Høring om utkast til ny personopplysningslov – gjennomføring av personvernforordningen i norsk rett

Status: På høring

Høringsfrist: 16.10.2017

Høringsnotat – Ny personopplysningslov – gjennomføring av personvernforordningen i norsk rett.pdf

Utdrag:

1 Høringsnotatets hovedinnhold

I april 2016 vedtok EU en ny forordning om behandling av personopplysninger – i det følgende omtalt som personvernforordningen eller forordningen. Forordningen erstatter og opphever EUs gjeldende personverndirektiv 95/46 – i det følgende omtalt som 95-direktivet eller direktivet, som er innlemmet i EØS-avtalen og gjennomført i norsk rett i personopplysningsloven. Forordningen er EØS-relevant, og det legges opp til at den skal innlemmes i EØS-avtalen og gjennomføres i norsk rett. I høringsnotatet her presenterer departementet forslag til gjennomføring av forordningen i norsk rett.

Departementet foreslår at det gis en ny personopplysningslov som gjennomfører forordningen, og at den någjeldende personopplysningsloven og personopplysningsforskriften oppheves. Departementet foreslår at forordningen gjennomføres i norsk rett ved inkorporasjon, det vil si at forordningen gjøres gjeldende som norsk rett gjennom en henvisningsbestemmelse i den nye person-opplysningsloven. Videre foreslår departementet lovbestemmelser som utfyller bestemmelsene i forordningen. Departementet foreslår at den nye personopplysningsloven gis anvendelse både innenfor og utenfor EØS-avtalens saklige virkeområde, slik som den gjeldende personopplysningsloven. Departementets utkast til ny personopplysningslov er inntatt til slutt i høringsnotatet.

Forordningens regler vil i hovedsak måtte anvendes slik de står. Det er likevel slik at forordningen dels pålegger og dels åpner for nasjonale regler på en rekke områder. Dette gjelder særlig for behandling av personopplysninger i offentlig sektor. Der det foreslås nasjonale regler, har departementet i hovedsak tatt sikte på å videreføre gjeldende rett.

Forordningen gjelder direkte i alle EUs medlemsstater fra 25. mai 2018. Departe-mentet tar sikte på at den nye personopplysningsloven skal tre i kraft i Norge 25. mai 2018, det vil si samme tidspunktet som forordningen begynner å gjelde i EU. Ikrafttredelse på dette tidspunktet forutsetter at forordningen formelt er innlemmet i EØS-avtalen, og at Stortinget har samtykket til innlemmelsen. Departementet arbeider for tiden med innlemmelse av forordningen i EØS-avtalen og viser i den forbindelse til den nærmere omtalen av denne prosessen under i punkt 2.5.

Høringsinstansene bes særlig merke seg følgende endringer i forhold til gjeldende rett:

•  Det europeiske personvernregelverket harmoniseres i større grad ved at regelverket gis som en forordning, og opprettelsen av et europeisk Personvernråd (EDPB) skal bidra til ensartet anvendelse.

•  Den norske regelstrukturen blir lagt vesentlig om, ved at forordningens regler erstatter reglene i den någjeldende personopplysningsloven.

•  De registrertes rettigheter er på flere punkter styrket. Blant annet innføres en ny rettighet for registrerte til å motta personopplysninger om seg selv og overføre disse fra en tjenestetilbyder til en annen (dataportabilitet).

•  Melde- og konsesjonsplikten bortfaller og erstattes med en plikt til vurdering av personvernkonsekvenser og forhåndsdrøftinger med tilsynsmyndigheten.

•  Det innføres en mer effektiv tilsynsordning på europeisk nivå ved at behandlingsansvarlige med virksomhet i flere stater kun skal behøve å forholde seg til én tilsynsmyndighet i EU/EØS (ettstedsmekanismen).

•  Det innføres plikt til å ha personvernrådgiver for offentlige myndigheter og for visse private behandlingsansvarlige.

•  Datatilsynet får mulighet til å ilegge vesentlig høyere overtredelsesgebyr.

•  Departementet foreslår at overtredelser av forordningen ikke skal straffesanksjoneres.

