloven med forskrifter til anvendelse ved Datatilsynets kontroll etter første punktum.

15. I lov 21. februar 2003 nr. 12 om behandlingsbiobanker gjøres følgende endringer:

§ 3 annet ledd skal lyde:

Med mindre annet følger av denne loven, skal helse- og personopplysninger som utledes fra humant biologisk materiale behandles etter reglene ipersonvernforordningen, personopplysningsloven, pasientjournalloven, helsepersonelloven og eventuelt annen lovgivning som særlig regulerer vern av personopplysninger.

§ 5 første ledd nr. 7 skal lyde:

7. hvem som er ansvarshavende etter § 7 og dataansvarlig etter pasientjournalloven

§ 7 første ledd annet og tredje punktum skal lyde:

Dersom biobanken inneholder opplysninger som kan knyttes til enkeltpersoner, vil den også ha en dataansvarlig etter pasientjournalloven. Den dataansvarlige skal utpeke ansvarshavende.

§ 15 tredje ledd skal lyde:

Tilgang til personidentifiserbart materiale kan bare gis dersom mottakeren har adgang til å behandle det i henhold til pasientjournalloven, personopplysningsloven eller personvernforordningen.

§ 17 annet ledd skal lyde:

Datatilsynet skal føre tilsyn med at behandling av de helse- og personopplysninger som utledes av materialet i en biobank, skjer i tråd med personvernforordningen, personopplysningsloven og pasientjournalloven.

16. I lov 19. desember 2003 nr. 124 om matproduksjon og mattrygghet mv. skal § 29 første ledd annet punktum lyde:

Slike registre kan ikke uten samtykke inneholde personopplysninger som omfattes av personvernforordningen artikkel 9 nr. 1 om særlige kategorier av personopplysninger.

17. I lov 10. desember 2004 nr. 76 om arbeidsmarkedstjenester skal § 14 lyde:

§ 14 Generelle saksbehandlingsregler

Forvaltningsloven og personopplysningsloven gjelder med de særregler som er fastsatt i loven her.

18. I lov 17. juni 2005 nr. 62 om arbeidsmiljø, arbeidstid og stillingsvern mv. gjøres følgende endringer:

§ 9-5 skal lyde:

§ 9-5 Innsyn i arbeidstakers e-postkasse mv.

Departementet kan gi forskrift om arbeidsgivers rett til innsyn i arbeidstakers e-postkasse og annet elektronisk lagret materiale, blant annet om adgangen til innsyn, prosedyrer ved innsyn og plikten til å slette opplysninger.

Ny § 9-6 skal lyde:

§ 9-6 Kameraovervåking

Departementet kan gi forskrift om kameraovervåking i virksomheten, blant annet om adgangen til å iverksette kameraovervåking, varsling om at slik overvåking finner sted, og utlevering og sletting av opptak gjort ved slik overvåking.

19. I lov 17. juni 2005 nr. 101 om eigedomsregistrering gjøres følgende endringer:

§ 22 femte ledd skal lyde:

Personvernforordninga artikkel 13 og 14 gjeld ikkje for føring av matrikkelen.

§ 26 femte ledd skal lyde:

Denne paragrafen går framom personvernforordninga artikkel 16 om retting av personopplysningar.

§ 30 syvende ledd skal lyde:

Departementet kan i forskrift gi nærare reglar om behandling, utlevering og sal av opplysningar.​

20. I lov 19. mai 2006 nr. 16 om rett til innsyn i dokument i offentleg verksemd skal § 10 tredje ledd annet punktum lyde:

Kongen kan gi forskrift om tilgjengeleggjering av dokument på Internett og om at visse typar personopplysningar og dokument som ein tredjeperson har immaterielle rettar​ til, ikkje skal gjerast tilgjengelege på denne måten.

21. I lov 16. juni 2006 nr. 20 om arbeids- og velferdsforvaltningen skal § 3 tredje ledd første punktum lyde:

Direktoratet er behandlingsansvarlig for etatens behandling av personopplysninger, jf. personvernforordningen artikkel 4 nr. 7.

22. I lov 29. juni 2007 nr. 75 om verdipapirhandel gjøres følgende endringer:

§ 9-17 annet ledd nr. 2 skal lyde:

2. krav til dokumentasjon, herunder bestemmelser som gjør unntak fra personopplysningsloven.

§ 9-28 skal lyde:

Næringsorganisasjon eller tilknyttet juridisk enhet som gir opplæring til og autoriserer personer ansatt i verdipapirforetak, tilknyttet agent, eller filial av utenlandsk foretak som yter investeringstjenester i Norge, kan behandle slike opplysninger som nevnt i personvernforordningen artikkel 10 som ledd i vurderingen av om en ansatt skal gis autorisasjon, fratas autorisasjon eller gis advarsel.

23. I lov 21. desember 2007 nr. 119 om toll og vareførsel skal § 13-12 første ledd lyde:

(1) Ved planlegging, målretting og gjennomføring av kontroller kan tollmyndighetene innhente, lagre, sammenstille og bruke nødvendige personopplysninger, herunder helseopplysninger, jf. personvernforordningen artikkel 9 nr. 1, og opplysninger som nevnt i personvernforordningen artikkel 10. For samme formål kan grensekryssende trafikk på landeveien og fergeterminaler med utenlands trafikk overvåkes av tollmyndighetene ved bruk av skiltgjenkjenningssystem.

24. I lov 20. juni 2008 nr. 44 om medisinsk og helsefaglig forskning gjøres følgende endringer:

§ 2 annet, tredje og fjerde ledd skal lyde:

For behandling av helseopplysninger gjelder personvernforordningen og personopplysningsloven med forskrifter, i den utstrekning ikke annet følger av denne loven. For opplysninger som er taushetsbelagte etter helsepersonelloven § 21, og for opplysninger om avdøde personer gjelder bestemmelsene i loven her om behandling av helseopplysninger så langt de passer. Loven gjelder ikke for etablering av helseregistre.

For klinisk utprøvning av legemidler på mennesker gjelder legemiddelloven § 3 med forskrifter. For klinisk utprøvning av medisinsk utstyr gjelder lov om medisinsk utstyr med forskrifter. Loven her gjelder utfyllende så langt den passer.

Departementet kan giforskrift om lovens anvendelse for særskilte områder innenfor medisinsk og helsefaglig forskning.

§ 3 annet ledd oppheves. Någjeldende tredje ledd blir nytt annet ledd.

§ 4 bokstav d skal lyde:

d) helseopplysninger: personopplysninger om en fysisk persons fysiske eller psykiske helse, medregnet om ytelse av helsetjenester, som gir informasjon om vedkommendes helsetilstand, jf. personvernforordningen artikkel 4 nr. 15

§ 10 annet ledd annet punktum skal lyde:

Den regionale komiteen for medisinsk og helsefaglig forskningsetikk kan sette vilkår for godkjenning, blant annet om tiltak for å verne de registrertes grunnleggende rettigheter og interesser.

§ 13 annet ledd første punktum skal lyde:

Med samtykke menes enhver frivillig, spesifikk, informert og utvetydig viljesytring fra deltakeren der vedkommende ved en erklæring eller tydelig bekreftelse gir sitt samtykke til behandling av helseopplysninger eller humant biologisk materiale.

§ 32 første ledd første punktum skal lyde:

Behandling av helseopplysninger i medisinsk og helsefaglig forskning skal være i samsvar med prinsippene i personvernforordningen artikkel 5 og ha uttrykkelig angitte formål.

§ 33 skal lyde:

§ 33 Krav om forhåndsgodkjenning

Behandling av helseopplysninger i medisinsk og helsefaglig forskning krever forhåndsgodkjenning fra den regionale komiteen for medisinsk og helsefaglig forskningsetikk etter kapittel 3.

Behandling av helseopplysninger fra helseregistre etter helseregisterloven §§ 8 til 11 krever ikke forhåndsgodkjenning, med mindre annet følger av forskriftene til registrene.

Personopplysningsloven § 10 og § 11 andre ledd gjelder ikke for medisinsk og helsefaglig forskning.

§ 34 skal lyde:

§ 34 Behandling av helseopplysninger

Helseopplysninger kan sammenstilles, tilgjengeliggjøres og behandles på andre måter i tråd med forskningsprosjektets formål, eventuelle samtykker, forhåndsgodkjenningen etter § 33 og i samsvar med forskningsprotokollen.

Den regionale komiteen for medisinsk og helsefaglig forskningsetikk kan ved godkjenningen etter kapittel 3 nekte slik sammenstilling, tilgjengeliggjøringeller annen behandling dersom denne finnes å være medisinsk eller etisk uforsvarlig.

Sammenstilling og tilgjengeliggjøring av helseopplysninger kan skje til dataansvarlige eller forskningsansvarlige som har adgang til å behandle personopplysningene etter personvernforordningen artikkel 6 og 9.

§ 35 første ledd fjerde punktum skal lyde:

Den regionale komiteen for medisinsk og helsefaglig forskningsetikk kan sette vilkår for bruken, blant annet om tiltak for å verne de registrertes grunnleggende rettigheter og interesser.

§ 36 nytt første ledd skal lyde:

Den registrerte kan kreve retting eller sletting etter personvernforordningen artikkel 16 og 17. Unntaket i personopplysningsloven § 17 andre og tredje ledd gjelder.

Någjeldende § 36 første, annet og tredje ledd, blir henholdsvis nytt annet, tredje og fjerde ledd.

§ 37 oppheves.

§ 40 første ledd skal lyde:

Forskningsdeltakeren har rett til innsyn i helseopplysninger om seg selv etter personvernforordningen artikkel 15. Deltakeren har også rett til innsyn i sikkerhetstiltakene ved behandlingen av helseopplysningene så langt innsyn ikke svekker sikkerheten.

§ 42 skal lyde:

§ 42 Unntak fra innsyn

Unntakene i personopplysningsloven §§ 16 og 17 fra retten til informasjon og innsyn og fra plikten til underretning om brudd på personopplysningssikkerheten, gjelder tilsvarende for innsyn etter §§ 40 og 41 i loven her.

Avslag på krav om innsyn og informasjon kan overprøves av den regionale komiteen for medisinsk og helsefaglig forskningsetikk.

§ 47 skal lyde:

§ 47 Datatilsynets myndighet

Datatilsynet fører tilsyn med bruken av helseopplysninger etter denne loven i samsvar med personvernforordningen og personopplysningsloven.

Når Datatilsynet har gitt pålegg, skal Statens helsetilsyn informeres om dette.

§ 50 annet, tredje og fjerde ledd skal lyde:

Den forskningsansvarlige skal erstatte skader som er oppstått som følge av at humant biologisk materiale er behandlet i strid med bestemmelser gitt i eller i medhold av loven, med mindre det godtgjøres at skaden ikke skyldes feil eller forsømmelse på den forskningsansvarliges side. Erstatningen skal svare til det økonomiske tapet som den skadelidte er påført som følge av den ulovlige behandlingen av det humant biologiske materialet. Den forskningsansvarlige kan også pålegges å betale slik erstatning for skader av ikke-økonomisk art (oppreisning) som synes rimelig.

Den dataansvarlige og databehandleren skal erstatte skader som er oppstått som følge av at helseopplysninger er behandlet i strid med personvernforordningen, jf. forordningen artikkel 82. Ansvaret gjelder tilsvarende ved behandling av helseopplysninger i strid med denne loven eller forskrifter gitt i medhold av loven.

Forforskningsansvarlige og dataansvarlige som er private, skal det ved forsikring stilles sikkerhet for det økonomiske ansvaret som kan oppstå etter andre og tredje ledd.

§ 52 skal lyde:

§ 52 Datatilsynets adgang til å fatte vedtak om overtredelsesgebyr

Ved behandling av helseopplysninger i strid med loven eller forskrifter gitt i medhold av loven, kan Datatilsynet ilegge overtredelsesgebyr etter personvernforordningen artikkel 83 og personopplysningsloven §§ 26 og 27.

Når Datatilsynet har fattet vedtak etter første ledd, skal Statens helsetilsyn informeres om dette.

§ 53 første og annet ledd skal lyde:

Statens helsetilsyn kan fastsette en løpende tvangsmulkt for hver dag, uke eller måned som går etter utløpet av den fristen som er satt for oppfylling av pålegget etter § 51, inntil pålegget er oppfylt. En tvangsmulkt kan også fastsettes som engangsmulkt. Statens helsetilsyn kan frafalle en påløpt tvangsmulkt. Tvangsmulkten løper ikke før klagefristen er ute. Hvis vedtaket påklages, løper ikke tvangsmulkten før klageinstansen har bestemt det.

Datatilsynet kan fastsette tvangsmulkt etter personopplysningsloven § 29.

25. I lov 17. oktober 2008 nr. 79 om utvalget for gjennomgang av stortingspensjoner oppheves § 3.

26. I lov 19. juni 2009 nr. 97 om dyrevelferd skal § 36 første ledd annet punktum lyde:

Slike registre kan ikke uten samtykke fra den det gjelder, inneholde personopplysninger som omfattes av personvernforordningen artikkel 9 eller 10.

27. I lov 25. november 2011 nr. 44 om verdipapirfond skal § 1-6 lyde:

Næringsorganisasjon eller tilknyttet juridisk enhet som gir opplæring til og autoriserer personer ansatt i et forvaltningsselskap, tilknyttet agent, eller utenlandsk forvaltningsselskap som nevnt i §§ 3-3 første ledd eller 3-4 første ledd, kan behandle slike opplysninger som nevnt i personvernforordningen artikkel 10 som ledd i vurderingen av om en ansatt skal gis autorisasjon, fratas autorisasjon eller gis advarsel.

28. I lov 24. august 2012 nr. 64 om bustøtte gjøres følgende endringer:

§ 8 første ledd fjerde punktum skal lyde:

Informasjonsplikta i personvernforordninga artikkel 14 gjeld.

§ 8 a tredje ledd annet punktum skal lyde:

Opplysningar som nemnt i personvernforordninga artikkel 9 og 10 kan ikkje masseinnhentast.

§ 8 b syvende ledd skal lyde:

Informasjonsplikta i personvernforordninga artikkel 14 gjeld.

§ 8 c annet ledd første punktum skal lyde:

Informasjonsplikta i personvernforordninga artikkel 14 gjeld for opplysningar som er henta inn etter paragrafen her, men den registrerte har først krav på informasjon når kontrollen er ferdig utført.

29. I lov 11. januar 2013 nr. 3 om Statens innkrevingssentral oppheves § 6 annet og tredje ledd.

30. I lov 20. juni 2014 nr. 28 om forvaltning av alternative investeringsfond skal § 1-6 lyde:

§ 1-6 Behandling av personopplysninger i tilknytning til autorisasjonsordninger for ansatte

Næringsorganisasjon eller tilknyttet juridisk enhet som gir opplæring til og autoriserer personer som er ansatt hos en forvalter for et alternativt investeringsfond​ med tillatelse etter § 2-2, eller som er registreringspliktig etter § 1-4, kan behandle slike opplysninger som nevnt i personvernforordningen artikkel 10 som ledd i vurderingen av om en ansatt skal gis autorisasjon, fratas autorisasjon eller gis advarsel.

31. I lov 20. juni 2014 nr. 42 om behandling av helseopplysninger ved ytelse av helsehjelp gjøres følgende endringer:

§ 2 skal lyde:

§ 2 Definisjoner

I denne loven forstås med:

a) helsehjelp: enhver handling som har forebyggende, diagnostisk, behandlende, helsebevarende, rehabiliterende eller pleie- og omsorgsformål, og som utføres av helsepersonell, jf. helsepersonelloven § 3 første ledd

b) helseopplysninger: personopplysninger om en fysisk persons fysiske eller psykiske helse, herunder om ytelse av helsetjenester, som gir informasjon om vedkommendes helsetilstand, jf. personvernforordningen artikkel 4 nr. 15

c) behandling av helseopplysninger: enhver operasjon eller rekke av operasjoner som gjøres med helseopplysninger, enten automatisert eller ikke, for eksempel innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring, jf. personvernforordningen artikkel 4 nr. 2

d) behandlingsrettet helseregister: pasientjournal- og informasjonssystem eller annet register, fortegnelse eller lignende, der helseopplysninger er lagret systematisk, slik at opplysninger om den enkelte kan finnes igjen, og som skal gi grunnlag for helsehjelp eller administrasjon av helsehjelp til enkeltpersoner

e) dataansvarlig: ansvarlig for behandling av helseopplysninger etter personvernforordningen artikkel 4 nr. 7.

§ 3 nytt annet ledd skal lyde:

For opplysninger som er taushetsbelagte etter helsepersonelloven § 21, og for opplysninger om avdøde personer gjelder bestemmelsene i loven her om behandling av helseopplysninger så langt de passer.

Någjeldende § 3 annet ledd blir nytt tredje ledd.

§ 4 første ledd første punktum skal lyde:

Loven gjelder for dataansvarlige som er etablert i Norge.

§ 4 annet ledd oppheves.

§ 5 skal lyde:

§ 5 Forholdet til personvernforordningen og personopplysningsloven

Personvernforordningen og personopplysningsloven gjelder så langt ikke noe annet følger av loven her.

§ 6 første ledd annet punktum oppheves.

§ 9 bokstav d skal lyde:

d) dataansvar.

§ 10 annet ledd skal lyde:

Forskriften skal gi nærmere bestemmelser om drift, behandling og sikring av helseopplysningene, om dataansvar, om tilgangskontroll og om hvordan rettighetene til pasienten eller brukeren skal ivaretas.

§ 11 tredje ledd skal lyde:

Forskriften skal gi nærmere bestemmelser om behandlingen av opplysningene, om hvilke opplysninger som kan behandles, om den enkeltes rett til å motsette seg behandling av opplysningene og om dataansvar.

§ 12 tredje ledd skal lyde:

Forskriften skal gi nærmere bestemmelser om formålet med behandlingen av opplysningene, hvilke opplysninger som skal behandles, og hvem som er dataansvarlig for opplysningene.

§ 13 femte ledd skal lyde:

Kongen i statsråd kan i forskrift gi nærmere bestemmelser om drift og behandling av helseopplysninger, for eksempel hvilke opplysninger som skal behandles, hvem som er dataansvarlig, regler om sletting, tilgang og tilgangskontroll, samt pasientens rettigheter.

§ 18 første ledd skal lyde:

Pasienten eller brukeren har rett til informasjon og innsyn i henhold til pasient- og brukerrettighetsloven § 3-6 tredje ledd og § 5-1 og til personvernforordningen artikkel 13 og 15.

§ 19 første og annet ledd skal lyde:

Innenfor rammen av taushetsplikten skal den dataansvarlige sørge for at relevante og nødvendige helseopplysninger er tilgjengelige for helsepersonell og annet samarbeidende personell når dette er nødvendig for å yte, administrere eller kvalitetssikre helsehjelp til den enkelte.

Den dataansvarlige bestemmer på hvilken måte opplysningene skal gjøres tilgjengelige. Opplysningene skal gjøres tilgjengelige på en måte som ivaretar informasjonssikkerheten.

§ 20 skal lyde:

§ 20 Helseopplysninger til andre formål enn helsehjelp

Den dataansvarlige kan gjøre helseopplysninger tilgjengelige for andre formål enn helsehjelp når den enkelte samtykker eller dette er fastsatt i lov eller i medhold av lov. Med samtykke menes enhver frivillig, spesifikk, informert og utvetydig viljesytring fra den registrerte der vedkommende ved en erklæring eller en tydelig bekreftelse gir sitt samtykke til behandling av helseopplysninger som gjelder vedkommende, jf. personvernforordningen artikkel 4 nr. 11.

§ 21 skal lyde:

§ 21 Personopplysninger fra Folkeregisteret

Den dataansvarlige kan innhente personopplysninger fra Folkeregisteret når dette er nødvendig for å oppfylle den dataansvarliges plikter etter loven. Dette gjelder uten hensyn til om opplysningene er underlagt taushetsplikt etter folkeregisterloven.

§ 22 skal lyde:

§ 22 Informasjonssikkerhet

Den dataansvarlige og databehandleren skal gjennomføre tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen, jf. personvernforordningen artikkel 32. Den dataansvarlige og databehandleren skal blant annet sørge for tilgangsstyring, logging og etterfølgende kontroll.

Departementet kan i forskrift fastsette nærmere krav til informasjonssikkerhet ved behandling av helseopplysninger.

§ 23 første ledd skal lyde:

Den dataansvarlige skal gjennomføre tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen utføres i samsvar med personvernforordningen, personopplysningsloven og denne loven, jf. forordningen artikkel 24.

§ 23 annet ledd første og annet punktum skal lyde:

Den dataansvarlige skal dokumentere tiltakene. Dokumentasjonen skal være tilgjengelig for medarbeiderne hos den dataansvarlige og hos databehandleren.

§ 26 skal lyde:

§ 26 Tilsyn

Datatilsynet fører tilsyn med overholdelsen av loven og forskrifter gitt i medhold av loven. Dette gjelder ikke for tilsynsoppgaver som påligger Statens helsetilsyn eller Fylkesmannen etter helsetilsynsloven

§§ 27 og 28 oppheves.

§ 29 skal lyde:

§ 29 Overtredelsesgebyr

Ved behandling av helseopplysninger i strid med loven eller forskrifter gitt i medhold av loven, kan Datatilsynet ilegge overtredelsesgebyr etter personvernforordningen artikkel 83 og personopplysningsloven §§ 26 og 27.

§ 30 annet og fjerde ledd oppheves. Någjeldende tredje ledd blir nytt annet ledd.

§ 31 skal lyde:

§ 31 Erstatning

Den dataansvarlige og databehandleren skal erstatte skader som er oppstått som følge av at helseopplysninger er behandlet i strid med personvernforordningen, etter forordningen artikkel 82 og personopplysningsloven § 30. Ansvaret gjelder tilsvarende ved brudd på denne loven eller forskrifter gitt i medhold av loven.

32. I lov 20. juni 2014 nr. 43 om helseregistre og behandling av helseopplysninger gjøres følgende endringer:

§ 2 skal lyde:

§ 2 Definisjoner

I denne loven forstås med:

a) helseopplysninger: personopplysninger om en fysisk persons fysiske eller psykiske helse, medregnet om ytelse av helsetjenester, som gir informasjon om vedkommendes helsetilstand, jf. personvernforordningen artikkel 4 nr. 15

b) behandling av helseopplysninger: enhver operasjon eller rekke av operasjoner som gjøres med helseopplysninger, enten automatisert eller ikke, for eksempel innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring, jf. personvernforordningen artikkel 4 nr. 2

c) helseregister: enhver strukturert samling av personopplysninger som er tilgjengelig etter særlige kriterier, og som inneholder helseopplysninger , jf. personvernforordningen artikkel 4 nr. 6

d) dataansvarlig: ansvarlig for behandling av helseopplysninger, jf. personvernforordningen artikkel 4 nr. 7

e) samtykke: enhver frivillig, spesifikk, informert og utvetydig viljesytring fra den registrerte der vedkommende ved en erklæring eller en tydelig bekreftelse gir sitt samtykke til behandling av helseopplysninger som gjelder vedkommende, jf. personvernforordningen artikkel 4 nr. 11

f) indirekte identifiserbare helseopplysninger: helseopplysninger der navn, fødselsnummer og andre personentydige kjennetegn er fjernet, men hvor opplysningene likevel kan knyttes til en enkeltperson.

§ 3 nytt annet og tredje ledd skal lyde:

For opplysninger som er taushetsbelagte etter helsepersonelloven § 21, og for opplysninger om avdøde personer gjelder bestemmelsene her om behandling av helseopplysninger så langt de passer.

Loven gjelder også tilsvarende for behandling av opplysninger i Helsearkivregisteret i Norsk helsearkiv.

Någjeldende § 3 tredje og fjerde ledd blir nytt fjerde og femte ledd.

§ 4 skal lyde:

§ 4 Geografisk virkeområde

Loven gjelder for dataansvarlige som er etablert i Norge. Kongen kan i forskrift bestemme at loven helt eller delvis skal gjelde for Svalbard og Jan Mayen, og kan fastsette særlige regler om behandling av helseopplysninger for disse områdene.

§ 5 skal lyde:

§ 5 Forholdet til personvernforordningen og personopplysningsloven

Personvernforordningen og personopplysningsloven gjelder så langt ikke noe annet følger av denne loven.

§ 6 første ledd og annet ledd skal lyde:

Helseopplysninger skal behandles i samsvar med prinsippene for behandling i personvernforordningen artikkel 5.

Graden av personidentifikasjon skal ikke være større enn nødvendig for det aktuelle formålet. Graden av personidentifikasjon skal begrunnes. Tilsynsmyndigheten kan kreve at den dataansvarlige legger frem begrunnelsen.

§ 6 tredje og fjerde ledd oppheves.

Någjeldende § 6 femte ledd blir nytt tredje ledd.

§ 7 oppheves.

§ 8 fjerde ledd bokstav e skal lyde:

e) hvem som er dataansvarlig.

§ 9 bokstav b skal lyde:

b) opplysningene behandles uten at den dataansvarlige har tilgang til navn, fødselsnummer eller andre direkte personidentifiserende kjennetegn.

§ 12 tredje ledd skal lyde:

Riksarkivaren er dataansvarlig for opplysningene i Helsearkivregisteret, jf. arkivlova § 4.

§ 12 fjerde ledd annet punktum skal lyde

Forskriften skal angi den dataansvarliges plikt til å gjøre data tilgjengelig.

§ 14 skal lyde:

§ 14 Opplysninger fra Folkeregisteret

Dataansvarlige kan innhente personopplysninger de har tillatelse til å behandle etter §§ 8 til 12, fra Folkeregisteret.

§ 19 annet og tredje ledd skal lyde:

Den dataansvarlige kan tilgjengeliggjøre helseopplysninger for sammenstillingen. Med mindre annet følger av lov eller i medhold av lov, skal resultatet av sammenstillingen ikke inneholde navn, fødselsnummer eller andre direkte identifiserende kjennetegn. Sammenstillingen skal gjøres av den dataansvarlige for et av registrene eller en virksomhet departementet bestemmer.

Ut over dette kan helseopplysninger bare sammenstilles med andre opplysninger når dette er tillatt etter personvernforordningen, personopplysningsloven eller annen lov.

§ 19 tredje ledd oppheves.

§ 20 første ledd første punktum skal lyde:

Taushetsplikt er ikke til hinder for at den dataansvarlige kan tilgjengeliggjøre indirekte identifiserbare helseopplysninger til forskning, helseanalyser, og kvalitetssikring, administrasjon, planlegging eller styring av helse- og omsorgstjenesten.

§ 20 annet ledd skal lyde:

Helseopplysningene kan bare tilgjengeliggjøres dersom behandlingen av dem er av vesentlig interesse for samfunnet, hensynet til pasientens integritet og konfidensialitet er ivaretatt, og behandlingen er ubetenkelig ut fra etiske, medisinske og helsefaglige hensyn. Den dataansvarlige kan stille vilkår for tilgjengeliggjøringen for å verne den registrertes grunnleggende rettigheter og interesser.

§ 21 skal lyde:

§ 21 Informasjonssikkerhet

Den dataansvarlige og databehandleren skal gjennomføre tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen, jf. personvernforordningen artikkel 32. Den dataansvarlige og databehandleren skal blant annet sørge for tilgangsstyring, logging og etterfølgende kontroll. I registre som er etablert med hjemmel i §§ 10 eller 11, skal direkte personidentifiserende kjennetegn lagres kryptert.

Departementet kan i forskrift fastsette nærmere krav til informasjonssikkerhet ved behandling av helseopplysninger.

§ 22 skal lyde:

§ 22 Internkontroll

Den dataansvarlige skal gjennomføre tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen utføres i samsvar med personvernforordningen, personopplysningsloven og denne loven, jf. forordningen artikkel 24.

Departementet kan i forskrift gi nærmere regler om tekniske og organisatoriske tiltak etter første ledd.

§ 23 skal lyde:

§ 23 Informasjon til allmennheten om behandling av helseopplysninger

En dataansvarlig som behandler opplysninger etter forskrift i medhold av §§ 8 til 11, skal av eget tiltak informere allmennheten om hva slags behandling av helseopplysninger som foretas.

§ 24 skal lyde:

§ 24 Rett til informasjon og innsyn

Den registrerte har rett til informasjon og innsyn i henhold til personvernforordningen artikkel 13 til 15. Retten til informasjon og innsyn gjelder ikke opplysninger som omfattes av unntakene i personopplysningsloven §§ 16 og 17.

Den registrerte har også rett til innsyn i hvem som har hatt tilgang til eller fått utlevert helseopplysninger som er knyttet til den registrertes navn eller fødselsnummer, fra helseregistre etter §§ 8 til 11. Departementet kan i særlige tilfeller gi den dataansvarlige en tidsbegrenset dispensasjon fra plikten til å gi innsyn etter dette leddet.

Når det er nødvendig for å vurdere innsynskrav, kan den dataansvarlige innhente personopplysninger fra Folkeregisteret. Dette gjelder uten hensyn til taushetsplikt.

Kongen kan i forskrift gi nærmere bestemmelser om retten til informasjon og innsyn.

§ 25 overskriften skal lyde:

§ 25 Retting, sperring eller sletting

§ 25 første ledd skal lyde:

Den registrerte kan kreve retting eller sletting etter personvernforordningen artikkel 16 og 17. Unntaket i personopplysningsloven § 17 andre og tredje ledd gjelder. Den registrerte kan også kreve at helseopplysninger som behandles etter §§ 8 til 11, skal slettes eller sperres, dersom behandling av opplysningene føles sterkt belastende for den registrerte, og det ikke finnes sterke allmenne hensyn som tilsier at opplysningene behandles. Krav om retting, sletting eller sperring av opplysninger rettes til den dataansvarlige for opplysningene.

§ 26 skal lyde:

§ 26 Tilsynsmyndighetene

Datatilsynet fører tilsyn med overholdelsen av loven og forskrifter gitt i medhold av loven.Dette gjelder ikke for tilsynsoppgaver som påligger Statens helsetilsyn eller Fylkesmannen etter helsetilsynsloven.

§§ 27 og 28 oppheves.

§ 29 skal lyde:

§ 29 Overtredelsesgebyr

Ved behandling av helseopplysninger i strid med loven eller forskrifter gitt i medhold av loven, kan Datatilsynet ilegge overtredelsesgebyr etter personvernforordningen artikkel 83 og personopplysningsloven §§ 26 og 27.

§ 30 annet og fjerde ledd oppheves. Någjeldende tredje ledd blir nytt annet ledd.

§ 31 skal lyde:

§ 31 Erstatning

Den dataansvarlige og databehandleren skal erstatte skader som er oppstått som følge av at helseopplysninger er behandlet i strid med personvernforordningen, etter forordningen artikkel 82 og personopplysningsloven § 30. Ansvaret gjelder tilsvarende ved brudd på denne loven eller forskrifter gitt i medhold av loven.

33. I lov 10. april 2015 nr. 17 om finansforetak og finanskonsern skal § 9-8 første ledd lyde:

(1) Næringsorganisasjon eller tilknyttet juridisk enhet som gir opplæring til og autoriserer ansatte i finansforetak, foretak som opptrer som agent eller annen formidler for finansforetak og utenlandsk finansforetak som skal drive eller driver virksomhet her i riket, kan behandle opplysninger som nevnt i personvernforordningen artikkel 10 som ledd i vurderingen av om en ansatt skal gis autorisasjon, fratas autorisasjon eller gis advarsel.

34. I lov 4. september 2015 nr. 85 om gjennomføring av konvensjon 19. oktober 1996 om jurisdiksjon, lovvalg, anerkjennelse, fullbyrdelse og samarbeid vedrørende foreldremyndighet og tiltak for beskyttelse av barn skal § 3 lyde:

§ 3 Taushetsplikt

I tilfeller der norske myndigheter etter konvensjonen har plikt til å gi opplysninger, kan dette skje uten hinder av lovbestemt taushetsplikt. Tilsvarende gjelder der konvensjonen legger til rette for at opplysninger kan gis etter anmodning.

35. I lov 16. juni 2017 nr. 47 om gjeldsinformasjon ved kredittvurdering av privatpersoner gjøres følgende endringer:

§ 2 bokstav c skal lyde:

c) kredittopplysningsforetak: foretak som driver kredittopplysningsvirksomhet i samsvar med personopplysningsloven,

§ 12 første ledd bokstav c skal lyde:

c) kredittopplysningsforetak, når disse etter forespørsel fra kredittytere som nevnt i bokstav a og b skal foreta kredittvurdering, eller når disse skal utarbeide kredittscore etter forespørsel fra noen som har saklig behov for å innhente kredittopplysninger, og

§ 13 annet ledd første punktum skal lyde:

Kredittopplysningsforetak​ kan også utlevere opplysning om kredittscore​ hvor gjeldsopplysninger inngår i beregningsgrunnlaget, til den som har saklig behov for opplysningen.

36. I lov 16. juni 2017 nr. 53 om endringar i pasient- og brukarrettslova, helsepersonellova m.m. (styrking av rettsstillinga til barn ved yting av helse- og omsorgstenester m.m.) gjøres følgende endringer:

I romertall VII endres følgende:

I § 30 skal nytt annet ledd lyde:

Den som forsettlig eller grovt uaktsomt overtrer forbudet mot urettmessig tilegnelse av helseopplysninger i § 16, straffes med bøter eller fengsel inntil ett år.

Någjeldende annet ledd blir tredje ledd.

I romertall VIII endres følgende:

§ 30 skal nytt annet ledd lyde:

Den som forsettlig eller grovt uaktsomt overtrer forbudet mot urettmessig tilegnelse av helseopplysninger i § 18, straffes med bøter eller fengsel inntil ett år.

Någjeldende annet ledd blir tredje ledd.

37. I lov 15. desember 2017 nr. 112 om utprøving av selvkjørende kjøretøy skal § 3 første ledd lyde:

Vegtrafikkloven med forskrifter, yrkestransportlova med forskrifter og personopplysningsloven med forskrifter gjelder under utprøving av selvkjørende kjøretøy, med mindre annet følger av denne loven eller forskrifter gitt med hjemmel i denne.

B Forslag
til vedtak om samtykke til deltakelse i en beslutning i EØS-komiteen om innlemmelse av forordning (EU) nr. 2016/679 (generell personvernforordning) i EØS-avtalen

I

Stortinget samtykker til deltakelse i en beslutning i EØS-komiteen om innlemmelse av forordning (EU) nr. 2016/679 (generell personvernforordning) i EØS-avtalen.

Vedlegg 1
Europaparlaments- og rådsforordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (generell personvernforordning)

EUROPAPARLAMENTET OG RÅDET FOR DEN EUROPEISKE UNION HAR —

under henvisning til traktaten om Den europeiske unions virkemåte, særlig artikkel 16,

under henvisning til forslag fra Europakommisjonen,

etter oversending av utkast til regelverksakt til de nasjonale parlamentene,

under henvisning til uttalelse fra Den europeiske økonomiske og sosiale komité[4] ,

under henvisning til uttalelse fra Regionkomiteen[5] ,

etter den ordinære regelverksprosessen[6] og

ut fra følgende betraktninger:

1) Vern av fysiske personer i forbindelse med behandling av personopplysninger er en grunnleggende rettighet. I artikkel 8 nr. 1 i Den europeiske unions pakt om grunnleggende rettigheter (heretter kalt «pakten») og i artikkel 16 nr. 1 i traktaten om Den europeiske unions virkemåte (TEUV) er det fastsatt at enhver person har rett til vern av personopplysninger om vedkommende selv.

2) Prinsippene og reglene for vern av fysiske personer i forbindelse med behandling av personopplysninger som gjelder dem selv, bør, uavhengig av nevnte personers statsborgerskap eller bosted, respektere deres grunnleggende rettigheter og friheter, særlig retten til vern av personopplysninger. Hensikten med denne forordning er å bidra til å skape et område med frihet, sikkerhet og rettferdighet samt en økonomisk union og å bidra til økonomisk og sosial framgang, til å oppnå en styrking og tilnærming av økonomiene i det indre marked og til fysiske personers velferd.

3) Europaparlaments- og rådsdirektiv 95/46/EF[7] har som formål å harmonisere vernet av fysiske personers grunnleggende rettigheter og friheter i forbindelse med behandlingsaktiviteter samt å sikre fri flyt av personopplysninger mellom medlemsstatene.

4) Behandling av personopplysninger bør ha som formål å tjene menneskeheten. Retten til vern av personopplysninger er ikke en absolutt rettighet; den må ses i sammenheng med den funksjon den har i samfunnet, og veies mot andre grunnleggende rettigheter i samsvar med forholdsmessighetsprinsippet. Denne forordning overholder alle grunnleggende rettigheter og de friheter og prinsipper som er anerkjent i pakten, slik de er nedfelt i traktatene, særlig med hensyn til privatliv og familieliv, hjem og kommunikasjon, vern av personopplysninger, tanke-, tros- og religionsfrihet, ytrings- og informasjonsfrihet, frihet til å drive næringsvirksomhet, retten til effektiv prøving og rettferdig rettergang samt kulturelt, religiøst og språklig mangfold.

5) Den økonomiske og sosiale integrasjon som er oppnådd som følge av det indre markeds virkemåte, har ført til en betydelig økt flyt av personopplysninger over landegrensene. Utvekslingen av personopplysninger mellom offentlige og private aktører, herunder fysiske personer, sammenslutninger og foretak, i Unionen har økt. Nasjonale myndigheter i medlemsstatene oppfordres i unionsretten til å samarbeide og utveksle personopplysninger for å kunne utføre sitt arbeid eller utføre oppgaver på vegne av en myndighet i en annen medlemsstat.

6) Den raske teknologiske utviklingen samt globaliseringen har skapt nye utfordringer med hensyn til vern av personopplysninger. Omfanget av innsamlingen og utvekslingen av personopplysninger har økt betraktelig. Teknologien gjør det mulig for både private selskaper og offentlige myndigheter å benytte seg av personopplysninger i sitt arbeid i et helt nytt omfang. Fysiske personer gjør i stadig større grad personopplysninger offentlig tilgjengelig, også globalt. Teknologien har endret både økonomien og det sosiale liv og bør ytterligere fremme den frie flyt av personopplysninger i Unionen og overføring av disse til tredjestater og internasjonale organisasjoner, samtidig som det sikres et høyt nivå for vern av personopplysningene.

7) Denne utviklingen krever en sterk og mer sammenhengende ramme for vern av personopplysninger i Unionen støttet av en streng håndheving av reglene, ettersom det er viktig å skape den nødvendige tillit som vil gjøre at den digitale økonomien kan utvikle seg i det indre marked. Fysiske personer bør ha kontroll over egne personopplysninger. Rettssikkerheten og den praktiske sikkerheten for fysiske personer, markedsdeltakere og offentlige myndigheter bør styrkes.

8) Når det i denne forordning fastsettes at det kan innføres presiseringer eller begrensninger av dens regler gjennom medlemsstatenes nasjonale rett, kan medlemsstatene, i den grad det er nødvendig av hensyn til sammenhengen og for å gjøre nasjonale bestemmelser forståelige for de personer de får anvendelse på, innarbeide elementer fra denne forordning i sin nasjonale rett.

9) Målene og prinsippene i direktiv 95/46/EF er fremdeles gyldige, men det har ikke hindret en fragmentert gjennomføring av vernet av personopplysninger i Unionen, rettslig usikkerhet eller en utbredt allmenn oppfatning om at det fremdeles er betydelige risikoer forbundet med vernet av fysiske personer, særlig i forbindelse med aktiviteter på internett. Forskjeller i nivået for vern av fysiske personers rettigheter og friheter, særlig retten til vern av personopplysninger, i forbindelse med behandling av personopplysninger i medlemsstatene kan hindre den frie flyt av personopplysninger i Unionen. Disse forskjellene kan derfor være til hinder for utøvelsen av økonomisk virksomhet på EU-plan, føre til konkurransevridning og hindre myndighetene i å ivareta sitt ansvar i henhold til unionsretten. En slik forskjell i beskyttelsesnivå skyldes forskjellig gjennomføring og anvendelse av direktiv 95/46/EF.

10) For å sikre et ensartet og høyt nivå for vern av fysiske personer og fjerne hindringene for flyten av personopplysninger i Unionen bør nivået for vern av fysiske personers rettigheter og friheter i forbindelse med behandling av slike opplysninger være det samme i alle medlemsstater. Det bør sikres at reglene for vern av fysiske personers grunnleggende rettigheter og friheter i forbindelse med behandling av personopplysninger anvendes på en ensartet og enhetlig måte i hele Unionen. Når det gjelder behandling av personopplysninger for å oppfylle en rettslig forpliktelse, utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt, bør medlemsstatene kunne opprettholde eller innføre nasjonale bestemmelser for nærmere å presisere anvendelsen av reglene i denne forordning. Sammen med det alminnelige og tverrgående regelverket for vern av personopplysninger som gjennomfører direktiv 95/46/EF, har medlemsstatene flere sektorspesifikke lover på områder som krever mer spesifikke bestemmelser. Denne forordning gir også medlemsstatene handlingsrom til å fastsette egne regler, herunder for behandling av særlige kategorier av personopplysninger («sensitive opplysninger»). I denne forbindelse utelukker denne forordning ikke at det i medlemsstatenes nasjonale rett fastsettes nærmere omstendigheter for spesifikke situasjoner der personopplysninger behandles, herunder mer nøyaktige vilkår for når behandling av personopplysninger er lovlig.

11) For å sikre et effektivt vern av personopplysninger i hele Unionen kreves det en styrking og en nærmere fastsettelse av rettighetene til de registrerte og pliktene til dem som behandler og treffer avgjørelser om behandling av personopplysninger, samt at det i medlemsstatene finnes den samme myndighet til å føre tilsyn med og sikre overholdelse av reglene for vern av personopplysninger og de samme sanksjonene ved overtredelser.

12) Ved artikkel 16 nr. 2 i TEUV gis Europaparlamentet og Rådet fullmakt til å fastsette regler om vern av fysiske personer i forbindelse med behandling av personopplysninger samt regler om fri utveksling av personopplysninger.

13) For å sikre et ensartet nivå for vern av fysiske personer i hele Unionen og hindre at forskjeller hemmer den frie utvekslingen av personopplysninger i det indre marked er det behov for en forordning for å skape rettssikkerhet og åpenhet for markedsdeltakere, herunder svært små, små og mellomstore bedrifter, og som vil gi fysiske personer i alle medlemsstater det samme nivået av rettslig bindende rettigheter og plikter, og behandlingsansvarlige og databehandlere det samme ansvaret, for å sikre et ensartet tilsyn med behandlingen av personopplysninger og de samme sanksjonene i alle medlemsstater samt et effektivt samarbeid mellom tilsynsmyndighetene i forskjellige medlemsstater. For å sikre et velfungerende indre marked kreves det at den frie utvekslingen av personopplysninger i Unionen ikke begrenses eller forbys av årsaker knyttet til vern av fysiske personer i forbindelse med behandling av personopplysninger. For å ta høyde for den særlige situasjonen til svært små, små og mellomstore bedrifter inneholder denne forordning et unntak for organisasjoner med færre enn 250 ansatte med hensyn til føring av protokoller. Videre oppfordres Unionens institusjoner og organer samt medlemsstatene og deres tilsynsmyndigheter til å ta høyde for de særlige behovene til svært små, små og mellomstore bedrifter ved anvendelsen av denne forordning. Definisjonen av begrepene svært små, små og mellomstore bedrifter bør bygge på artikkel 2 i vedlegget til kommisjonsrekommandasjon 2003/361/EF[8] .

14) Det vern som denne forordning gir i forbindelse med behandling av personopplysninger, bør få anvendelse på fysiske personer, uavhengig av deres statsborgerskap eller bosted. Denne forordning omfatter ikke behandling av personopplysninger som gjelder juridiske personer, og særlig foretak etablert som juridiske personer, herunder den juridiske personens navn, form og kontaktopplysninger.

15) For å unngå at det oppstår en alvorlig risiko for at bestemmelsene omgås bør vernet av fysiske personer være teknologisk nøytralt og ikke avhenge av teknikkene som benyttes. Vernet av fysiske personer bør få anvendelse på automatisert behandling av personopplysninger samt manuell behandling dersom personopplysningene inngår i eller skal inngå i et register. Saksmapper eller samlinger av saksmapper samt deres forsider som ikke er strukturert etter bestemte kriterier, bør ikke omfattes av denne forordnings virkeområde.

16) Denne forordning får ikke anvendelse på spørsmål om vern av grunnleggende rettigheter og friheter eller fri flyt av personopplysninger knyttet til aktiviteter som ikke omfattes av unionsretten, f.eks. aktiviteter som gjelder nasjonal sikkerhet. Denne forordning får ikke anvendelse på medlemsstatenes behandling av personopplysninger når dette utføres i forbindelse med aktiviteter knyttet til Unionens felles utenriks- og sikkerhetspolitikk.

17) Europaparlaments- og rådsforordning (EF) nr. 45/2001[9] får anvendelse på behandling av personopplysninger som utføres av Unionens institusjoner, organer, kontorer og byråer. Forordning (EF) nr. 45/2001 og andre EU-rettsakter som får anvendelse på nevnte behandling av personopplysninger, bør tilpasses prinsippene og reglene fastsatt i denne forordning og anvendes i lys av denne forordning. For å sikre en sterk og sammenhengende ramme for vern av personopplysninger i Unionen bør de nødvendige tilpasninger av forordning (EF) nr. 45/2001 gjøres etter at denne forordning er vedtatt, slik at de får anvendelse samtidig som denne forordning.

18) Denne forordning får ikke anvendelse på behandling av personopplysninger som en fysisk person utfører i forbindelse med rent personlige eller familiemessige aktiviteter, og som derfor ikke er knyttet til en yrkes- eller forretningsvirksomhet. Personlige eller familiemessige aktiviteter kan omfatte korrespondanse og føring av adresselister eller aktiviteter på sosiale nettverk samt aktiviteter på internett i forbindelse med slike aktiviteter. Denne forordning får imidlertid anvendelse på behandlingsansvarlige eller databehandlere som stiller til rådighet midler til behandling av personopplysninger i forbindelse med slike personlige eller familiemessige aktiviteter.

19) Vern av fysiske personer i forbindelse med vedkommende myndigheters behandling av personopplysninger med henblikk på å forebygge, etterforske, avsløre eller straffeforfølge straffbare forhold eller iverksette strafferettslige sanksjoner, herunder vern mot og forebygging av trusler mot den offentlige sikkerhet samt fri utveksling av nevnte opplysninger, omfattes av en spesifikk EU-rettsakt. Denne forordning bør derfor ikke få anvendelse på behandlingsaktiviteter som utføres for nevnte formål. Offentlige myndigheters behandling av personopplysninger i henhold til denne forordning bør, når behandlingen utføres for nevnte formål, imidlertid omfattes av en mer spesifikk EU-rettsakt, nærmere bestemt europaparlaments- og rådsdirektiv (EU) 2016/680[10] . Medlemsstatene kan overlate oppgaver som ikke nødvendigvis utføres for å forebygge, etterforske, avsløre eller straffeforfølge straffbare forhold eller iverksette strafferettslige sanksjoner, herunder vern mot og forebygging av trusler mot den offentlige sikkerhet, til vedkommende myndigheter som definert i direktiv (EU) 2016/680, slik at behandlingen av personopplysninger for slike andre formål, i den grad dette omfattes av unionsretten, omfattes av denne forordning.

Med hensyn til nevnte vedkommende myndigheters behandling av personopplysninger for formål som omfattes av denne forordning, bør medlemsstatene kunne opprettholde eller innføre mer spesifikke bestemmelser for å tilpasse anvendelsen av reglene i denne forordning. I nevnte bestemmelser kan det fastsettes mer spesifikke krav til nevnte vedkommende myndigheters behandling av personopplysninger for slike andre formål, idet det tas hensyn til den enkelte medlemsstats forfatningsmessige, organisatoriske og administrative struktur. Når behandling av personopplysninger utført av private organer omfattes av denne forordning, bør det i denne forordning fastsettes en mulighet for at medlemsstatene på særlige vilkår ved lov kan begrense visse forpliktelser og rettigheter dersom nevnte begrensning utgjør et nødvendig og forholdsmessig tiltak i et demokratisk samfunn for å sikre særlige viktige interesser, herunder den offentlige sikkerhet samt forebygging, etterforskning, avsløring eller straffeforfølging av straffbare forhold eller iverksetting av strafferettslige sanksjoner, herunder vern mot og forebygging av trusler mot den offentlige sikkerhet. Dette er f.eks. relevant i forbindelse med bekjempelse av hvitvasking av penger eller kriminaltekniske laboratoriers virksomhet.

20) Selv om denne forordning blant annet får anvendelse på domstolers og andre rettshåndhevende myndigheters virksomhet, kan det i unionsretten eller medlemsstatenes nasjonale rett angis hvilke prosesser og framgangsmåter for behandling som får anvendelse på behandling av personopplysninger som utføres av domstoler og andre rettshåndhevende myndigheter. Tilsynsmyndighetenes kompetanse bør ikke omfatte domstolers behandling av personopplysninger når dette utføres innenfor rammen av domstolenes domsmyndighet, for å sikre domstolenes uavhengighet når de utfører sine juridiske oppgaver, herunder når de treffer avgjørelser. Det bør være mulig å overlate tilsynet med slike databehandlingsaktiviteter til særskilte organer innenfor medlemsstatens rettssystem som særlig bør sikre at reglene i denne forordning overholdes, øke bevisstheten til medlemmene av domstolsvesenet om de forpliktelser de har i henhold til denne forordning, og håndtere klager i forbindelse med nevnte databehandlingsaktiviteter.

21) Denne forordning berører ikke anvendelsen av europaparlaments- og rådsdirektiv 2000/31/EF[11] , særlig reglene for tjenesteytende mellommenns ansvar i artikkel 12–15 i nevnte direktiv. Formålet med nevnte direktiv er å bidra til at det indre marked fungerer på en tilfredsstillende måte ved å sikre fri bevegelighet for informasjonssamfunnstjenester mellom medlemsstatene.

22) Enhver behandling av personopplysninger som utføres i forbindelse med aktivitetene i en virksomhet tilhørende en behandlingsansvarlig eller databehandler i Unionen, bør utføres i samsvar med denne forordning, uavhengig av om behandlingen finner sted i Unionen eller ikke. En virksomhet innebærer en effektiv og faktisk utøvelse av aktivitet gjennom en stabil struktur. En slik strukturs rettslige form, enten det dreier seg om en filial eller et datterforetak med status som juridisk person, er ikke av avgjørende betydning i denne forbindelse.

