Personvernopplysninger

Behandlingsprotokoll Elements (XLSX, 58 kB)

17.02.2026

Formål

Enhver registrert (person som vi har registrert personopplysninger på) har rett til å anmode om innsyn i hvilke personopplysninger organisasjonen har om vedkommende og hva de brukes til. Denne prosedyren skal sikre at henvendelser fra den registrerte om innsyn i egne personopplysninger, retting og/eller sletting og protestere mot behandling av egne personopplysninger, blir sendt til rette mottakere og besvart.

Omfang/Virkeområde

Hele organisasjonen.

Ansvar

• Behandlingsansvarlig - Kommunedirektør.
• Sjekke om det er registrert personopplysninger - den enkelte fagsystemansvarlig.
• Samordne og sende svar til den registrerte - arkivet.

Aktivitet/beskrivelse

For å ivareta målsetningen om en gjennomsiktig og rettferdig behandling av personopplysninger gir personvernregelverket de registrerte rett til å anmode om innsyn, korrigering og sletting av egne opplysninger. se Rett til innsyn på datatilsynet.

1. Den registrerte sin henvendelse til Verdal kommune:

Den registrerte har rett til å be om innsyn, korrigering og/eller sletting og protestere mot behandling av personopplysninger ved å bruke skjema på hjemmesiden med pålogging MinId, eller ved personlig oppmøte med legitimasjon. Informasjon til de registrerte om hvordan de kan rette en henvendelse til Verdal kommune, ligger på vår hjemmeside. Den registrerte må ha bekreftet id for at kravet skal behandles.

Innsynsbegjæringen må komme fra følgende for å kunne tas til behandling:

• Den registrerte selv
• En person med fullmakt eller med samtykke fra den registrerte (skriftlig eller dokumentert)
• En verge for personlige og/eller økonomiske interesser (vergefullmakt må forevises)

Dersom ett av disse grunnlagene ikke foreligger eller kan avhjelpes ved veiledning, skal begjæringen avvises.

Åpenbare grunnløse begjæringer skal avvises.

Avvisningen skal være skriftlig og begrunnet, og informere om muligheten til å påklage denne beslutningen. Avvisningen skal sendes til den som fremsatte innsynsbegjæringen.

2. Mottak av den registrerte sin henvendelse:

• Arkivet mottar krav fra skjema på hjemmesiden - dette kommer inn på postmottak.
• Servicekontoret mottar krav om innsyn, retting, sletting og protestere mot behandling ved personlig oppmøte og sjekker identifikasjon for å bekrefte at det er rett vedkommende.
• Øvrige ansatte mottar en henvendelse fra den registrerte om innsyn, retting og/eller sletting av personopplysninger: Hvis ansatt ute på enhetene mottar henvendelse (både med epost, telefon, personlig oppmøte) så henvises den registrerte til å bruke skjema for innsynskrav på hjemmesiden, eventuelt henvises de til servicekontoret.

3. Formidling til enhetene av krav om innsyn, korrigering og/eller sletting av personopplysninger:

A. Arkiv sender ut en standardmail (Der det er opplistes hvilke opplysninger som de kan kreve innsyn i) til alle registereiere (fagsystem) i organisasjonen (gruppemail) og registrerer samtidig anmodningen om innsyn mm i ephorte.

Standardmail skal inneholde:

• Overskrift "Anmodning om"
• Kontaktinformasjon til den registrerte (Navn, adresse, telefonnummer)
• At identiteten til den registrerte er verifisert.

Følgende skal fylles ut og returneres til arkivet:

• Navn og adresse på den virksomheten som er ansvarlig for behandlingen (behandlingsansvarlig)
• Hvem som eventuelt har det daglige ansvaret
• Formålet med behandlingen - hvorfor ble opplysningene samlet inn?
• Beskrivelse av hvilke typer personopplysninger som blir samlet inn og brukt
• Hvor opplysningene er hentet fra
• Eventuelt hvem opplysningene vil bli utlevert til, herunder eventuelle tredjestater
• Forventet lagringstid for personopplysningene

Verdal kommune skal gi skriftlig svar til den registrerte eller dennes representant (arkivet samordner og sender svar).

En kopi av personopplysningene skal gjøres tilgjengelig for den registrerte ved forespørsel (sendes med SVARUT).

Hvis behandlingen baserer seg på automatiserte avgjørelser, herunder også profilering, skal det opplyses om relevant informasjon om den underliggende logikken samt betydning og forventet konsekvens av en slik behandling. (Verdal kommune har ikke automatiserte avgjørelser).

B. Videre håndtering og oppfølging skjer hos de aktuelle register-eiere. Disse sender opplysningene til arkivet som samordner svar til den registrerte.

