§ 20. Behandling av personopplysninger

Lånekassen kan behandle personopplysninger, herunder personopplysninger som nevnt i personvernforordningen artikkel 9 og 10, når det er nødvendig for å forvalte rettigheter eller plikter fastsatt i eller i medhold av denne loven. Dersom Lånekassen skal hente inn personopplysninger fra andre enn søkeren eller låntakeren selv, må vilkårene i § 21 være oppfylt. Lånekassen kan treffe avgjørelser som utelukkende er basert på automatisert behandling av personopplysninger, herunder personopplysninger som nevnt i personvernforordningen artikkel 9 og 10. Avgjørelsen kan ikke bygge på skjønnsmessige lov- eller forskriftsvilkår, med mindre avgjørelsen er utvilsom. Behandlingen må sikre partens krav til forsvarlig saksbehandling, og den må være forenlig med retten til vern av personopplysninger. Den registrerte har rett til manuell overprøving av avgjørelsen. Departementet gir forskrift om behandlingen av personopplysninger i Lånekassen, blant annet om formålet med behandlingen, hvilke typer personopplysninger som kan behandles, hvem det kan behandles personopplysninger om, bruk av automatiserte avgjørelser, adgangen til viderebehandling og utlevering.