Publisert: 13.12.2023
Vi viser generelt til vårt høringssvar knyttet til forslaget til lov om forskriftshjemmel for behandling av personopplysninger for frivillige tiltak på barne-, oppvekst og familieområdet. Forskriften gjennomfører dette på en god måte.
Forskriften går samtidig noe lengre enn det som er påkrevd for å gi en supplerende nasjonal hjemmel som i tilstrekkelig grad klargjør formålene ved behandlingen av personopplysninger. Dette har vi noen merknader til.
Blant annet pålegger forslaget til § 6 i forskriften å gi informasjon til den registrerte om blant annet «annet lovverk som påvirker de registrertes rettigheter etter personvernforordningen, herunder reglene om dokumentasjonsplikt i helsepersonelloven og pasientjournalloven og reglene om arkivplikt i arkivlova». Her fremstår det nærliggende å peke konkret på reglene om opplysningsplikt og opplysningsrett som følger av annen lovgivning.
I forslaget til § 6 siste ledd er det uttalt at helsepersonell i kommunene «som utøver programmet, har et særlig ansvar for å forsikre seg om at informasjonen er mottatt og forstått». Vi savner en begrunnelse for en slik regulering av ansvar knyttet til det som etter forskriften er en ren databehandler i et ledd av flere databehandlere, som arbeider under BUFDIR som behandlingsansvarlig. Helsepersonell i kommunene kan ikke forutsettes å ha detaljert kunnskap om personvernregelverket. Forskriften bør etter vårt syn ikke skape uklarhet om at dette ansvaret om å gi nødvendig informasjon er et ansvar som hører under den behandlingsansvarlige. Det er den behandlingsansvarlige som må sørge for gode rutiner og veiledninger overfor databehandlere for å ivareta dette.
Generelt fremstår det nærliggende at dersom forskriften først skal inneholde bestemmelser av informative hensyn, bør formålet med dette være klart formulert og forståelig for leserne av forskriften. En forskrift som kun informerer om et begrenset utvalg rettigheter, skaper en risiko for at databehandlere eller registrerte privatpersoner misforstår rettigheter og plikter etter det samlede personvernregelverket.
