Høring - endringer i politiregisterloven og politiregisterforskriften - implementering av direktiv (EU) 2016/680

• Høringsbrev

  Vår ref.: 16/6645

  Vedlagt følger høring om endringer i politiregisterloven og politiregisterforskriften som implementerer direktiv (EU) 2016/680 om beskyttelse av fysiske personer ved behandling av personopplysninger for å forebygge, etterforske, avdekke eller straffeforfølge lovbrudd eller gjennomføring av straffereaksjoner, og om fri utveksling av slike opplysninger og opphevelse av rådets rammebeslutning 2008/977/JIS. 

  Direktivet er tilgjengelig i dansk versjon her: http://eur-lex.europa.eu/legal-content/DA/TXT/PDF/?uri=OJ:L:2016:119:FULL&from=EN

  I høringsnotatet foreslås det i tillegg enkelte mindre endringer som ikke har direkte sammenheng med direktivet.

  Det bes om eventuelle merknader til lovendringene senest 15. desember 2016.

  Det bes om eventuelle merknader til forskriftsendringene senest 1. februar 2017.

  Les og svar på høringen her: www.regjeringen.no/id2518942.

  Vi ber høringsinstansene vurdere om høringsnotatet bør forelegges underliggende organer eller andre som ikke er oppført på adressatlisten. Høringer er åpne, og alle kan sende innspill til oss.

  Vi ber om at høringssvar sendes inn digitalt ved å bruke skjemaet for høringssvar på regjeringen.no.

  Med vennlig hilsen
  Birgitte Ege
  avdelingsdirektør

  Nina Helene Norby
  rådgiver

• Høringsnotat

  Høringsnotat (PDF)

Utdrag fra høringsnotatet:

2.4.3 Del 2 Informasjonssikkerhet

Artikkel 29 regulerer krav til informasjonssikkerhet. Nytt i forhold til rammebeslutningen er at bestemmelsen eksplisitt sier at kravene gjelder for både den behandlingsansvarlige og for databehandleren. Ettersom politiregisterloven § 15 retter seg både mot den behandlingsansvarlige og databehandlere, er det ikke nødvendig med endringer i politiregisterloven eller forskriften.

Etter artikkel 30 plikter den behandlingsansvarlige å varsle tilsynsmyndigheten straks, og om mulig innen 72 timer, dersom det oppstår informasjonssikkerhetsbrudd som kan medføre risiko for fysiske personers rettigheter og friheter. Se pkt. 2.1 ovenfor om definisjonen av informasjonssikkerhetsbrudd. Databehandlere som oppdager informasjonssikkerhetsbrudd skal varsle den behandlingsansvarlige uten ugrunnet opphold.

Varselet til tilsynsmyndigheten skal etter nr. 3 minst inneholde opplysninger om typen informasjonssikkerhetsbrudd og om mulig kategorier av og antall registrerte og registreringer av personopplysninger som berøres, kontaktpunkt, sannsynlige konsekvenser av sikkerhetsbruddet og iverksatte eller foreslåtte tiltak for å håndtere bruddet, herunder tiltak for å begrense mulige skadevirkninger. Den behandlingsansvarlige skal dokumentere alle informasjonssikkerhetsbrudd. Dersom sikkerhetsbruddet omfatter informasjon som er mottatt fra eller overført til et annet medlemsland, skal informasjonen som nevnt i nr. 3 formidles til den behandlingsansvarlige i medlemslandet uten ugrunnet opphold.

Bestemmelsen tilsvarer forordningen artikkel 33, med unntak av nr. 6 om varsel til avgiver eller mottaker i andre medlemsland, som ikke har noen parallell i forordningen. Kravet om varsling av tilsynsmyndigheten ved informasjonssikkerhetsbrudd er nytt i forhold til rammebeslutningen.

