Personopplysningsloven § 6

Avklaring av forholdet mellom personopplysningsloven og offentlighetsloven

Vi viser til Datatilsynets brev 12. februar 2003 med vedlegg og til senere kontakt i saken. Vi beklager at vi på grunn av et høyt arbeidspress ikke har fått ferdigbehandlet saken tidligere.

Nedenfor følger en forholdsvis omfattende redegjørelse for Lovavdelingens syn. For oversiktens skyld vil vi allerede her peke på noen hovedkonklusjoner, som blir nærmere utdypet i det følgende:

Dokumenter underlagt innsynsrett etter offentlighetsloven: Etter personopplysningsloven § 6 første ledd skal det i disse tilfellene som utgangspunkt gis innsyn uten at det er nødvendig å vurdere om vilkårene for behandling av personopplysninger i personopplysningsloven eller personverndirektivet er oppfylt. Innsyn kan da også som utgangspunkt gis ved bruk av elektroniske hjelpemidler. Offentlighetsloven gir imidlertid ikke den enkelte noe krav på at dokumentene skal gjøres tilgjengelige for enhver over internett. Lovavdelingen antar på denne bakgrunn at personopplysningsloven gjelder dersom dokumentene legges ut på internett.

Utøvelse av meroffentlighet: I disse tilfellene må offentliggjøring av dokumenter fra et personregister eller ved hjelp av elektroniske hjelpemidler, oppfylle et vilkår i personopplysningsloven §§ 8 og 9. Forholdet til personverndirektivet må vurderes særskilt.

Datatilsynets adgang til å stille vilkår etter § 11: Lovavdelingen antar at Datatilsynet kan stille vilkår etter personopplysningsloven § 11 bare dersom utleggingen på nettet er i strid med personopplysningsloven §§ 8 eller 9 eller personverndirektivet artikkel 7 eller 8.

Utelatelse av fødselsnummer: Vi antar at personopplysningsloven § 8 i de fleste tilfeller vil være til hinder for å legge ut dokumenter på nettet dersom ikke opplysninger om fødselsnummer i dokumentet blir utelatt.

1. Innledning

I brevet reiser Datatilsynet spørsmål om i hvilken utstrekning personopplysningsloven § 6 første ledd, som fastslår at personopplysningsloven ikke begrenser innsynsrett etter offentlighetsloven, forvaltningsloven eller annen lovbestemt rett til innsyn i personopplysninger, får anvendelse når informasjonen det kreves innsyn i er generelt angitt i innsynskravet og når forvaltningen legger ut dokumenter på internett. Datatilsynet ber om en vurdering av hvordan offentlighetslovens samlebegrep ”saksdokumenter”, jf. offentlighetsloven § 2 første ledd, jf. § 3, og vilkåret om at innsynskravet må gjelde dokumenter ”i en bestemt sak”, jf. § 2 første ledd første punktum, skal praktiseres når det kreves innsyn i elektronisk lagret informasjon.

Dersom utlegging av dokumenter på nettet ikke omfattes av personopplysningsloven § 6 første ledd, spør Datatilsynet om tilsynet i medhold av personopplysningsloven § 11 bokstav b kan stille vilkår om at deler av innholdet i dokumenter som legges ut på internett skal utelates. Det bes spesielt om en vurdering av om det kan stilles vilkår om at fødselsnummer skal utelates.

Vår vurdering av disse spørsmålene følger i punkt 4 nedenfor. Først ser vi imidlertid generelt på hvordan forholdet til offentlighetsloven er regulert i personopplysningsloven (punkt 2) og på forholdet til direktiv 95/46/EF 24. oktober 1995 om beskyttelse av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger (personverndirektivet) som er innlemmet i EØS-avtalen og gjennomført i personopplysningsloven (punkt 3).

2. Forholdet mellom personopplysningsloven og offentlighetsloven

2.1 Etter personopplysningsloven § 2 nr. 1 er personopplysninger definert som ”opplysninger og vurderinger som kan knyttes til en enkeltperson”. Personopplysningsloven kapittel II oppstiller vilkår som må være oppfylt for at personopplysninger skal kunne ”behandles” og gir nærmere regler om slik behandling. Dersom personopplysninger behandles i strid med personopplysningsloven eller forskrifter til loven, kan Datatilsynet gi pålegg om at behandlingen skal opphøre eller stille vilkår som må oppfylles for at den skal være i samsvar med loven, jf. § 46. Behandling av personopplysninger er i § 2 nr. 2 definert som ”enhver bruk av personopplysninger, som f.eks. innsamling, registrering, sammenstilling, lagring og utlevering eller en kombinasjon av slike bruksmåter”. Loven gjelder imidlertid bare for behandling av personopplysninger som skjer helt eller delvis med elektroniske hjelpemidler, jf. § 3 første ledd bokstav a. Offentliggjøring av dokumenter som inneholder personopplysninger, vil dermed være behandling av personopplysninger, slik at reglene i personopplysningsloven i utgangspunktet får anvendelse dersom offentliggjøringen skjer eller innsyn gis ved bruk av elektroniske hjelpemidler (som for eksempel internett eller e-post). Dersom personopplysningene offentliggjøres eller det gis innsyn i dem uten hjelp av elektroniske hjelpemidler, gjelder personopplysningsloven bare dersom personopplysningene inngår i et personregister, jf. personopplysningsloven § 3 første ledd bokstav b. Den videre fremstillingen tar sikte på at det enten nyttes elektroniske hjelpemidler, eller at opplysningene inngår i et personregister, slik at personopplysningsloven gjelder. Ved innsyn i eller offentliggjøring av saksdokumenter i papirform, får ikke personopplysningsloven anvendelse.

