Ofte stilte spørsmål

• Hvordan komme i gang med rollen som personvernombud?

  • Start intern dialog for å finne ut hva som trengs, og for å finne ut hvor det eventuelt brenner! Gode spørsmål å starte med er: Har virksomheten internkontrollsystem? Er systemet tilfredsstillende?

    For å orientere deg om hva som kreves av et personvernombud, og få tips til hvordan du kan løse oppgavene knyttet til denne rollen, kan du lese mer her:

    1. Veiledere for personvernombud
    2. Personvernombudets plikter
    3. Skjema og maler for personvernombud

    Mer om personvernombudsordningen

• Hva er behandling av personopplysninger?

  • I personopplysningsloven § 2 nr 2 er en behandling definert slik:

    "behandling av personopplysninger, enhver bruk av personopplysninger, som f. eks. innsamling, registrering, sammenstilling, lagring og utlevering eller kombinasjon av slike bruksmåter"
    

    Behandling er alltid knyttet til et formål. All bruk av personopplysninger som faller inn under ETT formål er en behandling. For eksempel er personaladministrasjon en behandling, og kameraovervåking en annen.

• Hva er poenget med meldeskjemaet for personvernombud?

  • Med et personvernombud i virksomheten har man ikke lenger meldeplikt til Datatilsynet etter personopplysningsloven § 31. Personvernombudet har derimot plikt til å ha en oversikt over alle behandlinger i virksomheten som ellers skulle vært meldt til Datatilsynet. Meldeskjemaet for personvernombud er laget som en hjelp for ombudene. Hvis alle som melder behandlinger benytter skjemaet vil ombudene ved å lagre disse få en oversikt over virksomhetens behandlinger av personopplysninger.

    Mer om personvernombudsordningen

• Hvordan registrere meldinger om behandling av personopplysninger?

  • Det er laget et eget meldeskjema for personvernombudene. Skjemaet er mer detaljert og utfyllende enn det offentlige meldeskjemaet som andre bruker, men det er likevel frivillig å bruke skjemaet. Meldeskjemaet er utarbeidet for personvernombudene, og er ment å være et støtteverktøy som gjør det enklere å holde orden på meldingene. Det må føres et skjema for hver behandling.
    
    Meldeskjema for personvernombud

    Mer om personvernombudsordningen

• Kan man lage sitt eget meldeskjema?

  • Ja, men skjemaet må tilfredsstille § 32 i personopplysningsloven. Om du ønsker, kan du legge skjemaet fram til vurdering for Datatilsynet.

    Personopplysningsloven § 32 om meldingens innhold:

    Meldingen skal opplyse om

    1. navn og adresse på den behandlingsansvarlige og på dennes eventuelle representant og databehandler,
    2. når behandlingen starter,
    3. hvem som har det daglige ansvaret for å oppfylle den behandlingsansvarliges plikter,
    4. formålet med behandlingen,
    5. oversikt over hvilke typer personopplysninger som skal behandles,
    6. hvor personopplysningene hentes fra,
    7. det rettslige grunnlaget for innsamlingen av opplysningene,
    8. hvem personopplysningene vil bli utlevert til, herunder eventuelle mottakere i andre stater, og
    9. hvilke sikkerhetstiltak som er knyttet til behandlingen.

    Mer om personvernombudsordningen

• Hva gjør man med meldinger som allerede eksisterer hos Datatilsynet?

  • Dersom ombudet velger å ha en egen oversikt over behandlingene, bør meldingene som er registrert hos Datatilsynet slettes. De vil uansett forsvinne fra systemet tre år etter at meldingen ble sendt.

    Mer om personvernombudsordningen

• Kan man sende inn meldinger til Datatilsynet?

  • Ja, et ombud kan velge å bruke den offentlige meldedatabasen til Datatilsynet, selv om man har fått innvilget fritak fra dette. Meldingen forsvinner imidlertid fra Datatilsynet sine systemer etter tre år. Vi anbefaler at personvernombudene selv lager en oversikt over alle meldinger.

    
    Mer om personvernombudsordningen

• Hvem kan fylle ut meldeskjema?

  • Andre enn personvernombudet kan fylle ut meldeskjemaet dersom det er ønskelig. Men personvernombudet må ha oversikt over alle behandlinger som virksomheten ellers skulle ha meldt til Datatilsynet.

    
    Mer om personvernombudsordningen

• Når skal man fylle ut nytt meldeskjema?

  • Ny behandling = nytt skjema. Det kreves også nytt meldeskjema for å gjøre endringer i eksisterende behandlinger.

    Mer om personvernombudsordningen

• Hva gjør jeg når jeg er ombud og skal ut i permisjon?

