Hjemmelen er personopplysningsloven § 9. Loven åpner for at det ikke er nødvendig med samtykke fra de registrerte, dvs. de personer hvis personopplysninger behandles.
Det er et vilkår at samfunnets interesse i at behandlingen finner sted klart overstiger ulempene for den enkelte registrerte.
Ta først kontakt med personvernombudet
Før NMBU iverksetter behandling av sensitive personopplysninger bakgrunn av slike formål, må den ansvarlige enheten først rådføre seg med personvernombudet via https://www.nmbu.no/personvern. Sammen skal de vurdere om behandlingen oppfyller kravene i GDPR og personopplysningsloven. Personvernombudet skal kontaktes selv om NMBU har innhentet samtykke fra de registrerte.
Tiltak for å sikre rettighetene til de registrerte
GDPR artikkel 89 nr. 1 krever at vi innfører tekniske og organisatoriske tiltak for å sikre de registrertes rettigheter, og særlig at det ikke samles inn flere opplysninger enn nødvendig. Et slikt tiltak kan være pseudonymisering, forutsatt at formålet (arkiv, forskning, statistikk) med behandlingen oppnås. Pseudonymisering betyr å avidentifisere personopplysninger slik at de ikke kan knyttes til en bestemt person uten bruk av tilleggsopplysninger (for eksempel en koblingsnøkkel) som lagres adskilt og tilstrekkelig sikkert. Men, hvis formålet kan oppfylles ved anonymisering, skal det gjøres i stedet. Anonymisering betyr at opplysningene bearbeides slik at det ikke lenger er mulig å identifisere de aktuelle personene.