Personverndirektivet

Personverndirektivet er EU-direktiv 95/46/EF om beskyttelse av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger. Direktivet ble gjennomført i norsk rett ved personopplysningsloven av 2000. Direktivet er hjemlet i Romatraktaten artikkel 100A. EU-kommisjonen fremmet i januar 2012 forslag til revisjon av dette regelverksområdet, med en forordning for generelle personvernregler og et nytt personverdirektiv om myndighetenes behandling av personopplysninger i forbindelse med kriminalitetsbekjempelse. Den generelle personvernforordningen ble vedtatt i april 2016, og erstattet Personverndirektivet den 25. mai 2018 i EU.

Direktivet regulerer i utgangspunktet all elektronisk behandling av personopplysninger (definert i artikkel 2) og behandling av opplysninger som inngår i et personregister. Medlemsstatene må sikre at behandlingen skjer med det beskyttelsesnivå direktivet angir. Medlemsstatene kan ikke av personvernhensyn fastsette strengere regler som hindrer flyten av personopplysninger innen EØS-området (artikkel 1).

Direktivets innhold 
Direktivets første del definerer virkeområdet og begreper som den personopplysninger, behandlingsansvarlig (dansk: registeransvarlig, engelsk: data controller) og databehandler (dansk: registerførere, engelsk: data processor).  

Direktivets andre del setter betingelser for at behandlingen skal være lovlig, herunder krav til datakvalitet (artikkel 6) og krav til at behandlingen har et rettslig grunnlag 
(artikkel 7). Det er strengere krav til behandling av særlig følsomme opplysninger, som opplysninger om politisk eller religiøs overbevisning, helse eller seksuelle forhold (artikkel 8). Den registrerte har rett til opplysninger om behandlingen og kan kreve innsyn hos den behandlingsansvarlige (artikkel 10-13). 

Direktivets fjerde del regulerer adgangen til å overføre opplysninger til tredjeland, dvs. stater utenfor EØS-området. Slik overføring kan blant annet skje når den registrerte har samtykket, tredjelandet anses å ha tilfredsstillende lovgivning eller den behandlingsansvarlige har garantert for behandlingen. Kommisjonen har erklært at noen stater (bl.a. Argentina, Canada og Sveits) har et tilfredsstillende beskyttelsesnivå, og den har fastsatt eksempler på kontraktsbestemmelser som gir tilfredsstillende garantier ved overføring av opplysninger til tredjeland. 

Direktivets artikkel 29 slår fast at det skal opprettes en uavhengig og rådgivende gruppe som utpekes av medlemslandendes tilsynsmyndigheter. Datatilsynet er observatør i artikkel 29-gruppen. Gruppen har publisert en rekke uttalelser, hvor aktuelle problemstillinger drøftes og direktivet tolkes. I tillegg har gruppen uttalelser om personvernforordningen, som avløser direktivet fra 2018.

Referanser

Kilder 
  Direktiv 95/46/EF - oppdatert, offisiell versjon på dansk, med lenker til aktuelle EU-dokumenter, Eurlex
 Direktiv 95/46/EF norsk versjon, da direktivet ble inntatt i EØS-avtalen, Regjeringen.no 
 Resyme av personverndirektivet, Europa.eu
 Artikkel 29-gruppen (engelsk nettsted)
 1990/287/COD - saksbehandlingen av personverndirektivet, Prelex
 2012/0010/COD - saksbehandling av forslag til personverndirektiv om myndigheters behandling av opplysninger i forbindelse med kriminalitetsbekjempelse, Prelex
 2012/0011/COD - saksbehandling av forslag til generell forordning om personvern, Prelex

EU-direktiver
Personvern