Når skal virksomheten gi informasjon?

Når personopplysningene er hentet fra eller ved observasjon av enkeltpersoner

I dette tilfellet må virksomheten gi informasjon når personopplysningene samles inn. Det vil si at det er for sent å gi informasjon etter at opplysningene er registrert.

Når personopplysningene er hentet fra andre kilder

I dette tilfellet må virksomheten gi informasjon innen rimelig tid etter at opplysningene er hentet inn. I vurderingen av hva som er rimelig tid, må virksomheten må se på prinsippet om rettferdighet og hvilke berettigede forventninger den enkelte har om å få informasjon. Jo mer inngripende eller virkningsfull behandlingen av personopplysninger kan være, desto raskere skal man få informasjon. Dette er viktig slik at de som er registrert kan utøve rettighetene sine på en meningsfull måte. Hver konkret situasjon må derfor vurderes.

Informasjonen må uansett gis senest én måned etter at opplysningene ble innhentet. Det er altså en yttergrense for hva som er «innen rimelig tid».

Dersom virksomheten skal bruke personopplysningene til å kommunisere med den enkelte før det har gått en måned, må virksomheten gi informasjon senest ved første kommunikasjon.

Dersom virksomheten skal utlevere opplysningene til en mottaker før det har gått en måned, må virksomheten gi informasjon senest når den første utleveringen skjer.

Fortløpende informasjon

Plikten til å behandle personopplysninger på en åpen måte gjelder så lenge opplysningene er registrert. Virksomheten må derfor ha tilgjengelig informasjon de som er registrert kan sette seg inn i når de ønsker eller trenger det. Virksomheten kan også vurdere om det er grunn til å minne folk på informasjonen ved jevne mellomrom, noe man sett hen til ansvarlighetsprinsippet.