23) For å sikre at fysiske personer ikke fratas det vern de har rett til i henhold til denne forordning, bør behandling av personopplysninger om registrerte som befinner seg i Unionen, og som utføres av en behandlingsansvarlig eller en databehandler som ikke er etablert i Unionen, omfattes av denne forordning dersom behandlingsaktivitetene er knyttet til tilbud av varer eller tjenester til nevnte registrerte, uansett om det kreves betaling eller ikke. For å avgjøre om nevnte behandlingsansvarlig eller databehandler tilbyr varer eller tjenester til registrerte som befinner seg i Unionen, bør det bringes på det rene om det er åpenbart at den behandlingsansvarlige eller databehandleren har til hensikt å tilby tjenester til registrerte i én eller flere medlemsstater i Unionen. Selv om tilgang til den behandlingsansvarliges, databehandlerens eller en mellommanns nettsted i Unionen, til en e-postadresse eller til andre kontaktopplysninger, eller bruk av et språk som vanligvis benyttes i tredjestaten der den behandlingsansvarlige er etablert, ikke er tilstrekkelig til å fastslå en slik hensikt, kan faktorer som bruk av et språk eller en valuta som vanligvis benyttes i én eller flere medlemsstater, sammen med en mulighet til å bestille varer og tjenester på nevnte andre språk, eller omtale av kunder eller brukere som befinner seg i Unionen, gjøre det åpenbart at den behandlingsansvarlige har til hensikt å tilby varer eller tjenester til registrerte i Unionen.

24) Behandling av personopplysninger om registrerte som befinner seg i Unionen, og som utføres av en behandlingsansvarlig eller databehandler som ikke er etablert i Unionen, bør også omfattes av denne forordning dersom behandlingen er knyttet til monitorering av de registrertes atferd, så langt atferden finner sted i Unionen. For å fastslå om en behandlingsaktivitet kan anses som monitorering av de registrertes atferd bør det bringes på det rene om det skjer sporing av fysiske personer på internett, herunder en mulig påfølgende bruk av teknikker for behandling av personopplysninger som innebærer profilering av en fysisk person, særlig med det formål å treffe avgjørelser om vedkommende eller analysere eller forutsi vedkommendes personlige preferanser, atferd eller holdninger.

25) Dersom medlemsstatens nasjonale rett får anvendelse i kraft av folkeretten, bør denne forordning også få anvendelse på en behandlingsansvarlig som ikke er etablert i Unionen, f.eks. ved en medlemsstats diplomatiske stasjoner eller konsulater.

26) Prinsippene om vern av personopplysninger bør få anvendelse på enhver opplysning om en identifisert eller identifiserbar fysisk person. Personopplysninger som er blitt pseudonymisert, og som kan knyttes til en fysisk person ved hjelp av tilleggsopplysninger, bør anses som opplysninger om en identifiserbar fysisk person. Når det skal fastslås om en fysisk person er identifiserbar, bør det tas hensyn til alle midler som det med rimelighet kan tenkes at den behandlingsansvarlige eller en annen person kan ta i bruk for å identifisere vedkommende direkte eller indirekte, f.eks. utpeking. For å fastslå om midler med rimelighet kan tenkes å bli tatt bruk for å identifisere den fysiske personen bør det tas hensyn til alle objektive faktorer, f.eks. kostnadene for og tiden som er nødvendig for å foreta identifikasjonen, idet det tas hensyn til teknologien som er tilgjengelig på behandlingstidspunktet, samt den teknologiske utvikling. Prinsippene om vern av personopplysninger bør derfor ikke få anvendelse på anonyme opplysninger, nærmere bestemt opplysninger som ikke kan knyttes til en identifisert eller identifiserbar fysisk person, eller personopplysninger som er blitt anonymisert på en slik måte at den registrerte ikke lenger kan identifiseres. Denne forordning gjelder derfor ikke behandling av slike anonyme opplysninger, herunder for statistiske formål eller forskningsformål.

27) Denne forordning får ikke anvendelse på personopplysninger om avdøde personer. Medlemsstatene kan fastsette regler om behandling av personopplysninger om avdøde personer.

28) Pseudonymisering av personopplysninger kan redusere risikoene for de berørte registrerte og bidra til at behandlingsansvarlige og databehandlere kan oppfylle sine forpliktelser med hensyn til vern av personopplysninger. Hensikten med den uttrykkelige innføringen av «pseudonymisering» i denne forordning er ikke å utelukke andre tiltak for vern av personopplysninger.

29) For å skape insitamenter til bruk av pseudonymisering i forbindelse med behandling av personopplysninger bør pseudonymiseringstiltak som samtidig tillater en generell analyse, være mulig hos den samme behandlingsansvarlige når denne har truffet de tekniske og organisatoriske tiltak som er nødvendige for å sikre at denne forordning gjennomføres med tanke på den berørte behandlingen, og at tilleggsopplysninger som gjør det mulig å knytte personopplysningene til en bestemt registrert, lagres atskilt. Den behandlingsansvarlige som behandler personopplysningene, bør angi de autoriserte personene hos den samme behandlingsansvarlige.

30) Fysiske personer kan knyttes til nettidentifikatorer via utstyr, programmer, verktøy og protokoller, f.eks. IP-adresser, informasjonskapsler eller andre identifikatorer, f.eks. radiofrekvensidentifikasjonsmerker. Dette kan etterlate spor som særlig i kombinasjon med entydige identifikatorer og andre opplysninger som serverne mottar, kan brukes til å opprette profiler for fysiske personer og identifisere dem.

31) Offentlige myndigheter som får utlevert personopplysninger i samsvar med en rettslig forpliktelse i forbindelse med utøvelse av sitt offentlige oppdrag, f.eks. skatte- og tollmyndigheter, enheter som driver økonomisk etterforskning, uavhengige forvaltningsmyndigheter eller finansmarkedsmyndigheter med ansvar for regulering av og tilsyn med verdipapirmarkeder, bør ikke anses som mottakere dersom de mottar personopplysninger som er nødvendige for å utføre en bestemt granskning av allmenn interesse i samsvar med unionsretten eller medlemsstatenes nasjonale rett. Offentlige myndigheters anmodninger om utlevering av informasjon bør alltid være skriftlige, begrunnede og leilighetsvise og bør ikke gjelde et helt register eller føre til sammenkopling av registre. Nevnte offentlige myndigheters behandling av personopplysninger bør overholde gjeldende regler om vern av personopplysninger i samsvar med formålet med behandlingen.

32) Samtykke bør gis i form av en tydelig bekreftelse der den registrerte på en frivillig, spesifikk, informert og utvetydig måte gir sitt samtykke til behandling av vedkommendes personopplysninger, f.eks. i form av en skriftlig, herunder elektronisk, eller en muntlig erklæring. Dette kan innebære å krysse av i en boks under et besøk på et nettsted, velge tekniske innstillinger for informasjonssamfunnstjenester eller en annen erklæring eller handling som i denne forbindelse tydelig viser at den registrerte godtar den foreslåtte behandlingen av vedkommendes personopplysninger. Taushet, forhåndsavkryssede bokser eller inaktivitet bør derfor ikke utgjøre et samtykke. Et samtykke bør omfatte alle behandlingsaktiviteter som utføres med henblikk på samme formål. Dersom det er flere formål med behandlingen, bør det gis samtykke til alle. Dersom den registrertes samtykke skal gis etter en elektronisk anmodning, må anmodningen være tydelig, kortfattet og ikke unødig forstyrre bruken av den tjenesten samtykket gjelder.

33) For formål knyttet til vitenskapelig forskning er det ofte ikke mulig fullt ut å identifisere formålet med behandlingen av personopplysninger på tidspunktet for innsamlingen av opplysningene. De registrerte bør derfor kunne gi sitt samtykke til visse områder innen vitenskapelig forskning når dette er i samsvar med anerkjente etiske standarder for vitenskapelig forskning. De registrerte bør ha mulighet til å gi sitt samtykke bare til visse forskningsområder eller deler av forskningsprosjekter i det omfang det tilsiktede formålet tillater det.

34) Genetiske opplysninger bør defineres som personopplysninger om en fysisk persons nedarvede eller ervervede genetiske egenskaper som foreligger etter analysering av en biologisk prøve fra nevnte fysiske person, særlig en kromosomanalyse eller en DNA- eller RNA-analyse, eller analysering av andre elementer som gjør det mulig å innhente tilsvarende opplysninger.

35) Personopplysninger om helse bør omfatte alle opplysninger om den registrertes helsetilstand som avdekker den registrertes tidligere, nåværende eller fremtidige fysiske eller psykiske helsetilstand. Dette omfatter opplysninger om den fysiske personen innsamlet under registrering av vedkommende med henblikk på eller under yting av helsetjenester, som nevnt i europaparlaments- og rådsdirektiv 2011/24/EU[12] , til den aktuelle fysiske personen; et tall, symbol eller kjennetegn som tildeles en fysisk person for på en entydig måte å identifisere vedkommende for helseformål; opplysninger som stammer fra tester eller undersøkelser av en kroppsdel eller en kroppssubstans, herunder fra genetiske opplysninger og biologiske prøver; og enhver opplysning om den registrerte med hensyn til f.eks. sykdom, funksjonshemning, sykdomsrisiko, sykehistorie, klinisk behandling eller fysiologisk eller biomedisinsk tilstand uavhengig av hvor dette stammer fra, f.eks. fra en lege eller annet helsepersonell, et sykehus, medisinsk utstyr eller in vitro-diagnostikk.

36) En behandlingsansvarligs hovedvirksomhet i Unionen bør være det sted der vedkommende har sin hovedadministrasjon i Unionen, med mindre det treffes beslutninger om formål og midler i forbindelse med behandlingen av personopplysninger i en annen av den behandlingsansvarliges virksomheter i Unionen; da skal nevnte andre virksomhet anses for å være hovedvirksomheten. En behandlingsansvarligs hovedvirksomhet i Unionen bør fastslås ut fra objektive kriterier og bør innebære en effektiv og faktisk utøvelse av ledelsesaktiviteter som munner ut i de viktigste avgjørelsene med hensyn til formålet med og midlene for behandlingen gjennom en stabil struktur. Dette kriteriet bør ikke avhenge av om behandlingen av personopplysninger utføres på nevnte sted. Det forhold at det finnes og benyttes tekniske midler og teknologier i forbindelse med behandling av personopplysninger eller behandlingsaktiviteter, utgjør i seg selv ikke en hovedvirksomhet, og er derfor ikke avgjørende for kriteriet om hovedvirksomhet. Databehandlerens hovedvirksomhet bør være det sted der vedkommende har sin hovedadministrasjon i Unionen, eller dersom vedkommende ikke har en hovedadministrasjon i Unionen, det sted der de fleste behandlingsaktivitetene finner sted i Unionen. I tilfeller som omfatter både den behandlingsansvarlige og databehandleren, bør vedkommende ledende tilsynsmyndighet fortsatt være tilsynsmyndigheten i medlemsstaten der den behandlingsansvarlige har sin hovedvirksomhet, mens databehandlerens tilsynsmyndighet bør anses for å være en berørt tilsynsmyndighet, og denne tilsynsmyndighet bør delta i framgangsmåten for samarbeid fastsatt i denne forordning. Under alle omstendigheter bør tilsynsmyndighetene i medlemsstaten eller medlemsstatene der databehandleren har én eller flere virksomheter, ikke anses for å være berørte tilsynsmyndigheter dersom utkastet til avgjørelse bare gjelder den behandlingsansvarlige. Dersom behandlingen utføres av et konsern, bør hovedvirksomheten til det foretaket som utøver kontroll, anses som konsernets hovedvirksomhet, bortsett fra når formålet med behandlingen og midlene som skal brukes, fastsettes av et annet foretak.

37) Et konsern bør omfatte et foretak som utøver kontroll, og dets kontrollerte foretak, der foretaket som utøver kontroll, bør være det foretak som kan utøve en dominerende innflytelse på de andre foretakene, f.eks. i kraft av eiendomsrett, økonomisk deltaking eller reglene det er underlagt, eller myndigheten til å få gjennomført regler om vern av personopplysninger. Et foretak som kontrollerer behandlingen av personopplysninger i tilknyttede foretak, bør sammen med disse foretak anses som et konsern.

38) Barns personopplysninger fortjener et særlig vern, ettersom barn kan være mindre bevisste på aktuelle risikoer, konsekvenser og garantier samt på de rettigheter de har når det gjelder behandling av personopplysninger. Et slikt særlig vern bør især få anvendelse på bruk av barns personopplysninger for markedsføringsformål eller for å opprette personlighets- eller brukerprofiler samt på innsamling av personopplysninger om barn når de bruker tjenester som tilbys direkte til barn. Samtykke fra den som har foreldreansvaret, bør ikke være nødvendig i forbindelse med forebyggings- eller rådgivningstjenester som tilbys direkte til barn.

39) Enhver behandling av personopplysninger bør være lovlig og rettferdig. For fysiske personer bør det framgå klart og tydelig at personopplysninger om dem samles inn, benyttes, konsulteres eller på annen måte behandles, og i hvilket omfang de behandles eller vil bli behandlet. Prinsippet om åpenhet krever at all informasjon og kommunikasjon i forbindelse med behandling av nevnte personopplysninger er lett tilgjengelig og lettfattelig, og at språket som brukes, er klart og enkelt. Prinsippet gjelder særlig informasjon til de registrerte om identiteten til den behandlingsansvarlige og formålene med behandlingen samt ytterligere informasjon for å sikre en rettferdig og åpen behandling for de berørte fysiske personer samt deres rett til å få bekreftelse på og bli underrettet om de personopplysninger som gjelder dem, som behandles. Fysiske personer bør gjøres oppmerksomme på risikoer, regler, garantier og rettigheter i forbindelse med behandling av personopplysninger, og på hvilken måte de kan utøve sine rettigheter i forbindelse med nevnte behandling. De særlige formålene med behandlingen av personopplysningene bør især være berettigede, uttrykkelig angitt og fastsatt når personopplysningene samles inn. Personopplysningene bør være adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for. Dette krever særlig at det sikres at personopplysningene ikke lagres lenger enn det som er strengt nødvendig. Personopplysninger bør behandles bare dersom formålet med behandlingen ikke med rimelighet kan oppfylles på annen måte. For å sikre at personopplysningene ikke lagres lenger enn nødvendig bør den behandlingsansvarlige fastsette frister for sletting eller for regelmessig gjennomgåelse. Ethvert rimelig tiltak bør treffes for å sikre at uriktige personopplysninger rettes eller slettes. Personopplysninger bør behandles på en måte som gir tilstrekkelig sikkerhet og konfidensialitet, herunder for å hindre ulovlig tilgang til eller bruk av personopplysninger og utstyret som brukes i forbindelse med behandlingen.

40) For at behandlingen skal kunne anses som lovlig bør personopplysninger behandles på grunnlag av den berørte registrertes samtykke eller et annet berettiget grunnlag som er fastsatt ved lov, enten i denne forordning eller i en annen bestemmelse i unionsretten eller medlemsstatenes nasjonale rett som nevnt i denne forordning, herunder behovet for å oppfylle den rettslige forpliktelsen som påhviler den behandlingsansvarlige, eller behovet for å oppfylle en avtale som den registrerte er part i, eller for å treffe tiltak på anmodning fra den registrerte før en avtaleinngåelse.

41) Når det i denne forordning vises til et rettslig grunnlag eller et lovgivningsmessig tiltak, krever dette ikke nødvendigvis en regelverksakt vedtatt av et parlament, med forbehold for kravene fastsatt i henhold til forfatningsordningen i den berørte medlemsstat. Nevnte rettslige grunnlag eller lovgivningsmessige tiltak bør imidlertid være tydelig og presist, og anvendelsen av det bør være forutsigbar for personer som omfattes av det, i samsvar med rettspraksisen til Den europeiske unions domstol («Domstolen») og Den europeiske menneskerettighetsdomstol.

42) Dersom behandlingen er basert på den registrertes samtykke, bør den behandlingsansvarlige kunne påvise at den registrerte har samtykket til behandlingen. Særlig i forbindelse med skriftlige erklæringer om andre forhold bør det foreligge garantier for å sikre at den registrerte er kjent med at samtykke er gitt, og omfanget av det. I samsvar med rådsdirektiv 93/13/EØF[13] bør det foreligge en samtykkeerklæring som den behandlingsansvarlige på forhånd har utarbeidet i en forståelig og lett tilgjengelig form og formulert på et klart og enkelt språk, og som ikke bør inneholde urimelige vilkår. For å sikre at samtykket er informert bør den registrerte minst kjenne den behandlingsansvarliges identitet og formålene med behandlingen som personopplysningene skal brukes til. Samtykket skal ikke anses som frivillig dersom den registrerte ikke har en reell valgfrihet, eller ikke er i stand til å nekte å gi eller trekke tilbake et samtykke uten at det er til skade for vedkommende.

43) For å sikre at et samtykke gis frivillig bør det ikke utgjøre et gyldig rettslig grunnlag for behandling av personopplysninger i et bestemt tilfelle dersom det er en klar skjevhet mellom den registrerte og den behandlingsansvarlige, særlig dersom den behandlingsansvarlige er en offentlig myndighet og det derfor er usannsynlig at samtykket er gitt frivillig med hensyn til alle omstendigheter som kjennetegner den bestemte situasjonen. Samtykket antas å ikke være gitt frivillig dersom det ikke er mulig å gi separat samtykke for forskjellige behandlingsaktiviteter, selv om det er hensiktsmessig i det enkelte tilfellet, eller dersom oppfyllelsen av en avtale, herunder yting av en tjeneste, avhenger av samtykket, til tross for at et slikt samtykke ikke er nødvendig for å oppfylle avtalen.

44) Behandlingen bør anses som lovlig når den er nødvendig i forbindelse med en avtale, eller når det foreligger en hensikt om å inngå en avtale.

45) Dersom behandlingen utføres i samsvar med en rettslig forpliktelse som påhviler den behandlingsansvarlige, eller dersom behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet, bør behandlingen ha rettslig grunnlag i unionsretten eller medlemsstatenes nasjonale rett. Ved denne forordning kreves det ikke en særlig lovbestemmelse for hver enkelt behandling. En lov kan være tilstrekkelig som grunnlag for flere behandlingsaktiviteter som bygger på en rettslig forpliktelse som påhviler den behandlingsansvarlige, eller dersom behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet. Formålet med behandlingen bør også fastsettes i unionsretten eller i medlemsstatenes nasjonale rett. Videre kan nevnte rettslige grunnlag presisere denne forordnings allmenne vilkår for lovlig behandling av personopplysninger, fastsette spesifikasjoner for å fastslå hvem den behandlingsansvarlige er, hvilken type personopplysninger som skal behandles, de berørte registrerte, hvilke enheter personopplysningene kan utleveres til, formålsbegrensninger, hvor lenge opplysningene kan lagres og andre tiltak for å sikre lovlig og rettferdig behandling. I unionsretten eller medlemsstatenes nasjonale rett bør det også fastsettes om den behandlingsansvarlige som utfører en oppgave i allmennhetens interesse eller utøver offentlig myndighet, bør være en offentlig myndighet eller en annen fysisk eller juridisk person underlagt offentlig rett eller, dersom det er i allmennhetens interesse, herunder for helseformål som folkehelse og sosial trygghet og forvaltning av helsetjenester, privatrett, f.eks. en yrkessammenslutning.

46) Behandlingen av personopplysninger bør også anses som lovlig dersom den er nødvendig for å verne en interesse som er av avgjørende betydning for den registrertes eller en annen fysisk persons liv. Behandling av personopplysninger som er basert på en annen fysisk persons vitale interesser, bør i prinsippet bare finne sted dersom det er åpenbart at behandlingen ikke kan baseres på et annet rettslig grunnlag. Noen typer behandling kan tjene både viktige allmenne interesser og den registrertes vitale interesser, f.eks. når behandlingen er nødvendig av humanitære årsaker, herunder for å overvåke epidemier og spredning av dem, eller i humanitære nødssituasjoner, særlig i forbindelse med naturkatastrofer og menneskeskapte katastrofer.

47) De berettigede interessene til en behandlingsansvarlig, herunder de berettigede interessene til en behandlingsansvarlig som personopplysninger kan utleveres til, eller til en tredjepart, kan utgjøre et rettslig grunnlag for behandlingen, forutsatt at den registrertes interesser eller grunnleggende rettigheter og friheter ikke går foran, idet det tas hensyn til de registrertes rimelige forventninger på grunnlag av forholdet mellom dem og den behandlingsansvarlige. Det kan f.eks. foreligge en slik berettiget interesse når det er et relevant og passende forhold mellom den registrerte og den behandlingsansvarlige, f.eks. dersom den registrerte er kunde av den behandlingsansvarlige eller i vedkommendes tjeneste. En berettiget interesse krever i alle tilfeller en nøye vurdering, herunder av om en registrert på tidspunktet for og i forbindelse med innsamling av personopplysninger med rimelighet kan forvente at disse behandles for nevnte formål. Den registrertes interesser og grunnleggende rettigheter kan særlig gå foran den behandlingsansvarliges interesser dersom personopplysningene behandles under omstendigheter der de registrerte med rimelighet forventer at opplysningene ikke viderebehandles. Ettersom det er opp til lovgiveren ved lov å fastsette det rettslige grunnlaget for offentlige myndigheters behandling av personopplysninger, bør nevnte rettslige grunnlag ikke gjelde for behandling som offentlige myndigheter utfører i forbindelse med utførelse av de oppgavene de er tillagt. Behandling av personopplysninger som er strengt nødvendig for å forebygge bedrageri, utgjør også en berettiget interesse for den berørte behandlingsansvarlige. Behandling av personopplysninger i forbindelse med direkte markedsføring kan anses for å være en berettiget interesse.

48) Behandlingsansvarlige som er en del av et konsern, eller institusjoner som er tilknyttet et sentralt organ, kan ha en berettiget interesse av å overføre personopplysninger internt i konsernet med henblikk på interne administrative formål, herunder behandling av kunders eller arbeidstakeres personopplysninger. De allmenne prinsippene for overføring av personopplysninger i et konsern til et foretak i en tredjestat påvirkes ikke.

49) Behandling av personopplysninger i det omfang som er strengt nødvendig og forholdsmessig for å sikre nett- og informasjonssikkerheten, det vil si et netts eller informasjonssystems evne til, på et bestemt sikkerhetsnivå, å stå imot utilsiktede hendelser eller ulovlige eller skadelige handlinger som svekker tilgjengeligheten, autentisiteten, integriteten og konfidensialiteten til lagrede eller overførte personopplysninger, samt sikkerheten i beslektede tjenester som tilbys av eller er gjort tilgjengelige via nevnte nett og systemer, av offentlige myndigheter, enheter for IT-beredskap (CERT), enheter for IT-sikkerhetshendelser (CSIRT), leverandører av elektroniske kommunikasjonsnett og -tjenester og leverandører av sikkerhetsteknologier og -tjenester, utgjør en berettiget interesse for den berørte behandlingsansvarlige. Dette kan f.eks. omfatte å hindre ulovlig tilgang til elektroniske kommunikasjonsnett og spredning av skadelige koder og å stoppe «tjenestenektangrep» og skade på datasystemer og elektroniske kommunikasjonssystemer.

50) Behandling av personopplysninger for andre formål enn de formål personopplysningene opprinnelig ble samlet inn for, bør bare være tillatt dersom behandlingen er forenlig med formålene som personopplysningene opprinnelig ble samlet inn for. I et slikt tilfelle kreves det ikke et annet rettslig grunnlag enn det som ligger til grunn for innsamlingen av personopplysninger. Dersom behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt, kan det i unionsretten eller medlemsstatenes nasjonale rett fastsettes og angis nærmere hvilke oppgaver og formål viderebehandling bør anses som forenlig og lovlig for. Viderebehandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål bør anses som forenlige og lovlige behandlingsaktiviteter. Det rettslige grunnlaget for behandling av personopplysninger som er fastsatt i unionsretten eller medlemsstatenes nasjonale rett, kan også utgjøre et rettslig grunnlag for viderebehandling. For å fastslå om formålet med viderebehandlingen er forenlig med formålet som personopplysningene opprinnelig ble samlet inn for, bør den behandlingsansvarlige, etter å ha oppfylt alle krav for å sikre at den opprinnelige behandlingen er lovlig, blant annet ta hensyn til enhver forbindelse mellom disse formålene og formålene med den tiltenkte viderebehandlingen, i hvilken sammenheng personopplysningene er blitt samlet inn, særlig de registrertes rimelige forventninger på grunnlag av forholdet de har til den behandlingsansvarlige med hensyn til viderebruk av opplysningene, personopplysningenes art, konsekvensene av den tiltenkte viderebehandlingen for de registrerte, og om både de opprinnelige behandlingsaktivitetene og de tiltenkte viderebehandlingsaktivitetene omfattes av nødvendige garantier.

Når den registrerte har samtykket eller behandlingen er basert på unionsretten eller medlemsstatenes nasjonale rett som utgjør et nødvendig og forholdsmessig tiltak i et demokratisk samfunn for særlig å verne viktige samfunnsmessige mål, bør den behandlingsansvarlige kunne viderebehandle personopplysningene uavhengig av om formålene er forenlige. I alle tilfeller bør det sikres at prinsippene fastsatt i denne forordning, og særlig informasjonen til de registrerte om nevnte andre formål og om vedkommendes rettigheter, herunder retten til å protestere, anvendes. Dersom den behandlingsansvarlige avdekker mulige straffbare handlinger eller trusler mot den offentlige sikkerhet og overfører relevante personopplysninger i enkeltstående eller flere tilfeller som gjelder samme straffbare handling eller trusler mot den offentlige sikkerhet, til en vedkommende myndighet, bør dette anses for å være i den behandlingsansvarliges berettigede interesse. En slik overføring i den behandlingsansvarliges berettigede interesse eller viderebehandling av personopplysninger bør være forbudt dersom behandlingen ikke er forenlig med en rettslig, yrkesmessig eller annen bindende taushetsplikt.

51) Personopplysninger som av natur er særlig sensitive med hensyn til grunnleggende rettigheter og friheter, fortjener et særskilt vern, ettersom sammenhengen de behandles i, kan skape betydelige risikoer for de grunnleggende rettigheter og friheter. Slike personopplysninger bør omfatte personopplysninger som avdekker rasemessig eller etnisk opprinnelse, idet bruken av begrepet «rasemessig opprinnelse» i denne forordning ikke innebærer at Unionen godtar teorier som søker å fastslå at det finnes forskjellige menneskeraser. Behandling av fotografier bør ikke systematisk anses som behandling av særlige kategorier av personopplysninger, ettersom fotografier omfattes av definisjonen av biometriske opplysninger bare når de behandles ved hjelp av et særskilt teknisk middel som gjør det mulig entydig å identifisere eller autentisere en fysisk person. Slike personopplysninger bør ikke behandles, med mindre behandlingen er tillatt i særlige tilfeller fastsatt i denne forordning, idet det tas hensyn til at det i medlemsstatenes nasjonale rett kan fastsettes særlige bestemmelser om vern av personopplysninger med henblikk på å tilpasse anvendelsen av reglene i denne forordning for å oppfylle en rettslig forpliktelse eller utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt. I tillegg til de særlige kravene til slik behandling bør de allmenne prinsippene og de andre reglene i denne forordning få anvendelse, særlig når det gjelder vilkårene for lovlig behandling. Unntak fra det allmenne forbudet mot å behandle nevnte særlige kategorier av personopplysninger bør fastsettes uttrykkelig, blant annet dersom den registrerte gir sitt uttrykkelige samtykke, eller for å oppfylle særlige behov, særlig når behandlingen utføres i forbindelse med visse sammenslutningers eller stiftelsers rettmessige virksomhet hvis formål er å gjøre det mulig å utøve grunnleggende friheter.

52) Unntak fra forbudet mot å behandle særlige kategorier av personopplysninger bør også tillates når dette er fastsatt i unionsretten eller medlemsstatenes nasjonale rett, og det omfattes av nødvendige garantier som sikrer vern av personopplysninger og andre grunnleggende rettigheter når dette er i allmennhetens interesse, særlig behandling av personopplysninger på området arbeidsrett, sosialrett, herunder pensjoner, og med henblikk på helsesikkerhet, -overvåking og -varsling, forebygging av eller kontroll med smittsomme sykdommer og andre alvorlige helsetrusler. Et slikt unntak kan gis for helseformål, herunder på området folkehelse og helsetjenesteforvaltning, særlig for å sikre kvalitet og kostnadseffektivitet i framgangsmåtene som brukes ved behandling av krav om ytelser og tjenester i sykeforsikringssystemet, eller for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål. Et unntak bør også tillate behandling av slike personopplysninger dersom dette er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav, uansett om det skjer innenfor rammen av en rettergang eller en administrativ eller utenrettslig prosedyre.

53) Særlige kategorier av personopplysninger som fortjener et sterkere vern, bør bare behandles for helserelaterte formål når det er nødvendig for å oppfylle nevnte formål til fordel for fysiske personer og samfunnet som helhet, særlig i forbindelse med forvaltning av helse- eller sosialtjenester og -systemer, herunder forvaltningens og sentrale nasjonale helsemyndigheters behandling av slike opplysninger med henblikk på kvalitetskontroll, forvaltningsinformasjon og den allmenne nasjonale og lokale overvåking av helse- og sosialsystemet, og for å sikre kontinuitet innen helse- og sosialtjenester og helsetjenester over landegrensene eller i forbindelse med helsesikkerhet, -overvåking og -varsling eller for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål, på grunnlag av unionsretten eller medlemsstatenes nasjonale rett som må oppfylle et mål i allmennhetens interesse, samt for studier på området folkehelse som utføres i allmennhetens interesse. Ved denne forordning bør det derfor fastsettes harmoniserte vilkår for behandling av særlige kategorier av personopplysninger om helse for å oppfylle særlige behov, især når behandlingen av nevnte opplysninger utføres for visse helserelaterte formål av personer som er underlagt lovfestet taushetsplikt. I unionsretten eller medlemsstatenes nasjonale rett bør det fastsettes særlige og egnede tiltak for vern av fysiske personers grunnleggende rettigheter og personopplysninger. Medlemsstatene bør kunne opprettholde eller innføre ytterligere vilkår, herunder begrensninger, med hensyn til behandling av genetiske opplysninger, biometriske opplysninger eller helseopplysninger. Dette bør imidlertid ikke hindre den frie flyten av personopplysninger i Unionen når nevnte vilkår får anvendelse på grenseoverskridende behandling av nevnte opplysninger.

54) Allmenne folkehelsehensyn gjør at det kan være nødvendig å behandle særlige kategorier av personopplysninger uten den registrertes samtykke. En slik behandling bør være underlagt egnede og særlige tiltak som sikrer vern av fysiske personers rettigheter og friheter. I denne forbindelse bør «folkehelse» tolkes i henhold til europaparlaments- og rådsforordning (EF) nr. 1338/2008[14] , nærmere bestemt alle faktorer knyttet til helse, nærmere bestemt helsestatus, herunder sykelighet og funksjonshemning, faktorer som har innvirkning på denne helsestatusen, behov for helsetjenester, ressurser avsatt til helsetjenester, yting av og allmenn tilgang til helsetjenester, utgifter til og finansiering av helsetjenester samt dødsårsaker. En slik behandling av helseopplysninger i allmennhetens interesse bør ikke føre til at personopplysninger behandles for andre formål av tredjeparter, f.eks. arbeidsgivere, forsikringsselskaper eller banker.

55) Offentlige myndigheters behandling av personopplysninger med henblikk på å nå målene til offisielt anerkjente religiøse sammenslutninger som er fastsatt ved forfatningsretten eller ved folkeretten, utføres også i allmennhetens interesse.

56) Dersom det i forbindelse med valgaktiviteter i en medlemsstat, for å sikre at det demokratiske systemet fungerer, kreves at politiske partier samler inn personopplysninger om fysiske personers politiske oppfatninger, kan behandling av slike opplysninger være tillatt av hensyn til allmennhetens interesse, forutsatt at det foreligger nødvendige garantier.

57) Dersom personopplysningene som behandles av en behandlingsansvarlig, ikke gjør det mulig for den behandlingsansvarlige å identifisere en fysisk person, bør den behandlingsansvarlige ikke ha plikt til å innhente ytterligere opplysninger for å identifisere den registrerte utelukkende med det formål å overholde bestemmelsene i denne forordning. Den behandlingsansvarlige bør imidlertid ikke nekte å ta imot flere opplysninger som den registrerte gir med henblikk på å utøve sine rettigheter. Identifikasjon bør omfatte digital identifikasjon av den registrerte, f.eks. ved hjelp av en autentiseringsmekanisme, f.eks. de samme legitimasjonsopplysninger som den registrerte bruker for å logge seg inn på den nettbaserte tjenesten som tilbys av den behandlingsansvarlige.

58) Prinsippet om åpenhet krever at all informasjon som er rettet mot allmennheten eller den registrerte, skal være kortfattet, lett tilgjengelig og enkel å forstå, at det skal benyttes et klart og enkelt språk og ved behov visualisering. Slik informasjon kan, når den er rettet mot allmennheten, gis elektronisk, f.eks. på et nettsted. Dette er særlig relevant i situasjoner der det økende antallet aktører samt de komplekse teknologiene som brukes, gjør det vanskelig for den registrerte å vite og forstå om, av hvem og for hvilket formål vedkommendes personopplysninger samles inn, f.eks. i forbindelse med nettreklame. Ettersom barn fortjener et særlig vern, bør all informasjon og kommunikasjon, dersom behandlingen gjelder barn, være formulert på et klart og enkelt språk som barnet lett kan forstå.

59) Det bør fastsettes nærmere regler for å sikre at den registrerte på en enkel måte kan utøve sine rettigheter i henhold til denne forordning, herunder mekanismer for å anmode om og, dersom det er relevant, kostnadsfritt få innsyn i personopplysninger og få rettet eller slettet disse, samt utøve retten til å protestere. Den behandlingsansvarlige bør også gjøre det mulig å inngi anmodninger elektronisk, særlig dersom personopplysninger behandles elektronisk. Den behandlingsansvarlige bør ha plikt til å svare på anmodninger fra den registrerte uten ugrunnet opphold, og senest innen én måned, samt å begrunne sitt svar dersom den behandlingsansvarlige ikke akter å imøtekomme nevnte anmodninger.

60) Prinsippene om rettferdig og åpen behandling krever at den registrerte informeres om at behandlingen skjer samt om formålet med den. Den behandlingsansvarlige bør gi den registrerte eventuell ytterligere informasjon som er nødvendig for å sikre en rettferdig og åpen behandling, idet det tas hensyn til de særlige omstendighetene rundt behandlingen av personopplysningene og sammenhengen den skjer i. Den registrerte bør dessuten informeres om forekomsten av profilering og konsekvensene av dette. Dersom personopplysningene samles inn fra den registrerte, bør den registrerte også informeres om hvorvidt vedkommende har plikt til å gi personopplysningene, og om konsekvensene dersom de ikke gis. Nevnte informasjon kan gis sammen med standardiserte ikoner, slik at det gis en oversikt over den tiltenkte behandlingen på en lett synlig, forståelig og lettlest måte. Dersom ikonene presenteres elektronisk, bør de være maskinlesbare.

61) Informasjonen i forbindelse med behandlingen av personopplysninger bør gis den registrerte på tidspunktet for innsamlingen av personopplysninger fra vedkommende eller, dersom personopplysningene innhentes fra en annen kilde, innen en rimelig frist, avhengig av de aktuelle omstendighetene. Dersom personopplysninger rettmessig kan utleveres til en annen mottaker, bør den registrerte informeres første gang personopplysningene utleveres til nevnte mottaker. Dersom den behandlingsansvarlige akter å behandle personopplysningene for et annet formål enn det de ble samlet inn for, bør den behandlingsansvarlige før nevnte viderebehandling gi den registrerte informasjon om nevnte andre formål og annen nødvendig informasjon. Dersom det ikke er mulig å informere den registrerte om personopplysningenes opprinnelse fordi det er brukt forskjellige kilder, bør det gis generell informasjon.

62) Det er imidlertid ikke nødvendig å pålegge en plikt til å informere dersom den registrerte allerede har informasjonen, dersom registrering eller utlevering av personopplysninger er uttrykkelig fastsatt ved lov, eller dersom det viser seg å være umulig eller vil kreve en uforholdsmessig stor innsats å informere den registrerte. Det sistnevnte kan særlig være tilfellet dersom behandlingen utføres for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål. I denne forbindelse bør det tas hensyn til antall registrerte, hvor gamle opplysningene er, og eventuelle garantier som er vedtatt.

63) En registrert bør ha rett til å få innsyn i personopplysninger som er samlet inn om vedkommende, og til på en enkel måte og med rimelige intervaller å utøve denne retten for å forvisse seg om og kontrollere at behandlingen er lovlig. Dette omfatter de registrertes rett til å få innsyn i egne helseopplysninger, f.eks. opplysninger i egen pasientjournal om diagnoser, undersøkelsesresultater, behandlende leges vurderinger og enhver behandling som er gitt, eller enhver intervensjon som er utført. Alle registrerte bør derfor ha rett til å kjenne til og bli informert om formålene med behandlingen av personopplysninger, om mulig om perioden som personopplysningene behandles i, hvem mottakerne av personopplysningene er, logikken som ligger bak en eventuell automatisk behandling av personopplysningene, og konsekvensene av nevnte behandling, i det minste dersom den er basert på profilering. Dersom det er mulig, bør den behandlingsansvarlige kunne gi fjerntilgang til et sikkert system der den registrerte kan få direkte tilgang til egne personopplysninger. Denne retten bør ikke ha negativ innvirkning på andres rettigheter eller friheter, herunder forretningshemmeligheter eller immaterialretten, særlig opphavsretten som programvaren er beskyttet av. Disse hensynene bør imidlertid ikke føre til at den registrerte nektes innsyn i alle opplysninger. Dersom den behandlingsansvarlige behandler en stor mengde opplysninger om den registrerte, bør den behandlingsansvarlige før informasjonen gis, kunne anmode om at den registrerte presiserer hvilke opplysninger eller behandlingsaktiviteter anmodningen gjelder.

64) Den behandlingsansvarlige bør treffe alle rimelige tiltak for å kontrollere identiteten til en registrert som anmoder om innsyn, særlig i forbindelse med nettjenester og nettidentifikatorer. En behandlingsansvarlig bør ikke lagre personopplysninger utelukkende for å kunne svare på mulige anmodninger.

65) En registrert bør ha rett til å få rettet sine personopplysninger samt ha «rett til å bli glemt» dersom lagring av nevnte opplysninger er i strid med denne forordning, unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt. En registrert bør særlig ha rett til å få sine personopplysninger slettet og ikke lenger behandlet dersom personopplysningene ikke lenger er nødvendige for de formål de er blitt samlet inn eller behandlet for, dersom en registrert har trukket tilbake sitt samtykke eller motsetter seg behandling av vedkommendes personopplysninger, eller dersom behandlingen av vedkommendes personopplysninger på annen måte ikke er i samsvar med denne forordning. Denne retten er særlig relevant når den registrerte har gitt sitt samtykke som barn og ikke har fullstendig kjennskap til risikoene forbundet med behandlingen, og senere ønsker å fjerne slike personopplysninger, særlig på internett. Den registrerte bør kunne utøve denne retten selv om vedkommende ikke lenger er et barn. Ytterligere lagring av personopplysninger bør imidlertid være lovlig dersom det er nødvendig for å utøve retten til ytrings- og informasjonsfrihet, for å oppfylle en rettslig forpliktelse, utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt, av allmenne folkehelsehensyn, for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning, for statistiske formål eller for å fastsette, gjøre gjeldende eller forsvare rettskrav.

66) For å styrke retten til å bli glemt på internett bør retten til sletting også utvides, slik at en behandlingsansvarlig som har offentliggjort personopplysningene, har plikt til å underrette de behandlingsansvarlige som behandler nevnte personopplysninger, om at alle lenker til eller kopier eller reproduksjoner av nevnte personopplysninger skal slettes. I den forbindelse bør nevnte behandlingsansvarlig treffe rimelige tiltak, idet det tas hensyn til tilgjengelig teknologi og de midler den behandlingsansvarlige har til rådighet, herunder tekniske tiltak, for å underrette de behandlingsansvarlige som behandler personopplysningene, om den registrertes anmodning.

67) Metodene for å begrense behandlingen av personopplysninger kan blant annet innebære at utvalgte opplysninger flyttes midlertidig til et annet behandlingssystem, at utvalgte personopplysninger gjøres utilgjengelig for brukere, eller at offentliggjorte opplysninger fjernes midlertidig fra et nettsted. I automatiserte registre bør behandlingen i prinsippet begrenses ved hjelp av tekniske midler som sikrer at personopplysningene ikke kan viderebehandles og endres. Det faktum at behandlingen av personopplysninger er begrenset, bør være tydelig angitt i systemet.

68) For å gi den registrerte økt kontroll over egne personopplysninger bør den registrerte, ved automatisert behandling av personopplysningene, også ha rett til å motta personopplysninger om seg selv som vedkommende har gitt til en behandlingsansvarlig i et strukturert, alminnelig anvendt, maskinlesbart og kompatibelt format, og til å overføre dem til en annen behandlingsansvarlig. Behandlingsansvarlige bør oppmuntres til å utvikle kompatible formater som muliggjør dataportabilitet. Denne retten bør få anvendelse dersom den registrerte har gitt personopplysninger på grunnlag av et samtykke, eller dersom behandlingen er nødvendig for å oppfylle en avtale. Den bør ikke få anvendelse dersom behandlingen er basert på et annet rettslig grunnlag enn et samtykke eller en avtale. Denne retten er av en slik art at den ikke bør utøves overfor behandlingsansvarlige som behandler personopplysninger som et ledd i utøvelsen av sine offentlige oppgaver. Den bør derfor ikke få anvendelse dersom behandlingen av personopplysninger er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige, eller for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt. Den registrertes rett til å overføre eller motta personopplysninger om seg selv bør ikke innebære at de behandlingsansvarlige har plikt til å innføre eller opprettholde teknisk kompatible behandlingssystemer. Dersom et bestemt sett med personopplysninger berører mer enn én registrert, bør retten til å motta personopplysningene ikke berøre andre registrertes rettigheter og friheter i samsvar med denne forordning. Denne retten bør videre ikke berøre den registrertes rett til å få slettet personopplysninger samt begrensningene av denne retten som fastsatt i denne forordning, og bør særlig ikke innebære sletting av personopplysninger om den registrerte som vedkommende har gitt med henblikk på å oppfylle en avtale, i den grad og så lenge personopplysningene er nødvendige for å oppfylle nevnte avtale. Dersom det er teknisk mulig, bør den registrerte ha rett til å få personopplysningene overført direkte fra én behandlingsansvarlig til en annen.

69) Dersom personopplysningene kan behandles på lovlig vis fordi behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt, eller av hensyn til en behandlingsansvarligs eller en tredjeparts berettigede interesser, bør en registrert imidlertid ha rett til å protestere mot enhver behandling av personopplysninger som gjelder vedkommendes særlige situasjon. Det bør være opp til behandlingsansvarlige å påvise at vedkommendes tvingende berettigede interesse går foran den registrertes interesser eller grunnleggende rettigheter og friheter.

70) Dersom personopplysninger behandles med henblikk på direkte markedsføring, bør den registrerte, uansett om det dreier seg om innledende behandling eller viderebehandling, ha rett til når som helst og gratis å protestere mot nevnte behandling, herunder profilering så lenge dette er knyttet til direkte markedsføring. Den registrerte bør uttrykkelig gjøres oppmerksom på denne retten, og informasjonen bør presenteres på en tydelig måte og atskilt fra all annen informasjon.

71) Den registrerte bør ha rett til ikke å bli gjort til gjenstand for en avgjørelse, f.eks. et tiltak, som kan omfatte en vurdering av personlige aspekter ved vedkommende som fullt ut bygger på automatisert behandling, og som har rettsvirkning for vedkommende eller på lignende måte i betydelig grad påvirker vedkommende, f.eks. et automatisk avslag på en søknad om kreditt på internett eller e-rekruttering uten menneskelig inngripen. En slik behandling omfatter «profilering», som består av enhver form for automatisert behandling av personopplysninger der målet er å vurdere personlige aspekter ved en fysisk person, særlig for å analysere eller forutsi aspekter knyttet til den registrertes arbeidsprestasjoner, økonomiske situasjon, helse, personlige preferanser eller interesser, pålitelighet eller atferd, plassering eller bevegelser, når dette har rettsvirkning for eller på lignende måte i betydelig grad påvirker vedkommende. Avgjørelser som treffes på grunnlag av slik behandling, herunder profilering, bør imidlertid være tillatt når unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, uttrykkelig tillater dette, herunder med henblikk på overvåking og forebygging av bedrageri og skatteunndragelse som utføres i samsvar med forordningene, standardene og anbefalingene fra Unionens institusjoner eller nasjonale tilsynsorganer, og for å sikre at en tjeneste som leveres av den behandlingsansvarlige, er sikker eller pålitelig, eller som er nødvendig for å inngå eller oppfylle en avtale mellom den registrerte og en behandlingsansvarlig, eller dersom den registrerte har gitt sitt uttrykkelige samtykke. Under alle omstendigheter bør en slik behandling ledsages av nødvendige garantier som bør omfatte spesifikk informasjon til den registrerte og rett til menneskelig inngripen, til å uttrykke sine synspunkter, til å få en forklaring på avgjørelsen som er truffet etter en slik vurdering, og til å protestere mot avgjørelsen. Nevnte tiltak bør ikke gjelde barn.

For å sikre en rettferdig og åpen behandling med hensyn til den registrerte, idet det tas hensyn til de særlige omstendighetene og sammenhengen personopplysningene behandles i, bør den behandlingsansvarlige bruke egnede matematiske eller statistiske framgangsmåter i forbindelse med profileringen, gjennomføre egnede tekniske og organisatoriske tiltak for særlig å sikre at faktorer som fører til uriktige personopplysninger, rettes opp og at risikoen for feil minimeres, sikre personopplysningene på en måte som tar hensyn til den registrertes interesser og rettigheter, og som blant annet hindrer forskjellsbehandling av fysiske personer på grunn av rasemessig eller etnisk opprinnelse, politisk oppfatning, religion eller filosofisk overbevisning, fagforeningsmedlemskap, genetisk status, helsetilstand eller seksuell orientering, eller som fører til tiltak som har en slik virkning. Automatiserte avgjørelser og profilering basert på særlige kategorier av personopplysninger bør bare være tillatt på særlige vilkår.

72) Profilering omfattes av reglene for behandling av personopplysninger i denne forordning, f.eks. det rettslige grunnlaget for behandlingen eller prinsippene for vern av personopplysninger. Det europeiske personvernråd (heretter kalt «Personvernrådet») som opprettes ved denne forordning, bør kunne gi veiledning om dette.

73) Særlige prinsipper og retten til informasjon, innsyn i og retting eller sletting av personopplysninger, retten til dataportabilitet, retten til å protestere, avgjørelser basert på profilering samt underretning av en registrert om brudd på personopplysningssikkerheten og visse tilhørende forpliktelser som påhviler de behandlingsansvarlige, kan begrenses av unionsretten eller medlemsstatenes nasjonale rett i den grad det i et demokratisk samfunn er nødvendig og forholdsmessig av hensyn til den offentlige sikkerhet, herunder vern av menneskeliv, særlig som følge av naturkatastrofer eller menneskeskapte katastrofer, forebygging, etterforskning og straffeforfølging av straffbare forhold eller iverksetting av strafferettslige sanksjoner, herunder vern mot og forebygging av trusler mot den offentlige sikkerhet, eller brudd på yrkesetiske regler i lovregulerte yrker, andre viktige mål i allmennhetens interesse i Unionen eller en medlemsstat, særlig en viktig økonomisk eller finansiell interesse for Unionen eller en medlemsstat, føring av offentlige registre i allmennhetens interesse, viderebehandling av arkiverte personopplysninger for å framlegge særlig informasjon om politisk atferd under tidligere totalitære regimer eller vern av den registrerte eller andres rettigheter og friheter, herunder sosial trygghet, folkehelse og humanitære formål. Nevnte begrensninger bør være i samsvar med kravene fastsatt i pakten og i Den europeiske konvensjon om beskyttelse av menneskerettighetene og de grunnleggende friheter.

74) Den behandlingsansvarliges ansvar og erstatningsansvar for enhver behandling av personopplysninger som utføres av eller på vegne av vedkommende, bør fastsettes. Den behandlingsansvarlige bør særlig ha plikt til å gjennomføre egnede og effektive tiltak og påvise at behandlingsaktivitetene oppfyller kravene i denne forordning, herunder at tiltakene er effektive. Nevnte tiltak bør ta høyde for behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene for fysiske personers rettigheter og friheter.

75) Behandling av personopplysninger kan føre til at det oppstår risikoer av varierende sannsynlighet og alvorlighetsgrad for fysiske personers rettigheter og friheter som kan medføre fysisk, materiell eller ikke-materiell skade, særlig når behandlingen kan føre til forskjellsbehandling, identitetstyveri eller -bedrageri, økonomisk tap, skade på omdømme, tap av konfidensialitet for taushetsbelagte personopplysninger, uautorisert oppheving av pseudonymisering eller andre betydelige økonomiske eller sosiale ulemper, når de registrerte kan bli fratatt sine rettigheter og friheter eller bli hindret i å utøve kontroll over egne personopplysninger, når behandlingen gjelder personopplysninger om rasemessig eller etnisk opprinnelse, politisk oppfatning, religion eller filosofisk overbevisning, fagforeningsmedlemskap, og behandling av genetiske opplysninger, helseopplysninger, seksuelle forhold eller straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak, når personlige aspekter vurderes, særlig for å analysere eller forutsi aspekter som gjelder arbeidsprestasjoner, økonomisk situasjon, helse, personlige preferanser eller interesser, pålitelighet eller atferd, plassering eller bevegelser, for å opprette eller bruke personlige profiler, når sårbare fysiske personers, særlig barns, personopplysninger behandles, eller når behandlingen omfatter en stor mengde personopplysninger og berører et stort antall registrerte.

