Ny personopplysningslov

Formålet med loven er å ivareta enkeltindividets personvern ved bruk av personopplysninger. I tillegg implementerer loven EUs personverndirektiv i norsk rett. Loven trer i kraft 1. januar 2001 og vil få stor betydning for kommunene, spesielt når det gjelder datasikkerhet.

Loven har et videre anvendelsesområde enn personregisterloven og regulerer «behandling» av personopplysninger - også når disse ikke inngår i et personregister.

Nytt med personopplysningsloven er at dagens konsesjonsordning avvikles og erstattes med en hovedregel om meldeplikt. Behandling av sensitive personopplysninger vil imidlertid fortsatt være underlagt konsesjonsplikt, dog med unntak for situasjoner der opplysningene gis uoppfordret eller for behandling av personregistre som er opprettet ved egen lov.

I tillegg suppleres loven av forskrifter som blant annet vil unnta visse behandlinger fra meldeplikt. Forskriftsverket er ennå ikke vedtatt, men vil antagelig foreligge innen utgangen av november.

Et gjennomgående trekk ved den nye loven er at den som behandler personopplysninger skal påse at den registrertes rettigheter er ivaretatt. Opplysningene skal kun brukes til uttrykkelig angitte formål, og opplysningene skal til enhver tid være korrekte og oppdaterte. Videre skal den behandlingsansvarlige sørge for tiltak for tilfredsstillende informasjonssikkerhet, og disse tiltakene skal kunne dokumenteres. Dokumentasjonen skal være tilgjengelig internt i virksomheten og for Datatilsynet.

På dette punkt vil loven bli supplert med forskrifter. Den behandlingsansvarlige må videre etablere et system for internkontroll, som skal sikre at de krav som følger av loven eller forskriften er oppfylt. Også dette skal kunne dokumenteres.

Loven etablerer en innsynsrett for den registrerte. Den behandlingsansvarlige er i tillegg pålagt en informasjonsplikt når personopplysninger samles inn. Den registrerte har ikke krav på informasjon, dersom innsamling av opplysningene er fastsatt i lov, eller det er på det rene at den registrerte allerede er kjent med informasjonen varselet skal inneholde.

Den registrerte har videre rett til informasjon om fullt ut automatiserte avgjørelser, dersom avgjørelsen har rettslig eller annen vesentlig betydning for den registrerte, og den registrerte kan i visse situasjoner kreve manuell behandling. Retten til informasjon er imidlertid undergitt visse viktige begrensninger, for eksempel dersom det er utilrådelig at vedkommende får kjennskap til informasjonen, opplysningene er underlagt taushetsplikt eller opplysningene er utelukkende brukt internt.

Lovgiver har for å lette overgangen fra gammelt til nytt lovverk gitt overgangsbestemmelser. Behandlinger som skjer med grunnlag i eksisterende konsesjoner, skal enten meldes, eller det skal søkes om konsesjon innen utgangen av en toårsperiode. Nye behandlinger vil fullt ut bli regulert av personopplysningsloven.