Forskrift om endringer i personopplysningsforskriften

I

I forskrift 15. desember 2000 nr. 1265 om behandling av personopplysninger (personopplysningsforskriften) gjøres følgende endringer:

meldinger fra banker, jf. sentralbankloven, husbankloven, sparebankloven og forretningsbankloven, og fra finansieringsselskaper, jf. finansieringsvirksomhetsloven, i forbindelse med uttak fra konto og utføring av betalingstjenester. Det samme gjelder når slike meldinger formidles for bank eller finansieringsselskap av et utenforstående foretak,

utgivelse av offentlig utlagt ligning i henhold til ligningsloven § 8-8,

§ 7-1 skal lyde:

Behandling av personopplysninger for kommunikasjons- og faktureringsformål, samt for å oppfylle plikten til å lagre data i medhold av ekomloven § 2-7a, er konsesjonspliktig etter personopplysningsloven.

Ved utferdigelse av konsesjonen skal Datatilsynet vurdere om det skal stilles vilkår om kryptering av de data som faller inn under lagringsplikten etter ekomloven § 2-7a. Kryptering skal tilfredsstille etablerte internasjonale standarder der slike foreligger. Ved pålegg om kryptering skal Datatilsynet i den enkelte konsesjon fastsette nærmere omfang av krypteringen, herunder vilkår knyttet til lagringsmåte, lagringstidspunkt og lokalisering, samt krav til sikker overføring.

identitetskontroll ved innpassering til de lokaler hvor data lagres, behovsbegrenset adgang til lokaler hvor lagringspliktige data lagres og tilgang til lagringspliktige data, fysisk sikring av lagringsmediet og omgivelsene rundt, elektronisk sikring av lagringsmediet (brannmur mv.), begrensninger i muligheter for direkte adgang til data fra andre lokaler enn der hvor lagringsmediet fysisk befinner seg, og kryptering ved forsendelse av data over landegrensene, i henhold til retningslinjer om krypteringsgrad fra Nasjonal sikkerhetsmyndighet.

§ 7-2 skal lyde:

Tilbydere av forsikringstjenesters (jf. forsikringsvirksomhetsloven) behandling av personopplysninger for kundeadministrasjon, fakturering og gjennomføring av forsikringsavtaler er konsesjonspliktige etter personopplysningsloven.

§ 7-3 første ledd skal lyde:

Bankers og finansinstitusjoners (jf. sentralbankloven, husbankloven, sparebankloven, forretningsbankloven og finansieringsvirksomhetsloven) behandling av personopplysninger for kundeadministrasjon, fakturering og gjennomføring av banktjenester er konsesjonspliktige etter personopplysningsloven.

§ 7-9 skal lyde:

Behandling av personopplysninger som pålagt i aksjeloven § 4-5 og allmennaksjeloven § 4-4 er unntatt fra meldeplikt etter personopplysningsloven § 31 første ledd.

§ 7-10 første ledd skal lyde:

Behandling av personopplysninger i forbindelse med føring av meklingsprotokoll pålagt etter barnelova og ekteskapsloven er unntatt fra meldeplikt etter personopplysningsloven § 31 første ledd.

nødvendige fraværsopplysninger og opplysninger som er registreringspliktige i henhold til arbeidsmiljøloven § 5-1,

§ 7-17 første ledd skal lyde:

Behandling av personopplysninger om organets valgte eller oppnevnte representanter i organ opprettet i medhold av kommuneloven eller kirkeloven er unntatt fra konsesjonsplikten etter personopplysningsloven § 33 første ledd og fra meldeplikten etter § 31 første ledd.

§ 7-20 skal lyde:

Behandling av personopplysninger om elever og studenter som skjer i medhold av opplæringslova eller universitets- og høyskoleloven eller etter samtykke fra den enkelte elev eller foresatt, er unntatt fra konsesjonsplikten etter personopplysningsloven § 33 første ledd og fra meldeplikten etter § 31 første ledd.