Artikkel 31 regulerer informasjon til den registrerte om informasjonssikkerhetsbrudd. Bestemmelsen tilsvarer forordningen artikkel 34, med unntak av nr. 5 om at informasjon til den registrerte kan utsettes, begrenses eller unnlates på samme vilkår som informasjon til den registrerte kan utsettes, begrenses eller unnlates etter artikkel 13. Bestemmelsen har ingen parallell i rammebeslutningen eller i politiregisterloven. Terskelen for å informere den registrerte er vesentlig høyere enn for å varsle tilsynsmyndigheten, i og med at det kun stilles krav om å varsle dersom informasjonssikkerhetsbruddet sannsynligvis vil innebære stor risiko for fysiske personers rettigheter og friheter.

Informasjon kan i tillegg etter nr. 3 unnlates dersom opplysningene som berøres av bruddet har vært underlagt sikkerhetstiltak, særlig tiltak som gjør opplysningene uforståelige for uautoriserte personer. Også dersom det er iverksatt etterfølgende tiltak som medfører at risikoen er redusert, kan informasjon unnlates. I tilfeller der informasjon til den registrerte vil kreve en uforholdsmessig stor innsats, kan det informeres gjennom en offentlig meddelelse som sikrer at de registrerte underrettes. I tillegg kan som nevnt informasjon unnlates dersom noen av unntakene i artikkel 13 nr. 3 kommer til anvendelse, jf. nr. 5.

Ettersom terskelen er relativt høy, og unntakene fra plikten til å informere den registrerte er såpass omfattende, legger departementet til grunn at det forholdsvis sjeldent vil oppstå plikt til å informere den registrerte som følge av informasjonssikkerhetsbrudd.

Både artikkel 30 og 31 krever endringer i politiregisterforskriften. Etter § 40-5 skal sikkerhetsbrudd behandles som avvik. Dersom avviket har medført uautorisert utlevering av opplysninger hvor konfidensialitet er nødvendig, eller ved mistanke om slik utlevering, skal Datatilsynet varsles. Departementet foreslår at både plikten til å varsle Datatilsynet og til å informere den registrerte inntas i § 40-5.

[...]

2.4.4 Del 3 Personvernrådgivere

Kapittel IV del 3 regulerer personvernrådgivere. Det gis bestemmelser om oppnevning av personvernrådgivere samt personvernrådgiverens plassering og oppgaver. Personvernrådgivere er ikke regulert i rammebeslutningen. I politiregisterloven § 63 er det angitt at det kan etableres en ordning med personvernrådgiver. Personvernrådgiverens oppgaver er nærmere regulert i politiregisterforskriften kapittel 43. Etter direktivet artikkel 32 skal det opprettes en ordning med personvernrådgiver. Det fremgår imidlertid av fortalen punkt 63 at oppgaven kan utføres på heltid eller deltid, og at en personvernrådgiver kan gjøre tjeneste for flere behandlingsansvarlige. Bestemmelsen tilsvarer delvis forordningen artikkel 37, men er blant annet begrenset til kun å gjelde for den behandlingsansvarlige og ikke for databehandlere.

Bestemmelsen nødvendiggjør endringer i politiregisterloven § 63 og forskriften § 43-1 som følge av at ordningen med personvernrådgiver ikke lenger er frivillig. Det foreslås i tillegg å ta ut av lovbestemmelsen at den behandlingsansvarlige skal gi melding til Datatilsynet om at det er etablert en ordning med personvernrådgiver, ettersom dette også er regulert i forskriften § 43-1.

Direktivets artikkel 34 regulerer personvernrådgiverens oppgaver. Bestemmelsen tilsvarer i all hovedsak forordningen artikkel 39, og anses dekket av forskriften § 43-1 om personvernrådgiverens oppgaver.

[...]

5. Samlet forslag til lov- og forskriftsendringer

I politiregisterloven foreslås det følgende endringer:
§ 2 nr. 1 og 2 skal lyde:

1. personopplysning: opplysning og vurdering som kan knyttes til fysisk person som kan identifiseres direkte eller indirekte,

2. behandling av opplysninger: enhver elektronisk eller manuell bruk av opplysninger, som for eksempel innsamling, registrering, systematisering, strukturering, oppbevaring, tilpasning, endring, gjenfinning, søking, videreformidling ved overføring, spredning eller andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, sperring, sletting eller tilintetgjøring eller en kombinasjon av slike bruksmåter,

§ 2 nytt nr. 14 skal lyde:
14. informasjonssikkerhetsbrudd: sikkerhetsbrudd som medfører utilsiktet eller ulovlig ødeleggelse, tap, endring, uautorisert deling av eller tilgang til personopplysninger som er overført, lagret eller behandlet på andre måter.

