Loven er opphevet av lov 14 april 2000 nr. 31 om behandling av personopplysninger (personopplysningsloven) som trådte i kraft 1 jan 2001 iflg. res. 30 juni 2000 nr. 641).
Kort om loven
Sist endret 26.09.2024
Personregisterloven – opphevet var en norsk lov som gjaldt for personregistre og for annen bruk av personopplysninger i visse typer virksomheter. Loven ble opphevet og erstattet av den første personopplysningsloven med virkning fra 1. januar 2001. Denne ble i sin tur erstattet av den nye personopplysningsloven av 15. juni 2018, som trådte i kraft 20. juli 2018 og dermed gjennomførte EUs personvernforordning (GDPR) i Norge.
Loven gjelder for personregistre og for annen bruk av personopplysninger i visse typer virksomhet.
Med personopplysninger1 er ment opplysninger og vurderinger som direkte eller indirekte kan knyttes til identifiserbare enkeltpersoner, sammenslutninger eller stiftelser. Med personregistre2 er ment registre, fortegnelser m.m. der personopplysninger er lagret systematisk slik at opplysninger om den enkelte person kan finnes igjen.
Loven gjelder for personregistre og bruk av personopplysninger i organ for stat eller kommune og i privat næringsvirksomhet, foreninger eller stiftelser.
Kongen kan bestemme3 at loven ikke skal gjelde for visse typer personregistre.
Det blir opprettet et datatilsyn. Datatilsynet skal være et frittstående organ underordnet Kongen og det departement1 Kongen fastsetter.
Datatilsynet blir ledet av et styre, som skal ha 7 medlemmer. Medlemmene blir oppnevnt av Kongen, som også fastsetter hvem som skal være styrets formann og nestformann.
Uttalelse fra Datatilsynet skal være innhentet før det blir gjort vedtak som i loven her er lagt til Kongen. Dette gjelder likevel ikke vedtak etter § 2.
Datatilsynet skal ellers:
1.
holde seg orientert om den generelle utvikling i bruken av personregistre1 og om de problemer som knytter seg til slike registre, samt sørge for informasjon i denne forbindelse
2.
gi råd og rettleiing om spørsmål om personvern og datasikring til dem som planlegger å opprette personregistre1
3.
kontrollere at de lover, forskrifter og regler som gjelder for personregistre,1 blir fulgt, og at feil eller mangler blir rettet
4.
etter henvendelse eller av eget tiltak gi uttalelse i spørsmål om bruk av personregistre1 eller i generelle spørsmål som gjelder bruk av personopplysninger.1
Kongen kan gi Datatilsynet ytterligere oppgaver som gjelder bruk m.m. av personregistre1 eller bruk av personopplysninger1 ellers.
Datatilsynet skal føre en systematisk fortegnelse over personregistre1 som er gitt konsesjon etter § 9. Fortegnelsen skal henvise til de regler som er fastsatt etter § 11. Et eksemplar av reglene skal oppbevares ved Datatilsynet.
Fortegnelsen og reglene skal være tilgjengelige for alle.
Kongen2 kan gi nærmere regler om fortegnelsen og gjøre slike unntak3 fra første ledd som er nødvendige ut fra beredskapshensyn eller hensynet til rikets sikkerhet.
Datatilsynet kan kreve de opplysningene som trengs for at det kan gjennomføre sine oppgaver. Tilsynet kan kreve å få adgang til de stedene der personregistre,2 billedopptak som nevnt i kapittel 9 a og tekniske hjelpemidler fins,3 og til å gjennomføre de prøver eller kontroller som det mener er nødvendige. Tilsynet kan kreve nødvendig bistand fra personalet slike steder for å få utført prøvene eller kontrollene.
Datatilsynets rett til å kreve opplysninger er ikke begrenset av bestemmelser om taushetsplikt.4
Kongen5 kan gjøre slike unntak fra første og annet ledd som er nødvendige av hensyn til rikets sikkerhet. Kongen kan også gi forskrift om dekning av utgiftene ved kontroll. Skyldig bidrag til dekning av utgiftene er tvangsgrunnlag for utlegg.
Registrering av personopplysninger1 skal være saklig begrunnet ut fra hensynet til administrasjon og virksomhet i det organ eller foretak som foretar registreringen.
Uten at det er nødvendig, må det ikke registreres
1.
opplysninger om rase, eller politisk eller religiøs oppfatning
2.
opplysninger om at en person har vært mistenkt, tiltalt eller dømt for straffbart forhold
3.
opplysninger om helseforhold eller misbruk av rusmidler
4.
opplysninger om seksuelle forhold
5.
andre opplysninger om familieforhold enn slike som gjelder slektskap eller familiestatus, formuesordningen mellom ektefeller og forsørgelsesbyrde.
Alle har rett til å få opplyst hvilke opplysninger om dem selv som lagres eller bearbeides ved elektroniske hjelpemidler. Denne innsynsretten gjelder likevel ikke registre som bare brukes til statistikk, forsking eller generelle planleggingsformål. Innsynsretten gjelder heller ikke opplysninger som det må anses utilrådelig at vedkommende får kjennskap til, av hensyn til deres helse eller forholdet til personer som står dem nær.2
For personregistre3 i organ for stat eller kommune gjelder innsynsretten, slik den er avgrenset i første ledd, også for opplysninger som ikke lagres eller bearbeides ved elektroniske hjelpemidler. Den registrerte kan likevel ikke kreve å få se dokumenter som reknes som interne etter forvaltningslovens4 § 18.
For personregistre3 i organ for stat eller kommune har alle dessuten rett til å få opplyst hvilke typer opplysninger som er tatt inn i registeret.
Kongen5 kan ved forskrift bestemme at det som er fastsatt i annet og tredje ledd, også skal anvendes på personregistre1 i privat næringsvirksomhet, foreninger eller stiftelser, eller for visse slike registre.
Kongen5 kan ved forskrift eller for det enkelte register fastsette flere unntak fra innsynsretten og fastsette nærmere regler eller vilkår for bruken av retten.
Dersom et personregister2 inneholder uriktige eller ufullstendige opplysninger, opplysninger som det ikke er adgang til å ta inn i registeret,3 eller opplysninger som ikke lenger har betydning, skal opplysningene rettes, slettes eller suppleres såframt mangelen kan få betydning for den registrerte. Har mangelen ført til at det er gitt eller brukt uriktige eller ufullstendige opplysninger, skal det sørges for at feilen så vidt mulig ikke får betydning for den registrerte.