2.2 Personopplysningsloven § 6 første ledd fastslår imidlertid at personopplysningsloven ikke begrenser ”innsynsrett etter offentlighetsloven, forvaltningsloven eller annen lovbestemt rett til innsyn i personopplysninger”. Dette innebærer at reglene i personopplysningsloven ikke kommer til anvendelse i den utstrekning offentlighetsloven eller annen lovgivning gir rett til innsyn i personopplysninger. I slike tilfeller skal det med andre ord gis innsyn uavhengig av vilkårene i personopplysningsloven kapittel II. Dette gjelder bare så langt offentlighetsloven eller annen lovgivning gir innsynsrett. I forhold til offentlighetsloven innebærer dette at personopplysningsloven ikke skal gjelde ved offentliggjøring av dokumenter som er omfattet av hovedregelen om innsynsrett i offentlighetsloven § 2 første ledd, og som ikke samtidig er omfattet av unntaksreglene i offentlighetsloven eller i annen lovgivning.

2.3 Dokumenter som er omfattet av hovedregelen i offentlighetsloven § 2 første ledd, men som samtidig dekkes av en unntaksbestemmelse som ikke medfører taushetsplikt, kan likevel offentliggjøres etter en meroffentlighetsvurdering, jf. offentlighetsloven § 2 tredje ledd. Spørsmålet om og i hvilken utstrekning det skal utøves meroffentlighet når et dokument kan unntas fra offentlighet hører under det frie skjønn. Siden disse dokumentene kan unntas fra offentlighet og det er opp til forvaltningens frie skjønn om unntaksadgangen skal brukes, foreligger det ikke noen innsyns rett i slike tilfeller. Personopplysningsloven § 6 første ledd gjelder dermed ikke i den utstrekning det utøves meroffentlighet. Dette innebærer at vilkårene i personopplysningsloven § 11, jf. §§ 8 og 9, må være oppfylt ved offentliggjøring av et dokument som kan unntas fra offentlighet, når dokumentet inneholder personopplysninger.

Det følger av personopplysningsloven § 8 første ledd annet alternativ og § 9 første ledd bokstav b at personopplysninger kan behandles dersom ”det er fastsatt i lov at det er adgang til slik behandling”. For dokumenter som er omfattet av hovedregelen om innsynsrett i offentlighetsloven § 2 første ledd, men som samtidig faller inn under en bestemmelse som gir forvaltningen adgang til å gjøre unntak, følger det av offentlighetsloven at det også er adgang til å offentliggjøre dokumentet. Dette gjelder uavhengig av om unntaksadgangen følger av offentlighetsloven selv, forskrift til offentlighetsloven eller annen lovgivning. I disse tilfelle vil dermed vilkåret for behandling av personopplysninger i personopplysningsloven § 8 første ledd annet alternativ og § 9 første ledd bokstav b være oppfylt, jf. Ot.prp. nr. 92 (1998-99) s. 106–107.

Også for dokumenter som ikke omfattes av hovedregelen om innsynsrett i offentlighetsloven § 2 første ledd, for eksempel dokumenter som ikke omfattes av lovens dokumentbegrep, jf. offentlighetsloven § 2 første ledd jf. § 3, eller som faller utenom lovens virkeområde, jf. offentlighetsloven § 1 tredje ledd, vil forvaltningen ha adgang til å utøve meroffentlighet og plikt til å vurdere meroffentlighet, jf. Arvid Frihagen: Offentlighetsloven bind I (3. utg., Bergen 1994) s. 211–12. I disse tilfellene kan imidlertid adgangen til å offentliggjøre personopplysninger ikke anses å være fastsatt i lov, slik at vilkåret for behandling av personopplysninger i personopplysningsloven § 8 første ledd annet alternativ og § 9 første ledd bokstav b ikke vil være oppfylt. Avgjørende for om det er adgang til å offentliggjøre personopplysninger ved bruk av elektroniske hjelpemidler i slike tilfeller vil da være om ett av de øvrige vilkårene i personopplysningsloven §§ 8 og 9 er oppfylt.

For personopplysninger som ikke kan regnes som sensitive, sml. personopplysningsloven § 9, jf. § 2 nr. 8, antar vi at villkåret i personopplysningsloven § 8 bokstav d eller e som utgangspunkt kan gi adgang til offentliggjøring i slike tilfeller. Dersom dokumenter som ikke omfattes av hovedregelen om innsynsrett i offentlighetsloven, inneholder sensitive personopplysninger, kan det i praksis vanskelig tenkes at det vil være adgang til offentliggjøring i andre tilfeller enn der den som opplysningene gjelder, samtykker i offentliggjøringen eller selv frivillig har gjort opplysningene alminnelig kjent, jf. personopplysningsloven § 9 første ledd bokstav a og d. Vi nevner at det her både for dokumenter som inneholder vanlige personopplysninger, og for dokumenter som inneholder sensitive personopplysninger, vil være anledning til offentliggjøring når personopplysningene utelates.

Dersom et av vilkårene i personopplysningsloven § 8 eller § 9 er oppfylt, antar vi at vilkårene i personopplysningsloven § 11 ikke vil være til hinder for at det utøves meroffentlighet, jf. Ot.prp. nr. 92 (1998–99) s. 107 første spalte.

2.4 Regelen om meroffentlighet innebærer kun at forvaltningen skal vurdere om et dokument bør offentliggjøres selv om det er omfattet av en unntaksbestemmelse eller faller utenom hovedregelen om innsynsrett. Regelen medfører ikke en plikt til å utøve meroffentlighet. Forskjellige forvaltningsorganer vil således kunne utøve meroffentlighet i forskjellig grad. Så lenge forvaltningen vurderer meroffentlighet i samsvar med retningslinjene som det redegjøres for nedenfor, er det således ikke noe i veien for at forskjellige forvaltningsorganer velger å vektlegge de momenter som gjør seg gjeldende i vurderingen, forskjellig. Spørsmålet om det skal utøves meroffentlighet hører under forvaltningens frie skjønn. Dersom det er tale om å utøve meroffentlighet for et dokument som ikke omfattes av hovedregelen i offentlighetsloven, gjelder imidlertid dette bare i den utstrekning ett av de andre vilkårene i personopplysningsloven § 8 eller § 9 er oppfylt, jf. punkt 2.3 ovenfor.