§ 6 tredje ledd skal lyde:
Når opplysninger behandles skal det så vidt mulig og dersom det er relevant fremgå hvilken kategori personer den registrerte tilhører, for eksempel om vedkommende er mistenkt for å ha begått eller kommer til å begå et lovbrudd, domfelt, er blitt utsatt for et lovbrudd, informant, vitne eller har tilknytning til personer som nevnt. På samme måte skal det så vidt mulig fremgå om opplysninger bygger på faktiske forhold eller vurderinger.

I tillegg skal opplysninger som behandles etter § 5 nr. 2 markeres med kildens pålitelighet og opplysningens holdbarhet.

§ 7 skal lyde:
§ 7 Behandling av særlige kategorier av personopplysninger

Behandling av personopplysninger om rasemessig eller etnisk bakgrunn, politisk, religiøs eller filosofisk overbevisning, fagforeningstilhørighet samt behandling av genetiske og biometriske opplysninger med det formål entydig å identifisere en fysisk person, eller opplysninger om helsemessige eller seksuelle forhold eller seksuell orientering kan bare finne sted dersom det er strengt nødvendig ut fra formålet med behandlingen. Slike opplysninger kan også behandles dersom det er strengt nødvendig for å beskytte den registrertes eller en annens persons vitale interesser.

§ 14 innledningen skal lyde:
Før etablering av et sentralt register, gir Kongen forskrift om […]

§ 22 første ledd nytt fjerde punktum skal lyde:

For utlevering av opplysninger til land som ikke har gjennomført direktiv (EU) 2016/680 og til internasjonale organisasjoner, gjelder i tillegg vilkårene i politiregisterforskriften kapittel 70.

§ 48 annet ledd nr. 2 skal lyde:
2. der det er nødvendig å gjøre unntak av hensyn til kriminalitetsbekjempelse, nasjonal og offentlig sikkerhet, gjennomføring av strafferettslige reaksjoner, vern av andre personer enn den registrerte eller mottakerorganets lovpålagte kontrolloppgaver,

§ 53 annet punktum skal lyde:
Er opplysningene utlevert, skal mottaker av opplysningene varsles om feilen uten unødig opphold og anmodes om å rette, slette eller sperre opplysningene i samsvar med eget rettsgrunnlag.

§ 56 annet ledd skal lyde:
Erstatningen kan også omfatte slik erstatning for skade av ikke-økonomisk art (oppreisning) som synes rimelig, med mindre det godtgjøres at skaden ikke skyldes feil eller forsømmelse på den behandlingsansvarliges side.

Kapittel 9 overskriften skal lyde:

Kapittel 9 Klageadgang, erstatning og rettsmidler

Politiregisterloven § 57 oppheves. Ny § 57 skal lyde:

§ 57 Rettsmidler
Den registrerte kan, uavhengig av rettighetene etter § 55 første ledd og § 59, saksøke den behandlingsansvarlige eller databehandleren dersom vedkommendes rettigheter etter loven har blitt krenket som følge av behandlingen av opplysningene om vedkommende.

Den registrerte kan, uavhengig av rettigheten etter § 61 siste ledd, saksøke Datatilsynet når Datatilsynet har truffet en avgjørelse som er rettslig bindende for den registrerte. Det samme gjelder dersom Datatilsynet ikke behandler en begjæring om kontroll innen 3 måneder, eller ikke innen 3 måneder gir opplysning om sakens fremdrift eller utfall.