76) Hvor sannsynlig og alvorlig risikoen for den registrertes rettigheter og friheter er, bør fastslås ut fra behandlingens art, omfang, formål og sammenhengen den utføres i. Risikoen bør vurderes ut fra en objektiv vurdering der det fastslås om behandlingen av personopplysningene innebærer en risiko eller en høy risiko.

77) Veiledning om gjennomføring av egnede tiltak og tiltak for å påvise at den behandlingsansvarlige eller databehandleren overholder denne forordning, særlig med hensyn til kartlegging av risikoen forbundet med behandlingen og en vurdering av risikoens opprinnelse, art, sannsynlighet og alvorlighetsgrad, samt kartlegging av beste praksis for å redusere risikoen, kan særlig gis ved hjelp av godkjente atferdsnormer, godkjente sertifiseringer, retningslinjer fra Personvernrådet eller anvisninger fra et personvernombud. Personvernrådet kan også utstede retningslinjer for behandlingsaktiviteter som sannsynligvis ikke vil innebære en høy risiko for fysiske personers rettigheter og friheter, samt angi hvilke tiltak som i slike tilfeller kan være tilstrekkelig for å håndtere nevnte risiko.

78) Vern av fysiske personers rettigheter og friheter i forbindelse med behandling av personopplysninger krever at det treffes egnede tekniske og organisatoriske tiltak for å sikre at kravene i denne forordning oppfylles. For å påvise at denne forordning overholdes bør den behandlingsansvarlige vedta interne retningslinjer og gjennomføre tiltak som særlig overholder prinsippene om innebygd personvern og personvern som standardinnstilling. Nevnte tiltak kan blant annet omfatte å minimere behandlingen av personopplysninger, pseudonymisere personopplysninger så raskt som mulig, sikre at behandlingen og formålene med den er åpen, gjøre det mulig for den registrerte å kontrollere behandlingen samt gjøre det mulig for den behandlingsansvarlige å iverksette sikkerhetsfunksjoner og å forbedre dem. Ved utvikling, utforming, valg og bruk av programmer, tjenester og produkter som er basert på behandling av personopplysninger, eller når personopplysninger behandles for å oppfylle disses funksjon, bør produsenter av nevnte produkter, tjenester og programmer oppmuntres til å ta hensyn til retten til vern av personopplysninger ved utvikling og utforming av nevnte produkter, tjenester og programmer og, idet det tas behørig hensyn til den tekniske utviklingen, sikre at behandlingsansvarlige og databehandlere kan oppfylle sine forpliktelser med hensyn til vern av personopplysninger. Det bør også tas hensyn til prinsippene om innebygd personvern og personvern som standardinnstilling i forbindelse med offentlige anbud.

79) Vern av de registrertes rettigheter og friheter samt de behandlingsansvarliges og databehandleres ansvar, herunder i forbindelse med tilsynsmyndighetenes tilsyn og tiltak, krever en tydelig fordeling av ansvar i henhold til denne forordning, herunder når den behandlingsansvarlige fastsetter formålene med og midlene for behandlingen sammen med andre behandlingsansvarlige, eller når en behandlingsaktivitet utføres på vegne av en behandlingsansvarlig.

80) Dersom en behandlingsansvarlig eller en databehandler som ikke er etablert i Unionen, behandler personopplysninger om registrerte som befinner seg i Unionen, og behandlingsaktivitetene gjelder tilbud av varer og tjenester til nevnte registrerte i Unionen, uavhengig av om det kreves betaling fra disse eller ikke, eller monitorering av deres atferd, dersom atferden finner sted i Unionen, bør den behandlingsansvarlige eller databehandleren utpeke en representant, med mindre behandlingen skjer leilighetsvis, ikke omfatter behandling i stor skala av særlige kategorier av personopplysninger eller behandling av personopplysninger om straffedommer og lovovertredelser, og at behandlingen sannsynligvis ikke vil innebære en risiko for fysiske personers rettigheter og friheter, idet det tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i, eller om den behandlingsansvarlige er en offentlig myndighet eller et offentlig organ. Representanten bør opptre på vegne av den behandlingsansvarlige eller databehandleren og bør kunne kontaktes av alle tilsynsmyndigheter. Representanten bør utpekes eksplisitt gjennom en skriftlig fullmakt fra den behandlingsansvarlige eller databehandleren til å opptre på deres vegne med hensyn til deres forpliktelser i henhold til denne forordning. Utpekingen av nevnte representant berører ikke den behandlingsansvarliges eller databehandlerens ansvar eller erstatningsansvar i henhold til denne forordning. Nevnte representant bør utføre sine oppgaver i henhold til fullmakten fra den behandlingsansvarlige eller databehandleren, herunder samarbeide med vedkommende tilsynsmyndigheter om eventuelle tiltak som treffes for å sikre at denne forordning overholdes. Den utpekte representanten bør være underlagt håndhevingstiltak i tilfelle manglende overholdelse fra den behandlingsansvarliges eller databehandlerens side.

81) For å sikre overholdelse av kravene i denne forordning med hensyn til behandling som skal utføres av databehandleren på vegne av den behandlingsansvarlige, når behandlingsaktiviteter overlates til en databehandler, bør den behandlingsansvarlige bare benytte databehandlere som gir tilstrekkelige garantier, særlig med tanke på dybdekunnskap, pålitelighet og ressurser, for at de vil gjennomføre tekniske og organisatoriske tiltak som vil oppfylle kravene i denne forordning, herunder kravene til sikker behandling. Databehandlerens overholdelse av godkjente atferdsnormer eller bruk av en godkjent sertifiseringsmekanisme kan brukes som en faktor for å påvise at den behandlingsansvarliges forpliktelser overholdes. Behandling som utføres av en databehandler, bør være underlagt en avtale eller et annet rettslig dokument i henhold til unionsretten eller medlemsstatenes nasjonale rett som binder databehandleren til den behandlingsansvarlige, og som fastsetter gjenstanden for og varigheten av behandlingen, behandlingens art og formål, typen personopplysninger og kategorier av registrerte, idet det tas hensyn til databehandlerens særlige oppgaver og ansvar i forbindelse med behandlingen som skal utføres, samt risikoen for den registrertes rettigheter og friheter. Den behandlingsansvarlige og databehandleren kan velge å bruke en individuell avtale eller standardavtalevilkår som enten er vedtatt direkte av Kommisjonen eller av en tilsynsmyndighet i samsvar med konsistensmekanismen, og deretter vedtatt av Kommisjonen. Når behandlingen på vegne av den behandlingsansvarlige er fullført, bør databehandleren tilbakelevere eller slette personopplysningene, avhengig av hva den behandlingsansvarlige velger, med mindre unionsretten eller medlemsstatenes nasjonale rett som databehandleren er underlagt, inneholder krav om lagring av personopplysningene.

82) For å påvise samsvar med denne forordning bør den behandlingsansvarlige eller databehandleren føre protokoll over de behandlingsaktiviteter som de har ansvar for. Hver behandlingsansvarlig og hver databehandler bør ha plikt til å samarbeide med tilsynsmyndigheten og på anmodning gjøre disse protokollene tilgjengelig for den, slik at de kan benyttes til tilsyn med nevnte behandlingsaktiviteter.

83) For å opprettholde sikkerheten og hindre at behandlingen er i strid med denne forordning bør den behandlingsansvarlige eller databehandleren vurdere de iboende risikoene forbundet med behandlingen og gjennomføre tiltak for å begrense disse, f.eks. kryptering. Nevnte tiltak bør sørge for et egnet sikkerhetsnivå, herunder et egnet nivå av konfidensialitet, idet det tas hensyn til den tekniske utviklingen og gjennomføringskostnadene i forbindelse med risikoene samt arten av personopplysningene som skal vernes. Når risikoen for datasikkerheten vurderes, bør det tas hensyn til risikoene forbundet med behandling av personopplysninger, f.eks. utilsiktet eller ulovlig tilintetgjøring, tap, endring, ikke-autorisert utlevering av eller tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet, som særlig kan føre til fysisk, materiell eller ikke-materiell skade.

84) For å bedre overholdelsen av denne forordning i tilfeller der det er sannsynlig at behandlingsaktiviteter vil medføre en høy risiko for fysiske personers rettigheter og friheter, bør den behandlingsansvarlige ha ansvar for å foreta en vurdering av personvernkonsekvenser for særlig å vurdere risikoens opprinnelse, art, særegenhet og alvorlighetsgrad. Det bør tas hensyn til utfallet av vurderingen ved fastsettelse av egnede tiltak som skal treffes for å påvise at behandlingen av personopplysningene oppfyller kravene i denne forordning. Dersom det framgår av nevnte konsekvensvurdering at behandlingsaktivitetene innebærer en høy risiko som den behandlingsansvarlige ikke kan begrense ved å treffe egnede tiltak, idet det tas hensyn til tilgjengelig teknologi og gjennomføringskostnadene, bør tilsynsmyndigheten rådspørres før behandlingen finner sted.

85) Et brudd på personopplysningssikkerheten kan, dersom det ikke håndteres på egnet måte og i rett tid, påføre fysiske personer fysisk, materiell eller ikke-materiell skade, f.eks. tap av kontroll over egne personopplysninger eller begrensning av egne rettigheter, forskjellsbehandling, identitetstyveri eller -bedrageri, økonomisk tap, uautorisert oppheving av pseudonymisering, skade på omdømme, tap av konfidensialitet for taushetsbelagte personopplysninger eller andre betydelige økonomiske eller sosiale ulemper for den berørte fysiske personen. Så snart den behandlingsansvarlige får kjennskap til at det har oppstått et brudd på personopplysningssikkerheten, bør vedkommende melde nevnte brudd til tilsynsmyndigheten uten ugrunnet opphold og om mulig senest 72 timer etter å ha fått kjennskap til det, med mindre vedkommende i samsvar med ansvarlighetsprinsippet kan påvise at nevnte brudd på personopplysningssikkerheten sannsynligvis ikke vil medføre en risiko for fysiske personers rettigheter og friheter. Dersom nevnte melding ikke kan gis innen 72 timer, bør årsaken til forsinkelsen oppgis i meldingen, og informasjonen kan gis trinnvis uten videre ugrunnet opphold.

86) Den behandlingsansvarlige bør uten ugrunnet opphold underrette den registrerte om et brudd på personopplysningssikkerheten dersom det er sannsynlig at nevnte brudd kan medføre en høy risiko for den fysiske personens rettigheter og friheter, slik at vedkommende får mulighet til å treffe de nødvendige forholdsregler. Underretningen bør beskrive arten av bruddet på personopplysningssikkerheten og inneholde anbefalinger som den berørte fysiske personen kan følge for å begrense mulige skadevirkninger. De registrerte bør underrettes så snart det med rimelighet er mulig, og i nært samarbeid med tilsynsmyndigheten og i samsvar med retningslinjer utstedt av den eller av andre relevante myndigheter, f.eks. myndigheter med ansvar for håndheving av loven. Behovet for å redusere en umiddelbar risiko for skade kan f.eks. kreve at de registrerte underrettes omgående, mens behovet for å gjennomføre egnede tiltak mot fortsatte eller lignende brudd på personopplysningssikkerheten kan berettige en lengre frist for underretning.

87) Det bør undersøkes om alle egnede teknologiske sikkerhetstiltak og organisatoriske tiltak er blitt gjennomført for omgående å kunne fastslå om det har funnet sted et brudd på personopplysningssikkerheten, og for omgående å underrette tilsynsmyndigheten og den registrerte. Det bør fastslås om meldingen ble gitt uten ugrunnet opphold, idet det tas særlig hensyn til arten og alvorlighetsgraden av bruddet på personopplysningssikkerheten og konsekvensene og skadevirkningene det har for den registrerte. En slik melding kan føre til inngripen fra tilsynsmyndigheten i samsvar med dens oppgaver og myndighet fastsatt i denne forordning.

88) Ved fastsettelse av nærmere regler om formatet og framgangsmåtene som får anvendelse på melding av brudd på personopplysningssikkerheten, bør det tas behørig hensyn til omstendighetene rundt nevnte brudd, herunder om personopplysningene var omfattet av hensiktsmessige tekniske sikkerhetstiltak som på en effektiv måte begrenser sannsynligheten for identitetsbedrageri eller andre former for misbruk. Nevnte regler og framgangsmåter bør videre ta hensyn til de berettigede interessene til myndighetene med ansvar for håndheving av loven dersom en tidlig offentliggjøring i unødig grad vil kunne hindre etterforskning av omstendighetene rundt et brudd på personopplysningssikkerheten.

89) Ved direktiv 95/46/EF ble det fastsatt en generell plikt til å melde behandlingen av personopplysningene til tilsynsmyndighetene. Denne plikten har medført en administrativ og økonomisk byrde, men har ikke alltid bidratt til å bedre vernet av personopplysninger. En slik vilkårlig og generell meldingsplikt bør derfor avskaffes og erstattes av effektive framgangsmåter og mekanismer, der det isteden fokuseres på den typen behandlingsaktiviteter som kan medføre en høy risiko for fysiske personers rettigheter og friheter i kraft av aktivitetenes art, omfang, formål og sammenhengen de utføres i. Denne typen behandlingsaktiviteter kan være aktiviteter som især innebærer bruk av ny teknologi, eller som er av en ny type, og der den behandlingsansvarlige ikke tidligere har gjennomført en vurdering av personvernkonsekvenser, eller dersom de blir nødvendige på grunn av tiden som har gått siden den opprinnelige behandlingen.

90) I slike tilfeller bør den behandlingsansvarlige før behandlingen gjennomføre en vurdering av personvernkonsekvenser for å vurdere sannsynligheten for at det vil oppstå en høy risiko, samt alvorlighetsgraden av denne, idet det tas hensyn til behandlingens art, omfang, formål, sammenhengen den utføres i, og kildene til risikoen. Nevnte konsekvensvurdering bør særlig omfatte planlagte tiltak, garantier og mekanismer for å begrense risikoen, sikre vern av personopplysningene og påvise at denne forordning overholdes.

91) Dette bør særlig få anvendelse på behandlingsaktiviteter i stor skala der formålet er å behandle en betydelig mengde personopplysninger på regionalt, nasjonalt eller overnasjonalt plan, og som kan påvirke et stort antall registrerte og innebære en høy risiko, f.eks. fordi opplysningene er sensitive, dersom, i samsvar med det oppnådde nivået av teknisk kunnskap, en ny teknologi anvendes i stor skala samt i forbindelse med andre behandlingsaktiviteter som innebærer en høy risiko for de registrertes rettigheter og friheter, særlig dersom nevnte aktiviteter gjør det vanskeligere for de registrerte å utøve sine rettigheter. Det bør også utføres en vurdering av personvernkonsekvenser dersom personopplysninger behandles med det formål å treffe avgjørelser om særskilte fysiske personer etter en systematisk og omfattende vurdering av personlige aspekter vedrørende fysiske personer basert på profilering av nevnte opplysninger, eller etter behandling av særlige kategorier av personopplysninger, biometriske opplysninger eller opplysninger om straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak. Det kreves også en vurdering av personvernkonsekvenser ved overvåking i stor skala av offentlig tilgjengelige steder, særlig ved bruk av optoelektronisk utstyr, eller ved andre aktiviteter der vedkommende tilsynsmyndighet vurderer at behandlingen kan føre til en høy risiko for de registrertes rettigheter og friheter, særlig fordi de hindrer de registrerte i å utøve en rettighet eller gjøre bruk av en tjeneste eller en avtale, eller fordi de utføres systematisk i stor skala. Behandling av personopplysninger bør ikke anses for å være i stor skala dersom det er snakk om en leges, annet helsepersonells eller en advokats behandling av personopplysninger tilhørende pasienter eller klienter. I slike tilfeller bør en vurdering av personvernkonsekvenser ikke være obligatorisk.

92) I noen tilfeller kan det være rimelig og økonomisk å utvide vurderingen av personvernkonsekvenser til å omfatte mer enn ett prosjekt, f.eks. dersom offentlige myndigheter eller organer har planer om å innføre en felles applikasjon eller behandlingsplattform, eller dersom flere behandlingsansvarlige planlegger å innføre en felles applikasjon eller et felles behandlingsmiljø på tvers av en industrisektor eller -segment eller for en horisontal aktivitet som er i utstrakt bruk.

93) I forbindelse med vedtakelse av medlemsstatenes nasjonale rett som utgjør grunnlaget for en offentlig myndighets eller et offentlig organs utførelse av oppgaver, og som regulerer den eller de aktuelle spesifikke behandlingsaktivitetene, kan medlemsstatene anse det nødvendig å foreta nevnte vurdering før behandlingsaktivitetene.

94) Dersom en vurdering av personvernkonsekvenser viser at behandlingen, i fravær av garantier, sikkerhetstiltak og mekanismer for å redusere risikoen, vil innebære en høy risiko for fysiske personers rettigheter og friheter, og den behandlingsansvarlige mener at risikoen ikke kan reduseres ved hjelp av rimelige midler, idet det tas hensyn til tilgjengelig teknologi og gjennomføringskostnader, bør tilsynsmyndigheten rådspørres før oppstart av behandlingsaktivitetene. Visse typer behandling og omfanget og hyppigheten av behandlingen kan medføre nevnte høye risiko, som også kan føre til skade for eller inngrep i fysiske personers rettigheter og friheter. Tilsynsmyndigheten bør svare på anmodningen om drøftinger innen en fastsatt frist. En manglende reaksjon fra tilsynsmyndigheten innen nevnte frist bør imidlertid ikke berøre tilsynsmyndighetens mulighet til å gripe inn i samsvar med dens oppgaver og myndighet fastsatt i denne forordning, herunder myndighet til å forby behandlingsaktiviteter. Som en del av nevnte drøftinger kan utfallet av en vurdering av personvernkonsekvenser som utføres med henblikk på den aktuelle behandlingen, framlegges for tilsynsmyndigheten, særlig de planlagte tiltakene for å redusere risikoene for fysiske personers rettigheter og friheter.

95) Databehandleren bør ved behov og på anmodning bistå den behandlingsansvarlige med å overholde pliktene som er forbundet med utførelsen av vurderingen av personvernkonsekvenser, og med forhåndsdrøftinger med tilsynsmyndigheten.

96) Tilsynsmyndigheten bør også rådspørres i det forberedende arbeidet med et lovgivningsmessig tiltak eller et reguleringstiltak som gjelder behandling av personopplysninger, for å sikre at den tiltenkte behandlingen oppfyller kravene i denne forordning, og særlig for å redusere risikoen den medfører for den registrerte.

97) Dersom behandlingen utføres av en offentlig myndighet, bortsett fra domstoler eller uavhengige rettshåndhevende myndigheter når de opptrer innenfor rammen av sin domsmyndighet, dersom behandlingen i privat sektor utføres av en behandlingsansvarlig hvis kjernevirksomhet består av behandlingsaktiviteter som krever regelmessig og systematisk monitorering i stor skala av de registrerte, eller dersom den behandlingsansvarliges eller databehandlerens kjernevirksomhet består av behandling i stor skala av særlige kategorier av personopplysninger og opplysninger om straffedommer og lovovertredelser, bør en person med dybdekunnskap om personvernlovgivning og -praksis bistå den behandlingsansvarlige eller databehandleren for å føre tilsyn med den interne overholdelsen av denne forordning. I privat sektor omfatter en behandlingsansvarligs kjernevirksomhet vedkommendes primære virksomhet og ikke behandling av personopplysninger som bivirksomhet. Det nødvendige nivået av dybdekunnskap bør fastsettes i henhold til de behandlingsaktivitetene som utføres, og det vernet som er nødvendig for personopplysningene som behandles av den behandlingsansvarlige eller databehandleren. Slike personvernombud, enten de er ansatt hos den behandlingsansvarlige eller ikke, bør kunne utføre sine funksjoner og oppgaver på en uavhengig måte.

98) Sammenslutninger eller andre organer som representerer kategorier av behandlingsansvarlige eller databehandlere, bør oppmuntres til å utarbeide atferdsnormer innenfor rammen av denne forordning for å fremme en effektiv anvendelse av denne forordning, idet det tas hensyn til de særlige kjennetegnene ved behandling som utføres i visse sektorer, og de særlige behovene til svært små, små og mellomstore bedrifter. I slike atferdsnormer bør de behandlingsansvarliges og databehandlernes plikter defineres, idet det tas hensyn til risikoen for fysiske personers rettigheter og friheter som behandlingen kan medføre.

99) Ved utarbeiding av atferdsnormer, eller ved endring eller utvidelse av atferdsnormer, bør sammenslutninger og andre organer som representerer kategorier av behandlingsansvarlige eller databehandlere, rådføre seg med relevante berørte parter, herunder registrerte når det er mulig, og ta hensyn til bemerkninger og synspunkter framsatt i forbindelse med slik rådføring.

100) For å øke åpenheten og overholdelsen av denne forordning bør det oppmuntres til opprettelse av sertifiseringsmekanismer og personvernsegl og -merker, slik at de registrerte raskt kan vurdere nivået for vern av personopplysninger som relevante produkter og tjenester omfattes av.

101) Strømmen av personopplysninger til og fra stater utenfor Unionen og internasjonale organisasjoner er nødvendig for å kunne utvide internasjonal handel og internasjonalt samarbeid. Denne strømmen har økt, og dette har skapt nye utfordringer og bekymringer med tanke på vern av personopplysninger. Når personopplysninger overføres fra Unionen til behandlingsansvarlige, databehandlere eller andre mottakere i tredjestater eller til internasjonale organisasjoner, bør det beskyttelsesnivået som fysiske personer ved denne forordning sikres i Unionen, imidlertid ikke undergraves, herunder i tilfeller der personopplysninger videreoverføres fra tredjestaten eller den internasjonale organisasjonen til behandlingsansvarlige eller databehandlere i den samme eller en annen tredjestat eller internasjonal organisasjon. Overføring til tredjestater og internasjonale organisasjoner må under alle omstendigheter bare skje i fullt samsvar med denne forordning. Med forbehold for de andre bestemmelsene i denne forordning kan en overføring bare finne sted dersom den behandlingsansvarlige eller databehandleren overholder vilkårene fastsatt i bestemmelsene i denne forordning om overføring av personopplysninger til tredjestater eller internasjonale organisasjoner.

102) Denne forordning berører ikke internasjonale avtaler inngått mellom Unionen og tredjestater om overføring av personopplysninger, herunder nødvendige garantier for de registrerte. Medlemsstatene kan inngå internasjonale avtaler som omfatter overføring av personopplysninger til tredjestater eller internasjonale organisasjoner, så lenge nevnte avtaler ikke berører denne forordning eller andre bestemmelser i unionsretten og gir et egnet nivå for vern av de registrertes grunnleggende rettigheter.

103) Kommisjonen kan med virkning for hele Unionen beslutte at en tredjestat, et territorium eller en bestemt sektor i en tredjestat eller en internasjonal organisasjon har et tilstrekkelig nivå for vern av personopplysninger, og på den måten skape rettssikkerhet og ensartethet i hele Unionen med hensyn til tredjestaten eller de internasjonale organisasjonene som anses for å ha et slikt nivå for vern av personopplysninger. I slike tilfeller kan personopplysninger overføres til nevnte tredjestat eller internasjonale organisasjon uten at det er nødvendig å innhente ytterligere godkjenning. Kommisjonen kan også beslutte å tilbakekalle en slik beslutning etter å ha underrettet tredjestaten eller den internasjonale organisasjonen og gitt en fullstendig begrunnelse for dette.

104) I samsvar med de grunnleggende verdiene som Unionen bygger på, særlig beskyttelse av menneskerettighetene, bør Kommisjonen i sin vurdering av tredjestaten, eller av et territorium eller en bestemt sektor i en tredjestat, ta hensyn til hvordan en bestemt tredjestat overholder rettsstatsprinsippet, sikrer klageadgang og domstolsprøving og overholder internasjonale menneskerettighetsstandarder samt sin allmenne og sektorbestemte lovgivning, herunder lovgivning om offentlig sikkerhet, forsvar, nasjonal sikkerhet, offentlig orden samt strafferett. Når det treffes en beslutning om tilstrekkelig beskyttelsesnivå som gjelder et territorium eller en bestemt sektor i en tredjestat, bør det tas hensyn til tydelige og objektive kriterier, f.eks. spesifikke behandlingsaktiviteter og omfanget av gjeldende rettsregler og lovgivning i tredjestaten. Tredjestaten bør gi garantier som sikrer et tilstrekkelig beskyttelsesnivå, og som i hovedtrekk tilsvarer det som sikres i Unionen, særlig når personopplysninger behandles i en eller flere spesifikke sektorer. Tredjestaten bør særlig sikre et effektivt og uavhengig personverntilsyn og bør opprette mekanismer for samarbeid med medlemsstatenes personvernmyndigheter, og de registrerte bør ha effektive og håndhevbare rettigheter og mulighet til effektiv administrativ og rettslig prøving.

105) I tillegg til de internasjonale forpliktelsene som tredjestaten eller den internasjonale organisasjonen har inngått, bør Kommisjonen ta hensyn til forpliktelsene som følger av tredjestatens eller den internasjonale organisasjonens deltaking i multilaterale eller regionale systemer, særlig i forbindelse med vern av personopplysninger, samt gjennomføringen av nevnte forpliktelser. Det bør særlig tas hensyn til tredjestatens tiltredelse til Europarådets konvensjon av 28. januar 1981 om personvern i forbindelse med elektronisk databehandling av personopplysninger samt dens tilleggsprotokoll. Kommisjonen bør rådspørre Personvernrådet når den vurderer beskyttelsesnivå i tredjestater eller internasjonale organisasjoner.

106) Kommisjonen bør overvåke virkningen av beslutninger om beskyttelsesnivået i en tredjestat, på et territorium eller i en bestemt sektor i en tredjestat eller en internasjonal organisasjon og overvåke virkningen av beslutninger truffet på grunnlag av artikkel 25 nr. 6 eller artikkel 26 nr. 4 i direktiv 95/46/EF. I sine beslutninger om tilstrekkelig beskyttelsesnivå bør Kommisjonen fastsette en mekanisme for regelmessig gjennomgåelse av beslutningenes virkning. Nevnte regelmessige gjennomgåelse bør utføres i samråd med den aktuelle tredjestat eller internasjonale organisasjon, idet det tas hensyn til all relevant utvikling i tredjestaten eller den internasjonale organisasjonen. I forbindelse med overvåking og de regelmessige gjennomgåelsene bør Kommisjonen ta hensyn til synspunkter og konklusjoner fra Europaparlamentet og Rådet samt fra andre relevante organer og kilder. Kommisjonen bør innen en rimelig frist vurdere virkningen av sistnevnte beslutninger og rapportere eventuelle relevante konklusjoner til komiteen omhandlet i europaparlaments- og rådsforordning (EU) nr. 182/2011[15] som nedsettes ved denne forordning, og til Europaparlamentet og Rådet.

107) Kommisjonen kan fastslå at en tredjestat, et territorium eller en bestemt sektor i en tredjestat eller en internasjonal organisasjon ikke lenger sikrer et tilstrekkelig nivå for vern av personopplysninger. Overføringen av personopplysninger til nevnte tredjestat eller internasjonale organisasjon bør da forbys, med mindre kravene i denne forordning som gjelder overføringer som omfattes av nødvendige garantier, herunder bindende virksomhetsregler, og unntak for særlige situasjoner, er oppfylt. I slike tilfeller bør det fastsettes at det skal gjennomføres samråd mellom Kommisjonen og nevnte tredjestater eller internasjonale organisasjoner. Kommisjonen bør i rett tid underrette tredjestaten eller den internasjonale organisasjonen om årsakene og innlede samråd med den for å avhjelpe situasjonen.

108) Dersom det ikke foreligger en beslutning om tilstrekkelig beskyttelsesnivå, bør den behandlingsansvarlige eller databehandleren treffe tiltak for å kompensere for det manglende vernet av personopplysninger i en tredjestat i form av nødvendige garantier for den registrerte. Nødvendige garantier kan omfatte bruk av bindende virksomhetsregler, standard personvernbestemmelser vedtatt av Kommisjonen, standard personvernbestemmelser vedtatt av en tilsynsmyndighet eller avtalevilkår godkjent av en tilsynsmyndighet. Disse garantiene bør sikre samsvar med kravene til vern av personopplysninger og de registrertes rettigheter i forbindelse med behandling internt i Unionen, herunder om de registrerte har tilgang til håndhevbare rettigheter og effektive rettsmidler, herunder retten til effektiv administrativ eller rettslig prøving og til å kreve erstatning i Unionen eller i en tredjestat. Garantiene bør særlig omfatte samsvar med de allmenne prinsippene om behandling av personopplysninger og prinsippene om innebygd personvern og personvern som standardinnstilling. Offentlige myndigheter eller organer kan også foreta overføringer til offentlige myndigheter eller organer i tredjestater eller til internasjonale organisasjoner med tilsvarende oppgaver eller funksjoner, herunder på grunnlag av bestemmelser som skal innlemmes i administrative ordninger, f.eks. en programerklæring, som gir de registrerte håndhevbare og effektive rettigheter. Det bør innhentes godkjenning fra vedkommende tilsynsmyndighet når garantiene er fastsatt i administrative ordninger som ikke er rettslig bindende.

109) Den behandlingsansvarliges eller databehandlerens mulighet til å benytte standardbestemmelser for vern av personopplysninger vedtatt av Kommisjonen eller av en tilsynsmyndighet bør ikke hindre de behandlingsansvarlige eller databehandlere i å innlemme standardbestemmelsene for vern av personopplysninger i en mer omfattende avtale, f.eks. en avtale mellom databehandleren og en annen databehandler, eller i å tilføye andre bestemmelser eller ytterligere garantier, forutsatt at de ikke direkte eller indirekte er i strid med standardavtalevilkårene vedtatt av Kommisjonen eller av en tilsynsmyndighet eller berører de registrertes grunnleggende rettigheter og friheter. Behandlingsansvarlige og databehandlere bør oppmuntres til å fastsette ytterligere garantier gjennom avtalefestede forpliktelser som utfyller standard personvernbestemmelser.

110) Et konsern eller en gruppe av foretak som utøver en felles økonomisk virksomhet, bør kunne anvende godkjente bindende virksomhetsregler når de foretar internasjonale overføringer fra Unionen til organisasjoner i samme konsern, eller gruppe av foretak som utøver en felles økonomisk virksomhet, forutsatt at nevnte virksomhetsregler omfatter alle grunnleggende prinsipper og håndhevbare rettigheter for å sikre nødvendige garantier for overføringer eller kategorier av overføringer av personopplysninger.

111) Det bør fastsettes bestemmelser om at overføringer i visse tilfeller skal være mulig dersom den registrerte har gitt sitt uttrykkelige samtykke, og dersom overføringen skjer leilighetsvis og er nødvendig i forbindelse med en avtale eller et rettslig krav, uavhengig av om det skjer i forbindelse med en rettssak, forvaltningssak eller utenrettslig prosedyre, herunder prosedyrer ved reguleringsorganer. Det bør også fastsettes bestemmelser om muligheten for overføring dersom viktige allmenne interesser nedfelt i unionsretten eller medlemsstatenes nasjonale rett krever det, eller dersom overføringen skjer fra et register som er opprettet ved lov, og som allmennheten eller personer med en berettiget interesse kan konsultere. I sistnevnte tilfelle bør en slik overføring ikke omfatte alle personopplysninger eller hele kategorier av opplysninger i registeret, og dersom nevnte register skal kunne konsulteres av personer med en berettiget interesse, bør overføringen skje bare på anmodning fra nevnte personer eller, dersom de selv er mottakere, ved å ta behørig hensyn til de registrertes interesser og grunnleggende rettigheter.

112) Disse unntakene bør særlig få anvendelse på overføring av opplysninger som er nødvendig av hensyn til viktige allmenne interesser, f.eks. ved internasjonal utveksling av opplysninger mellom konkurransemyndigheter, skatte- eller tollmyndigheter, mellom finanstilsynsmyndigheter, mellom kompetente trygdemyndigheter eller folkehelsemyndigheter, f.eks. ved kontaktsporing i forbindelse med smittsomme sykdommer eller for å redusere og/eller avskaffe doping i idrett. En overføring av personopplysninger bør også anses som lovlig dersom den er nødvendig for å verne en interesse av avgjørende betydning for den registrertes eller en annen persons vitale interesser, herunder fysisk integritet eller liv, dersom den registrerte ikke er i stand til å gi sitt samtykke. Dersom det ikke foreligger en beslutning om tilstrekkelig beskyttelsesnivå, kan det, av hensyn til viktige allmenne interesser, i unionsretten eller medlemsstatenes nasjonale rett uttrykkelig fastsettes grenser for overføring av spesifikke kategorier av opplysninger til en tredjestat eller en internasjonal organisasjon. Medlemsstatene bør underrette Kommisjonen om nevnte bestemmelser. Enhver overføring til en internasjonal humanitær organisasjon av personopplysninger om en registrert som fysisk eller juridisk ikke er i stand til å gi sitt samtykke, med det formål å utføre en oppgave i henhold til Genève-konvensjonene eller overholde internasjonalt humanitært regelverk som får anvendelse i væpnede konflikter, kan anses for å være nødvendig av hensyn til viktige allmenne interesser eller fordi det er av vital interesse for den registrerte.

113) Overføringer som kan klassifiseres som ikke-gjentakende, og som bare gjelder et begrenset antall registrerte, bør også være mulig av hensyn til de tvingende berettigede interessene som forfølges av den behandlingsansvarlige, dersom den registrertes interesser eller rettigheter og friheter ikke går foran nevnte interesser, og dersom den behandlingsansvarlige har foretatt en vurdering av alle omstendighetene rundt overføringen. Den behandlingsansvarlige bør ta særlig hensyn til personopplysningenes art, formålet med og varigheten av den foreslåtte behandlingen samt situasjonen i opprinnelsesstaten, tredjestaten og den endelige bestemmelsesstaten, og bør fastsette nødvendige garantier for å verne fysiske personers grunnleggende rettigheter og friheter i forbindelse med behandling av deres personopplysninger. Nevnte overføringer bør bare være mulig i visse tilfeller der ingen av de andre grunnene til overføring får anvendelse. For formål knyttet til vitenskapelig eller historisk forskning eller statistiske formål bør det tas hensyn til samfunnets berettigede forventninger om økt kunnskap. Den behandlingsansvarlige bør underrette tilsynsmyndigheten og den registrerte om overføringen.

114) Dersom Kommisjonen ikke har truffet en beslutning om hvorvidt nivået for vern av personopplysninger i en tredjestat er tilstrekkelig, bør den behandlingsansvarlige eller databehandleren benytte løsninger som gir de registrerte håndhevbare og effektive rettigheter når det gjelder behandling av deres opplysninger i Unionen så snart nevnte opplysninger er blitt overført, slik at de fortsatt kan nyte godt av grunnleggende rettigheter og garantier.

115) Visse tredjestater vedtar lover, forskrifter og andre rettsakter med det formål direkte å regulere behandlingsaktiviteter som utføres av fysiske og juridiske personer underlagt medlemsstatenes jurisdiksjon. Dette kan omfatte rettsavgjørelser fra domstoler eller avgjørelser fra administrative myndigheter i tredjestater der det kreves at en behandlingsansvarlig eller databehandler skal overføre eller utlevere personopplysninger, og som ikke bygger på en internasjonal avtale, f.eks. en traktat om gjensidig juridisk bistand, mellom den anmodende tredjestat og Unionen eller en medlemsstat. En anvendelse av nevnte lover, forskrifter og andre rettsakter på andre staters territorium kan være i strid med folkeretten og hindre oppnåelsen av det vernet av fysiske personer som ved denne forordning sikres i Unionen. Overføring bør bare være tillatt dersom vilkårene for overføring til tredjestater i denne forordning er oppfylt. Dette kan blant annet være tilfellet dersom utlevering er nødvendig av hensyn til viktige allmenne interesser som er anerkjent i unionsretten eller medlemsstatenes nasjonale rett, og som den behandlingsansvarlige er underlagt.

116) Når personopplysninger krysser grenser utenfor Unionen, kan det øke risikoen for at fysiske personer ikke kan utøve sine rettigheter med hensyn til vern av personopplysninger, særlig for å beskytte seg mot ulovlig bruk eller utlevering av nevnte opplysninger. Samtidig kan tilsynsmyndigheter i noen tilfeller innse at de ikke er i stand til å følge opp klager eller foreta undersøkelser av aktiviteter som finner sted utenfor deres grenser. Samarbeidet på tvers av landegrensene kan også bli hindret av utilstrekkelig myndighet til å treffe forebyggende tiltak eller utbedringstiltak, av uensartede rettsordninger og praktiske hindringer, f.eks. ressursbegrensninger. Det er derfor behov for å fremme et tettere samarbeid mellom tilsynsmyndigheter for personvern, slik at de lettere kan utveksle informasjon og foreta undersøkelser sammen med sine internasjonale kolleger. For å utvikle mekanismer for internasjonalt samarbeid med sikte på å fremme og yte internasjonal gjensidig bistand med hensyn til håndheving av regelverket for vern av personopplysninger bør Kommisjonen og tilsynsmyndighetene utveksle informasjon og samarbeide om aktiviteter som er knyttet til utøvelse av deres myndighet, med vedkommende myndigheter i tredjestater på grunnlag av gjensidighet og i samsvar med denne forordning.

117) Opprettelse av tilsynsmyndigheter i medlemsstater som gis myndighet til å utføre sine oppgaver og utøve sin myndighet i full uavhengighet, har avgjørende betydning for vernet av fysiske personer i forbindelse med behandling av deres personopplysninger. Medlemsstatene bør kunne opprette mer enn én tilsynsmyndighet for å gjenspeile medlemsstatens forfatningsmessige, organisatoriske og administrative struktur.

118) Tilsynsmyndighetenes uavhengighet bør ikke bety at de ikke kan være gjenstand for mekanismer for kontroll eller tilsyn med egen økonomistyring eller underkastes domstolskontroll.

119) Dersom en medlemsstat oppretter flere tilsynsmyndigheter, bør den ved lov opprette mekanismer for å sikre at disse tilsynsmyndighetene deltar effektivt i konsistensmekanismen. Nevnte medlemsstat bør særlig utpeke en tilsynsmyndighet som skal fungere som et felles kontaktpunkt for disse myndighetenes effektive deltaking i mekanismen, for å sikre et raskt og smidig samarbeid med andre tilsynsmyndigheter, Personvernrådet og Kommisjonen.

120) Hver tilsynsmyndighet bør ha de nødvendige økonomiske og menneskelige ressurser, lokaler og infrastruktur for å kunne utføre sine oppgaver på en effektiv måte, herunder oppgaver knyttet til gjensidig bistand og samarbeid med andre tilsynsmyndigheter i Unionen. Hver tilsynsmyndighet bør ha et separat og offentlig årlig budsjett som kan inngå i det overordnede statsbudsjettet eller nasjonale budsjettet.

121) De allmenne vilkårene for medlemmet/medlemmene av tilsynsmyndigheten bør fastsettes ved lov i hver medlemsstat, og det bør særlig fastsettes at nevnte medlemmer skal utnevnes ved hjelp av en åpen prosess, enten av parlamentet, regjeringen eller statsoverhodet i medlemsstaten på grunnlag et forslag fra regjeringen, et medlem av regjeringen, parlamentet eller et kammer i parlamentet, eller av et uavhengig organ med myndighet til dette i henhold til medlemsstatens nasjonale rett. For å sikre tilsynsmyndighetens uavhengighet bør medlemmet/medlemmene opptre med integritet, avstå fra enhver handling som ikke er forenlig med deres oppgaver, og så lenge utnevnelsesperioden varer, ikke utøve en uforenlig yrkesvirksomhet, enten den er lønnet eller ikke. Tilsynsmyndigheten bør ha sitt eget personell som er utvalgt av tilsynsmyndigheten eller av et uavhengig organ opprettet i henhold til medlemsstatens nasjonale rett, som utelukkende bør stå under ledelse av tilsynsmyndighetens medlem/medlemmer.

122) Hver tilsynsmyndighet bør på territoriet til sin egen medlemsstat ha kompetanse til å utøve den myndighet og utføre de oppgaver den gis i henhold til denne forordning. Dette bør særlig omfatte behandling i forbindelse med aktivitetene ved den behandlingsansvarliges eller databehandlerens virksomhet på egen medlemsstats territorium, behandling av personopplysninger utført av offentlige myndigheter eller private organer i allmennhetens interesse, behandling som berører registrerte på medlemsstatens territorium, eller behandling som utføres av en behandlingsansvarlig eller databehandler som ikke er etablert i Unionen, når den er rettet mot registrerte som er bosatt på dens territorium. Dette bør omfatte behandling av klager inngitt av en registrert, gjennomføring av undersøkelser om anvendelsen av denne forordning og å fremme allmennhetens bevissthet om risikoene, reglene, garantiene og rettighetene i forbindelse med behandling av personopplysninger.

123) Tilsynsmyndighetene bør føre tilsyn med anvendelsen av bestemmelsene i denne forordning samt bidra til en ensartet anvendelse av forordningen i hele Unionen for å sikre vern av fysiske personer i forbindelse med behandling av deres personopplysninger og fremme den frie flyten av personopplysninger i det indre marked. For dette formål bør tilsynsmyndighetene samarbeide med hverandre og med Kommisjonen uten at det er behov for en avtale om yting av gjensidig bistand eller slikt samarbeid mellom medlemsstatene.

124) Dersom behandlingen av personopplysninger utføres i forbindelse med aktivitetene ved virksomheten til en behandlingsansvarlig eller databehandler i Unionen, og den behandlingsansvarlige eller databehandleren er etablert i mer enn én medlemsstat, eller dersom behandlingen som utføres i forbindelse med aktivitetene ved den eneste virksomheten til en behandlingsansvarlig eller databehandler i Unionen, i vesentlig grad påvirker eller sannsynligvis vil påvirke registrerte i mer enn én medlemsstat, bør tilsynsmyndigheten for den behandlingsansvarliges eller databehandlerens hovedvirksomhet eller eneste virksomhet fungere som ledende tilsynsmyndighet. Den bør samarbeide med de andre berørte myndighetene dersom den behandlingsansvarlige eller databehandleren har en virksomhet på territoriet til deres medlemsstat, dersom registrerte bosatt på deres territorium i vesentlig grad berøres, eller dersom det er inngitt klage til dem. Også dersom en registrert som ikke er bosatt i nevnte medlemsstat, har inngitt klage, bør tilsynsmyndigheten som klagen er inngitt til, også være en berørt tilsynsmyndighet. Personvernrådet bør innenfor rammen av sine oppgaver med å utstede retningslinjer for eventuelle spørsmål som omfatter anvendelsen av denne forordning, særlig kunne utstede retningslinjer for kriteriene som skal tas i betraktning for å vurdere om den aktuelle behandlingen i vesentlig grad berører registrerte i mer enn én medlemsstat, og for hva som utgjør en relevant og begrunnet innsigelse.

125) Den ledende myndigheten bør ha kompetanse til å treffe bindende avgjørelser om tiltak innenfor rammen av den myndighet den gis i samsvar med denne forordning. I egenskap av å være ledende myndighet bør tilsynsmyndigheten sørge for at de berørte tilsynsmyndighetene involveres tett og samordnes i avgjørelsesprosessen. Dersom det besluttes helt eller delvis å avslå den registrertes klage, bør avgjørelsen treffes av tilsynsmyndigheten som klagen er inngitt til.

126) Avgjørelsen bør treffes i fellesskap av den ledende tilsynsmyndigheten og de berørte tilsynsmyndighetene og bør rettes til den behandlingsansvarliges eller databehandlerens hovedvirksomhet eller eneste virksomhet, og den bør være bindende for den behandlingsansvarlige og databehandleren. Den behandlingsansvarlige eller databehandleren bør treffe de nødvendige tiltak for å sikre samsvar med denne forordning samt gjennomføring av avgjørelsen som den ledende tilsynsmyndigheten har meddelt den behandlingsansvarliges eller databehandlerens hovedvirksomhet med hensyn til behandlingsaktiviteter i Unionen.

127) Hver tilsynsmyndighet som ikke fungerer som ledende tilsynsmyndighet, bør ha kompetanse til å håndtere lokale saker dersom den behandlingsansvarlige eller databehandleren er etablert i flere enn én medlemsstat, men gjenstanden for den spesifikke behandlingen bare gjelder behandling utført i én medlemsstat, og bare omfatter registrerte i nevnte ene medlemsstat, f.eks. dersom det gjelder behandling av arbeidstakeres personopplysninger i forbindelse med spesifikke ansettelsesforhold i en medlemsstat. I slike tilfeller bør tilsynsmyndigheten uten opphold underrette den ledende tilsynsmyndigheten om forholdet. Etter å ha blitt underrettet bør den ledende tilsynsmyndigheten beslutte om den skal behandle saken i henhold til bestemmelsen om samarbeid mellom den ledende tilsynsmyndigheten og andre berørte tilsynsmyndigheter («ettstedsmekanismen»), eller om tilsynsmyndigheten som underrettet den, bør behandle saken på lokalt plan. Når den ledende tilsynsmyndigheten skal beslutte om den skal behandle saken, bør den ta hensyn til om den behandlingsansvarlige eller databehandleren har en virksomhet i medlemsstaten til tilsynsmyndigheten som underrettet den, for å sikre en effektiv gjennomføring av en avgjørelse overfor den behandlingsansvarlige eller databehandleren. Dersom den ledende tilsynsmyndigheten beslutter å behandle saken, bør tilsynsmyndigheten som underrettet den, ha mulighet til å legge fram et forslag til avgjørelse som den ledende tilsynsmyndigheten bør ta størst mulig hensyn til ved utarbeiding av sitt utkast til avgjørelse i nevnte ettstedsmekanisme.

128) Reglene for den ledende tilsynsmyndigheten og ettstedsmekanismen bør ikke få anvendelse dersom behandlingen utføres av offentlige myndigheter eller private organer i allmennhetens interesse. I slike tilfeller bør bare tilsynsmyndigheten i medlemsstaten der den offentlige myndigheten eller det private organet er etablert, ha kompetanse til å utøve myndigheten den er gitt i henhold til denne forordning.

129) For å sikre ensartet tilsyn med og anvendelse av denne forordning i hele Unionen bør tilsynsmyndighetene i hver medlemsstat ha de samme oppgaver og den samme effektive myndighet, herunder myndighet til å foreta undersøkelser, myndighet til å beslutte korrigerende tiltak og ilegge sanksjoner samt myndighet til å godkjenne og utstede rådgivende uttalelser, særlig ved klager fra fysiske personer, og, uten at det berører den myndighet straffeforfølgende myndigheter har i henhold til medlemsstatenes nasjonale rett, myndighet til å bringe overtredelser av denne forordning inn for rettshåndhevende myndigheter og til å opptre som part i rettssaker. En slik myndighet bør også omfatte myndigheten til å fastsette en midlertidig eller endelig begrensning av, herunder et forbud mot, behandling. Medlemsstatene kan fastsette andre oppgaver knyttet til vern av personopplysninger i henhold til denne forordning. Tilsynsmyndighetenes myndighet bør utøves i samsvar med nødvendige prosessuelle garantier som er fastsatt i unionsretten og medlemsstatenes nasjonale rett, på en upartisk og rettferdig måte og innen rimelig tid. For å sikre samsvar med denne forordning bør hvert tiltak være egnet, nødvendig og forholdsmessig, idet det tas hensyn til omstendighetene i hvert enkelt tilfelle, samt respektere enhver persons rett til å bli hørt før det treffes individuelle tiltak som kan påvirke vedkommende negativt, og være utformet slik at overflødige kostnader og for store ulemper for de berørte personene unngås. Når det gjelder adgang til lokaler, bør undersøkelsesmyndigheten utøves i samsvar med særlige krav i medlemsstatenes prosessrett, f.eks. kravet om at det skal innhentes en rettslig forhåndsgodkjenning. Hvert rettslig bindende tiltak som treffes av tilsynsmyndigheten, bør være skriftlig, tydelig og utvetydig, angi hvilken tilsynsmyndighet som har truffet tiltaket, og på hvilken dato, være undertegnet av lederen for eller et medlem av tilsynsmyndigheten som er godkjent av vedkommende, angi begrunnelsen for tiltaket og inneholde en henvisning til retten til effektivt rettsmiddel. Dette bør ikke utelukke ytterligere krav i henhold til medlemsstatenes prosessrett. Dersom det treffes en rettslig bindende avgjørelse, kan den underlegges domstolskontroll i medlemsstaten til tilsynsmyndigheten som har truffet avgjørelsen.

130) Dersom tilsynsmyndigheten som klagen er inngitt til, ikke er den ledende tilsynsmyndigheten, bør den ledende tilsynsmyndigheten samarbeide tett med tilsynsmyndigheten som klagen er inngitt til, i samsvar med bestemmelsene om samarbeid og ensartet anvendelse fastsatt i denne forordning. I slike tilfeller bør den ledende tilsynsmyndigheten, når den treffer tiltak som skal ha rettsvirkning, herunder ilegging av overtredelsesgebyr, ta størst mulig hensyn til synspunktene til tilsynsmyndigheten som klagen er inngitt til, og som fortsatt skal ha kompetanse til å foreta undersøkelser på sin egen medlemsstats territorium sammen med vedkommende tilsynsmyndighet.

131) Dersom en annen tilsynsmyndighet bør fungere som ledende tilsynsmyndighet for den behandlingsansvarliges eller databehandlerens behandlingsaktiviteter, men det konkrete innholdet i en klage eller den mulige overtredelsen bare gjelder behandlingsaktiviteter som utføres av den behandlingsansvarlige eller databehandleren i medlemsstaten der klagen er inngitt eller den mulige overtredelsen er oppdaget, og forholdet ikke i vesentlig grad berører eller sannsynligvis ikke i vesentlig grad vil berøre registrerte i andre medlemsstater, bør tilsynsmyndigheten som mottar en klage eller oppdager eller på annen måte blir underrettet om situasjoner som innebærer mulige overtredelser av denne forordning, søke å komme fram til en minnelig løsning sammen med den behandlingsansvarlige og dersom dette ikke lykkes, utøve sin myndighet fullt ut. Dette bør omfatte spesifikk behandling som utføres på territoriet til tilsynsmyndighetens medlemsstat, eller når det gjelder registrerte, på territoriet til nevnte medlemsstat, behandling som utføres i forbindelse med tilbud av varer eller tjenester som er særlig rettet mot registrerte på territoriet til tilsynsmyndighetens medlemsstat, eller behandling som skal vurderes i henhold til relevante rettslige forpliktelser i medlemsstatenes nasjonale rett.