Når det foreligger feil som nevnt i første ledd, kan Datatilsynet4 gi pålegg om retting, sletting eller supplering av registeret og om tiltak etter første ledd annet punktum.
Kapittel 4. Plikt til å søke samtykke til å opprette personregistre.1
1
Se § 1 annet ledd.
§ 9.1
Det kreves samtykke fra Kongen2 (konsesjon) for å opprette personregistre3 som skal gjøre bruk av elektroniske hjelpemidler. Slikt samtykke kreves også for å opprette andre personregistre3 dersom de skal inneholde4
1.
opplysninger om rase, eller politisk eller religiøs oppfatning
2.
opplysninger om at en person har vært mistenkt, tiltalt eller dømt for straffbart forhold
3.
opplysninger om helseforhold eller misbruk av rusmidler
4.
opplysninger om seksuelle forhold, eller
5.
andre opplysninger om familieforhold enn slike som gjelder slektskap eller familiestatus, formuesordningen mellom ektefeller og forsørgelsesbyrde.
Kongen5 kan bestemme at visse typer personregistre3 skal være unntatt fra konsesjonsplikten etter første ledd. For slike registre kan det fastsettes forskrifter om forhold som er nevnt i § 11. Det kan også fastsettes andre forskrifter for å begrense de problemer registeret ellers kunne medføre for den enkelte, bl.a. regler om at registeret skal kontrolleres av Datatilsynet6 og tas med i fortegnelsen etter § 4.
Kongens myndighet etter første og annet ledd kan bare delegeres til departementet7 eller til Datatilsynet.
Første ledd gjelder ikke for personregistre som opprettes av Riksrevisjonen som ledd i dens kontrollvirksomhet. Slike personregistre skal slettes straks kontrollen er utført.
Ved avgjørelsen av om samtykke skal gis, skal det – innenfor den rammen som er fastsatt i § 6 – vurderes om opprettelse og bruk av personregisteret1 kan volde problemer for den enkelte som ikke kan løses tilfredsstillende ved regler etter § 11. Dersom slike problemer kan oppstå, må det overveies om de blir oppveid av hensyn som taler for at registeret blir opprettet.
Når det blir gitt samtykke etter § 9, skal det fastsettes regler for personregisteret2 som angir hvilke typer opplysninger registeret kan inneholde, og hva registeret kan brukes til.
I reglene kan det dessuten fastsettes slike vilkår som har betydning for bruken av registeret eller kan begrense de ulempene opprettelsen og bruken av registeret ellers kunne medføre. Særlig bør det overveies å fastsette regler om
1.
innsamling og kontroll av de opplysninger registeret kan inneholde
2.
behandling og lagring av disse opplysningene
3.
adgangen til samkjøring med andre personregistre2 (kobling)
4.
bruk av fødselsnummer3 (fødselsdato og personnummer)
5.
utlevering av opplysninger, bl.a. om opplysninger kan overføres til andre registre
6.
omfanget og innholdet av den informasjon som skal gis ved meldinger eller andre henvendelser til den registrerte
7.
den enkeltes rett til å kreve opplysninger etter § 7
8.
retting av opplysninger og rutiner i registeret
9.
ajourføring av registeret
10.
sletting eller ikke-bruk av opplysninger etter en viss tid, og eventuelt overføring av registeret til arkivverket
Reglene skal dessuten peke ut det organ eller foretak eller den person som har ansvar for at reglene blir gjennomført.
Regler som er fastsatt etter § 11, kan ikke fravikes uten at det er innhentet samtykke fra det organet som fastsetter reglene, eller – når reglene bestemmer det – fra departementet1 eller Datatilsynet.2
Kapittel 5. Kreditt- og personopplysningsvirksomhet.
§ 13.1
Med kredittopplysningsvirksomhet menes i kapitlet her virksomhet som består i å gi meddelelser som belyser kredittverdighet eller økonomisk vederheftighet (kredittopplysning). Kapitlet gjelder ikke bruk av opplysninger innen et foretak, og heller ikke i forhold til foretak innen samme konsern med mindre opplysningene blir gitt av et foretak som driver kredittopplysningsvirksomhet. Det gjelder heller ikke avgivelse av opplysninger til annet kredittopplysningsforetak som loven gjelder for, forutsatt at opplysningene skal brukes i dette foretakets kredittopplysningsvirksomhet.
Kongen2 kan gi utfyllende forskrift om hva som skal reknes som kredittopplysningsvirksomhet. For visse typer foretak kan Kongen2 ved forskrift eller enkeltvedtak gjøre unntak fra de enkelte bestemmelser i kapitlet.
Foretak som driver kredittopplysningsvirksomhet, kan ikke uten samtykke fra Kongen3 drive annen personopplysningsvirksomhet.
Et foretak kan ikke sette i gang kredittopplysningsvirksomhet2 før Kongen3 har gitt samtykke til det.
Ved avgjørelsen av om det skal gis samtykke, skal det legges vekt på om virksomheten kan forutsettes å ville bli drevet på en redelig og forsvarlig måte. Innenfor rammen av bestemmelsene i denne lov kan det settes slike vilkår for konsesjonen som er egnet til å fremme disse formål, bl.a. om sikkerhet for ansvar. For foretak som utenlandske interesser har bestemmende innflytelse over, kan det settes vilkår som gjelder etableringsformen og sammensetningen av selskapets ledelse.
1
Jfr. §§ 21, 38.
2
Se § 13.
3
Datatilsynet med Justisdepartementet som klageinstans. Se res. 21 des 1979.
Kredittopplysningsforetaket1 skal2 påse at de opplysninger som brukes i kredittopplysningsøyemed, så vidt mulig er fullstendige, og at det ikke brukes opplysninger som kan danne grunnlag for ugrunnet eller urimelig avvisende holdning til den opplysningene gjelder.
En opplysning som ved kalenderårets utgang vil være 3 år gammel eller mer, kan bare brukes dersom det er åpenbart at forholdet fortsatt har vesentlig betydning for vurderingen av den opplysningene gjelder.