  • Dersom du skal ut i permisjon i mer enn tre måneder, må virksomheten søke om å få oppnevnt et nytt ombud. Dersom virksomheten blir stående uten ombud mens du er i permisjon, må man informere Datatilsynet om dette. Samtidig må man være oppmerksom på at meldeplikten gjelder for virksomheten igjen, og at alle behandlinger må meldes inn til Datatilsynet. Bruk endringsskjema for personvernombud

    Mer om personvernombudsordningen

• Hva skal jeg gjøre når jeg slutter i virksomheten?

  • Send skriftlig informasjon til Datatilsynet. I vedtaket fra Datatilsynet står det i punkt 4:

    "Datatilsynet skal informeres dersom avtalen om personvernombud opphører, eller virksomheten endrer personvernombud".

    Datatilsynet setter stor pris på om du blir ombud også på din nye arbeidsplass.
    Skjema for endring av personvernombud eller opprettelse av nytt personvernombud.

    Mer om personvernombudsordningen

• Må vi gi beskjed når en annen i samme virksomhet skal ta over som ombud?

  • Ja, da må det sendes inn et endringsskjema for personvernombud.

    Mer om personvernombudsordningen

• Hvordan komme i gang som ombud?

  • Start intern dialog for å finne ut hva som trengs, og for å finne ut hvor det eventuelt brenner! Gode spørsmål å starte med er: Har virksomheten internkontrollsystem? Er systemet tilfredsstillende?

    Se også veileder for personvernombud (nytt vindu)

    Mer om personvernombudsordningen

• Hva bør jeg gjøre som ombud?

  • Vær synlig i virksomheten!

    Personvernombudet er ment å være en ressursperson for virksomheten, og det er viktig at de ansatte vet hvem du er og hva du gjør.

    • Presenter deg og ombudsrollen for alle i virksomheten. Fortell dem hva det vil si å være ombud.
    • Informer nyansatte i virksomheten.
    • Tilby deg å holde foredrag etter at du har vært på kurs
    • Fortell de ansatte i virksomheten om personvernombudsordningen gjennom intranett, e-post eller send ut nyhetsbrev.
    • Oppfordre de ansatte om å si fra dersom noe nytt skal tas i bruk i virksomheten. For å ha god oversikt og kunne gi råd om for eksempel innkjøp av nye system, er det viktig for deg å komme tidlig inn i prosessen.
    • Sørg for at du er blant de første som får vite hva som skjer i virksomheten.
    • Sett opp skilt på døren til kontoret ditt – skriv på visittkortet ditt at du er personvernombud.

    Mer om personvernombudsordningen

• Har personvernombud ansvaret for personvernet i vår virksomhet?

  • Nei, den behandlingsansvarlige har ansvar for at regelverket etterleves i virksomheten. Personvernombudet er ansvarlig for de oppgaver som står i vedtaket.

    Les vedtaket (personvernombudets plikter).

    Mer om personvernombudsordningen

• Hvordan jobbe med internkontroll?

  • En prioritert oppgave for personvernombudene bør være å få på plass tilfredsstillende internkontrollsystem. Datatilsynet har mye informasjonsmateriell og brosjyrer om dette temaet.

    Les veilederen om internkontroll og informasjonssikkerhet

    Les mer om internkontroll og informasjonssikkerhet

    Dette arbeidet utføres som regel av en arbeidsgruppe i virksomheten, som oftest ledes av it-ansvarlig eller sikkerhetsansvarlig.

    Mer om personvernombudsordningen

• Hvem har ansvaret for internkontroll?

  • Behandlingsansvarlig har ansvaret for internkontroll, men personvernombudet har ansvaret for å påse at det finnes en tilfredsstillende internkontroll i virksomheten og si ifra hvis det ikke er tilfellet.

    Les Datatilsynets veileder om internkontroll og informasjonssikkerhet

    Mer om internkontroll

    Mer om personvernombudsordningen

• Hvordan organisere arbeidet for øvrig?

  • Lag rutiner for innhenting av samtykke, sletting og liknende. Lag maler som tilfredsstiller dine behov og som gjør det enkelt for deg å holde oversikt. Dersom du er usikker på om malene er gode nok, ta kontakt med Datatilsynet, eller kontakt noen av de andre personvernombudene som kanskje har erfaring fra liknende behandlinger.
    
    Oversikt over virksomheter med personvernombud

    Mer om personvernombudsordningen

• Kan andre i virksomheten hjelpe meg?

  • Ja, knytt gjerne til deg ressursgrupper eller et lite støtteapparat som du kan samarbeide med i virksomheten. Mange vil gjerne se nytten av å sparre med teknologer, ansatte i IT-avdelingen, jurister eller andre.

    Mer om personvernombudsordningen

• Kan det være mer enn ett ombud i virksomheten?

