§ 2-8. Universiteters og høyskolers behandling av personopplysninger

Universiteter og høyskoler kan behandle personopplysninger om en søker, student eller doktorgradskandidat når det er nødvendig for å utføre oppgaver etter denne loven. Institusjonene kan behandle personopplysninger som er nevnt i personvernforordningen artikkel 9 og 10, når det er nødvendig for å behandle saker etter §§ 12-1 til 12-7, eller den registrerte har gitt opplysningene eller har gitt tillatelse til å innhente dem. Departementet kan gi forskrift om institusjonenes behandling av personopplysninger, blant annet om formålet med behandlingen, hvilke personopplysninger som kan behandles, bruk av automatiserte avgjørelser og om innhenting, viderebehandling, utlevering og tilgang til personopplysninger.