Hva er personvern?

Av Nyhetsbloggen-redaksjonen · Oppdatert juli 2026

Personvern er retten til å ha kontroll over opplysninger om deg selv – hvem som samler dem inn, hva de brukes til, og hvem de deles med. I Norge og EU/EØS er dette regulert gjennom personvernforordningen, bedre kjent som GDPR.

Hver dag legger vi igjen digitale spor: når vi handler på nett, bruker mobilappen til banken, går til legen eller surfer på sosiale medier. Alle disse sporene sier noe om oss – hvor vi bor, hva vi liker, hvem vi kjenner og hvordan vi har det. Personvern handler om at denne informasjonen ikke er fritt vilt for andre å samle inn og bruke som de vil.

Tanken bak personvern er enkel: du skal i størst mulig grad selv bestemme hvilke opplysninger om deg som blir kjent for andre, og hva de brukes til. Dette henger tett sammen med retten til privatliv, som er en anerkjent menneskerettighet. Uten personvern kan opplysninger misbrukes til alt fra målrettet manipulasjon og diskriminering til svindel og overvåking.

I praksis reguleres personvern gjennom lover som stiller krav til alle som samler inn og behandler personopplysninger – enten det er en nettbutikk, en kommune, en arbeidsgiver eller en helseinstitusjon. Disse aktørene kalles «behandlingsansvarlige», og de må kunne vise at de har et lovlig grunnlag for å bruke opplysningene dine.

Hva er GDPR?

GDPR (General Data Protection Regulation), på norsk kalt personvernforordningen, er et regelverk vedtatt av EU som setter felles minstekrav til hvordan personopplysninger skal behandles i hele EU/EØS-området. Fordi Norge er tilknyttet EUs indre marked gjennom EØS-avtalen/, gjelder forordningen også her, gjennomført i norsk lov som personopplysningsloven.

GDPR bygger på noen grunnleggende prinsipper som all behandling av personopplysninger må følge:

• Lovlighet, rettferdighet og åpenhet: Det må finnes et gyldig rettslig grunnlag for å samle inn opplysninger, og den registrerte skal vite hva som skjer med dem.
• Formålsbegrensning: Opplysninger som samles inn til ett formål, kan ikke fritt brukes til et helt annet formål senere.
• Dataminimering: Man skal bare samle inn det som faktisk er nødvendig, ikke mer «for sikkerhets skyld».
• Lagringsbegrensning: Opplysninger skal ikke lagres lenger enn det som er nødvendig for formålet.
• Integritet og konfidensialitet: Opplysningene skal sikres mot uautorisert tilgang, tap eller manipulasjon.

Hvilke opplysninger regnes som personopplysninger?

En personopplysning er enhver opplysning som kan knyttes til en identifiserbar person, direkte eller indirekte. Det omfatter åpenbare ting som navn, fødselsnummer, adresse og telefonnummer, men også mer indirekte opplysninger som IP-adresse, lokasjonsdata eller en kombinasjon av opplysninger som til sammen peker mot én bestemt person.

Enkelte kategorier regnes som ekstra sensitive og har et strengere vern: helseopplysninger, opplysninger om seksuell orientering, politisk eller religiøs overbevisning, fagforeningsmedlemskap og biometriske eller genetiske data. Slike opplysninger krever i utgangspunktet et strengere behandlingsgrunnlag enn ordinære opplysninger.

Hvilke rettigheter har du?

GDPR gir enkeltpersoner en rekke konkrete rettigheter overfor dem som behandler opplysninger om dem:

• Rett til innsyn: Du kan be om å få vite hvilke opplysninger som er registrert om deg, og hva de brukes til.
• Rett til retting: Feilaktige eller ufullstendige opplysninger skal kunne rettes.
• Rett til sletting («retten til å bli glemt»): Under visse vilkår kan du kreve at opplysninger om deg slettes.
• Rett til dataportabilitet: Du kan i mange tilfeller be om å få opplysningene dine i et format som lar deg flytte dem til en annen tjeneste.
• Rett til å protestere: Du kan motsette deg visse former for behandling, blant annet direkte markedsføring.

Rettighetene er likevel ikke ubetingede. En arbeidsgiver kan for eksempel ha en lovpålagt plikt til å oppbevare visse ansattopplysninger, og da kan ikke arbeidstakeren kreve dem slettet. Avveiningen mellom personvern og andre legitime hensyn – som lovpålagt arkivering, forskning, kriminalitetsbekjempelse eller ytringsfrihet/ og pressefrihet – er noe av det som gjør personvernretten krevende i praksis.