132) Tilsynsmyndighetenes holdningskampanjer rettet mot allmennheten bør omfatte særlige tiltak rettet mot behandlingsansvarlige og databehandlere, herunder svært små, små og mellomstore bedrifter samt fysiske personer, særlig i utdanningssammenheng.

133) Tilsynsmyndighetene bør bistå hverandre i forbindelse med utførelsen av sine oppgaver og yte gjensidig bistand for å sikre ensartet anvendelse og håndheving av denne forordning i det indre marked. En tilsynsmyndighet som anmoder om gjensidig bistand, kan treffe et midlertidig tiltak dersom den ikke mottar svar på nevnte anmodning innen en måned etter at den andre tilsynsmyndigheten har mottatt anmodningen.

134) Dersom det er relevant, bør hver tilsynsmyndighet delta i felles aktiviteter sammen med andre tilsynsmyndigheter. Den anmodede tilsynsmyndighet bør ha plikt til å svare på anmodningen innen en fastsatt frist.

135) For å sikre ensartet anvendelse av denne forordning i hele Unionen bør det opprettes en konsistensmekanisme for samarbeid mellom tilsynsmyndighetene. Nevnte mekanisme bør særlig få anvendelse dersom en tilsynsmyndighet akter å treffe et tiltak som skal ha rettsvirkning, når det gjelder behandlingsaktiviteter som i vesentlig grad berører et betydelig antall registrerte i flere medlemsstater. Den bør også få anvendelse dersom en berørt tilsynsmyndighet eller Kommisjonen anmoder om at et slikt forhold behandles innenfor rammen av konsistensmekanismen. Nevnte mekanisme bør ikke berøre eventuelle tiltak som Kommisjonen kan treffe som ledd i utøvelsen av sin myndighet i henhold til traktatene.

136) Ved anvendelse av konsistensmekanismen bør Personvernrådet innen en fastsatt frist avgi uttalelse dersom et flertall av dets medlemmer beslutter det, eller dersom en berørt tilsynsmyndighet eller Kommisjonen anmoder om det. Personvernrådet bør også gis myndighet til å treffe rettslig bindende beslutninger dersom det oppstår tvister mellom tilsynsmyndighetene. For dette formål bør det, i prinsippet med to tredels flertall blant dets medlemmene, treffe rettslig bindende beslutninger i tydelig angitte tilfeller der det foreligger motstridende synspunkter blant tilsynsmyndighetene, særlig i mekanismen for samarbeid mellom den ledende tilsynsmyndigheten og de berørte tilsynsmyndighetene om en saks fakta, særlig om hvorvidt det foreligger en overtredelse av denne forordning.

137) Det kan være nødvendig å treffe tiltak omgående for å verne registrertes rettigheter og friheter, særlig dersom det foreligger en fare for at en registrerts utøvelse av en rettighet kan bli betydelig hemmet. En tilsynsmyndighet bør derfor kunne treffe behørig begrunnede midlertidige tiltak på sitt territorium med en fastsatt gyldighetsperiode som ikke bør være lenger enn tre måneder.

138) Anvendelsen av en slik mekanisme bør være et vilkår for lovligheten av et tiltak som er truffet av en tilsynsmyndighet, og som er ment å ha rettsvirkning, i tilfeller der anvendelsen av den er obligatorisk. I andre tilfeller som har en grenseoverskridende dimensjon, bør mekanismen for samarbeid mellom den ledende tilsynsmyndigheten og de berørte tilsynsmyndighetene anvendes, og gjensidig bistand kan ytes og felles aktiviteter kan gjennomføres mellom de berørte tilsynsmyndighetene på et bilateralt eller multilateralt grunnlag uten at det utløser konsistensmekanismen.

139) For å fremme en ensartet anvendelse av denne forordning bør Personvernrådet opprettes som et uavhengig EU-organ. For å kunne oppfylle sine mål bør Personvernrådet ha status som juridisk person. Personvernrådet bør representeres av sin leder. Det bør erstatte arbeidsgruppen for personvern i forbindelse med behandling av personopplysninger nedsatt ved direktiv 95/46/EF. Det bør bestå av lederen for en tilsynsmyndighet i hver medlemsstat samt EUs datatilsyn eller de respektive representantene for dette. Kommisjonen bør delta i Personvernrådets aktiviteter uten stemmerett, og EUs datatilsyn bør ha særlig stemmerett. Personvernrådet bør bidra til en ensartet anvendelse av denne forordning i hele Unionen, herunder ved å rådgi Kommisjonen, særlig om beskyttelsesnivået i tredjestater eller internasjonale organisasjoner, samt fremme samarbeid mellom tilsynsmyndighetene i hele Unionen. Personvernrådet bør utføre sine oppgaver i full uavhengighet.

140) Personvernrådet bør bistås av et sekretariat som stilles til rådighet av EUs datatilsyn. Personellet ved EUs datatilsyn som deltar i utførelsen av oppgavene som Personvernrådet gis ved denne forordning, bør utføre sine oppgaver utelukkende under ledelse av lederen for Personvernrådet og rapportere til vedkommende.

141) Enhver registrert bør ha rett til å klage til én enkelt tilsynsmyndighet, særlig i medlemsstaten der vedkommende til vanlig er bosatt, samt ha rett til effektivt rettsmiddel i samsvar med artikkel 47 i pakten dersom vedkommende anser sine rettigheter i henhold til denne forordning for krenket, eller dersom tilsynsmyndigheten ikke reagerer på en klage, helt eller delvis avslår eller avviser en klage eller ikke griper inn når det er nødvendig for å verne den registrertes rettigheter. Undersøkelsen av en klage bør, med forbehold for domstolskontroll, foretas i den utstrekning som er egnet i det enkelte tilfellet. Tilsynsmyndigheten bør innen en rimelig frist underrette den registrerte om klagebehandlingsforløpet og om utfallet av klagen. Dersom saken krever ytterligere undersøkelse eller samordning med en annen tilsynsmyndighet, bør den registrerte underrettes om dette underveis. For å forenkle inngivelsen av klager bør hver tilsynsmyndighet treffe tiltak som f.eks. å utarbeide et klageskjema som også kan fylles ut elektronisk, uten at andre kommunikasjonsmidler utelukkes.

142) Dersom en registrert mener at vedkommendes rettigheter i henhold til denne forordning er krenket, bør vedkommende ha rett til å gi et ideelt organ eller en ideell organisasjon eller sammenslutning som er opprettet i samsvar med en medlemsstats nasjonale rett, som har vedtektsfestede mål som er i allmennhetens interesse, og som er aktiv på området vern av personopplysninger, fullmakt til å klage til en tilsynsmyndighet på vedkommendes vegne, utøve retten til rettslig prøving på vegne av de registrerte eller, dersom det er fastsatt i medlemsstatenes nasjonale rett, utøve retten til å motta erstatning på vegne av de registrerte. En medlemsstat kan fastsette at nevnte organ, organisasjon eller sammenslutning, uavhengig av fullmakten fra en registrert, skal ha rett til å inngi klage i den aktuelle medlemsstaten samt ha rett til effektivt rettsmiddel dersom den har grunn til å tro at en registrerts rettigheter er blitt krenket som følge av en behandling av personopplysninger som er i strid med bestemmelsene i denne forordning. Nevnte organ, organisasjon eller sammenslutning kan ikke kreve erstatning på vegne av en registrert uavhengig av den registrertes fullmakt.

143) Enhver fysisk eller juridisk person har rett til å bringe en sak om oppheving av Personvernrådets beslutninger inn for Domstolen på vilkårene fastsatt i artikkel 263 i TEUV. De berørte tilsynsmyndighetene som slike beslutninger er rettet til, må, dersom de ønsker å bestride dem, reise sak innen to måneder etter at beslutningene er meddelt dem, i samsvar med 263 i TEUV. Dersom en behandlingsansvarlig, databehandler eller klager er direkte og individuelt berørt av Personvernrådets beslutninger, kan disse, i samsvar med artikkel 263 i TEUV, reise sak om oppheving av nevnte beslutninger innen to måneder etter at beslutningene er offentliggjort på Personvernrådets nettsted. Uten at det berører denne rett i henhold til artikkel 263 i TEUV, bør enhver fysisk eller juridisk person ha rett til effektiv rettslig prøving ved vedkommende nasjonale domstol av en beslutning som er truffet av en tilsynsmyndighet, og som har rettsvirkning for vedkommende. En slik beslutning gjelder særlig tilsynsmyndighetens myndighet til å foreta undersøkelser, til å vedta korrigerende tiltak og til å godkjenne eller avslå eller avvise klager. Retten til effektiv rettslig prøving omfatter imidlertid ikke tiltak truffet av tilsynsmyndighetene som ikke er rettslig bindende, f.eks. uttalelser eller råd fra tilsynsmyndigheten. Saker som reises mot en tilsynsmyndighet, bør bringes inn for domstolene i medlemsstaten der tilsynsmyndigheten er etablert, og bør føres i samsvar med prosessretten i nevnte medlemsstat. Nevnte domstoler bør ha full domsmyndighet, som bør omfatte myndighet til å undersøke alle faktiske og rettslige forhold som gjelder tvisten de har fått seg forelagt.

Dersom en tilsynsmyndighet har avslått eller avvist en klage, kan klageren bringe saken inn for domstolene i samme medlemsstat. Når det gjelder rettslig prøving i forbindelse med anvendelsen av denne forordning, kan, eller i tilfellet fastsatt i artikkel 267 i TEUV, skal nasjonale domstoler som anser en avgjørelse om spørsmålet som nødvendig for å avsi dom, anmode Domstolen om en forhåndsavgjørelse om fortolkningen av unionsretten, herunder denne forordning. Dersom en avgjørelse truffet av en tilsynsmyndighet som gjennomfører en beslutning truffet av Personvernrådet, bestrides ved en nasjonal domstol, og det er uenighet om gyldigheten av Personvernrådets beslutning, har nevnte nasjonale domstol ikke myndighet til å erklære Personvernrådets beslutning for ugyldig, men skal, dersom den anser at beslutningen er ugyldig, henvise spørsmålet om gyldighet til Domstolen i samsvar med artikkel 267 i TEUV som fortolket av Domstolen. En nasjonal domstol kan imidlertid ikke henvise et spørsmål om gyldigheten av en beslutning truffet av Personvernrådet på anmodning fra en fysisk eller juridisk person som har hatt mulighet til reise sak om oppheving av nevnte beslutning, særlig dersom vedkommende var direkte eller personlig berørt av nevnte beslutning, men ikke har gjort dette innen fristen fastsatt i artikkel 263 i TEUV.

144) Dersom en domstol for hvilken det er anlagt sak mot en avgjørelse truffet av en tilsynsmyndighet, har grunn til å tro at en sak som gjelder samme behandling, f.eks. med samme saksgjenstand og utført av samme behandlingsansvarlig eller databehandler, eller som har samme saksgrunnlag, er brakt inn for en vedkommende domstol i en annen medlemsstat, bør den kontakte nevnte domstol for å få bekreftet at det foreligger slike relaterte saker. Dersom det verserer relaterte saker for en domstol i en annen medlemsstat, kan enhver annen domstol enn den som saken først ble brakt inn for, utsette saken eller, på anmodning fra en av partene, erklære seg ikke domsmyndig til fordel for domstolen som saken først ble brakt inn for, forutsatt at nevnte domstol har domsmyndighet i den aktuelle saken, og at konsolidering av slike relaterte saker er tillatt i henhold til medlemsstatens nasjonale rett. Saker anses for å være relaterte når de er så tett forbundet at det er hensiktsmessig å behandle og avgjøre dem sammen, for å unngå risikoen for uforenlige rettsavgjørelser som følge av at de behandles hver for seg.

145) Når det gjelder saker mot en behandlingsansvarlig eller databehandler, bør saksøkeren ha valget mellom å bringe saken inn for domstolene i medlemsstatene der den behandlingsansvarlige eller databehandleren har en virksomhet, eller der den registrerte er bosatt, med mindre den behandlingsansvarlige er en offentlig myndighet i en medlemsstat som handler innenfor rammen av sin offentlige myndighet.

146) Den behandlingsansvarlige eller databehandleren bør yte erstatning for enhver skade som en person kan bli påført som følge av behandling som er i strid med bestemmelsene i denne forordning. Den behandlingsansvarlige eller databehandleren bør fritas for erstatningsansvar dersom vedkommende kan bevise at vedkommende på ingen måte er ansvarlig for skaden. Begrepet «skade» bør tolkes vidt på bakgrunn av Domstolens rettspraksis og på en måte som fullt ut gjenspeiler målene i denne forordning. Dette berører ikke eventuelle krav om skadeserstatning som følge av overtredelse av andre bestemmelser i unionsretten eller medlemsstatenes nasjonale rett. Behandling som er i strid med bestemmelsene i denne forordning, omfatter også behandling som er i strid med bestemmelser i delegerte rettsakter og gjennomføringsrettsakter vedtatt i samsvar med denne forordning og medlemsstatenes nasjonale rett som presiserer bestemmelsene i denne forordning. De registrerte bør få full og effektiv erstatning for den skade de har lidd. Dersom behandlingsansvarlige eller databehandlere er involvert i den samme behandlingen, bør den enkelte behandlingsansvarlige eller databehandler holdes ansvarlig for hele skaden. Dersom de er involvert i samme rettergang i samsvar med medlemsstatenes nasjonale rett, kan erstatningen imidlertid fordeles i henhold til den enkelte behandlingsansvarliges eller databehandlers ansvar for skaden som behandlingen har forvoldt, forutsatt at den registrerte som har lidd skaden, er sikret full og effektiv erstatning. Enhver behandlingsansvarlig eller databehandler som har betalt full erstatning, kan deretter gjøre regress gjeldende mot andre behandlingsansvarlige eller databehandlere som har vært involvert i samme behandling.

147) Når denne forordning inneholder særlige bestemmelser om domsmyndighet, særlig når det gjelder saker om adgang til rettsmidler, herunder for å oppnå erstatning, mot en behandlingsansvarlig eller databehandler, bør allmenne bestemmelser om domsmyndighet, f.eks. bestemmelsene i europaparlaments- og rådsforordning (EU) nr. 1215/2012[16] , ikke berøre anvendelsen av nevnte særlige bestemmelser.

148) For å styrke håndhevingen av bestemmelsene i denne forordning bør det ved overtredelse av denne forordning ilegges sanksjoner, herunder overtredelsesgebyr, i tillegg til eller i stedet for egnede tiltak som tilsynsmyndigheten pålegger i henhold til denne forordning. Ved mindre overtredelser eller dersom overtredelsesgebyret som kan bli ilagt, vil utgjøre en uforholdsmessig stor byrde for en fysisk person, kan det gis en irettesettelse i stedet for et overtredelsesgebyr. Det bør imidlertid tas behørig hensyn til overtredelsens art, alvorlighetsgrad og varighet, om den er gjort forsettlig, tiltak som er truffet for å redusere den forvoldte skade, graden av ansvar eller eventuelle relevante tidligere overtredelser, måten tilsynsmyndigheten fikk kjennskap til overtredelsen på, overholdelse av tiltak truffet overfor den behandlingsansvarlige eller databehandleren, overholdelse av atferdsnormer samt andre skjerpende eller formildende faktorer. Ilegging av sanksjoner, herunder overtredelsesgebyr, bør være omfattet av nødvendige prosessuelle garantier i samsvar med de allmenne prinsippene i unionsretten og i pakten, herunder et effektivt rettslig vern og en rettferdig rettergang.

149) Medlemsstatene bør også kunne fastsette regler om strafferettslige sanksjoner ved overtredelse av denne forordning, herunder ved overtredelse av nasjonale regler vedtatt i henhold til og innenfor rammen av denne forordning. Disse strafferettslige sanksjonene kan også omfatte muligheten til å inndra en eventuell fortjeneste som er oppnådd som følge av overtredelse av denne forordning. Ilegging av strafferettslige sanksjoner for overtredelse av nevnte nasjonale regler samt av administrative sanksjoner bør imidlertid ikke føre til et brudd på ne bis in idem-prinsippet slik det tolkes av Domstolen.

150) For å styrke og harmonisere de administrative sanksjonene for overtredelse av denne forordning bør hver tilsynsmyndighet ha myndighet til å ilegge overtredelsesgebyr. Denne forordning bør definere overtredelser og den øvre grensen og kriteriene for fastsettelse av de tilhørende overtredelsesgebyrene, som bør bestemmes av vedkommende tilsynsmyndighet i hvert enkelt tilfelle, idet det tas hensyn til alle forhold som er relevante for den bestemte situasjonen, og idet det tas behørig hensyn særlig til overtredelsens art, alvorlighetsgrad, varighet og konsekvenser samt tiltakene som er truffet for å sikre samsvar med forpliktelsene i denne forordning, og for å forebygge eller redusere konsekvensene av overtredelsen. Dersom et foretak ilegges overtredelsesgebyr, bør et foretak for disse formål forstås som et foretak i henhold til artikkel 101 og 102 i TEUV. Dersom personer som ikke er foretak, ilegges overtredelsesgebyr, bør tilsynsmyndigheten ved fastsettelse av en egnet størrelse på overtredelsesgebyret ta hensyn til det generelle inntektsnivået i medlemsstaten samt til personens økonomiske situasjon. Konsistensmekanismen kan også brukes for å fremme en ensartet anvendelse av overtredelsesgebyrer. Det bør være opp til medlemsstatene å bestemme om og i hvilken grad offentlige myndigheter bør kunne ilegges overtredelsesgebyr. Ilegging av et overtredelsesgebyr eller utstedelse av en advarsel berører ikke anvendelsen av tilsynsmyndighetenes øvrige myndighet eller andre sanksjoner i henhold til denne forordning.

151) Rettsordenen i Danmark og Estland tillater ikke overtredelsesgebyr som fastsatt i denne forordning. Bestemmelsene om overtredelsesgebyr kan i Danmark anvendes ved at gebyr ilegges av vedkommende nasjonale domstoler som en strafferettslig sanksjon, og i Estland ved at gebyr ilegges av tilsynsmyndigheten innenfor rammen av en forseelsesprosedyre, forutsatt at en slik anvendelse av bestemmelsene i disse medlemsstatene har en virkning som tilsvarer virkningen av overtredelsesgebyrer ilagt av tilsynsmyndigheter. Vedkommende nasjonale domstoler bør derfor ta hensyn til anbefalingen fra tilsynsmyndigheten som har initiert gebyret. I alle tilfeller bør gebyrene som ilegges, være virkningsfulle, stå i et rimelig forhold til overtredelsen og virke avskrekkende.

152) Når denne forordning ikke harmoniserer administrative sanksjoner eller dersom det er nødvendig i andre tilfeller, f.eks. ved alvorlige overtredelser av denne forordning, bør medlemsstatene innføre et system som gjør det mulig å ilegge effektive, forholdsmessige og avskrekkende sanksjoner. Sanksjonenes art, dvs. om de er strafferettslige eller administrative, bør fastsettes i medlemsstatenes nasjonale rett.

153) I medlemsstatenes nasjonale rett bør reglene for ytrings- og informasjonsfrihet, herunder med henblikk på journalistiske, akademiske, kunstneriske og/eller litterære ytringer, bringes i samsvar med retten til vern av personopplysninger i henhold til denne forordning. Det bør fastsettes unntak eller fritak fra visse bestemmelser i denne forordning for behandling av personopplysninger som utelukkende finner sted i journalistisk øyemed eller med henblikk på akademiske, kunstneriske eller litterære ytringer, dersom dette er nødvendig for å bringe retten til vern av personopplysninger i samsvar med retten til ytrings- og informasjonsfrihet som nedfelt i artikkel 11 i pakten. Dette bør særlig gjelde behandling av personopplysninger på det audiovisuelle området og i nyhetsarkiver og pressebiblioteker. Medlemsstatene bør derfor treffe lovgivningsmessige tiltak som fastsetter de fritak og unntak som er nødvendige for å oppnå en balanse mellom disse grunnleggende rettighetene. Medlemsstatene bør vedta nevnte fritak og unntak med hensyn til allmenne prinsipper, den registrertes rettigheter, den behandlingsansvarlige og databehandleren, overføring av personopplysninger til tredjestater eller internasjonale organisasjoner, de uavhengige tilsynsmyndighetene, samarbeid og ensartethet samt særlige databehandlingssituasjoner. Dersom slike fritak eller unntak varierer fra en medlemsstat til en annen, bør retten i medlemsstaten som den behandlingsansvarlige er underlagt, få anvendelse. For å ta høyde for viktigheten av retten til ytringsfrihet i ethvert demokratisk samfunn må begreper som er knyttet til denne friheten, f.eks. journalistikk, tolkes bredt.

154) Denne forordning gir mulighet for at det ved anvendelse av denne forordning kan tas hensyn til prinsippet om allmennhetens rett til innsyn i offentlige dokumenter. Innsyn i offentlige dokumenter kan anses for å være i allmennhetens interesse. Personopplysninger i dokumenter som oppbevares av en offentlig myndighet eller et offentlig organ, bør kunne offentliggjøres av nevnte myndighet eller organ dersom dette er fastsatt i unionsretten eller medlemsstatenes nasjonale rett som den offentlige myndigheten eller det offentlige organet er underlagt. Nevnte lovbestemmelser bør bringe allmennhetens rett til innsyn i offentlige dokumenter og viderebruk av informasjon fra offentlig sektor i samsvar med retten til vern av personopplysninger, og kan derfor inneholde bestemmelser om det nødvendige samsvaret med retten til vern av personopplysninger i henhold til denne forordning. Offentlige myndigheter og organer bør i denne forbindelse omfatte alle myndigheter eller andre organer som omfattes av medlemsstatenes nasjonale rett om dokumentinnsyn. Europaparlaments- og rådsdirektiv 2003/98/EF[17] opprettholder og berører på ingen måte beskyttelsesnivået for fysiske personer ved behandling av personopplysninger i henhold til bestemmelsene i unionsretten og medlemsstatenes nasjonale rett, og det endrer især ikke forpliktelsene og rettighetene fastsatt i denne forordning. Nevnte direktiv bør særlig ikke få anvendelse på dokumenter som det i henhold til innsynsordningene ikke er eller er begrenset innsyn i av hensyn til vern av personopplysninger, og deler av dokumenter som er tilgjengelig i henhold til disse ordningene, men som inneholder personopplysninger hvis viderebruk ved lov er fastsatt som uforenlig med lovgivningen om vern av fysiske personer ved behandling av personopplysninger.

155) I medlemsstatenes nasjonale rett eller tariffavtaler, herunder «arbeidsavtaler», kan det fastsettes særlige regler om behandling av arbeidstakernes personopplysninger i ansettelsesforhold, særlig når det gjelder vilkårene for behandling av personopplysninger i ansettelsesforhold på grunnlag av et samtykke fra den ansatte, formålet med ansettelsen, gjennomføring av ansettelsesavtalen, herunder overholdelse av pliktene fastsatt ved lov eller i tariffavtaler, ledelse, planlegging og organisering av arbeidet, likestilling og mangfold samt helse og sikkerhet på arbeidsplassen, individuell eller kollektiv utøvelse og rett til å nyte godt av rettighetene og fordelene knyttet til ansettelsen samt for å avslutte ansettelsesforholdet.

156) Behandling av personopplysninger for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål bør være omfattet av nødvendige garantier som sikrer den registrertes rettigheter og friheter i henhold til denne forordning. Disse garantiene bør sikre at det er innført tekniske og organisatoriske tiltak for særlig å sikre overholdelse av prinsippet om dataminimering. Viderebehandling av personopplysninger for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål skal utføres etter at den behandlingsansvarlige har foretatt en vurdering av om det er mulig å oppfylle nevnte formål ved å behandle opplysninger som ikke eller ikke lenger gjør det mulig å identifisere de registrerte, forutsatt at det foreligger nødvendige garantier (f.eks. pseudonymisering av opplysningene). Medlemsstatene bør fastsette nødvendige garantier for behandling av personopplysninger for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål. Medlemsstatene bør på særlige vilkår og med forbehold for nødvendige garantier for de registrerte ha rett til å fastsette spesifikasjoner og unntak med hensyn til informasjonskravene og retten til retting, sletting, til å bli glemt, til begrensning av behandling, til dataportabilitet og til å protestere i forbindelse med behandling av personopplysninger for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål. De aktuelle vilkårene og garantiene kan omfatte særlige framgangsmåter som gjør det mulig for registrerte å utøve nevnte rettigheter dersom dette er egnet med henblikk på formålene med den spesifikke behandlingen, samt tekniske og organisatoriske tiltak som tar sikte på å minimere behandlingen av personopplysninger i henhold til forholdsmessighets- og nødvendighetsprinsippet. Behandling av personopplysninger for vitenskapelige formål bør også utføres i samsvar med annet relevant regelverk, f.eks. om kliniske utprøvinger.

157) Ved å koble sammen opplysninger fra forskjellige registre kan forskere oppnå ny og svært verdifull kunnskap om utbredte sykdomstilstander som hjerte- og karsykdommer, kreft og depresjon. På grunnlag av registre kan forskningsresultater forbedres, ettersom registrene omfatter større befolkningsgrupper. Innen samfunnsvitenskap gjør registerforskning det mulig for forskere å få viktig kunnskap om den langsiktige sammenhengen mellom en rekke sosiale forhold, f.eks. arbeidsløshet og utdanning, og andre livsvilkår. Forskningsresultater oppnådd gjennom registerforskning gir omfattende kunnskap av høy kvalitet som kan danne grunnlaget for utformingen og gjennomføringen av en kunnskapsbasert politikk, forbedre livskvaliteten til en rekke mennesker og gjøre sosialtjenester mer effektive. For å fremme vitenskapelig forskning kan personopplysninger behandles for formål knyttet til vitenskapelig forskning, med forbehold for nødvendige vilkår og garantier fastsatt i unionsretten eller i medlemsstatenes nasjonale rett.

158) Dersom personopplysninger behandles for arkivformål, bør denne forordning også få anvendelse på slik behandling, men ikke på avdøde personer. Offentlige myndigheter eller offentlige eller private organer som oppbevarer fortegnelser av allmenn interesse, bør være tjenester som i henhold til unionsretten eller medlemsstatenes nasjonale rett har en rettslig forpliktelse til å innhente, bevare, vurdere, organisere, beskrive, kommunisere, fremme, spre og gi tilgang til fortegnelser av varig verdi i allmennhetens interesse. Medlemsstatene bør også ha rett til å fastsette at personopplysninger kan viderebehandles for arkivformål, f.eks. for å framlegge spesifikk informasjon om politisk atferd under tidligere totalitære regimer, folkemord, forbrytelser mot menneskeheten, særlig holocaust, eller krigsforbrytelser.

159) Når personopplysninger behandles i forbindelse med formål knyttet til vitenskapelig forskning, bør denne forordning også få anvendelse på slik behandling. I denne forordning bør behandling av personopplysninger i forbindelse med formål knyttet til vitenskapelig forskning tolkes vidt og f.eks. omfatte teknologisk utvikling og demonstrasjon, grunnleggende forskning, anvendt forskning og privatfinansiert forskning. I tillegg bør den ta hensyn til Unionens mål om å skape et europeisk forskningsområde i henhold til artikkel 179 nr. 1 i TEUV. Formål knyttet til vitenskapelig forskning bør også omfatte studier som utføres i allmennhetens interesse på området folkehelse. For å ta hensyn til de særlige forholdene som gjelder ved behandling av personopplysninger i forbindelse med vitenskapelig forskning, bør særlige vilkår få anvendelse, særlig med hensyn til publisering eller annen utlevering av personopplysninger i forbindelse med nevnte formål. Dersom resultatet av den vitenskapelige forskningen, særlig på området helse, berettiger ytterligere tiltak i den registrertes interesse, bør de allmenne bestemmelsene i denne forordning få anvendelse med henblikk på nevnte tiltak.

160) Når personopplysninger behandles i forbindelse med formål knyttet til historisk forskning, bør denne forordning også få anvendelse på slik behandling. Dette bør også omfatte historisk forskning og genealogisk forskning, idet det tas hensyn til at denne forordning ikke bør få anvendelse på avdøde personer.

161) Når det gjelder samtykke til å delta i vitenskapelige forskningsaktiviteter i forbindelse med kliniske utprøvinger, bør de relevante bestemmelsene i europaparlaments- og rådsforordning (EU) nr. 536/2014[18] få anvendelse.

162) Når personopplysninger behandles for statistiske formål, bør denne forordning få anvendelse på slik behandling. I unionsretten eller medlemsstatenes nasjonale rett bør det innenfor rammene av denne forordning fastsettes statistisk innhold, tilgangskontroll, spesifikasjoner for behandling av personopplysninger for statistiske formål og egnede tiltak for å sikre den registrertes rettigheter og friheter samt for å sikre konfidensiell behandling av statistiske opplysninger. Med statistiske formål menes enhver innsamling og behandling av personopplysninger som er nødvendig i forbindelse med statistiske undersøkelser eller for å framskaffe statistiske resultater. Nevnte statistiske resultater kan deretter brukes til forskjellige formål, herunder til vitenskapelig forskning. Det statistiske formålet innebærer at resultatet av behandlingen for statistiske formål ikke er personopplysninger, men aggregerte data, og at dette resultatet eller personopplysningene ikke brukes som støtte for tiltak eller avgjørelser som gjelder en bestemt fysisk person.

163) De konfidensielle opplysningene som Unionens og nasjonale statistikkmyndigheter samler inn for å utarbeide offisiell EU-statistikk og offisiell nasjonal statistikk, bør vernes. EU-statistikk bør utvikles, utarbeides og formidles i samsvar med de statistiske prinsippene fastsatt i artikkel 338 nr. 2 i TEUV, mens nasjonal statistikk også bør være i samsvar med medlemsstatenes nasjonale rett. Ved europaparlaments- og rådsforordning (EF) nr. 223/2009[19] er det fastsatt ytterligere spesifikasjoner for konfidensiell behandling av statistiske opplysninger i Europa.

164) Når det gjelder tilsynsmyndighetenes myndighet til å få tilgang til personopplysninger fra den behandlingsansvarlige eller databehandleren og adgang til deres lokaler, kan medlemsstatene innenfor rammene av denne forordning ved lov vedta særlige regler for å sikre yrkesmessig eller annen tilsvarende taushetsplikt, i den grad det er nødvendig for å bringe retten til vern av personopplysning i samsvar med yrkesmessig taushetsplikt. Dette berører ikke medlemsstatenes eksisterende forpliktelser til å vedta regler om taushetsplikt dersom det kreves i unionsretten.

165) Denne forordning respekterer og berører ikke den status kirker og religiøse sammenslutninger eller samfunn har i henhold til eksisterende forfatningsrett i medlemsstatene, som anerkjent i artikkel 17 i TEUV.

166) For å oppfylle målene i denne forordning, som er å verne fysiske personers grunnleggende rettigheter og friheter og særlig deres rett til vern av personopplysninger, og for å sikre fri utveksling av personopplysninger i Unionen, bør myndigheten til å vedta rettsakter i samsvar med artikkel 290 i TEUV delegeres til Kommisjonen. Det bør særlig vedtas delegerte rettsakter om kriteriene for og kravene til sertifiseringsmekanismer, informasjon som skal gis ved hjelp av standardiserte ikoner, og framgangsmåter for å tilveiebringe nevnte ikoner. Det er særlig viktig at Kommisjonen holder hensiktsmessige samråd under sitt forberedende arbeid, herunder på ekspertnivå. Kommisjonen bør ved forberedelse og utarbeiding av delegerte rettsakter sikre at relevante dokumenter oversendes Europaparlamentet og Rådet samtidig, til rett tid og på en egnet måte.

167) For å sikre ensartede vilkår for gjennomføring av denne forordning bør Kommisjonen gis gjennomføringsmyndighet når dette er fastsatt i denne forordning. Nevnte myndighet bør utøves i samsvar med forordning (EU) nr. 182/2011. I denne forbindelse bør Kommisjonen vurdere særlige tiltak for svært små, små og mellomstore bedrifter.

168) Undersøkelsesprosedyren bør brukes når det vedtas gjennomføringsrettsakter om standardavtalevilkår mellom behandlingsansvarlige og databehandlere og mellom databehandlere; atferdsnormer; tekniske standarder og sertifiseringsmekanismer; det tilstrekkelige beskyttelsesnivået som sikres av en tredjestat, et territorium eller en angitt sektor i nevnte tredjestat eller en internasjonal organisasjon; standard personvernbestemmelser; formater og framgangsmåter for elektronisk utveksling av informasjon mellom behandlingsansvarlige, databehandlere og tilsynsmyndigheter med tanke på bindende virksomhetsregler; gjensidig bistand samt ordninger for elektronisk utveksling av informasjon mellom tilsynsmyndigheter og mellom tilsynsmyndigheter og Personvernrådet.

169) Kommisjonen bør vedta gjennomføringsrettsakter med umiddelbar virkning når tilgjengelig dokumentasjon viser at en tredjestat, et territorium eller en angitt sektor i nevnte tredjestat eller en internasjonal organisasjon ikke sikrer et tilstrekkelig beskyttelsesnivå, og tvingende og presserende hensyn krever det.

170) Ettersom målet for denne forordning, som er å sikre et ensartet nivå for vern av fysiske personer og fri flyt av personopplysninger i hele Unionen, ikke kan nås i tilstrekkelig grad av medlemsstatene og derfor på grunn av tiltakets omfang og virkninger bedre kan nås på unionsplan, kan Unionen treffe tiltak i samsvar med nærhetsprinsippet som fastsatt i artikkel 5 i traktaten om Den europeiske union (TEU). I samsvar med forholdsmessighetsprinsippet fastsatt i nevnte artikkel går denne forordning ikke lenger enn det som er nødvendig for å nå dette målet.

171) Direktiv 95/46/EF bør oppheves ved denne forordning. Behandling som allerede pågår på anvendelsesdatoen for denne forordning, bør bringes i samsvar med denne forordning senest to år etter at denne forordning har trådt i kraft. Når behandlingen bygger på et samtykke i henhold til direktiv 95/46/EF, trenger den registrerte ikke å gi sitt samtykke på nytt for at den behandlingsansvarlige skal kunne fortsette nevnte behandling etter anvendelsesdatoen for denne forordning, dersom samtykket ble gitt i samsvar med vilkårene i denne forordning. Beslutninger truffet av Kommisjonen og godkjenninger gitt av tilsynsmyndigheter på grunnlag av direktiv 95/46/EF skal fortsette å gjelde fram til de endres, erstattes eller oppheves.

172) EUs datatilsyn er blitt rådspurt i samsvar med artikkel 28 nr. 2 i forordning (EF) nr. 45/2001 og avga uttalelse 7. mars 2012[20] .

173) Denne forordning bør få anvendelse på alle forhold som gjelder vern av grunnleggende rettigheter og friheter i forbindelse med behandling av personopplysninger, som ikke er underlagt særlige forpliktelser med samme formål som fastsatt i europaparlaments- og rådsdirektiv 2002/58/EF[21] , herunder den behandlingsansvarliges forpliktelser og fysiske personers rettigheter. For å avklare forholdet mellom denne forordning og direktiv 2002/58/EF bør nevnte direktiv derfor endres. Når denne forordning er vedtatt, bør det foretas en ny gjennomgåelse av direktiv 2002/58/EF, særlig for å sikre samsvar med denne forordning –

VEDTATT DENNE FORORDNING:

Kapittel I

Alminnelige bestemmelser

Artikkel 1

Formål og mål

1. Denne forordning fastsetter regler om vern av fysiske personer i forbindelse med behandling av personopplysninger samt regler om fri utveksling av personopplysninger.

2. Denne forordning sikrer vern av fysiske personers grunnleggende rettigheter og friheter, særlig deres rett til vern av personopplysninger.

3. Fri utveksling av personopplysninger i Unionen skal verken begrenses eller forbys av årsaker knyttet til vern av fysiske personer i forbindelse med behandling av personopplysninger.

Artikkel 2

Saklig virkeområde

1. Denne forordning får anvendelse på helt eller delvis automatisert behandling av personopplysninger og på ikke-automatisert behandling av personopplysninger som inngår i eller skal inngå i et register.

2. Denne forordning får ikke anvendelse på behandling av personopplysninger som utføres

a) i forbindelse med utøvelse av en aktivitet som ikke omfattes av unionsretten,

b) av medlemsstatene når de utøver aktiviteter som omfattes av avdeling V kapittel 2 i TEU,

c) av en fysisk person som ledd i rent personlige eller familiemessige aktiviteter,

d) av vedkommende myndigheter med henblikk på å forebygge, etterforske, avsløre eller straffeforfølge straffbare forhold eller iverksette strafferettslige sanksjoner, herunder vern mot og forebygging av trusler mot den offentlige sikkerhet.

3. Forordning (EF) nr. 45/2001 får anvendelse på behandling av personopplysninger som utføres av Unionens institusjoner, organer, kontorer og byråer. Forordning (EF) nr. 45/2001 og andre av Unionens rettsakter som får anvendelse på slik behandling av personopplysninger, skal tilpasses prinsippene og reglene i denne forordning i samsvar med artikkel 98.

4. Denne forordning berører ikke anvendelsen av direktiv 2000/31/EF, særlig reglene for tjenesteytende mellommenns ansvar i artikkel 12–15 i nevnte direktiv.

Artikkel 3

Geografisk virkeområde

1. Denne forordning får anvendelse på behandling av personopplysninger som utføres i forbindelse med aktivitetene ved virksomheten til en behandlingsansvarlig eller en databehandler i Unionen, uavhengig av om behandlingen finner sted i Unionen eller ikke.

2. Denne forordning får anvendelse på behandling av personopplysninger om registrerte som befinner seg i Unionen, og som utføres av en behandlingsansvarlig eller databehandler som ikke er etablert i Unionen, dersom behandlingen er knyttet til

a) tilbud av varer eller tjenester til slike registrerte i Unionen, uavhengig av om det kreves betaling fra den registrerte eller ikke, eller

b) monitorering av deres atferd, i den grad deres atferd finner sted i Unionen.

3. Denne forordning får anvendelse på behandling av personopplysninger som utføres av en behandlingsansvarlig som ikke er etablert i Unionen, men på et sted der en medlemsstats nasjonale rett får anvendelse i henhold til folkeretten.

Artikkel 4

Definisjoner

I denne forordning menes med

1) «personopplysninger» enhver opplysning om en identifisert eller identifiserbar fysisk person («den registrerte»); en identifiserbar fysisk person er en person som direkte eller indirekte kan identifiseres, særlig ved hjelp av en identifikator, f.eks. et navn, et identifikasjonsnummer, lokaliseringsopplysninger, en nettidentifikator eller ett eller flere elementer som er spesifikke for nevnte fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sosiale identitet,

2) «behandling» enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger, enten automatisert eller ikke, f.eks. innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring,

3) «begrensning av behandling» merking av lagrede personopplysninger med det som mål å begrense behandlingen av disse i framtiden,

4) «profilering» enhver form for automatisert behandling av personopplysninger som innebærer å bruke personopplysninger for å vurdere visse personlige aspekter knyttet til en fysisk person, særlig for å analysere eller forutsi aspekter som gjelder nevnte fysiske persons arbeidsprestasjoner, økonomiske situasjon, helse, personlige preferanser, interesser, pålitelighet, atferd, plassering eller bevegelser,

5) «pseudonymisering» behandling av personopplysninger på en slik måte at personopplysningene ikke lenger kan knyttes til en bestemt registrert uten bruk av tilleggsopplysninger, forutsatt at nevnte tilleggsopplysninger lagres atskilt og omfattes av tekniske og organisatoriske tiltak som sikrer at personopplysningene ikke kan knyttes til en identifisert eller identifiserbar fysisk person,

6) «register» enhver strukturert samling av personopplysninger som er tilgjengelig etter særlige kriterier, enten samlingen er plassert sentralt, er desentralisert eller spredt på et funksjonelt eller geografisk grunnlag,

7) «behandlingsansvarlig» en fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert annet organ som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes; når formålet med og midlene for behandlingen er fastsatt i unionsretten eller i medlemsstatenes nasjonale rett, kan den behandlingsansvarlige, eller de særlige kriteriene for utpeking av vedkommende, fastsettes i unionsretten eller i medlemsstatenes nasjonale rett,

8) «databehandler» en fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ som behandler personopplysninger på vegne av den behandlingsansvarlige,

9) «mottaker» en fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ som personopplysninger utleveres til, enten det dreier seg om en tredjepart eller ikke. Offentlige myndigheter som kan motta personopplysninger innenfor rammen av en særskilt undersøkelse i samsvar med unionsretten eller medlemsstatenes nasjonale rett, skal imidlertid ikke anses som mottakere; nevnte offentlige myndigheters behandling av slike opplysninger skal være i samsvar med gjeldende regler om vern av personopplysninger i henhold til formålet med behandlingen,

10) «tredjepart» enhver annen fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ enn den registrerte, den behandlingsansvarlige, databehandleren og de personer som under den behandlingsansvarlige eller databehandlerens direkte myndighet har fullmakt til å behandle personopplysninger,

11) «samtykke» fra den registrerte enhver frivillig, spesifikk, informert og utvetydig viljesytring fra den registrerte der vedkommende ved en erklæring eller en tydelig bekreftelse gir sitt samtykke til behandling av personopplysninger som gjelder vedkommende,

12) «brudd på personopplysningssikkerheten» et brudd på sikkerheten som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, ulovlig spredning av eller tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet,

13) «genetiske opplysninger» personopplysninger om en fysisk persons nedarvede eller ervervede genetiske egenskaper som gir unik informasjon om den aktuelle fysiske personens fysiologi eller helse, og som særlig er framkommet etter analysering av en biologisk prøve fra den aktuelle fysiske personen,

14) «biometriske opplysninger» personopplysninger som stammer fra en særskilt teknisk behandling knyttet til en fysisk persons fysiske, fysiologiske eller atferdsmessige egenskaper, og som muliggjør eller bekrefter en entydig identifikasjon av nevnte fysiske person, f.eks. ansiktsbilder eller fingeravtrykksopplysninger,

15) «helseopplysninger» personopplysninger om en fysisk persons fysiske eller psykiske helse, herunder om ytelse av helsetjenester, som gir informasjon om vedkommendes helsetilstand,

16) «hovedvirksomhet»:

a) når det gjelder en behandlingsansvarlig med virksomheter i mer enn én medlemsstat, stedet for dennes hovedadministrasjon i Unionen, med mindre avgjørelser om formål og midler i forbindelse med behandlingen av personopplysninger treffes i en annen av den behandlingsansvarliges virksomheter i Unionen, og sistnevnte virksomhet har myndighet til å få gjennomført nevnte avgjørelser, i dette tilfellet skal virksomheten som har truffet slike avgjørelser, anses for å være hovedvirksomheten,

b) når det gjelder en databehandler med virksomheter i mer enn én medlemsstat, stedet for dennes hovedadministrasjon i Unionen eller, dersom databehandleren ikke har noen hovedadministrasjon i Unionen, databehandlerens virksomhet i Unionen der hoveddelen av behandlingsaktivitetene i forbindelse med aktivitetene ved en databehandlers virksomhet finner sted, i den grad databehandleren er underlagt særlige forpliktelser i henhold til denne forordning,

17) «representant» en fysisk eller juridisk person som er etablert i Unionen, som den behandlingsansvarlige eller databehandleren har utpekt skriftlig i henhold til artikkel 27, og som representerer den behandlingsansvarlige eller databehandleren med hensyn til de forpliktelser de har i henhold til denne forordning,

18) «foretak» en fysisk eller juridisk person som utøver økonomisk virksomhet, uavhengig av foretakets rettslige form, herunder partnerskap eller sammenslutninger som regelmessig utøver økonomisk virksomhet,

19) «konsern» et foretak som utøver kontroll, og dets kontrollerte foretak,

20) «bindende virksomhetsregler» retningslinjer for vern av personopplysninger som en behandlingsansvarlig eller databehandler som er etablert på en medlemsstats territorium, følger i forbindelse med en overføring eller en rekke overføringer av personopplysninger til en behandlingsansvarlig eller databehandler i én eller flere tredjestater internt i et konsern eller gruppe av foretak som utøver en felles økonomisk virksomhet,

21) «tilsynsmyndighet» en uavhengig offentlig myndighet som er opprettet av en medlemsstat i henhold til artikkel 51,

22) «berørt tilsynsmyndighet» en tilsynsmyndighet som er berørt av en behandling av personopplysninger, fordi

a) den behandlingsansvarlige eller databehandleren er etablert på territoriet til nevnte tilsynsmyndighets medlemsstat,

b) registrerte som er bosatt i nevnte tilsynsmyndighets medlemsstat, i vesentlig grad påvirkes eller sannsynligvis vil bli påvirket av behandlingen, eller

c) det er klaget til nevnte tilsynsmyndighet,

23) «grenseoverskridende behandling»

a) behandling av personopplysninger som finner sted i forbindelse med aktiviteter i en behandlingsansvarligs eller databehandlers virksomheter i mer enn én medlemsstat, dersom den behandlingsansvarlige eller databehandleren er etablert i mer enn én medlemsstat, eller

b) behandling av personopplysninger som finner sted i forbindelse med aktiviteter i en behandlingsansvarligs eller databehandlers eneste virksomhet i Unionen, men som i betydelig grad påvirker eller sannsynligvis vil påvirke registrerte i mer enn én medlemsstat.

24) «relevant og begrunnet innsigelse» en innsigelse mot et utkast til avgjørelse om hvorvidt det foreligger en overtredelse av denne forordning eller om hvorvidt et planlagt tiltak som gjelder den behandlingsansvarlige eller databehandleren, er i samsvar med denne forordning, og som tydelig viser betydningen av risikoene som utkastet til avgjørelse utgjør med hensyn til de registrertes grunnleggende rettigheter og friheter og, dersom det er relevant, den frie flyten av personopplysninger i Unionen,

25) «informasjonssamfunnstjeneste» en tjeneste som definert i artikkel 1 nr. 1 bokstav b) i europaparlaments- og rådsdirektiv (EU) 2015/1535[22] ,

26) «internasjonal organisasjon» en organisasjon og dens underordnede organer som er underlagt folkeretten, eller ethvert annet organ opprettet ved eller på grunnlag av en avtale mellom to eller flere stater.

Kapittel II

Prinsipper

Artikkel 5

Prinsipper for behandling av personopplysninger

1. Personopplysninger skal

a) behandles på en lovlig, rettferdig og åpen måte med hensyn til den registrerte («lovlighet, rettferdighet og åpenhet»),

b) samles inn for spesifikke, uttrykkelig angitte og berettigede formål og ikke viderebehandles på en måte som er uforenlig med disse formålene; viderebehandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål skal, i samsvar med artikkel 89 nr. 1, ikke anses som uforenlig med de opprinnelige formålene («formålsbegrensning»),

c) være adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for («dataminimering»),

d) være korrekte og om nødvendig oppdaterte; det må treffes ethvert rimelig tiltak for å sikre at personopplysninger som er uriktige med hensyn til formålene de behandles for, uten opphold slettes eller rettes («riktighet»),

e) lagres slik at det ikke er mulig å identifisere de registrerte i lengre perioder enn det som er nødvendig for formålene som personopplysningene behandles for; personopplysninger kan lagres i lengre perioder dersom de utelukkende vil bli behandlet for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1, forutsatt at det gjennomføres egnede tekniske og organisatoriske tiltak som kreves i henhold til denne forordning for å sikre de registrertes rettigheter og friheter («lagringsbegrensning»),

f) behandles på en måte som sikrer tilstrekkelig sikkerhet for personopplysningene, herunder vern mot uautorisert eller ulovlig behandling og mot utilsiktet tap, ødeleggelse eller skade, ved bruk av egnede tekniske eller organisatoriske tiltak («integritet og konfidensialitet»).

2. Den behandlingsansvarlige er ansvarlig for og skal kunne påvise at nr. 1 overholdes («ansvar»).

Artikkel 6

Behandlingens lovlighet

1. Behandlingen er bare lovlig dersom og i den grad minst ett av følgende vilkår er oppfylt:

a) den registrerte har samtykket til behandling av sine personopplysninger for ett eller flere spesifikke formål,

b) behandlingen er nødvendig for å oppfylle en avtale som den registrerte er part i, eller for å gjennomføre tiltak på den registrertes anmodning før en avtaleinngåelse,

c) behandlingen er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige,

d) behandlingen er nødvendig for å verne den registrertes eller en annen fysisk persons vitale interesser,

e) behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt,

f) behandlingen er nødvendig for formål knyttet til de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, med mindre den registrertes interesser eller grunnleggende rettigheter og friheter går foran og krever vern av personopplysninger, særlig dersom den registrerte er et barn.

Nr. 1 bokstav f) får ikke anvendelse på behandling som utføres av offentlige myndigheter som ledd i utførelsen av deres oppgaver.

2. Medlemsstatene kan opprettholde eller innføre mer spesifikke bestemmelser for å tilpasse anvendelsen av reglene for behandling i denne forordning med henblikk på å sikre samsvar med nr. 1 bokstav c) og e) ved nærmere å fastsette mer spesifikke krav til behandlingen samt andre tiltak som har som mål å sikre en lovlig og rettferdig behandling, herunder i forbindelse med andre særlige behandlingssituasjoner som nevnt i kapittel IX.

3. Grunnlaget for behandlingen nevnt i nr. 1 bokstav c) og e) skal fastsettes i

a) unionsretten eller

b) medlemsstatens nasjonale rett som den behandlingsansvarlige er underlagt.

Formålet med behandlingen skal være fastsatt i nevnte rettslige grunnlag eller, når det gjelder behandlingen nevnt i nr. 1 bokstav e), være nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt. Nevnte rettslige grunnlag kan inneholde særlige bestemmelser for å tilpasse anvendelsen av reglene i denne forordning, blant annet de generelle vilkårene som skal gjelde for lovligheten av den behandlingsansvarliges behandling, hvilken type opplysninger som skal behandles, berørte registrerte, enhetene som personopplysningene kan utleveres til, og formålene med dette, formålsbegrensning, lagringsperioder samt behandlingsaktiviteter og framgangsmåter for behandling, herunder tiltak for å sikre lovlig og rettferdig behandling, slik som dem fastsatt med henblikk på andre særlige behandlingssituasjoner som nevnt i kapittel IX. Unionsretten eller medlemsstatenes nasjonale rett skal oppfylle et mål i allmennhetens interesse og stå i et rimelig forhold til det berettigede målet som søkes oppnådd.

