Personvern innebærer en mulighet for den enkelte: En skal ha adgang til å bestemme over informasjonen om seg selv i størst mulig grad. Derfor har den enkelte rettigheter, og den som gjør nytte av andres personopplysninger har plikter.

Både personopplysningsloven og helseregisterloven har regler om:

• Når man lovlig kan bruke personopplysninger:
  Samtykke eller lovhjemmel er hovedregelen
• Innsyn i opplysninger:
  Man har innsynsrett i personopplysninger om seg selv, med mindre en lov- eller forskriftsbestemmelse sier noe annet.
• Informasjonsplikt
  Informasjon
• Retting, sletting, sperring og komplettering av opplysninger
  

I tillegg finnes bestemmelser om:

• når man lovlig kan overvåke med kamera (Personopplysningsloven)
• reservasjon mot direkte markedsføring per post og telefon (Personopplysningsloven)
• når man lovlig kan opprette helseregistre (Helseregisterloven)

Virksomheter som bruker personopplysninger må

• sikre de registrertes rettigheter
• melde fra til eller søke konsesjon hos Datatilsynet
• ha tilfredsstillende informasjonssikkerhet
• ha en systematisk tilnærming til personvern og informasjonssikkerhet gjennom et internkontrollsystem

Plikter

Bruk av personopplysninger skal primært baseres på at man har samtykke fra den enkelte eller lovhjemmel for bruken. Personopplysningsloven gir også noen andre mulige lovgrunnlag for behandling av personopplysninger  (behandlingsgrunnlag i loven.) Bestemmelsene om når man kan bruke personopplysninger finner du i §§ 8, 9, og 11 i personopplysningsloven.

Informasjonssikkerhet
Virksomheten skal sørge for tilfredsstillende informasjonssikkerhet. Alle som behandler personopplysninger og som omfattes av loven, må vurdere sikkerhetsbehovet. Dette gjelder uavhengig av hvorvidt behandlingen er konsesjonspliktig, meldepliktig eller ingen av delene. Ett av kapitlene i forskriften til personopplysningsloven omhandler informasjonssikkerhet. En behandlingsansvarlig skal, med utgangspunkt i forskriften, kunne etablere et sikkerhetssystem uten altfor omfattende veiledning fra Datatilsynet.

Internkontroll og krav til dokumentasjon
Virksomheter som behandler personopplysninger skal lage et system for internkontroll. Rutiner og tiltak som skal sikre at loven blir etterlevd skal kunne dokumenteres. Dokumentasjonen skal være tilgjengelig for ansatte, Datatilsynet og Personvernnemnda.

Meldeplikt eller konsesjonsplikt?
All behandling av personopplysninger er i utgangspunktet meldepliktig. En del behandlinger er imidlertid unntatt i forskriften til personopplysningsloven. Dette gjelder blant annet kunderegistre, personalregistre og foreningers medlemsregistre. Det stilles vilkår til fritaket fra meldeplikt. Kravene i loven gjelder selv om behandlingen er unntatt meldeplikt.

Noen behandlinger er konsesjonspliktige, og skal dermed ikke meldes. Meldeplikten blir her erstattet av konsesjonssøknad til Datatilsynet. Dette gjelder som hovedregel all behandling av sensitive personopplysninger. I tillegg er enkelte behandlinger, som i utgangspunktet er meldepliktige, i stedet gjort konsesjonspliktige ved forskrift. Dette dreier seg om behandling av personopplysinger innen telesektoren, i forsikringsbransjen og i banker og finansinstitusjoner. Noen behandlinger av sensitive opplysninger er likevel unntatt konsesjonsplikt. Behandlinger som er unntatt konsesjonsplikt har meldeplikt, dersom ikke annet er bestemt.

På sidene under finner man mer informasjon om de enkelte pliktene.