personvernforordninger

Personvernforordninger er sett av juridiske regler som styrer hvordan personopplysninger innhentes, oppbevares og behandles av offentlige myndigheter og private virksomheter. Den mest betydningsfulle er EU’s General Data Protection Regulation (GDPR), som i praksis gjelder for hele EØS-området og for virksomheter som tilbyr varer eller tjenester til borgere i området, uavhengig av hvor behandlingen foregår. I Norge er GDPR implementert gjennom personopplysningsloven, og tilsynet for oppfølging er Datatilsynet.

Hovedprinsippene i personvernforordningene omfatter lovlighet, rettferdighet og åpenhet; formålsbegrensning; datareduksjon; riktig og oppdatert data; lagringsbegrensning; integritet og konfidensialitet; samt ansvarlighet. Behandlingen må ha en rettslig grunn, for eksempel samtykke, kontraktsforpliktelser eller annet legitimt formål, og virksomhetene må dokumentere overholdelse og kunne demonstrere kontrolltiltak.

Registrerte har en rekke rettigheter etter forordningene, inkludert rett til innsyn i egne opplysninger, rett til retting og sletting, rett til begrensning av behandling, rett til dataportabilitet og rett til å gjøre innsigelser mot behandling, spesielt ved profilering eller automatiserte avgjørelser. Samtykke må være frivillig, spesifikt og enkelt å trekke tilbake. I enkelte tilfeller kan enkeltheter omSensitive personopplysninger og automatisert avgjørelse være underlagt særlige regler.

Forpliktelser og risiko knytter seg til blant annet krav om lovlig basis for behandling, personvern som standardinnstilling (privacy by design/by default), risikovurderinger og personvernkonsekvensanalyser ved spesielle behandlinger, samt varsling av brudd på personopplysninger til relevante myndigheter og berørte personer innen kort tid. Større behandlingsaktiviteter kan kreve en personvernrådgiver (DPO) og dokumentasjon av behandlingsaktiviteter.

Overføring av personopplysninger til land utenfor EØS er underlagt strenge regler og tilstrekkelige garantier (for eksempel beslutning om adekvate beskyttelsestiltak eller standard kontraktsbestemmelser). Tilsyn og sanksjoner håndheves av nasjonale datatilsyn og EU-myndigheter, med potensielt betydelige bøter ved brudd. Samlet sett søker personvernforordninger å beskytte individers rett til personvern samtidig som virksomheter får tydelige rammer for behandling av data.