Myndighetenes ansvar etter personvernregelverket
Den behandlingsansvarlige er den som alene eller sammen med andre bestemmer formålene og midlene med behandlingen av personopplysninger – altså hvorfor og hvordan personopplysninger behandles.
Normalt vil en teleoperatør alene være behandlingsansvarlig for den behandlingen av personopplysninger som er nødvendig for å overføre kommunikasjon i deres nett. Lokasjonsbasert SMS-varsling er imidlertid et spesialtilfelle, der den aktuelle behandlingen av personopplysninger normalt ikke er lovlig å gjennomføre uten at en statsmyndighet ber teleoperatørene formidle en viktig melding fra dem (i tråd med hjemmelen i ekomloven § 2-10).
Den geografiske utvelgelsen av mottakere som skjer i forbindelse med lokasjonsbasert befolkningsvarsling, ville derfor ikke vært mulig uten deltakelsen til både statsmyndigheten og teleoperatøren. Myndighetens bidrag og beslutninger i forbindelse med den geografiske utvelgelsen henger derfor uløselig sammen.
Selv om statsmyndigheten som står som avsender av meldingen ikke har tilgang til noen personopplysninger om mottakerne, er Datatilsynets syn at myndigheter som benytter lokasjonsbasert befolkningsvarsling på SMS, vil ha et behandlingsansvar. De vil også som regel få et såkalt felles behandlingsansvar sammen med teleoperatørene for den geografiske utvelgelsen av mottakere som skjer i forbindelse med varslingen. Statsmyndigheten har derfor et ansvar for å sikre at kravene i personvernforordningen etterleves ved bruk av lokasjonsbasert befolkningsvarsling.