Ved vurderingen av om det bør utvises meroffentlighet bør forvaltningsorganet først vurdere om det er et reelt og saklig behov for å nekte innsyn. I denne vurderingen vil det være riktig å legge vekt på personvernmessige betenkeligheter ved å offentliggjøre personopplysninger, jf. Ot. prp. nr. 92 (1998–99) s. 107 første spalte. Dersom forvaltningsorganet finner at hensynet til personvernet taler mot å utøve meroffentlighet, må forvaltningsorganet vurdere hvilke hensyn som taler for offentlighet. De kryssende hensyn må så veies mot hverandre for å avgjøre om innsyn bør gis. Hensynet til personvernet vil veie tyngre jo mer følsomme personopplysningene er. Det bør ses hen til om de aktuelle opplysningene faller inn under definisjonen av sensitive personopplysninger i personopplysningsloven § 2 nr. 8. Når det derimot gjelder dokumenter som ikke omfattes av hovedregelen i offentlighetsloven, vil personopplysningsloven § 9 langt på vei være til hinder for at det utøves meroffentlighet ved hjelp av elektroniske hjelpemidler som for eksempel internett, se punkt 2.3 ovenfor.

Etter offentlighetsloven § 2 tredje ledd skal det vurderes om dokumentet bør gjøres kjent ”helt eller delvis”. Kommer forvaltningsorganet til at personopplysninger i et dokument ikke bør offentliggjøres, må det derfor vurdere om de øvrige deler av dokumentet bør offentliggjøres. Dette gjelder uavhengig av om dokumentet omfattes av hovedregelen i offentlighetsloven eller ikke.

2.5 Forholdet mellom personopplysningsloven og offentlighetsloven kan oppsummeres slik:

• I den utstrekning det foreligger en innsyns rett etter offentlighetsloven følger det av personopplysningsloven § 6 første ledd at personopplysningsloven ikke kommer til anvendelse. Innsyn kan da gis også ved å bruke elektroniske hjelpemidler.
• Dersom forvaltningen kommer til at det bør utøves meroffentlighet for dokumenter som er omfattet av en lovbestemmelse som gir adgang til å gjøre unntak fra offentlighet, eller der innsynskravet kan avvises med hjemmel i bestemmelsen i offentlighetsloven § 2 annet ledd første punktum, vil offentliggjøring ved bruk av elektroniske hjelpemidler i utgangspunktet kunne skje fordi vilkåret for behandling av personopplysninger i personopplysningsloven § 8 første ledd annet alternativ eller § 9 første ledd bokstav b vil være oppfylt.
• Er det tale om dokumenter som kan unntas fra offentlighet fordi de ikke omfattes av hovedregelen om innsynsrett i offentlighetsloven § 2 første ledd, vil det bare være anledning til offentliggjøring ved hjelp av elektroniske hjelpemidler dersom et av de andre vilkårene i personopplysningsloven §§ 8 og 9 enn at det er fastsatt i lov at det er adgang til å behandle personopplysninger er oppfylt.

Grensedragningen mellom tilfeller hvor det foreligger innsyns rett etter offentlighetsloven og tilfeller hvor det eventuelt blir tale om å utøve meroffentlighet kommer vi tilbake til i punkt 4 nedenfor. Først vil vi imidlertid ta for oss forholdet til personverndirektivet.

3. Forholdet til personverndirektivet

3.1 Personverndirektivet inneholder ingen bestemmelse som svarer til personopplysningsloven § 6 første ledd. Det fremgår riktignok av personverndirektivets fortale punkt 72 at ”[d]ette direktiv gir mulighet for at det ved gjennomføringen av direktivets bestemmelser kan tas hensyn til prinsippet om innsyn i offentlige dokumenter”. Dette punktet i fortalen kan ha betydning for hvordan direktivets bestemmelser skal tolkes, men åpner ikke uten videre for en regel som personopplysningsloven § 6 første ledd, som setter reglene i personopplysningsloven ubetinget til side når det foreligger innsynsrett etter offentlighetsloven.

Personverndirektivet artikkel 7 bokstav c gir adgang til behandling av personopplysninger som ikke regnes om sensitive, dersom behandlingen er ”nødvendig for å oppfylle en rettslig forpliktelse som gjelder den behandlingsansvarlige”. I den utstrekning det følger av lov at forvaltningen har plikt til å offentliggjøre ikke-sensitive personopplysninger, vil direktivet gi adgang til det.

Også for personopplysninger som regnes som sensitive, åpner direktivet artikkel 8 nr. 4 for å fastsette i lov eller ved vedtak av tilsynsmyndigheten at slike personopplysninger kan behandles i andre tilfeller enn de som er oppregnet i artikkel 8 nr. 1. Etter artikkel 8 nr. 6 skal imidlertid slike unntak fra artikkel 8 nr. 1 meddeles til EFTAs overvåkingsorgan. Norge har ikke meddelt noen slike unntak. Dette innebærer likevel ikke at personopplysningsloven § 9 første ledd bokstav b ikke står seg overfor direktivet artikkel 8 nr. 1, da det avgjørende, uansett om meddelelsesplikten er oppfylt eller ikke, må være om unntaket i personopplysningsloven § 9 første ledd bokstav b oppfyller vilkårene i direktivet artikkel 8 nr. 4.

