7 Merknader til bestemmelsene

Til offentleglova § 5 tredje ledd

Forslaget til offentleglova § 5 tredje ledd tilsvarer EOS-kontrolloven § 16 fjerde ledd og i stor grad offentleglova § 5 andre ledd første punktum, som gjelder saker for Riksrevisjonen. Forslaget til første punktum medfører at for saksdokumenter som er utarbeidet av eller til EOS-utvalget i saker som utvalget vurderer å legge frem for Stortinget som ledd i den konstitusjonelle kontrollen, gjelder innsynsretten først når saken er mottatt i Stortinget. Selve innsynsretten utsettes altså til et senere tidspunkt enn det som ellers følger av offentleglova § 3 og § 4 andre ledd. Etter andre punktum skal EOS-utvalget varsle vedkommende organ om at det handler om en slik sak. Forslaget til tredje punktum sier at dersom en slik sak blir ferdigbehandlet uten at den blir oversendt Stortinget, gjelder innsynsretten når utvalget har varslet organet om at saken er ferdigbehandlet. Skulle det ved en feil ikke komme eller ikke bli registrert noen slik melding, vil innsynsretten uansett gjelde når det på et senere tidspunkt blir klarlagt at saken er ferdigbehandlet.

Bestemmelsen om utsatt innsyn vil omfatte alle slags dokumenter som er utarbeidet av eller til EOS-utvalget i saker som utvalget vurderer å legge frem for Stortinget som ledd i den konstitusjonelle kontrollen, uavhengig av hva slags saker dokumentene gjelder, eller hvilket organ som har dokumentet. På lik linje med det som gjelder i riksrevisjonssaker, er det her snakk om en obligatorisk utsettelse av tidspunktet for når innsynsretten begynner å gjelde for de aktuelle dokumentene. Kravet om at utvalget skal varsle organet om at det handler om en slik sak, innebærer likevel at dersom det ikke kommer noen slik melding, gjelder det heller ikke utsatt innsyn. Bestemmelsen gir ingen hjemmel til å nekte innsyn etter at dokumentene blir omfattet av innsynsretten. Innsynsspørsmålet må da vurderes på vanlig måte.

Nåværende offentleglova § 5 tredje ledd blir etter dette forslaget nytt fjerde ledd.

Til offentleglova § 26 sjette ledd

Det foreslås tatt inn et nytt unntak fra innsyn i offentleglova § 26 sjette ledd. Den nye bestemmelsen åpner for å gjøre unntak fra innsyn for sammenstillinger av og oversikter over personopplysninger som blir utarbeidet som en direkte følge av innsynskrav etter personvernforordningen artikkel 15. Etter artikkel 15 nr. 1 har den registrerte rett til å få vite om det behandles personopplysninger om vedkommende. Dersom dette er tilfellet, har den registrerte rett til innsyn i opplysningene. I tillegg vil den registrerte ha krav på å få informasjon om blant annet formålene med behandlingen, hvem opplysningene har blitt eller vil bli utlevert til, hvis mulig hvor lenge det forventes at opplysningene vil bli lagret, retten til å be om retting eller sletting av slike opplysninger eller begrensning av behandlingen av dem, retten til å protestere mot behandlingen, retten til å klage til en tilsynsmyndighet og, hvis det er tilgjengelig, hvor personopplysningene stammer fra.

Det følger videre av nr. 3 i artikkel 15 at den registrerte har krav på en kopi av personopplysningene som behandles, og at dersom innsynskravet settes frem elektronisk, skal kopien gis i «en vanlig elektronisk form» dersom den registrerte ikke ber om noe annet.

Dersom slikt innsyn skal være til reell nytte for den registrerte, og det dreier seg om mange opplysninger, vil innsynet trolig måtte gis i form av en sammenstilling av eller oversikt over opplysningene. En slik sammenstilling eller oversikt vil i utgangspunktet være omfattet av innsynsretten etter offentleglova, men formålene bak innsynsretten gjør seg i liten grad gjeldende for slike dokumenter, og dersom det skal gis innsyn i slike sammenstillinger eller oversikter, kunne det motvirke den ivaretakelsen av personvernet som ligger bak artikkel 15. Det fastsettes her derfor adgang til unntak fra innsyn for slike dokumenter.

Unntaket gjelder bare sammenstillinger eller oversikter som oppstår som en direkte følge av innsynskrav etter personvernforordningen artikkel 15. Andre former for sammenstillinger av eller oversikter over personopplysninger faller utenfor, også der de er opprettet av andre personvernhensyn. Dersom innsyn etter artikkel 15 gis i form av kopier av de dokumentene hvor personopplysningene inngår, omfattes heller ikke disse dokumentene av unntaket. Unntak må da vurderes etter andre regler.

