FORORD
Denne boken er skrevet for å dekke behovet for en lærebok om personvernforordningen. Jeg antar den også kan være til god nytte for langt flere enn studenter. Ambisjonen har vært å sette bestemmelsene i sammenheng – forklare og drøfte, ikke bare gjennomgå bestemmelsene én etter én. Arbeidet med boken har vært krevende. Mange elementer i personvernforordningen er rett og slett vanskelige å forstå. Ikke sjelden er tolkningsresultatene usikre. Dessuten har det vært en stor utfordring å forklare de mange komplekse og ofte uklare bestemmelsene uten å ty til misvisende forenklinger. En annen utfordring har vært å unngå å bli smittet av språket i forordningen, som ligger milelangt fra det vi i norsk rettstradisjon vil kalle klarspråk.
Jeg har arbeidet med personvernspørsmål i om lag 30 år, og har vært så heldig å ha hatt to av pionerene innen personvernrett, professorene Knut S. Selmer og Jon Bing, som kolleger ved Senter for rettsinformatikk. Knut og Jon var blant de første i Norge som satte personvern under debatt. De analyserte, utviklet forståelser av og satte ord på hva personvern kan sies å handle om. Jeg skylder dem en stor takk. Takk også til kollega Lee A. Bygrave. Sammen har vi gitt ut tre utgaver av Personvern i informasjonssamfunnet (første utgave i 2004, tredje utgave i 2016).
Dette samarbeidet og diskusjoner med Lee om sentrale bestemmelser i personvernforordningen har bidratt mye til det jeg kan om personopplysningsrett.
Til slutt en stor takk til det fantastiske, vitale og inspirerende miljøet ved Senter for rettsinformatikk.
Røa, 1. desember 2019
Dag Wiese Schartum
2.2
1.6.3
1.6.6
2.5
3.2.1
3.3.2
3.3.3
3.3.4 Krav til garantier når det gjøres unntak for visse sekundærformål
3.4 Rettslig grunnlag for behandling av personopplysninger
3.4.1 Innledning
3.4.2 Samtykke til å behandle vanlige og særlige kategorier av personopplysninger .............................................................................
3.4.2.1 Innledning
3.4.2.2 Forutsetningen om rettslig handleevne og spørsmålet om barns samtykke . 114
3.4.2.3 Vilkår for gyldig samtykke
3.4.2.4 Forholdet mellom samtykkeerklæringen og andre skriftlige erklæringer ...
3.4.2.5 Tilbaketrekking av samtykke ..........................................................
3.4.3 Generelt om nødvendighetsvurderingene i artikkel 6 og 9
3.4.4 Nødvendige grunner til å behandle alminnelige personopplysninger ........
3.4.4.1 Avtaler med den registrerte
3.4.4.2 Rettslig forpliktelse .......................................................................
3.4.4.3 Vern av vitale interesser .................................................................
3.4.4.4 Oppgave av allmenn interesse eller utøvelse av offentlig myndighet.... 130
3.4.4.5 Berettiget interesse 132
3.4.5 Nødvendige grunner mv. for å behandle særlige kategorier personopplysninger (jf. «sensitive opplysninger») ..................................................................... 133
3.4.5.1 Innledning 133
3.4.5.2 Utøve visse forpliktelser og rettigheter ............................................. 135
3.4.5.3 Vern om vitale interesser 136
3.4.5.4 Rettskrav ...................................................................................... 137
3.4.5.5 Viktige allmenne interesser ............................................................ 138
3.4.5.6 Forebyggende medisin mv. 140
3.4.5.7 Allmenne folkehelsehensyn ........................................................... 141
3.4.5.8 Arkivformål i allmennhetens interesse, forskning og statistikk 143
3.4.5.9 Behandling av ideelle organer og opplysninger den registrerte selv har offentliggjort 146
3.4.5.10 Adgang til å gi nasjonale bestemmelser om visse særlige kategorier personopplysninger ............................................ 149
3.4.6 Behandling av personopplysninger om straffedommer og lovovertredelser ...................................................................................
3.4.7 Bruk av fødselsnummer og andre entydige identifikasjonsmidler 151
4.1 Generelt
4.1.1 Gruppering av bestemmelser og spørsmålet om hvem bestemmelsene gjelder .................................................................... 153
4.1.2 Adgang til å begrense rettighetene 155
4.2 Åpenhet og gjennomsiktighet ........................................................................