§ 7-21 skal lyde:

Behandling av personopplysninger om barn i barnehage eller skolefritidsordninger i medhold av barnehageloven og opplæringslova eller etter samtykke fra foresatt, er unntatt fra konsesjonsplikten etter personopplysningsloven § 33 første ledd og fra meldeplikten etter § 31 første ledd.

§ 7-23 første ledd skal lyde:

Behandling av personopplysninger i forbindelse med virksomhet som er regulert av domstolloven kapittel 11 om rettshjelpvirksomhet og advokater, revisorloven, eiendomsmeglingsloven og verdipapirhandelloven er unntatt fra konsesjonsplikten etter personopplysningsloven § 33 første ledd.

§ 7-24 første ledd skal lyde:

Rapporteringspliktiges behandling av personopplysninger til bruk i forbindelse med pålagt undersøkelses- og rapporteringsplikt etter hvitvaskingsloven, jf. forskrift 13. mars 2009 nr. 302 om tiltak mot hvitvasking og terrorfinansiering mv., er unntatt fra konsesjonsplikt etter personopplysningsloven § 33 første ledd. Unntaket omfatter bare opplysninger som fremkommer ved institusjonens undersøkelser etter hvitvaskingsloven.

§ 7-26 første ledd skal lyde:

Behandling av pasient-/klientopplysninger hos offentlig autorisert helsepersonell og helsepersonell som er gitt lisens, jf. helsepersonelloven § 48 og § 49, er unntatt fra konsesjonsplikt etter personopplysningsloven § 33 første ledd.

Kapittel 8 overskriften skal lyde:

§ 8-1 første ledd skal lyde:

Kapittelet her gjelder for kameraovervåking, jf. personopplysningsloven § 36.

§ 8-2 oppheves.

§ 8-3 skal lyde:

Personopplysningsloven § 11 første ledd bokstav c er ikke til hinder for at politiet bruker opptak det er i besittelse av, i forbindelse med forebygging av straffbare handlinger, i forbindelse med oppklaring av ulykker eller i saker om ettersøking av forsvunne personer.

Innsynsrett etter personopplysningsloven kan ikke gjøres gjeldende i opptak som politiet er i besittelse av, eller opptak som kan være av betydning for rikets eller dets alliertes sikkerhet, andre vitale nasjonale sikkerhetsinteresser og forholdet til fremmede makter.

§ 8-4 skal lyde:

Opptak skal slettes når det ikke lenger er saklig grunn for oppbevaring, jf. personopplysningsloven § 28.

Opptak skal senest slettes 7 dager etter at opptakene er gjort. Sletteplikten etter forrige punktum gjelder likevel ikke dersom det er sannsynlig at opptaket vil bli utlevert til politiet i forbindelse med etterforskning av straffbare handlinger eller ulykker. I slike tilfeller kan opptakene oppbevares inntil 30 dager.

Opptak gjort i post- og banklokaler skal slettes senest tre måneder etter at opptakene er gjort.

for opptak som politiet er i besittelse av, for opptak som kan være av betydning for rikets eller dets alliertes sikkerhet, forholdet til fremmede makter og andre vitale nasjonale sikkerhetsinteresser, eller hvor den som er avbildet samtykker i at opptakene oppbevares lenger.

Dersom sletteplikten etter første ledd oppstår for opptak som er utlevert til politiet fra andre, kan politiet tilbakelevere opptaket til vedkommende, som snarest skal slette det dersom fristen etter andre og tredje ledd er gått ut.

Dersom det foreligger et særlig behov for oppbevaring i lengre tid enn i andre og tredje ledd, kan Datatilsynet gjøre unntak fra disse bestemmelsene.

§ 8-5 oppheves.

II

Endringen av § 7-1 trer i kraft fra den tid departementet bestemmer. For øvrig trer forskriften i kraft straks.