Det følger av EF-domstolens dom 20. mai 2003 (forente saker C-465/00, C-138/01 og C-139/01) Rechnungshof at det skal tas hensyn til vernet om privatlivets fred etter den europeiske menneskerettskonvensjon (EMK) artikkel 8 ved tolkingen av direktivets bestemmelser som åpner adgang til å behandle personopplysninger, se premiss 68–72. Dommen gjaldt spørsmål om et offentlig revisjonsorgans innsamling av opplysninger om lønn og andre godtgjørelser for ansatte i en del offentlige og offentlig tilknyttede virksomheter i Østerrike og etterfølgende offentliggjøring av opplysningene i en årsberetning, var i samsvar med personverndirektivet. I årsberetningen ble de enkelte ansatte navngitt sammen med opplysninger om hva de hadde mottatt i lønn og godtgjørelser fra de aktuelle virksomhetene.

EF-domstolen vurderte ordningen opp mot EMK artikkel 8, da den la til grunn at vurderingen i forhold til EMK også ville være avgjørende i forhold til personverndirektivet. Som svar på spørsmålet fra forfatningsdomstolen i Østerrike uttalte EF-domstolen at offentliggjøring av de ansattes navn sammen med opplysninger om deres lønn og andre godtgjørelser bare ville være i samsvar med EMK og dermed med personverndirektivet dersom offentliggjøringen ”… både er nødvendig og står i et rimelig forhold til det formål om hensigtsmæssig forvaltning af offentlige midler …”, se premiss 90 og 94. EF-domstolen uttalte videre at den nasjonale domstolen i denne forbindelse blant annet måtte vurdere om ikke formålet med ordningen kunne oppfylles like effektivt uten å offentliggjøre navnene på de ansatte i virksomhetene. Ut fra disse retningslinjene kom den østerrikske forfatningsdomstolen i dom 28. november 2003 til at personverndirektivet var til hinder for å offentliggjøre navnene sammen med opplysninger om de ansattes lønn og andre godtgjørelser.

Etter Rechnungshof-dommen må vilkårene for å behandle personopplysninger i personverndirektivet artikkel 7 og 8 fortolkes i lys av vernet om privatlivets fred.

Personopplysningsloven § 6 første ledd innebærer at det – uavhengig av vilkårene i personopplysningsloven og uten at det er nødvendig å vurdere forholdet til vernet om privatlivets fred i det enkelte tilfelle – skal gis innsyn når det foreligger innsynsrett etter offentlighetsloven eller annen lovgivning. Også offentlighetsloven og annen norsk innsynslovgivning inneholder bestemmelser som verner om privatlivets fred, men disse bestemmelsene vil neppe i alle sammenhenger gi samme vern som personverndirektivet, jf. punkt 3.4 nedenfor. Det kan derfor spørres om den reguleringen av forholdet mellom innsynslovgivningen og personopplysningsloven som følger av personopplysningsloven § 6 første ledd, fullt ut er i samsvar med direktivet.

3.2 Følger innsynsretten av lov, blir det derfor spørsmål om personopplysningsloven § 6 første ledd skal tolkes innskrenkende i tilfeller hvor offentliggjøring av registeropplysninger eller andre personopplysninger ved bruk av elektroniske hjelpemidler ville være i strid med personverndirektivet. Både presumsjonsprinsippet og EØS-loven § 2 kan tenkes anført som mulige grunnlag for en innskrenkende tolking.

Presumsjonsprinsippet innebærer at norsk lov så vidt mulig skal tolkes i samsvar med Norges folkerettslige forpliktelser. Ordlyden i personopplysningsloven § 6 første ledd er imidlertid klar. Det fremgår også klart av forarbeidene at formålet med bestemmelsen var at personopplysningsloven ikke skulle begrense innsynsretten etter offentlighetsloven eller annen lovbestemt innsynsrett, jf. Ot.prp. nr. 92 (1998–99) s. 85 og s. 106 annen spalte, samt s. 107 første spalte. Dersom personverndirektivet gis gjennomslagskraft i forhold til bestemmelsen i personopplysningsloven § 6 første ledd i dette tilfellet, kan det sies å gå utenfor det som med rimelighet kan regnes som en tolkning av bestemmelsen i personopplysningsloven § 6, og så langt rekker ikke presumsjonsprinsippet, jf. Rt. 2000 s. 1811 (Finanger), særlig på s. 1831. Lovavdelingen antar derfor at den løsning som følger av personopplysningsloven § 6 første ledd, må legges til grunn selv om dette fører til at det gis innsyn i personopplysninger i strid med personverndirektivet.

Etter forrangsregelen i EØS-loven § 2 vil personopplysningsloven § 6 første ledd ikke kunne anvendes dersom det vil stride mot bestemmelser i lov som tjener til å oppfylle Norges forpliktelser etter EØS-avtalen. Personopplysningsloven §§ 8 og 9 tjener til å oppfylle EØS-forpliktelser (henholdsvis artikkel 7 og 8 i personverndirektivet). Men slik disse bestemmelsene er utformet, vil de neppe i seg selv hindre utøvelse av meroffentlighet etter offentlighetsloven, jf. Ot.prp. nr. 92 (1998–99) s. 107 første spalte. Det fremgår jo av § 8 første ledd annet alternativ og av § 9 første ledd bokstav b at personopplysninger kan behandles dersom det er fastsatt i lov at det er adgang til det, og det kan neppe sies at det foreligger noen motstrid mellom § 6 første ledd og §§ 8 og 9. En innskrenkende tolking av § 6 første ledd på dette grunnlag synes derfor uaktuelt.

3.3 I Rechnungshof-dommen bygger EF-domstolen, som redegjort for ovenfor, sin fortolkning av personverndirektivet i stor grad på sin forståelse av EMK artikkel 8. Dersom det strider mot EMK artikkel 8 å gi ut personopplysninger, følger det av menneskerettsloven § 3 at forvaltningen vil være rettslig avskåret fra å gi innsyn i personopplysninger ved hjelp av elektroniske hjelpemidler selv om opplysningene er underlagt innsynsrett etter offentlighetsloven eller annen lovgivning.