4. Dersom behandlingen for et annet formål enn det som personopplysningene er blitt samlet inn for, ikke bygger på den registrertes samtykke eller på unionsretten eller medlemsstatenes nasjonale rett som utgjør et nødvendig og forholdsmessig tiltak i et demokratisk samfunn for å sikre oppnåelse av målene nevnt i artikkel 23 nr. 1, skal den behandlingsansvarlige for å avgjøre om behandlingen for et annet formål er forenlig med formålet som personopplysningene opprinnelig ble samlet inn for, blant annet ta hensyn til følgende:

a) enhver forbindelse mellom formålene som personopplysningene er blitt samlet inn for, og formålene med den tiltenkte viderebehandlingen,

b) i hvilken sammenheng personopplysningene er blitt samlet inn, særlig med hensyn til forholdet mellom de registrerte og den behandlingsansvarlige,

c) personopplysningenes art, især om særlige kategorier av personopplysninger behandles, i henhold til artikkel 9, eller om personopplysninger om straffedommer og lovovertredelser behandles, i henhold til artikkel 10,

d) de mulige konsekvensene av den tiltenkte viderebehandlingen for de registrerte,

e) om det foreligger nødvendige garantier, som kan omfatte kryptering eller pseudonymisering.

Artikkel 7

Vilkår for samtykke

1. Dersom behandlingen bygger på samtykke, skal den behandlingsansvarlige kunne påvise at den registrerte har samtykket til behandling av personopplysninger om vedkommende.

2. Dersom den registrertes samtykke gis i forbindelse med en skriftlig erklæring som også gjelder andre forhold, skal anmodningen om samtykke framlegges på en måte som gjør at den tydelig kan skilles fra nevnte andre forhold, i en forståelig og lett tilgjengelig form og på et klart og enkelt språk. Deler av en slik erklæring som er i strid med denne forordning, skal ikke være bindende.

3. Den registrerte skal ha rett til å trekke tilbake sitt samtykke til enhver tid. Dersom samtykket trekkes tilbake, skal det ikke påvirke lovligheten av behandlingen som bygger på samtykket før det trekkes tilbake. Før det gis samtykke, skal den registrerte opplyses om dette. Det skal være like enkelt å trekke tilbake som å gi samtykke.

4. Ved vurdering av om et samtykke er gitt frivillig skal det tas størst mulig hensyn til blant annet om oppfyllelse av en avtale, herunder om yting av en tjeneste, er gjort betinget av samtykke til behandling av personopplysninger som ikke er nødvendig for å oppfylle nevnte avtale.

Artikkel 8

Vilkår for barns samtykke i forbindelse med informasjonssamfunnstjenester

1. Dersom artikkel 6 nr. 1 bokstav a) får anvendelse i forbindelse med tilbud om informasjonssamfunnstjenester direkte til et barn, er behandling av et barns personopplysninger lovlig dersom barnet er minst 16 år. Dersom barnet er under 16 år, er slik behandling lovlig bare dersom og i den grad samtykke er gitt eller godkjent av den som har foreldreansvar for barnet.

For disse formål kan medlemsstatene ved lov fastsette en lavere aldersgrense, forutsatt at den ikke er lavere enn 13 år.

2. I slike tilfeller skal den behandlingsansvarlige treffe rimelige tiltak for å kontrollere at samtykke er gitt eller godkjent av den som har foreldreansvar for barnet, idet det tas hensyn til tilgjengelig teknologi.

3. Nr. 1 skal ikke påvirke medlemsstatenes alminnelige avtalerett, f.eks. reglene for gyldigheten, utformingen eller virkningen av en avtale som gjelder et barn.

Artikkel 9

Behandling av særlige kategorier av personopplysninger

1. Behandling av personopplysninger om rasemessig eller etnisk opprinnelse, politisk oppfatning, religion, filosofisk overbevisning eller fagforeningsmedlemskap, samt behandling av genetiske opplysninger og biometriske opplysninger med det formål å entydig identifisere en fysisk person, helseopplysninger eller opplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering, er forbudt.

2. Nr. 1 får ikke anvendelse dersom et av følgende vilkår er oppfylt:

a) Den registrerte har gitt uttrykkelig samtykke til behandling av slike personopplysninger for ett eller flere spesifikke formål, unntatt dersom det i unionsretten eller medlemsstatenes nasjonale rett er fastsatt at den registrerte ikke kan oppheve forbudet nevnt i nr. 1.

b) Behandlingen er nødvendig for at den behandlingsansvarlige eller den registrerte skal kunne oppfylle sine forpliktelser og utøve sine særlige rettigheter på området arbeidsrett, trygderett og sosialrett i den grad dette er tillatt i henhold til unionsretten eller medlemsstatenes nasjonale rett, eller en tariffavtale i henhold til medlemsstatenes nasjonale rett som gir nødvendige garantier for den registrertes grunnleggende rettigheter og interesser.

c) Behandlingen er nødvendig for å verne den registrertes eller en annen fysisk persons vitale interesser dersom den registrerte fysisk eller juridisk ikke er i stand til å gi samtykke.

d) Behandlingen utføres av en stiftelse, sammenslutning eller et annet ideelt organ hvis mål er av politisk, religiøs eller fagforeningsmessig art, som ledd i organets berettigede aktiviteter og med nødvendige garantier, forutsatt at behandlingen bare gjelder organets medlemmer eller tidligere medlemmer eller personer som på grunn av organets mål har regelmessig kontakt med det, og at personopplysningene ikke utleveres til andre enn nevnte organ uten de registrertes samtykke.

e) Behandlingen gjelder personopplysninger som det er åpenbart at den registrerte har offentliggjort.

f) Behandlingen er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav eller når domstolene handler innenfor rammen av sin domsmyndighet.

g) Behandlingen er nødvendig av hensyn til viktige allmenne interesser, på grunnlag av unionsretten eller medlemsstatenes nasjonale rett som skal stå i et rimelig forhold til det mål som søkes oppnådd, være forenlig med det grunnleggende innholdet i retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser.

h) Behandlingen er nødvendig i forbindelse med forebyggende medisin eller arbeidsmedisin for å vurdere en arbeidstakers arbeidskapasitet, i forbindelse med medisinsk diagnostikk, yting av helse- eller sosialtjenester, behandling eller forvaltning av helse- eller sosialtjenester og -systemer på grunnlag av unionsretten eller medlemsstatenes nasjonale rett eller i henhold til en avtale med helsepersonell og med forbehold for vilkårene og garantiene nevnt i nr. 3.

i) Behandlingen er nødvendig av allmenne folkehelsehensyn, f.eks. vern mot alvorlige grenseoverskridende helsetrusler eller for å sikre høye kvalitets- og sikkerhetsstandarder for helsetjenester og legemidler eller medisinsk utstyr, på grunnlag av unionsretten eller medlemsstatenes nasjonale rett der det fastsettes egnede og særlige tiltak for å verne den registrertes rettigheter og friheter, særlig taushetsplikt.

j) Behandlingen er nødvendig for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1 på grunnlag av unionsretten eller medlemsstatenes nasjonale rett som skal stå i et rimelig forhold til det mål som søkes oppnådd, være forenlig med det grunnleggende innholdet i retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser.

3. Personopplysningene nevnt i nr. 1 kan behandles for formålene nevnt i nr. 2 bokstav h) dersom opplysningene behandles av en fagperson som har taushetsplikt i henhold til unionsretten eller medlemsstatenes nasjonale rett eller regler fastsatt av nasjonale vedkommende organer, eller under en slik persons ansvar, eller av en annen person som også har taushetsplikt i henhold til unionsretten eller medlemsstatenes nasjonale rett eller regler fastsatt av nasjonale vedkommende organer.

4. Medlemsstatene kan opprettholde eller innføre ytterligere vilkår, herunder begrensninger, med hensyn til behandling av genetiske opplysninger, biometriske opplysninger eller helseopplysninger.

Artikkel 10

Behandling av personopplysninger om straffedommer og lovovertredelser

Behandling av personopplysninger om straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak på grunnlag av artikkel 6 nr. 1 skal bare utføres under en offentlig myndighets kontroll eller dersom behandlingen er tillatt i henhold til unionsretten eller medlemsstatenes nasjonale rett som sikrer nødvendige garantier for de registrertes rettigheter og friheter. Alle omfattende registre over straffedommer må bare føres under en offentlig myndighets kontroll.

Artikkel 11

Behandling som ikke krever identifikasjon

1. Dersom formålene med den behandlingsansvarliges behandling av personopplysninger ikke krever eller ikke lenger krever at den behandlingsansvarlige kan identifisere en registrert, skal den behandlingsansvarlige ikke ha plikt til å bevare, innhente eller behandle ytterligere opplysninger for å identifisere den registrerte utelukkende med det formål å oppfylle kravene i denne forordning.

2. Dersom den behandlingsansvarlige i tilfeller nevnt i nr. 1 i denne artikkel kan påvise at vedkommende ikke er i stand til å identifisere den registrerte, skal den behandlingsansvarlige, dersom det er mulig, informere den registrerte om dette. I slike tilfeller får artikkel 15–20 ikke anvendelse, bortsett fra når den registrerte for å utøve sine rettigheter i henhold til nevnte artikler gir ytterligere opplysninger som gjør det mulig å identifisere vedkommende.

Kapittel III

Den registrertes rettigheter

Avsnitt 1

Åpenhet og vilkår

Artikkel 12

Klar og tydelig informasjon, kommunikasjon og nærmere regler om utøvelse av den registrertes rettigheter

1. Den behandlingsansvarlige skal treffe egnede tiltak for å framlegge for den registrerte informasjonen nevnt i artikkel 13 og 14 og all kommunikasjon i henhold til artikkel 15–22 og 34 om behandlingen på en kortfattet, åpen, forståelig og lett tilgjengelig måte og på et klart og enkelt språk, især når det gjelder informasjon som spesifikt er rettet mot et barn. Informasjonen skal gis skriftlig eller på en annen måte, herunder elektronisk dersom det er hensiktsmessig. På anmodning fra den registrerte kan informasjonen gis muntlig, forutsatt at den registrertes identitet bevises på andre måter.

2. Den behandlingsansvarlige skal legge til rette for at den registrerte kan utøve sine rettigheter i henhold til artikkel 15–22. I tilfellene nevnt i artikkel 11 nr. 2 skal den behandlingsansvarlige ikke nekte å etterkomme den registrertes anmodning om å utøve sine rettigheter i henhold til artikkel 15–22, med mindre den behandlingsansvarlige påviser at vedkommende ikke er i stand til å identifisere den registrerte.

3. Den behandlingsansvarlige skal informere den registrerte om tiltak som er truffet på grunnlag av en anmodning i henhold til artikkel 15–22, uten ugrunnet opphold og senest én måned etter mottak av anmodningen. Denne fristen kan ved behov forlenges med ytterligere to måneder, idet det tas hensyn til antall anmodninger og anmodningenes kompleksitet. Den behandlingsansvarlige skal informere den registrerte om enhver slik forlengelse senest én måned etter mottak av anmodningen sammen med en begrunnelse for forsinkelsen. Dersom den registrerte inngir anmodningen elektronisk, skal informasjonen om mulig gis elektronisk, med mindre den registrerte anmoder om noe annet.

4. Dersom den behandlingsansvarlige ikke treffer tiltak på anmodning fra den registrerte, skal den behandlingsansvarlige informere den registrerte uten opphold og senest én måned etter mottak av anmodningen om årsakene til dette og om muligheten for å inngi klage til en tilsynsmyndighet og for rettslig prøving.

5. Informasjon som gis i henhold til artikkel 13 og 14, og enhver kommunikasjon og ethvert tiltak som treffes i henhold til artikkel 15–22 og 34, skal være gratis. Dersom anmodninger fra en registrert er åpenbart grunnløse eller overdrevne, særlig dersom de gjentas, kan den behandlingsansvarlige enten

a) kreve et rimelig gebyr, idet det tas hensyn til administrasjonskostnadene for å gi informasjonen eller treffe de tiltak det anmodes om, eller

b) nekte å etterkomme anmodningen.

Den behandlingsansvarlige skal bære bevisbyrden for at en anmodning er åpenbart grunnløs eller overdreven.

6. Uten at det berører artikkel 11, kan den behandlingsansvarlige, dersom det hersker rimelig tvil om identiteten til den fysiske personen som inngir anmodningen nevnt i artikkel 15–21, anmode om ytterligere opplysninger som er nødvendige for å kunne bekrefte den registrertes identitet.

7. Informasjonen som skal gis de registrerte i henhold til artikkel 13 og 14, kan gis sammen med standardiserte ikoner for å gi en lett synlig, forståelig, lettlest og meningsfull oversikt over den tiltenkte behandlingen. Dersom ikonene presenteres elektronisk, skal de være maskinlesbare.

8. Kommisjonen skal gis myndighet til å vedta delegerte rettsakter i samsvar med artikkel 92 for å fastsette hvilken informasjon som skal gis ved hjelp av ikoner, og framgangsmåtene for å tilveiebringe standardiserte ikoner.

Avsnitt 2

Informasjon og innsyn i personopplysninger

Artikkel 13

Informasjon som skal gis ved innsamling av personopplysninger fra den registrerte

1. Når personopplysninger om en registrert samles inn fra den registrerte, skal den behandlingsansvarlige på tidspunktet for innsamlingen av personopplysningene gi den registrerte følgende informasjon:

a) identiteten og kontaktopplysningene til den behandlingsansvarlige og eventuelt den behandlingsansvarliges representant,

b) kontaktopplysningene til personvernombudet, dersom dette er relevant,

c) formålene med den tiltenkte behandlingen av personopplysningene samt det rettslige grunnlaget for behandlingen,

d) dersom behandlingen er basert på artikkel 6 nr. 1 bokstav f), de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart,

e) eventuelle mottakere eller kategorier av mottakere av personopplysningene,

f) dersom det er relevant, det faktum at den behandlingsansvarlige akter å overføre personopplysninger til en tredjestat eller en internasjonal organisasjon og om hvorvidt Kommisjonen har truffet en beslutning om tilstrekkelig beskyttelsesnivå eller ikke, eller når det gjelder overføringene nevnt i artikkel 46 eller 47 eller artikkel 49 nr. 1 annet ledd, en henvisning til nødvendige eller passende garantier, hvordan man får tak i et eksemplar av dem, eller hvor de er gjort tilgjengelig.

2. I tillegg til informasjonen nevnt i nr. 1 skal den behandlingsansvarlige på tidspunktet for innsamling av personopplysninger gi den registrerte følgende ytterligere informasjon som er nødvendig for å sikre en rettferdig og åpen behandling:

a) det tidsrom personopplysningene vil bli lagret, eller dersom dette ikke er mulig, kriteriene som brukes for å fastsette dette tidsrommet,

b) retten til å anmode den behandlingsansvarlige om innsyn i og retting eller sletting av personopplysninger eller begrensning av behandlingen som gjelder den registrerte, eller til å protestere mot behandlingen samt retten til dataportabilitet,

c) dersom behandlingen er basert på artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a), retten til når som helst å trekke tilbake et samtykke uten at det påvirker lovligheten av en behandling basert på et samtykke før samtykket trekkes tilbake,

d) retten til å klage til en tilsynsmyndighet,

e) om det foreligger et lovfestet eller avtalefestet krav om å gi personopplysninger eller et krav som er nødvendig for å inngå en avtale, samt om den registrerte har plikt til å gi personopplysningene og om mulige konsekvenser dersom vedkommende ikke gjør det,

f) forekomsten av automatiserte avgjørelser, herunder profilering, som nevnt i artikkel 22 nr. 1 og 4, og, i det minste i nevnte tilfeller, relevant informasjon om den underliggende logikken samt om betydningen og de forventede konsekvensene av en slik behandling for den registrerte.

3. Dersom den behandlingsansvarlige har til hensikt å viderebehandle personopplysningene for et annet formål enn det opplysningene ble samlet inn for, skal den behandlingsansvarlige før nevnte viderebehandling gi den registrerte informasjon om nevnte andre formål og annen nødvendig informasjon som nevnt i nr. 2.

4. Nr. 1, 2 og 3 får ikke anvendelse dersom og i den grad den registrerte allerede har informasjonen.

Artikkel 14

Informasjon som skal gis dersom personopplysninger ikke er blitt samlet inn fra den registrerte

1. Dersom personopplysninger ikke er blitt samlet inn fra den registrerte, skal den behandlingsansvarlige gi den registrerte følgende informasjon:

a) identiteten og kontaktopplysningene til den behandlingsansvarlige og eventuelt den behandlingsansvarliges representant,

b) kontaktopplysningene til personvernombudet, dersom dette er relevant,

c) formålene med den tiltenkte behandlingen av personopplysningene samt det rettslige grunnlaget for behandlingen,

d) de berørte kategoriene av personopplysninger,

e) eventuelle mottakere eller kategorier av mottakere av personopplysningene,

f) dersom det er relevant, at den behandlingsansvarlige har til hensikt å overføre personopplysninger til en mottaker i en tredjestat eller en internasjonal organisasjon og om hvorvidt Kommisjonen har truffet en beslutning om tilstrekkelig beskyttelsesnivå eller ikke, eller, når det gjelder overføringene nevnt i artikkel 46 eller 47 eller artikkel 49 nr. 1 annet ledd, en henvisning til nødvendige eller passende garantier, hvordan man får tak i et eksemplar av dem eller hvor de er gjort tilgjengelig.

2. I tillegg til informasjonen nevnt i nr. 1 skal den behandlingsansvarlige gi den registrerte følgende informasjon som er nødvendig for å sikre den registrerte en rettferdig og åpen behandling:

a) det tidsrom personopplysningene vil bli lagret, eller dersom dette ikke er mulig, kriteriene som brukes for å fastsette dette tidsrommet,

b) dersom behandlingen er basert på artikkel 6 nr. 1 bokstav f), de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart,

c) retten til å anmode den behandlingsansvarlige om innsyn i og retting eller sletting av personopplysninger eller begrensning av behandlingen som gjelder den registrerte, og til å protestere mot behandlingen samt retten til dataportabilitet,

d) dersom behandlingen er basert på artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a), retten til når som helst å trekke tilbake et samtykke uten at det påvirker lovligheten av en behandling basert på et samtykke før samtykket trekkes tilbake,

e) retten til å klage til en tilsynsmyndighet,

f) fra hvilken kilde personopplysningene stammer fra, og, dersom det er relevant, om de stammer fra offentlig tilgjengelige kilder,

g) forekomsten av automatiserte avgjørelser, herunder profilering, som nevnt i artikkel 22 nr. 1 og 4, og, i det minste i nevnte tilfeller, relevant informasjon om den underliggende logikken samt om betydningen og de forventede konsekvensene av en slik behandling for den registrerte.

3. Den behandlingsansvarlige skal gi informasjonen nevnt i nr. 1 og 2

a) innen en rimelig frist etter at personopplysningene er samlet inn, men senest innen én måned, idet det tas hensyn til de særlige forholdene som personopplysningene er behandlet under,

b) dersom personopplysningene skal brukes til å kommunisere med den registrerte, senest på tidspunktet for den første kommunikasjonen med vedkommende, eller

c) dersom det er planlagt at personopplysningene skal utleveres til en annen mottaker, senest når personopplysningene første gang utleveres.

4. Dersom den behandlingsansvarlige har til hensikt å viderebehandle personopplysningene for et annet formål enn det opplysningene ble samlet inn for, skal den behandlingsansvarlige før nevnte viderebehandling gi den registrerte informasjon om nevnte andre formål og annen relevant informasjon som nevnt i nr. 2.

5. Nr. 1–4 får ikke anvendelse dersom og i den grad

a) den registrerte allerede har informasjonen,

b) det viser seg umulig å gi nevnte informasjon eller det vil innebære en uforholdsmessig stor innsats, særlig i forbindelse med behandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i henhold til vilkårene og garantiene nevnt i artikkel 89 nr. 1, eller i den grad forpliktelsen nevnt i nr. 1 i denne artikkel sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås. I slike tilfeller skal den behandlingsansvarlige treffe egnede tiltak for å verne den registrertes rettigheter og friheter og berettigede interesser, herunder gjøre informasjonen offentlig tilgjengelig,

c) innsamling eller utlevering er uttrykkelig fastsatt i unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, og som inneholder egnede tiltak for å verne den registrertes berettigede interesser, eller

d) dersom personopplysningene må holdes konfidensielle som følge av taushetsplikt i henhold til unionsretten eller medlemsstatenes nasjonale rett, herunder en lovfestet taushetsplikt.

Artikkel 15

Den registrertes rett til innsyn

1. Den registrerte skal ha rett til å få den behandlingsansvarliges bekreftelse på om personopplysninger om vedkommende behandles, og, dersom dette er tilfellet, innsyn i personopplysningene og følgende informasjon:

a) formålene med behandlingen,

b) de berørte kategoriene av personopplysninger,

c) mottakerne eller kategoriene av mottakere som personopplysningene er blitt eller vil bli utlevert til, særlig mottakere i tredjestater eller internasjonale organisasjoner,

d) dersom det er mulig, hvor lenge det forventes at personopplysningene vil bli lagret, eller, dersom dette ikke er mulig, kriteriene som brukes for å fastsette denne perioden,

e) retten til å anmode den behandlingsansvarlige om retting eller sletting av personopplysninger eller begrensning av behandlingen av personopplysninger som gjelder den registrerte, eller til å protestere mot nevnte behandling,

f) retten til å klage til en tilsynsmyndighet,

g) dersom personopplysningene ikke er samlet inn fra den registrerte, all tilgjengelig informasjon om hvor personopplysningene stammer fra,

h) forekomsten av automatiserte avgjørelser, herunder profilering, som nevnt i artikkel 22 nr. 1 og 4, og, i det minste i nevnte tilfeller, relevant informasjon om den underliggende logikken samt om betydningen og de forventede konsekvensene av en slik behandling for den registrerte.

2. Dersom personopplysningene overføres til en tredjestat eller til en internasjonal organisasjon, skal den registrerte ha rett til å bli underrettet om de nødvendige garantiene i henhold til artikkel 46 i forbindelse med overføringen.

3. Den behandlingsansvarlige skal gjøre tilgjengelig en kopi av personopplysningene som behandles. Dersom den registrerte anmoder om flere kopier, kan den behandlingsansvarlige kreve et rimelig gebyr basert på administrasjonskostnadene. Dersom den registrerte inngir anmodningen elektronisk, og med mindre den registrerte anmoder om noe annet, skal informasjonen gis i en vanlig elektronisk form.

4. Retten til å motta en kopi nevnt i nr. 3 skal ikke ha negativ innvirkning på andres rettigheter og friheter.

Avsnitt 3

Retting og sletting

Artikkel 16

Rett til retting

Den registrerte skal ha rett til å få uriktige personopplysninger om seg selv rettet av den behandlingsansvarlige uten ugrunnet opphold. Idet det tas hensyn til formålene med behandlingen skal den registrerte ha rett til å få ufullstendige personopplysninger komplettert, herunder ved å framlegge en supplerende erklæring.

Artikkel 17

Rett til sletting («rett til å bli glemt»)

1. Den registrerte skal ha rett til å få personopplysninger om seg selv slettet av den behandlingsansvarlige uten ugrunnet opphold, og den behandlingsansvarlige skal ha plikt til å slette personopplysninger uten ugrunnet opphold dersom et av de følgende forhold gjør seg gjeldende:

a) personopplysningene er ikke lenger nødvendige for formålet som de ble samlet inn eller behandlet for,

b) den registrerte trekker tilbake samtykket som ligger til grunn for behandlingen, i henhold til artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a), og det ikke finnes noe annet rettslig grunnlag for behandlingen,

c) den registrerte protesterer mot behandlingen i henhold til artikkel 21 nr. 1, og det ikke finnes mer tungtveiende berettigede grunner til behandlingen, eller den registrerte protesterer mot behandlingen i henhold til artikkel 21 nr. 2,

d) personopplysningene er blitt behandlet ulovlig,

e) personopplysningene må slettes for å oppfylle en rettslig forpliktelse i unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt,

f) personopplysningene er blitt samlet inn i forbindelse med tilbud om informasjonssamfunnstjenester som nevnt i artikkel 8 nr. 1.

2. Dersom den behandlingsansvarlige har offentliggjort personopplysningene og i henhold til nr. 1 har plikt til å slette personopplysningene, skal vedkommende, idet det tas hensyn til tilgjengelig teknologi og gjennomføringskostnadene, treffe rimelige tiltak, herunder tekniske tiltak, for å underrette behandlingsansvarlige som behandler personopplysningene, om at den registrerte har anmodet om at nevnte behandlingsansvarlige skal slette alle lenker til, kopier eller reproduksjoner av nevnte personopplysninger.

3. Nr. 1 og 2 får ikke anvendelse dersom nevnte behandling er nødvendig

a) for å utøve retten til ytrings- og informasjonsfrihet,

b) for å oppfylle en rettslig forpliktelse som krever behandling i henhold til unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, eller for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt,

c) av hensyn til allmennhetens interesse på området folkehelse i samsvar med artikkel 9 nr. 2 bokstav h) og i) og artikkel 9 nr. 3,

d) for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1 i den grad rettigheten nevnt i nr. 1 sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås, eller

e) for å fastsette, gjøre gjeldende eller forsvare rettskrav.

Artikkel 18

Rett til begrensning av behandling

1. Den registrerte skal ha rett til å kreve av den behandlingsansvarlige at behandlingen begrenses dersom et av de følgende forhold gjør seg gjeldende:

a) den registrerte bestrider riktigheten av personopplysningene, i en periode som gjør det mulig for den behandlingsansvarlige å kontrollere riktigheten av personopplysningene,

b) behandlingen er ulovlig og den registrerte motsetter seg sletting av personopplysningene og isteden anmoder om at bruken av personopplysningene begrenses,

c) den behandlingsansvarlige ikke lenger trenger personopplysningene til formålet med behandlingen, men den registrerte har behov for disse for å fastsette, gjøre gjeldende eller forsvare rettskrav,

d) den registrerte har protestert mot behandling i henhold til artikkel 21 nr. 1 i påvente av kontrollen av om hvorvidt den behandlingsansvarliges berettigede grunner går foran den registrertes.

2. Dersom behandlingen er blitt begrenset i henhold til nr. 1, skal slike personopplysninger, bortsett fra lagring, bare behandles med den registrertes samtykke eller for å fastsette, gjøre gjeldende eller forsvare rettskrav eller for å verne en annen fysisk eller juridisk persons rettigheter eller av hensyn til viktige allmenne interesser i Unionen eller en medlemsstat.

3. En registrert som har oppnådd begrensning av behandlingen i henhold til nr. 1, skal underrettes av den behandlingsansvarlige før nevnte begrensning av behandlingen oppheves.

Artikkel 19

Underretningsplikt i forbindelse med retting eller sletting av personopplysninger eller begrensning av behandling

Den behandlingsansvarlige skal underrette enhver mottaker som har fått utlevert personopplysninger, om enhver retting eller sletting av personopplysninger eller begrensning av behandlingen utført i samsvar med artikkel 16, artikkel 17 nr. 1 og artikkel 18, med mindre dette viser seg å være umulig eller innebærer en uforholdsmessig stor innsats. Den behandlingsansvarlige skal underrette den registrerte om nevnte mottakere dersom den registrerte anmoder om det.

Artikkel 20

Rett til dataportabilitet

1. Den registrerte skal ha rett til å motta personopplysninger om seg selv som vedkommende har gitt til en behandlingsansvarlig, i et strukturert, alminnelig anvendt og maskinlesbart format og skal ha rett til å overføre nevnte opplysninger til en annen behandlingsansvarlig uten at den behandlingsansvarlige som personopplysningene er gitt til, hindrer dette, dersom

a) behandlingen er basert på samtykke i henhold til artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a) eller en avtale i henhold til artikkel 6 nr. 1 bokstav b), og

b) behandlingen utføres automatisk.

2. Når den registrerte utøver sin rett til dataportabilitet i henhold til nr. 1, skal vedkommende, når det er teknisk mulig, ha rett til å få overført personopplysningene direkte fra en behandlingsansvarlig til en annen.

3. Utøvelse av rettigheten nevnt i nr. 1 i denne artikkel berører ikke artikkel 17. Nevnte rettighet får ikke anvendelse på behandling som er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt.

4. Rettigheten nevnt i nr. 1 skal ikke ha negativ innvirkning på andres rettigheter og friheter.

Avsnitt 4

Rett til å protestere og automatiserte individuelle avgjørelser

Artikkel 21

Rett til å protestere

1. Den registrerte skal til enhver tid, av grunner knyttet til vedkommendes særlige situasjon, ha rett til å protestere mot behandling av personopplysninger om vedkommende, og som har grunnlag i artikkel 6 nr. 1 bokstav e) eller f), herunder profilering med grunnlag i nevnte bestemmelser. Den behandlingsansvarlige skal ikke lenger behandle personopplysningene, med mindre vedkommende kan påvise at det foreligger tvingende berettigede grunner for behandlingen som går foran den registrertes interesser, rettigheter og friheter, eller for å fastsette, gjøre gjeldende eller forsvare rettskrav.

2. Dersom personopplysninger behandles med henblikk på direkte markedsføring, skal den registrerte til enhver tid ha rett til å protestere mot behandling av personopplysninger som angår vedkommende, til slik markedsføring, herunder profilering i den grad dette er knyttet til direkte markedsføring.

3. Dersom den registrerte protesterer mot behandling med henblikk på direkte markedsføring, skal personopplysningene ikke lenger behandles for slike formål.

4. Senest på tidspunktet for den første kommunikasjonen med den registrerte skal vedkommende uttrykkelig gjøres oppmerksom på rettigheten nevnt i nr. 1 og 2, og informasjon om nevnte rettighet skal framlegges på en klar måte og atskilt fra annen informasjon.

5. I forbindelse med bruk av informasjonssamfunnstjenester og uten hensyn til direktiv 2002/58/EF kan den registrerte utøve sin rett til å protestere ved hjelp av automatiserte midler ved bruk av tekniske spesifikasjoner.

6. Dersom personopplysninger behandles for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i henhold til artikkel 89 nr. 1, har den registrerte, av grunner knyttet til vedkommendes særlige situasjon, rett til å protestere mot behandling av personopplysninger om vedkommende, med mindre behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse.

Artikkel 22

Automatiserte individuelle avgjørelser, herunder profilering

1. Den registrerte skal ha rett til ikke å være gjenstand for en avgjørelse som utelukkende er basert på automatisert behandling, herunder profilering, som har rettsvirkning for eller på tilsvarende måte i betydelig grad påvirker vedkommende.

2. Nr. 1 får ikke anvendelse dersom avgjørelsen

a) er nødvendig for å inngå eller oppfylle en avtale mellom den registrerte og en behandlingsansvarlig,

b) er tillatt i henhold til unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, og der det også er fastsatt egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser, eller

c) er basert på den registrertes uttrykkelige samtykke.

3. I tilfellene nevnt i nr. 2 bokstav a) og c) skal den behandlingsansvarlige gjennomføre egnede tiltak for å verne den registrertes rettigheter og friheter og berettigede interesser, i det minste retten til menneskelig inngripen fra den behandlingsansvarlige, til å uttrykke sine synspunkter og til å bestride avgjørelsen.

4. Avgjørelsene nevnt i nr. 2 skal ikke bygge på særlige kategorier av personopplysninger nevnt i artikkel 9 nr. 1, med mindre artikkel 9 nr. 2 bokstav a) eller g) får anvendelse og det er innført egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser.

Avsnitt 5

Begrensninger

Artikkel 23

Begrensninger

1. Unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige eller databehandleren er underlagt, kan ved lovgivningsmessige tiltak begrense rekkevidden av forpliktelsene og rettighetene fastsatt i artikkel 12–22 og artikkel 34 samt i artikkel 5 i den grad dens bestemmelser svarer til rettighetene og pliktene fastsatt i artikkel 12–22, når en slik begrensning overholder det vesentligste innholdet i de grunnleggende rettighetene og frihetene og er et nødvendig og forholdsmessig tiltak i et demokratisk samfunn for å sikre

a) den nasjonale sikkerhet,

b) forsvaret,

c) den offentlige sikkerhet,

d) forebygging, etterforskning, avsløring eller straffeforfølging av straffbare forhold eller iverksettelse av strafferettslige sanksjoner, herunder vern mot og forebygging av trusler mot den offentlige sikkerhet,

e) andre viktige mål av generell allmenn interesse for Unionen eller en medlemsstat, særlig Unionens eller en medlemsstats viktige økonomiske eller finansielle interesser, herunder valuta-, budsjett- og skattesaker, folkehelse og trygdespørsmål,

f) beskyttelse av rettsvesenets uavhengighet samt retterganger,

g) forebygging, etterforskning, avsløring og straffeforfølging av brudd på yrkesetiske regler i lovregulerte yrker,

h) en kontroll-, tilsyns- eller reguleringsfunksjon som, også midlertidig, er knyttet til utøvelse av offentlig myndighet i tilfellene nevnt i bokstav a)–e) og g),

i) vern av den registrertes interesser eller andres rettigheter og friheter,

j) håndheving av sivilrettslige krav.

2. Alle lovgivningsmessige tiltak nevnt i nr. 1 skal, når det er relevant, minst inneholde særlige bestemmelser om

a) formålene med behandlingen eller kategorier av behandling,

b) kategoriene av personopplysninger,

c) omfanget av begrensningene som er innført,

d) garantiene for å unngå misbruk eller ulovlig tilgang eller overføring,

e) spesifisering av den behandlingsansvarlige eller kategoriene av behandlingsansvarlige,

f) lagringsperioder og gjeldende garantier, idet det tas hensyn til arten, omfanget av og formålene med behandlingen eller kategoriene av behandling,

g) risikoene for de registrertes rettigheter og friheter og

h) de registrertes rett til å bli underrettet om begrensningen, med mindre dette kan skade formålet med begrensningen.

Kapittel IV

Behandlingsansvarlig og databehandler

Avsnitt 1

Generelle forpliktelser

Artikkel 24

Den behandlingsansvarliges ansvar

1. Idet det tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene av varierende sannsynlighets- og alvorlighetsgrad for fysiske personers rettigheter og friheter, skal den behandlingsansvarlige gjennomføre egnede tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen utføres i samsvar med denne forordning. Nevnte tiltak skal gjennomgås på nytt og skal oppdateres ved behov.

2. Dersom det står i et rimelig forhold til behandlingsaktivitetene, skal tiltakene nevnt i nr. 1 omfatte den behandlingsansvarliges iverksetting av egnede retningslinjer for vern av personopplysninger.

3. Overholdelse av godkjente atferdsnormer som nevnt i artikkel 40 eller godkjente sertifiseringsmekanismer som nevnt i artikkel 42 kan brukes som en faktor for å påvise at den behandlingsansvarliges forpliktelser overholdes.

Artikkel 25

Innebygd personvern og personvern som standardinnstilling

1. Idet det tas hensyn til den tekniske utviklingen, gjennomføringskostnadene, behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene av varierende sannsynlighets- og alvorlighetsgrad for fysiske personers rettigheter og friheter som behandlingen medfører, skal den behandlingsansvarlige, både på tidspunktet for fastsettelse av midlene som skal brukes i forbindelse med behandlingen, og på tidspunktet for selve behandlingen, gjennomføre egnede tekniske og organisatoriske tiltak, f.eks. pseudonymisering, utformet med sikte på en effektiv gjennomføring av prinsippene for vern av personopplysninger, f.eks. dataminimering, og for å integrere de nødvendige garantier i behandlingen for å oppfylle kravene i denne forordning og verne de registrertes rettigheter.

2. Den behandlingsansvarlige skal gjennomføre egnede tekniske og organisatoriske tiltak for å sikre at det som standard bare er personopplysninger som er nødvendige for hvert spesifikke formål med behandlingen, som behandles. Nevnte forpliktelse får anvendelse på den mengden personopplysninger som samles inn, omfanget av behandlingen av opplysningene, hvor lenge de lagres og deres tilgjengelighet. Nevnte tiltak skal særlig sikre at personopplysninger som standard ikke gjøres tilgjengelige for et ubegrenset antall fysiske personer uten den berørte personens medvirkning.

3. En godkjent sertifiseringsmekanisme i henhold til artikkel 42 kan brukes som en faktor for å påvise at kravene fastsatt i nr. 1 og 2 i denne artikkel overholdes.

Artikkel 26

Felles behandlingsansvarlige

1. Dersom to eller flere behandlingsansvarlige i fellesskap fastsetter formålene med og midlene for behandlingen, skal de være felles behandlingsansvarlige. De skal på en åpen måte fastsette sitt respektive ansvar for å overholde forpliktelsene i denne forordning, særlig med hensyn til utøvelse av den registrertes rettigheter og den plikt de har til å framlegge informasjonen nevnt i artikkel 13 og 14, ved hjelp av en ordning seg imellom, med mindre og i den grad de behandlingsansvarliges respektive ansvar er fastsatt i unionsretten eller medlemsstatenes nasjonale rett som de behandlingsansvarlige er underlagt. I ordningen kan det utpekes et kontaktpunkt for registrerte.

2. Ordningen nevnt i nr. 1 skal på behørig måte gjenspeile de felles behandlingsansvarliges respektive roller og forhold til de registrerte. Det vesentligste innholdet i ordningen skal gjøres tilgjengelig for den registrerte.

3. Uavhengig av vilkårene for ordningen nevnt i nr. 1 kan den registrerte utøve sine rettigheter i henhold til denne forordning med hensyn til og overfor hver av de behandlingsansvarlige.

Artikkel 27

Representanter for behandlingsansvarlige eller databehandlere som ikke er etablert i Unionen

1. Dersom artikkel 3 nr. 2 får anvendelse, skal den behandlingsansvarlige eller databehandleren skriftlig utpeke en representant i Unionen.

2. Forpliktelsen fastsatt i nr. 1 i denne artikkel får ikke anvendelse på

a) behandling som skjer leilighetsvis, som ikke omfatter behandling i stor skala av særlige kategorier av opplysninger som nevnt i artikkel 9 nr. 1, eller behandling av personopplysninger om straffedommer eller lovovertredelser som nevnt i artikkel 10, og som sannsynligvis ikke vil medføre en risiko for fysiske personers rettigheter og friheter, idet det tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i, eller

b) en offentlig myndighet eller et offentlig organ.

3. Representanten skal være etablert i en av medlemsstatene der de registrerte hvis personopplysninger behandles i forbindelse med tilbud av varer eller tjenester til dem eller hvis atferd monitoreres, befinner seg.

4. Den behandlingsansvarlige eller databehandleren skal gi representanten fullmakt til å være den, i tillegg til eller istedenfor den behandlingsansvarlige eller databehandleren, som især tilsynsmyndigheter og registrerte kan henvende seg til ved spørsmål om behandlingen, med henblikk på å sikre overholdelse av denne forordning.

5. Den behandlingsansvarliges eller databehandlerens utpeking av en representant skal ikke berøre eventuelle rettslige skritt mot den behandlingsansvarlige eller databehandleren selv.

Artikkel 28

Databehandler

1. Dersom en behandling skal utføres på vegne av en behandlingsansvarlig, skal den behandlingsansvarlige bare bruke databehandlere som gir tilstrekkelige garantier for at de vil gjennomføre egnede tekniske og organisatoriske tiltak som sikrer at behandlingen oppfyller kravene i denne forordning og vern av den registrertes rettigheter.

2. Databehandleren skal ikke engasjere en annen databehandler uten at det på forhånd er innhentet særlig eller generell skriftlig tillatelse til dette fra den behandlingsansvarlige. Dersom det er innhentet en generell skriftlig tillatelse, skal databehandleren underrette den behandlingsansvarlige om eventuelle planer om å benytte andre databehandlere eller skifte ut databehandlere, og dermed gi den behandlingsansvarlige muligheten til å motsette seg slike endringer.

3. Behandling utført av en databehandler skal være underlagt en avtale eller et annet rettslig dokument i henhold til unionsretten eller medlemsstatenes nasjonale rett som er bindende for databehandleren med hensyn til den behandlingsansvarlige, og der gjenstanden for og varigheten av behandlingen, behandlingens art og formål, typen personopplysninger og kategorier av registrerte samt den behandlingsansvarliges rettigheter og plikter er fastsatt. I nevnte avtale eller nevnte andre rettslige dokument skal det særlig angis at databehandleren

a) behandler personopplysningene bare på dokumenterte instrukser fra den behandlingsansvarlige, herunder med hensyn til overføring av personopplysninger til en tredjestat eller en internasjonal organisasjon, med mindre det kreves i henhold til unionsretten eller medlemsstatenes nasjonale rett som databehandleren er underlagt; i så fall skal databehandleren underrette den behandlingsansvarlige om nevnte rettslige krav før behandlingen, men mindre denne rett av hensyn til viktige allmenne interesser forbyr en slik underretning,

b) sikrer at personer som er autorisert til å behandle personopplysningene, har forpliktet seg til å behandle opplysningene konfidensielt eller er underlagt en egnet lovfestet taushetsplikt,

c) treffer alle tiltak som er nødvendig i henhold til artikkel 32,

d) overholder vilkårene nevnt i nr. 2 og 4 når det gjelder å engasjere en annen databehandler,

e) idet det tas hensyn til behandlingens art og i den grad det er mulig, bistår, ved hjelp av egnede tekniske og organisatoriske tiltak, den behandlingsansvarlige med å oppfylle vedkommendes plikt til å svare på anmodninger som den registrerte inngir med henblikk på å utøve sine rettigheter fastsatt i kapittel III,

f) bistår den behandlingsansvarlige med å sikre overholdelse av forpliktelsene i henhold til artikkel 32–36, idet det tas hensyn til behandlingens art og den informasjonen som er tilgjengelig for databehandleren,

g) etter den behandlingsansvarliges valg, sletter eller tilbakeleverer alle personopplysninger til den behandlingsansvarlige etter at tjenestene knyttet til behandlingen er levert, og sletter eksisterende kopier, med mindre unionsretten eller medlemsstatenes nasjonale rett krever at personopplysningene lagres,

h) gjør tilgjengelig for den behandlingsansvarlige all informasjon som er nødvendig for å påvise at forpliktelsene fastsatt i denne artikkel er oppfylt, samt muliggjør og bidrar til revisjoner, herunder inspeksjoner, som gjennomføres av den behandlingsansvarlige eller en annen inspektør på fullmakt fra den behandlingsansvarlige.

Når det gjelder første ledd bokstav h) skal databehandleren omgående underrette den behandlingsansvarlige dersom vedkommende mener at en instruks er i strid med denne forordning eller andre bestemmelser om vern av personopplysninger i unionsretten eller medlemsstatenes nasjonale rett.

4. Dersom en databehandler engasjerer en annen databehandler for å utføre spesifikke behandlingsaktiviteter på vegne av den behandlingsansvarlige, skal nevnte andre databehandler pålegges de samme forpliktelsene med hensyn til vern av personopplysninger som er fastsatt i avtalen eller i et annet rettslig dokument mellom den behandlingsansvarlige og databehandleren som nevnt i nr. 3, ved hjelp av en avtale eller et annet rettslig dokument i henhold til unionsretten eller medlemsstatenes nasjonale rett, der det særlig gis tilstrekkelige garantier for at det vil bli gjennomført tekniske og organisatoriske tiltak som sikrer at behandlingen oppfyller kravene i denne forordning. Dersom nevnte andre databehandler ikke oppfyller sine forpliktelser med hensyn til vern av personopplysninger, skal den opprinnelige databehandleren overfor den behandlingsansvarlige ha fullt ansvar for at nevnte andre databehandler oppfyller sine forpliktelser.

5. En databehandlers overholdelse av godkjente atferdsnormer som nevnt i artikkel 40 eller en godkjent sertifiseringsmekanisme som nevnt i artikkel 42 kan brukes som en faktor for å påvise at det foreligger tilstrekkelige garantier som nevnt i nr. 1 og 4 i denne artikkel.

6. Uten at det berører en individuell avtale mellom den behandlingsansvarlige og databehandleren, kan avtalen eller det andre rettslige dokumentet nevnt i nr. 3 og 4 i denne artikkel helt eller delvis bygge på standardavtalevilkårene nevnt i nr. 7 og 8 i denne artikkel, herunder når de inngår i en sertifisering som er gitt den behandlingsansvarlige eller databehandleren i henhold til artikkel 42 og 43.

7. Kommisjonen kan fastsette standardavtalevilkår for tilfellene nevnt i nr. 3 og 4 i denne artikkel og i samsvar med undersøkelsesprosedyren nevnt i artikkel 93 nr. 2.

8. En tilsynsmyndighet kan vedta standardavtalevilkår for tilfellene nevnt i nr. 3 og 4 i denne artikkel og i samsvar med konsistensmekanismen nevnt i artikkel 63.

9. Avtalen eller det andre rettslige dokumentet nevnt i nr. 3 og 4 skal være skriftlig, herunder elektronisk.

10. Dersom en databehandler overtrer bestemmelsene i denne forordning ved å fastsette formålene med og midlene for behandlingen, skal databehandleren anses for å være en behandlingsansvarlig med hensyn til nevnte behandling, uten at det berører artikkel 82, 83 og 84.

Artikkel 29

Behandling som utføres for den behandlingsansvarlige eller databehandleren

Databehandleren og enhver person som handler for den behandlingsansvarlige eller databehandleren, og som har tilgang til personopplysninger, skal behandle nevnte opplysninger bare etter instruks fra den behandlingsansvarlige, med mindre det kreves i henhold til unionsretten eller medlemsstatenes nasjonale rett.

Artikkel 30

Protokoller over behandlingsaktiviteter

1. Hver behandlingsansvarlig og, dersom det er relevant, den behandlingsansvarliges representant skal føre en protokoll over behandlingsaktiviteter som utføres under deres ansvar. Nevnte protokoll skal inneholde følgende informasjon:

a) navnet på og kontaktopplysningene til den behandlingsansvarlige og, dersom det er relevant, den felles behandlingsansvarlige, den behandlingsansvarliges representant og personvernombudet,

b) formålene med behandlingen,

c) en beskrivelse av kategoriene av registrerte og kategoriene av personopplysninger,

d) kategoriene av mottakere som personopplysningene er blitt eller vil bli utlevert til, herunder mottakere i tredjestater eller internasjonale organisasjoner,

e) dersom det er relevant, overføringer av personopplysninger til en tredjestat eller en internasjonal organisasjon, herunder identifikasjon av nevnte tredjestat eller internasjonale organisasjon og, ved overføringer nevnt i artikkel 49 nr. 1 annet ledd, dokumentasjon på nødvendige garantier,

f) dersom det er mulig, de planlagte tidsfristene for sletting av de forskjellige kategoriene av opplysninger,

g) dersom det er mulig, en generell beskrivelse av de tekniske og organisatoriske sikkerhetstiltakene nevnt i artikkel 32 nr. 1.

2. Hver databehandler og, dersom det er relevant, databehandlerens representant skal føre en protokoll over alle kategorier av behandlingsaktiviteter som er utført på vegne av en behandlingsansvarlig, og som skal inneholde:

a) navnet på og kontaktopplysningene til databehandleren eller databehandlerne og til hver behandlingsansvarlig som databehandleren opptrer på vegne av, samt, dersom det er relevant, den behandlingsansvarliges eller databehandlerens representant og personvernombudet,

b) kategoriene av behandling utført på vegne av hver behandlingsansvarlig,

c) dersom det er relevant, overføringer av personopplysninger til en tredjestat eller en internasjonal organisasjon, herunder identifikasjon av nevnte tredjestat eller internasjonale organisasjon og, ved overføringer nevnt i artikkel 49 nr. 1 annet ledd, dokumentasjon på nødvendige garantier,

d) dersom det er mulig, en generell beskrivelse av de tekniske og organisatoriske sikkerhetstiltakene nevnt i artikkel 32 nr. 1.

3. Protokollene nevnt i nr. 1 og 2 skal være skriftlige, herunder elektroniske.

4. Den behandlingsansvarlige eller databehandleren og, dersom det er relevant, den behandlingsansvarliges eller databehandlerens representant skal på anmodning gjøre protokollen tilgjengelig for tilsynsmyndigheten.

5. Forpliktelsene nevnt i nr. 1 og 2 gjelder ikke et foretak eller en organisasjon med færre enn 250 ansatte, med mindre behandlingen det/den utfører, sannsynligvis vil medføre en risiko for de registrertes rettigheter og friheter, behandlingen ikke skjer leilighetsvis eller omfatter særlige kategorier av opplysninger som nevnt i artikkel 9 nr. 1 eller personopplysninger om straffedommer og lovovertredelser nevnt i artikkel 10.

Artikkel 31

Samarbeid med tilsynsmyndigheten

Den behandlingsansvarlige og databehandleren og, dersom det er relevant, deres representanter skal på anmodning samarbeide med tilsynsmyndigheten i forbindelse med utførelsen av dens oppgaver.

Avsnitt 2

Personopplysningssikkerhet

Artikkel 32

Sikkerhet ved behandlingen

1. Idet det tas hensyn til den tekniske utviklingen, gjennomføringskostnadene og behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene av varierende sannsynlighets- og alvorlighetsgrad for fysiske personers rettigheter og friheter, skal den behandlingsansvarlige og databehandleren gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen, herunder blant annet, alt etter hva som er egnet,

a) pseudonymisering og kryptering av personopplysninger,

b) evne til å sikre vedvarende konfidensialitet, integritet, tilgjengelighet og robusthet i behandlingssystemene og -tjenestene,

c) evne til å gjenopprette tilgjengeligheten og tilgangen til personopplysninger i rett tid dersom det oppstår en fysisk eller teknisk hendelse,

d) en prosess for regelmessig testing, analysering og vurdering av hvor effektive behandlingens tekniske og organisatoriske sikkerhetstiltak er.

2. Ved vurderingen av egnet sikkerhetsnivå skal det særlig tas hensyn til risikoene forbundet med behandlingen, særlig som følge av utilsiktet eller ulovlig tilintetgjøring, tap, endring eller ikke-autorisert utlevering av eller tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet.

