Personopplysningsforskriften er endret og forenklet

Forskrift om behandling av personopplysninger er endret, og de nye reglene trådte i kraft 1. januar i år. Hvilken betydning har det for deg og din virksomhet?

Behandling av personopplysninger er omfattende regulert i et relativt vanskelig tilgjengelig regelverk. I Revisjon og Regnskap 2–2016 skrev vi om at det er vedtatt en ny forordning i EU som vil tre i kraft i Norge i mai 2018. Samtidig har Datatilsynet arbeidet med et «tidstyvprosjekt», for å forenkle dagens regelverk. Endringene i personopplysningsforskriften kommer som et resultat av dette prosjektet, og gir enda flere unntak fra melde- og konsesjonsplikter for virksomheter som behandler personopplysninger.

Reglene om melde- og konsesjonsplikt

Personopplysningsloven krever som utgangspunkt at all behandling av personopplysninger «med elektroniske hjelpemidler» meldes til Datatilsynet. Begrepet «elektroniske hjelpemidler» skal forstås vidt, og innebærer at nær sagt all behandling av personopplysninger omfattes. Det finnes imidlertid en rekke unntak fra meldeplikten – deriblant behandling av kunde- og leverandøropplysninger, aksjeeierbok m.m. Unntakene er nå utvidet til å gjelde ytterligere typer behandlinger som er praktiske for svært mange virksomheter. Disse er beskrevet nedenfor.

Meldeplikten gjelder som utgangspunkt for all behandling av personopplysninger. Dreier det seg i tillegg om sensitive personopplysninger, er hovedregelen at behandlingen krever konsesjon. Sensitive personopplysninger er for eksempel opplysninger om helseforhold, medlemskap i fagforeninger og opplysninger om rasemessig/etnisk bakgrunn. Her har det tidligere vært enkelte unntak fra konsesjonsplikten, blant annet for sensitive kundeopplysninger ved samtykke, foreningers opplysninger om sine medlemmer og personalregistre m.m. Også disse unntakene er utvidet med endringen av forskriften, se nedenfor. Behandling unntatt konsesjonsplikt vil samtidig være unntatt lovens meldeplikt.

Effektivisering av regelverket

Datatilsynet har i lys av sitt tidstyvprosjekt kommet frem til at følgende nye unntak fra meldeplikten og konsesjonsplikten kan oppstilles, uten at de går på unødig bekostning av personvernet. Tiltakene vil være ressursbesparende i større eller mindre grad, for et stort antall virksomheter.

Fra og med 1. januar 2017 er det ikke lenger meldeplikt for behandling av følgende personopplysninger:

• Adgangskontroll-logger

• Kameraovervåking

• Elektronisk kjørebok og flåtestyring

• Behandling i organ for stat eller kommune der slik behandling har hjemmel i lov

Videre er konsesjons- og meldeplikten fjernet for følgende personopplysninger:

• Klient- og hvitvaskingsregistre

• Behandling av personopplysninger til bruk ved legemiddelovervåking og for rapportering av bivirkninger

• Varsling av kritikkverdige forhold (såkalt «whistleblowing»)

Fjerning av konsesjons- og meldeplikt for disse siste tilfellene kan sies å være en fornuftig utvikling. Behandlingen av personopplysninger i disse tilfellene er lovpålagt, og konsesjons- og meldeplikt for slik lovpålagt behandling syntes noe tungvint.

Grunnkrav til behandling gjelder fortsatt

Det er viktig å understreke at bortfall av melde- og konsesjonsplikt for behandlingen av visse typer opplysninger ikke får noen innvirkning på de grunnkravene som gjelder for behandling av personopplysninger. Det stilles blant annet krav til at personopplysninger kun samles inn for bestemte formål og da bare benyttes til det uttrykkelig angitte formålet. I tillegg må personopplysningene være korrekte og oppdatert, og ikke lagres lenger enn det som er nødvendig ut fra formålet med behandlingen. Sensitive personopplysninger kan som utgangspunkt ikke behandles, med mindre den registrerte samtykker eller behandlingen har hjemmel i lov.