Det må imidlertid fastholdes at dommen gjelder EF-domstolens tolkning av personverndirektivet, ikke EMK artikkel 8. Det er Den europeiske menneskerettsdomstolen (EMD) som har det endelige ordet ved tolkningen av EMK. Det er ingen sikre holdepunkter i EMDs praksis for at det strider mot EMK artikkel 8 å offentliggjøre lønnsopplysninger for offentlig ansatte sammen med navn eller å offentliggjøre andre personopplysninger som ikke kan regnes som særlig sensitive. Vi har kun funnet én avgjørelse fra EMD som gjelder offentliggjøring av personopplysninger. I EMDs dom 25. januar 1997, Z mot Finland, kom domstolen til at det var et brudd på EMK artikkel 8 når en finsk domstol hadde offentliggjort opplysninger om Zs helsetilstand sammen med hennes navn. Z var HIV-positiv. Domstolen kom også til at det ville utgjøre et brudd på EMK artikkel 8 dersom finske myndigheter gjennomførte en beslutning om å offentliggjøre utskrifter av vitneforklaringer fra helsepersonell som hadde hatt med Z å gjøre, og Zs helsejournaler i 2002.

Dommen gjaldt sterkt sensitive personopplysninger som ville være underlagt taushetsplikt etter norsk rett. Den gir dermed ikke holdepunkt for at det vil være uforenlig med EMK artikkel 8 å fortsatt offentliggjøre opplysninger som ikke er sterkt sensitive. At EF-domstolen i dommen 20. mai 2003 i sin tolkning av EMK artikkel 8 går langt i antyde at EMK også vil være til hinder for offentliggjøring av mindre sensitive personopplysninger, kan ikke være avgjørende for forståelsen av EMK artikkel 8. På denne bakgrunn finner vi ikke grunnlag for å se EMK artikkel 8 som et hinder for å offentliggjøre personopplysninger som ikke er underlagt taushetsplikt etter norsk rett.

3.4 Når det ikke foreligger innsyns rett etter offentlighetsloven, men hvor det er adgang til å utøve meroffentlighet gjelder ikke personopplysningsloven § 6 første ledd, se punkt 2.3 ovenfor. Spørsmålet om det skal utøves meroffentlighet hører under forvaltningens frie skjønn, se punkt 2.3 ovenfor. Under utøvelse av dette skjønnet må forvaltningen ta hensyn til våre folkerettslige forpliktelser, se blant annet førstvoterendes votum i Rt. 1994 s. 1244 (Kvinnefengselsaken). Dersom det vil være i strid med personverndirektivet å offentliggjøre personopplysninger, vil dermed forvaltningen være rettslig avskåret fra å utøve meroffentlighet uavhengig av hva som følger av personopplysningsloven §§ 8 og 9. Dette innebærer at forvaltningen – når det er tale om å utøve meroffentlighet for personopplysninger i et personregister eller ved hjelp av elektroniske hjelpemidler – i tillegg til vurderinger som det er redegjort for i punkt 2.4 ovenfor, må vurdere forholdet til personverndirektivet ut fra de retningslinjer som følger av Rechnungshof-dommen, se punkt 3.1 ovenfor. I forhold til direktivet er det uten betydning om dokumentet det vurderes å utøve meroffentlighet for er omfattet av hovedregelen i offentlighetsloven eller ikke, jf. punkt 2.3.

Når det gjelder personopplysninger som ikke regnes som sensitive, antar vi at direktivet artikkel 7 bokstav e eller f (jf. personopplysningsloven § 8 bokstav d, e og f) gir adgang til offentliggjøring i mange tilfeller. EF-domstolens dom 20. mai 2003 tyder riktignok på at dette ikke gjelder for opplysninger om lønn og godtgjørelser som kan knyttes til enkeltpersoner. Slike opplysninger vil imidlertid i stor utstrekning være underlagt innsyns rett etter norsk rett, slik at det ved offentliggjøring av slike opplysninger som oftest ikke vil være spørsmål om å utøve meroffentlighet, jf. punkt 4.2 nedenfor. Som det fremgår av punkt 3.2 ovenfor vil ikke personverndirektivet – i norsk rett – hindre offentliggjøring når det foreligger innsyns rett etter norsk lov.

Personopplysninger som regnes som sensitive etter direktivet artikkel 8 (jf. personopplysningsloven § 9), vil i stor grad være undergitt lovbestemt taushetsplikt etter norsk rett, jf. særlig forvaltningsloven § 13 første ledd nr. 1.

I en del tilfeller vil imidlertid personopplysninger som regnes som sensitive etter direktivet, ikke være undergitt lovbestemt taushetsplikt etter norsk rett. Vi antar at dette særlig vil gjøre seg gjeldende for en del opplysninger om straffbare forhold og andre lovovertredelser som kan knyttes til enkeltpersoner, jf. personverndirektivet artikkel 8 nr. 5 (jf. personopplysningsloven § 2 nr. 8 bokstav b). Slike opplysninger vil ofte ikke være taushetsbelagte etter norsk rett, jf. Justisdepartementets Veileder i offentlighetsloven (G-0354 B, 2003) s. 60 og s. 62, samtidig som det i en del tilfeller kan være adgang til å unnta dokumenter som inneholder slike personopplysninger fra offentlighet, jf. særlig offentlighetsloven § 6 første ledd nr. 5. Etter vår oppfatning er det ikke tilstrekkelige holdepunkter for å legge til grunn at det vil være i strid med direktivet å offentliggjøre opplysninger om straffbare forhold og lovovertredelser som kan knyttes til enkeltpersoner når opplysningene ikke er taushetsbelagte etter norsk rett. Vi viser til at allmennhetens interesse i at forholdet blir kjent utgjør et sentralt moment ved vurdering av om slike opplysninger er underlagt taushetsplikt etter norsk rett, og at dette momentet også må ha betydning ved fortolkningen av direktivet.

