Hvem gjelder personopplysningsloven for?

Personopplysningsloven: Hvem omfattes av reglene?

Forståelse av hvem gjelder personopplysningsloven for er kritisk for alle aktører som håndterer informasjon om enkeltpersoner. Å ignorere disse kravene fører til alvorlige juridiske og økonomiske konsekvenser for virksomheter. Det er avgjørende å sette seg inn i regelverket for å sikre korrekt behandling av data og for å unngå potensielle sanksjoner.

Hvem gjelder personopplysningsloven for?

Personopplysningsloven og personvernforordningen (GDPR) gjelder for alle virksomheter, organisasjoner og offentlige instanser som behandler personopplysninger om fysiske personer i Norge. Loven er bygget på prinsippet om at retten til personvern følger individet uansett hvem som håndterer informasjonen.

Virksomheter og organisasjoner

Hovedregelen er at enhver virksomhet som samler inn, lagrer eller på annen måte behandler informasjon som kan knyttes til en person, er behandlingsansvarlig. Dette omfatter alt fra store multinasjonale selskaper til små enkeltpersonforetak og idrettslag. Det er ikke størrelsen på bedriften som avgjør etterlevelsesplikten, men det faktum at man behandler personopplysninger.

I dagens digitale samfunn håndterer nesten alle bedrifter data som omfattes av loven, enten det dreier seg om kundelister, ansattdata eller besøksstatistikk på nettsider. Det er estimert at en stor andel av norske småbedrifter behandler personopplysninger som krever rutiner for sikring,^[1] noe som understreker krav til virksomheter personopplysningsloven sitt brede nedslagsfelt.

Når faller man utenfor loven?

Loven gjelder ikke for rent private aktiviteter. Hvis du for eksempel lagrer kontaktinformasjon til venner og familie i din private telefonbok, er dette unntatt fra personvernforordningens strenge krav. Grenseoppgangen oppstår imidlertid så snart aktiviteten får et profesjonelt, kommersielt eller organisatorisk preg.

Behandlingsansvarlig vs. databehandler

Mange opplever forvirring rundt ansvarsfordelingen. Behandlingsansvarlig definisjon er den som bestemmer formålet med behandlingen, mens databehandleren er den som utfører oppdraget på vegne av andre. Hvis din bedrift leier inn en skytjeneste for å lagre kundedata, er skytjenesten databehandler, mens din bedrift forblir behandlingsansvarlig.

Hvorfor er dette viktig for din virksomhet?

Manglende etterlevelse kan føre til betydelige konsekvenser, både økonomisk og omdømmemessig. Myndighetene har hjemmel til å ilegge overtredelsesgebyrer, som i alvorlige tilfeller kan utgjøre millioner av kroner eller en prosentandel av global omsetning. Men den største risikoen er ofte tap av tillit hos kundene, som i dag forventer at deres personvern blir ivaretatt på en profesjonell måte.

Jeg husker selv da jeg startet min første nettbutikk; jeg tenkte at personvern kun var for de store aktørene. Det tok meg en liten opprydning i kundedataene å innse at loven beskytter både meg som ansvarlig og kunden min. Det handler ikke om byråkrati, men om å bygge en trygg relasjon.

Ansvar og roller i personvernarbeidet

Behandlingsansvarlig

• Har det overordnede ansvaret for at personvernet ivaretas.
• Definerer formål og metoder for behandlingen.

Databehandler

• Ansvarlig for å følge instruksene fra behandlingsansvarlig.
• Behandler data på vegne av den behandlingsansvarlige.

Lokal idrettsklubb og medlemslister

En liten idrettsklubb med 200 medlemmer antok lenge at de var for små for GDPR-krav. De sendte ut ukentlige nyhetsbrev til alle medlemmene via en åpen e-postliste hvor alle kunne se hverandres adresser.

Etter en bekymringsmelding fra et medlem, innså styret at de hadde begått et brudd på personopplysningsloven. De slet med å vite hvordan de skulle rydde opp uten å bryte klubbens sosiale bånd.

Styret tok kontakt med en personvernrådgiver, endret til et profesjonelt nyhetsbrevsystem og innførte rutiner for samtykke. Det tok dem omtrent tre uker å få kontroll over situasjonen.

Klubben opplevde at medlemmene satte stor pris på ryddigheten. Ved å ta eierskap til personvernet, fremsto klubben mer profesjonell, noe som bidro til at de økte medlemsmassen betydelig året etter.

Informasjonen i denne artikkelen er av generell karakter og må ikke anses som juridisk rådgivning. Siden tolkningen av personopplysningsloven kan variere avhengig av den spesifikke situasjonen, bør du alltid kontakte advokat eller personvernombud for vurderinger knyttet til egen virksomhet.