Personvernopplæring for ansatte: krav og innhold

Her ser du kravene og hva opplæringen bør dekke.

Kort svar

Spørsmål	Svar
Finnes det et lovkrav om et bestemt personvernkurs?	Nei. Loven krever tiltak, ikke ett bestemt kurs.
Hvorfor gir arbeidsgivere opplæring?	Virksomheten skal kunne påvise at den følger reglene (artikkel 5 nr. 2 og 24).
Hvem har ansvaret?	Virksomheten som behandlingsansvarlig (artikkel 4 nr. 7).
Hva skal de ansatte gjøre?	Behandle opplysninger bare etter instruks (artikkel 29).
Hva bør opplæringen dekke?	Personopplysninger, prinsipper, sikkerhet, e-post, phishing, avvik og rettigheter.
Må den dokumenteres?	Det er lurt. Datatilsynet spør etter rutiner og opplæring når noe går galt.

Hva krever loven av virksomheten?

Personopplysningsloven gjør EUs personvernforordning (GDPR) til norsk lov. Tre artikler er viktigst for opplæring:

Artikkel 5 nr. 2: Virksomheten er ansvarlig for og skal kunne påvise at personvernprinsippene følges.
Artikkel 24: Virksomheten skal gjennomføre egnede tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen følger forordningen. Tiltakene skal oppdateres ved behov.
Artikkel 32: Virksomheten skal ha et sikkerhetsnivå som passer til risikoen. Den skal også sørge for at alle som har tilgang til personopplysninger, bare behandler dem etter instruks (nr. 4).

Datatilsynet kaller dette internkontroll. Det er rutiner som ledelsen bestemmer, som de ansatte følger, og som blir kontrollert. Datatilsynet skriver at dere ikke trenger en egen internkontroll for personvern hvis dere allerede har en for andre regelverk, for eksempel HMS. Da kan dere utvide den.

Hvorfor er opplæring så viktig?

De fleste avvik skjer i vanlig arbeid: en e-post til feil mottaker, en tapt minnepinne eller et klikk på en falsk lenke. Datatilsynet nevner opplæring og bevisstgjøring av de ansatte som et tiltak mot phishing.

Opplæring betyr også mye når noe har gått galt. Datatilsynet skriver at virksomheten bare kan oppgi «menneskelig svikt» som hovedårsak i en avviksmelding hvis den kan dokumentere at den hadde rutiner, og at de ansatte hadde fått nok opplæring i dem. Uten dokumentert opplæring står virksomheten svakere.

Hva bør opplæringen inneholde?

En god opplæring for vanlige ansatte dekker dette:

Tema	Hva den ansatte skal kunne
Personopplysninger	Kjenne igjen opplysninger som kan knyttes til en person, også særlige kategorier som helse (artikkel 4 og 9).
Prinsipper	Formålsbegrensning, dataminimering, riktighet, lagringsbegrensning og sikkerhet (artikkel 5).
Tilgang	Slå bare opp det jobben krever (artikkel 29).
Sikkerhet i hverdagen	Låst skjerm, makulering, sterk autentisering og gode passord.
E-post og deling	Sjekke mottaker og vedlegg, bruke Bcc og sikre kanaler for følsomt innhold.
Phishing	Kjenne igjen falske e-poster og si fra med en gang.
Avvik	Si fra internt straks, så virksomheten rekker å melde innen 72 timer (artikkel 33).
Rettigheter	Kjenne igjen forespørsler om innsyn, retting og sletting, og sende dem videre (artikkel 12 til 22).

I tillegg må de ansatte lære virksomhetens egne rutiner: hvem de melder avvik til, hvilke systemer de skal bruke, og hvor lenge opplysningene skal lagres. Det kan ikke et generelt kurs gi.

Hvem bør få opplæring?

Alle som har tilgang til personopplysninger. Det er nesten alle ansatte: kundeservice, resepsjon, HR, lønn, salg, helsepersonell, lærere og ledere. Nyansatte bør få opplæringen før de får tilgang til systemene. Gi også opplæring når rutinene endres, eller etter et avvik. Datatilsynet skriver at nye tiltak etter et avvik må følges opp med god opplæring.

Hvordan dokumenterer dere opplæringen?

Loven sier ikke hvordan. Det enkleste er en oversikt med:

navn på den ansatte
dato for opplæringen
hva den dekket
hvem som ga den, eller hvilket kurs
når den skal friskes opp

Har dere et personvernombud, skal ombudet blant annet kontrollere at reglene følges, også opplæringen av personellet (artikkel 39 nr. 1 bokstav b).

Slik kommer du i gang

Skriv ned hvilke personopplysninger dere har, og hvem som har tilgang.
Lag eller oppdater rutinene for tilgang, e-post, sletting og avvik.
Gi alle ansatte en felles grunnopplæring. Kurset Personvern for ansatte (GDPR) dekker temaene i tabellen over.
Gå gjennom de lokale rutinene i et møte: hvem melder de avvik til, og hvor sender de mistenkelig e-post?
Lagre dokumentasjonen sammen med resten av internkontrollen.
Frisk opp opplæringen når rutinene endres, og etter avvik.

Vanlige spørsmål

Er det lovpålagt med personvernkurs for ansatte?

Nei, ikke et bestemt kurs. Loven krever at virksomheten har tekniske og organisatoriske tiltak og kan påvise at reglene følges (artikkel 24). Opplæring er et av de vanligste tiltakene.

Hvor ofte bør de ansatte få opplæring?

Loven sier ikke noe om hvor ofte. Artikkel 24 sier at tiltakene skal gjennomgås og oppdateres ved behov. Gi opplæring ved ansettelse, når rutinene endres, og etter avvik.

Gjelder dette også små bedrifter?

Ja. GDPR gjelder alle som behandler personopplysninger. Tiltakene skal stå i forhold til hvor mye og hva slags opplysninger dere har (artikkel 24 nr. 1).

Er kurset til Kurs.ing godkjent av Datatilsynet?

Nei. Kurs.ing er en privat og uavhengig tilbyder, og kurset er ikke godkjent av noen myndighet. Kursbeviset ligger på Min side når den ansatte har fullført, og dokumenterer opplæringen. Det er ikke en offentlig godkjenning, og virksomhetens egne rutiner gjelder i tillegg.

Kilder

Kurset: Personvern for ansatte (GDPR)

Vil du øve på alt dette med oppgaver, kalkulatorer og øvingsprøve? Kurset koster 397 kr og gir 8 ukers tilgang. Du kan også ta en gratis test først.

Viktig: Kurs.ing er en privat kursleverandør. Vi holder ikke prøvene og har ingen tilknytning til offentlige etater. Kursbevis gir vi bare for kurs uten offentlig prøve, og det er ikke en offentlig godkjenning. Siden er en oversikt, ikke juridisk rådgivning. Kontroller alltid gjeldende regler hos myndigheten før du søker eller bestiller prøve.

Sist kontrollert mot kildene 7. november 2026. Meld fra om feil til ola@kurs.ing.