§ 18. Databehandlerens rådighet over personopplysningene

En databehandler kan ikke behandle personopplysninger på annen måte enn den som følger av skriftlig avtale eller instruks. Opplysningene kan heller ikke uten slik avtale overlates til andre for lagring eller bearbeidelse. I avtalen med den behandlingsansvarlige skal det fremgå at databehandleren plikter å gjennomføre slike sikringstiltak som følger av § 15. Den som er ansatt hos, eller utfører tjeneste eller arbeid for databehandler, og som får tilgang til opplysninger som er taushetsbelagt i henhold til denne loven, skal være underlagt taushetsplikt. Omfanget av taushetsplikten skal fremgå av den behandlingsansvarliges avtale med databehandler. Det kan kreves uttømmende og utvidet politiattest av enhver som er ansatt hos eller utfører tjeneste eller arbeid for databehandler. Databehandler plikter på forespørsel å oppgi hvem som får tilgang til de taushetsbelagte opplysningene.