Etter personregisterloven § 8 har Datatilsynet adgang til i visse tilfeller å gi den registeransvarlige pålegg om å rette, slette eller supplere et personregister. Tilsynet har ikke anledning til å følge opp gjennomføringen av pålegget med virkemidler som f.eks. tvangsmulkt.

Personregisterloven § 40 pålegger objektivt erstatningsansvar for kredittopplysningsforetak som meddeler opplysninger i strid med lovens regler eller opplysninger som viser seg uriktige eller åpenbart misvisende. For andre virksomheter finnes det ingen erstatningsregel i personregisterloven, slik at det er det alminnelige ulovfestede uaktsomhetsansvaret som gjelder. I Innst. S. nr. 80 (1991-1992) ber justiskomiteen regjeringen vurdere om det er ønskelig å utvide den objektive erstatningsregelen for kredittforetak til andre typer registre og om det bør innføres en egen lovhjemmel for oppreisningserstatning i personregisterloven.

Personregisterloven § 38 setter straff for forsettlige og uaktsomme overtredelser av visse bestemmelser i loven.

Artikkel 23 og 24 i EU-direktivet pålegger medlemsstatene å fastsette sanksjoner, herunder regler om erstatning, for overtredelse av de nasjonale bestemmelser som gis til gjennomføring av direktivet.

Utvalget foreslår en bestemmelse som gir Datatilsynet generell hjemmel til å gi pålegg om at behandling av personopplysninger i strid med lovens regler skal opphøre eller bare kunne fortsette på nærmere bestemte vilkår. Datatilsynet får kompetanse til å ilegge en løpende tvangsmulkt når dette er nødvendig for å sikre at pålegg blir etterlevd.

Utvalget går videre inn for at den behandlingsansvarlige skal være ansvarlig for økonomisk tap som han forvolder, med mindre han eller hun godtgjør at vedkommende ikke har utvist uaktsomhet (skyldansvar med omvendt bevisbyrde). Kredittopplysningsforetak skal, på samme måte som i dag ha et objektivt ansvar. Utvalget frarår at det innføres en oppreisningsregel i den nye loven.

Utvalget går inn for å sette straff for overtredelse av en rekke av reglene i forslaget til ny personopplysningslov. Det foreslår at straffen under særdeles skjerpende omstendigheter kan settes til fengsel inntil to år, mens strafferammen ellers er ett år.

Det er generell oppslutning blant høringsinstansene om å skjerpe og utvide dagens sanksjonsbestemmelser. Enkelte reiser imidlertid spørsmål om påleggsbestemmelsen går langt nok. Datatilsynet foreslår en regel som gir tilsynet adgang til å gi pålegg om at behandlinger av personopplysninger som på grunn av sitt omfang eller art vil virke krenkende for den enkelte skal opphøre, eller bare kunne gjennomføres på nærmere bestemte vilkår. Det har ikke kommet innvendinger mot forslaget om å innføre et erstatningsansvar. Flere tar til orde for at det også bør kunne gis erstatning for ikke-økonomisk tap. Når det gjelder straffebestemmelse, reiser ØKOKRIM spørsmål om strafferammen ved særdeles skjerpende omstendigheter bør økes til tre år.

Departementet slutter seg i hovedsak til forslagene om å utvide og skjerpe sanksjonsmulighetene. I motsetning til utvalget mener departementet at det er behov for en oppreisningsbestemmelse, jf. lovutkastets § 49, og departementet finner ikke grunn til å straffesanksjonere innsynsreglene. Strafferammen for særlig grove overtredelser av den nye loven bør slik departementet ser det settes til tre år.

Datatilsynet får gjennom lovforslaget til dels vide fullmakter. En hjemmel til ut fra en helhetsvurdering å sette særlige vilkår for særskilte behandlinger av personopplysninger, vil i realiteten fremstå som en generell fullmakt for tilsynet til å gjøre unntak fra og supplere lovens behandlingsregler. Departementet går ikke inn for å gi Datatilsynet en slik skjønnsmessig adgang til å stanse eller sette vilkår også for behandlinger som er lovlige.