Hvem gjelder personvernloven for?

Hvem gjelder personvernloven for: Unntak og omfang

Å forstå hvem gjelder personvernloven for er viktig for alle som behandler personopplysninger. Regelverket omfatter både private og offentlige aktører, uavhengig av størrelse, så lenge behandlingen skjer i en profesjonell eller organisatorisk sammenheng.

Hvem gjelder personvernloven for?

Personvernloven, som i Norge består av personopplysningsloven og EUs personvernforordning (GDPR), gjelder for alle virksomheter, organisasjoner og offentlige organer som behandler personopplysninger.^[1] Dette er et omfattende regelverk - og det er en vanlig misoppfatning at små aktører er unntatt.

Enten du driver et enkeltpersonforetak, en stor frivillig organisasjon eller en privat bedrift, er du pliktig til å følge reglene dersom du behandler opplysninger som kan knyttes til en fysisk person. Dette inkluderer alt fra navn, e-postadresser og bilder til mer tekniske data som hva er personopplysninger i lovens forstand.

Gjelder reglene for små bedrifter og enkeltpersonforetak?

Mange små bedriftseiere lurer på om de er for små for GDPR. Svaret er at loven ikke skiller mellom størrelsen på virksomheten, men mellom hva slags data du håndterer. Hvis du har ansatte, kunder eller medlemmer i Norge, er du i utgangspunktet omfattet av regelverket.

For små virksomheter vurderes kravene ofte ut fra risikoen ved behandlingen. En liten virksomhet med få kunder vil normalt ha mindre omfattende dokumentasjonsbehov enn en stor organisasjon som behandler store mengder personopplysninger. Målet er å ha oversikt og kontroll over behandlingen av data.

Når er du unntatt fra personvernloven?

Unntakene er faktisk ganske få, men de finnes. Loven gjelder ikke dersom du behandler opplysninger utelukkende for rent personlige eller private formål.^[2] Dette betyr at din private adressebok, bilder fra din egen 50-årsdag eller familiealbumet ikke faller inn under regelverket.

Hvor går grensen? I det øyeblikket du tar med deg dataene ut i en profesjonell sammenheng, forsvinner unntaket. Hvis du bruker den samme adresseboken til å sende ut et nyhetsbrev for bedriften din, er du tilbake under lovens virkeområde. Det er her mange trår feil uten at de mener å gjøre noe galt.

Internasjonale forpliktelser

Det er også verdt å merke seg at loven gjelder selv om bedriften din er lokalisert utenfor EØS, så lenge du tilbyr varer eller tjenester til personer i EU/EØS, eller overvåker atferden deres. Dette er et globalt regelverk som følger menneskene, ikke bare virksomhetens kontoradresse. Det er derfor mange lurer på gjelder gdpr for enkeltpersonforetak og må små bedrifter følge gdpr.

Privat bruk vs. Profesjonell virksomhet

Privat bruk

• Ikke omfattet av GDPR
• Privat adressebok, familiefotos
• Kun personlige eller familieformål

Profesjonell bruk

• Fullt omfattet av personopplysningsloven
• Kundelister, nyhetsbrev, lønnssystemer
• Behandling av kunders, ansattes eller medlemmers data

Hverdagen til en frilans-fotograf i Oslo

Erik, en frilansfotograf i Oslo, trodde at han som enmannsbedrift ikke trengte å tenke på personvern. Han lagret kundelister i en ubeskyttet Excel-fil og delte bilder på sosiale medier uten å spørre om samtykke fra alle avbildede personer.

Da en tidligere kunde ba om innsyn og sletting av personopplysninger, oppdaget han at han manglet rutiner for å håndtere slike forespørsler på en effektiv måte.

Han måtte legge om rutinene sine fullstendig, ryddet i Excel-arket og implementerte en enkel samtykke-prosedyre for bildedeling. Det var tungt de første to ukene, men det reddet ham fra fremtidig stress.

Etter tre måneder ser Erik nå at kundene stoler mer på ham, og han føler seg tryggere. Han innså at personvern ikke er et hinder, men en del av profesjonaliteten i jobben hans.

Denne informasjonen er kun til utdanningsformål og erstatter ikke juridisk rådgivning. Personvernlovgivning kan være kompleks og avhengig av individuelle forhold. Kontakt Datatilsynet eller en juridisk rådgiver for veiledning knyttet til din virksomhet.