personvernregelverket

Personvernregelverket er den rettslige rammen som regulerer behandling av personopplysninger i Norge og i EU/EØS. Den sentrale delen er GDPR, som gjennom nasjonale regler gir enkeltpersoner rettigheter og pålegger behandling av opplysninger ansvar og plikter for virksomheter og offentlige myndigheter. Regelverket gjelder all behandling av personopplysninger i tilknytning til virksomhet eller aktiviteter i EU/EØS, og omfatter både private og offentlige aktører. Målet er å beskytte personvernet, sikre rettssikkerhet og tillit i digitale tjenester.

Grunnleggende prinsipper er lovlighet, rettferdighet og åpenhet; formålsbegrensning; dataminimering; riktighet; lagringsbegrensning; integritet og konfidensialitet; og ansvarlighet. Behandlingen må ha et gyldig rettslig grunnlag—for eksempel samtykke, kontrakt, lovpålagt oppgave, vitale interesser, offentlig oppgave eller berettiget interesse.

Rettighetene for registrerte inkluderer innsyn, retting, sletting, begrensning av behandling, dataportabilitet, innsigelse og tilbaketrekking av samtykke. I noen tilfeller gjelder også beskyttelse mot automatiserte avgjørelser. Organisasjoner må kunne dokumentere overholdelse og styre behandlingene etter prinsippene om personvern ved design og som standard.

Forpliktelser inkluderer vurdering av personvern ved forhøyet risiko (DPIA) og utnevnelse av personvernombud ved bestemte aktiviteter. Brudd på personopplysninger skal varsles til Datatilsynet innen 72 timer og til de registrerte når risikoen er høy. Sikkerhetstiltak, internkontroll og rutiner for håndtering av opplysninger er sentrale.

Norge følger GDPR gjennom den norske personopplysningsloven og forskrifter, og Datatilsynet er tilsynsmyndighet. Overføring av data til land utenfor EØS krever passende garantier, som adekvans eller Standard Contractual Clauses (SCCs).