3. Overholdelse av godkjente atferdsnormer som nevnt i artikkel 40 eller en godkjent sertifiseringsmekanisme som nevnt i artikkel 42 kan brukes som en faktor for å påvise at kravene i nr. 1 i denne artikkel er oppfylt.

4. Den behandlingsansvarlige og databehandleren skal treffe tiltak for å sikre at enhver fysisk person som handler for den behandlingsansvarlige eller databehandleren, og som har tilgang til personopplysninger, behandler nevnte opplysninger bare etter instruks fra den behandlingsansvarlige, med mindre unionsretten eller medlemsstatenes nasjonale rett krever at vedkommende gjør dette.

Artikkel 33

Melding til tilsynsmyndigheten om brudd på personopplysningssikkerheten

1. Ved brudd på personopplysningssikkerheten skal den behandlingsansvarlige uten ugrunnet opphold og når det er mulig, senest 72 timer etter å ha fått kjennskap til det, melde bruddet til vedkommende tilsynsmyndighet i samsvar med artikkel 55, med mindre bruddet sannsynligvis ikke vil medføre en risiko for fysiske personers rettigheter og friheter. Dersom bruddet ikke meldes til tilsynsmyndigheten innen 72 timer, skal årsakene til forsinkelsen oppgis.

2. Etter å ha fått kjennskap til et brudd på personopplysningssikkerheten skal databehandleren uten ugrunnet opphold underrette den behandlingsansvarlige.

3. Meldingen nevnt i nr. 1 skal minst

a) beskrive arten av bruddet på personopplysningssikkerheten, herunder, når det er mulig, kategoriene av og omtrentlig antall registrerte som er berørt, og kategoriene av og omtrentlig antall registreringer av personopplysninger som er berørt,

b) inneholde navnet på og kontaktopplysningene til personvernombudet eller et annet kontaktpunkt der mer informasjon kan innhentes,

c) beskrive de sannsynlige konsekvensene av bruddet på personopplysningssikkerheten,

d) beskrive de tiltak som den behandlingsansvarlige har truffet eller foreslår å treffe for å håndtere bruddet på personopplysningssikkerheten, herunder, dersom det er relevant, tiltak for å redusere eventuelle skadevirkninger som følge av bruddet.

4. Dersom og i den grad det ikke er mulig å gi all informasjon samtidig, kan den gis trinnvis uten ytterligere ugrunnet opphold.

5. Den behandlingsansvarlige skal dokumentere ethvert brudd på personopplysningssikkerheten, herunder de faktiske forhold rundt nevnte brudd, virkningene av det og hvilke tiltak som er truffet for å utbedre det. Denne dokumentasjonen skal gjøre det mulig for tilsynsmyndigheten å kontrollere samsvar med denne artikkel.

Artikkel 34

Underretning av den registrerte om brudd på personopplysningssikkerheten

1. Dersom det er sannsynlig at bruddet på personopplysningssikkerheten vil medføre en høy risiko for fysiske personers rettigheter og friheter, skal den behandlingsansvarlige uten ugrunnet opphold underrette den registrerte om bruddet.

2. Underretningen til den registrerte nevnt i nr. 1 i denne artikkel skal inneholde en klar og tydelig beskrivelse av arten av bruddet på personopplysningssikkerheten og minst informasjonen og tiltakene nevnt i artikkel 33 nr. 3 bokstav b), c) og d).

3. Underretningen til den registrerte nevnt i nr. 1 er ikke påkrevd dersom noen av følgende vilkår er oppfylt:

a) den behandlingsansvarlige har gjennomført egnede tekniske og organisatoriske sikkerhetstiltak, og disse tiltakene er blitt anvendt på personopplysningene som er berørt av bruddet på personopplysningssikkerheten, særlig tiltak som gjør personopplysningene uleselige for enhver person som ikke har autorisert tilgang til dem, f.eks. kryptering,

b) den behandlingsansvarlige har truffet etterfølgende tiltak som sikrer at det ikke lenger er sannsynlig at den høye risikoen for de registrertes rettigheter og friheter nevnt i nr. 1 vil oppstå,

c) det vil innebære en uforholdsmessig stor innsats. Dersom dette er tilfellet, skal allmennheten isteden underrettes, eller det skal treffes et lignende tiltak som sikrer at de registrerte underrettes på en like effektiv måte.

4. Dersom den behandlingsansvarlige ikke allerede har underrettet den registrerte om bruddet på personopplysningssikkerheten, kan tilsynsmyndigheten, etter å ha vurdert sannsynligheten for at bruddet vil medføre en høy risiko, kreve at den behandlingsansvarlige gjør dette, eller beslutte at ett eller flere av vilkårene nevnt i nr. 3 er oppfylt.

Avsnitt 3

Vurdering av personvernkonsekvenser og forhåndsdrøftinger

Artikkel 35

Vurdering av personvernkonsekvenser

1. Dersom det er sannsynlig at en type behandling, særlig ved bruk av ny teknologi og idet det tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i, vil medføre en høy risiko for fysiske personers rettigheter og friheter, skal den behandlingsansvarlige før behandlingen foreta en vurdering av hvilke konsekvenser den planlagte behandlingen vil ha for personopplysningsvernet. En vurdering kan omfatte flere lignende behandlingsaktiviteter som innebærer tilsvarende høye risikoer.

2. Den behandlingsansvarlige skal rådføre seg med personvernombudet, dersom et personvernombud er utpekt, i forbindelse med utførelsen av en vurdering av personvernkonsekvenser.

3. En vurdering av personvernkonsekvenser som nevnt i nr. 1 skal særlig være nødvendig i følgende tilfeller:

a) en systematisk og omfattende vurdering av personlige aspekter ved fysiske personer som er basert på automatisert behandling, herunder profilering, og som danner grunnlag for avgjørelser som har rettsvirkning for den fysiske personen eller på lignende måte i betydelig grad påvirker den fysiske personen,

b) behandling i stor skala av særlige kategorier av opplysninger som nevnt i artikkel 9 nr. 1, eller av personopplysninger om straffedommer og lovovertredelser som nevnt i artikkel 10, eller

c) en systematisk overvåking i stor skala av et offentlig tilgjengelig område.

4. Tilsynsmyndigheten skal utarbeide og offentliggjøre en liste over hvilke typer behandlingsaktiviteter som omfattes av kravet om vurdering av personvernkonsekvenser i henhold til nr. 1. Tilsynsmyndigheten skal oversende nevnte lister til Personvernrådet nevnt i artikkel 68.

5. Tilsynsmyndigheten kan også utarbeide og offentliggjøre en liste over hvilke typer behandlingsaktiviteter det ikke kreves at det utføres en vurdering av personvernkonsekvenser for. Tilsynsmyndigheten skal oversende nevnte lister til Personvernrådet.

6. Før listene nevnt i nr. 4 og 5 godkjennes, skal vedkommende tilsynsmyndighet anvende konsistensmekanismen nevnt i artikkel 63 dersom slike lister omfatter behandlingsaktiviteter som gjelder tilbud av varer eller tjenester til registrerte eller monitorering av deres atferd i flere medlemsstater, eller som i betydelig grad kan påvirke den frie utveksling av personopplysninger i Unionen.

7. Vurderingen skal minst inneholde

a) en systematisk beskrivelse av de planlagte behandlingsaktivitetene og formålene med behandlingen, herunder, dersom det er relevant, den berettigede interessen som forfølges av den behandlingsansvarlige,

b) en vurdering av om behandlingsaktivitetene er nødvendige og står i et rimelig forhold til formålene,

c) en vurdering av risikoene for de registrertes rettigheter og friheter som nevnt i nr. 1, og

d) de planlagte tiltakene for å håndtere risikoene, herunder garantier, sikkerhetstiltak og mekanismer for å sikre vern av personopplysninger og for å påvise at denne forordning overholdes, idet det tas hensyn til de registrertes og andre berørte personers rettigheter og berettigede interesser.

8. Det skal tas behørig hensyn til de berørte behandlingsansvarliges eller databehandleres overholdelse av godkjente atferdsnormer som nevnt i artikkel 40 ved vurderingen av konsekvensene av behandlingsaktivitetene som utføres av nevnte behandlingsansvarlige eller databehandlere, særlig med henblikk på en vurdering av personvernkonsekvenser.

9. Dersom det er relevant, skal den behandlingsansvarlige innhente synspunkter på den planlagte behandlingen fra de registrerte eller deres representanter uten at det berører vernet av kommersielle eller allmenne interesser eller sikkerheten ved behandlingsaktivitetene.

10. Dersom behandling i henhold til artikkel 6 nr. 1 bokstav c) eller e) har et rettslig grunnlag i unionsretten eller retten i medlemsstaten som den behandlingsansvarlige er underlagt, og nevnte rett regulerer den eller de aktuelle spesifikke behandlingsaktivitetene, og det allerede er utført en vurdering av personvernkonsekvenser som en del av en generell konsekvensvurdering i forbindelse med vedtakelse av nevnte rettslige grunnlag, får nr. 1–7 ikke anvendelse, med mindre medlemsstatene anser det nødvendig å utføre en slik vurdering før behandlingsaktivitetene.

11. Ved behov skal den behandlingsansvarlige foreta en gjennomgåelse for å vurdere om behandlingen utføres i samsvar med vurderingen av personvernkonsekvenser, i det minste dersom risikoen som behandlingen medfører, endres.

Artikkel 36

Forhåndsdrøftinger

1. Den behandlingsansvarlige skal rådføre seg med tilsynsmyndigheten før behandlingen dersom en vurdering av personvernkonsekvenser i henhold til artikkel 35 tilsier at behandlingen vil medføre en høy risiko dersom den behandlingsansvarlige ikke treffer tiltak for å redusere risikoen.

2. Dersom tilsynsmyndigheten mener at den planlagte behandlingen nevnt i nr. 1 vil være i strid med denne forordning, særlig dersom den behandlingsansvarlige ikke i tilstrekkelig grad har identifisert eller redusert risikoen, skal tilsynsmyndigheten innen en frist på opptil åtte uker fra mottak av anmodningen om drøftinger, gi den behandlingsansvarlige og, dersom det er relevant, databehandleren skriftlige råd, og kan i den forbindelse benytte den myndighet den har i henhold til artikkel 58. Denne fristen kan forlenges med seks uker, idet det tas hensyn til den planlagte behandlingens kompleksitet. Tilsynsmyndigheten skal underrette den behandlingsansvarlige og, dersom det er relevant, databehandleren om en eventuell forlengelse, sammen med årsakene til dette, senest én måned etter å ha mottatt anmodningen om drøftinger. Disse fristene kan utsettes midlertidig fram til tilsynsmyndigheten har innhentet informasjonen den har anmodet i forbindelse med drøftingene.

3. Ved drøftinger med tilsynsmyndigheten i henhold til nr. 1 skal den behandlingsansvarlige framlegge det følgende for tilsynsmyndigheten:

a) dersom det er relevant, ansvarsfordelingen mellom den behandlingsansvarlige, de felles behandlingsansvarlige og databehandlerne som er involvert i behandlingen, særlig ved behandling i et konsern,

b) formålene med og midlene for den planlagte behandlingen,

c) tiltakene og garantiene som er fastsatt for å verne de registrertes rettigheter og friheter i henhold til denne forordning,

d) dersom det er relevant, kontaktopplysningene til personvernombudet,

e) vurderingen av personvernkonsekvenser fastsatt i artikkel 35 og

f) all annen informasjon som tilsynsmyndigheten anmoder om.

4. Medlemsstatene skal rådføre seg med tilsynsmyndigheten ved utarbeiding av forslag til lovgivning som skal vedtas av et nasjonalt parlament, eller av et reguleringstiltak som er basert på slik lovgivning, og som er knyttet til behandling.

5. Uten hensyn til nr. 1 kan det i medlemsstatenes nasjonale rett kreves at de behandlingsansvarlige skal rådføre seg med og innhente forhåndsgodkjenning fra tilsynsmyndigheten i forbindelse med en oppgave som utføres av en behandlingsansvarlig i allmennhetens interesse, herunder knyttet til sosial trygghet og folkehelse.

Avsnitt 4

Personvernombud

Artikkel 37

Utpeking av et personvernombud

1. Den behandlingsansvarlige og databehandleren skal utpeke et personvernombud når

a) behandlingen utføres av en offentlig myndighet eller et offentlig organ, bortsett fra domstoler som opptrer innenfor rammen av sin domsmyndighet,

b) den behandlingsansvarliges eller databehandlerens kjernevirksomhet består av behandlingsaktiviteter som på grunn av sin art, sitt omfang og/eller formål krever regelmessig og systematisk monitorering i stor skala av registrerte, eller

c) den behandlingsansvarliges eller databehandlerens kjernevirksomhet består av behandling i stor skala av særlige kategorier av opplysninger i henhold til artikkel 9 samt personopplysninger om straffedommer og lovovertredelser som nevnt i artikkel 10.

2. Et konsern kan utnevne ett personvernombud, forutsatt at alle virksomhetene har enkel tilgang til vedkommende.

3. Dersom den behandlingsansvarlige eller databehandleren er en offentlig myndighet eller et offentlig organ, kan det utpekes ett personvernombud for flere av nevnte myndigheter eller organer, idet det tas hensyn til deres organisasjonsstruktur og størrelse.

4. I andre tilfeller enn dem nevnt i nr. 1 kan eller, dersom det kreves i unionsretten eller i medlemsstatenes nasjonale rett, skal den behandlingsansvarlige eller databehandleren eller sammenslutninger og andre organer som representerer kategorier av behandlingsansvarlige eller databehandlere, utpeke et personvernombud. Personvernombudet kan handle på vegne av nevnte sammenslutninger og andre organer som representerer behandlingsansvarlige eller databehandlere.

5. Personvernombudet skal utpekes på grunnlag av faglige kvalifikasjoner og særlig på grunnlag av dybdekunnskap om personvernlovgivning og praksis på området samt evne til å utføre oppgavene nevnt i artikkel 39.

6. Personvernombudet kan være en ansatt hos den behandlingsansvarlige eller databehandleren eller utføre oppgavene på grunnlag av en tjenesteavtale.

7. Den behandlingsansvarlige eller databehandleren skal offentliggjøre kontaktopplysningene til personvernombudet og meddele disse til tilsynsmyndigheten.

Artikkel 38

Personvernombudets stilling

1. Den behandlingsansvarlige og databehandleren skal sikre at personvernombudet på riktig måte og i rett tid involveres i alle spørsmål som gjelder vern av personopplysninger.

2. Den behandlingsansvarlige og databehandleren skal støtte personvernombudet i forbindelse med utførelsen av oppgavene nevnt i artikkel 39 ved å stille til rådighet de ressurser som er nødvendig for å utføre nevnte oppgaver, samt gi tilgang til personopplysninger og behandlingsaktiviteter og gjøre det mulig for vedkommende å opprettholde sin dybdekunnskap.

3. Den behandlingsansvarlige og databehandleren skal sikre at personvernombudet ikke mottar instrukser om utførelsen av nevnte oppgaver. Vedkommende skal ikke avsettes eller straffes av den behandlingsansvarlige eller databehandleren for å utføre sine oppgaver. Personvernombudet skal rapportere direkte til det høyeste ledelsesnivået hos den behandlingsansvarlige eller databehandleren.

4. De registrerte kan kontakte personvernombudet angående alle spørsmål om behandling av deres personopplysninger og om utøvelsen av de rettighetene de har i henhold til denne forordning.

5. Personvernombudet skal være bundet av taushetsplikt eller en plikt til konfidensiell behandling av opplysninger ved utførelse av sine oppgaver i samsvar med unionsretten eller medlemsstatenes nasjonale rett.

6. Personvernombudet kan utføre andre oppgaver og ha andre plikter. Den behandlingsansvarlige eller databehandleren skal sikre at nevnte oppgaver eller plikter ikke fører til en interessekonflikt.

Artikkel 39

Personvernombudets oppgaver

1. Personvernombudet skal minst ha følgende oppgaver:

a) informere og gi råd til den behandlingsansvarlige eller databehandleren og de ansatte som utfører behandlingen, om de forpliktelsene de har i henhold til denne forordning, og i henhold til andre av Unionens eller medlemsstatenes bestemmelser om vern av personopplysninger,

b) kontrollere overholdelsen av denne forordning, av andre av Unionens eller medlemsstatenes personvernregler og den behandlingsansvarliges eller databehandlerens personvernretningslinjer, herunder fordeling av ansvar, holdningsskapende tiltak og opplæring av personellet som er involvert i behandlingsaktivitetene, og tilhørende revisjoner,

c) på anmodning gi råd om vurderingen av personvernkonsekvenser og kontrollere gjennomføringen av den i henhold til artikkel 35,

d) samarbeide med tilsynsmyndigheten,

e) fungere som kontaktpunkt for tilsynsmyndigheten ved spørsmål om behandlingen, herunder forhåndsdrøftingene nevnt i artikkel 36, og ved behov rådføre seg med tilsynsmyndigheten om eventuelle andre spørsmål.

2. Personvernombudet skal ved utførelsen av sine oppgaver ta behørig hensyn til risikoene forbundet med behandlingsaktivitetene, idet det tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i.

Avsnitt 5

Atferdsnormer og sertifisering

Artikkel 40

Atferdsnormer

1. Medlemsstatene, tilsynsmyndighetene, Personvernrådet og Kommisjonen skal oppmuntre til at det utarbeides atferdsnormer som skal bidra til riktig anvendelse av denne forordning, idet det tas hensyn til de særlige forholdene i de forskjellige behandlingssektorene og de særlige behovene til svært små, små og mellomstore bedrifter.

2. Sammenslutninger og andre organer som representerer kategorier av behandlingsansvarlige eller databehandlere, kan utarbeide atferdsnormer, eller endre eller utvide omfanget av slike regler, for å angi anvendelsen av denne forordning nærmere, f.eks. med hensyn til

a) rettferdig og åpen behandling,

b) de berettigede interessene som forfølges av behandlingsansvarlige i bestemte sammenhenger,

c) innsamling av personopplysninger,

d) pseudonymisering av personopplysninger,

e) informasjonen som gis allmennheten og de registrerte,

f) utøvelsen av registrertes rettigheter,

g) informasjonen som gis til barn, og vern av barn, samt måten samtykke fra de personer som har foreldreansvar for barn, innhentes på,

h) tiltakene og framgangsmåtene nevnt i artikkel 24 og 25 og tiltakene for å ivareta sikkerheten ved behandlingen nevnt i artikkel 32,

i) melding av brudd på personopplysningssikkerheten til tilsynsmyndigheter og underretning av registrerte om nevnte brudd,

j) overføring av personopplysninger til tredjestater eller internasjonale organisasjoner eller

k) utenrettslige prosesser og andre mekanismer for tvisteløsning mellom behandlingsansvarlige og registrerte med hensyn til behandling, uten at det berører de registrertes rettigheter i henhold til artikkel 77 og 79.

3. Atferdsnormer som er godkjent i henhold til nr. 5 i denne artikkel, og som har allmenn gyldighet i henhold til nr. 9 i denne artikkel, kan, i tillegg til at behandlingsansvarlige eller databehandlere som omfattes av denne forordning, overholder dem, også overholdes av behandlingsansvarlige eller databehandlere som ikke omfattes av denne forordning i henhold til artikkel 3, med henblikk på å gi nødvendige garantier i forbindelse med overføring av personopplysninger til tredjestater eller internasjonale organisasjoner i henhold til vilkårene nevnt i artikkel 46 nr. 2 bokstav e). Nevnte behandlingsansvarlige eller databehandlere skal, gjennom avtaler eller andre rettslig bindende virkemidler, inngå bindende og håndhevbare forpliktelser om å anvende slike nødvendige garantier, herunder med hensyn til de registrertes rettigheter.

4. Atferdsnormene nevnt i nr. 2 i denne artikkel skal inneholde mekanismer som gjør det mulig for organet nevnt i artikkel 41 nr. 1 å utføre det obligatoriske tilsynet med at behandlingsansvarlige eller databehandlere som forplikter seg til å anvende atferdsnormene, overholder dem, uten at det berører oppgavene og myndigheten til tilsynsmyndighetene som har kompetanse i henhold til artikkel 55 eller 56.

5. Sammenslutninger og andre organer nevnt i nr. 2 i denne artikkel som har til hensikt å utarbeide atferdsnormer eller endre eller utvide eksisterende atferdsnormer, skal framlegge utkastet til, endringen eller utvidelsen av atferdsnormene for tilsynsmyndigheten som har kompetanse i henhold til artikkel 55. Tilsynsmyndigheten skal avgi uttalelse om hvorvidt utkastet til, endringen eller utvidelsen av atferdsnormene oppfyller kravene i denne forordning, og skal godkjenne nevnte utkast til, endring eller utvidelse av atferdsnormene dersom den finner at de inneholder tilstrekkelige og nødvendige garantier.

6. Dersom utkastet til, endringen eller utvidelsen av atferdsnormene godkjennes i samsvar med nr. 5, og dersom de berørte atferdsnormene ikke gjelder behandlingsaktiviteter i flere medlemsstater, skal tilsynsmyndigheten registrere og offentliggjøre atferdsnormene.

7. Dersom et utkast til atferdsnormer gjelder behandlingsaktiviteter i flere medlemsstater, skal tilsynsmyndigheten som har kompetanse i henhold til artikkel 55, før utkastet til, endringen eller utvidelsen av atferdsnormene godkjennes, oversende dem i henhold til framgangsmåten nevnt i artikkel 63 til Personvernrådet, som skal avgi uttalelse om hvorvidt utkastet til, endringen eller utvidelsen av atferdsnormene oppfyller kravene i denne forordning eller, i tilfellet nevnt i nr. 3 i denne artikkel, inneholder nødvendige garantier.

8. Dersom uttalelsen nevnt i nr. 7 bekrefter at utkastet til, endringen eller utvidelsen av atferdsnormene er i samsvar med denne forordning eller, i tilfellet nevnt i nr. 3, inneholder nødvendige garantier, skal Personvernrådet framlegge sin uttalelse for Kommisjonen.

9. Kommisjonen kan ved hjelp av gjennomføringsrettsakter beslutte at de godkjente atferdsnormene, endringen eller utvidelsen av dem som den har mottatt i henhold til nr. 8 i denne artikkel, har allmenn gyldighet i Unionen. Disse gjennomføringsrettsaktene skal vedtas i samsvar med undersøkelsesprosedyren fastsatt i artikkel 93 nr. 2.

10. Kommisjonen skal sørge for at de godkjente atferdsnormene som det er besluttet har allmenn gyldighet i samsvar med nr. 9, offentliggjøres på egnet måte.

11. Personvernrådet skal samle alle godkjente atferdsnormer, endringer og utvidelser av dem i et register, og skal gjøre dem offentlig tilgjengelig på egnet måte.

Artikkel 41

Kontroll av godkjente atferdsnormer

1. Uten at det berører vedkommende tilsynsmyndighets oppgaver og myndighet i henhold til artikkel 57 og 58, kan tilsynet med at atferdsnormene overholdes i henhold til artikkel 40 utføres av et organ med et egnet nivå av dybdekunnskap om temaet for atferdsnormene og som er akkreditert for dette formål av vedkommende tilsynsmyndighet.

2. Et organ som nevnt i nr. 1 kan akkrediteres til å føre tilsyn med overholdelsen av atferdsnormer dersom nevnte organ har

a) vist at det er uavhengig og har dybdekunnskap om temaet for atferdsnormene på en måte som oppfyller vedkommende tilsynsmyndighets krav,

b) fastsatt framgangsmåter som gjør det mulig å vurdere om berørte behandlingsansvarlige og databehandlere oppfyller vilkårene for anvendelse av atferdsnormene, føre tilsyn med at de overholdes og foreta regelmessige gjennomgåelser av atferdsnormenes virkemåte,

c) fastsatt framgangsmåter og rutiner for behandling av klager på overtredelser av atferdsnormene eller måten de er blitt eller blir gjennomført på av den behandlingsansvarlige eller databehandleren, og gjøre nevnte framgangsmåter og rutiner åpne for de registrerte og allmennheten, og

d) vist, på en måte som oppfyller vedkommende tilsynsmyndighets krav, at oppgavene eller pliktene ikke fører til en interessekonflikt.

3. Vedkommende tilsynsmyndighet skal legge fram et utkast til vilkår for akkreditering av et organ som nevnt i nr. 1 i denne artikkel for Personvernrådet i henhold til konsistensmekanismen nevnt i artikkel 63.

4. Uten at det berører vedkommende tilsynsmyndighets oppgaver og myndighet og bestemmelsene i kapittel VIII, skal et organ som nevnt i nr. 1 i denne artikkel, under forutsetning av nødvendige garantier, treffe egnede tiltak i tilfelle en behandlingsansvarlig eller databehandler ikke overholder atferdsnormene, herunder suspendere eller utelukke den berørte behandlingsansvarlige eller databehandleren fra atferdsnormene. Det skal underrette vedkommende tilsynsmyndighet om nevnte tiltak og årsakene til at de er truffet.

5. Vedkommende tilsynsmyndighet skal tilbakekalle akkrediteringen av et organ som nevnt i nr. 1 dersom vilkårene for akkreditering ikke eller ikke lenger oppfylles, eller dersom tiltak som er truffet av organet, er i strid med bestemmelsene i denne forordning.

6. Denne artikkel får ikke anvendelse på behandling utført av offentlige myndigheter og organer.

Artikkel 42

Sertifisering

1. Medlemsstatene, tilsynsmyndighetene, Personvernrådet og Kommisjonen skal, særlig på unionsplan, oppmuntre til at det opprettes mekanismer for personvernsertifisering samt personvernsegl og -merker med det som mål å påvise at de behandlingsansvarliges og databehandlernes behandlingsaktiviteter oppfyller kravene i denne forordning. Det skal tas hensyn til de særlige behovene til svært små, små og mellomstore bedrifter.

2. Mekanismer for personvernsertifisering, personvernsegl eller -merker som er godkjent i henhold til nr. 5 i denne artikkel, kan, i tillegg til at de overholdes av behandlingsansvarlige eller databehandlere som omfattes av denne forordning, fastsettes med det formål å påvise at det foreligger nødvendige garantier gitt av behandlingsansvarlige eller databehandlere som ikke omfattes av denne forordning i henhold til artikkel 3, i forbindelse med overføring av personopplysninger til tredjestater eller internasjonale organisasjoner på vilkårene nevnt i artikkel 46 nr. 2 bokstav f). Nevnte behandlingsansvarlige eller databehandlere skal, gjennom avtaler eller andre rettslig bindende virkemidler, inngå bindende og håndhevbare forpliktelser om å anvende nevnte nødvendige garantier, herunder for å ivareta de registrertes rettigheter.

3. Sertifiseringen skal være frivillig og tilgjengelig gjennom en åpen prosess.

4. En sertifisering i henhold til denne artikkel begrenser ikke den behandlingsansvarliges eller databehandlerens ansvar for å oppfylle kravene i denne forordning, og berører ikke oppgavene og myndigheten til tilsynsmyndighetene som har kompetanse i henhold til artikkel 55 eller 56.

5. En sertifisering i henhold til denne artikkel skal utstedes av sertifiseringsorganene nevnt i artikkel 43 eller av vedkommende tilsynsmyndighet på grunnlag av kriterier som er godkjent av nevnte vedkommende myndighet i henhold til artikkel 58 nr. 3, eller av Personvernrådet i henhold til artikkel 63. Dersom kriteriene er godkjent av Personvernrådet, kan dette føre til en felles sertifisering – det europeiske personvernsegl.

6. Den behandlingsansvarlige eller databehandleren som forelegger sin behandling for sertifiseringsmekanismen, skal gi sertifiseringsorganet nevnt i artikkel 43 eller, dersom det er relevant, vedkommende tilsynsmyndighet all informasjon samt tilgang til de behandlingsaktivitetene som er nødvendig for å gjennomføre sertifiseringen.

7. Sertifiseringen skal utstedes til en behandlingsansvarlig eller databehandler for en periode på høyst tre år og kan fornyes på samme vilkår, forutsatt at relevante krav fortsatt er oppfylt. Sertifiseringen skal tilbakekalles av sertifiseringsorganene nevnt i artikkel 43 eller av vedkommende tilsynsmyndighet, etter hva som er relevant, dersom kravene til sertifisering ikke lenger er oppfylt.

8. Personvernrådet skal samle alle sertifiseringsmekanismer og personvernsegl og -merker i et register, og skal gjøre dem offentlig tilgjengelig på egnet måte.

Artikkel 43

Sertifiseringsorganer

1. Uten at det berører vedkommende tilsynsmyndigheters oppgaver og myndighet i henhold til artikkel 57 og 58, skal sertifiseringsorganer som har et egnet nivå av dybdekunnskap om vern av personopplysninger, etter å ha underrettet tilsynsmyndigheten slik at den kan utøve sin myndighet i henhold til artikkel 58 nr. 2 bokstav h) når det er nødvendig, utstede og fornye sertifiseringen. Medlemsstatene skal sikre at nevnte sertifiseringsorganer akkrediteres av en eller begge av følgende:

a) tilsynsmyndigheten som har kompetanse i henhold til artikkel 55 eller 56,

b) det nasjonale akkrediteringsorganet som er utpekt i samsvar med europaparlaments- og rådsforordning (EF) nr. 765/2008[23] i samsvar med EN-ISO/IEC 17065/2012, og med tilleggskravene fastsatt av tilsynsmyndigheten som har kompetanse i henhold til artikkel 55 eller 56.

2. Sertifiseringsorganer nevnt i nr. 1 skal akkrediteres i samsvar med nevnte nummer bare dersom de har

a) vist at de er uavhengige og har dybdekunnskap om sertifiseringens innhold på en måte som oppfyller vedkommende tilsynsmyndighets krav,

b) forpliktet seg til å overholde kriteriene nevnt i artikkel 42 nr. 5 og som er godkjent av tilsynsmyndigheten som har kompetanse i henhold til artikkel 55 eller 56, eller av Personvernrådet i henhold til artikkel 63,

c) fastsatt framgangsmåter for utstedelse, regelmessig gjennomgåelse og tilbakekalling av en personvernsertifisering og personvernsegl og -merker,

d) fastsatt framgangsmåter og rutiner for behandling av klager på overtredelser av sertifiseringen eller måten sertifiseringen er blitt eller blir gjennomført på av den behandlingsansvarlige eller databehandleren, og gjøre nevnte framgangsmåter og rutiner åpne for de registrerte og allmennheten, og

e) vist, på en måte som oppfyller vedkommende tilsynsmyndighets krav, at deres oppgaver og plikter ikke fører til en interessekonflikt.

3. Akkrediteringen av sertifiseringsorganer som nevnt i nr. 1 og 2 i denne artikkel skal skje på grunnlag av kriterier som er godkjent av tilsynsmyndigheten som har kompetanse i henhold til artikkel 55 eller 56, eller av Personvernrådet i henhold til artikkel 63. Ved akkreditering i henhold til nr. 1 bokstav b) i denne artikkel skal nevnte krav utfylle kravene fastsatt i forordning (EF) nr. 765/2008 og de tekniske reglene som beskriver sertifiseringsorganenes metoder og framgangsmåter.

4. Sertifiseringsorganene nevnt i nr. 1 skal ha ansvar for å utføre en egnet vurdering som fører til sertifisering eller tilbakekalling av nevnte sertifisering, uten at det berører den behandlingsansvarliges eller databehandlerens ansvar for å overholde kravene i denne forordning. Akkrediteringen skal utstedes for en periode på høyst fem år og kan fornyes på samme vilkår, forutsatt at sertifiseringsorganet oppfyller kravene i denne artikkel.

5. Sertifiseringsorganene nevnt i nr. 1 skal underrette vedkommende tilsynsmyndighet om årsakene til at sertifiseringen det er anmodet om, er utstedt eller tilbakekalt.

6. Kravene nevnt i nr. 3 i denne artikkel og kriteriene nevnt i artikkel 42 nr. 5 skal offentliggjøres av tilsynsmyndigheten i et lett tilgjengelig format. Tilsynsmyndighetene skal også oversende nevnte krav og kriterier til Personvernrådet. Personvernrådet skal samle sertifiseringsmekanismer og personvernsegl i et register, og skal gjøre dem offentlig tilgjengelig på egnet måte.

7. Uten at det berører kapittel VIII, skal vedkommende tilsynsmyndighet eller det nasjonale akkrediteringsorganet trekke tilbake en akkreditering av et sertifiseringsorgan i henhold til nr. 1 i denne artikkel dersom vilkårene for akkrediteringen ikke eller ikke lenger overholdes, eller dersom tiltak truffet av sertifiseringsorganet er i strid med denne forordning.

8. Kommisjonen skal gis myndighet til å vedta delegerte rettsakter i samsvar med artikkel 92 for å fastsette de krav som skal tas i betraktning med henblikk på mekanismene for personvernsertifisering nevnt i artikkel 42 nr. 1.

9. Kommisjonen kan vedta gjennomføringsrettsakter der det fastsettes tekniske standarder for sertifiseringsmekanismer og personvernsegl og -merker, og mekanismer for å fremme og anerkjenne nevnte sertifiseringsmekanismer, segl og merker. Disse gjennomføringsrettsaktene skal vedtas i samsvar med undersøkelsesprosedyren nevnt i artikkel 93 nr. 2.

Kapittel V

Overføring av personopplysninger til tredjestater eller internasjonale organisasjoner

Artikkel 44

Generelt prinsipp for overføring

Enhver overføring av personopplysninger som behandles eller skal behandles etter overføring til en tredjestat eller til en internasjonal organisasjon, skal finne sted bare dersom den behandlingsansvarlige og databehandleren, med forbehold for de andre bestemmelsene i denne forordning, oppfyller vilkårene i dette kapittel, herunder for videreoverføring av personopplysninger fra tredjestaten eller en internasjonal organisasjon til en annen tredjestat eller en annen internasjonal organisasjon. Alle bestemmelser i dette kapittel skal få anvendelse for å sikre at det nivået for vern av fysiske personer som garanteres i denne forordning, ikke undergraves.

Artikkel 45

Overføringer på grunnlag av en beslutning om tilstrekkelig beskyttelsesnivå

1. Personopplysninger kan overføres til en tredjestat eller en internasjonal organisasjon når Kommisjonen har fastslått at tredjestaten, et territorium eller en eller flere angitte sektorer i nevnte tredjestat eller den aktuelle internasjonale organisasjonen sikrer et tilstrekkelig beskyttelsesnivå. En slik overføring skal ikke kreve en særlig godkjenning.

2. Ved vurderingen av om beskyttelsesnivå er tilstrekkelig skal Kommisjonen særlig ta hensyn til det følgende:

a) prinsippet om rettsstaten, respekt for menneskerettighetene og grunnleggende friheter, relevant lovgivning, både generell og sektorbestemt, herunder om offentlig sikkerhet, forsvar, nasjonal sikkerhet og strafferett og offentlige myndigheters tilgang til personopplysninger samt gjennomføring av nevnte lovgivning, regler om vern av personopplysninger, regler om yrkesutøvelse og sikkerhetstiltak, herunder regler om videreoverføring av personopplysninger til en annen tredjestat eller internasjonal organisasjon som gjelder i nevnte stat eller internasjonale organisasjon, rettspraksis samt effektive og håndhevbare rettigheter for de registrerte og rett til effektiv administrativ og rettslig prøving for de registrerte hvis personopplysninger overføres,

b) om det finnes en eller flere velfungerende, uavhengige tilsynsmyndigheter i tredjestaten eller som en internasjonal organisasjon er underlagt, med ansvar for å sikre og håndheve at reglene for vern av personopplysninger overholdes, herunder tilstrekkelig håndhevingsmyndighet, for å bistå og gi råd til de registrerte når de utøver sine rettigheter, og for samarbeid med tilsynsmyndighetene i medlemsstatene, og

c) de internasjonale forpliktelsene som den berørte tredjestaten eller den internasjonale organisasjonen har påtatt seg, eller andre forpliktelser som følger av rettslig bindende konvensjoner eller instrumenter og av tredjestatens eller organisasjonens deltaking i multilaterale eller regionale systemer, særlig i forbindelse med vern av personopplysninger.

3. Etter å ha vurdert om beskyttelsesnivået er tilstrekkelig, kan Kommisjonen ved hjelp av gjennomføringsrettsakter beslutte at en tredjestat, et territorium eller en eller flere angitte sektorer i en tredjestat eller en internasjonal organisasjon sikrer et tilstrekkelig beskyttelsesnivå i henhold til nr. 2 i denne artikkel. I gjennomføringsrettsaktene skal det fastsettes en mekanisme for regelmessig gjennomgåelse, som skal foretas minst hvert fjerde år, der det skal tas hensyn til all relevant utvikling i tredjestaten eller den internasjonale organisasjonen. I gjennomføringsrettsakten skal dens geografiske og sektorvise virkeområde angis samt, dersom det er relevant, den eller de tilsynsmyndigheter som er nevnt i nr. 2 bokstav b) i denne artikkel. Gjennomføringsrettsakten skal vedtas i samsvar med undersøkelsesprosedyren nevnt i artikkel 93 nr. 2.

4. Kommisjonen skal fortløpende overvåke utviklingen i tredjestater og internasjonale organisasjoner som kan påvirke virkemåten til beslutninger truffet i henhold til nr. 3 i denne artikkel samt beslutninger truffet på grunnlag av artikkel 25 nr. 6 i direktiv 95/46/EF.

5. Når tilgjengelig informasjon, særlig etter gjennomgåelsen nevnt i nr. 3 i denne artikkel, viser at en tredjestat, et territorium eller en eller flere angitte sektorer i en tredjestat eller en internasjonal organisasjon ikke lenger sikrer et tilstrekkelig beskyttelsesnivå i henhold til nr. 2 i denne artikkel, skal Kommisjonen i det omfang som er nødvendig, oppheve, endre eller midlertidig oppheve beslutningen nevnt i nr. 3 i denne artikkel ved hjelp av gjennomføringsrettsakter uten tilbakevirkende kraft. Disse gjennomføringsrettsaktene skal vedtas i samsvar med undersøkelsesprosedyren nevnt i artikkel 93 nr. 2.

I behørig begrunnede, tvingende hastetilfeller skal Kommisjonen vedta gjennomføringsrettsakter med umiddelbar virkning i samsvar med prosedyren nevnt i artikkel 93 nr. 3.

6. Kommisjonen skal innlede samråd med tredjestaten eller den internasjonale organisasjonen med henblikk på å avhjelpe situasjonen som har gitt opphav til beslutningen truffet i henhold til nr. 5.

7. En beslutning i henhold til nr. 5 i denne artikkel berører ikke overføringer av personopplysninger til tredjestaten, et territorium eller en eller flere angitte sektorer i nevnte tredjestat eller den aktuelle internasjonale organisasjonen som utføres i henhold til artikkel 46–49.

8. Kommisjonen skal i Den europeiske unions tidende og på sitt nettsted offentliggjøre en liste over tredjestatene, territoriene og de angitte sektorene i en tredjestat samt internasjonale organisasjoner som den har fastslått ikke eller ikke lenger sikrer et tilstrekkelig beskyttelsesnivå.

9. Beslutninger truffet av Kommisjonen på grunnlag av artikkel 25 nr. 6 i direktiv 95/46/EF skal fortsette å gjelde fram til de endres, erstattes eller oppheves ved en kommisjonsbeslutning truffet i samsvar med nr. 3 eller 5 i denne artikkel.

Artikkel 46

Overføringer som omfattes av nødvendige garantier

1. Dersom det ikke foreligger en beslutning i henhold til artikkel 45 nr. 3, kan en behandlingsansvarlig eller databehandler overføre personopplysninger til en tredjestat eller en internasjonal organisasjon bare dersom den behandlingsansvarlige eller databehandleren har gitt nødvendige garantier, og under forutsetning av at de registrerte har håndhevbare rettigheter og effektive rettsmidler.

2. De nødvendige garantiene nevnt i nr. 1 kan uten krav om særlig godkjenning fra en tilsynsmyndighet sikres ved hjelp av

a) et rettslig bindende og håndhevbart instrument mellom offentlige myndigheter eller organer,

b) bindende virksomhetsregler i samsvar med artikkel 47,

c) standard personvernbestemmelser vedtatt av Kommisjonen i samsvar med undersøkelsesprosedyren nevnt i artikkel 93 nr. 2,

d) standard personvernbestemmelser vedtatt av en tilsynsmyndighet og godkjent av Kommisjonen i samsvar med undersøkelsesprosedyren nevnt i artikkel 93 nr. 2,

e) godkjente atferdsnormer i henhold til artikkel 40 sammen med bindende og håndhevbare forpliktelser for den behandlingsansvarlige eller databehandleren i tredjestaten om å anvende nødvendige garantier, herunder med hensyn til de registrertes rettigheter, eller

f) en godkjent sertifiseringsmekanisme i henhold til artikkel 42 sammen med bindende og håndhevbare forpliktelser for den behandlingsansvarlige eller databehandleren i tredjestaten om å anvende nødvendige garantier, herunder med hensyn til de registrertes rettigheter.

3. Forutsatt godkjenning fra vedkommende tilsynsmyndighet kan de nødvendige garantiene nevnt i nr. 1 også sikres, særlig ved hjelp av

a) avtalevilkår mellom den behandlingsansvarlige eller databehandleren og den behandlingsansvarlige, databehandleren eller mottakeren av personopplysninger i tredjestaten eller den internasjonale organisasjonen, eller

b) bestemmelser som skal innføres i administrative ordninger mellom offentlige myndigheter eller organer, og som omfatter håndhevbare og effektive rettigheter for de registrerte.

4. Tilsynsmyndigheten skal anvende konsistensmekanismen nevnt i artikkel 63 i tilfellene nevnt i nr. 3 i denne artikkel.

5. Godkjenninger gitt av en medlemsstat eller tilsynsmyndighet på grunnlag av artikkel 26 nr. 2 i direktiv 95/46/EF skal fortsette å gjelde fram til de ved behov endres, erstattes eller oppheves av nevnte tilsynsmyndighet. Beslutninger truffet av Kommisjonen på grunnlag av artikkel 26 nr. 4 i direktiv 95/46/EF skal fortsette å gjelde fram til de ved behov endres, erstattes eller oppheves ved en kommisjonsbeslutning truffet i samsvar med nr. 2 i denne artikkel.

Artikkel 47

Bindende virksomhetsregler

1. Vedkommende tilsynsmyndighet skal godkjenne bindende virksomhetsregler i samsvar med konsistensmekanismen fastsatt i artikkel 63, forutsatt at de

a) er rettslig bindende og får anvendelse på og håndheves av hvert berørte foretak i konsernet eller gruppen av foretak som utøver en felles økonomisk virksomhet, herunder deres ansatte,

b) uttrykkelig gir de registrerte håndhevbare rettigheter med hensyn til behandling av deres personopplysninger og

c) oppfyller kravene fastsatt i nr. 2.

2. De bindende virksomhetsreglene nevnt i nr. 1 skal minst angi

a) strukturen og kontaktopplysninger til konsernet eller gruppen av foretak som utøver en felles økonomisk virksomhet, og hvert av dets/dens medlemmer,

b) overføringene eller rekken av overføringer av opplysninger, herunder kategorier av personopplysninger, behandlingstype og -formål, typen av berørte registrerte samt angivelse av den aktuelle tredjestaten eller de aktuelle tredjestatene,

c) reglenes rettslig bindende art, både internt og eksternt,

d) anvendelsen av de allmenne prinsippene for vern av personopplysninger, særlig formålsbegrensning, dataminimering, begrenset lagringstid, datakvalitet, innebygd personvern og personvern som standardinnstilling, rettslig grunnlag for behandlingen, behandling av særlige kategorier av personopplysninger, tiltak for å ivareta datasikkerheten og krav med hensyn til videreoverføring til organer som ikke er bundet av de bindende virksomhetsreglene,

e) rettighetene til registrerte i forbindelse med behandlingen samt midler for å utøve nevnte rettigheter, herunder retten til ikke å være gjenstand for avgjørelser som utelukkende er truffet på grunnlag av automatisert behandling, herunder profilering i samsvar med artikkel 22, retten til å klage til vedkommende tilsynsmyndighet og til vedkommende domstoler i medlemsstatene i samsvar med artikkel 79 samt til å motta erstatning og, dersom det er relevant, godtgjøring for brudd på de bindende virksomhetsreglene,

f) at den behandlingsansvarlige eller databehandleren som er etablert på territoriet til en medlemsstat, påtar seg ansvaret dersom et berørt foretak som ikke er etablert i Unionen, bryter de bindende virksomhetsreglene; den behandlingsansvarlige eller databehandleren skal fritas for nevnte ansvar, helt eller delvis, bare dersom vedkommende beviser at nevnte foretak ikke er ansvarlig for hendelsen som forvoldte skaden,

g) hvordan informasjonen om de bindende virksomhetsreglene, særlig om bestemmelsene nevnt i bokstav d), e) og f) i dette nummer, gis til de registrerte i tillegg til informasjonen nevnt i artikkel 13 og 14,

h) oppgavene til et personvernombud som er utpekt i samsvar med artikkel 37, eller enhver annen person eller enhet med ansvar for å kontrollere at de bindende virksomhetsreglene overholdes i konsernet eller gruppen av foretak som utøver en felles økonomisk virksomhet, samt oppfølging av opplæring og håndtering av klager,

i) framgangsmåtene for å inngi klage,

j) mekanismene i konsernet eller gruppen av foretak som utøver en felles økonomisk virksomhet, for å kontrollere at de bindende virksomhetsreglene overholdes. Nevnte mekanismer skal omfatte personvernrevisjoner og metoder for å sikre korrigerende tiltak for å verne de registrertes rettigheter. Resultatene av en slik kontroll bør meddeles personen eller enheten nevnt i bokstav h) og styret i foretaket som utøver kontroll i et konsern, eller i gruppen av foretak som utøver en felles økonomisk virksomhet, og bør på anmodning være tilgjengelig for vedkommende tilsynsmyndighet,

k) mekanismene for rapportering og registrering av endringer i reglene og for rapportering av nevnte endringer til tilsynsmyndigheten,

l) mekanismene for samarbeid med tilsynsmyndigheten for å sikre at alle foretak i konsernet eller gruppen av foretak som utøver en felles økonomisk virksomhet, overholder reglene, særlig ved å gjøre resultatene av kontrollen av tiltakene nevnt i bokstav j) tilgjengelig for tilsynsmyndigheten,

m) mekanismene for rapportering til vedkommende tilsynsmyndighet av eventuelle lovfestede krav som et foretak i konsernet eller gruppen av foretak som utøver en felles økonomisk virksomhet, er underlagt i en tredjestat, og som sannsynligvis vil ha en betydelig negativ virkning på garantiene fastsatt i de bindende virksomhetsreglene, og

n) egnet opplæring om personvern for personell som har permanent eller regelmessig tilgang til personopplysninger.

3. Kommisjonen kan fastsette formatet og framgangsmåtene for utveksling av informasjon mellom behandlingsansvarlige, databehandlere og tilsynsmyndigheter om bindende virksomhetsregler som omhandlet i denne artikkel. Disse gjennomføringsrettsaktene skal vedtas i samsvar med undersøkelsesprosedyren fastsatt i artikkel 93 nr. 2.

Artikkel 48

Overføring eller utlevering som ikke er tillatt i henhold til unionsretten

Enhver dom avsagt av en domstol eller rett og ethvert vedtak gjort av en forvaltningsmyndighet i en tredjestat som krever at en behandlingsansvarlig eller databehandler skal overføre eller utlevere personopplysninger, kan bare anerkjennes eller håndheves dersom den/det bygger på en internasjonal avtale, f.eks. en traktat om gjensidig juridisk bistand mellom den anmodende tredjestat og Unionen eller en medlemsstat, uten at det berører andre grunner til overføring i henhold til dette kapittel.

Artikkel 49

Unntak for særlige situasjoner

1. Dersom det ikke foreligger en beslutning om tilstrekkelig beskyttelsesnivå i henhold til artikkel 45 nr. 3 eller nødvendige garantier i henhold til artikkel 46, herunder bindende virksomhetsregler, skal en overføring eller en rekke av overføringer av personopplysninger til en tredjestat eller en internasjonal organisasjon bare finne sted på et av følgende vilkår:

a) den registrerte uttrykkelig har samtykket til den foreslåtte overføringen etter å ha blitt informert om de mulige risikoene nevnte overføringer kan innebære for vedkommende når det ikke foreligger en beslutning om tilstrekkelig beskyttelsesnivå og nødvendige garantier,

b) overføringen er nødvendig for å oppfylle en avtale mellom den registrerte og den behandlingsansvarlige eller for å gjennomføre tiltak som treffes før avtaleinngåelse på den registrertes anmodning,

c) overføringen er nødvendig for å inngå eller oppfylle en avtale inngått i den registrertes interesse mellom den behandlingsansvarlige og en annen fysisk eller juridisk person,

d) overføringen er nødvendig av hensyn til viktige allmenne interesser,

e) overføringen er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav,

f) overføringen er nødvendig for å verne den registrertes eller andre personers vitale interesser i tilfeller der den registrerte fysisk eller juridisk ikke er i stand til å gi samtykke,

g) overføringen finner sted fra et register som i henhold til unionsretten eller medlemsstatenes nasjonale rett er beregnet på å gi informasjon til allmennheten, og som er tilgjengelig for allmennheten eller for enhver person som kan gjøre gjeldende en berettiget interesse, men bare i den utstrekning vilkårene for offentlig tilgjengelighet fastsatt i unionsretten eller medlemsstatenes nasjonale rett er oppfylt i det særskilte tilfellet.

Dersom en overføring ikke kan baseres på en bestemmelse i artikkel 45 eller 46, herunder bestemmelsene om bindende virksomhetsregler, og ingen av unntakene for særlige situasjoner nevnt i første ledd i dette nummer får anvendelse, kan en overføring til en tredjestat eller en internasjonal organisasjon finne sted bare dersom overføringen ikke er gjentakende, bare gjelder et begrenset antall registrerte, er nødvendig av hensyn til de tvingende berettigede interessene som forfølges av den behandlingsansvarlige, og den registrertes interesser eller rettigheter og friheter ikke går foran, og den behandlingsansvarlige har vurdert alle omstendigheter i forbindelse med overføringen og på grunnlag av nevnte vurdering har gitt nødvendige garantier med hensyn til vern av personopplysninger. Den behandlingsansvarlige skal underrette tilsynsmyndigheten om overføringen. I tillegg til informasjonen nevnt i artikkel 13 og 14 skal den behandlingsansvarlige underrette den registrerte om overføringen og om de tvingende berettigede interessene som forfølges.

