Konsesjon og melding

Konsesjon og melding

Hovudregelen er at behandling av sensitive personopplysingar er konsesjonspliktig. Her finn du reglane.

Om du må melde eller søke konsesjon er avhengig av kva typar opplysingar du skal behandle, til kva formål og på kva for måtar du skal behandle opplysingane.Du har plikt til å melde eller søkje konsesjon for behandling av opplysingar berre dersom opplysingane er omfatta av personopplysingslova.

Melding: Du orienterer Datatilsynet om at du skal behandle personopplysingar. 

Konsesjon: Du ber Datatilsynet om lov til å behandle sensitive personopplysingar.

Meldeplikta fell bort i mai 2018, når vi får ny personvernlov i Noreg. Fram til dette tidspunktet gjeld meldeplikta i tilfeller der du behandlar personopplysingar med elektroniske hjelpemiddel, og i tilfeller der du behandlar sensitive opplysingar manuelt. Unntaka frå denne regelen finn du i personopplysningsforskrifta § 7 II.

Lurar du framleis på om du er meldepliktig? Les meir om melding

Kva tid trengst konsesjon?

Behandling av sensitive opplysingar treng konsesjon. Verksemder som behandlar personopplysingar og som driv i telesektoren, bank-, finans- eller forsikringssektoren må òg søkje konsesjon for sine behandlingar. Det same gjeld kredittopplysningsverksemder. Sjå meir i kapittel 4 og kapittel 7 i personopplysingsforskrifta (lovdata.no).

I tillegg kan Datatilsynet avgjere at visse behandlingar treng konsesjon. Dette skjer berre i heilt spesielle tilfelle, og det krev at behandlinga heilt tydeleg vil kunne krenke personverninteresser som veg svært tungt. I vurderinga om konsesjon er naudsynt eller ikkje, skal Datatilsynet ta omsyn til formålet med behandlinga, kva for opplysingar det er snakk om og kor mange opplysingar det er.

Gå vidare til å søkje konsesjon

Unntak frå konsesjonsplikt

Det er fleire unntak frå konsesjonsplikta. Dei fleste av desse unntaka følgjer av personopplysningsforskrifta kapittel 7, og særlovgiving.

  • Litterære formål. Behandlingar berre for kunstneriske, litterære eller journalistiske formål er også unntatt konsesjonsplikt.
  • Forsking. Nokre behandlingar er unntatt konsesjonsplikt dersom dei oppfyller bestemde vilkår, men behandlingane skal meldast til Datatilsynet. Dette gjeld nokre forskingsprosjekt. Les meir om dette
  • Stat og kommune. Behandling av personopplysingar i stat eller kommune er unnateke konsesjonsplikta når behandlinga har heimel i eigen lov. Denne typen behandlingar vil likevel vere meldepliktige. Les meir om melde- og konsesjonsplikt i kommunane.

Behandlingar som verken treng melding eller konsesjon

Nokre behandlingar er unnteke krava til melding eller konsesjon. Dette gjeld

  1. klientregister
  2. kvitvaskingsregister og tilknytta behandlingar av personopplysingar
  3. sensitive kundeopplysingar
  4. foreiningar sine medlemsopplysingar
  5. personalregister
  6. domstolanes behandling av personopplysingar
  7. elev- og studentopplysningar ved skole og universitet
  8. opplysingar om barn i barnehagar og skolefritidsordningar

Sensitive opplysningar som er gitt uoppfordra

Behandling av sensitive opplysingar som er gitt uoppfordra, er unnateke konsesjonsplikt. Når du vurderer om opplysingane faktisk er gitt uoppfordra, må du også sjå på situasjonen dei er gitt i. Dersom systemet eller situasjonen legg opp til at opplysingane skal bli gjevne, blir dei ikkje gitt uoppfordra.