Merinnsyn skal i utgangspunktet vurderes på vanlig måte, jf. offentleglova § 11, men det vil trolig være lite aktuelt med merinnsyn i slike dokumenter. Eventuelle taushetsbelagte opplysninger skal det i utgangspunktet ikke i noe tilfelle gis innsyn i, og mange andre personopplysninger er også av en slik karakter at merinnsyn er lite aktuelt. Dette gjelder særlig når opplysningene inngår i slike sammenstillinger eller oversikter som det er snakk om her. Merinnsyn kan være mer aktuelt der det dreier seg om få opplysninger, eller det foreligger få eller ingen opplysninger som er omfattet av andre unntak fra innsyn, og innsyn i sammenstillingen eller oversikten i liten grad vil innebære noe inngrep i den registrertes personvern. Dersom opplysningene unntaksvis skulle være offentlig kjent, vil det gjerne kunne gis merinnsyn.

Til personopplysningsloven § 3

Bestemmelsen har delvis fått nytt innhold ved at det er inntatt et vilkår om nødvendighet i bestemmelsens første ledd. Formålet med endringen er å åpne for mer nyanserte avveininger av personvernet og ytrings- og informasjonsfriheten, herunder å sikre at bestemmelsen i enkelttilfeller ikke gjør unntak fra personopplysningsloven og personvernforordningen i uforholdsmessig stor grad. Når det gjelder behovet for å sikre at bestemmelsen ikke gjør unntak i uforholdsmessig stor grad, tar endringen i første rekke sikte på de ulike formene for behandling som omfattes av forordningens begrep om «journalistisk» formål, men som skjer i uredigerte medier.

Første ledd gjør unntak fra reglene i personvernforordningen og personopplysningsloven ved behandling av personopplysninger for journalistiske formål eller med henblikk på akademiske, kunstneriske eller litterære ytringer. Behandlingen er unntatt fra reglene så langt det er nødvendig for utøvelsen av retten til ytrings- og informasjonsfrihet. Bestemmelsen gjennomfører personvernforordningen artikkel 85 nr. 2. Begrepene «journalistiske formål» og «akademiske, kunstneriske og litterære ytringer» skal forstås på samme måte som de tilsvarende begrepene i forordningen artikkel 85 nr. 2.

Bestemmelsen gir anvisning på en skjønnsmessig helhetsvurdering. Rettspraksis fra Høyesterett og EMD om avveiningen av de to rettighetene vil være relevant ved vurderingen, eventuelt også praksis fra EFTA-domstolen om menneskerettsvernet etter EØS-avtalen og fra EU-domstolen om forordningen.

Det er ikke et vilkår etter første ledd at behandlingen utelukkende skjer for et av de angitte formålene. En behandling som skjer utelukkende for journalistiske formål eller med henblikk på akademiske, kunstneriske eller litterære ytringer, vil likevel i alminnelighet ha et langt sterkere vern etter ytrings- og informasjonsfriheten enn behandlinger som samtidig har andre formål. I vurderingen vil det derfor normalt få stor betydning at behandlingen ikke utelukkende skjer for et av de angitte formålene.

Første ledd andre punktum angir vurderingskriterier som det skal legges vekt på i vurderingen. Listen er ikke en uttømmende angivelse av relevante forhold å ta i betraktning. Momentene som angis, vil delvis kunne overlappe.

Bokstav a fastsetter at samfunnets interesse i behandlingen eller ytringen skal tas i betraktning. Desto større samfunnsinteressen er, jo større vekt må det legges på hensynet til at den behandlingsansvarlige ikke skal trenge å forholde seg til de ulike bestemmelsene i personopplysningsloven og forordningen, og at Datatilsynet ikke skal kunne føre kontroll med etterlevelsen. Når samfunnsinteressen er mindre, må hensynet til personvern tillegges større vekt. Den behandlingsansvarlige må da i større grad tåle å forholde seg til personopplysningsreglene, for eksempel slik at den registrerte skal kunne utøve rettigheter etter forordningen kapittel III for å ivareta sitt personvern.

Dersom behandlingen eller ytringer den leder frem til, er helt uten samfunnsinteresse, vil utgangspunktet være at loven og forordningen kommer til anvendelse fullt ut.