Kredittopplysning2 skal vanligvis meddeles skriftlig. Den kan gis muntlig dersom den ikke inneholder noe som kan bli anført mot den opplysningen gjelder, eller kredittopplysningen av praktiske grunner må gis uten opphold. Blir en kredittopplysning gitt muntlig, skal opplysningens innhold samt bestillerens navn og adresse noteres og oppbevares minst et halvt år. Inneholder den noe som kan bli anført mot den opplysningen gjelder, skal den bekreftes skriftlig.
Kredittopplysningen2 kan gis ved utsending av publikasjoner eller lister, forutsatt at publikasjonen eller listen bare inneholder opplysninger om næringsdrivende, og at opplysningene er gitt i summarisk form. Slike publikasjoner kan bare sendes til medlemmer og abonnenter.
Anmodning om kredittopplysning2 som går ut på at bestilleren skal få vite det kredittopplysningsforetaket blir kjent med i framtiden eller i et bestemt tidsrom, kan bare omfatte opplysninger om næringsdrivende.
Når kredittopplysning2 om noen som ikke er næringsdrivende blir gitt eller bekreftet skriftlig, skal kredittopplysningsforetaket samtidig vederlagsfritt sende gjenpart, kopi eller annen melding om innholdet til den det er bestilt opplysninger om.3
Alle har rett til å få opplyst hva foretaket har lagret om dem selv til bruk i kredittopplysningsøyemed, og til å få opplyst hvilke kredittopplysninger som er gitt om dem de siste seks måneder. Foretaket plikter også å opplyse hvem som har bestilt opplysningene, og hvem det har mottatt opplysningene fra. Svar skal gis skriftlig om ikke vedkommende har samtykket i at det blir gitt på annen måte. Blir opplysning om hva et register inneholder gitt i form av et sammendrag, eller har foretaket lagret opplysninger som ikke gjengis fullstendig, skal dette sies i svaret. Den opplysningene gjelder, kan kreve å få gjennomgå alle dokumenter m.m. ved henvendelse til foretaket.
Foretaket kan beregne seg en rimelig godtgjørelse når opplysning etter første ledd første punktum blir gitt skriftlig. Kongen kan ved forskrift eller enkeltvedtak gi nærmere regler om beregning av godtgjørelsen.
Kongen1 kan ved forskrift fastsette at § 14 om konsesjonsplikt skal gjelde også for andre foretak som driver personopplysningsvirksomhet.2 I konsesjonen kan det settes vilkår om innsamling, lagring og bruk av opplysningene, samt om kontroll, om innsynsrett for den opplysningene gjelder og om rett til å kreve seg slettet av register.
Virksomhet som består i å bearbeide personopplysninger2 for andre ved elektroniske hjelpemidler, må ikke settes i gang før Kongen3 har gitt samtykke til det. § 14 annet ledd gjelder tilsvarende.
Første ledd gjelder ikke dersom bearbeidelsen utelukkende skjer for andre foretak innen samme konsern.
Kongen4 kan gi utfyllende forskrifter om hva som skal reknes som databehandlingsforetak ved anvendelse av første ledd, og kan ved forskrift eller enkeltvedtak gjøre unntak fra de enkelte bestemmelser i dette kapitlet.
1
Jfr. § 38.
2
Se § 1 annet ledd.
3
Datatilsynet med Justisdepartementet som klageinstans. Se res. 21 des 1979.
Foretak som må ha konsesjon etter § 22 første ledd, må ikke uten avtale med oppdragsgiveren anvende opplysningene til andre formål enn det oppdraget gjelder. Opplysningene kan heller ikke uten slik avtale overlates til noen andre for lagring eller bearbeidelse.
Kapittel 7. Adresserings- og distribusjonsvirksomhet.
§ 25.1
Virksomhet som består i å selge eller på annen måte tilby adresser for grupper av personer, eller i å utføre oppdrag for utsending av reklame og andre meddelelser til slike grupper, kan ikke settes i gang før Kongen2 har gitt samtykke til det. § 14 annet ledd gjelder tilsvarende.
Kongen3 kan gi utfyllende forskrift om hvilke foretak som er konsesjonspliktige etter første ledd, og kan ved forskrift eller enkeltvedtak gjøre unntak fra de enkelte bestemmelser i kapitlet.
1
Jfr. § 38.
2
Datatilsynet med Justisdepartementet som klageinstans. Se res. 21 des 1979.
Et register til bruk for virksomhet som er nevnt i § 25 første ledd, kan ikke inneholde
1.
opplysninger om rase, eller politisk eller religiøs oppfatning
2.
opplysninger om at en person har vært mistenkt, tiltalt eller dømt for straffbart forhold
3.
opplysninger om helseforhold eller misbruk av rusmidler
4.
opplysninger om seksuelle forhold
5.
andre opplysninger om familieforhold enn slike som gjelder slektskap eller familiestatus, formuesordningen mellom ektefeller og forsørgelsesbyrde.
Kongen2 kan ved forskrift eller enkeltvedtak ytterligere begrense foretakets adgang til å registrere personopplysninger,3 og regulere bruken av registrerte opplysninger.
Uten hinder av bestemmelsene i § 26 kan foretaket sende meldinger på grunnlag av kunde- og medlemsregistre som stilles til rådighet av oppdragsgiveren. Slike registre må bare nyttes til å sende meldinger om oppdragsgiverens varer eller tjenester o.l., og de kan ikke overlates til andre.
Foretaket skal i sine registre slette enhver som ber om det. En registrert kan kreve å få opplyst hvem som er foretakets kilde for registreringen.
Gjelder kravet om sletting slikt register som er nevnt i § 27, skal kravet sendes til oppdragsgiveren, som plikter å påse at vedkommende blir strøket som adressat ved seinere bruk av registeret. Den som har satt fram kravet, skal underrettes om videresendingen og om oppdragsgiverens navn.
Kongen1 kan ved forskrift eller for det enkelte foretak gi bestemmelser med sikte på å hindre at personopplysninger2 blir brukt i strid med §§ 26 og 27 og for å sikre gjennomføringen av reglene i § 28.
at §§ 26 til 28 skal gjelde tilsvarende for foretak som i enkeltstående tilfeller påtar seg oppdrag som er nevnt i § 25 første ledd,
2.
at visse typer opplysninger ikke skal kunne anvendes for utvalg av adressater ved utsending av meldinger for foretakets egne varer og tjenester o.l., samt at § 28 skal gjelde tilsvarende for slike adresselister.