4.2.1 Innledning og om forholdet til annen innsynslovgivning 157
4.2.2 De ulike faste opplysningene som det skal gis informasjon om eller gis innsyn i 159
4.2.3 Nærmere om informasjonspliktene 172
4.2.3.1 Hovedreglene om informasjonsplikt og informasjon om bruk til andre formål 172
4.2.3.2 Tidspunkt for når informasjon skal gis, og formidlingsmåte .............. 174
4.2.3.3 Unntak fra plikten til å informere 175
4.2.4 Nærmere om innsynsretten 178
4.2.4.1 Generelt ....................................................................................... 178
4.2.4.2 Om innsyn i den generelle informasjonen om behandlingen 178
4.2.4.3 Om innsyn i egne personopplysninger ............................................ 180
4.2.4.4 Kostnader knyttet til innsyn i generell informasjon og egne opplysninger 183
4.3 Andre rettigheter (retting, sletting mv.)
4.3.1 Innledning ...............................................................................................
4.3.2 Retting og supplering ...............................................................................
4.3.3 Rett til sletting
4.3.3.1 Generelt .......................................................................................
4.3.3.2 Tiltak for å maksimere effekten av sletting
4.3.3.3 Unntak fra bestemmelsene om sletting ............................................
4.3.4 Protest mot behandling ............................................................................
4.3.4.1 Generelt .......................................................................................
4.3.4.2 Situasjoner som gir rett til å kreve begrenset behandling
4.3.4.3 Virkningen av at behandlingen er begrenset, og gjennomføring .........
4.3.6 Underretningsplikt i samband med retting, sletting og begrenset behandling av personopplysninger
4.3.7 Dataportabilitet........................................................................................
4.4
4.5 Krav til gjennomføring av bestemmelser om registrertes
5.2 Generelt og grunnleggende prinsipp for overføring til tredjestater og internasjonale organisasjoner ........................................................................
5.3 Overføring av personopplysninger til tredjestater mv. på grunnlag av beslutning om tilstrekkelig beskyttelsesnivå 231
5.4 Overføring av personopplysninger til tredjestater når det er gitt nødvendige garantier 232
5.5 Overføring av personopplysninger til tredjestater i særlige situasjoner ..... 234
6.1
6.1.3
6.2
6.3
6.3.2 Om forutsetningen for at det skal foreligge plikt til innbygging ..................
6.3.3 Om når innbygging skal skje
6.3.4
6.3.4.1
6.3.4.2
6.2.4.3
6.4
6.4.3 Melding til Datatilsynet om sikkerhetsbrudd, herunder krav til dokumentasjon
6.4.4 Underretning til registrerte om sikkerhetsbrudd .......................................
6.4.5 Testing og evaluering av sikkerhetstiltak
Avgrensing av plikten til å konsekvensvurdere .............................................
Innholdsmessige krav til konsekvensvurderinger
7.3.2 Systematisk beskrivelse av den planlagte behandlingsaktiviteten
7.3.3 Vurdering opp mot behandlingsformål
7.3.4 Vurdering opp mot risiko for rettigheter og friheter, samt vurdering av tiltak
7.4 Forholdet mellom konsekvensvurderinger og forhåndsdrøftinger med Datatilsynet .............................................................................................
Personvernforordningen (GDPR) regulerer hvordan opplysninger om personer kan behandles i Norge og i EØS for øvrig. Forordningen er omfattende, kompleks, vurderingspreget og ofte vanskelig å forstå. Likevel må alle som behandler personopplysninger følge bestemmelsene. Manglende etterlevelse vil kunne gi store bøtestraffer og erstatningsansvar.
Boken er skrevet med vekt på å formidle logikken i forordningen, analysere og systematisere «ugjennomtrengelige» enkeltbestemmelser, og påvise viktige sammenhenger mellom de spørsmål som er regulert. Målet er å sette leseren i stand til å resonnere selvstendig.
De aller fleste bestemmelsene som har betydning for å kunne samle inn og behandle personopplysninger på lovlig måte blir gjennomgått. Vekt blir lagt på å forklare og drøfte mulige fortolkninger. Ofte gir forfatteren konkrete, supplerende råd om hvordan en bør innrette seg.
Fremstillingen omfatter blant annet:
•Grunnleggende om begreper og prinsipper innen personopplysningsretten
•Hva forordningen regulerer
•Hvor forordningen gjelder
•Hvem som blir berørt av forordningen
•Hvilke rettigheter registrerte personer har
•Hvilke plikter de som samler inn og behandler personopplysninger har
Redegjørelser og drøftelser går forholdsvis tett inn på sentrale deler av ordlyden. Vektlegging av oversikt og sammenhenger går altså ikke på bekostning av detaljerte innsikter. Likevel fortaper ikke forfatteren seg i finurligheter.
Boken er både skrevet som hjelp til studenter som vil lære seg personvernrett, og for praktikere i offentlig og privat sektor med ansvar for å etterleve bestemmelser om personopplysningsvern. Trolig vil også eksperter innen personvernrett ha nytte av forfatterens drøftelser og observasjoner.