Departementet fremmer en rekke forslag hvor det bes om høringsinstansenes syn. Det bes særlig om høringsinstansenes syn på:

•  konsekvensene av at forordningens bestemmelser om behandlingsgrunnlag i artikkel 6 nr. 1 bokstav c og e og artikkel 9 nr. 2 bokstav b, h, i og j og artikkel 10 krever et supplerende rettslig grunnlag i nasjonal rett

•  behovet for unntak fra den registrertes rett til korrigering og sletting av opplysninger, begrensning av behandling, dataportabilitet, retten til å protestere og retten til ikke å være gjenstand for automatiserte individuelle avgjørelser

•  behovet for unntak fra den registrertes rettigheter ved behandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål

•  om vilkårene for bruk av biometriske identifikasjonsmidler bør fastsettes i nasjonale særregler, eller om forordningens alminnelige regler for behandling av sensitive opplysninger bør gjelde

•  om aldersgrensen for barns samtykke ved bruk av informasjons-samfunnstjenester bør settes til 13 år, slik departementet foreslår

•  om Personvernnemnda bør reduseres fra syv til fem medlemmer

•  om Datatilsynet bør kunne ilegge gebyr for overtredelse av forordningen artikkel 10 og 24 i tillegg til overtredelse av artiklene som er regnet opp i forordningen artikkel 83, om det bør innføres en foreldelsesfrist for adgangen til å ilegge overtredelsesgebyr og om Datatilsynet bør få adgang til administrativ inndragning

•  om overtredelse av loven fortsatt bør være straffesanksjonert

[...]

26 Tvangsmulkt

26.1 Gjeldende rett

Etter personopplysningsloven § 47 kan Datatilsynet fastsette en tvangsmulkt ved pålegg etter lovens § 12 (pålegg om bruk av identifikasjonsmidler), §§ 27 og 28 (pålegg om sletting eller sperring av personopplysninger) og § 46 (pålegg om at behandling av personopplysninger skal opphøre eller pålegg om vilkår som må oppfylles for at behandlingen skal være i samsvar med personopplysningsloven).

26.2 Forordningen

Forordningen har ingen bestemmelser om tvangsmulkt.

26.3 Departementets vurdering

Tvangsmulkt er ikke en administrativ sanksjon, men et fremoverrettet tiltak som har til formål å bidra til at plikter som følger av forordningen, blir etterlevet. Forordningen artikkel 84 om adgang til å fastsette andre sanksjoner gir dermed ikke hjemmel for nasjonal rett til å fastsette regler om tvangsmulkt.

Departementet legger imidlertid til grunn at nasjonale regler om tvangsmulkt kan fastsettes med hjemmel i forordningen artikkel 58 nr. 6, som åpner for at nasjonal lovgivning kan gi tilsynsmyndighetene mer omfattende myndighet enn det som fremkommer i artikkelen.

Departementet er ikke kjent med at Datatilsynet har ilagt tvangsmulkt. Derimot er det vanlig at det i vedtak om pålegg opplyses om at tvangsmulkt kan ilegges dersom pålegget ikke oppfylles innen fristen. Det kan ikke ses bort fra at selve trusselen om at tvangsmulkt kan fastsettes, er medvirkende til at pålegg oppfylles raskere.

Etter departementets syn er muligheten til å ilegge tvangsmulkt et godt virkemiddel for å sikre rettidig oppfyllelse av et pålegg. Det anses som et mer målrettet tiltak enn overtredelsesgebyr for å sikre at ulovlige forhold rettes opp. Departementet foreslår derfor at Datatilsynets mulighet til å ilegge tvangsmulkt videreføres, se lovutkastet § 23.

Personopplysningsloven § 47 annet ledd fastsetter at tvangsmulkten ikke løper før klagefristen er ute, eller dersom vedtaket blir påklaget, fra tidspunktet Personvernnemnda har fastsatt.

Etter departementets syn er det ikke hensiktsmessig at en klage automatisk fører til utsettelse av tidspunktet for når tvangsmulkten begynner å løpe. Dette kan oppfordre til trenering av saken. I forvaltningsloven § 51, som gir enkelte generelle regler om tvangsmulkt, er det ikke gitt spesialregler om utsatt iverksettelse eller oppsettende virkning.

Ovenfor drøfter departementet om klage på et vedtak om overtredelsesgebyr bør gis oppsettende virkning og anbefaler at klage på et slikt vedtak bør gis oppsettende virkning. I motsetning til overtredelsesgebyr har ikke tvangsmulkt et pønalt formål. Departementet foreslår derfor at de alminnelige reglene om iverksettelsestidspunkt og oppsettende virkning kommer til anvendelse. Datatilsynet eller Personvernnemnda vil uansett ha anledning til å fatte vedtak om utsatt iverksettelse eller gi klagen oppsettende virkning.