Hva som er i samfunnets interesse, vil kunne endre seg over tid. Samfunnets interesse vil imidlertid ikke nødvendigvis omfatte ethvert forhold som folk interesserer seg i. I EMDs praksis er det lagt til grunn at ytringer som skal fremme informasjonsutveksling i det offentlige rom, skape debatt eller avdekke kritikkverdige forhold av allmenn interesse, typisk vil ha et sterkt vern. Å tilfredsstille en bestemt leserkrets’ nysgjerrighet i andres privatliv vil i alminnelighet ikke anses å være i samfunnets interesse, jf. Von Hannover mot Tyskland 24.6.2004 (nr. 59320/00) avsnitt 64–65.

Det vil også være relevant å se hen til samfunnets interesse i at personer identifiseres i en ytring, og graden av identifikasjon. Selv om forholdet som omtales, har betydelig samfunnsinteresse, vil det ikke nødvendigvis foreligge en tilsvarende interesse i at enkeltpersoner identifiseres. I slike tilfeller vil det være relevant å vurdere om forordningens regler om dataminimering (artikkel 5 nr. 1 bokstav c) og behandlingsgrunnlag (artikkel 6) bør komme til anvendelse, slik at det kan tas stilling til i hvilken grad det er grunnlag for å identifisere enkeltpersoner.

Det vil ha betydning om ytringen gjelder en offentlig person. Personvernhensyn gjør seg i større grad gjeldende i saker om personer som ikke har samfunnsfunksjoner, enn dersom den registrerte er en offentlig person. Dersom saken kun dreier seg om den registrertes rent personlige forhold, vil imidlertid personvernet kunne stå sterkt selv om den registrerte skulle være en kjent person.

Ordlyden «behandlingen eller ytringer den leder frem til» er ment å favne vidt. Samfunnet vil kunne ha en interesse i at en behandling av personopplysninger finner sted selv om behandlingen i det konkrete tilfellet ikke resulterer i en ytring. Videre er bokstav a ikke bare ment å åpne for å vurdere samfunnsinteressen i eventuelle ytringer som den behandlingsansvarlige fremsetter, men også samfunnets interesse i ytringer som vil kunne komme fra andre som et svar på eller resultat av den behandlingsansvarliges ytringer. Momentet skal altså favne om hensynet til samfunnsdebatten i vid forstand.

Etter bokstav b skal det legges vekt på atferdsnormer, etiske retningslinjer og selvdømmeordninger eller lignende som bidrar til å ivareta den registrertes personvern ved behandlingen. Det er ikke nødvendig at atferdsnormene, de etiske retningslinjene eller selvdømmeordningene utelukkende eller direkte har til hensikt å ivareta den registrertes personvern. Dette kan være en indirekte konsekvens.

Begrepene «atferdsnormer» og «etiske retningslinjer» er ment å skulle tolkes vidt, men de aktuelle normene og retningslinjene må ha en viss legitimitet og oppslutning. Begrepet «atferdsnormer» i bokstav b skal ikke forstås på samme måte som i personvernforordningen artikkel 40, men vil omfatte blant annet slike normer. Ordlyden «selvdømmeordninger eller lignende» skal ta høyde for både selvdømmeordninger og andre relevante ordninger som har en lignende funksjon som selvdømmeordninger, men som ikke er betegnet som dette.

Ved vurderingen av akademiske ytringer vil det være relevant å se hen til i hvilken grad anerkjente forskningsetiske normer, samt utvalg og komiteer mv. etter forskningsetikkloven, bidrar til å ivareta personvernet ved behandlingen. Hvilken vekt dette skal tillegges, må vurderes konkret.

Bokstav c gir anvisning på at det skal legges vekt på de negative konsekvensene anvendelse av personopplysningsregelverket kan ha for ytrings- og informasjonsfriheten. De forskjellige bestemmelsene i forordningen og loven griper inn i ytrings- og informasjonsfriheten i ulik grad. I alminnelighet vil for eksempel rett til retting av uriktige faktiske opplysninger eller supplering av ufullstendige personopplysninger, jf. forordningen artikkel 16, være mindre inngripende enn rett til sletting, jf. artikkel 17. Reglene som oftest vil gripe inn i ytrings- og informasjonsfriheten i størst grad, er reglene som direkte regulerer i hvilken utstrekning det er adgang til å behandle personopplysninger, jf. artikkel 6 (behandlingsgrunnlag), artikkel 9 (særlige kategorier av personopplysninger) og artikkel 10 (personopplysninger om straffbare forhold mv.). Også prinsippene om formålsbegrensning, dataminimering og lagringsbegrensning kan trekkes frem i denne forbindelse, jf. artikkel 5 nr. 1 bokstav b, c og e.

