personvernforordning

Personvernforordningen, ofte referert til som GDPR i EU-sammenheng, er en omfattende personvernlovgivning vedtatt av Den europeiske union i 2016 og trådte i kraft i 2018. Den er integrert i EØS-retten og gjelder i Norge gjennom EØS-avtalen. Formålet er å beskytte individers rett til personvern og å harmonisere behandlingen av personopplysninger i det indre markedet.

Omfanget gjelder all behandling av personopplysninger av behandlingsansvarlige og behandlere etablert i EU/EEA, og også behandling av data om personer i EU/EEA når virksomheter utenfor EU/EEA tilbuder varer eller tjenester eller overvåker atferd i EU/EEA.

Grunnleggende prinsipper inkluderer at behandlingen skal være lovlig, rettferdig og gjennomsiktig, at den skal ha et klart angitt formål, være dataminimert og nøyaktig, lagres ikke lenger enn nødvendig, og sikre integritet og konfidensialitet samt ansvarsoppfyllelse hos virksomheten.

Registrerte har flere rettigheter, blant annet innsyn i egne opplysninger, retting, sletting (retten til å bli glemt), begrensning av behandling, dataportabilitet, innsigelse og rettigheter knyttet til automatisert behandling og profiling.

Lovlige grunnlag for behandling inkluderer samtykke, kontrakt, lovlig forpliktelse, vern av vitale interesser, offentlig oppgave og berettigede interesser.

Virksomheter må oppfylle forpliktelser som å gi tydelige personvernopplysninger, anvende personvern som standard i design og som standardinnstillinger, gjennomføre vurdering av personvern ved høy risiko (DPIA), og varsle om databrudd innen 72 timer der risikoen er høy.

Overføringer til tredjeland krever tilstrekkelighet eller passende garantier som standard kontraktsklausuler og bindende virksomhetsregler.

Tilsyn og håndhevning skjer gjennom nasjonale tilsynsmyndigheter med uavhengighet og betydelige sanksjoner, inkludert bøter opp mot 20 millioner euro eller 4% av global omsetning.

I Norge håndterer Datatilsynet oppgaver knyttet til overholdelse, og virksomheter som behandler personopplysninger i Norge eller rettet mot norske innbyggere må etterleve regelverket.

GDPR har hatt betydelig innvirkning på praksiser innen markedsføring, HR, IT og tjenesteutvikling ved å legge vekt på samtykke, rettigheter og ansvarlig databehandling.