[...]

Utkast til lov om behandling av personopplysninger (personopplysningsloven)

Kapittel 1. Gjennomføring av personvernforordningen

§ 1 Gjennomføring av personvernforordningen EØS-avtalen vedlegg […] (forordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (generell personvernforordning)) gjelder som lov med de tilpasninger som følger av vedlegg […] til EØS-avtalen og EØS-avtalen for øvrig.

Når det i loven her vises til personvernforordningen, menes generell personvernforordning slik den er gjennomført i første ledd.

Kapittel 2. Lovens saklige og geografiske virkeområde

§ 2 Saklig virkeområde

Når ikke annet er bestemt i eller i medhold av lov, gjelder bestemmelsene i personvernforordningen og loven her tilsvarende utenfor EØS-avtalens virkeområde, med unntak av personvernforordningen kapittel VII.
Loven gjelder ikke for saker som behandles eller avgjøres i medhold av rettspleielovene (domstolloven, straffeprosessloven, tvisteloven og tvangsfullbyrdelsesloven mv.). Loven gjelder heller ikke for saker som behandles etter politiregisterloven eller lov om behandling av personopplysninger i kriminalomsorgen.
Kongen kan gi forskrift om at loven eller deler av den ikke skal gjelde for bestemte institusjoner og saksområder.

§ 3 Forholdet til ytringsfriheten

For behandling av personopplysninger utelukkende for journalistiske formål eller med henblikk på akademiske, kunstneriske eller litterære ytringer gjelder bare bestemmelsene i personvernforordningen artikkel 24, 26, 28, 29, 40 og 42, jf. personvernforordningen kapittel VI og VIII og kapittel 6 og 7 i loven her.

§ 4 Geografisk virkeområde

Loven gjelder for Svalbard og Jan Mayen. Kongen kan i forskrift fastsette særlige regler om behandling av personopplysninger for disse områdene.

§ 5 Forholdet til andre lover

Loven gjelder når ikke annet er bestemt i eller i medhold av lov. Bestemmelsene i personvernforordningen skal likevel i tilfelle konflikt gå foran andre bestemmelser som regulerer samme forhold, jf. EØS-loven § 2.

Kapittel 3. Utfyllende regler om behandling av personopplysninger

§ 6 Behandling av sensitive personopplysninger for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål

Forbudet i personvernforordningen artikkel 9 nr. 1 gjelder ikke i den utstrekning behandlingen er nødvendig for arkivformål i allmennhetens interesse, for vitenskapelige eller historiske forskningsformål eller for statistiske formål dersom det er fastsatt i lov eller i medhold av lov at det er adgang til slik behandling, eller dersom

a) innhenting av samtykke etter personvernforordningen artikkel 9 nr. 2 bokstav a er umulig eller uforholdsmessig vanskelig

b) samfunnets interesse i at behandlingen finner sted klart overstiger ulempene for den enkelte

c) den behandlingssansvarlige setter i verk egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser og

d) den behandlingsansvarlige har utpekt personvernrådgiver og personvernrådgiveren har tilrådd behandlingen

Første ledd bokstav d gjelder tilsvarende når opplysninger som omtalt i personvernforordningen artikkel 9 nr. 1, behandles for vitenskapelige eller historiske forskningsformål på grunnlag av den registrertes samtykke etter personvernforordningen artikkel 9 nr. 2 bokstav a.

§ 7 Behandling av sensitive personopplysninger som er nødvendig av hensyn til viktige samfunnsinteresser

Datatilsynet kan i særlige tilfeller gjøre unntak fra forbudet i personvernforordningen artikkel 9 nr. 1 for en eller flere spesifikke behandlinger når behandlingen er nødvendig av hensyn til viktige samfunnsinteresser. Datatilsynet skal fastsette vilkår for å verne den registrertes grunnleggende rettigheter og interesser.

Kongen kan gi forskrift om unntak fra forbudet i personvernforordningen artikkel 9 nr. 1 når det er nødvendig av hensyn til viktige samfunnsinteresser. Det skal i forskriften fastsettes egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser.

§ 8 Barns samtykke i forbindelse med informasjonssamfunnstjenester

Aldersgrensen etter personvernforordningen artikkel 8 er 13 år.