Virksomhet som består i å utføre opinions- eller markedsundersøkelser for andre, kan ikke settes i gang før Kongen2 har gitt samtykke til det. § 14 annet ledd gjelder tilsvarende.
Kongen3 kan gi utfyllende forskrift om hvilke foretak som er konsesjonspliktige etter første ledd, og kan ved forskrift eller enkeltvedtak gjøre unntak fra de enkelte bestemmelser i dette kapitlet.
1
Jfr. § 38 og forskrift gitt av Justisdepartementet 21 des 1979 med senere endringer.
2
Datatilsynet med Justisdepartementet som klageinstans. Se res. 21 des 1979.
Personopplysninger2 som noen gir under opinions- eller markedsundersøkelser, må ikke meddeles videre i en slik form at opplysningen kan henføres til en enkelt person.
Opplysninger som er mottatt for opinions- og markedsundersøkelser, må ikke brukes for andre formål.
Uten samtykke fra den opplysningene gjelder, må opplysning om navn, fødselsdato, fødselsnummer2 eller liknende ikke innføres i register som bearbeides ved elektroniske hjelpemidler. Heller ikke må slike opplysninger innføres i et annet register som er særskilt utformet med sikte på at opplysningene skal være lett tilgjengelige og anvendelige.
Uten samtykke fra den opplysningen gjelder, må innsamlete opplysninger ikke lagres i mer enn et halvt år i slik form at de kan henføres til en enkelt person.
Kongen1 gir nærmere forskrifter om slik virksomhet som er nevnt i § 31. Forskriftene kan bl.a. inneholde bestemmelser om innhenting av opplysninger, om lagring av innhentete opplysninger, og andre bestemmelser som skal sikre at innsamlete personopplysninger2 ikke nyttes på urett måte eller kommer på urette hender.
Kongen1 kan ved forskrift bestemme at §§ 32 til 34 skal gjelde også for foretak som i enkeltstående tilfelle påtar seg slike oppdrag som er nevnt i § 31 første ledd, og for foretak som setter i verk slike undersøkelser for sin egen administrasjon og virksomhet.
Register som omfattes av § 9 første ledd må ikke overføres til utlandet uten samtykke av Kongen.2
Personopplysninger3 som er innsamlet her i riket, må ikke overføres til utlandet uten samtykke av Kongen2 når formålet er å innføre opplysningene i et register som nevnt i § 9 første ledd.
Kongen4 kan ved forskrift gjøre unntak fra første og annet ledd. Det kan fastsettes at disse bestemmelser ikke skal gjelde i forhold til enkelte andre land.
1
Jfr. § 38.
2
Datatilsynet med Justisdepartementet som klageinstans. Se res. 21 des 1979.
Kongen1 kan gi forskrift om samarbeid mellom Datatilsynet2 og tilsynsmyndigheter i andre land. I slik forskrift kan det fastsettes særlige regler om meldeplikt for registre og om kontroll med eller tilintetgjøring av registre.
Fjernsynsovervåkning og billedopptak i forbindelse med slik overvåkning er bare tillatt dersom det er saklig begrunnet ut fra hensynet til virksomheten i det organ eller foretak som foretar overvåkningen. Ved overvåkning av sted hvor en begrenset krets av personer jevnlig ferdes, er overvåkningen likevel bare tillatt dersom det ut fra hensynet til virksomheten er et særskilt behov for overvåkningen.
Billedopptakene skal slettes når det ikke lenger er saklig grunn for oppbevaring.
Med fjernsynsovervåkning menes vedvarende eller regelmessig gjentatt personovervåkning ved hjelp av fjernbetjent eller automatisk virkende fjernsynskamera, fotografiapparat eller liknende apparat.
Kapitlet her gjelder ikke for billedopptak som er å anse som personregistre.1 Kongen kan i tvilstilfelle bestemme når billedopptak som er gjort ved fjernsynsovervåkning, skal anses som personregistre etter § 1 annet ledd.
Billedopptak gjort ved fjernsynsovervåkning2 kan bare utleveres til noen utenfor det foretak eller organ som har foretatt opptaket, dersom den som er avbildet samtykker eller utleveringsadgangen følger av lov. Hvis ikke lovbestemt taushetsplikt er til hinder for utlevering, kan billedopptak likevel utleveres til politiet i forbindelse med etterforskning av straffbare handlinger eller ulykker. Kongen kan i forskrift eller i det enkelte tilfelle fastsette at billedopptak kan utleveres utover det som er bestemt i første og annet punktum.
Kongen kan i forskrift fastsette nærmere regler om sikring, bruk, utlevering og sletting av billedopptak gjort ved fjernsynsovervåkning.2 Kongen kan også fastsette forskrift om innsynsrett for den som er overvåket, i de deler av billedopptakene hvor han eller hun er avbildet.
Dersom billedopptak ikke slettes i samsvar § 37 a annet ledd eller forskrift fastsatt i medhold av annet ledd i paragrafen her, kan Datatilsynet3 gi pålegg om sletting.
Med bøter1 eller fengsel inntil ett år eller begge deler2 straffes den som forsettlig eller aktløst
1.
unnlater å innhente samtykke etter § 9, § 13 tredje ledd, § 14, § 22, § 25, § 31 eller § 36
2.
overtrer regler eller vilkår fastsatt etter § 11, § 14, § 22, § 25, § 31, § 36 eller § 37 b
3.
bruker opplysninger i strid med reglene i § 16, § 18, § 23, § 26, § 27, § 32, § 33 eller § 37 b
4.
unnlater å etterkomme krav fra Datatilsynet3 etter § 5, § 8 eller § 37 b
5.
unnlater å etterkomme krav om opplysninger etter § 7, § 20 eller § 37 b eller krav om sletting etter § 28 eller § 37 b
6.
unnlater å gi melding etter § 19 til den opplysningen gjelder.
Medvirkning straffes på samme måte.
I forskrift som gis i medhold av loven, kan det fastsettes at overtreding av forskriften skal straffes med bøter1 eller fengsel inntil ett år eller begge deler.
Har foretak som driver virksomhet som nevnt i § 13, meddelt opplysninger i strid med bestemmelser gitt i eller i medhold av loven her, eller meddelt opplysninger som viser seg uriktige eller åpenbart misvisende, skal foretaket erstatte det tap som påføres den opplysningene gjelder. Dette gjelder uten hensyn til om det er utvist skyld fra noen som har opptrådt på vegne av eller i tjeneste hos foretaket.