Kapittel 10 overskriften skal lyde:

Kapittel 10 Tilsyn

§ 60 overskriften skal lyde:

§ 60 Datatilsynets virkemidler og tvangsmulkt

§ 60 nytt fjerde ledd skal lyde:

Ved pålegg som nevnt i første ledd kan Datatilsynet fastsette en tvangsmulkt som løper for hver dag som går etter utløpet av den fristen som er satt for oppfylling av pålegget, inntil pålegget er oppfylt. Tvangsmulkten løper ikke før klagefristen er ute. Hvis vedtaket påklages, løper ikke tvangsmulkt før klageinstansen har bestemt det. Datatilsynet kan frafalle påløpt tvangsmulkt.

§ 62 annet ledd skal lyde:

Det skal kreves uttømmende og utvidet politiattest for personer som skal utføre tilsyn.

§ 63 første ledd skal lyde:

Det skal etableres en ordning med personvernrådgiver.

§ 69 første ledd nr. 7 skal lyde:

7. informasjonssikkerhet ved behandling av opplysninger etter denne lov, jf. § 15, herunder nærmere regler om organisatoriske og tekniske sikkerhetstiltak, hvem som er behandlingsansvarlig for de ulike behandlingene og hvem som skal informeres ved avvik,

§ 69 første ledd nr. 22 skal lyde:

23. adgang for Datatilsynet til å kreve gebyr for behandling av gjentatte eller åpenbart grunnløse begjæringer

I politiregisterforskriften foreslås det følgende endringer:

§ 1-2 nr. 1 skal lyde:

1. personopplysning: biologisk materiale, som blod, spytt, hår med videre anses som personopplysning dersom materialet er analysert eller på annen måte er identifisert, slik at det kan knyttes til en person. Opplysninger om lokasjonsdata, online-identifikatorer og faktorer knyttet til genetisk informasjon regnes også som personopplysning. En opplysning anses ikke som personopplysning dersom det må brukes uforholdsmessig mye arbeid, tid eller ressurser for å identifisere personen, og

§ 9-9 tredje og nytt fjerde ledd skal lyde:

Før opplysninger utleveres i henhold til politiregisterloven § 22 første ledd skal det foretas en nødvendighetsvurdering, jf. § 4-2. I nødvendighetsvurderingen skal det blant annet legges vekt på hvordan opplysningene vil bli brukt eller behandlet i mottakerlandet.

For utlevering av opplysninger til land som ikke har gjennomført direktiv (EU) 2016/680 og til internasjonale organisasjoner gjelder i tillegg bestemmelsene i kapittel 70.

§ 11-3 overskriften skal lyde:

§ 11-3 Krav ved utlevering av opplysninger

Første ledd skal lyde:

Når opplysninger utleveres eller på annen måte gjøres tilgjengelig skal det så vidt mulig kontrolleres om opplysningene er korrekte, tilstrekkelige og oppdaterte. Dersom det er tvil vedrørende opplysningens kvalitet skal mottaker av opplysningene så vidt mulig gjøres oppmerksom på dette, herunder hva tvilen består i.

§ 11-3 første, annet og tredje ledd blir nytt annet, tredje og fjerde ledd.

§ 11-3 tredje ledd første og annet punktum skal lyde:

Kravet om skriftlighet i annet ledd nr. 1 kan fravikes dersom skriftlighet ville hindre formålet med utleveringen. Ved utlevering av opplysninger til andre formål enn de som er nevnt i annet ledd nr. 1 kan kravet om skriftlighet fravikes dersom det av tidsmessige eller andre grunner anses hensiktsmessig.

Ny § 17-5 skal lyde:

§ 17-5 Avvisning av begjæring om innsyn, retting, sperring og sletting

Begjæring om innsyn, retting, sperring og sletting kan avvises dersom den er åpenbart grunnløs eller fremsatt gjentatte ganger uten at det er foretatt nye registreringer.

Den behandlingsansvarlige må kunne dokumentere at vilkårene for avvisning etter første ledd er oppfylt.

Ny § 17-6 skal lyde:

§ 17-6 Felles saksbehandlingsregler

I forbindelse med avgjørelser som nevnt i §§ 17-3 til 17-5 skal den registrerte informeres om sine rettigheter etter politiregisterloven §§ 55, 59 og § 57 første ledd.

