personvernloven

Personvernloven, formelt Lov om behandling av personopplysninger (personopplysningsloven), ofte kalt personvernloven, er den norske lovgivningen som implementerer EUs personopplysningsforordning (GDPR) i Norge. Loven gjelder behandling av personopplysninger som skjer i offentlig sektor, privat sektor og i andre sammenhenger i Norge, og omfatter også overføring av opplysninger til utlandet og til tredje land under visse vilkår. Formålet er å beskytte enkeltpersoners rettigheter og friheter ved behandling av persondata, samtidig som virksomheter har rammer for lovlig behandling.

Loven innfører roller og prinsipper: behandlingsansvarlig (data controller) og databehandler (processor), ansvar for å avklare rettslig grunnlag for behandling, og plikt til å følge prinsippene om lovlighet, åpenhet, formålbegrensning, dataminimering og sikkerhet. Behandling av spesielle kategorier av personopplysninger krever særskilte regler. Berørte har rett til innsyn, retting, sletting (retten til å bli glemt), begrensing av behandling, dataportabilitet og rett til å protestere mot behandling, under visse forutsetninger. Samtykke må være frivillig, eksplisitt og spesifikt der det er grunnlag for behandling. For vurdering av risiko kan virksomheter gjennomføre en personvernkonsekvensutredning (PKU).

Datatilsynet, Norges tilsynsmyndighet for personvern, fører tilsyn, gir veiledning og kan treffe pålegg eller ilegge sanksjoner ved overtredelser. Loven innlemmer også krav om varslingsplikt ved databrudd til tilsynet og, i visse tilfeller, til berørte personer. Behandlingsansvarlige har også plikt til å dokumentere behandlingen og gjennomføre nødvendige sikkerhetstiltak.

Personopplysningsloven er tilpasset GDPR og opererer innenfor EØS-avtalen. Den gir detaljerte regler der GDPR gir overordnede rammer, og inneholder nasjonale tillegg og presiseringer som gjelder norsk rettslig kontekst. Regelverket styrker enkeltpersoners rettigheter samtidig som det gir rammer for transparent og sikker behandling av personopplysninger.