§ 9 Bruk av fødselsnummer og andre entydige identifikasjonsmidler

Fødselsnummer og andre entydige identifikasjonsmidler kan bare nyttes i behandlingen når det er saklig behov for sikker identifisering og metoden er nødvendig for å oppnå slik identifisering.
Kongen kan gi forskrift med nærmere bestemmelser om bruk av fødselsnummer og andre entydige identifikasjonsmidler.

§ 10 Overføring av personopplysninger til utlandet

Kommisjonens beslutninger etter personvernforordningen artikkel 45 gjelder også for Norge i samsvar med EØS-komiteens beslutning nr. […], med mindre reservasjonsadgangen er benyttet.
Kongen kan gi forskrift med nærmere bestemmelser om overføring av personopplysninger til utlandet.

§ 11 Forhåndsdrøftinger og forhåndsgodkjenning

Kongen kan gi forskrift med nærmere bestemmelser om når behandlingsansvarlige skal rådføre seg med Datatilsynet og at det skal innhentes forhåndsgodkjenning fra Datatilsynet.

§ 12 Unntak fra formålsbegrensningen ved lovpålagte tilsynsoppgaver

Formålsbegrensningen i artikkel 5 nr. 1 bokstav b og artikkel 6 nr. 4 er ikke til hinder for at offentlige myndigheter som har til oppgave å håndheve lovgivningen om arbeidsmiljø, trygd, skatter og avgifter, utveksler informasjon så langt dette er nødvendig for å utføre lovpålagte tilsynsoppgaver.

Kapittel 4. Den registrertes rettigheter

§ 13 Unntak fra retten til informasjon og innsyn og plikten til underretning om brudd på personopplysningssikkerheten

Retten til informasjon og innsyn etter personvernforordningen artikkel 13, 14 og 15 omfatter ikke opplysninger som

a) er av betydning for Norges utenrikspolitiske interesser eller nasjonale forsvars- og sikkerhetsinteresser, når slike opplysninger kan unntas etter offentleglova §§ 20 og 21

b) det er påkrevd å hemmeligholde av hensyn til forebygging, etterforskning, avsløring og rettslig forfølgning av straffbare handlinger

c) det må anses utilrådelig at den registrerte får kjennskap til av hensyn til vedkommendes helse eller forholdet til personer som står vedkommende nær

d) i lov eller i medhold av lov er underlagt taushetsplikt

e) det vil være i strid med åpenbare og grunnleggende private eller offentlige interesser å informere om, herunder hensynet til den registrerte selv

Opplysninger som nevnt i første ledd bokstav c kan på anmodning likevel gjøres kjent for en representant for den registrerte når ikke særlige grunner taler mot det.

Den som nekter å gi innsyn i medhold av første ledd, må begrunne dette skriftlig og gi presis henvisning til unntakshjemmelen.

Plikten til å underrette den registrerte om brudd på personopplysningssikkerheten etter personvernforordningen artikkel 34 gjelder ikke i den utstrekning slik underretning vil røpe opplysninger som nevnt i første ledd bokstav a, b og d.

Kongen kan gi forskrift om andre unntak fra og nærmere vilkår for informasjonsplikt og innsynsrett og underretning om brudd på personopplysningssikkerheten.

§ 14 Unntak fra den registrertes rettigheter ved behandling av personopplysninger for arkivformål i allmennhetens interesse, vitenskapelige eller historiske forskningsformål og statistiske formål

Personvernforordningen artikkel 15, 16, 18, 19, 20 og 21 gjelder ikke for behandling av personopplysninger utelukkende for arkivformål i allmennhetens interesse så langt rettighetene vil gjøre det umulig eller i alvorlig grad vil hindre at målene med behandlingen nås.

Personvernforordningen artikkel 15, 16, 18 og 21 gjelder ikke for behandling av personopplysninger utelukkende for vitenskapelige eller historiske forskningsformål eller statistiske formål så langt rettighetene vil gjøre det umulig eller i alvorlig grad vil hindre at formålene med behandlingen nås.

Retten til innsyn etter personvernforordningen artikkel 15 gjelder ikke for behandling som utføres utelukkende for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål når behandlingen ikke får noen direkte betydning for den registrerte og det vil kreve uforholdsmessig stor innsats å gi innsyn.