2. En overføring i henhold til nr. 1 første ledd bokstav g) skal ikke omfatte alle personopplysningene eller hele kategorier av personopplysninger i registeret. Når registeret er ment å være tilgjengelig for personer som har en berettiget interesse i det, skal overføring bare skje på anmodning fra nevnte personer, eller dersom de selv skal være mottakere.

3. Nr. 1 første ledd bokstav a), b) og c) og nr. 1 annet ledd får ikke anvendelse på aktiviteter som utføres av offentlige myndigheter når de utøver offentlig myndighet.

4. De viktige allmenne interessene nevnt i nr. 1 første ledd bokstav d) skal anerkjennes i unionsretten eller nasjonal rett i medlemsstaten som den behandlingsansvarlige er underlagt.

5. Dersom det ikke foreligger en beslutning om tilstrekkelig beskyttelsesnivå, kan det i unionsretten eller medlemsstatenes nasjonale rett av hensyn til viktige allmenne interesser uttrykkelig fastsettes grenser for overføring av spesifikke kategorier av personopplysninger til en tredjestat eller en internasjonal organisasjon. Medlemsstatene skal underrette Kommisjonen om nevnte bestemmelser.

6. Den behandlingsansvarlige eller databehandleren skal dokumentere vurderingen og de nødvendige garantiene nevnt i nr. 1 annet ledd i denne artikkel i protokollene nevnt i artikkel 30.

Artikkel 50

Internasjonalt samarbeid om vern av personopplysninger

I forbindelse med tredjestater og internasjonale organisasjoner skal Kommisjonen og tilsynsmyndighetene treffe nødvendige tiltak for å

a) utvikle mekanismer for internasjonalt samarbeid for å fremme en effektiv håndheving av regelverket for vern av personopplysninger,

b) yte internasjonal gjensidig bistand ved håndheving av regelverket for vern av personopplysninger, herunder ved underretning, oversending av klager, etterforskningsbistand og informasjonsutveksling, tatt i betraktning nødvendige garantier for vern av personopplysninger og andre grunnleggende rettigheter og friheter,

c) trekke inn relevante berørte parter i drøftinger og aktiviteter som har som mål å fremme internasjonalt samarbeid om håndheving av regelverket for vern av personopplysninger,

d) fremme utveksling av og dokumentasjon på regelverket for vern av personopplysninger og praksis på området, herunder om kompetansekonflikter med tredjestater.

Kapittel VI

Uavhengige tilsynsmyndigheter

Avsnitt 1

Uavhengig stilling

Artikkel 51

Tilsynsmyndighet

1. Hver medlemsstat skal sikre at en eller flere uavhengige offentlige myndigheter har ansvar for å føre tilsyn med anvendelsen av denne forordning for å verne fysiske personers grunnleggende rettigheter og friheter i forbindelse med behandling, og for å fremme den frie flyten av personopplysninger i Unionen («tilsynsmyndighet»).

2. Hver tilsynsmyndighet skal bidra til en ensartet anvendelse av denne forordning i hele Unionen. For dette formål skal tilsynsmyndighetene samarbeide med hverandre og med Kommisjonen i samsvar med kapittel VII.

3. Dersom mer enn én tilsynsmyndighet er etablert i en medlemsstat, skal nevnte medlemsstat utpeke en tilsynsmyndighet som skal representere disse myndighetene i Personvernrådet, og fastsette en mekanisme for å sikre at de andre myndighetene overholder reglene for konsistensmekanismen nevnt i artikkel 63.

4. Medlemsstatene skal senest 25. mai 2018 underrette Kommisjonen om de lovbestemmelser de vedtar i henhold til dette kapittel, og uten opphold om eventuelle senere endringer som påvirker dem.

Artikkel 52

Uavhengighet

1. Hver tilsynsmyndighet skal utføre sine oppgaver og utøve sin myndighet etter denne forordning i full uavhengighet.

2. Når medlemmet/medlemmene av hver tilsynsmyndighet utfører sine oppgaver og utøver sin myndighet i samsvar med denne forordning, skal de ikke utsettes for påvirkninger utenfra, verken direkte eller indirekte, og skal ikke anmode om eller motta instrukser fra noen.

3. Medlemmet/medlemmene av hver tilsynsmyndighet skal avstå fra enhver handling som ikke er forenlig med vedkommendes oppgaver, og skal så lenge utnevnelsesperioden varer, ikke utøve en uforenlig yrkesvirksomhet, verken lønnet eller ulønnet.

4. Hver medlemsstat skal sikre at hver tilsynsmyndighet har de menneskelige, tekniske og økonomiske ressurser og lokaler samt infrastruktur som er nødvendig for å kunne utføre sine oppgaver og utøve sin myndighet på en effektiv måte, herunder i forbindelse med gjensidig bistand, samarbeid og deltaking i Personvernrådet.

5. Hver medlemsstat skal sikre at hver tilsynsmyndighet velger og har sitt eget personell som utelukkende skal stå under ledelse av medlemmet/medlemmene av den berørte tilsynsmyndighet.

6. Hver medlemsstat skal sikre at hver tilsynsmyndighet er underlagt finansiell kontroll som ikke påvirker dens uavhengighet, og at den har separate, offentlige årsbudsjetter som kan være en del av det samlede statsbudsjettet eller nasjonalbudsjettet.

Artikkel 53

Generelle vilkår for medlemmer av tilsynsmyndigheten

1. Medlemsstatene skal ved hjelp av en åpen framgangsmåte sikre at hvert medlem av deres tilsynsmyndigheter utnevnes av

– deres parlament,

– deres regjering,

– deres statsoverhode eller

– et uavhengig organ som har fått ansvar for utnevnelsen i henhold til medlemsstatens nasjonale rett.

2. Hvert medlem skal ha de kvalifikasjoner, den erfaring og den kompetanse, særlig på området vern av personopplysninger, som er nødvendig for å utføre sine oppgaver og utøve sin myndighet.

3. Et medlems oppgaver opphører ved utløpet av utnevnelsesperioden, ved avgang eller ved avsettelse i samsvar med nasjonal rett i den berørte medlemsstat.

4. Et medlem kan bare avskjediges ved alvorlig forsømmelse eller dersom medlemmet ikke lenger oppfyller vilkårene for å utføre oppgavene.

Artikkel 54

Regler om opprettelse av tilsynsmyndigheten

1. Hver medlemsstat skal ved lov fastsette følgende:

a) opprettelse av hver tilsynsmyndighet,

b) de nødvendige kvalifikasjonene og utvelgelseskriteriene for å kunne bli utnevnt som medlem av en tilsynsmyndighet,

c) reglene om og framgangsmåtene for utnevnelse av medlemmet/medlemmene av hver tilsynsmyndighet,

d) varigheten av mandatet til medlemmet/medlemmene av hver tilsynsmyndighet, som skal være minst fire år, bortsett fra den første utnevnelsen etter 24. mai 2016, som kan ha kortere varighet dersom det er nødvendig for å sikre tilsynsmyndighetens uavhengighet ved hjelp av en trinnvis utnevnelsesprosess,

e) om mandatet til medlemmet/medlemmene av hver tilsynsmyndighet kan fornyes, og eventuelt hvor mange ganger,

f) de vilkår som gjelder for forpliktelsene til medlemmet/medlemmene av og personellet hos hver tilsynsmyndighet, forbud mot aktiviteter, yrkesvirksomhet og fordeler som er uforenlige med disse i og etter utnevnelsesperioden, samt regler om avslutning av arbeidsforholdet.

2. Medlemmet/medlemmene og personellet hos hver tilsynsmyndighet skal, i samsvar med unionsretten eller medlemsstatenes nasjonale rett, både i og etter utnevnelsesperioden være bundet av taushetsplikt med hensyn til eventuell konfidensiell informasjon de får kjennskap til under utførelsen av sine oppgaver eller utøvelsen av sin myndighet. I utnevnelsesperioden skal taushetsplikten særlig omfatte fysiske personers varsling om overtredelser av denne forordning.

Avsnitt 2

Kompetanse, oppgaver og myndighet

Artikkel 55

Kompetanse

1. Hver tilsynsmyndighet skal ha kompetanse til å utføre de oppgaver og utøve den myndighet den gis i samsvar med denne forordning, på sin medlemsstats territorium.

2. Dersom behandlingen utføres av offentlige myndigheter eller private organer som handler på grunnlag av artikkel 6 nr. 1 bokstav c) eller e), er det tilsynsmyndighetene i den berørte medlemsstaten som skal ha kompetanse. I slike tilfeller får artikkel 56 ikke anvendelse.

3. Tilsynsmyndigheter skal ikke ha kompetanse til å føre tilsyn med domstolers behandlingsaktiviteter når disse handler innenfor rammen av sin domsmyndighet.

Artikkel 56

Den ledende tilsynsmyndighets kompetanse

1. Uten at det berører artikkel 55, skal tilsynsmyndigheten for den behandlingsansvarliges eller databehandlerens hovedvirksomhet eller eneste virksomhet ha kompetanse til å fungere som ledende tilsynsmyndighet i forbindelse med grenseoverskridende behandling som utføres av nevnte behandlingsansvarlig eller databehandler i samsvar med framgangsmåten fastsatt i artikkel 60.

2. Som unntak fra nr. 1 skal hver tilsynsmyndighet ha kompetanse til å behandle en mottatt klage eller en mulig overtredelse av denne forordning dersom klagens gjenstand bare gjelder en virksomhet i dens medlemsstat eller i vesentlig grad påvirker registrerte bare i dens medlemsstat.

3. I tilfellene nevnt i nr. 2 i denne artikkel skal tilsynsmyndigheten uten opphold underrette den ledende tilsynsmyndigheten om forholdet. Innen en frist på tre uker etter å ha mottatt underretning skal den ledende tilsynsmyndigheten beslutte om den skal behandle saken eller ikke i samsvar med framgangsmåten fastsatt i artikkel 60, idet det tas hensyn til hvorvidt den behandlingsansvarlige eller databehandleren har en virksomhet eller ikke i medlemsstaten til tilsynsmyndigheten som har gitt underretningen.

4. Dersom den ledende tilsynsmyndigheten beslutter å behandle saken, får framgangsmåten fastsatt i artikkel 60 anvendelse. Tilsynsmyndigheten som underrettet den ledende tilsynsmyndigheten, kan legge fram et utkast til avgjørelse for den ledende tilsynsmyndigheten. Den ledende tilsynsmyndigheten skal i størst mulig grad ta hensyn til nevnte utkast ved utarbeiding av utkastet til avgjørelse nevnt i artikkel 60 nr. 3.

5. Dersom den ledende tilsynsmyndigheten beslutter å ikke behandle saken, skal tilsynsmyndigheten som underrettet den ledende tilsynsmyndigheten, behandle saken i henhold til artikkel 61 og 62.

6. Den ledende tilsynsmyndigheten skal være den behandlingsansvarliges eller databehandlerens eneste kontaktpunkt i forbindelse med den grenseoverskridende behandlingen som utføres av nevnte behandlingsansvarlig eller databehandler.

Artikkel 57

Oppgaver

1. Uten at det berører andre oppgaver fastsatt i denne forordning, skal hver tilsynsmyndighet på sitt territorium

a) føre tilsyn med og håndheve anvendelsen av denne forordning,

b) fremme allmennhetens kjennskap til og forståelse for risikoer, regler, garantier og rettigheter i forbindelse med behandling. Aktiviteter rettet spesielt mot barn skal vies særlig oppmerksomhet,

c) rådgi, i samsvar med medlemsstatenes nasjonale rett, det nasjonale parlament, regjeringen og andre institusjoner og organer om lovgivning og administrative tiltak knyttet til vern av fysiske personers rettigheter og friheter ved behandling,

d) fremme de behandlingsansvarliges og databehandlernes kjennskap til de forpliktelsene de har i henhold til denne forordning,

e) på anmodning informere registrerte om utøvelse av de rettighetene de har i henhold til denne forordning og, dersom det er relevant, samarbeide med tilsynsmyndighetene i andre medlemsstater om dette,

f) behandle klager som er inngitt av en registrert eller et organ, en organisasjon eller en sammenslutning i samsvar med artikkel 80, og undersøke, i den grad det er hensiktsmessig, klagens gjenstand og underrette klageren om forløpet og utfallet av undersøkelsen innen en rimelig frist, særlig dersom det er behov for videre undersøkelse eller samordning med en annen tilsynsmyndighet,

g) samarbeide med andre tilsynsmyndigheter, herunder ved å utveksle informasjon og yte gjensidig bistand, for å sikre ensartet anvendelse og håndheving av denne forordning,

h) gjennomføre undersøkelser om anvendelsen av denne forordning, herunder på grunnlag av informasjon mottatt fra en annen tilsynsmyndighet eller en annen offentlig myndighet,

i) følge relevant utvikling, i den grad den har innvirkning på personvern, særlig utviklingen innen informasjons- og kommunikasjonsteknologi og handelspraksis,

j) vedta standardavtalevilkår som nevnt i artikkel 28 nr. 8 og artikkel 46 nr. 2 bokstav d),

k) opprette og vedlikeholde en liste i forbindelse med kravene til vurderingen av personvernkonsekvenser i henhold til artikkel 35 nr. 4,

l) gi råd om behandlingsaktivitetene nevnt i artikkel 36 nr. 2,

m) oppmuntre til utarbeiding av atferdsnormer i henhold til artikkel 40 nr. 1 og avgi uttalelse om og godkjenne slike atferdsnormer som gir tilstrekkelige garantier, i henhold til artikkel 40 nr. 5,

n) oppmuntre til innføring av mekanismer for personvernsertifisering samt personvernsegl og -merker i henhold til artikkel 42 nr. 1, og å godkjenne kriteriene for sertifisering i henhold til artikkel 42 nr. 5,

o) dersom det er relevant, foreta en regelmessig gjennomgåelse av sertifiseringene utstedt i samsvar med artikkel 42 nr. 7,

p) utarbeide et utkast til og offentliggjøre kriteriene for akkreditering av et organ med ansvar for tilsyn med atferdsnormer i henhold til artikkel 41 og et sertifiseringsorgan i henhold til artikkel 43,

q) foreta akkreditering av et organ med ansvar for overvåking av atferdsnormer i henhold til artikkel 41 og et sertifiseringsorgan i henhold til artikkel 43,

r) godkjenne avtalevilkår og bestemmelser som nevnt i artikkel 46 nr. 3,

s) godkjenne bindende virksomhetsregler i henhold til artikkel 47,

t) bidra i Personvernrådets arbeid,

u) føre interne registre over overtredelser av denne forordning og over tiltak som er truffet i samsvar med artikkel 58 nr. 2, og

v) utføre enhver annen oppgave knyttet til vern av personopplysninger.

2. Hver tilsynsmyndighet skal legge til rette for inngivelse av klager som nevnt i nr. 1 bokstav f) ved hjelp av tiltak som f.eks. et klageskjema som også kan fylles ut elektronisk, uten å utelukke andre kommunikasjonsmidler.

3. Oppgavene som hver tilsynsmyndighet utfører, skal være gratis for den registrerte og, dersom det er relevant, for personvernombudet.

4. Dersom anmodninger er åpenbart grunnløse eller overdrevne, især fordi de gjentas, kan tilsynsmyndigheten kreve et rimelig gebyr basert på administrasjonskostnadene, eller nekte å etterkomme anmodningen. Tilsynsmyndigheten skal bære bevisbyrden for at en anmodning er åpenbart grunnløs eller overdreven.

Artikkel 58

Myndighet

1. Hver tilsynsmyndighet skal ha følgende undersøkelsesmyndighet:

a) pålegge den behandlingsansvarlige og databehandleren og, dersom det er relevant, disses representant, å framlegge all informasjon den trenger for å kunne utføre sine oppgaver,

b) utføre undersøkelser i form av personvernrevisjoner,

c) foreta en gjennomgåelse av sertifiseringer utstedt i henhold til artikkel 42 nr. 7,

d) underrette den behandlingsansvarlige eller databehandleren om en påstått overtredelse av denne forordning,

e) få tilgang, fra den behandlingsansvarlige og databehandleren, til alle personopplysninger og all informasjon som er nødvendig for å kunne utføre oppgavene den er gitt,

f) få adgang til alle lokaler hos den behandlingsansvarlige eller databehandleren, herunder til alt databehandlingsutstyr og -midler, i samsvar med unionsretten eller medlemsstatenes prosessrett.

2. Hver tilsynsmyndighet skal ha myndighet til å beslutte følgende korrigerende tiltak:

a) utstede advarsler til en behandlingsansvarlig eller databehandler om at de planlagte behandlingsaktivitetene sannsynligvis er i strid med bestemmelsene i denne forordning,

b) utstede irettesettelser til en behandlingsansvarlig eller databehandler dersom behandlingsaktivitetene er i strid med bestemmelsene i denne forordning,

c) pålegge den behandlingsansvarlige eller databehandleren å imøtekomme den registrertes anmodninger om å utøve sine rettigheter i henhold til denne forordning,

d) pålegge den behandlingsansvarlige eller databehandleren å sørge for at behandlingsaktivitetene skjer i samsvar med bestemmelsene i denne forordning og, dersom det er relevant, på en bestemt måte og innen en bestemt frist,

e) pålegge den behandlingsansvarlige å underrette den registrerte om brudd på personopplysningssikkerheten,

f) innføre en midlertidig eller varig begrensning av, herunder et forbud mot, behandling,

g) pålegge retting eller sletting av personopplysninger eller begrensning av behandlingen i henhold til artikkel 16, 17 og 18 og underretning av mottakere som personopplysningene er utlevert til i henhold til artikkel 17 nr. 2 og artikkel 19, om nevnte tiltak,

h) trekke tilbake en sertifisering eller pålegge sertifiseringsorganet å trekke tilbake en sertifisering utstedt i henhold til artikkel 42 og 43, eller pålegge sertifiseringsorganet å ikke utstede sertifisering dersom kravene til sertifisering ikke lenger er oppfylt,

i) ilegge overtredelsesgebyrer i henhold til artikkel 83 i tillegg til, eller i stedet for, tiltak som det vises til i dette nummer, avhengig av omstendighetene i hvert enkelt tilfelle,

j) gi påbud om et midlertidig opphold i datastrømmene til en mottaker i en tredjestat eller til en internasjonal organisasjon.

3. Hver tilsynsmyndighet skal ha følgende myndighet til å godkjenne og gi råd:

a) rådgi den behandlingsansvarlige i samsvar med framgangsmåten for forhåndsdrøftinger nevnt i artikkel 36,

b) avgi uttalelse, på eget initiativ eller på anmodning, til det nasjonale parlamentet, medlemsstatens regjering eller, i samsvar med medlemsstatenes nasjonale rett, til andre institusjoner og organer samt allmennheten om eventuelle spørsmål knyttet til vern av personopplysninger,

c) godkjenne behandlingen nevnt i artikkel 36 nr. 5 dersom det i medlemsstatens nasjonale rett kreves slik forhåndsgodkjenning,

d) avgi uttalelse om og godkjenne utkast til atferdsnormer i henhold til artikkel 40 nr. 5,

e) akkreditere sertifiseringsorganer i henhold til artikkel 43,

f) utstede sertifiseringer og godkjenne kriterier for sertifisering i samsvar med artikkel 42 nr. 5,

g) vedta standard personvernbestemmelser nevnt i artikkel 28 nr. 8 og i artikkel 46 nr. 2 bokstav d),

h) godkjenne avtalevilkår som nevnt i artikkel 46 nr. 3 bokstav a),

i) godkjenne administrative ordninger som nevnt i artikkel 46 nr. 3 bokstav b),

j) godkjenne bindende virksomhetsregler i henhold til artikkel 47.

4. Utøvelse av den myndighet som tilsynsmyndigheten gis i henhold til denne artikkel, skal være underlagt nødvendige garantier, herunder effektive rettsmidler og rettferdig rettergang, fastsatt i unionsretten og medlemsstatenes nasjonale rett i samsvar med pakten.

5. Hver medlemsstat skal ved lov fastsette at dens tilsynsmyndighet skal ha myndighet til å opplyse rettshåndhevende myndigheter om overtredelser av denne forordning og, der det er relevant, til å innlede eller på annen måte opptre i rettssaker med det som mål å håndheve bestemmelsene i denne forordning.

6. Hver medlemsstat kan ved lov fastsette at dens tilsynsmyndighet skal ha mer omfattende myndighet enn det som angis i nr. 1, 2 og 3. Utøvelsen av nevnte myndighet skal ikke hindre en effektiv anvendelse av kapittel VII.

Artikkel 59

Årsrapporter

Hver tilsynsmyndighet skal utarbeide en årlig rapport om sin virksomhet som kan inneholde en liste over hvilke typer overtredelser som er meldt, og hvilke typer tiltak som er truffet i samsvar med artikkel 58 nr. 2. Nevnte rapporter skal oversendes til det nasjonale parlamentet, regjeringen og andre myndigheter som er utpekt i henhold til medlemsstatens nasjonale rett. De skal gjøres tilgjengelig for allmennheten, Kommisjonen og Personvernrådet.

Kapittel VII

Samarbeid og ensartet anvendelse

Avsnitt 1

Samarbeid

Artikkel 60

Samarbeid mellom ledende tilsynsmyndighet og andre berørte tilsynsmyndigheter

1. Den ledende tilsynsmyndigheten skal samarbeide med de andre berørte tilsynsmyndighetene i samsvar med denne artikkel og bestrebe seg på å oppnå enighet. Den ledende tilsynsmyndigheten og de berørte tilsynsmyndighetene skal utveksle all relevant informasjon seg imellom.

2. Den ledende tilsynsmyndigheten kan til enhver tid anmode andre berørte tilsynsmyndigheter om gjensidig bistand i henhold til artikkel 61 og gjennomføre felles aktiviteter i henhold til artikkel 62, særlig for å foreta undersøkelser eller føre tilsyn med gjennomføringen av et tiltak som gjelder en behandlingsansvarlig eller databehandler som er etablert i en annen medlemsstat.

3. Den ledende tilsynsmyndigheten skal uten opphold oversende relevant informasjon om saken til de andre berørte tilsynsmyndighetene. Den skal uten opphold legge fram et utkast til avgjørelse for de andre berørte tilsynsmyndighetene, slik at de kan avgi uttalelse, og skal ta behørig hensyn til deres synspunkter.

4. Dersom en av de andre berørte tilsynsmyndighetene innen fire uker etter å ha blitt konsultert i samsvar med nr. 3 i denne artikkel, uttrykker en relevant og begrunnet innsigelse mot utkastet til avgjørelse, skal den ledende tilsynsmyndigheten, dersom den ikke etterkommer den relevante og begrunnede innsigelsen eller mener at innsigelsen ikke er relevant eller begrunnet, framlegge forholdet for konsistensmekanismen nevnt i artikkel 63.

5. Dersom den ledende tilsynsmyndigheten har til hensikt å etterkomme den relevante og begrunnede innsigelsen, skal den framlegge et revidert utkast til avgjørelse til de andre berørte tilsynsmyndighetene og be om deres uttalelse. Det reviderte utkastet til avgjørelse skal behandles i samsvar med framgangsmåten nevnt i nr. 4 innen en frist på to uker.

6. Dersom ingen av de andre berørte tilsynsmyndighetene innen fristen nevnt i nr. 4 og 5 har gjort innsigelse mot utkastet til avgjørelse framlagt av den ledende tilsynsmyndigheten, skal den ledende tilsynsmyndigheten og de berørte tilsynsmyndighetene anses for å samtykke i nevnte utkast til avgjørelse og være bundet av det.

7. Den ledende tilsynsmyndigheten skal treffe avgjørelsen og meddele den til den behandlingsansvarliges eller databehandlerens hovedvirksomhet eller eneste virksomhet, etter hva som er relevant, og underrette de andre berørte tilsynsmyndighetene og Personvernrådet om den aktuelle avgjørelsen, herunder gi et sammendrag av de relevante faktiske forhold og begrunnelser. Tilsynsmyndigheten som det er klaget til, skal underrette klageren om avgjørelsen.

8. Dersom en klage avvises eller avslås, skal tilsynsmyndigheten som klagen ble inngitt til, som unntak fra nr. 7, treffe avgjørelsen og meddele den til klageren og underrette den behandlingsansvarlige om den.

9. Dersom den ledende tilsynsmyndigheten og de berørte tilsynsmyndighetene er enige om å avvise eller avslå deler av en klage og å behandle andre deler av klagen, skal det treffes en særskilt avgjørelse for hver av disse delene. Den ledende tilsynsmyndigheten skal treffe avgjørelse om den del som gjelder tiltak knyttet til den behandlingsansvarlige, meddele dette til den behandlingsansvarliges eller databehandlerens hovedvirksomhet eller eneste virksomhet på territoriet til medlemsstaten den er underlagt, og underrette klageren om dette, mens klagerens tilsynsmyndighet skal treffe avgjørelse om den del som gjelder avvisning av eller avslag på klagen, og meddele den til klageren og underrette den behandlingsansvarlige eller databehandleren om dette.

10. Etter å ha blitt underrettet om den ledende tilsynsmyndighetens avgjørelse i henhold til nr. 7 og 9 skal den behandlingsansvarlige eller databehandleren treffe de nødvendige tiltak for å sikre overholdelse av denne avgjørelse med hensyn til behandlingsaktiviteter som utføres i forbindelse med alle vedkommendes virksomheter i Unionen. Den behandlingsansvarlige eller databehandleren skal underrette den ledende tilsynsmyndigheten, som skal underrette de andre berørte tilsynsmyndighetene om tiltakene som er truffet for å sikre overholdelse av avgjørelsen.

11. Dersom en berørt tilsynsmyndighet i særlige tilfeller har grunn til å tro at det er et akutt behov for å treffe tiltak for å verne de registrertes interesser, får framgangsmåten for behandling av hastesaker nevnt i artikkel 66 anvendelse.

12. Den ledende tilsynsmyndigheten og de andre berørte tilsynsmyndighetene skal utveksle den informasjonen som kreves i henhold til denne artikkel, elektronisk og ved bruk av et standardisert format.

Artikkel 61

Gjensidig bistand

1. Tilsynsmyndighetene skal utveksle relevant informasjon og yte gjensidig bistand for å oppnå en ensartet gjennomføring og anvendelse av denne forordning samt treffe tiltak for å sikre et effektivt samarbeid seg imellom. Gjensidig bistand skal særlig omfatte anmodninger om informasjon samt tilsynstiltak, f.eks. anmodninger om forhåndsgodkjenninger og gjennomføring av forhåndsdrøftinger, inspeksjoner og undersøkelser.

2. Hver tilsynsmyndighet skal treffe alle egnede tiltak som er nødvendig for å kunne svare på en anmodning fra en annen tilsynsmyndighet, uten ugrunnet opphold og senest én måned etter mottak av anmodningen. Nevnte tiltak kan særlig omfatte overføring av relevant informasjon om gjennomføringen av en undersøkelse.

3. Anmodninger om bistand skal inneholde all nødvendig informasjon, herunder informasjon om formålet med og årsakene til anmodningen. Informasjon som utveksles, skal bare benyttes til de formål som omfattes av anmodningen.

4. Den anmodede tilsynsmyndighet skal ikke nekte å etterkomme anmodningen, med mindre

a) den ikke har kompetanse med hensyn til det anmodningen gjelder, eller de tiltak den anmodes om å iverksette, eller

b) etterkommelse av anmodningen vil være i strid med denne forordning, unionsretten eller medlemsstatenes nasjonale rett som tilsynsmyndigheten som mottar anmodningen, er underlagt.

5. Den anmodede tilsynsmyndigheten skal underrette den anmodende tilsynsmyndigheten om resultatene eller, alt etter hva som er relevant, om framskrittene med tiltakene som er truffet for å svare på anmodningen. Den anmodede tilsynsmyndigheten skal begrunne ethvert avslag på å etterkomme en anmodning i henhold til nr. 4.

6. Anmodede tilsynsmyndigheter skal som hovedregel oversende informasjonen som en annen tilsynsmyndighet har anmodet om, elektronisk og ved bruk av et standardisert format.

7. Anmodede tilsynsmyndigheter skal ikke kreve et gebyr for tiltak de treffer på grunnlag av en anmodning om gjensidig bistand. Tilsynsmyndighetene kan vedta regler for å godtgjøre hverandre for spesifikke utgifter som oppstår ved yting av gjensidig bistand i særlige tilfeller.

8. Dersom en tilsynsmyndighet ikke framlegger informasjonen nevnt i nr. 5 i denne artikkel innen én måned etter å ha mottatt en anmodning fra en annen tilsynsmyndighet, kan den anmodende tilsynsmyndigheten treffe et midlertidig tiltak på sin medlemsstats territorium i samsvar med artikkel 55 nr. 1. I dette tilfellet skal det akutte behovet for å treffe tiltak i henhold til artikkel 66 nr. 1 anses for å være oppfylt og skal kreve en bindende hastebeslutning fra Personvernrådet i henhold til artikkel 66 nr. 2.

9. Kommisjonen kan ved hjelp av gjennomføringsrettsakter fastsette formatene og framgangsmåtene for gjensidig bistand nevnt i denne artikkel og ordningene for elektronisk utveksling av informasjon mellom tilsynsmyndighetene, og mellom tilsynsmyndighetene og Personvernrådet, særlig det standardiserte formatet nevnt i nr. 6 i denne artikkel. Disse gjennomføringsrettsaktene skal vedtas i samsvar med undersøkelsesprosedyren nevnt i artikkel 93 nr. 2.

Artikkel 62

Tilsynsmyndighetenes felles aktiviteter

1. Dersom det er relevant, skal tilsynsmyndighetene gjennomføre felles aktiviteter, herunder felles undersøkelser og felles håndhevingstiltak som medlemmer av eller personell fra andre medlemsstaters tilsynsmyndigheter skal delta i.

2. Dersom den behandlingsansvarlige eller databehandleren har virksomheter i flere medlemsstater, eller dersom det er sannsynlig at et betydelig antall registrerte i mer enn én medlemsstat i vesentlig grad vil bli påvirket av behandlingsaktiviteter, skal en tilsynsmyndighet i hver av disse medlemsstatene ha rett til å delta i felles aktiviteter. Tilsynsmyndigheten som har kompetanse i henhold til artikkel 56 nr. 1 eller 4, skal invitere tilsynsmyndigheten i hver av disse medlemsstatene til å delta i de felles aktivitetene og skal uten opphold svare på en tilsynsmyndighets anmodning om å delta.

3. En tilsynsmyndighet kan, i samsvar med medlemsstatens nasjonale rett og med tillatelse fra avgiverstatens tilsynsmyndighet, gi myndighet, herunder undersøkelsesmyndighet, til medlemmene eller personellet i avgiverstatens tilsynsmyndighet som deltar i felles aktiviteter, eller, dersom nasjonal rett i medlemsstaten til vertsstatens tilsynsmyndighet tillater det, tillate at medlemmene eller personellet i avgiverstatens tilsynsmyndighet utøver sin undersøkelsesmyndighet i samsvar med nasjonal rett i medlemsstaten til avgiverstatens tilsynsmyndighet. Nevnte undersøkelsesmyndighet kan bare utøves under veiledning og ved tilstedeværelse av medlemmer eller personell fra vertsstatens tilsynsmyndighet. Medlemmene eller personellet i avgiverstatens tilsynsmyndighet skal være underlagt nasjonal rett i medlemsstaten til vertsstatens tilsynsmyndighet.

4. Dersom personellet i avgiverstatens tilsynsmyndighet i samsvar med nr. 1 utfører aktiviteter i en annen medlemsstat, skal vertsstaten ha ansvar for deres handlinger, herunder erstatningsansvar, for enhver skade de forårsaker i forbindelse med aktivitetene i samsvar med nasjonal rett i medlemsstaten på hvis territorium de utfører aktiviteter.

5. Den medlemsstat på hvis territorium skaden ble forårsaket, skal erstatte skaden i samsvar med reglene som får anvendelse på skader forårsaket av dens eget personell. Avgiverstaten hvis personell har forårsaket skade på en person på territoriet til en annen medlemsstat, skal refundere alle beløp den andre medlemsstaten har betalt til berettigede personer på deres vegne.

6. Uten at det berører utøvelsen av rettigheter overfor tredjeparter og med unntak av nr. 5, skal hver medlemsstat i tilfellet nevnt i nr. 1 avstå fra å anmode om erstatning fra en annen medlemsstat for skader nevnt i nr. 4.

7. Dersom det planlegges en felles aktivitet og en tilsynsmyndighet innen en måned ikke oppfyller forpliktelsen fastsatt i nr. 2 annet punktum i denne artikkel, kan den andre tilsynsmyndigheten treffe et midlertidig tiltak på sin medlemsstats territorium i samsvar med artikkel 55. I dette tilfellet skal det akutte behovet for å treffe tiltak i henhold til artikkel 66 nr. 1 anses for å være oppfylt og skal forutsette en uttalelse eller kreve en bindende hastebeslutning fra Personvernrådet i henhold til artikkel 66 nr. 2.

Avsnitt 2

Ensartet anvendelse

Artikkel 63

Konsistensmekanisme

For å bidra til en ensartet anvendelse av denne forordning i hele Unionen skal tilsynsmyndighetene samarbeide med hverandre og, dersom det er relevant, med Kommisjonen gjennom konsistensmekanismen som fastsatt i dette avsnitt.

Artikkel 64

Uttalelse fra Personvernrådet

1. Personvernrådet skal avgi uttalelse når en vedkommende tilsynsmyndighet akter å treffe noen av tiltakene nevnt nedenfor. I denne forbindelse skal vedkommende tilsynsmyndighet oversende utkastet til avgjørelse til Personvernrådet når

a) formålet er å vedta en liste over de behandlingsaktiviteter som er underlagt kravet om en vurdering av personvernkonsekvenser i henhold til artikkel 35 nr. 4,

b) det gjelder et forhold i henhold til artikkel 40 nr. 7 om hvorvidt et utkast til atferdsnormer eller en endring eller utvidelse av atferdsnormer oppfyller kravene i denne forordning,

c) formålet er å godkjenne kriteriene for akkreditering av et organ i henhold til artikkel 41 nr. 3 eller et sertifiseringsorgan i henhold til artikkel 43 nr. 3,

d) formålet er å fastsette standard personvernbestemmelser som nevnt i artikkel 46 nr. 2 bokstav d) og artikkel 28 nr. 8,

e) formålet er å godkjenne avtalevilkår som nevnt i artikkel 46 nr. 3 bokstav a) eller

f) formålet er å godkjenne bindende virksomhetsregler i henhold til artikkel 47.

2. Enhver tilsynsmyndighet, lederen for Personvernrådet eller Kommisjonen kan kreve at ethvert forhold med allmenn rekkevidde eller som har virkning i flere enn én medlemsstat, undersøkes av Personvernrådet med det som mål å innhente en uttalelse, særlig dersom en vedkommende tilsynsmyndighet ikke oppfyller plikten til å yte gjensidig bistand i samsvar med artikkel 61 eller med hensyn til felles aktiviteter i samsvar med artikkel 62.

3. I tilfellene nevnt i nr. 1 og 2 skal Personvernrådet avgi uttalelse om forholdet det har fått seg forelagt, forutsatt at det ikke allerede har avgitt uttalelse om samme forhold. Uttalelsen skal vedtas innen åtte uker ved simpelt flertall blant Personvernrådets medlemmer. Denne fristen kan forlenges med ytterligere seks uker, idet det tas hensyn til forholdets kompleksitet. Med hensyn til utkastet til avgjørelse nevnt i nr. 1, oversendt til medlemmene av Personvernrådet i samsvar med nr. 5, skal et medlem som ikke har gjort innsigelse innen en rimelig frist angitt av lederen, anses for å samtykke i utkastet til avgjørelse.

4. Tilsynsmyndigheter og Kommisjonen skal uten ugrunnet opphold oversende Personvernrådet, elektronisk og ved bruk av et standardisert format, all relevant informasjon, herunder, alt etter hva som er relevant, et sammendrag av de faktiske forhold, utkastet til avgjørelse, årsaken til hvorfor nevnte tiltak må treffes og synspunkter fra andre berørte tilsynsmyndigheter.

5. Lederen for Personvernrådet skal uten ugrunnet opphold gi elektronisk underretning til

a) medlemmene av Personvernrådet og Kommisjonen om all relevant informasjon som det har mottatt, ved bruk av et standardisert format. Personvernrådets sekretariat skal ved behov sørge for oversettelse av relevant informasjon, og

b) tilsynsmyndigheten nevnt i nr. 1 og 2 og Kommisjonen om uttalelsen og offentliggjøre den.

6. Vedkommende tilsynsmyndighet skal ikke vedta sitt utkast til avgjørelse nevnt i nr. 1 i løpet av perioden nevnt i nr. 3.

7. Tilsynsmyndigheten nevnt i nr. 1 skal i størst mulig grad ta hensyn til Personvernrådets uttalelse og skal senest to uker etter å ha mottatt uttalelsen underrette lederen for Personvernrådet elektronisk om hvorvidt den akter å opprettholde eller endre sitt utkast til avgjørelse, og eventuelt oversende det endrede utkastet til avgjørelse ved bruk av et standardisert format.

8. Dersom den berørte tilsynsmyndigheten innen fristen nevnt i nr. 7 i denne artikkel underretter Personvernrådets leder om at den ikke akter å følge Personvernrådets uttalelse, helt eller delvis, og gir en relevant begrunnelse for dette, får artikkel 65 nr. 1 anvendelse.

Artikkel 65

Tvisteløsning gjennom Personvernrådet

1. For å sikre riktig og ensartet anvendelse av denne forordning i hvert enkelt tilfelle skal Personvernrådet treffe en bindende beslutning i følgende tilfeller:

a) dersom en berørt tilsynsmyndighet i et tilfelle nevnt i artikkel 60 nr. 4 har gjort relevant og begrunnet innsigelse mot et utkast til avgjørelse fra den ledende myndigheten, eller den ledende myndigheten har avvist nevnte innsigelse med den begrunnelse at den ikke er relevant eller begrunnet. Den bindende beslutningen skal gjelde alle forhold som omfattes av den relevante og begrunnede innsigelsen, særlig om hvorvidt det foreligger en overtredelse av denne forordning,

b) dersom det er uenighet om hvilken av de berørte tilsynsmyndighetene som har kompetanse med hensyn til hovedvirksomheten,

c) dersom en vedkommende tilsynsmyndighet ikke anmoder om uttalelse fra Personvernrådet i tilfellene nevnt i artikkel 64 nr. 1, eller ikke følger Personvernrådets uttalelse avgitt i henhold til artikkel 64. Dersom dette er tilfellet, kan enhver berørt tilsynsmyndighet eller Kommisjonen framlegge forholdet for Personvernrådet.

2. Beslutningen nevnt i nr. 1 skal treffes med to tredels flertall blant Personvernrådets medlemmer senest én måned etter at forholdet er framlagt. Denne fristen kan forlenges med ytterligere én måned, idet det tas hensyn til forholdets kompleksitet. Beslutningen nevnt i nr. 1 skal være begrunnet og rettet til den ledende tilsynsmyndigheten og alle de berørte tilsynsmyndighetene og skal være bindende for dem.

3. Dersom Personvernrådet ikke har vært i stand til å treffe en beslutning innen fristene nevnt i nr. 2, skal det treffe sin beslutning innen to uker etter utløpet av den andre måneden nevnt i nr. 2 ved simpelt flertall blant dets medlemmer. Ved stemmelikhet blant medlemmene i Personvernrådet er lederens stemme utslagsgivende.

4. De berørte tilsynsmyndighetene skal ikke treffe beslutning om forholdet som er framlagt for Personvernrådet i henhold til nr. 1, i periodene nevnt i nr. 2 og 3.

5. Lederen for Personvernrådet skal uten ugrunnet opphold meddele beslutningen nevnt i nr. 1 til de berørte tilsynsmyndighetene. Vedkommende skal underrette Kommisjonen om dette. Beslutningen skal offentliggjøres på Personvernrådets nettsted uten opphold etter at tilsynsmyndigheten har meddelt den endelige beslutningen nevnt i nr. 6.

6. Den ledende tilsynsmyndigheten eller eventuelt tilsynsmyndigheten som en klage er inngitt til, skal treffe sin endelige beslutning på grunnlag av beslutningen nevnt i nr. 1 i denne artikkel, uten ugrunnet opphold og senest én måned etter at Personvernrådet har meddelt sin beslutning. Den ledende tilsynsmyndigheten eller eventuelt tilsynsmyndigheten som klagen er inngitt til, skal underrette Personvernrådet om datoen for meddelelse av den endelige beslutningen til henholdsvis den behandlingsansvarlige eller databehandleren og til den registrerte. De berørte tilsynsmyndighetenes endelige beslutning skal treffes i henhold til vilkårene i artikkel 60 nr. 7, 8 og 9. Den endelige beslutningen skal vise til beslutningen nevnt i nr. 1 i denne artikkel, og det skal angis at beslutningen som det vises til i nevnte nummer, vil bli offentliggjort på Personvernrådets nettsted i samsvar med nr. 5 i denne artikkel. Beslutningen nevnt i nr. 1 i denne artikkel skal vedlegges den endelige beslutningen.

Artikkel 66

Framgangsmåte for behandling av hastesaker

1. Dersom en berørt tilsynsmyndighet i særlige tilfeller anser at det er et akutt behov for å treffe tiltak for å verne registrertes rettigheter og friheter, kan den som unntak fra konsistensmekanismen nevnt i artikkel 63, 64 og 65 eller framgangsmåten nevnt i artikkel 60 omgående treffe midlertidige tiltak som skal ha rettsvirkning på eget territorium, med en fastsatt gyldighetsperiode på høyst tre måneder. Tilsynsmyndigheten skal uten opphold underrette de andre berørte tilsynsmyndighetene, Personvernrådet og Kommisjonen om nevnte tiltak og årsakene til at de er truffet.

2. Dersom en tilsynsmyndighet har truffet et tiltak i henhold til nr. 1 og anser at det omgående må treffes endelige tiltak, kan den anmode om en hasteuttalelse eller en bindende hastebeslutning fra Personvernrådet; anmodningen om nevnte uttalelse eller beslutning skal være begrunnet.

3. Enhver tilsynsmyndighet kan anmode om en hasteuttalelse eller eventuelt om en bindende hastebeslutning fra Personvernrådet dersom en vedkommende tilsynsmyndighet ikke har truffet et egnet tiltak i en situasjon der det er et akutt behov for å treffe tiltak for å verne registrertes rettigheter og friheter; anmodningen om nevnte uttalelse eller beslutning, herunder det akutte behovet for å treffe tiltak, skal være begrunnet.

4. Som unntak fra artikkel 64 nr. 3 og artikkel 65 nr. 2 skal en hasteuttalelse eller en bindende hastebeslutning som nevnt i nr. 2 og 3 i denne artikkel vedtas innen to uker ved simpelt flertall blant Personvernrådets medlemmer.

Artikkel 67

Utveksling av informasjon

Kommisjonen kan vedta gjennomføringsrettsakter av generell karakter for å presisere ordningene for elektronisk utveksling av informasjon mellom tilsynsmyndighetene og mellom tilsynsmyndighetene og Personvernrådet, særlig i det standardiserte formatet nevnt i artikkel 64.

Disse gjennomføringsrettsaktene skal vedtas i samsvar med undersøkelsesprosedyren nevnt i artikkel 93 nr. 2.

Avsnitt 3

Det europeiske personvernråd

Artikkel 68

Det europeiske personvernråd

1. Det europeiske personvernråd («Personvernrådet») opprettes med dette som et EU-organ med status som juridisk person.

2. Personvernrådet skal representeres av sin leder.

3. Personvernrådet skal bestå av lederen for en tilsynsmyndighet i hver av medlemsstatene samt av EUs datatilsyn, eller deres respektive representanter.

4. Dersom en medlemsstat har mer enn én tilsynsmyndighet med ansvar for å føre tilsyn med anvendelsen av bestemmelsene i denne forordning, skal det utnevnes en felles representant i samsvar med nasjonal rett i nevnte medlemsstat.

5. Kommisjonen skal ha rett til å delta i Personvernrådets aktiviteter og møter uten stemmerett. Kommisjonen skal utpeke en representant. Lederen for Personvernrådet skal underrette Kommisjonen om Personvernrådets aktiviteter.

6. I tilfellene nevnt i artikkel 65 skal EUs datatilsyn ha stemmerett bare i forbindelse med beslutninger som gjelder prinsipper og regler som får anvendelse på Unionens institusjoner, organer, kontorer og byråer, og som i hovedsak tilsvarer dem i denne forordning.

Artikkel 69

Uavhengighet

1. Personvernrådet skal opptre uavhengig når det utfører sine oppgaver eller utøver sin myndighet i henhold til artikkel 70 og 71.

2. Uten at det berører Kommisjonens anmodninger nevnt i artikkel 70 nr. 1 bokstav b) og artikkel 70 nr. 2, skal Personvernrådet i forbindelse med utførelsen av sine oppgaver eller utøvelsen av sin myndighet ikke anmode om eller motta instrukser fra andre.

Artikkel 70

Personvernrådets oppgaver

1. Personvernrådet skal sikre ensartet anvendelse av denne forordning. For dette formål skal Personvernrådet på eget initiativ eller, dersom det er relevant, på anmodning fra Kommisjonen særlig

a) overvåke og sikre riktig anvendelse av denne forordning i tilfellene nevnt i artikkel 64 og 65, uten at det berører nasjonale tilsynsmyndigheters oppgaver,

b) rådgi Kommisjonen i alle spørsmål knyttet til vern av personopplysninger i Unionen, herunder om eventuelle forslag til endring av denne forordning,

c) rådgi Kommisjonen om formatet og framgangsmåtene for utveksling av informasjon mellom behandlingsansvarlige, databehandlere og tilsynsmyndigheter med hensyn til bindende virksomhetsregler,

d) utstede anbefalinger om, retningslinjer og beste praksis for framgangsmåter for å slette lenker, kopier eller reproduksjoner av personopplysninger fra offentlig tilgjengelige kommunikasjonstjenester som nevnt i artikkel 17 nr. 2,

e) på eget initiativ, på anmodning fra ett av dets medlemmer eller fra Kommisjonen granske alle spørsmål som gjelder anvendelse av denne forordning, og utstede retningslinjer, anbefalinger og beste praksis for å fremme en ensartet anvendelse av denne forordning,

f) utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for å presisere kriteriene og vilkårene for avgjørelser basert på profilering i henhold til artikkel 22 nr. 2,

g) utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for å fastslå brudd på personopplysningssikkerheten og fastsette det ugrunnede oppholdet som nevnt i artikkel 33 nr. 1 og 2 samt for de særlige tilfellene der en behandlingsansvarlig eller en databehandler har plikt til å melde brudd på personopplysningssikkerheten,

h) utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for omstendighetene der et brudd på personopplysningssikkerheten sannsynligvis vil føre til en høy risiko for rettighetene og frihetene til de fysiske personene nevnt i artikkel 34 nr. 1.

i) utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for å presisere kriteriene for og kravene til overføring av personopplysninger basert på bindende virksomhetsregler som behandlingsansvarlige overholder, og bindende virksomhetsregler som databehandlere overholder, samt ytterligere nødvendige krav for å sikre vern av personopplysninger for de berørte registrerte nevnt i artikkel 47,

j) utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for å presisere kriteriene for og kravene til overføring av personopplysninger på grunnlag av artikkel 49 nr. 1,

k) utarbeide retningslinjer for tilsynsmyndigheter med tanke på anvendelse av tiltakene nevnt i artikkel 58 nr. 1, 2 og 3 og fastsettelse av overtredelsesgebyr i henhold til artikkel 83,

l) gjennomgå den praktiske anvendelsen av retningslinjene, anbefalingene og beste praksis nevnt i bokstav e) og f),

m) utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for å fastsette felles framgangsmåter for fysiske personers rapportering av overtredelser av denne forordning i henhold til artikkel 54 nr. 2,

n) oppmuntre til utarbeiding av atferdsnormer og innføring av mekanismer for personvernsertifisering samt personvernsegl og -merker i henhold til artikkel 40 og 42,

o) foreta akkreditering av sertifiseringsorganer og regelmessig gjennomgåelse av nevnte akkreditering i henhold til artikkel 43 samt føre et offentlig register over akkrediterte organer i henhold til artikkel 43 nr. 6 og over akkrediterte behandlingsansvarlige eller databehandlere som er etablert i tredjestater i henhold til artikkel 42 nr. 7,

p) angi kravene nevnt i artikkel 43 nr. 3 med henblikk på akkreditering av sertifiseringsorganer i henhold til artikkel 42,

q) avgi uttalelse til Kommisjonen om sertifiseringskravene nevnt i artikkel 43 nr. 8,

r) avgi uttalelse til Kommisjonen om ikonene nevnt i artikkel 12 nr. 7,

s) avgi uttalelse til Kommisjonen om vurderingen av om beskyttelsesnivået i en tredjestat eller internasjonal organisasjon er tilstrekkelig, herunder vurderingen av om en tredjestat, et territorium eller en eller flere angitte sektorer i nevnte tredjestat eller en internasjonal organisasjon ikke lenger sikrer et tilstrekkelig beskyttelsesnivå. For dette formål skal Kommisjonen framlegge for Personvernrådet all nødvendig dokumentasjon, herunder korrespondanse med regjeringen i tredjestaten, med hensyn til nevnte tredjestat, territorium eller spesifikke sektor, eller med den internasjonale organisasjonen,

t) avgi uttalelser om tilsynsmyndighetenes utkast til beslutninger i henhold til konsistensmekanismen nevnt i artikkel 64 nr. 1 i forhold som er framlagt i henhold til artikkel 64 nr. 2), og treffe bindende beslutninger i henhold til artikkel 65, herunder i tilfellene nevnt i artikkel 66,

u) fremme samarbeidet og en effektiv bi- og multilateral utveksling av informasjon og beste praksis mellom tilsynsmyndighetene,

v) fremme felles opplæringsprogrammer og utveksling av personell mellom tilsynsmyndighetene og, dersom det er relevant, med tilsynsmyndigheter i tredjestater eller internasjonale organisasjoner,

w) fremme utveksling av kunnskap og dokumentasjon om personvernlovgivning og praksis på området med datatilsynsmyndigheter over hele verden,

x) avgi uttalelser om atferdsnormer som utarbeides på EU-plan i henhold til artikkel 40 nr. 9, og

y) føre et offentlig tilgjengelig elektronisk register over beslutninger truffet av tilsynsmyndigheter og domstoler i saker som er blitt behandlet i konsistensmekanismen.