Den behandlingsansvarlige må kunne dokumentere det faktiske og rettslige grunnlaget for avgjørelser som nevnt i §§ 17-3 til 17-5.

Dersom uriktige opplysninger rettes eller slettes og opplysningene er mottatt fra en offentlig myndighet, skal den behandlingsansvarlige underrette avgiveren av opplysningene om rettingen eller slettingen samt hva feilen besto i.

§ 18-1 annet ledd første punktum skal lyde:

Avgjørelser som er truffet i medhold av politiregisterloven kapittel 4 om informasjonssikkerhet og internkontroll er ikke gjenstand for klagebehandling.

§ 39-2 annet ledd skal lyde:

Den behandlingsansvarlige skal ha oversikt over

1. hvordan politiet og påtalemyndigheten er organisert,

2. hvilke behandlinger som finner sted hos den behandlingsansvarlige,

3. det rettslige grunnlaget for behandlingen,

4. hvem som er behandlingsansvarlig, hvem som har det daglige behandlingsansvaret, eventuelt delegert myndighet, og hvem som er personvernrådgiver,

5. de krav i og i medhold av gjeldende lovgivning som gjelder for politiets og påtalemyndighetens behandling av opplysninger, og

6. kategorier av overføringer av opplysninger til tredjeland eller internasjonale organisasjoner.

§ 39-5 nytt annet og tredje ledd skal lyde:

Databehandleren skal ha oversikt over

1. kategorier av opplysninger som behandles på vegne av den behandlingsansvarlige,

2. hvis aktuelt, overføring av opplysninger til tredjeland eller internasjonale organisasjoner, der dette er bestemt av den behandlingsansvarlige, herunder hvilke tredjeland og internasjonale organisasjoner opplysninger er overført til, og

3. tekniske og organisatoriske sikkerhetstiltak, jf. forskriften kapittel 40.

Dokumentasjon som nevnt i annet ledd skal være tilgjengelig for tilsynsmyndighetene.

§ 39-3 nr. 10 og 11 skal lyde:

10. bruk av opplysninger som er sperret, jf. politiregisterloven § 52, og

11. informasjonssikkerhet, jf. politiregisterloven § 15.

§ 39-3 nr. 12 oppheves.

§ 40-5 skal lyde:

§ 40-5 Avvik

Bruk av informasjonssystemet som er i strid med fastlagte rutiner, og informasjonssikkerhetsbrudd, skal behandles som avvik.

Avviksbehandlingen skal ha som formål å gjenopprette normal tilstand, fjerne årsaken til avviket og hindre gjentagelse.

Resultat fra avviksbehandling skal dokumenteres.

Ved informasjonssikkerhetsbrudd skal den behandlingsansvarlige gi melding til Datatilsynet snarest mulig og senest innen 72 timer etter at den behandlingsansvarlige ble kjent med informasjonssikkerhetsbruddet, med mindre det er usannsynlig at bruddet på informasjonssikkerheten innebærer en risiko for den registrertes rettigheter og friheter. Dersom melding gis senere enn innen 72 timer, skal det gis en begrunnelse for forsinkelsen.

Meldingen skal minst inneholde

1. informasjon om type informasjonssikkerhetsbrudd,

2. om mulig, kategorier av og antall registrerte som berøres,

3. om mulig, kategorier av og antall registreringer av personopplysninger som berøres,

4. personvernrådgivers kontaktinformasjon eller annet kontaktpunkt,

5. sannsynlige konsekvenser av informasjonssikkerhetsbruddet, og

6. igangsatte eller foreslåtte tiltak for å håndtere informasjonssikkerhetsbruddet, herunder tiltak for å begrense negative konsekvenser.

Dersom det ikke er mulig å gi opplysninger som nevnt i femte ledd innen fristen, skal opplysningene gis så snart som mulig.

