Konsesjonsplikten bortfaller allerede nå

20. juli 2018 trer den nye personopplysningsloven (GDPR) i kraft, med det vil melde- og konsesjonsplikten til Datatilsynet bortfalle. Datatilsynet opplyser nå om at de har avgjort at alle virksomheter er fritatt fra denne plikten allerede nå.

Datatilsynet vil derfor ikke lenger behandle søknader om konsesjon eller endring av pågående konsesjoner. Ansvaret for å vurdere om behandlingen av personopplysninger er tillatt, overlates med dette til den enkelte institusjon.

Allerede unntak for virksomheter med personvernombud
Under dagens regelverk gis det allerede unntak fra konsesjonsplikten for prosjekter av mindre omfang og varighet dersom de er tilrådd av personvernombudet. Av de over 6 000 nye meldingene vi får inn på årsbasis, blir så lite som en prosent videresendt til Datatilsynet for konsesjonsbehandling.

Melde- og konsesjonsplikt til Datatilsynet har derfor i hovedsak allerede vært avviklet for det meste av norsk forskningssektor, og det nye regelverket er i den forstand i stor grad en videreføring av dagens.

Hva gjør vi i praksis frem til ny lov trer i kraft?
Som personvernombud for forskning bistår vi i dag våre institusjoner med vurderinger av om en behandling av personopplysninger oppfyller de krav og plikter som foreligger i personvernregelverket. Vi vurderer også hvilke konsekvenser en behandling av personopplysninger har for personvernet, samt hvilke tiltak som er nødvendige for å redusere eventuelle personvernulemper.

Vi vil fortsette å behandle meldinger vi får inn etter eksisterende lovgivning inntil nytt regelverk trer i kraft, men vi vil i denne overgangsperioden gradvis legge om til nytt regelverk. Dette for at vurderingene vi gir skal være i tråd med nye krav i regelverket.

Vi minner om at forskningsprosjekter og endringer fortsatt skal meldes inn til personvernombudet, slik at vi kan bistå institusjonene med de nødvendige vurderingene.

Personvernkonsekvensvurderinger
Vi vil også starte opp med personvernkonsekvensvurderinger etter artikkel 35 i GDPR, men venter fortsatt på en veiledning fra Datatilsynet om når det er nødvendig å foreta en personvernkonsekvensvurdering samt hva en slik vurdering vil omfatte.

Ingen overgangsordninger
Ifølge både Justis- og beredskapsdepartementet og Datatilsynet legges det trolig ikke opp til overgangsregler for eksisterende konsesjoner. Når det nye regelverket trer i kraft, vil dermed konsesjoner eller vilkår gitt i konsesjoner ikke lenger være gjeldende. Datatilsynet presiserer at nytt regelverk stort sett er en videreføring av dagens regler og prinsipper, og at behandlingsansvarlige bør følge de råd som er gitt i konsesjonsvedtak. Videre presiserer de at det er viktig å gjøre en vurdering av om samtykker som er gitt etter gammelt regelverk fortsatt er gyldige.

Dialog med Datatilsynet, SSB og Folkehelseinstituttet
Vi vil nå sende brev til Datatilsynet og etterspørre hva som skjer med konsesjonssøknader de har liggende inne. Videre vil vi ta kontakt med SSB og Folkehelseinstituttet for å avklare hvilke tillatelser de krever for å utlevere data i påvente av at nytt lovverk trer i kraft.

Les mer om bortfall av konsesjonsplikt og hva dette innebærer for forskning og helseregistre på Datatilsynets nettsider.

Sist endret: Mon Jul 16 09:35:25 CEST 2018

© NSD - Norsk senter for forskningsdata • Kontakt NSDPersonvern og informasjonskapsler (cookies)