2. Dersom Kommisjonen ber Personvernrådet om råd, kan den oppgi en tidsfrist, idet det tas hensyn til hvor mye saken haster.

3. Personvernrådet skal videresende sine uttalelser, retningslinjer, anbefalinger og beste praksis til Kommisjonen og til komiteen nevnt i artikkel 93 samt offentliggjøre dem.

4. Dersom det er relevant, skal Personvernrådet rådføre seg med berørte parter og gi dem mulighet til å framlegge kommentarer innen en rimelig frist. Uten at det berører artikkel 76, skal Personvernrådet offentliggjøre resultatene av samrådsprosedyren.

Artikkel 71

Rapporter

1. Personvernrådet skal utarbeide en årlig rapport om vern av fysiske personer i forbindelse med behandling i Unionen og, dersom det er relevant, i tredjestater og internasjonale organisasjoner. Rapporten skal offentliggjøres og oversendes til Europaparlamentet, Rådet og Kommisjonen.

2. Den årlige rapporten skal inneholde en gjennomgåelse av den praktiske anvendelsen av retningslinjene, anbefalingene og beste praksis nevnt i artikkel 70 nr. 1 bokstav l) samt av de bindende beslutningene nevnt i artikkel 65.

Artikkel 72

Framgangsmåte

1. Personvernrådet skal treffe beslutninger ved simpelt flertall blant rådets medlemmer, men mindre annet er fastsatt i denne forordning.

2. Personvernrådet skal vedta sin egen forretningsorden med to tredels flertall blant medlemmene og fastsette sine egne driftsrutiner.

Artikkel 73

Leder

1. Personvernrådet skal ved simpelt flertall velge en leder og to nestledere blant sine medlemmer.

2. Utnevnelsesperioden for lederen og nestlederne skal være fire år og kan fornyes én gang.

Artikkel 74

Lederens oppgaver

1. Lederen skal ha følgende oppgaver:

a) innkalle til møter i Personvernrådet og utarbeide dagsordenen for møtene,

b) underrette den ledende tilsynsmyndigheten og de berørte tilsynsmyndighetene om beslutninger truffet av Personvernrådet i henhold til artikkel 65,

c) sikre at Personvernrådet oppgaver utføres i rett tid, særlig i forbindelse med konsistensmekanismen nevnt i artikkel 63.

2. Personvernrådet skal fastsette fordelingen av oppgavene mellom lederen og nestlederne i sin forretningsorden.

Artikkel 75

Sekretariat

1. Personvernrådet skal ha et sekretariat, som skal stilles til rådighet av EUs datatilsyn.

2. Sekretariatet skal utføre sine oppgaver utelukkende under ledelse av Personvernrådets leder.

3. Personellet ved EUs datatilsyn som deltar i utførelsen av oppgavene som ved denne forordning gis Personvernrådet, skal ha andre rapporteringsveier enn personellet som deltar i utførelsen av oppgavene som EUs datatilsyn er gitt.

4. Dersom det er relevant, skal Personvernrådet og EUs datatilsyn utarbeide og offentliggjøre en programerklæring med henblikk på gjennomføring av denne artikkel med fastsettelse av vilkårene for deres samarbeid som får anvendelse på personellet hos EUs datatilsyn som deltar i utførelsen av oppgavene som ved denne forordning gis Personvernrådet.

5. Sekretariatet skal yte analytisk, administrativ og logistisk støtte til Personvernrådet.

6. Sekretariatet skal særlig ha ansvar for

a) Personvernrådets daglige virksomhet,

b) kommunikasjon mellom Personvernrådets medlemmer, dets leder og Kommisjonen,

c) kommunikasjon med andre institusjoner og med allmennheten,

d) bruken av elektroniske midler i forbindelse med intern og ekstern kommunikasjon,

e) oversettelse av relevant informasjon,

f) forberedelse og oppfølging av Personvernrådets møter,

g) forberedelse, utarbeiding av utkast til og offentliggjøring av uttalelser, beslutninger om løsning av tvister mellom tilsynsmyndigheter samt andre tekster som vedtas av Personvernrådet.

Artikkel 76

Konfidensialitet

1. Personvernrådets drøftinger skal være konfidensielle når Personvernrådet anser det nødvendig, som fastsatt i dets forretningsorden.

2. Tilgangen til dokumenter som sendes til Personvernrådets medlemmer, sakkyndige og representanter for tredjeparter, omfattes av europaparlaments- og rådsforordning (EF) nr. 1049/2001[24] .

Kapittel VIII

Rettsmidler, ansvar og sanksjoner

Artikkel 77

Rett til å klage til en tilsynsmyndighet

1. Uten at det berører annen administrativ eller rettslig prøving, skal enhver registrert ha rett til å klage til en tilsynsmyndighet, særlig i den medlemsstat der vedkommende har sitt vanlige bosted, har sitt arbeidssted eller der den påståtte overtredelsen har funnet sted, dersom den registrerte anser at behandlingen av personopplysninger som gjelder vedkommende, er i strid med denne forordning.

2. Tilsynsmyndigheten som klagen er inngitt til, skal underrette klageren om klagebehandlingsforløpet og utfallet av klagen, herunder muligheten for rettslig prøving i henhold til artikkel 78.

Artikkel 78

Rett til et effektivt rettsmiddel overfor en tilsynsmyndighet

1. Uten at det berører annen administrativ eller ikke-rettslig prøving, skal enhver fysisk eller juridisk person ha rett til et effektivt rettsmiddel overfor en rettslig bindende avgjørelse som gjelder dem, og som er truffet av en tilsynsmyndighet.

2. Uten at det berører annen administrativ eller ikke-rettslig prøving, skal enhver registrert ha rett til et effektivt rettsmiddel dersom tilsynsmyndigheten som har kompetanse i henhold til artikkel 55 og 56, ikke behandler en klage eller ikke underretter den registrerte innen tre måneder om klagebehandlingsforløpet eller utfallet av klagen som er inngitt i henhold til artikkel 77.

3. En sak mot en tilsynsmyndighet skal bringes inn for domstolene i medlemsstaten der tilsynsmyndigheten er etablert.

4. Dersom det anlegges sak mot en tilsynsmyndighets avgjørelse som ble truffet etter en uttalelse eller en avgjørelse fra Personvernrådet innenfor rammen av konsistensmekanismen, skal tilsynsmyndigheten framlegge nevnte uttalelse eller avgjørelse for domstolen.

Artikkel 79

Rett til et effektivt rettsmiddel overfor en behandlingsansvarlig eller databehandler

1. Uten at det berører annen tilgjengelig administrativ eller ikke-rettslig prøving, herunder retten til å klage til en tilsynsmyndighet i henhold til artikkel 77, skal enhver registrert ha rett til et effektivt rettsmiddel dersom vedkommende anser at vedkommendes rettigheter i henhold til denne forordning er krenket som følge av at vedkommendes personopplysninger er blitt behandlet på en måte som ikke er i samsvar med denne forordning.

2. En sak mot en behandlingsansvarlig eller databehandler skal bringes inn for domstolene i medlemsstaten der den behandlingsansvarlige eller databehandleren er etablert. Alternativt kan en slik sak bringes inn for domstolene i medlemsstaten der den registrerte til vanlig er bosatt, med mindre den behandlingsansvarlige eller databehandleren er en offentlig myndighet som handler innenfor rammen av sin offentlige myndighet.

Artikkel 80

Representasjon av registrerte

1. Den registrerte skal ha rett til å gi et ideelt organ eller en ideell organisasjon eller sammenslutning som er opprettet i samsvar med nasjonal rett i en medlemsstat, som har vedtektsfestede formål som er i allmennhetens interesse, og som er aktiv på området vern av registrertes rettigheter og friheter med hensyn til vern av deres personopplysninger, fullmakt til å klage på vedkommendes vegne, utøve rettighetene nevnt i artikkel 77, 78 og 79 på vedkommendes vegne og utøve retten til å motta erstatning nevnt i artikkel 82 på vedkommendes vegne dersom det er fastsatt i medlemsstatenes nasjonale rett.

2. Medlemsstatene kan fastsette at ethvert organ eller enhver organisasjon eller sammenslutning nevnt i nr. 1 i denne artikkel, uavhengig av en registrerts fullmakt, i nevnte medlemsstat har rett til å klage til tilsynsmyndigheten som har kompetanse i henhold til artikkel 77, og til å utøve rettighetene nevnt i artikkel 78 og 79 dersom den/det anser at den registrertes rettigheter i henhold til denne forordning er blitt krenket som følge av behandlingen.

Artikkel 81

Utsettelse av en sak

1. Dersom vedkommende domstol i en medlemsstat har informasjon om at det verserer en sak om samme saksgjenstand med hensyn til behandling foretatt av den samme behandlingsansvarlige eller databehandler ved en domstol i en annen medlemsstat, skal den kontakte nevnte domstol i den andre medlemsstaten for å få bekreftet at foreligger en slik sak.

2. Dersom det verserer en sak om samme saksgjenstand med hensyn til behandling foretatt av samme behandlingsansvarlige eller databehandler ved en domstol i en annen medlemsstat, kan enhver annen vedkommende domstol enn den som saken først ble brakt inn for, utsette saken.

3. Dersom nevnte sak verserer ved første instans, kan enhver annen domstol enn den som saken først ble brakt inn for, på anmodning fra en av partene også erklære at den ikke er domsmyndig dersom domstolen som saken først ble brakt inn for, har domsmyndighet til å behandle de aktuelle sakene, og dens lovgivning tillater forening av dette.

Artikkel 82

Rett til erstatning og erstatningsansvar

1. Enhver person som har lidd materiell eller ikke-materiell skade som følge av en overtredelse av denne forordning, skal ha rett til å motta erstatning fra den behandlingsansvarlige eller databehandleren for den forvoldte skaden.

2. Enhver behandlingsansvarlig som vært involvert i behandlingen, skal være ansvarlig for skaden forårsaket av behandling som er i strid med denne forordning. En databehandler skal være ansvarlig for en skade forårsaket av behandling bare dersom vedkommende ikke har oppfylt forpliktelsene i denne forordning som særlig er rettet mot databehandlere, eller dersom vedkommende har opptrådt utenfor eller i strid med databehandlerens lovlige instrukser.

3. En behandlingsansvarlig eller databehandler skal fritas for erstatningsansvar i henhold til nr. 2 dersom vedkommende godtgjør at vedkommende på ingen måte er ansvarlig for hendelsen som førte til skaden.

4. Dersom flere enn én behandlingsansvarlig eller databehandler eller både en behandlingsansvarlig og en databehandler er involvert i samme behandling, og dersom de i henhold til nr. 2 og 3 er ansvarlige for eventuelle skader som forårsakes av behandlingen, skal hver behandlingsansvarlig eller databehandles holdes ansvarlig for hele skaden for å sikre at den registrerte mottar effektiv erstatning.

5. Dersom en behandlingsansvarlig eller databehandler i samsvar med nr. 4 har betalt full erstatning for den forvoldte skaden, skal nevnte behandlingsansvarlig eller databehandler fra de andre behandlingsansvarlige eller databehandlere som har vært involvert i samme behandling, ha rett til å kreve tilbake den delen av erstatningen som svarer til deres del av ansvaret for skaden, i samsvar med vilkårene fastsatt i nr. 2.

6. Retterganger med henblikk på utøvelse av retten til å motta erstatning, skal bringes inn for domstolene som har kompetanse i henhold til nasjonal rett i medlemsstaten nevnt i artikkel 79 nr. 2.

Artikkel 83

Generelle vilkår for ilegging av overtredelsesgebyr

1. Hver tilsynsmyndighet skal sikre at ilegging av overtredelsesgebyr i henhold til denne artikkel for overtredelser av denne forordning nevnt i nr. 4, 5 og 6 i hvert enkelt tilfelle er virkningsfull, står i et rimelig forhold til overtredelsen og virker avskrekkende.

2. Avhengig av omstendighetene i hvert enkelt tilfelle skal overtredelsesgebyr ilegges i tillegg til eller istedenfor tiltakene nevnt i artikkel 58 nr. 2 bokstav a)–h) og j). Når det treffes avgjørelse om hvorvidt det skal ilegges overtredelsesgebyr samt om overtredelsesgebyrets størrelse, skal det i hvert enkelt tilfelle tas behørig hensyn til følgende:

a) karakteren, alvorlighetsgraden og varigheten av overtredelsen, idet det tas hensyn til den berørte behandlingens art, omfang eller formål samt antall registrerte som er berørt, og omfanget av den skade de har lidd,

b) hvorvidt overtredelsen ble begått forsettlig eller uaktsomt,

c) eventuelle tiltak truffet av den behandlingsansvarlige eller databehandleren for å begrense skaden som de registrerte har lidd,

d) den behandlingsansvarliges eller databehandlerens grad av ansvar, idet det tas hensyn til de tekniske og organisatoriske tiltak de har gjennomført i henhold til artikkel 25 og 32,

e) eventuelle relevante tidligere overtredelser begått av den behandlingsansvarlige eller databehandleren,

f) graden av samarbeid med tilsynsmyndigheten for å bøte på overtredelsen og redusere de mulige negative virkningene av den,

g) kategoriene av personopplysninger som er berørt av overtredelsen,

h) på hvilken måte tilsynsmyndigheten fikk kjennskap til overtredelsen, særlig om og eventuelt i hvilken grad den behandlingsansvarlige eller databehandleren har underrettet om overtredelsen,

i) dersom tiltak nevnt i artikkel 58 nr. 2 tidligere er blitt truffet overfor den berørte behandlingsansvarlige eller databehandler med hensyn til samme saksgjenstand, at nevnte tiltak overholdes,

j) overholdelse av godkjente atferdsnormer i henhold til artikkel 40 eller godkjente sertifiseringsmekanismer i henhold til artikkel 42 og

k) enhver annen skjerpende eller formildende faktor ved saken, f.eks. økonomiske fordeler som er oppnådd, eller tap som er unngått, direkte eller indirekte, som følge av overtredelsen.

3. Dersom en behandlingsansvarlig eller databehandler i forbindelse med samme eller tilknyttede behandlingsaktiviteter forsettlig eller uaktsomt overtrer flere av bestemmelsene i denne forordning, skal overtredelsesgebyrets samlede beløp ikke være høyere enn beløpet angitt for den alvorligste overtredelsen.

4. Ved overtredelser av følgende bestemmelser skal det i samsvar med nr. 2 ilegges overtredelsesgebyr på opptil 10 000 000 euro eller, dersom det dreier seg om et foretak, på opptil 2 % av den samlede globale årsomsetningen i forutgående regnskapsår, der det høyeste beløpet anvendes:

a) den behandlingsansvarliges og databehandlerens forpliktelser i henhold til artikkel 8, 11, 25–39 samt 42 og 43,

b) sertifiseringsorganets forpliktelser i henhold til artikkel 42 og 43,

c) kontrollorganets forpliktelser i henhold til artikkel 41 nr. 4.

5. Ved overtredelser av følgende bestemmelser skal det i samsvar med nr. 2 ilegges overtredelsesgebyr på opptil 20 000 000 euro eller, dersom det dreier seg om et foretak, på opptil 4 % av den samlede globale årsomsetningen i forutgående regnskapsår, der det høyeste beløpet anvendes:

a) de grunnleggende prinsippene for behandling, herunder vilkår for samtykke, i henhold til artikkel 5, 6, 7 og 9,

b) de registrertes rettigheter i henhold til artikkel 12–22,

c) overføring av personopplysninger til en mottaker i en tredjestat eller en internasjonal organisasjon i henhold til artikkel 44–49,

d) eventuelle forpliktelser i henhold til medlemsstatenes nasjonale rett vedtatt i henhold til kapittel IX,

e) manglende overholdelse av et pålegg om eller en midlertidig eller definitiv begrensning av behandling eller en avgjørelse om midlertidige opphold i datastrømmen truffet av tilsynsmyndigheten i henhold til artikkel 58 nr. 2 eller dersom det ikke gis tilgang i strid med artikkel 58 nr. 1.

6. Ved manglende overholdelse av et pålegg fra tilsynsmyndigheten som nevnt i artikkel 58 nr. 2 skal det i samsvar med nr. 2 i denne artikkel ilegges overtredelsesgebyr på opptil 20 000 000 euro eller, dersom det dreier seg om et foretak, på opptil 4 % av den samlede globale årsomsetningen i forutgående regnskapsår, der det høyeste beløpet anvendes.

7. Uten at det berører tilsynsmyndighetenes myndighet til å beslutte korrigerende tiltak i henhold til artikkel 58 nr. 2, kan hver medlemsstat fastsette regler om når og i hvilken grad offentlige myndigheter og organer som er etablert i nevnte medlemsstat, kan ilegges overtredelsesgebyr.

8. Tilsynsmyndighetens utøvelse av myndighet i henhold til denne artikkel skal være omfattet av nødvendige prosessuelle garantier i samsvar med unionsretten og medlemsstatenes nasjonale rett, herunder effektive rettsmidler og rettferdig rettergang.

9. Dersom medlemsstatens rettsorden ikke gir mulighet til å ilegge overtredelsesgebyr, kan denne artikkel anvendes på en slik måte at gebyret initieres av vedkommende tilsynsmyndighet og ilegges av vedkommende nasjonale domstoler, idet det sikres at nevnte beføyelser er effektive og har samme virkning som overtredelsesgebyrene som ilegges av tilsynsmyndigheter. I alle tilfeller skal gebyrene som ilegges, være virkningsfulle, stå i et rimelig forhold til overtredelsen og virke avskrekkende. Medlemsstatene skal senest 25. mai 2018 underrette Kommisjonen om de lovbestemmelser de vedtar i henhold til dette nummer, og uten opphold om eventuelle senere endringslover eller endringer som påvirker dem.

Artikkel 84

Sanksjoner

1. Medlemsstatene skal fastsette regler om andre sanksjoner for overtredelser av denne forordning, særlig for overtredelser som ikke omfattes av overtredelsesgebyrer i henhold til artikkel 83, og skal treffe alle nødvendige tiltak for å sikre at de gjennomføres. Sanksjonene skal være virkningsfulle, stå i rimelig forhold til overtredelsen og virke avskrekkende.

2. Medlemsstatene skal senest 25. mai 2018 underrette Kommisjonen om de lovbestemmelser de vedtar i henhold til nr. 1, og uten opphold om eventuelle senere endringer som påvirker dem.

Kapittel IX

Bestemmelser om særlige behandlingssituasjoner

Artikkel 85

Behandling og ytrings- og informasjonsfrihet

1. Medlemsstatene skal ved lov bringe retten til vern av personopplysninger i henhold til denne forordning i samsvar med retten til ytrings- og informasjonsfrihet, herunder behandling som finner sted i journalistisk øyemed eller med henblikk på akademiske, kunstneriske eller litterære ytringer.

2. Ved behandling som finner sted i journalistisk øyemed eller med henblikk på akademiske, kunstneriske eller litterære ytringer, skal medlemsstatene fastsette fritak eller unntak fra kapittel II (prinsipper), kapittel III (den registrertes rettigheter), kapittel IV (behandlingsansvarlig og databehandler), kapittel V (overføring av personopplysninger til tredjestater eller internasjonale organisasjoner), kapittel VI (uavhengige tilsynsmyndigheter), kapittel VII (samarbeid og ensartet anvendelse) og kapittel IX (særlige behandlingssituasjoner) dersom det er nødvendig for å bringe retten til vern av personopplysninger i samsvar med retten til ytrings- og informasjonsfrihet.

3. Medlemsstatene skal underrette Kommisjonen om de lovbestemmelser de har vedtatt i henhold til nr. 2, og uten opphold om eventuelle senere endringslover eller endringer som påvirker dem.

Artikkel 86

Behandling og allmennhetens innsyn i offentlige dokumenter

Personopplysninger i offentlige dokumenter som en offentlig myndighet eller et offentlig eller privat organ er i besittelse av for å utføre en oppgave i allmennhetens interesse, kan utleveres av myndigheten eller organet i samsvar med unionsretten eller medlemsstatenes nasjonale rett som den offentlige myndigheten eller organet er underlagt, for å bringe allmennhetens rett til innsyn i offentlige dokumenter i samsvar med retten til vern av personopplysninger i henhold til denne forordning.

Artikkel 87

Behandling av nasjonalt identifikasjonsnummer

Medlemsstatene kan fastsette nærmere særlige vilkår for behandling av et nasjonalt identifikasjonsnummer eller andre generelle identifikatorer. Dersom dette er tilfellet, skal det nasjonale identifikasjonsnummeret eller enhver annen generell identifikator bare brukes sammen med nødvendige garantier for den registrertes rettigheter og friheter i henhold til denne forordning.

Artikkel 88

Behandling i forbindelse med ansettelsesforhold

1. Medlemsstatene kan, ved lov eller tariffavtaler, fastsette nærmere regler for å sikre vern av rettigheter og friheter ved behandling av arbeidstakeres personopplysninger i forbindelse med ansettelsesforhold, særlig med henblikk på rekruttering, oppfyllelse av arbeidsavtaler, herunder oppfyllelse av forpliktelser fastsatt ved lov eller tariffavtaler, ledelse, planlegging og organisering av arbeidet, likestilling og mangfold samt helse og sikkerhet på arbeidsplassen, vern av arbeidsgiverens eller kundens eiendom, individuell eller kollektiv utøvelse av eller rett til å nyte godt av rettighetene og fordelene knyttet til ansettelsen samt for å avslutte ansettelsesforholdet.

2. Nevnte regler skal omfatte egnede og særlige tiltak for å verne den registrertes menneskeverd, berettigede interesser og grunnleggende rettigheter, særlig med hensyn til behandlingens åpenhet, overføring av personopplysninger internt i et konsern eller en gruppe av foretak som utøver en felles økonomisk virksomhet, og overvåkingssystemer på arbeidsplassen.

3. Medlemsstatene skal senest 25. mai 2018 underrette Kommisjonen om de lovbestemmelser de vedtar i henhold til nr. 1, og uten opphold om eventuelle senere endringer som påvirker dem.

Artikkel 89

Garantier og unntak ved behandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål

1. Behandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål skal omfattes av nødvendige garantier i samsvar med denne forordning for å sikre den registrertes rettigheter og friheter. Nevnte garantier skal sikre at det er innført tekniske og organisatoriske tiltak for særlig å sikre at prinsippet om dataminimering overholdes. Nevnte tiltak kan omfatte pseudonymisering, forutsatt at nevnte formål kan oppfylles på denne måten. Dersom nevnte formål kan oppfylles ved viderebehandling som ikke gjør det mulig eller ikke lenger gjør det mulig å identifisere de registrerte, skal formålene oppfylles på denne måten.

2. Når personopplysninger behandles for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål, kan det i unionsretten eller medlemsstatenes nasjonale rett fastsettes unntak fra rettighetene nevnt i artikkel 15, 16, 18 og 21, med forbehold for vilkårene og garantiene nevnt i nr. 1 i denne artikkel, i den grad det er sannsynlig at slike rettigheter vil gjøre det umulig eller i alvorlig grad vil hindre oppfyllelsen av de spesifikke formålene, og slike unntak er nødvendig for å oppfylle nevnte formål.

3. Når personopplysninger behandles for arkivformål i allmennhetens interesse, kan det i unionsretten eller medlemsstatenes nasjonale rett fastsettes unntak fra rettighetene nevnt i artikkel 15, 16, 18, 19, 20 og 21, med forbehold for vilkårene og garantiene nevnt i nr. 1 i denne artikkel, i den grad det er sannsynlig at slike rettigheter vil gjøre det umulig eller i alvorlig grad vil hindre oppfyllelsen av de spesifikke formålene, og slike unntak er nødvendig for å oppfylle nevnte formål.

4. Når en behandling nevnt i nr. 2 og 3 samtidig har andre formål, får unntakene anvendelse bare på behandling for formålene nevnt i disse numre.

Artikkel 90

Taushetsplikt

1. Medlemsstatene kan vedta særlige regler for å fastsette tilsynsmyndighetenes myndighet omhandlet i artikkel 58 nr. 1 bokstav e) og f) i forbindelse med behandlingsansvarlige eller databehandlere som i henhold til unionsretten eller medlemsstatenes nasjonale rett eller regler fastsatt av nasjonale vedkommende organer omfattes av yrkesmessig taushetsplikt eller annen tilsvarende taushetsplikt, dersom det er nødvendig og står i et rimelig forhold til behovet for å bringe retten til vern av personopplysninger i samsvar med nevnte taushetsplikt. Nevnte regler får bare anvendelse på personopplysninger som den behandlingsansvarlige eller databehandleren har mottatt som følge av, eller har innhentet i forbindelse med, en aktivitet som omfattes av nevnte taushetsplikt.

2. Medlemsstatene skal senest 25. mai 2018 underrette Kommisjonen om de regler de vedtar i henhold til nr. 1, og uten opphold om eventuelle senere endringer som påvirker dem.

Artikkel 91

Eksisterende regler om vern av personopplysninger for kirker og religiøse sammenslutninger

1. Dersom kirker og religiøse sammenslutninger eller samfunn i en medlemsstat på tidspunktet for ikrafttredelsen av denne forordning anvender omfattende regler om vern av fysiske personer med hensyn til behandling, kan nevnte regler fortsatt anvendes, forutsatt at de bringes i samsvar med denne forordning.

2. Kirker og religiøse sammenslutninger som anvender omfattende regler i samsvar med nr. 1 i denne artikkel, skal være underlagt tilsyn av en uavhengig tilsynsmyndighet, som kan være spesifikk, forutsatt at den oppfyller vilkårene fastsatt i kapittel VI i denne forordning.

Kapittel X

Delegerte rettsakter og gjennomføringsrettsakter

Artikkel 92

Utøvelse av delegert myndighet

1. Myndigheten til å vedta delegerte rettsakter gis Kommisjonen med forbehold for vilkårene fastsatt i denne artikkel.

2. Den delegerte myndigheten nevnt i artikkel 12 nr. 8 og artikkel 43 nr. 8 gis Kommisjonen på ubestemt tid fra 24. mai 2016.

3. Den delegerte myndigheten nevnt i artikkel 12 nr. 8 og artikkel 43 nr. 8 kan når som helst tilbakekalles av Europaparlamentet eller Rådet. En beslutning om tilbakekalling innebærer at den delegerte myndigheten som angis i beslutningen, opphører å gjelde. Den får anvendelse dagen etter at den er kunngjort i Den europeiske unions tidende eller på et senere tidspunkt angitt i beslutningen. Den berører ikke gyldigheten av delegerte rettsakter som allerede er i trådt i kraft.

4. Så snart Kommisjonen vedtar en delegert rettsakt, skal den underrette Europaparlamentet og Rådet samtidig om dette.

5. En delegert rettsakt vedtatt i henhold til artikkel 12 nr. 8 og artikkel 43 nr. 8 skal tre i kraft bare dersom verken Europaparlamentet eller Rådet har gjort innsigelse mot rettsakten innen en frist på tre måneder etter at Europaparlamentet og Rådet ble underrettet om rettsakten, eller dersom både Europaparlamentet og Rådet innen utløpet av denne fristen har underrettet Kommisjonen om at de ikke kommer til å gjøre innsigelse. Fristen forlenges med tre måneder på Europaparlamentets eller Rådets initiativ.

Artikkel 93

Komitéprosedyre

1. Kommisjonen skal bistås av en komité. Nevnte komité skal være en komité i henhold til forordning (EU) nr. 182/2011.

2. Når det vises til dette nummer, får artikkel 5 i forordning (EU) nr. 182/2011 anvendelse.

3. Når det vises til dette nummer, får artikkel 8 sammenholdt med artikkel 5 i forordning (EU) nr. 182/2011 anvendelse.

Kapittel XI

Sluttbestemmelser

Artikkel 94

Oppheving av direktiv 95/46/EF

1. Direktiv 95/46/EF oppheves med virkning fra 25. mai 2018.

2. Henvisninger til det opphevede direktiv skal forstås som henvisninger til denne forordning. Henvisninger til arbeidsgruppen for personvern i forbindelse med behandling av personopplysninger nedsatt ved artikkel 29 i direktiv 95/46/EF skal forstås som henvisninger til Det europeiske personvernråd nedsatt ved denne forordning.

Artikkel 95

Forhold til direktiv 2002/58/EF

Ved denne forordning skal det ikke innføres ytterligere forpliktelser for fysiske eller juridiske personer når det gjelder behandling i forbindelse med levering av offentlig tilgjengelige elektroniske kommunikasjonstjenester i offentlige kommunikasjonsnett i Unionen med hensyn til aspekter der de er underlagt særlige forpliktelser med samme formål som det som er fastsatt i direktiv 2002/58/EF.

Artikkel 96

Forhold til tidligere inngåtte avtaler

Internasjonale avtaler som omfatter overføring av personopplysninger til tredjestater eller internasjonale organisasjoner, som medlemsstatene har inngått før 24. mai 2016, og som er i samsvar med unionsretten som gjaldt før nevnte dato, får fortsatt anvendelse fram til de endres, erstattes eller oppheves.

Artikkel 97

Kommisjonens rapporter

1. Kommisjonen skal senest 25. mai 2020 og deretter hvert fjerde år framlegge en rapport om vurderingen og gjennomgåelsen av denne forordning for Europaparlamentet og Rådet. Rapportene skal offentliggjøres.

2. I forbindelse med vurderingene og gjennomgåelsene nevnt i nr. 1 skal Kommisjonen særlig undersøke hvordan det følgende anvendes og fungerer:

a) kapittel V om overføring av personopplysninger til tredjestater eller internasjonale organisasjoner, særlig med hensyn til beslutninger som er truffet i henhold til artikkel 45 nr. 3 i denne forordning, og beslutninger som er truffet på grunnlag av artikkel 25 nr. 6 i direktiv 95/46/EF,

b) kapittel VII om samarbeid og ensartet anvendelse.

3. Med hensyn til nr. 1 kan Kommisjonen anmode om informasjon fra medlemsstater og tilsynsmyndigheter.

4. Når Kommisjonen foretar vurderingene og gjennomgåelsene nevnt i nr. 1 og 2, skal den ta hensyn til holdningene og konklusjonene fra Europaparlamentet, Rådet og andre relevante organer eller kilder.

5. Kommisjonen skal ved behov framlegge egnede forslag til endring av denne forordning, idet det tas særlig hensyn til utviklingen innen informasjonsteknologi og de framskrittene som har funnet sted i informasjonssamfunnet.

Artikkel 98

Gjennomgåelse av andre EU-rettsakter om vern av personopplysninger

Dersom det er relevant, skal Kommisjonen framlegge forslag til regelverk med henblikk på endring av andre EU-rettsakter om vern av personopplysninger for å sikre et enhetlig og ensartet vern av fysiske personer i forbindelse med behandling. Dette skal særlig gjelde reglene for vern av fysiske personer i forbindelse med behandling som utføres av EUs institusjoner, organer, kontorer og byråer, og for fri utveksling av slike opplysninger.

Artikkel 99

Ikrafttredelse og anvendelse

1. Denne forordning trer i kraft den 20. dag etter at den er kunngjort i Den europeiske unions tidende.

2. Den får anvendelse fra 25. mai 2018.

Denne forordning er bindende i alle deler og kommer direkte til anvendelse i alle medlemsstater.

Utferdiget i Brussel 27. april 2016.

For Europaparlamentet

For Rådet

M. SCHULZ

J.A. HENNIS-PLASSCHAERT

President

Formann

Vedlegg 2
EØS-komiteens beslutning om endring av vedlegg XI (Elektronisk kommunikasjon, audiovisuelle tjenester og informasjonssamfunnstjenester) og protokoll 37 (om listen omhandlet i artikkel 101) til EØS-avtalen

Uoffisiell oversettelse av utkast til EØS-komitebeslutning

EØS-KOMITEEN HAR –

under henvisning til avtalen om Det europeiske økonomiske samarbeidsområde, heretter kalt EØS-avtalen, særlig artikkel 98,

og ut fra følgende betraktninger:

1) Europaparlaments- og rådsforordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (generell personvernforordning[25] ) skal innlemmes i EØS-avtalen.

2) Komiteen anerkjenner at vern av personopplysninger er en grunnleggende rettighet beskyttet i flere internasjonale menneskerettighetsavtaler.

3) Komiteen anerkjenner viktigheten av at de samme rettigheter og forpliktelser gjelder for alle behandlingsansvarlige og databehandlere innen EØS.

4) Ved denne beslutning fastsettes det at tilsynsmyndighetene i EFTA-statene skal delta fullt ut i ettstedsmekanismen og konsistensmekanismen, og at de skal ha de samme rettigheter og plikter som tilsynsmyndighetene i EU-medlemsstatene, unntatt stemmerett og rett til å bli valgt til leder eller nestleder, i Det europeiske personvernråd («Personvernrådet»), opprettet ved forordning (EU) 2016/679. For dette formål bør tilsynsmyndighetene i EFTA-statene inkluderes i Personvernrådets aktiviteter, herunder aktiviteter i alle undergrupper som Personvernrådet måtte opprette for å utføre sine oppgaver, og motta alle opplysninger som er nødvendig for å gjøre en effektiv deltakelse mulig, også, om nødvendig, ved å få full tilgang til eventuelle elektroniske systemer for informasjonsutveksling som opprettes av Personvernrådet.

5) Forordning (EU) 2016/679 opphever[, med virkning fra 25. mai 2018,] europaparlaments- og rådsdirektiv 95/46/EF)[26] , som er innlemmet i EØS-avtalen, og som følgelig skal oppheves i EØS-avtalen [med virkning fra 25. mai 2018].

6) EØS-avtalens vedlegg XI og protokoll 37 bør derfor endres –

TRUFFET DENNE BESLUTNING:

Artikkel 1

Teksten i EØS-avtalens vedlegg XI nr. 5e (europaparlaments- og rådsdirektiv 95/46/EF) skal [med virkning fra 25. mai 2018] lyde:

«32016 R 0679: Europaparlaments- og rådsforordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (generell personvernforordning) (EUT L 119 av 4.5.2016, s. 1).

Forordningens bestemmelser skal for denne avtales formål gjelde med følgende tilpasning:

a) EFTA-statenes tilsynsmyndigheter skal delta i aktivitetene til Det europeiske personvernråd, heretter kalt «Personvernrådet». For det formål skal de ha de samme rettigheter og plikter som tilsynsmyndighetene i EU-medlemsstatene, unntatt stemmerett og rett til å bli valgt til leder eller nestleder, i Personvernrådet, dersom ikke annet er fastsatt i EØS-avtalen. EFTA-statenes tilsynsmyndigheters standpunkt skal registreres separat av Personvernrådet.

Personvernrådets forretningsorden skal gi EFTA-statenes tilsynsmyndigheters og EFTAs overvåkingsorgans deltakelse full virkning, unntatt stemmerett og rett til å bli valgt til leder eller nestleder i Personvernrådet.

b) Uten at det berører bestemmelsene i EØS-avtalens protokoll 1, og dersom ikke annet er fastsatt i avtalen, skal betydningen av ordene ’medlemsstat(er)’ og ’tilsynsmyndigheter’ også omfatte, i tillegg til den betydning de har i forordningen, henholdsvis EFTA-statene og deres tilsynsmyndigheter.

c) Henvisninger til unionsretten eller Unionens bestemmelser om vern av personopplysninger skal forstås som henvisninger til henholdsvis EØS-avtalen eller bestemmelser om vern av personopplysninger i avtalen.

d) Når det gjelder EFTA-statene skal ordene ’som får anvendelse i henhold til EØS-avtalen,’ tilføyes etter ’Kommisjonen har truffet en beslutning om tilstrekkelig beskyttelsesnivå eller ikke,’ i artikkel 13 nr. 1 bokstav f) og artikkel 14 nr. 1 bokstav f).

e) I artikkel 45 etter nr. 1 skal, når det gjelder EFTA-statene, nytt nr. 1a lyde:

’1a. I påvente av en EØS-komitébeslutning som innlemmer i EØS-avtalen en gjennomføringsrettsakt vedtatt i henhold til nr. 3 eller 5 i denne artikkel, kan en EFTA-stat beslutte å anvende tiltakene i rettsakten.

Hver enkelt EFTA-stat skal treffe en beslutning og informere Kommisjonen og EFTAs overvåkingsorgan, før ikrafttredelsen av en gjennomføringsrettsakt vedtatt i henhold til nr. 3 eller 5 i denne artikkel, om tiltakene i rettsakten, i påvente av en EØS-komitébeslutning som innlemmer rettsakten i EØS-avtalen, vil få anvendelse samtidig som de får anvendelse i EU-medlemsstatene eller ikke. Dersom det ikke foreligger en beslutning om det motsatte, skal tiltakene i gjennomføringsrettsakten vedtatt i henhold til nr. 3 eller 5 i denne artikkel få anvendelse i hver enkelt EFTA-stat samtidig som de får anvendelse i EU-medlemsstatene.

Uten at det berører EØS-avtalens artikkel 102, kan en EFTA-stat, dersom man i EØS-komiteen ikke kommer fram til enighet om å innlemme i EØS-avtalen en gjennomføringsrettsakt vedtatt i henhold til nr. 3 eller 5 i denne artikkel innen tolv måneder etter at nevnte gjennomføringsrettsakt trådte i kraft, avslutte anvendelsen av nevnte tiltak og skal uten opphold underrette Kommisjonen og EFTAs overvåkingsorgan om dette.

De andre partene i EØS-avtalen skal, som unntak fra artikkel 1 nr. 3, begrense eller forby fri utveksling av personopplysninger til en EFTA-stat som ikke anvender tiltakene i en gjennomføringsrettsakt vedtatt i henhold til nr. 5 i denne artikkel, på samme måte som nevnte tiltak forhindrer overføring av personopplysninger til en tredjestat eller en internasjonal organisasjon.’

f) Dersom EU innleder samråd med tredjestater eller internasjonale organisasjoner med henblikk på å treffe en beslutning om tilstrekkelig beskyttelsesnivå i henhold til artikkel 45, skal EFTA-statene holdes behørig underrettet. Dersom særlige forpliktelser innføres for en tredjestat eller internasjonal organisasjon med hensyn til behandling av personopplysninger fra medlemsstater, vil EU ta hensyn til EFTA-statenes situasjon og diskutere mulige mekanismer for mulig framtidig anvendelse av EFTA-statene med tredjestater eller internasjonale organisasjoner.

g) I artikkel 46 nr. 2 bokstav d) tilføyes følgende:

’EFTA-statenes tilsynsmyndigheter skal ha samme rett som tilsynsmyndighetene i EU-medlemsstatene til å framlegge standard personvernbestemmelser for Kommisjonen for godkjenning i henhold til undersøkelsesprosedyren nevnt i artikkel 93 nr. 2.’

h) I artikkel 46 etter nr. 2 skal, når det gjelder EFTA-statene, nytt nr. 2a lyde:

’2a. I påvente av en EØS-komitébeslutning som innlemmer en gjennomføringsrettsakt i EØS-avtalen, kan de nødvendige garantier nevnt i nr. 1 sikres ved hjelp av standard personvernbestemmelser nevnt i artikkel 46 nr. 2 bokstav c) og d) dersom en EFTA-stat anvender tiltakene i rettsakten.

Hver enkelt EFTA-stat skal treffe en beslutning og informere Kommisjonen og EFTAs overvåkingsorgan, før ikrafttredelsen av gjennomføringsrettsakter vedtatt i henhold artikkel 46 nr. 2 bokstav c) og d), om tiltakene i rettsakten, i påvente av en EØS-komitébeslutning som innlemmer rettsakten i EØS-avtalen, vil få anvendelse samtidig som de får anvendelse i EU-medlemsstatene eller ikke. Dersom det ikke foreligger en beslutning om det motsatte, skal tiltakene i gjennomføringsrettsakten vedtatt i henhold til artikkel 46 nr. 2 bokstav c) og d) få anvendelse i hver enkelt EFTA-stat samtidig som de får anvendelse i EU-medlemsstatene.

Uten at det berører EØS-avtalens artikkel 102, kan en EFTA-stat, dersom man i EØS-komiteen ikke kommer fram til enighet om å innlemme i EØS-avtalen en gjennomføringsrettsakt vedtatt i henhold til artikkel 46 nr. 2 bokstav c) og d) innen tolv måneder etter at nevnte gjennomføringsrettsakt trådte i kraft, avslutte anvendelsen av nevnte tiltak og skal uten opphold underrette Kommisjonen og EFTAs overvåkingsorgan om dette.’

i) I artikkel 58 nr. 4, når det gjelder EFTA-statene, får ordene ’i samsvar med pakten’ ikke anvendelse.

j) I artikkel 59 skal ordene ’, EFTAs overvåkingsorgan’ tilføyes etter ordet ’Kommisjonen’.

k) EFTAs overvåkingsorgan skal ha rett til å delta i Personvernrådets møter uten stemmerett. EFTAs overvåkingsorgan skal utpeke en representant.

l) Dersom det er relevant for utøvelsen av sine oppgaver i henhold til artikkel 109 i EØS-avtalen, skal EFTAs overvåkingsorgan har rett til å be om råd eller uttalelser fra, og oversende saker til, Personvernrådet, i henhold til artikkel 63, artikkel 64 nr. 2, artikkel 65 nr. 1 bokstav c) og artikkel 70 nr. 1 bokstav e). I artikkel 63 artikkel 64 nr. 2, 65 nr. 1 bokstav c) og artikkel 70 nr. 1 bokstav e) skal ordene ’og, dersom det er relevant, EFTAs overvåkingsorgan’ tilføyes etter ordet ’Kommisjonen’.

m) Personvernrådets leder, eller sekretariatet, skal informere EFTAs overvåkingsorgan om Personvernrådets aktiviteter, der det er relevant i henhold til artikkel 64 nr. 5 bokstav a) og b), artikkel 65 nr. 5 og artikkel 75 nr. 6 bokstav b). I artikkel 64 nr. 5 bokstav a) og b), artikkel 65 nr. 5 og artikkel 75 nr. 6 bokstav b) skal ordene ’og, dersom det er relevant, EFTAs overvåkingsorgan’ tilføyes etter ordet ’Kommisjonen’.

Dersom det er relevant for utøvelsen av sine oppgaver i henhold til artikkel 109 i EØS-avtalen, skal EFTAs overvåkingsorgan ha rett til å motta informasjon fra en tilsynsmyndighet i en av de berørte EFTA-statene i henhold til artikkel 66 nr. 1. I artikkel 66 nr. 1 skal ordene ’og, dersom det er relevant, EFTAs overvåkingsorgan’ tilføyes etter ordet ’Kommisjonen’.

n) I artikkel 71 nr. 1 skal ordene ’, EFTA-statenes faste komité, EFTAs overvåkingsorgan’ tilføyes etter ordet ’Rådet’.

o) I artikkel 73 nr. 1 skal nytt punktum lyde:

’EFTA-statenes medlemmer av Personvernrådet skal ikke kunne velges til leder eller nestleder.’»

Artikkel 2

Teksten i EØS-avtalens protokoll 37 nr. 13 (Arbeidsgruppe for personvern i forbindelse med behandling av personopplysninger) skal oppheves.

Artikkel 3

Teksten til forordning (EU) 2016/679 på islandsk og norsk, som skal kunngjøres i EØS-tillegget til Den europeiske unions tidende, skal gis gyldighet.

Artikkel 4

Denne beslutning trer i kraft [..], forutsatt at alle meddelelser etter EØS-avtalens artikkel 103 nr. 1 er inngitt[27] .

Artikkel 5

Denne beslutning skal kunngjøres i EØS-avdelingen av og EØS-tillegget til Den europeiske unions tidende.

Utferdiget i Brussel [..]

For EØS-komiteen Formann

Felleserklæring fra avtalepartene

i forbindelse med EØS-komiteens beslutning nr. ../.. av .. som innlemmer europaparlaments- og rådsforordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (generell personvernforordning) i EØS-avtalen.

Med tanke på EØS-avtalens oppbygging med to pilarer og idet det tas hensyn til den direkte bindende virkning avgjørelser i Det europeiske personvernråd har for nasjonale tilsynsmyndigheter i EØS-EFTA-statene, vil avtalepartene:

merke seg det faktum at avgjørelser i Det europeiske personvernråd er rettet mot nasjonale tilsynsmyndigheter,

anerkjenne at denne løsningen ikke skaper presedens for framtidige tilpasninger av EU-rettsakter som skal innlemmes i EØS-avtalen.

Fotnoter

1)

Se Commission staff working paper executive summary of the impact assessment SEC (2012) 73 final punkt 4.

2)

Se punkt 7 samme sted.

3)

Se for eksempel: https://senzing.com/wp-content/uploads/2018/02/Senzing-GDPR-Report.pdf

4) EUT C 229 av 31.7.2012, s. 90.

5) EUT C 391 av 18.12.2012, s. 127.

6) Europaparlamentets holdning av 12. mars 2014 (ennå ikke offentliggjort i EUT) og Rådets holdning ved første behandling av 8. april 2016 (ennå ikke offentliggjort i EUT). Europaparlamentets holdning av 14. april 2016.

7) Europaparlaments- og rådsdirektiv 95/46/EF av 24. oktober 1995 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger (EFT L 281 av 23.11.1995, s. 31).

8) Kommisjonsrekommandasjon av 6. mai 2003 om definisjonen av svært små, små og mellomstore bedrifter (C(2003) 1422) (EFT L 124 av 20.5.2003, s. 36).

9) Europaparlaments- og rådsforordning (EF) nr. 45/2001 av 18. desember 2000 om personvern i forbindelse med behandling av personopplysninger i Fellesskapets institusjoner og organer og om fri utveksling av slike opplysninger (EFT L 8 av 12.1.2001, s. 1).

10) Europaparlaments- og rådsdirektiv (EU) 2016/680 av 27. april 2016 om vern av fysiske personer i forbindelse med vedkommende myndigheters behandling av personopplysninger med henblikk på å forebygge, etterforske, avsløre eller straffeforfølge straffbare forhold eller iverksette strafferettslige sanksjoner, om fri utveksling av slike opplysninger og om oppheving av Rådets rammebeslutning 2008/977/JIS (se side 89 i denne EUT).

11) Europaparlaments- og rådsdirektiv 2000/31/EF av 8. juni 2000 om visse rettslige aspekter ved informasjonssamfunnstjenester, særlig elektronisk handel, i det indre marked («Direktivet om elektronisk handel») (EFT L 178 av 17.7.2000, s. 1).

12) Europaparlaments- og rådsdirektiv 2011/24/EU av 9. mars 2011 om anvendelse av pasientrettigheter ved helsetjenester over landegrensene (EUT L 88 av 4.4.2011, s. 45).

13) Rådsdirektiv 93/13/EØF av 5. april 1993 om urimelige vilkår i forbrukeravtaler (EFT L 95 av 21.4.1993, s. 29).

14) Europaparlaments- og rådsforordning (EF) nr. 1338/2008 av 16. desember 2008 om fellesskapsstatistikker over folkehelse og helse og sikkerhet på arbeidsplassen (EUT L 354 av 31.12.2008, s. 70).

15) Europaparlaments- og rådsforordning (EU) nr. 182/2011 av 16. februar 2011 om fastsettelse av allmenne regler og prinsipper for medlemsstatenes kontroll med Kommisjonens utøvelse av sin gjennomføringsmyndighet (EUT L 55 av 28.2.2011, s. 13).

16) Europaparlaments- og rådsforordning (EU) nr. 1215/2012 av 12. desember 2012 om domsmyndighet og anerkjennelse og fullbyrdelse av rettsavgjørelser på det sivilrettslige og handelsrettslige område (EUT L 351 av 20.12.2012, s. 1).

17) Europaparlaments- og rådsdirektiv 2003/98/EF av 17. november 2003 om viderebruk av informasjon fra offentlig sektor (EUT L 345 av 31.12.2003, s. 90).

18) Europaparlaments- og rådsforordning (EU) nr. 536/2014 av 16. april 2014 om kliniske utprøvinger av legemidler for mennesker og om oppheving av direktiv 2001/20/EF (EUT L 158 av 27.5.2014, s. 1).

19) Europaparlaments- og rådsforordning (EF) nr. 223/2009 av 11. mars 2009 om europeisk statistikk og om oppheving av europaparlaments- og rådsforordning (EF, Euratom) nr. 1101/2008 om oversending av fortrolige statistiske opplysninger til De europeiske fellesskaps statistikkontor, rådsforordning (EF) nr. 322/97 om fellesskapsstatistikker og rådsbeslutning 89/382/EØF, Euratom om nedsettelse av en komité for De europeiske fellesskaps statistiske program (EUT L 87 av 31.3.2009, s. 164).

20) EUT C 192 av 30.6.2012, s. 7.

21) Europaparlaments- og rådsdirektiv 2002/58/EF av 12. juli 2002 om behandling av personopplysninger og personvern i sektoren for elektronisk kommunikasjon (direktivet om personvern og elektronisk kommunikasjon) (EFT L 201 av 31.7.2002, s. 37).

22) Europaparlaments- og rådsdirektiv (EU) 2015/1535 av 9. september 2015 om en informasjonsprosedyre for tekniske forskrifter og regler for informasjonssamfunnstjenester (EUT L 241 av 17.9.2015, s. 1).

23) Europaparlaments- og rådsforordning (EF) nr. 765/2008 av 9. juli 2008 om fastsettelse av kravene til akkreditering og markedstilsyn for markedsføring av produkter, og om oppheving av forordning (EØF) nr. 339/93 (EUT L 218 av 13.8.2008, s. 30).

24) Europaparlaments- og rådsforordning (EF) nr. 1049/2001 av 30. mai 2001 om offentlig tilgang til Europaparlamentets, Rådets og Kommisjonens dokumenter (EFT L 145 av 31.5.2001, s. 43).

25)

EUT L 119 av 4.5.2016, s. 1.

26)

EFT L 281 av 23.11.1995, s. 31.

27)

[Ingen forfatningsrettslige krav angitt.] [Forfatningsrettslige krav angitt.]