Når det gjelder artikkel 6 om behandlingsgrunnlag, understrekes det at artikkel 6 nr. 1 bokstav f åpner for behandling av personopplysninger på grunnlag av en konkret interesseavveining. Hensynet til ytrings- og informasjonsfrihet kan derfor tas i betraktning i denne vurderingen. Når det gjelder retten til sletting, vises det til at forordningen artikkel 17 nr. 3 bokstav a gir et generelt unntak fra retten til sletting når behandlingen er nødvendig for å utøve retten til ytrings- og informasjonsfrihet.

I den konkrete vurderingen kan det også vurderes om enkelte bestemmelser bør komme delvis til anvendelse, for eksempel om den registrerte skal ha en begrenset innsynsrett etter forordningen artikkel 15. Videre kan det vurderes om reglene skal gis utsatt anvendelse, for eksempel om den registrertes rett til å protestere mot behandlingen etter forordningen artikkel 21 skal inntre først når en ytring er publisert.

Konsekvensene for ytrings- og informasjonsfriheten skal ikke bare vurderes med utgangspunkt i de enkelte bestemmelsene. Det må også legges vekt på den samlede virkningen av reglene som eventuelt vil kunne få anvendelse. Anvendelse av flere bestemmelser som ikke vurderes som for inngripende hver for seg, kan likevel samlet sett medføre at det ikke blir tilstrekkelig rom for ytrings- og informasjonsfriheten.

Vurderingen kan videre ikke bare knytte seg til hvilke utslag de enkelte reglene vil gi i det enkelte tilfelle, for eksempel om behandlingen vil kunne ha grunnlag i artikkel 6 dersom denne bestemmelsen skulle gjelde. I vurderingen må det også sees hen til hva det i videre forstand vil medføre dersom den behandlingsansvarlige i det hele tatt må forholde seg til reglene. Det må altså legges vekt på konsekvensene av at den behandlingsansvarlige fortløpende må vurdere og ta stilling til om reglene etterleves, og at Datatilsynet vil ha myndighet til å føre tilsyn med dette. Med andre ord må det sees hen til det mer overordnede hensynet til å gi ytrings- og informasjonsfriheten tilstrekkelig albuerom, samt en eventuell nedkjølingseffekt som følge av at reglene ofte krever at den behandlingsansvarlige fortløpende vurderer etterlevelsen, eller at Datatilsynet kan føre tilsyn. Dette gjør seg særlig gjeldende dersom Datatilsynets kontroll ville ha karakter av å være forhåndssensur av ytringer.

Det må også sees hen til en eventuell nedkjølingseffekt som vil kunne oppstå som følge av at unntaksregelen i seg selv krever at det foretas konkrete nødvendighetsvurderinger. For eksempel vil det ved kunstnerisk virksomhet normalt være uheldig og unaturlig om den behandlingsansvarlige fortløpende må foreta konkrete vurderinger etter personopplysningsloven § 3 av samfunnets interesse i det enkelte kunstverk, jf. bokstav a, og at Datatilsynet skal kunne føre tilsyn med dette. I slike tilfeller kan det foretas også mer overordnede vurderinger av den kunstneriske virksomheten som sådan, herunder hensynet til vid kunstnerisk frihet, i stedet for at vurderingen etter § 3 bare skal knytte seg til konkrete behandlinger. Bokstav c vil altså kunne tilsi at det er nødvendig for den behandlingsansvarliges kunstneriske virksomhet generelt sett at bare bestemmelsene i § 3 andre ledd kommer til anvendelse.

Bokstav d fastsetter at det skal legges vekt på konsekvensene behandlingen vil ha for den registrerte. Temaet for, formålet med og innholdet i behandlingen, herunder hvor omfattende behandlingen er og hvilke kategorier av personopplysninger den omfatter, kan være relevant for å avgjøre hvor inngripende behandlingen kan være. Det kan eksempelvis være relevant å legge vekt på om personopplysningene gjør det mulig for allmennheten å identifisere den registrerte, eller om kun den behandlingsansvarlige eller en begrenset krets av personer vil kunne identifisere den registrerte.

At personopplysninger er offentlig tilgjengelige, utelukker ikke at behandling av opplysningene kan være inngripende i den registrertes personvern. Offentlig tilgjengelig er ikke ensbetydende med at opplysningene er kjent for allmennheten, og offentlig publisering av opplysningene kan derfor etter omstendighetene være inngripende. Dette vil særlig gjelde ved sammenstilling av ulike offentlig tilgjengelige opplysninger om den registrerte.

