Behandlingsgrunnlag (punkt 7.1.3)
I punkt 7.1.3 ber Departementet om høringsinstansenes tilbakemelding på eventuelle konsekvenser av at behandlingsgrunnlagene i artikkel 6 nr. 1 bokstav c og e krever et supplerende rettslig grunnlag i norsk rett.
Den norske kirkes behandling av personopplysninger i Den norske kirkes medlemsregister vil etter Kirkerådets vurdering falle inn under artikkel 6 nr. 1 bokstav c. Dette fordi Den norske kirke er pålagt å ha et medlemsregister og å registrere hvem som har deltatt ved kirkelige handlinger med hjemmel i kirkeloven § 37. For Den norske kirkes vedkommende oppfattes det derfor som uproblematisk at artikkel 6 nr. 1 bokstav c krever et supplerende rettsgrunnlag i norsk rett.
Den norske kirkes behandling av personopplysninger i Den norske kirkes medlemsregister vil etter Kirkerådets vurdering falle inn under artikkel 6 nr. 1 bokstav c. Dette fordi Den norske kirke er pålagt å ha et medlemsregister og å registrere hvem som har deltatt ved kirkelige handlinger med hjemmel i kirkeloven § 37. For Den norske kirkes vedkommende oppfattes det derfor som uproblematisk at artikkel 6 nr. 1 bokstav c krever et supplerende rettsgrunnlag i norsk rett.
Begrepet «personvernrådgiver» (punkt 14.3.1)
Kirkerådet stiller seg negativ til at Departementet har foreslått å benytte begrepet «personvernrådgiver».
Kirkerådet mener at begrepet «personvernombud» er mer treffende for ansvarsforholdet mellom behandlingsansvarlig og den som har ombudsrollen, enn begrepet «personvernrådgiver». Datatilsynet beskriver i sin veileder til EU-forordningen [2] hvordan en virksomhet skal sikre personvernombudsrollens uavhengighet. Det understrekes blant annet at et personvernombud ikke skal kunne motta instrukser om hvordan vedkommende skal utføre sine oppgaver, at et personvernombud skal være en reell rådgiver for topp- og mellomledelsen i spørsmål om personvern og at rollen skal være vernet mot gjengjeldelse. Det er Kirkerådets mening at begrepet «ombud» i større grad enn rådgiver understreker at ansvaret for behandlingen av personopplysninger fortsatt fullt og helt påhviler behandlingsansvarlig, mens «personvernombudet» både skal være en rådgiver, men også skal ha en «revisjonsfunksjon».
Kirkerådet anbefaler på denne bakgrunn å beholde begrepet personvernombud.
Kirkerådet mener at begrepet «personvernombud» er mer treffende for ansvarsforholdet mellom behandlingsansvarlig og den som har ombudsrollen, enn begrepet «personvernrådgiver». Datatilsynet beskriver i sin veileder til EU-forordningen [2] hvordan en virksomhet skal sikre personvernombudsrollens uavhengighet. Det understrekes blant annet at et personvernombud ikke skal kunne motta instrukser om hvordan vedkommende skal utføre sine oppgaver, at et personvernombud skal være en reell rådgiver for topp- og mellomledelsen i spørsmål om personvern og at rollen skal være vernet mot gjengjeldelse. Det er Kirkerådets mening at begrepet «ombud» i større grad enn rådgiver understreker at ansvaret for behandlingen av personopplysninger fortsatt fullt og helt påhviler behandlingsansvarlig, mens «personvernombudet» både skal være en rådgiver, men også skal ha en «revisjonsfunksjon».
Kirkerådet anbefaler på denne bakgrunn å beholde begrepet personvernombud.
Fødselsnummer (punkt 30.3.1)
Det er Kirkerådets vurdering at det fortsatt er behov for å presisere hvilke krav som stilles til elektronisk kommunikasjon som inneholder fødselsnummer. Kirkerådet anbefaler at departementet i lovteksten spesifikt angir hvilke krav som stilles til slik elektronisk kommunikasjon, for eksempel kryptering eller bruk av passordbeskyttede dokumenter.
Med vennlig hilsen