Ved informasjonssikkerhetsbrudd som kan medføre stor risiko for den registrertes rettigheter og friheter, skal den registrerte informeres uten ugrunnet opphold. Dette gjelder likevel ikke dersom opplysningene som påvirkes av informasjonssikkerhetsbruddet er underlagt tilstrekkelige sikkerhetsmekanismer, for eksempel kryptering, det er igangsatt etterfølgende tiltak som reduserer risikoen for negative konsekvenser eller dersom unntakene i politiregisterloven § 48 annet ledd nr. 2 kommer til anvendelse. Dersom det ellers ville være uforholdsmessig arbeidskrevende, kan informasjon til den registrerte gis i form av en offentlig meddelelse eller lignende.

Del 10 overskriften skal lyde:

Del 10 Tilsyn og personvernrådgiverordning
Kapittel 41 oppheves.

§ 42-4 skal lyde:

§ 42-4 Datatilsynets kontroll etter begjæring fra den registrerte

Begjæring om kontroll i henhold til politiregisterloven § 59 skal besvares snarest mulig og senest innen 30 dager. Den registrerte underrettes samtidig om sine rettigheter etter politiregisterloven § 57 annet ledd. Dersom saken ikke kan behandles innen fristen, skal den som har begjært kontroll underrettes om dette med angivelse av når kontrollen kan antas å bli gjennomført. Bestemmelsene i politiregisterloven § 54 første ledd annet og tredje punktum gjelder tilsvarende.

Datatilsynet kan avvise begjæring om kontroll eller kreve gebyr for å behandle begjæringen dersom samme forhold ble kontrollert tidligere, og det ikke foreligger holdepunkter for at det er foretatt nye registreringer.

Dersom begjæring om kontroll gjelder opplysninger som det ikke er gitt innsyn i skal Datatilsynets svar utformes i samsvar med § 17-3 fjerde ledd.

Begjæring om kontroll som gjelder opplysninger som skal kontrolleres av andre tilsynsorganer enn den som har mottatt begjæringen, skal uten unødig opphold videresendes til rette tilsynsmyndighet. Den registrerte skal underrettes om videresendingen.

§ 42-5 oppheves.

§ 43-1 skal lyde:

§ 43-1 Personvernrådgivernes oppgaver

Personvernrådgiveren skal blant annet utføre følgende oppgaver:

1. bistå andre tjenestemenn for å sikre at bestemmelsene i politiregisterloven og forskriften blir fulgt,

2. påse at behandlingsansvarlig har et system for internkontroll som tilfredsstiller politiregisterloven § 16, jf. forskriften kapittel 39,

3. påpeke brudd på politiregisterloven eller forskriften overfor behandlingsansvarlig,

4. gi råd og veiledning til behandlingsansvarlig om behandling av opplysninger og reglene for dette,

5. bistå de registrerte med å ivareta deres rettigheter etter reglene om behandling av opplysninger,

6. gi Datatilsynet opplysninger dersom tilsynet ber om det, herunder foreta undersøkelser i konkrete saker, og

7. holde seg orientert om utviklingen innen personvern.

Den behandlingsansvarlige underretter Datatilsynet om personvernrådgiverens kontaktinformasjon.

§ 44-12 annet ledd skal lyde:

Bestemmelsene i første ledd gjelder ikke dersom vedkommende i tidsrommet som nevnt er ilagt ny reaksjon for lovbrudd. Tidsfristen begynner i så fall å løpe fra siste ilagte reaksjon. Bestemmelsene om fristberegning i § 30-3 fjerde ledd gjelder tilsvarende.

§ 47-6 første ledd oppheves.

Annet til fjerde ledd blir første til tredje ledd.

§ 47-9 annet ledd første punktum skal lyde:

Med unntak av muntlig utlevering som nevnt i § 11-3 fjerde ledd skal utlevering av opplysninger som er registrert til formål som nevnt i § 47-1 nr. 2 og 3 skje skriftlig.

§ 52-15 annet og tredje ledd skal lyde:

For Datatilsynets kontroll med ASK gjelder § 42-4. Begjæring om kontroll som skal utføres av Kontrollutvalget reguleres i forskrift 13. mars 2009 nr. 303 om kontrollutvalget for tiltak mot hvitvasking. For kontrollutvalgets kontroll gjelder i tillegg politiregisterloven § 57 annet ledd og forskriften § 42-4 første ledd annet punktum.