Kapittel 11. Forholdet til andre lover. Ikraftsetting. Overgangsregler.
§ 41.
Konsesjonsplikten etter § 9 jfr. § 10 gjelder ikke for personregistre1 i organ for stat eller kommune som er opprettet ved egen lov. Også for slike registre skal det likevel fastsettes regler som nevnt i § 11, i den utstrekning det ikke er fastsatt noe annet i eller i medhold av heimelsloven. Også de andre bestemmelsene i loven gjelder for slike registre i den utstrekning ikke annet følger av hjemmelsloven.
For personregistre2 som er opprettet før loven trer i kraft, og som omfattes av § 9, skal det søkes om samtykke innen en frist som Kongen fastsetter. Forutsatt at søknad er kommet inn innen fristen, kan personregisteret brukes uendret inntil det er fastsatt regler etter § 11.
Reglene i annet ledd gjelder tilsvarende når det kreves samtykke etter kapitlene 5 til 9.
1
Fra 1 jan 1980, med unntak av § 7 som trådte i kraft 1 juli 1980, iflg. res. 21 des 1979.
Lov om personregistre m.m.
Loven er opphevet av lov 14 april 2000 nr. 31 om behandling av personopplysninger (personopplysningsloven) som trådte i kraft 1 jan 2001 iflg. res. 30 juni 2000 nr. 641).
Kort om loven
Sist endret 26.09.2024
Personregisterloven – opphevet var en norsk lov som gjaldt for personregistre og for annen bruk av personopplysninger i visse typer virksomheter. Loven ble opphevet og erstattet av den første personopplysningsloven med virkning fra 1. januar 2001. Denne ble i sin tur erstattet av den nye personopplysningsloven av 15. juni 2018, som trådte i kraft 20. juli 2018 og dermed gjennomførte EUs personvernforordning (GDPR) i Norge.
Les mer i Store norske leksikon.
Kapittel 1. Lovens område.
§ 1.
Loven gjelder for personregistre og for annen bruk av personopplysninger i visse typer virksomhet.
Med personopplysninger1 er ment opplysninger og vurderinger som direkte eller indirekte kan knyttes til identifiserbare enkeltpersoner, sammenslutninger eller stiftelser. Med personregistre2 er ment registre, fortegnelser m.m. der personopplysninger er lagret systematisk slik at opplysninger om den enkelte person kan finnes igjen.
Loven gjelder for personregistre og bruk av personopplysninger i organ for stat eller kommune og i privat næringsvirksomhet, foreninger eller stiftelser.
Kongen kan bestemme3 at loven ikke skal gjelde for visse typer personregistre.
Kapittel 2. Datatilsynet.
§ 2.
Det blir opprettet et datatilsyn. Datatilsynet skal være et frittstående organ underordnet Kongen og det departement1 Kongen fastsetter.
Datatilsynet blir ledet av et styre, som skal ha 7 medlemmer. Medlemmene blir oppnevnt av Kongen, som også fastsetter hvem som skal være styrets formann og nestformann.
§ 3.
Uttalelse fra Datatilsynet skal være innhentet før det blir gjort vedtak som i loven her er lagt til Kongen. Dette gjelder likevel ikke vedtak etter § 2.
Datatilsynet skal ellers:
Kongen kan gi Datatilsynet ytterligere oppgaver som gjelder bruk m.m. av personregistre1 eller bruk av personopplysninger1 ellers.
§ 4.
Datatilsynet skal føre en systematisk fortegnelse over personregistre1 som er gitt konsesjon etter § 9. Fortegnelsen skal henvise til de regler som er fastsatt etter § 11. Et eksemplar av reglene skal oppbevares ved Datatilsynet.
Fortegnelsen og reglene skal være tilgjengelige for alle.
Kongen2 kan gi nærmere regler om fortegnelsen og gjøre slike unntak3 fra første ledd som er nødvendige ut fra beredskapshensyn eller hensynet til rikets sikkerhet.
§ 5.1
Datatilsynet kan kreve de opplysningene som trengs for at det kan gjennomføre sine oppgaver. Tilsynet kan kreve å få adgang til de stedene der personregistre,2 billedopptak som nevnt i kapittel 9 a og tekniske hjelpemidler fins,3 og til å gjennomføre de prøver eller kontroller som det mener er nødvendige. Tilsynet kan kreve nødvendig bistand fra personalet slike steder for å få utført prøvene eller kontrollene.
Datatilsynets rett til å kreve opplysninger er ikke begrenset av bestemmelser om taushetsplikt.4
Kongen5 kan gjøre slike unntak fra første og annet ledd som er nødvendige av hensyn til rikets sikkerhet. Kongen kan også gi forskrift om dekning av utgiftene ved kontroll. Skyldig bidrag til dekning av utgiftene er tvangsgrunnlag for utlegg.
Kapittel 3. Alminnelige regler om personregistre.
§ 6.
Registrering av personopplysninger1 skal være saklig begrunnet ut fra hensynet til administrasjon og virksomhet i det organ eller foretak som foretar registreringen.
Uten at det er nødvendig, må det ikke registreres
§ 7.1
Alle har rett til å få opplyst hvilke opplysninger om dem selv som lagres eller bearbeides ved elektroniske hjelpemidler. Denne innsynsretten gjelder likevel ikke registre som bare brukes til statistikk, forsking eller generelle planleggingsformål. Innsynsretten gjelder heller ikke opplysninger som det må anses utilrådelig at vedkommende får kjennskap til, av hensyn til deres helse eller forholdet til personer som står dem nær.2
For personregistre3 i organ for stat eller kommune gjelder innsynsretten, slik den er avgrenset i første ledd, også for opplysninger som ikke lagres eller bearbeides ved elektroniske hjelpemidler. Den registrerte kan likevel ikke kreve å få se dokumenter som reknes som interne etter forvaltningslovens4 § 18.
For personregistre3 i organ for stat eller kommune har alle dessuten rett til å få opplyst hvilke typer opplysninger som er tatt inn i registeret.
Kongen5 kan ved forskrift bestemme at det som er fastsatt i annet og tredje ledd, også skal anvendes på personregistre1 i privat næringsvirksomhet, foreninger eller stiftelser, eller for visse slike registre.
