- Bestemmelsen innebærer at det er ulovlig å behandle personopplysninger uten på forhånd å ha fastsatt hva opplysningene skal brukes til - formålet.
- Formålet skal alltid fastsettes før innsamling og videre behandling av personopplysninger påbegynnes. Er behandling av personopplysningene meldepliktig, må formålet fastsettes senest 30 dager før behandlingen starter, se § 31 annet ledd. Er behandlingen konsesjonspliktig etter § 33, må formålet være fastsatt ved innsending av konsesjonssøknaden.
- Det kan fastsettes ett eller flere formål for behandlingen av personopplysninger, og det kan være lurt også vurdere fremtidige behov for bruk av personopplysninger. De angitte formålene setter grenser for hva opplysningene kan brukes til, og annen bruk vil i utgangspunktet være ulovlig.
- Valg av formål vil alltid virke inn på krav til kvaliteten mv av opplysningene, se § 11 bokstav d og bokstav e.
- Formålene må være saklig begrunnet i den behandlingsansvarliges virksomhet. Det betyr for eksempel at behandlingen av opplysninger må være begrunnet ut i fra skolens oppgaver i henhold til lovgivning, læreplaner mv. Formål som gjelder rent kommersiell virksomhet vil for eksempel som oftest ikke kunne gis en slik begrunnelse, og salg mv vil derfor normalt ikke være saklig og dermed lovlig formål for behandling av personopplysninger på en offentlig skole.
