personopplysningslov

Personopplysningsloven, Lov om behandling av personopplysninger, er Norges rammeverk for behandlingen av personopplysninger og implementerer GDPR i norsk rett. Den gjelder både offentlige og private virksomheter og fastsetter hva som er tillatt, hvilke plikter som gjelder og hvilke rettigheter registrerte har.

Nøkkelbegreper i loven inkluderer personopplysninger, behandling, registrert, behandlingsansvarlig og databehandler. Loven bygger på prinsippene om lovlighet, rettferdighet og åpenhet; formålsbegrensning; dataminimering; korrekthet; lagringsbegrensning; integritet og konfidensialitet; samt ansvarlighet. Behandlingen må ha et rettslig grunnlag, som samtykke, kontrakt, rettslig forpliktelse, vitale interesser, offentlig oppgave eller legitime interesser.

Registrerte har rett til innsyn i egne opplysninger, retting, sletting, begrensning av behandling, dataportabilitet og rett til å protestere mot eller motsi seg visse automatiserte avgjørelser. Behandlingsansvarlige og databehandlere må ivareta sikkerhet og personvern, blant annet gjennom tiltak som innebygget personvern og konsekvensvurdering av personvern (DPIA) ved høy risiko.

Brudd på personopplysningssikkerheten varsles til Datatilsynet og, avhengig av omfanget, til de registrerte. Datatilsynet fører tilsyn og gir veiledning. Når opplysninger overføres til tredjeland, gjelder krav om tilstrekkelige beskyttelsestiltak eller passende garantier. Loven suppleres av forskrifter som regulerer nærmere regler for spesifikke områder som arkivering og forskning.