Svar på anmodning om innsyn:

Behandlingstid

• Krav skal besvares uten ugrunnet opphold og senest innen 30 dager fra kravet ble registrert.
• Fristen kan forlenges i ytterligere 60 dager dersom det er et presserende behov for mer tid
• Ved en eventuell forsinkelse skal den registrerte informeres om årsaken til forsinkelsen innen senest en måned etter mottak av kravet.

Behandling (dette gjøres ut på avdelingene der fagsystem brukes):

1. Sjekk behandlingsprotokoll for oversikt over systemet med personopplysninger
2. Samhandle med systemansvarlig for oversikt over hvilke opplysninger som ligger i systemet, og for tilgang til logger og hvem som har tilgang til opplysningene
3. Sjekk om den registrerte er registrert i systemet
4. Dersom den registrerte ikke er registrert med personopplysninger, kan videre saksbehandling stoppes
5. Dersom den registrerte er registrert med personopplysninger, skal det lages et svar til den registrerte. Svaret sendes til den registrerte via SVARUT
6. Se punkt Svar på innsynsbegjæring for informasjon om hva svaret skal inneholde
7. Vurdere eventuelle unntak og særlovgivning. For unntak og særlovgivning se punkt unntak

Unntak

Det finnes unntak fra innsynsretten og informasjonsplikten. Man har blant annet ikke krav på innsyn eller informasjon når opplysningene:

• Er underlagt lovbestemt taushetsplikt
• Må hemmeligholdes av hensyn til etterforskning av straffbare handlinger
• Behandles til historiske, statistiske eller vitenskapelige formål og behandlingen ikke får noen direkte betydning for den registrerte (denne informasjonen vil være anonymisert)

Innsynskrav til BARNEVERNET skal håndteres av barnevernstjenesten i sin helhet så anmodningen sendes direkte dit, uten noen registrering i ephorte (se også under).

• Innsyn hos NAV og Barnevernstjenesten skal rettes direkte til dem - se datatilsynet
• Innsyn i egen journal skal rettes til den som har ansvar for journalen, eks sykehus, fastlege, tannlege - se datatilsynet
• Innsyn i registre, forskningsprosjekter og befolkningsundersøkelser skal rettes til den som er ansvarlig for det aktuelle - se datatilsynet

Svar på innsynsbegjæring

Verdal kommune skal gi skriftlig svar til den registrerte eller dennes representant. Den registrerte eller dennes representant kan kreve innsyn i følgende informasjon:

• Navn og adresse på den virksomheten som er ansvarlig for behandlingen (behandlingsansvarlig)
• Hvem som eventuelt har det daglige ansvaret
• Formålet med behandlingen - hvorfor ble opplysningene samlet inn?
• Beskrivelse av hvilke typer personopplysninger som blir samlet inn og brukt
• Hvor opplysningene er hentet fra
• Eventuelt hvem opplysningene vil bli utlevert til, herunder eventuelle tredjestater
• Retten til å anmode om korrigering eller sletting av personopplysninger, eller begrense behandlingen av disse samt å protestere mot behandlingen
• Retten til å klage til tilsynsmyndighetene
• Forventet lagringstid for personopplysningene

En kopi av personopplysningene skal gjøres tilgjengelig for den registrerte ved forespørsel - da med SVARUT.

Hvis behandlingen baserer seg på automatiserte avgjørelser, herunder også profilering, skal det opplyses om relevant informasjon om den underliggende logikken samt betydning og forventet konsekvens av en slik behandling (Verdal kommune har ikke automatiserte avgjørelser).

Følgende særlovgivning kan gå foran og likevel begrense den generelle retten til innsyn:

• F.eks. pasient- og brukerrettighetslovens regler for innsyn i pasientjournal
• Forvaltningslovens regler for partsinnsyn
• Offentlighetslovens bestemmelser om allmennhetens tilgang til dokumenter og informasjon

Hjemmel

Den registrerte sin rett til innsyn, retting/sletting av egne personopplysninger :
Personvernforordningens artikkel 15 Rett til innsyn.
Personvernforordningens artikkel 16 Rett til retting.
Personvernforordningens artikkel 17 Rett til sletting.
Personvernforordningens artikkel 18 Rett til begrensning av behandling.
Personvernforordningens artikkel 21 Rett til å protestere.

Forvaltningslovens § 20
Forskrift til forvaltningsloven
Pasient- og brukerrettighetsloven
Offentleglova

17.02.2026

Formål

Formålet med prosedyren er å sikre at opplysninger som har tjent til sitt formål og ikke lenger
en nødvendig å lagre, slettes fra hele systemet, så fremt de ikke skal oppbevares i henhold til
arkivloven, regnskapsloven (10 år) eller annen lovgivning. Se Datatilsynet: Rett til sletting (Lovdata).