Det kan i prinsippet også tenkes andre tilfeller hvor det ikke vil være sammenfall mellom opplysninger som regnes som sensitive etter direktivet, og taushetsplikten etter norsk rett. I slike tilfeller vil direktivet artikkel 8 kunne være til hinder for at det utøves meroffentlighet med mindre den opplysningene gjelder samtykker i det eller selv har offentliggjort de aktuelle opplysningene, jf. artikkel 8 nr. 2 bokstav a og e.

Dersom navn eller andre opplysninger som kan identifisere den opplysningene gjelder, utelates, vil direktivet ikke være til hinder for at det utøves meroffentlighet.

4. Særlig om generelle innsynskrav og utlegging av dokumenter på internett

4.1 I punkt 2 og 3 ovenfor har vi kommet til følgende hovedkonklusjoner:

• Når det foreligger innsynsrett etter offentlighetsloven, følger det av personopplysningsloven § 6 første ledd at det skal gis innsyn uten at det er nødvendig å vurdere om vilkårene for behandling av personopplysninger i personopplysningsloven og i personverndirektivet er oppfylt. I slike tilfeller skal det altså gis innsyn også om dette eventuelt vil være i strid med våre folkerettslige forpliktelser etter direktivet.
• Hvis det ikke foreligger innsynsrett, men det er adgang til å utøve meroffentlighet, må det derimot i hvert enkelt tilfelle vurderes om det er forenlig med personverndirektivet å offentliggjøre personopplysninger fra et personregister eller ved hjelp av elektroniske hjelpemidler. Forvaltningen vil i slike tilfeller ikke ha adgang til å utøve meroffentlighet hvis ikke et av vilkårene for behandling av personopplysninger i personverndirektivet er oppfylt. Dette gjelder uavhengig av om det aktuelle dokumentet omfattes av hovedregelen i offentlighetsloven eller ikke.

På denne bakgrunn blir grensedragningen mellom tilfeller hvor det foreligger innsynsrett etter offentlighetsloven og tilfeller hvor det bare er en adgang til å utøve meroffentlighet viktig. Nedenfor følger vår vurdering av hvordan grensene bør trekkes i forhold til de tilfeller som tas opp i Datatilsynets brev. Generelle innsynskrav behandles i punkt 4.2.1–4.2.3 og utlegging av dokumenter på nettet behandles i punkt 4.3.1–4.3.5.

4.2.1 Etter offentlighetsloven § 2 første ledd er det ”[f]orvaltningens saksdokumenter” som er gjenstand for innsynsrett etter loven. Selve dokumentbegrepet er definert i offentlighetsloven § 3 første ledd annet punktum:

”Som dokument regnes en logisk avgrenset informasjonsmengde som er lagret på et medium for senere lesing, lytting, fremvisning eller overføring.”

Definisjonen omfatter informasjon som er elektronisk lagret, for eksempel i et databasert system for lønnsbehandling i en virksomhet. Hvilke opplysninger som skal sies å utgjøre ”en logisk avgrenset informasjonsmengde” i en database, kan være vanskelig å avgjøre. Det er imidlertid klart at en database vil kunne deles inn i enheter som vil omfattes av offentlighetslovens dokumentdefinisjon. Hva som utgjør ett dokument i en database, vil være avhengig av hvilke opplysninger basen inneholder og hvordan den ellers er innrettet. Det kan derfor ikke sies noe generelt om dette. Det sentrale er hvilke opplysninger i en database som kan sies å utgjøre én ”sak” i offentlighetslovens forstand, jf. nærmere om dette i punkt 4.2.3 nedenfor.

Innsynsretten etter offentlighetsloven gjelder bare dokumenter som allerede eksisterer. Dette innebærer at forvaltningen ikke har plikt til å utarbeide dokumenter som ikke allerede eksisterer, for å etterkomme et innsynskrav. Dersom det på innsynstidspunktet for eksempel ikke eksisterer ett dokument som inneholder en oversikt over lønnsforholdene til samtlige ansatte i forvaltningsorganet, vil altså organet ikke ha plikt til å lage en slik samlet oversikt, selv om de opplysningene som trengs for dette, finnes i flere allerede eksisterende dokumenter hos forvaltningsorganet. Den som ønsker innsyn i slike opplysninger, må i slike tilfeller nøye seg med å kreve innsyn i alle de dokumentene som samlet sett gir en slik oversikt. Dersom forvaltningen likevel lager en slik oversikt for å etterkomme innsynskravet, vil dette innebære at det utøves meroffentlighet.

4.2.2 Etter offentlighetsloven § 2 første ledd er det bare saksdokumenter som er omfattet av innsynsretten. Offentlighetslovens saksbegrep er svært vidt. Det kreves ikke at dokumentet gjelder en konkret sak i organet. Det er tilstrekkelig at innholdet i dokumentet knytter seg til vedkommende organs ansvarsområder eller virksomhet mer generelt, herunder internadministrasjon og personforvaltning, for eksempel de ansattes lønnsforhold. Dokumenter som inneholder opplysninger om lønnsforholdene til de ansatte i et forvaltningsorgan, vil dermed være omfattet av hovedregelen om innsynsrett i offentlighetsloven § 2 første ledd uansett om det er tale om papirdokumenter eller dokumenter i elektronisk form.

For sammenhengens skyld nevner vi at opplysninger om lønn og godtgjørelse mottatt fra offentlige organer ikke er taushetsbelagte, og at det ikke i seg selv gir grunnlag for å unnta et dokument fra offentlighet at det inneholder opplysninger om lønnsforhold som kan knyttes til enkelte ansatte. Dokumenter som inneholder lønnsopplysninger, kan etter omstendighetene være omfattet av andre unntaksbestemmelser i offentlighetsloven.