Kapittel 5. Personvernrådgiver

§ 15 Personvernrådgiverens taushetsplikt

Personvernrådgivere plikter å hindre at andre får adgang eller kjennskap til det de i forbindelse med utførelsen av sine oppgaver får vite om

a) noens personlige forhold

b) tekniske innretninger, produksjonsmetoder, forretningsmessige analyser og beregninger og forretningshemmeligheter ellers når opplysningene er av en slik art at andre kan utnytte dem i sin egen næringsvirksomhet

c) sikkerhetstiltak etter personvernforordningen artikkel 32 eller

d) enkeltpersoners varsling om overtredelser av loven her

Taushetsplikten gjelder ikke dersom personvernrådgiveren får samtykke fra den opplysningene gjelder til å legge dem frem, eller dette er nødvendig for gjennomføring av personvernrådgiverens lovpålagte oppgaver.
Taushetsplikten gjelder også etter at personvernrådgiveren har avsluttet tjenesten eller arbeidet. Opplysninger som nevnt i denne paragraf kan heller ikke utnyttes i egen virksomhet eller i tjeneste eller arbeid for andre.

§ 16 Plikt til å utpeke personvernrådgiver

Kongen kan gi forskrift med nærmere bestemmelser om plikt til å utpeke personvernrådgiver.

Kapittel 6. Tilsyn og klage

§ 17 Datatilsynet

Datatilsynet er tilsynsmyndighet etter forordningen artikkel 51 og er et uavhengig forvaltningsorgan administrativt underordnet Kongen og departementet. Datatilsynet kan ikke instrueres om behandlingen av enkeltsaker eller om den faglige virksomheten for øvrig. Kongen og departementet kan ikke omgjøre Datatilsynets vedtak.

Datatilsynet ledes av en direktør som utnevnes av Kongen. Kongen kan bestemme at direktøren ansettes på åremål.

Kongen kan gi forskrift med nærmere bestemmelser om dekning av Datatilsynets utgifter ved kontroll.

§ 18 Personvernnemnda

Personvernnemnda er et uavhengig forvaltningsorgan administrativt underordnet Kongen og departementet. Nemnda kan ikke instrueres om behandlingen av enkeltsaker eller om den faglige virksomheten for øvrig. Kongen og departementet kan ikke omgjøre nemndas vedtak.

Personvernnemnda avgjør klager over Datatilsynets vedtak med mindre annet er særskilt fastsatt. Datatilsynets vedtak etter personvernforordningen artikkel 60 til 66 kan ikke påklages til Personvernnemnda.

Personvernnemnda har syv medlemmer som oppnevnes av Kongen for fire år med adgang til gjenoppnevning for ytterligere fire år. Lederen og nestlederen skal ha juridisk embetseksamen eller mastergrad i rettsvitenskap. Nemndas medlemmer skal ha personlige varamedlemmer, som også oppnevnes av Kongen.

Personvernnemnda kan bestemme at lederen eller nestlederen sammen med to andre nemndsmedlemmer kan avgjøre klager som må avgjøres uten opphold.

Personvernnemnda orienterer årlig Kongen om sin virksomhet.

Søksmål om gyldigheten av Personvernnemndas vedtak rettes mot staten ved Personvernnemnda.
Kongen kan gi forskrift om Personvernnemndas organisering og saksbehandling.

§ 19 Tilgang til opplysninger

Datatilsynets undersøkelsesmyndighet etter personvernforordningen artikkel 58 nr. 1 gjelder uten hinder av taushetsplikt.

Personvernforordningen artikkel 58 nr. 1 bokstav a og e gjelder tilsvarende for Personvernnemnda og uten hinder av taushetsplikt.

Behandling av personopplysninger som er nødvendig av hensynet til rikets eller alliertes sikkerhet, forholdet til fremmede makter og andre vitale nasjonale sikkerhetsinteresser, er unntatt fra personvernforordningen artikkel 58 nr. 1.

§ 20 Taushetsplikt

For ansatte i Datatilsynet, medlemmer av Personvernnemnda og andre som utfører tjeneste eller arbeid for Datatilsynet og Personvernnemnda, gjelder bestemmelsene om taushetsplikt i forvaltningsloven §§ 13 flg. Taushetsplikten omfatter også opplysninger om sikkerhetstiltak etter personvernforordningen artikkel 32 og enkeltpersoners varsling om overtredelser av loven her.