Eventuelle feilsendinger skal oversendes rett kontrollorgan. Den registrerte skal underrettes om videresendingen.

Kapittel 70 oppheves, og nytt kapittel 70 skal lyde:

Kapittel 70 Direktiv 2016/680 kapittel V

I. Generelle bestemmelser ved utlevering av personopplysninger til tredjeland eller internasjonale organisasjoner

§ 70-1 Formål

I dette kapittelet gjennomføres kapittel V i direktiv 2016/680 av 27. april 2016.

§ 70-2 Definisjoner

I dette kapittel forstås med:

1. medlemsland: stater som er forpliktet etter dette direktivet,

2. tredjeland: stater som ikke er forpliktet etter dette direktivet,

3. internasjonal organisasjon: en organisasjon og dens underliggende deler som er underlagt internasjonal rett, eller enhver annen organisasjon som er satt opp av, eller på grunnlag av, en avtale mellom to eller flere land.

§ 70-3 Virkeområde

Bestemmelsene i dette kapittelet får virkning ved utlevering av personopplysninger fra Norge til tredjeland og internasjonale organisasjoner.
Kapittelet berører ikke saker som behandles av Politiets sikkerhetstjeneste.

§ 70-4 Forholdet til tidligere inngåtte avtaler

Dette kapitlet berører ikke Norges forpliktelser i henhold til bilaterale eller multilaterale avtaler inngått med tredjeland eller avtaler inngått med internasjonale organisasjoner, og som var gjeldende før 6. mai 2016.

Ved anvendelse av avtaler som nevnt i første ledd, skal personopplysninger som er mottatt fra et annet medlemsland utleveres til tredjeland eller internasjonale organisasjoner i samsvar med § 70-6 første ledd nr. 3.

§ 70-5 Behandling av erstatningssaker

I saker om krav om erstatning som følge av utlevering av personopplysninger til tredjeland eller internasjonale organisasjoner, gjelder bestemmelsene i politiregisterloven § 56.

II. Utlevering av personopplysninger fra norsk politimyndighet

§ 70-6 Generelle prinsipper for utlevering av opplysninger

Personopplysninger kan kun utleveres til tredjeland eller internasjonale organisasjoner dersom

1. det er nødvendig for å forebygge, etterforske, avdekke eller rettsforfølge lovbrudd eller fullbyrde strafferettslige reaksjoner, herunder for å beskytte mot eller forebygge trusler mot den offentlige sikkerhet,

2. den myndighet i tredjelandet eller i det internasjonale organ som mottar opplysningene, har ansvaret for å forebygge, etterforske, avdekke eller rettsforfølge lovbrudd eller fullbyrde strafferettslige reaksjoner, herunder å beskytte mot eller forebygge trusler mot den offentlige sikkerhet,

3. det medlemsland der opplysningene er innhentet fra har gitt sitt samtykke til utleveringen i samsvar med sin nasjonale lovgivning,

4. kommisjonen har truffet avgjørelse om tilstrekkelig beskyttelsesnivå, jf. § 70-7, det foreligger en tilstrekkelig grad av beskyttelse for den aktuelle behandling av opplysningene, jf. § 70-8, eller det foreligger særlige unntak som nevnt i § 70-9, og

5. den myndighet som foretok den opprinnelige utleveringen, eller en annen myndighet i samme medlemsstat, ved videre utlevering til et annet medlemsland eller en annen internasjonal organisasjon, gir tillatelse til den videre utleveringen, etter å ha vurdert alle relevante faktorer, herunder lovbruddets alvorlighet, formålet med den opprinnelige utleveringen og sluttmottakers beskyttelsesnivå.

Dersom utleveringen av opplysningene er avgjørende for å kunne avverge en overhengende og alvorlig trussel mot et medlemslands eller et tredjelands offentlige sikkerhet eller mot et medlemslands vesentlige interesser, og et forutgående samtykke ikke kan innhentes i tide, er utlevering uten forutgående samtykke som nevnt i første ledd nr. 3 tillatt.