4.2.3 Vilkåret i offentlighetsloven § 2 annet ledd første punktum om at innsynskravet må gjelde ”en bestemt sak”, gjør at det ikke uten videre kan kreves innsyn i alle dokumenter av en bestemt art. Dette er en saksbehandlingsregel som innebærer at et innsynskrav kan avvises dersom ikke saken eller dokumentet det kreves innsyn i identifiseres i tilstrekkelig grad. Så lenge det gis en tilstrekkelig identifisering av den enkelte sak eller det enkelte dokument, er det ingen ting i veien for at det kreves innsyn i en rekke saker eller dokumenter i samme innsynskrav. Innsynsretten etter offentlighetsloven vil for så vidt kunne omfatte hele innholdet i en database dersom samtlige saker eller dokumenter i databasen er tilstrekkelig identifisert.

Hensynet bak identifikasjonskravet i offentlighetsloven § 2 annet ledd første punktum er først og fremst å spare forvaltningen for et unødig stort arbeid med å finne frem til dokumentene det kreves innsyn i. Identifikasjonskravet vil være oppfylt hvis den som krever innsyn, gir en entydig referanse til journalen, eller identifiserer et dokument i saken, for eksempel ved å gi opplysninger om dato og avsender eller mottager. Også andre former for identifisering vil være tilstrekkelig, for eksempel en nærmere karakteristikk av hva saken gjelder, dersom dette gir forvaltningen mulighet til å finne frem til saken eller dokumentet uten for mye arbeid.

Når det gjelder løpende eller administrative saker, som for eksempel de ansattes lønnsforhold, kan det være vanskelig å avgjøre hva som utgjør ”en bestemt sak”. Legges det til grunn at alle opplysninger om én ansatt i et databasert lønnsystem, må anses som én sak vil det foreligge like mange saker som det er ansatte. Dersom navnet på alle ansatte oppgis, vil i så fall forvaltningsorganet ha plikt til å ta et krav om innsyn i samtlige ansattes lønnsforhold under behandling. Vi antar imidlertid at det for enkelte ansatte kan være tale om flere saker, f.eks. om særskilte lønnsforhøyelser.

Kravet til identifisering ved innsyn i lønnsforhold og lignende løpende eller administrative saker bør imidlertid etter vår oppfatning ikke uten videre bero på hva som formelt sett utgjør én sak, men bør ut fra hensynet bak identifikasjonskravet praktiseres fleksibelt ut fra forholdene i den enkelte sak. Dersom forvaltningsorganet allerede har etablert et dokument som inneholder en oversikt over lønnsforholdene til samtlige ansatte og som ikke inneholder andre opplysninger som det vil være arbeidskrevende å gjennomgå for å vurdere innsynsspørsmålet, vil det for eksempel etter vår oppfatning være tilstrekkelig med en generell angivelse av hva det kreves innsyn i (her kan det for øvrig tenkes at det aktuelle dokumentet utgjør, eller inngår i, en egen sak i offentlighetslovens forstand). I slike tilfeller vil hensynet til at forvaltningen ikke skal pådras et omfatte arbeid med dokumentfremfinning, ikke gjøre seg gjeldende. Det samme gjelder der forvaltningsorganet har dataløsninger som gjør at lønnsopplysninger for samtlige ansatte kan gjøres tilgjengelige ved hjelp av enkle kommandoer. Dersom dette vil innebære at det utarbeides et nytt dokument i offentlighetslovens forstand, vil som nevnt i punkt 4.2.1 den som krever innsyn, ikke kunne kreve dette. Identifikasjonskravet vil imidlertid ikke gi grunnlag for å avvise et generelt utformet innsynskrav i slike tilfeller, og dersom det kun er tale om å hente ut opplysninger som allerede er lagret i databasen uten at disse bearbeides eller sammenstilles på en ny måte, vil det ikke være tale om å etablere et nytt dokument i offentlighetslovens forstand.

4.3.1 Dersom dokumenter som kan unntas fra offentlighet, legges ut på internett, vil dette i prinsippet stå i samme stilling som andre tilfeller hvor det utøves meroffentlighet, men slik at adgangen til å behandle personopplysninger i slike tilfeller ikke kan anses å være fastsatt i lov, jf. personopplysningsloven § 8 første ledd annet alternativ og § 9 første ledd bokstav b. Offentlighetsloven § 8 første ledd regulerer ikke disse tilfellene fordi bestemmelsen forutsetter at dokumentet skal gjøres kjent for en som først har fremsatt et innsynskrav. Om hvordan disse tilfellene skal bedømmes i forhold til personopplysningsloven og personverndirektivet vises det til punkt 2.3 og 3.4 ovenfor. Men fordi spredningsfaren vil være større når dokumenter legges ut på internett enn når de offentliggjøres på tradisjonell måte, vil de personvernmessige betenkelighetene være større ved denne formen for offentliggjøring. Dette må få betydning for avveiningen som skal foretas etter personverndirektivet, jf. punkt 3.1 ovenfor. Personverndirektivet kan derfor være til hinder for at dokumenter som det kan unntas fra offentlighet, legges ut på internett, men ikke til hinder for å utøve meroffentlighet ved å gi innsyn i de samme dokumentene på tradisjonell måte.

4.3.2 For dokumenter som er underlagt innsyns rett etter offentlighetsloven, vil situasjonen være at når forvaltningsorganet velger å legge dokumentet ut på internett, har organet en gang for alle tatt stilling til dokumentets forhold til offentlighetsloven. Dette kan skje i forbindelse med avgjørelsen av et innsynskrav eller uten at det er fremsatt noe innsynskrav, for eksempel fordi forvaltningsorganet antar at dokumentet vil være interessant slik at det senere vil bli krevd innsyn i det. Når noen senere klikker seg inn på dokumentet og leser det, lagrer det eller skriver det ut via internett, må denne operasjonen bedømmes som fremsettelse av et innsynskrav, men slik at behandlingen av kravet er automatisert. Denne situasjonen står i forhold til offentlighetsloven reelt sett ikke i en annen stilling enn tilfeller hvor forvaltningsorganet ved utferdigelsen eller mottagelsen av et dokument kommer til at dokumentet er underlagt innsynsrett og overlater til kontorpersonalet å sende dokumentet ut på tradisjonell måte til alle som deretter krever innsyn i det. At den teknologiske utviklingen åpner for nye måter å effektivisere innsynsretten etter offentlighetsloven på, bør etter vår oppfatning helst ikke føre til at sammenlignbare tilfeller undergis ulik rettslig bedømmelse.