Omfang/Virkeområde

Kommunen

Ansvar

• Ansvar for at prosedyren er kjent og blir etterlevd: Behandlingsansvarlig:
• Ansvar for å gjennomføre prosedyren i samråd med kommuneadvokat og arkiv: Registereier
• Ansvar for å være rådgivende og ivareta arkivlovens bestemmelser: Arkivansvarlig.

Aktivitet/beskrivelse

Den enkelte registereier (oppført i protokoll for det enkelte register) bør kontinuerlig gå over
personopplysningene som er lagret i datasystemet. Målet er å sikre dataminimering – ingen
personopplysninger skal oppbevares i dataarkiv etter at de har tjent til sitt formål og ikke lenger er
nødvendige å oppbevare, men dette gjelder ikke der det er arkivplikt og utøvelse av offentlig
myndighet, jfr artikkel 17 nr. 3 bokstav b og d.

Registereier må sørge for å vurdere å slette personopplysninger når:

1. Personopplysningene ikke lenger er nødvendige for formålet de ble samlet inn for.
2. Den registrerte trekker sitt samtykke tilbake.
3. Den registrerte ber om å bli slettet "retten til å bli glemt".
4. Det rettslige grunnlaget for behandlingen bortfaller.
5. Personopplysningene har blitt behandlet eller lagret ulovlig.

Den som mottar anmodning om sletting (punkt 3 over) av personopplysninger skal:

1. Vurdere om det foreligger grunnlag for sletting.

Det må vurderes i forhold til dataminimering (artikkel 5 nr. 1 bokstav c), rett til å protestere mot
behandling av personopplysning (artikkel 21 - og den registrerte skal gjøres kjent med sine
rettigheter i pkt. 1 og pkt. 2 i artikkelen), artikkel 17, nr. 1 bokstav c (tvingende berettigede
interesser for behandlingen) og om unntakene i artikkel 17 nr. 3 bokstav d. Denne vurderingen
gjøres av kommuneadvokat i samråd med den aktuelle virksomhetsleder.

Merk eventuelle unntak nedenfor. Personopplysningene skal slettes når:

• Personopplysningene er ikke lenger nødvendige for formålet som de ble samlet inn eller behandlet for,
• Den registrerte trekker tilbake samtykket som ligger til grunn for behandlingen, og det ikke finnes noe annet rettslig grunnlag for behandlingen.
• Personopplysningene har blitt samlet inn ulovlig

Unntak for sletteplikten når videre behandling er nødvendig for:

• Å utøve retten til ytrings- og informasjonsfrihet
• Den behandlingsansvarlige skal oppfylle en rettslig forpliktelse
• Å utføre en oppgave i samfunnets interesse eller for å utøve offentlig myndighet som den behandlingsansvarlige er pålagt
• Allmennhetens interesse knyttet til folkehelse
• Arkivformål i allmennhetens interesse, vitenskapelig eller historisk forskning

2. Slette opplysningene i systemet.

Sletting av opplysninger (obs det er kun opplysninger og ikke hele dokumentet som skal slettes) skal gjøres i alle systemer. Selve slettingen utføres av arkivet i samarbeid med virksomhetsleder og dokumenteres på saken i Elements der krav om sletting er registrert.. Merknad på saken om sletting. Selve sletting i dokument gjøres ved at det opprettes ny versjon, uten de opplysningene som skal være med. Versjon 1 slettes. Hvis anmodning om sletting av opplysninger er registrert i Elements og kravet om sletting bli etterkommet, må også de aktuelle personopplysningene som er registrert i kravet i ephorte slettes.

3. Gi skriftlig svar til den som forespør sletting.

Dette gjøres av virksomhetsleder der opplysningene som er slettet er registrert. Svaret sendes med SVARUT.

4. Underrette andre behandlingsansvarlige og mottakere av personopplysningene om slettingen.

Det skal også sendes melding til den registrerte om hvem som har mottatt opplysningene og om opplysningene er offentliggjort skal Verdal kommune ta rimelige skritt for å informere andre som linker eller har kopiert opplysningene, om at det er bedt om sletting.

Behandlingstid

Den behandlingsansvarlige må behandle anmodningen uten ugrunnet opphold, og senest innen 1 måned.

Fristen kan forlenges i ytterligere 2 måneder dersom det er et presserende behov for det. Ved en eventuell forsinkelse skal den registrerte informeres om årsaken til forsinkelsen innen senest en måned etter mottak av anmodningen.

Ved åpenbare grunnløse anmodninger plikter kommunen å gi den registrerte svar senest en måned etter mottak av anmodningen om årsaken til ikke-behandlingen og muligheten for å påklage denne beslutningen.

Hjemmel

Artikkel 12. Klar og tydelig informasjon, kommunikasjon og nærmere regler om utøvelse av den registrertes rettigheter

Artikkel 17. Rett til sletting ("rett til å bli glemt")

Arkivloven

17.02.2026