5 Lovens geografiske virkeområde

5.1 Gjeldende rett

Personopplysningsloven § 4 første ledd bestemmer at loven gjelder for behandlingsansvarlige som er etablert i Norge. Kongen kan i forskrift bestemme at loven helt eller delvis skal gjelde for Svalbard og Jan Mayen, og fastsette særlige regler om behandling av personopplysninger for disse områdene. I personopplysningsforskriften § 1-4 er det fastsatt at loven med forskrift gjelder for behandlingsansvarlige som er etablert på Svalbard, men at Datatilsynet ved enkeltvedtak kan gi dispensasjon fra de enkelte bestemmelser i personopplysningsloven dersom stedlige forhold gjør det nødvendig. I forskriften § 1-5 er det bestemt at personopplysningsloven med forskrift gjelder for behandlingsansvarlige som er etablert på Jan Mayen.

Personopplysningsloven § 4 annet ledd bestemmer at loven også gjelder for behandlingsansvarlige som er etablert i stater utenfor EØS dersom den behandlingsansvarlige benytter hjelpemidler i Norge. Dette gjelder likevel ikke dersom hjelpemidlene bare brukes til å overføre personopplysninger via Norge. Det følger av § 4 tredje ledd at behandlingsansvarlige som nevnt i annet ledd skal ha en representant som er etablert i Norge. Reglene som gjelder for den behandlingsansvarlige gjelder også for representanten.

5.2 Forordningen

Artikkel 3 nr. 1 bestemmer at forordningen får anvendelse på behandling av personopplysninger som utføres i forbindelse med aktivitetene ved virksomheten til en behandlingsansvarlig eller en databehandler i Unionen, uavhengig av om behandlingen finner sted i Unionen eller ikke.

I artikkel 3 nr. 2 utvides det geografiske virkeområdet ytterligere. Det er der bestemt at forordningen får anvendelse på behandling av personopplysninger om registrerte som befinner seg i Unionen, og som utføres av en behandlingsansvarlig eller databehandler som ikke er etablert i Unionen, dersom behandlingen er knyttet til enten tilbud av varer eller tjenester til registrerte i Unionen, uavhengig av om det kreves betaling fra den registrerte eller ikke (bokstav a) eller dersom behandlingen er knyttet til monitorering av deres atferd, i den grad deres atferd finner sted i Unionen (bokstav b). Artikkel 27 gir nærmere regler om plikten til å skriftlig utpeke en representant i de tilfeller som er regulert i artikkel 3 nr. 2.

Artikkel 3 nr. 3 fastslår at forordningen får anvendelse på behandling av personopplysninger som utføres av en behandlingsansvarlig som ikke er etablert i Unionen, men på et sted der medlemsstatenes nasjonale rett får anvendelse i henhold til folkeretten.

5.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet å videreføre gjeldende rett om at personopplysningsloven gis anvendelse på Svalbard og Jan Mayen. For øvrig foreslo departementet ingen bestemmelser om lovens geografiske virkeområde, men viste til at forordningen selv inneholder regler om dette i artikkel 3.

5.4 Høringsinstansenes syn

Kun et fåtall høringsinstanser har uttalt seg om reglenes geografiske virkeområde. Norsk senter for forskningsdata uttaler at det kan være uvant for de som skal anvende personopplysningsloven at lovens virkeområde ikke fremgår innledningsvis i loven, og i verste fall medføre misforståelser og uenighet om disse helt sentrale bestemmelsene. Norsk senter for forskningsdata viser til at man i Danmark har inkludert saklig og geografisk virkeområde i forslaget til loven som skal supplere forordningen, selv om disse bestemmelsene repeterer forordningen. Medietilsynet viser til at bestemmelsen i lovutkastet om at loven gjelder for Svalbard og Jan Mayen kan tolkes slik at loven kun gjelder for Svalbard og Jan Mayen. Medietilsynet foreslår derfor at lovteksten endres til «Loven gjelder også for Svalbard og Jan Mayen».

5.5 Departementets vurdering

Departementet foreslår at det gis regler om lovens geografiske virkeområde, se lovforslaget § 4. I høringsnotatet foreslo departementet ingen tilsvarende bestemmelser, men departementet har kommet til at det er hensiktsmessig at bestemmelser om lovens geografiske virkeområde tas inn i lovteksten. Bestemmelsen i lovforslaget § 4 bygger på forordningens bestemmelser om geografisk virkeområde, jf. artikkel 3 nr. 1, 2 og 3. Samtidig konsumerer den artikkel 3 som derfor ikke får noen selvstendig betydning for fastleggelse av lovens geografiske virkeområde ved siden av lovens bestemmelse.

I departementets forslag er hovedregelen at loven og personvernforordningen gjelder for behandling av personopplysninger som utføres i forbindelse med aktivitetene ved virksomheten til en behandlingsansvarlig eller en databehandler i Norge, uavhengig av om behandlingen finner sted i EØS eller ikke. Departementet foreslår at loven og personvernforordningen også skal gjelde når behandlingen utføres av en behandlingsansvarlig eller databehandler som ikke er etablert i EØS i tilfeller hvor behandlingen gjelder registrerte som befinner seg i Norge og behandlingen er knyttet til enten tilbud av varer eller tjenester til slike registrerte i Norge, uavhengig av om det kreves betaling fra den registrerte eller ikke, eller dersom behandlingen er knyttet til monitorering av deres atferd, i den grad deres atferd finner sted i Norge. Loven og personvernforordningen skal også gjelde for behandling av personopplysninger som utføres av en behandlingsansvarlig som ikke er etablert i Norge, men på et sted der norsk rett får anvendelse i henhold til folkeretten. Det vises for øvrig til spesialmerknadene.

Departementet foreslår videre at Kongen kan gi forskrift om lovens anvendelse på Svalbard og Jan Mayen, samt at det kan fastsettes særlige regler om behandling av personopplysninger for disse områdene. Dette er en videreføring av gjeldende rett, jf. punkt 5.1.