Det avgjørende i forhold til personopplysningsloven § 6 første ledd er imidlertid at offentlighetsloven ikke gir den enkelte noe krav på at innsyn i et dokument som er underlagt innsynsrett, skal gis ved å gjøre dokumentene tilgjengelige for enhver på internett, jf. offentlighetsloven § 8. At selve utleggingen på nettet må regnes som ”utlevering” etter personopplysningsloven § 2 nr. 2 fremgår klart når den tilsvarende definisjonen i direktivet tas i betraktning. Definisjonen i direktivet omfatter således blant annet ”… videreformidling ved overføring, spredning eller andre former for tilgjengeliggjøring …”, og det fremgår av forarbeidene til personopplysningsloven at meningen var at definisjonen i personopplysningsloven § 2 nr. 2 innholdsmessig skulle tilsvare direktivets definisjon, jf. Ot.prp. nr. 92 (1998-99) s. 102 første spalte.

På denne bakgrunn antar Lovavdelingen at personopplysningsloven § 6 første ledd ikke gjelder når dokumenter som er underlagt innsynsrett legges ut på nettet. Om bedømmelsen av disse tilfellene i forhold til personopplysningsloven og personverndirektivet vises det til punkt 4.3.1 ovenfor.

4.3.3 For ordens skyld nevner vi at personopplysningsloven eller personverndirektivet ikke vil være til hinder for utlegging av dokumenter på internett når navn eller andre opplysninger som kan identifisere enkeltpersoner, utelates.

4.3.4 Datatilsynet reiser også spørsmål om tilsynet med hjemmel i personopplysningsloven § 11 første ledd bokstav b kan stille krav om at enkelte opplysninger utelates i dokumentene som legges ut på nett.

Etter personopplysningsloven § 46 kan Datatilsynet gi pålegg om at behandling av personopplysninger som er strid med for eksempel personopplysningsloven §§ 8 og 9 skal opphøre – eller stille vilkår som må oppfylles for at behandlingen skal være i samsvar med loven. Slike vilkår kan for eksempel gå ut på at enkeltopplysninger i dokumenter som offentliggjøres, for eksempel navn eller fødselsnummer, skal utelates i den utstrekning dette er nødvendig for at offentliggjøringen skal være i samsvar med personopplysningsloven.

Dersom først et av vilkårene for behandling av personopplysninger i direktivet artikkel 7 eller 8 – og dermed personopplysningsloven §§ 8 eller 9 – er oppfylt, kan vi ikke se at personopplysningsloven § 11 første ledd bokstav b eller c jf. § 46 eller den tilsvarende bestemmelsen i personverndirektivet artikkel 6 nr. bokstav b vil kunne gi adgang for å stille vilkår om at enkeltopplysninger i dokumenter som legges ut på nettet skal utelates. Dersom utleggingen på nettet er i strid med personopplysningsloven §§ 8 eller 9 eller personverndirektivet artikkel 7 eller 8, kan Datatilsynet stille vilkår om at personopplysninger i dokumentet skal utelates i den utstrekning dette er nødvendig for at behandlingen skal være i samsvar med loven. I helt spesielle tilfeller vil det også kunne være aktuelt å fastsette konsesjonsplikt etter § 33 annet ledd, slik at offentliggjøring krever konsesjonsplikt. Denne kompetansen begrenses også av personopplysningsloven § 7.

4.3.5 Datatilsynet reiser til slutt spørsmål om tilsynet kan stille vilkår om at fødselsnummer utelates i dokumenter som legges ut på internett.

Etter forvaltningsloven § 13 annet ledd er ikke fødselsnummer underlagt taushetsplikt etter forvaltningsloven. Fødselnummeret er heller ikke underlagt taushetsplikt etter annen lovgivning.

Etter lov 16. januar 1970 nr. 1 om folkeregistrering § 13 annet ledd første punktum kan fødselsnummeret bare utleveres når opplysningene er ”nødvendige for å ivareta lovmessige rettigheter eller plikter”. Denne bestemmelsen regulerer imidlertid bare offentliggjøring av fødselsnummer fra folkeregistrene, og berører ikke innsyn i dokumenter for øvrig som inneholder fødselsnummer. Dersom fødselsnummer finnes i saksdokumenter som ikke er en del av folkeregistrene, vil adgangen til innsyn i disse reguleres av offentlighetsloven. Etter offentlighetsloven er det ikke i seg selv noen unntaksgrunn at et dokument inneholder fødselsnummer.

Utlegging av dokumenter som inneholder fødselsnummer på nettet, må vurderes på samme måte i forhold til personopplysningsloven og personverndirektivet som andre tilfeller der dokumenter som inneholder personopplysninger offentliggjøres på denne måten, jf. punkt 4.3.1–4 ovenfor. Det vil være sjelden at fødselsnummeret isolert sett vil være av betydning for informasjonsinnholdet i et dokument, samtidig som det kan være en fare for misbruk av fødselsnummeret ved omfattende spredning. Vi antar dermed at personopplysningsloven § 8 (jf. direktivet artikkel 7) i de fleste tilfeller vil være til hinder for å legge ut dokumenter på internett uten at opplysninger om fødselsnummer i dokumentet først utelates.