Hvem passer på at reglene følges?

I Norge er det Datatilsynet som er tilsynsmyndighet for personvern. Datatilsynet kan behandle klager fra enkeltpersoner, gjennomføre kontroller hos virksomheter, og ilegge overtredelsesgebyr dersom en virksomhet bryter reglene alvorlig. Mange virksomheter er også pålagt å ha et eget personvernombud som skal påse at regelverket følges internt.

På EU-nivå samarbeider de nasjonale personvernmyndighetene gjennom Det europeiske personvernrådet (EDPB), som blant annet gir felles tolkninger av regelverket for å sikre en mer ensartet praksis på tvers av landegrensene.

Et konkret eksempel

Tenk deg at du bestiller en vare fra en norsk nettbutikk. Nettbutikken trenger navnet, adressen og betalingsopplysningene dine for å levere varen – dette er et lovlig og nødvendig formål. Men hvis den samme nettbutikken senere begynner å selge kjøpshistorikken din videre til et reklamebyrå uten at du har samtykket til det eller blitt informert, bryter det med både formålsbegrensningen og kravet til åpenhet i GDPR. Du kan da klage til Datatilsynet, som kan undersøke saken og eventuelt reagere overfor nettbutikken.

Personvern og andre hensyn

Personvern kommer ofte i spenning med andre samfunnsviktige hensyn, og dette er et tema der synene er delte. Noen peker på at strenge personvernregler er nødvendige for å beskytte enkeltmennesker mot overvåking, diskriminering og misbruk av makt, særlig fra store teknologiselskaper og myndigheter. Andre mener at regelverket til tider blir for tungvint og byråkratisk, og at det kan hemme forskning, innovasjon og effektiv kriminalitetsbekjempelse dersom det praktiseres for strengt. Debatten handler i stor grad om hvor grensen mellom individets rett til privatliv og fellesskapets behov for informasjon bør trekkes – noe som også berører prinsipper som offentlighetsloven/ og innsyn i forvaltningen.

Personvern henger også sammen med bredere spørsmål om menneskerettighetene/ og hvordan disse balanseres mot statens og virksomheters behov for informasjon, samt med hvordan rettssikkerhet/ ivaretas når myndigheter behandler opplysninger om enkeltpersoner i saksbehandlingen sin, jf. også forvaltningsloven/.

Ofte stilte spørsmål

Gjelder GDPR bare for store selskaper?

Nei. Regelverket gjelder for alle som behandler personopplysninger i forbindelse med en virksomhet eller yrkesutøvelse – fra store internasjonale konsern til den lokale frisørsalongen som fører kundelister. Rent private aktiviteter, som å føre en adresseliste over familie og venner, faller derimot utenfor.

Kan jeg kreve at en bedrift sletter alt om meg?

Du har rett til å be om sletting, men retten er ikke absolutt. Dersom bedriften har et annet lovlig grunnlag for å beholde opplysningene – for eksempel bokføringsplikt eller en pågående rettslig prosess – kan sletting nektes eller utsettes.

Hva skjer hvis en virksomhet bryter personvernreglene?

Datatilsynet kan gi pålegg om retting, midlertidig eller varig forbud mot behandlingen, og i alvorlige tilfeller ilegge overtredelsesgebyr. Den registrerte kan også i noen tilfeller kreve erstatning dersom bruddet har påført vedkommende skade.

Er personvern det samme som informasjonssikkerhet?

Nei, men de henger tett sammen. Informasjonssikkerhet handler om de tekniske og organisatoriske tiltakene som beskytter data mot uautorisert tilgang, tap eller endring. Personvern er det bredere rettslige og etiske prinsippet om at den enkelte skal ha kontroll over egne opplysninger – og god informasjonssikkerhet er ett av flere virkemidler for å ivareta personvernet.

Må jeg samtykke til alt en nettside vil bruke opplysningene mine til?

Samtykke er bare ett av flere mulige rettslige grunnlag for å behandle personopplysninger. Andre grunnlag kan være at behandlingen er nødvendig for å oppfylle en avtale, følge en lovpålagt plikt, eller ivareta en berettiget interesse som veier tyngre enn personvernhensynet. Der samtykke er grunnlaget, skal det være frivillig, spesifikt og informert – og du skal kunne trekke det tilbake like enkelt som du ga det.