  • Ja, dersom virksomheten er stor eller driver med helt ulike typer behandling, som for eksempel forskning og undervisning. Stort sett vil Datatilsynet anbefale at en virksomhet kun har ett ombud. Dersom virksomheten vurderer å ha flere ombud må dere kontakte Datatilsynet.

    Mer om personvernombudsordningen.

• Hvilken rolle har ombudet i relasjon til Datatilsynet og egen virksomhet?

  • Ombudet skal gi ledelsen råd og veiledning i personvernspørsmål.

    Personvernombudet representerer virksomheten, men skal på en uavhengig måte vurdere virksomhetens regeletterlevelse på personvernfeltet.

    Les veilederene for personvernombud

    Mer om personvernombudsordningen

• Hva skal ombudet gjøre dersom virksomheten bryter personopplysningsloven?

  • Som ombud må du si i fra til ledelsen om bruddene. I vedtaket fra Datatilsynet står det at personvernombudet er pliktig til å påpeke brudd på personopplysningsloven overfor den behandlingsansvarlige. Dersom ledelsen ikke er lydhør overfor ombudet sine synspunkt, kan man spørre Datatilsynet om konkrete råd. Ordningen mister sin verdi om ledelsen ikke respekterer ombudets funksjon eller ikke tar ombudet på alvor. Skulle situasjonen fremdeles være fastlåst, og du opplever at din rolle ikke blir tilstrekkelig respektert, anbefaler Datatilsynet at du vurderer å trekke deg som ombud.

    Les vedtak om opprettelse av personvernombud

    Mer om personvernombudsordningen

• Hvem skal melde inn eventuelle avvik?

  • Det er den behandlingsansvarlige som er pliktig og ansvarlig for å melde inn avvik, jf. personopplysningsforskriften § 2-6. Ofte vil ombudene bli konsultert i slike situasjoner, og det kan kanskje være like naturlig at ombudet melder inn avvik til Datatilsynet. Det er viktig å understreke at det er opp til hver enkelt virksomhet å selv bestemme hvem som skal melde inn avvik.

    Mer om personvernombudsordningen

• Kan man være ombud og bosatt eller ansatt utenfor Norge?

  • Dersom virksomheten er etablert i Norge er det norsk lov som gjelder. Det finnes ombud som er bosatt i utlandet, men det er viktig at ombudene snakker/forstår ett skandinavisk språk, slik at de kan følge med på kursene våre, som alle er på norsk.

    Mer om personvernombudsordningen

• Er det obligatorisk å delta på grunnkurset?

  • Ja, grunnkurset er obligatorisk, og Datatilsynet ønsker at nye ombud deltar på dette kurset så raskt det lar seg gjøre. Dersom man har inngående kunnskap om personvernregelverket, kan det gjøres unntak. Dette bør avklares med Datatilsynet. Samtidig vil vi anbefale å delta på de andre kursene som blir arrangert i tilknytning til personvernombudsordningen.

    Oversikt over aktuelle kurs

    Mer om personvernombudsordningen

• Hvordan får jeg mer kunnskap om personopplysningsloven?

  • Datatilsynet arrangerer grunnkurs som alle nyoppnevnte ombud bør delta på. Kurset arrangeres jevnlig. Tilsynet tilbyr også kurs i internkontroll og informasjonssikkerhet, regelverk og fagdag for personvernombud. I veiledningen som er laget for personvernombudene finnes det også en liste over relevant litteratur. Det er også lurt å gjøre seg kjent med informasjonen som finnes på Datatilsynet sine nettsider.
    
    Veiledninger for personvernombud

    Mer om personvernombudsordningen

• Skal forskningsprosjekt meldes inn til Datatilsynet?

  • Unntak fra konsesjonsplikten følger av personopplysningsforskriften § 7-27, dersom det blant annet er tilrådd av et personvernombud. Det er utarbeidet et eget meldeskjema for behandlinger innen forskning. Mange ombud opplever at det å arbeide med personopplysninger i forbindelse med forskning er annerledes enn å jobbe med slike opplysninger opp mot andre deler av virksomheten. Dersom man ønsker det, og føler at det letter arbeidet, kan man likevel sende konsesjonssøknad til Datatilsynet på behandlinger knyttet til forskning. Man kan også kontakte ansatte i Datatilsynet som arbeider spesifikt med forskning dersom man har spørsmål eller trenger mer informasjon om personopplysningsloven knyttet til forskning.

    Les mer om meldeskjema og last ned her

    Mer om personvernombudsordningen

• Kan jeg være personvernombud dersom jeg selv er forsker på prosjektet?

  • I slike tilfeller må virksomheten sende inn konsesjonssøknad.

    Les mer og last ned konsesjonsskjema

    
    Mer om personvernombudsordningen