Forskrift til personopplysningsloven

Hele forskriften finner du på hjemmesida til Datatilsynet.

Følgende paragrafer gir viktig informasjon om behandlinger som er unntatt fra meldeplikt og konsesjonsplikt:

§ 7-7 Kunde-, abonnent- og leverandøropplysninger
Bestemmelsen regulerer alle elektroniske kunderegistre uten sensitive opplysninger, samt eventuelle manuelle sensitive registre. Elektroniske kunderegistre med sensitivt innhold reguleres av § 7-14. Slike behandlinger reguleres i særskilt bestemmelse i kapittelets del om unntak fra konsesjons- og meldeplikt.

En kontraktsforpliktelse påhviler partene til oppgjør har funnet sted, leid vare er tilbakelevert, fakturering har funnet sted ol. Formålsangivelsen fungerer derfor også som en begrensning med hensyn til hvor lenge opplysninger kan være lagret. Bestemmelsen bør kunne gjelde både for salg, utleie og utlånsvirksomheter (f.eks. bibliotek). Regelen må være at opplysninger om hvilken gjenstand kunden har leid eller lånt, skal slettes når gjenstanden er
tilbakelevert. Dette hindrer at utleier eller utlåner bygger opp en base inneholdende historikk om utleide og lånte gjenstander. Slik informasjon vil lett kunne benyttes til å danne uønskede profiler av kundene. Senere bruk av kundeopplysninger i markedsføring vil være en ny type behandling, som det må foreligge hjemmel for i personopplysningsloven §§ 8 og 11. Bruken av opplysningene vil da være ledd i gjennomføring av ny kontraktsforpliktelse, nemlig avtalt bruk av personopplysninger til markedsføring til den registrerte. Også denne behandlingen vil være dekket av § 7-7, under forutsetning av at personopplysningslovens øvrige krav til behandlingen er oppfylt. Dersom den registrerte ikke samtykker i videre bruk av opplysningene i markedsføring, må opplysningene slettes, eventuelt overføres til et salgsstøtteregister over mulige kunder, dersom det foreligger grunnlag for opprettelse av et slikt.

§ 7-14 Sensitive kundeopplysninger
Bestemmelsen regulerer elektroniske behandlinger med sensitive opplysninger hos frisører, leverandører av medisinsk utstyr til privat bruk og andre som måtte ha saklig behov for sensitive opplysninger om sine kunder. Det ligger her i kontraktsforholdet at leverandøren av varen eller tjenesten i mange forhold må behandle sensitive personopplysninger for å kunne levere det kunden ønsker. At den registrerte har gitt et generelt samtykke til behandling av personopplysninger, er ikke tilstrekkelig for unntak fra melde- og konsesjonsplikten, jf. personopplysningsloven § 8. Samtykket skal være konkret i forhold til de sensitive opplysningene. Dette følger av § 9 første ledd bokstav a, men er gjentatt i forskriften for å understreke viktigheten av dette vilkåret. Dersom et slikt samtykke ikke foreligger, er behandlingen melde- og konsesjonspliktig.