Innsynsrett
Alle har rett til informasjon om hvilke personopplysninger som er registrert om dem, hvorfor opplysningene er registrert og hva de brukes til.
Ønsker man mer informasjon om en spesifikk behandling, har man også krav på det. Da skal virksomheten oppgi navn og adresse på den behandlingsansvarlige, hvem som eventuelt har det daglige ansvaret, formålet med behandlingen, hvilke typer personopplysninger som behandles, hvor opplysningene er hentet fra, og eventuelt hvem de vil bli utlevert til. Er man selv registrert hos den behandlingsansvarlige, skal man ha informasjon om hvilke opplysninger virksomheten har om en, og hvilke tiltak som er satt i gang for å sikre opplysningene. Slik informasjon skal ikke være så utfyllende at sikkerheten blir svekket. (Personopplysningsloven § 18)
Informasjonsplikt
Virksomheter som samler inn personopplysninger har plikt til å informere den opplysningene gjelder. Virksomheten skal informere på eget initiativ.
Informasjonen skal minst inneholde navn og adresse på den behandlingsansvarlige, formålet med behandlingen, og om det er frivillig å gi fra seg opplysningene. I tillegg skal det opplyses om opplysningene kan bli utlevert til tredjepart og hvor lenge opplysningene blir lagret. Videre skal den opplysningene gjelder få informasjon som gjør det lettere for henne å ivareta sine rettigheter, som for eksempel om retten til innsyn, retting og sletting.
Informasjonsplikten gjelder både når virksomheten samler inn personopplysninger direkte fra den opplysningene gjelder, og når de kommer fra en tredjeperson. Det er likevel ikke nødvendig å informere dersom det er på det rene at informasjonen er kjent fra før. Det er flere unntak fra informasjonsplikten når opplysningene samles inn fra en tredjeperson. Se om unntak lenger ned i artikkelen.
Henvendelser på bakgrunn av personprofiler
Når noen kontakter en person på bakgrunn av en personprofil, skal han eller hun få vite hvem som er behandlingsansvarlig og hvilke opplysninger som ligger til grunn for profilen. Vedkommende skal også få vite hvor opplysningene er hentet fra. Man har imidlertid ikke krav på informasjon om hvilke vurderinger den behandlingsansvarlige har fattet på bakgrunn av profilen. (Personopplysningsloven § 21)
Unntak fra innsynsrett og informasjonsplikt
Det finnes unntak fra innsynsretten og informasjonsplikten. For eksempel har man ikke krav på innsyn eller informasjon når opplysningene må hemmeligholdes av hensyn til etterforskning av straffbare handlinger. Behandling av personopplysninger til intern saksforberedelse er også unntatt.
For behandling av opplysninger til historiske, statistiske eller vitenskapelige formål er det også gjort unntak fra innsynsretten.
For flere unntak, se personopplysningsloven § 23 og siste avsnitt i § 18.