Kongen5 kan ved forskrift eller for det enkelte register fastsette flere unntak fra innsynsretten og fastsette nærmere regler eller vilkår for bruken av retten.
§ 8.1
Dersom et personregister2 inneholder uriktige eller ufullstendige opplysninger, opplysninger som det ikke er adgang til å ta inn i registeret,3 eller opplysninger som ikke lenger har betydning, skal opplysningene rettes, slettes eller suppleres såframt mangelen kan få betydning for den registrerte. Har mangelen ført til at det er gitt eller brukt uriktige eller ufullstendige opplysninger, skal det sørges for at feilen så vidt mulig ikke får betydning for den registrerte.
Når det foreligger feil som nevnt i første ledd, kan Datatilsynet4 gi pålegg om retting, sletting eller supplering av registeret og om tiltak etter første ledd annet punktum.
§ 8 a.1
En person kan kreve sitt navn sperret i et personregister2 mot bruk til utsending av direkte reklame og liknende publikasjoner.
§ 8 b.
Kongen kan ved forskrift eller enkeltvedtak gi regler for sikring av personopplysninger.1
Kapittel 4. Plikt til å søke samtykke til å opprette personregistre.1
§ 9.1
Det kreves samtykke fra Kongen2 (konsesjon) for å opprette personregistre3 som skal gjøre bruk av elektroniske hjelpemidler. Slikt samtykke kreves også for å opprette andre personregistre3 dersom de skal inneholde4
Kongen5 kan bestemme at visse typer personregistre3 skal være unntatt fra konsesjonsplikten etter første ledd. For slike registre kan det fastsettes forskrifter om forhold som er nevnt i § 11. Det kan også fastsettes andre forskrifter for å begrense de problemer registeret ellers kunne medføre for den enkelte, bl.a. regler om at registeret skal kontrolleres av Datatilsynet6 og tas med i fortegnelsen etter § 4.
Kongens myndighet etter første og annet ledd kan bare delegeres til departementet7 eller til Datatilsynet.
Første ledd gjelder ikke for personregistre som opprettes av Riksrevisjonen som ledd i dens kontrollvirksomhet. Slike personregistre skal slettes straks kontrollen er utført.
§ 10.
Ved avgjørelsen av om samtykke skal gis, skal det – innenfor den rammen som er fastsatt i § 6 – vurderes om opprettelse og bruk av personregisteret1 kan volde problemer for den enkelte som ikke kan løses tilfredsstillende ved regler etter § 11. Dersom slike problemer kan oppstå, må det overveies om de blir oppveid av hensyn som taler for at registeret blir opprettet.
§ 11.1
Når det blir gitt samtykke etter § 9, skal det fastsettes regler for personregisteret2 som angir hvilke typer opplysninger registeret kan inneholde, og hva registeret kan brukes til.
I reglene kan det dessuten fastsettes slike vilkår som har betydning for bruken av registeret eller kan begrense de ulempene opprettelsen og bruken av registeret ellers kunne medføre. Særlig bør det overveies å fastsette regler om
Reglene skal dessuten peke ut det organ eller foretak eller den person som har ansvar for at reglene blir gjennomført.
§ 12.
Regler som er fastsatt etter § 11, kan ikke fravikes uten at det er innhentet samtykke fra det organet som fastsetter reglene, eller – når reglene bestemmer det – fra departementet1 eller Datatilsynet.2
Kapittel 5. Kreditt- og personopplysningsvirksomhet.
§ 13.1
Med kredittopplysningsvirksomhet menes i kapitlet her virksomhet som består i å gi meddelelser som belyser kredittverdighet eller økonomisk vederheftighet (kredittopplysning). Kapitlet gjelder ikke bruk av opplysninger innen et foretak, og heller ikke i forhold til foretak innen samme konsern med mindre opplysningene blir gitt av et foretak som driver kredittopplysningsvirksomhet. Det gjelder heller ikke avgivelse av opplysninger til annet kredittopplysningsforetak som loven gjelder for, forutsatt at opplysningene skal brukes i dette foretakets kredittopplysningsvirksomhet.
Kongen2 kan gi utfyllende forskrift om hva som skal reknes som kredittopplysningsvirksomhet. For visse typer foretak kan Kongen2 ved forskrift eller enkeltvedtak gjøre unntak fra de enkelte bestemmelser i kapitlet.
Foretak som driver kredittopplysningsvirksomhet, kan ikke uten samtykke fra Kongen3 drive annen personopplysningsvirksomhet.
§ 14.1
Et foretak kan ikke sette i gang kredittopplysningsvirksomhet2 før Kongen3 har gitt samtykke til det.
Ved avgjørelsen av om det skal gis samtykke, skal det legges vekt på om virksomheten kan forutsettes å ville bli drevet på en redelig og forsvarlig måte. Innenfor rammen av bestemmelsene i denne lov kan det settes slike vilkår for konsesjonen som er egnet til å fremme disse formål, bl.a. om sikkerhet for ansvar. For foretak som utenlandske interesser har bestemmende innflytelse over, kan det settes vilkår som gjelder etableringsformen og sammensetningen av selskapets ledelse.
§ 15.
Kredittopplysningsforetaket1 skal2 påse at de opplysninger som brukes i kredittopplysningsøyemed, så vidt mulig er fullstendige, og at det ikke brukes opplysninger som kan danne grunnlag for ugrunnet eller urimelig avvisende holdning til den opplysningene gjelder.
En opplysning som ved kalenderårets utgang vil være 3 år gammel eller mer, kan bare brukes dersom det er åpenbart at forholdet fortsatt har vesentlig betydning for vurderingen av den opplysningene gjelder.
§ 16.1
Foretaket kan ikke som ledd i kredittopplysningsvirksomhet2 bruke
Kongen3 kan likevel gi samtykke til at opplysninger som nevnt i første ledd nr. 2 og 3 samles inn og meddeles i visse tilfelle.
§ 17.
Kredittopplysning1 må ikke gis når det etter det som foreligger, går fram at bestilleren ikke har saklig behov for den.
