GDPR
GDPR (General Data Protection Regulation, dataskyddsförordningen) är EU:s regelverk för behandling av personuppgifter, som blev norsk lag genom personopplysningsloven 2018. Förordningen gäller all information som kan kopplas till en enskild person, och i fastighetsdata finns det mer av den än många tror: lagfarna ägare och ägarandelar i en matrikkelenhet, köpare och säljare i fastighetstransaktioner som är tinglysta, namn kopplade till en adress och rollinnehavare i verksamheter är alla personuppgifter när parten är en fysisk person.
GDPR skiljer mellan en personuppgiftsansvarig, som bestämmer syftet med behandlingen, och ett personuppgiftsbiträde, som behandlar uppgifter på uppdrag av andra. Tar en verksamhet emot ägardata där privatpersoner är identifierade måste den ha en egen rättslig grund för behandlingen, till exempel en dokumenterad bedömning av berättigat intresse. Skickar verksamheten själv in personuppgifter i en tjänst, till exempel ett fødselsnummer (norskt personnummer) i en sökning, kräver förordningens artikel 28 ett personuppgiftsbiträdesavtal.
För grunnboks- och matrikkeldata tillkommer ett eget lager: forskrift om utlevering fra grunnboken og matrikkelen § 4 styr vilka typer av verksamheter som kan få vilka uppgifter, oberoende av den rättsliga grunden enligt GDPR. En grunnboksutskrift kan därför visa olika innehåll för olika mottagare, och värderingar eller due diligence som bygger på ägardata måste ta hänsyn till båda regelverken.
I Placepoint visas privatpersoner i transaktionsdata som Privatperson med standardåtkomst, och fødselsnummer och D-nummer levereras aldrig genom API:et. Tillsynsmyndighet i Norge är Datatilsynet.
Mer information: Lovdata: Personopplysningsloven, Datatilsynet: Lover og regler, Store norske leksikon: Personvernforordningen
Engelska: GDPR (General Data Protection Regulation).
Är fastighetsdata personuppgifter?
Ofta, ja. Namnet på en lagfaren ägare, parterna i en fastighetstransaktion och kontaktuppgifter kopplade till en adress är personuppgifter när parten är en fysisk person. Data om själva fastigheten, som areal, byggår och belastningar utan namngivna personer, är det inte.
Vad är skillnaden mellan personuppgiftsansvarig och personuppgiftsbiträde?
Den personuppgiftsansvariga bestämmer varför och hur personuppgifter behandlas, och bär huvudansvaret enligt GDPR. Ett personuppgiftsbiträde behandlar uppgifterna på uppdrag av den ansvariga, reglerat av ett personuppgiftsbiträdesavtal enligt artikel 28. Samma verksamhet kan ha båda rollerna för olika dataset.
Vem kan se vem som äger en fastighet?
Den lagfarne ägarens namn är offentligt i Grunnboken, men utlämning i större skala styrs av utleveringsforskriften § 4 och kräver en rättslig grund enligt GDPR hos mottagaren. Därför visar tjänster som förmedlar ägardata ofta Privatperson i stället för namn, med identitet förbehållen verksamheter som har ett dokumenterat berättigat intresse.