Den myndighet som har ansvaret for å gi samtykke, skal underrettes omgående.

§ 70-7 Utlevering av opplysninger etter EU-kommisjonens beslutning om tilstrekkelig beskyttelsesnivå

Opplysninger kan utleveres til tredjeland og internasjonale organisasjoner dersom EU-kommisjonen har fattet avgjørelse om tilstrekkelig beskyttelsesnivå i medhold av direktiv 2016/680 artikkel 36.

§ 70-8 Utlevering av opplysninger ved tilstrekkelige beskyttelsesmekanismer

Uten en beslutning som nevnt i § 70-7 kan opplysninger utleveres dersom

1. det er etablert tilstrekkelige beskyttelsesmekanismer i bindende avtale/instrument, eller

2. den behandlingsansvarlige har vurdert alle forhold rundt utleveringen og funnet at tilstrekkelige beskyttelsesmekanismer er til stede.

Tilsynsmyndigheten skal informeres om kategorier av utleveringersom er begrunnet i forhold som nevnt i første ledd nr. 2.

§ 70-9 Utlevering dersom særlige unntak kommer til anvendelse

Opplysninger kan utleveres selv om vilkårene i § 70-7 og 70-8 ikke er oppfylt, dersom utleveringen er nødvendig for å

1. beskytte den registrertes eller en annen fysisk persons vitale interesser,

2. sikre den registrertes legitime interesser,

3. å avverge en overhengende og alvorlig trussel mot et medlemslands eller et tredjelands offentlige sikkerhet,

4. forebygge, etterforske, avdekke eller rettsforfølge lovbrudd eller fullbyrde strafferettslige reaksjoner, herunder for å beskytte mot eller forebygge trusler mot den offentlige sikkerhet i enkelttilfeller, eller

5. etablere, utøve eller forsvare et rettslig krav relatert til formål som nevnt i nr. 4 i enkelttilfeller.
Utlevering etter nr. 4 og 5 skal ikke skje dersom hensynet til den registrertes grunnleggende rettigheter og friheter veier tyngre enn de offentlige hensyn som begrunner utleveringen.

§ 70-10 Utlevering til mottakere etablert i tredjeland

Utlevering til mottakere i tredjeland som ikke er kompetente myndigheter etter § 70-6 første ledd nr. 2 kan skje i enkelttilfeller dersom

1. utleveringen er strengt nødvendig for å forebygge, etterforske, avdekke eller rettsforfølge lovbrudd eller fullbyrde strafferettslige reaksjoner, herunder for å beskytte mot eller forebygge trusler mot den offentlige sikkerhet,

2. den registrertes rettigheter og friheter ikke veier tyngre enn de offentlige interesser som nødvendiggjør utleveringen,

3. utlevering til en kompetent myndighet ikke er effektivt eller hensiktsmessig, særlig fordi utlevering ikke kan skje i tide,

4. kompetent myndighet i tredjelandet informeres uten ugrunnet opphold med mindre det ikke er effektivt eller hensiktsmessig, og

5. mottaker informeres om til hvilke formål opplysningene utelukkende kan behandles for.

Tilsynsmyndigheten skal informeres om utlevering av opplysninger etter denne bestemmelsen.

§ 70-11 Saksbehandling ved utlevering av personopplysninger

Utlevering av personopplysninger skal besluttes av den behandlingsansvarlige. Personopplysningene skal fortrinnsvis utleveres i skriftlig form. Den behandlingsansvarlige skal nedtegne hvilke opplysninger som utleveres, hvem de utleveres til, årsaken til at de utleveres og dato og tidspunkt for utleveringen. Dersom opplysningene er ikke-verifiserte, skal dette så vidt mulig fremgå særskilt.

Nedtegnelser som nevnt i første ledd skal være tilgjengelig for tilsynsmyndigheten.

§ 85-1 første punktum skal lyde:

Forskriften trer i kraft 1. juli 2014, med unntak av kapittel 72 som trer i kraft senere.

Se også saken på regjeringen.no.