§ 18.1
Kredittopplysning2 skal vanligvis meddeles skriftlig. Den kan gis muntlig dersom den ikke inneholder noe som kan bli anført mot den opplysningen gjelder, eller kredittopplysningen av praktiske grunner må gis uten opphold. Blir en kredittopplysning gitt muntlig, skal opplysningens innhold samt bestillerens navn og adresse noteres og oppbevares minst et halvt år. Inneholder den noe som kan bli anført mot den opplysningen gjelder, skal den bekreftes skriftlig.
Kredittopplysningen2 kan gis ved utsending av publikasjoner eller lister, forutsatt at publikasjonen eller listen bare inneholder opplysninger om næringsdrivende, og at opplysningene er gitt i summarisk form. Slike publikasjoner kan bare sendes til medlemmer og abonnenter.
Anmodning om kredittopplysning2 som går ut på at bestilleren skal få vite det kredittopplysningsforetaket blir kjent med i framtiden eller i et bestemt tidsrom, kan bare omfatte opplysninger om næringsdrivende.
§ 19.1
Når kredittopplysning2 om noen som ikke er næringsdrivende blir gitt eller bekreftet skriftlig, skal kredittopplysningsforetaket samtidig vederlagsfritt sende gjenpart, kopi eller annen melding om innholdet til den det er bestilt opplysninger om.3
§ 20.1
Alle har rett til å få opplyst hva foretaket har lagret om dem selv til bruk i kredittopplysningsøyemed, og til å få opplyst hvilke kredittopplysninger som er gitt om dem de siste seks måneder. Foretaket plikter også å opplyse hvem som har bestilt opplysningene, og hvem det har mottatt opplysningene fra. Svar skal gis skriftlig om ikke vedkommende har samtykket i at det blir gitt på annen måte. Blir opplysning om hva et register inneholder gitt i form av et sammendrag, eller har foretaket lagret opplysninger som ikke gjengis fullstendig, skal dette sies i svaret. Den opplysningene gjelder, kan kreve å få gjennomgå alle dokumenter m.m. ved henvendelse til foretaket.
Foretaket kan beregne seg en rimelig godtgjørelse når opplysning etter første ledd første punktum blir gitt skriftlig. Kongen kan ved forskrift eller enkeltvedtak gi nærmere regler om beregning av godtgjørelsen.
§ 21.
Kongen1 kan ved forskrift fastsette at § 14 om konsesjonsplikt skal gjelde også for andre foretak som driver personopplysningsvirksomhet.2 I konsesjonen kan det settes vilkår om innsamling, lagring og bruk av opplysningene, samt om kontroll, om innsynsrett for den opplysningene gjelder og om rett til å kreve seg slettet av register.
Kapittel 6. Databehandlingsforetak.
§ 22.1
Virksomhet som består i å bearbeide personopplysninger2 for andre ved elektroniske hjelpemidler, må ikke settes i gang før Kongen3 har gitt samtykke til det. § 14 annet ledd gjelder tilsvarende.
Første ledd gjelder ikke dersom bearbeidelsen utelukkende skjer for andre foretak innen samme konsern.
Kongen4 kan gi utfyllende forskrifter om hva som skal reknes som databehandlingsforetak ved anvendelse av første ledd, og kan ved forskrift eller enkeltvedtak gjøre unntak fra de enkelte bestemmelser i dette kapitlet.
§ 23.1
Foretak som må ha konsesjon etter § 22 første ledd, må ikke uten avtale med oppdragsgiveren anvende opplysningene til andre formål enn det oppdraget gjelder. Opplysningene kan heller ikke uten slik avtale overlates til noen andre for lagring eller bearbeidelse.
§ 24.
Foretaket skal treffe de sikringstiltak som trengs.
Kongen1 kan ved forskrift eller for det enkelte foretak gi bestemmelser om de sikringstiltak som skal gjennomføres.
Kapittel 7. Adresserings- og distribusjonsvirksomhet.
§ 25.1
Virksomhet som består i å selge eller på annen måte tilby adresser for grupper av personer, eller i å utføre oppdrag for utsending av reklame og andre meddelelser til slike grupper, kan ikke settes i gang før Kongen2 har gitt samtykke til det. § 14 annet ledd gjelder tilsvarende.
Kongen3 kan gi utfyllende forskrift om hvilke foretak som er konsesjonspliktige etter første ledd, og kan ved forskrift eller enkeltvedtak gjøre unntak fra de enkelte bestemmelser i kapitlet.
§ 26.1
Et register til bruk for virksomhet som er nevnt i § 25 første ledd, kan ikke inneholde
Kongen2 kan ved forskrift eller enkeltvedtak ytterligere begrense foretakets adgang til å registrere personopplysninger,3 og regulere bruken av registrerte opplysninger.
§ 27.1
Uten hinder av bestemmelsene i § 26 kan foretaket sende meldinger på grunnlag av kunde- og medlemsregistre som stilles til rådighet av oppdragsgiveren. Slike registre må bare nyttes til å sende meldinger om oppdragsgiverens varer eller tjenester o.l., og de kan ikke overlates til andre.
§ 28.1
Foretaket skal i sine registre slette enhver som ber om det. En registrert kan kreve å få opplyst hvem som er foretakets kilde for registreringen.
Gjelder kravet om sletting slikt register som er nevnt i § 27, skal kravet sendes til oppdragsgiveren, som plikter å påse at vedkommende blir strøket som adressat ved seinere bruk av registeret. Den som har satt fram kravet, skal underrettes om videresendingen og om oppdragsgiverens navn.
§ 29.
Kongen1 kan ved forskrift eller for det enkelte foretak gi bestemmelser med sikte på å hindre at personopplysninger2 blir brukt i strid med §§ 26 og 27 og for å sikre gjennomføringen av reglene i § 28.
§ 30.
Kongen1 kan ved forskrift bestemme
Kapittel 8. Opinions- og markedsundersøkelser.
§ 31.1
Virksomhet som består i å utføre opinions- eller markedsundersøkelser for andre, kan ikke settes i gang før Kongen2 har gitt samtykke til det. § 14 annet ledd gjelder tilsvarende.
Kongen3 kan gi utfyllende forskrift om hvilke foretak som er konsesjonspliktige etter første ledd, og kan ved forskrift eller enkeltvedtak gjøre unntak fra de enkelte bestemmelser i dette kapitlet.
§ 32.1
Personopplysninger2 som noen gir under opinions- eller markedsundersøkelser, må ikke meddeles videre i en slik form at opplysningen kan henføres til en enkelt person.
