#### 10.2.2 Hvem gjelder personvernforordningen for?

########## Registrert person

«Registrert» person er betegnelsen på de fysiske personer som loven skal verne. Registrerte har forholdsvis omfattende rettigheter i samsvar med kapittel III i forordningen og enkelte særregler i personopplysningsloven. Registrerte personer kan la seg representere av noen de gir fullmakt. For mindreårige og umyndige personer vil det ofte være foreldre eller verge som utøver rettigheter på vegne av den registrerte.

########## Behandlingsansvarlig

Behandlingsansvarlig er den aktøren som har de fleste pliktene etter forordningen. Behandlingsansvarlig kan både være en fysisk person og en juridisk person (virksomhet). Ofte vil det være en virksomhet. Hvem som skal regnes som behandlingsansvarlig, avhenger av to spørsmål:

- - hvem som bestemmer med behandlingen, og formålet
- - hvem som bestemmer hvilke som skal benyttes for å behandle opplysningene. midler

Stikkordene er altså og . Formål gjelder hva en ønsker å bruke personopplysningene til. formål midler Midler kan i denne sammenheng mer presist forstås som hjelpemidler og henspiller i første rekke på tekniske/digitale hjelpemidler som gjør det mulig med automatisert behandling. Den som bestemmer hvilken programvare (jf. «system», «app» o.l.) som skal anskaffes for å behandle opplysningene, vil altså lett kunne ses som behandlingsansvarlig, likeledes den som fastsetter innhold og funksjon for systemløsninger som blir spesielt utviklet. Definisjonen av «behandlingsansvarlig» kan ikke sjelden etterlate tvil om hvem som har dette ansvaret. Dette gjelder ikke minst når de aktuelle organisasjonsstrukturene er store og komplekse. Hvem som er behandlingsansvarlig, kan imidlertid også fastsettes direkte og konkret i nasjonal rett, se personvernforordningen artikkel 4 nr. 7.

########## Databehandler

Databehandler «en fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet Databehandler «en fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ som behandler personopplysninger på vegne av den behandlingsansvarlige», se artikkel 4 nr. 8. Et slikt oppdragsforhold krever at det er inngått avtale i samsvar med artikkel 28. Slike avtaler kalles «databehandleravtaler», der behandlingsansvarlige er oppdragsgiver, og der databehandler er oppdragstaker. Avtalen går ut på å behandle personopplysninger på vegne av den behandlingsansvarlige. For eksempel kan databehandleravtaler regulere behandling av personopplysninger «i skyen». Forordningen stiller omfattende og detaljerte krav til databehandleravtaler.

#### 10.2.3 Hvor gjelder personvernforordningen?

Personvernforordningen gjelder for det første all behandling av personopplysninger som utføres av en behandlingsansvarlig eller databehandler som er etablert i EU, jf. artikkel 3. Siden forordningen er tatt inn i EØS-avtalen, gjelder forordningen også for virksomheter som er etablert i Norge. Det spiller ingen rolle om selve behandlingen skjer i EU/EØS/Norge, så lenge virksomheten er etablert der. Et norsk forvaltningsorgan eller selskap som behandler personopplysninger i et land utenfor EØS, for eksempel en ambassade eller et selskap som har virksomhet i en annen del av verden, skal følge personvernforordningen også når de behandler personopplysninger om personer utenfor EØS.