Personopplysningsloven §§ 33–35 har regler om konsesjon (forhåndstillatelse) fra Datatilsynet for behandling av personopplysninger.

Personopplysningsloven regulerer plikten til å søke konsesjon. Som hovedregel oppstår konsesjonsplikt dersom det skal behandles sensitive personopplysninger. Behandling av slike opplysninger anses gjennomgående å medføre større risiko for personvernet enn andre typer opplysninger. Det er tilstrekkelig at én opplysningstype er sensitiv for at hele behandlingen krever konsesjon.

Departementet pekte i høringsnotatet på at erfaringer fra Datatilsynet kan tilsi at dagens konsesjonsplikt er for omfattende. Det er ønskelig med større fokus på etterfølgende kontroll og tilsyn, fremfor at Datatilsynet benytter store ressurser på forhåndsgodkjenning av ulike behandlinger av personopplysninger. Departementet drøftet spørsmålet om Datatilsynets forhåndskontroll kan gjennomføres på annen måte enn gjennom et konsesjonssystem.

Departementet deler synspunktene i Datatilsynets høringsuttalelse, og har kommet til at tilsynets eget forslag til endringer i personopplysningsloven § 33 i denne omgang er den beste løsning for å oppnå et forbedret konsesjonsinstitutt.

Datatilsynet forvalter melde- og konsesjonsordningen. Tilsynets erfaringer med dagens system er således en viktig faktor ved valget av løsning. Departementet finner at forslaget vil gi tilsynet et praktisk verktøy i utøvelsen av forhåndskontrollen. Departementet mener videre at en ved å gå inn for Datatilsynets forslag kan oppnå formålet med endringen og samtidig beholde de positive sidene ved dagens system.

Departementet går etter dette inn for at det tilføyes et nytt tredje ledd i personopplysningsloven § 33, der Datatilsynet gis muligheten til å gjøre unntak fra kravet til konsesjon når dette fremstår som åpenbart unødvendig. Dette kan for eksempel være aktuelt i saker der det er innhentet aktivt samtykke fra den eller de registrerte. Avgjørelsene vil være enkeltvedtak som kan påklages.