Datatilsynet og Personvernnemnda kan uten hinder av taushetsplikten etter første ledd gi opplysninger til utenlandske tilsynsmyndigheter når det er nødvendig for å treffe vedtak som ledd i tilsynsvirksomheten.

Kapittel 7. Sanksjoner og tvangsmulkt

§ 21 Overtredelsesgebyr

Personvernforordningen artikkel 83 nr. 4 gjelder tilsvarende for overtredelser av artikkel 10 og artikkel 24.
Datatilsynet kan ilegge offentlige myndigheter og organer overtredelsesgebyr.

§ 22 Oppfyllelsesfrist og domstolsprøving i saker om overtredelsesgebyr

Oppfyllelsesfristen for overtredelsesgebyr er fire uker fra vedtaket er endelig.
Retten kan prøve alle sider av saker om overtredelsesgebyr og avsi dom for realiteten i saken dersom den finner det hensiktsmessig og forsvarlig.

§ 23 Tvangsmulkt

Ved pålegg etter denne lov kan Datatilsynet fastsette en tvangsmulkt som løper for hver dag som går etter utløpet av den fristen som er satt for oppfylling av pålegget, inntil pålegget er oppfylt.

Kapittel 8. Ikraftsetting og opphevelse av personopplysningsloven 2000

§ 24 Ikraftsetting mv.

Loven gjelder fra den tid Kongen bestemmer.
Med virkning fra den tid loven trer i kraft, oppheves lov 14. april 2000 nr. 31 om behandling av personopplysninger.

Utkast til bestemmelser om kameraovervåking på arbeidsplass og bruk av uekte kameraovervåkingsutstyr

Kapittel 1. Kameraovervåking på arbeidsplass

§ 1 Virkeområde

Kapittelet her gjelder for kameraovervåking på arbeidsplass.

Med kameraovervåking menes vedvarende eller regelmessig gjentatt personovervåking ved hjelp av fjernbetjent eller automatisk virkende overvåkingskamera eller annet lignende utstyr som er fastmontert. Som kameraovervåking anses både overvåking med og uten mulighet for opptak av lyd- og bildemateriale. Det samme gjelder utstyr som lett kan forveksles med en ekte kameraløsning.

§ 2 Kameraovervåking av sted på arbeidsplass hvor en begrenset krets av personer ferdes jevnlig

Kameraovervåking av sted på arbeidsplass hvor en begrenset krets av personer ferdes jevnlig, er bare tillatt dersom det ut fra virksomheten er behov for å forebygge at farlige situasjoner oppstår og ivareta hensynet til ansattes eller andres sikkerhet eller det for øvrig er et særskilt behov for overvåkingen.

§ 3 Varsel om at overvåking finner sted

Ved kameraovervåking etter kapittelet her skal det ved skilting eller på annen måte gjøres tydelig at stedet blir overvåket, at overvåkingen eventuelt inkluderer lydopptak og hvem som er behandlingsansvarlig.

§ 4 Utlevering av opptak gjort ved kameraovervåking

Personopplysninger som er innsamlet ved kameraovervåking etter kapittelet her, kan bare utleveres til andre enn den behandlingsansvarlige dersom

a) den som er avbildet, samtykker

b) utleveringen skjer til politiet ved etterforskning av straffbare handlinger eller ulykker, og lovbestemt taushetsplikt ikke er til hinder for utleveringen eller

c) det ellers følger av lov at utlevering kan skje

§ 5 Sletting av opptak gjort ved kameraovervåking

Opptak skal slettes senest én uke etter at opptakene er gjort. Hvis det er sannsynlig at opptaket vil bli utlevert til politiet i forbindelse med etterforskning av straffbare handlinger eller ulykker, kan opptakene oppbevares inntil 30 dager.

Opptak gjort på utsalgssteder som benytter betalingskort, eller i post- eller banklokaler, skal slettes senest tre måneder etter at opptakene er gjort.

Sletteplikten etter første og annet ledd gjelder ikke

a) for opptak som politiet er i besittelse av

b) for opptak som kan være av betydning for rikets eller dets alliertes sikkerhet, forholdet til fremmede makter og andre vitale nasjonale sikkerhetsinteresser eller

c) hvor den som er avbildet, samtykker i at opptakene oppbevares lenger

Dersom det foreligger et særlig behov for oppbevaring i lengre tid enn i første og annet ledd, kan Datatilsynet gjøre unntak fra disse bestemmelsene.