Opplysninger som er mottatt for opinions- og markedsundersøkelser, må ikke brukes for andre formål.
§ 33.1
Uten samtykke fra den opplysningene gjelder, må opplysning om navn, fødselsdato, fødselsnummer2 eller liknende ikke innføres i register som bearbeides ved elektroniske hjelpemidler. Heller ikke må slike opplysninger innføres i et annet register som er særskilt utformet med sikte på at opplysningene skal være lett tilgjengelige og anvendelige.
Uten samtykke fra den opplysningen gjelder, må innsamlete opplysninger ikke lagres i mer enn et halvt år i slik form at de kan henføres til en enkelt person.
§ 34.
Kongen1 gir nærmere forskrifter om slik virksomhet som er nevnt i § 31. Forskriftene kan bl.a. inneholde bestemmelser om innhenting av opplysninger, om lagring av innhentete opplysninger, og andre bestemmelser som skal sikre at innsamlete personopplysninger2 ikke nyttes på urett måte eller kommer på urette hender.
§ 35.
Kongen1 kan ved forskrift bestemme at §§ 32 til 34 skal gjelde også for foretak som i enkeltstående tilfelle påtar seg slike oppdrag som er nevnt i § 31 første ledd, og for foretak som setter i verk slike undersøkelser for sin egen administrasjon og virksomhet.
Kapittel 9. Overføring til utlandet, m.m.
§ 36.1
Register som omfattes av § 9 første ledd må ikke overføres til utlandet uten samtykke av Kongen.2
Personopplysninger3 som er innsamlet her i riket, må ikke overføres til utlandet uten samtykke av Kongen2 når formålet er å innføre opplysningene i et register som nevnt i § 9 første ledd.
Kongen4 kan ved forskrift gjøre unntak fra første og annet ledd. Det kan fastsettes at disse bestemmelser ikke skal gjelde i forhold til enkelte andre land.
§ 37.
Kongen1 kan gi forskrift om samarbeid mellom Datatilsynet2 og tilsynsmyndigheter i andre land. I slik forskrift kan det fastsettes særlige regler om meldeplikt for registre og om kontroll med eller tilintetgjøring av registre.
Kapittel 9 a. Fjernsynsovervåkning.
§ 37 a.
Fjernsynsovervåkning og billedopptak i forbindelse med slik overvåkning er bare tillatt dersom det er saklig begrunnet ut fra hensynet til virksomheten i det organ eller foretak som foretar overvåkningen. Ved overvåkning av sted hvor en begrenset krets av personer jevnlig ferdes, er overvåkningen likevel bare tillatt dersom det ut fra hensynet til virksomheten er et særskilt behov for overvåkningen.
Billedopptakene skal slettes når det ikke lenger er saklig grunn for oppbevaring.
Med fjernsynsovervåkning menes vedvarende eller regelmessig gjentatt personovervåkning ved hjelp av fjernbetjent eller automatisk virkende fjernsynskamera, fotografiapparat eller liknende apparat.
Kapitlet her gjelder ikke for billedopptak som er å anse som personregistre.1 Kongen kan i tvilstilfelle bestemme når billedopptak som er gjort ved fjernsynsovervåkning, skal anses som personregistre etter § 1 annet ledd.
§ 37 b.1
Billedopptak gjort ved fjernsynsovervåkning2 kan bare utleveres til noen utenfor det foretak eller organ som har foretatt opptaket, dersom den som er avbildet samtykker eller utleveringsadgangen følger av lov. Hvis ikke lovbestemt taushetsplikt er til hinder for utlevering, kan billedopptak likevel utleveres til politiet i forbindelse med etterforskning av straffbare handlinger eller ulykker. Kongen kan i forskrift eller i det enkelte tilfelle fastsette at billedopptak kan utleveres utover det som er bestemt i første og annet punktum.
Kongen kan i forskrift fastsette nærmere regler om sikring, bruk, utlevering og sletting av billedopptak gjort ved fjernsynsovervåkning.2 Kongen kan også fastsette forskrift om innsynsrett for den som er overvåket, i de deler av billedopptakene hvor han eller hun er avbildet.
Dersom billedopptak ikke slettes i samsvar § 37 a annet ledd eller forskrift fastsatt i medhold av annet ledd i paragrafen her, kan Datatilsynet3 gi pålegg om sletting.
Kapittel 10. Straff og erstatning.
§ 38.
Med bøter1 eller fengsel inntil ett år eller begge deler2 straffes den som forsettlig eller aktløst
Medvirkning straffes på samme måte.
I forskrift som gis i medhold av loven, kan det fastsettes at overtreding av forskriften skal straffes med bøter1 eller fengsel inntil ett år eller begge deler.
§ 39.(Opphevet)
§ 40.
Har foretak som driver virksomhet som nevnt i § 13, meddelt opplysninger i strid med bestemmelser gitt i eller i medhold av loven her, eller meddelt opplysninger som viser seg uriktige eller åpenbart misvisende, skal foretaket erstatte det tap som påføres den opplysningene gjelder. Dette gjelder uten hensyn til om det er utvist skyld fra noen som har opptrådt på vegne av eller i tjeneste hos foretaket.
🔗Del paragrafKapittel 11. Forholdet til andre lover. Ikraftsetting. Overgangsregler.
§ 41.
Konsesjonsplikten etter § 9 jfr. § 10 gjelder ikke for personregistre1 i organ for stat eller kommune som er opprettet ved egen lov. Også for slike registre skal det likevel fastsettes regler som nevnt i § 11, i den utstrekning det ikke er fastsatt noe annet i eller i medhold av heimelsloven. Også de andre bestemmelsene i loven gjelder for slike registre i den utstrekning ikke annet følger av hjemmelsloven.
§ 42.
Loven trer i kraft den dag Kongen bestemmer.1
For personregistre2 som er opprettet før loven trer i kraft, og som omfattes av § 9, skal det søkes om samtykke innen en frist som Kongen fastsetter. Forutsatt at søknad er kommet inn innen fristen, kan personregisteret brukes uendret inntil det er fastsatt regler etter § 11.
Reglene i annet ledd gjelder tilsvarende når det kreves samtykke etter kapitlene 5 til 9.
§ 43.
Fra loven trer i kraft gjøres følgende endringer i andre lover: – – –
🔗Del paragraf