§ 6 Forskrifter

Kongen kan ved forskrift gi nærmere bestemmelser om kameraovervåking på arbeidsplass.

Kapittel 2. Bruk av uekte kameraovervåkingsutstyr

§ 7 Bruk av uekte kameraovervåkingsutstyr

Utstyr som lett kan forveksles med et ekte fjernbetjent eller automatisk virkende overvåkingskamera eller annet lignende utstyr som er fastmontert, kan kun benyttes der bruken oppfyller et av vilkårene i personvernforordningen artikkel 6 nr. 1

 Utkast til bestemmelser om arbeidsgivers innsyn i e-postkasse m.v.

§ 1 Virkeområde

Kapittelet her gjelder arbeidsgivers rett til innsyn i opplysninger lagret i

a) e-postkasse som arbeidsgiver har stilt til arbeidstakers disposisjon til bruk i arbeidet

b) arbeidstakers personlige områder i virksomhetens datanettverk eller annet elektronisk utstyr som arbeidsgiver har stilt til arbeidstakers disposisjon til bruk i arbeidet og

c) aktivitetslogger i virksomhetens datanettverk

Bestemmelsene gjelder tilsvarende for innsyn i opplysninger nevnt i første ledd som finnes på sikkerhetskopier eller tilsvarende.

Kapittelet her gjelder nåværende og tidligere arbeidstakere, samt andre som utfører eller har utført arbeid for arbeidsgiver.

§ 2 Vilkår for innsyn

Arbeidsgiver har bare rett til innsyn i opplysninger nevnt i § 1 første ledd

a) når det er nødvendig for å ivareta den daglige driften eller andre berettigede interesser ved virksomheten eller

b) ved begrunnet mistanke om at arbeidstakers bruk av e-postkasse eller annet elektronisk utstyr medfører grovt brudd på de plikter som følger av arbeidsforholdet eller kan gi grunnlag for oppsigelse eller avskjed

§ 3 Prosedyrer ved innsyn

Arbeidstaker skal så langt som mulig varsles og få anledning til å uttale seg før arbeidsgiver gjennomfører innsyn. I varselet skal arbeidsgiver begrunne hvorfor vilkårene for innsyn anses å være oppfylt og orientere om arbeidstakers rettigheter etter denne bestemmelsen.

Arbeidstaker skal så langt som mulig gis anledning til å være til stede under gjennomføringen av innsyn og har rett til å la seg bistå av tillitsvalgt eller annen representant.

Er innsyn foretatt uten forutgående varsel eller uten at arbeidstaker var til stede, skal arbeidstaker gis skriftlig underretning om dette så snart innsyn er gjennomført. Underretningen skal, i tillegg til opplysningene nevnt i første ledd annet punktum, inneholde opplysninger om hvilken metode for innsyn som ble benyttet, hvilke e-poster eller andre dokumenter som ble åpnet samt resultatet av innsynet.

Unntakene fra rett til informasjon i personopplysningsloven § 13 gjelder tilsvarende.

Innsyn må gjennomføres på en slik måte at opplysningene så langt som mulig ikke endres og at frembrakte opplysninger kan etterprøves.

Åpnede e-poster, dokumenter eller tilsvarende som det viser seg at ikke er nødvendige eller relevante for formålet med innsynet, skal straks lukkes. Eventuelle kopier skal slettes.

Bestemmelsen gjelder ikke ved innsyn i aktivitetslogger når formålet med innsynet er å administrere virksomhetens datanettverk eller å avdekke eller oppklare sikkerhetsbrudd i nettverket, og innsynet ikke er rettet mot én eller flere konkrete ansatte.

§ 4 Sletting av opplysninger ved opphør av arbeidsforholdet

Arbeidstakers e-postkasse skal avsluttes ved arbeidsforholdets opphør.
Opplysninger nevnt i § 1 første ledd bokstav a og b som ikke er nødvendig for den daglige driften av virksomheten, skal slettes innen rimelig tid etter arbeidsforholdets opphør.

§ 5 Adgang til å fravike bestemmelsene

Det er ikke adgang til å fastsette instruks eller inngå avtale som fraviker bestemmelsene i kapittelet her til ugunst for arbeidstaker.

Innholdsfortegnelse.pdf

Uoffisiell norsk oversettelse av personvernforordningen.pdf

Se også saken på regjeringen.no.