Enkelte registrerte har et særskilt behov for vern. Det følger av personvernforordningens fortale at barn har et særskilt behov for vern, jf. punkt 38. Etter omstendighetene vil eksempelvis også ofre eller pårørende i saker som gjelder ulykker eller kriminelle forhold, ha et særskilt behov for vern.

Personvernhensyn gjør seg i større grad gjeldende i saker om personer som ikke har samfunnsfunksjoner, enn dersom den registrerte er en offentlig person. Offentlige personer må i alminnelighet tåle mer inngripende behandling av personopplysninger dersom behandlingen i siste instans fremmer samfunnsdebatten og demokratiet, men også slike individer har krav på et visst personvern, særlig hva gjelder opplysninger som kun knytter seg til personlige forhold.

Dersom behandlingen kan være svært inngripende for den registrerte, trekker det i retning av at den registrertes interesser bør sikres gjennom anvendelse av regler i personvernforordningen og personopplysningsloven. I helhetsvurderingen bør det imidlertid også tas hensyn til i hvilken grad den registrertes interesser er ivaretatt på andre måter, eksempelvis gjennom atferdsnormer, etiske retningslinjer eller selvdømmeordninger eller lignende som nevnt i første ledd andre punktum bokstav b.

Andre ledd angir hvilke bestemmelser i forordningen og loven som uansett alltid vil komme til anvendelse. Bestemmelsen viderefører i hovedsak gjeldende rett med mindre endringer. Artikkel 33 nr. 2 om databehandlerens plikt til å varsle den behandlingsansvarlige om brudd på personopplysningssikkerheten er inntatt i listen.

I tillegg er forordningens kapittel I (alminnelige bestemmelser), X (delegerte rettsakter og gjennomføringsrettsakter) og XI (sluttbestemmelser) tatt inn, samt lovens kapittel 1 (personvernforordningen) og 2 (lovens saklige og geografiske virkeområde). Dette er ikke ment å medføre noen realitetsendringer.

Tredje ledd fastsetter en særskilt unntaksregel for medier som er omfattet av medieansvarsloven. Når disse behandler personopplysninger utelukkende for formålene som nevnt i første ledd, gjelder kun bestemmelsene som nevnt i andre ledd. Dette innebærer at det ikke skal foretas noen nødvendighetsvurdering etter første ledd.

Medieansvarsloven gjelder for medier som driver regelmessig journalistisk produksjon og publisering av nyheter, aktualitetsstoff, samfunnsdebatt eller annet innhold av allmenn interesse, jf. medieansvarsloven § 2. For en nærmere redegjørelse for medieansvarslovens virkeområde vises det til Prop. 31 L (2019–2020) kapittel 20 side 99–101.

Vilkåret om at behandlingen må skje utelukkende for et av formålene som nevnt i første ledd, er en videreføring av gjeldende rett. Behandling som ikke utelukkende skjer for et av de angitte formålene, omfattes av første ledd.

Det understrekes at tredje ledd ikke skal tolkes motsetningsvis. Formålet med særbestemmelsen er kun å gjøre det klart at disse mediene ikke trenger å foreta en konkret nødvendighetsvurdering etter første ledd. Andre som behandler personopplysninger for journalistiske formål mv., vil kunne være unntatt fra reglene i samme utstrekning, men da i henhold nødvendighetsvurderingen etter første ledd. Dette vil for eksempel gjelde for innholdsleverandører, herunder nyhetsbyråer, og frilansere mv. som leverer innhold til medier som er omfattet av medieansvarsloven.

Datatilsynet har kompetanse til å overprøve vurderinger av hvorvidt loven og forordningen kommer til anvendelse, også i hvilken grad det må gjøres unntak fra forordningens og lovens anvendelsesområde etter personopplysningsloven § 3. I den grad unntaksregelen kommer til anvendelse, vil Datatilsynet kun kunne føre tilsyn med etterlevelsen av de konkrete bestemmelsene som den behandlingsansvarlige er underlagt. Det vil i alle tilfeller være bestemmelsene som nevnt i andre ledd. Det vil bero på de konkrete omstendighetene hvorvidt den behandlingsansvarlige er underlagt flere bestemmelser eller ikke, jf. første ledd.

Datatilsynets kompetanse må alltid utøves i tråd med ytrings- og informasjonsfriheten. Datatilsynet vil kun ha tilgang til opplysninger og lokaler mv. i den grad det er nødvendig for å gjennomføre det konkrete tilsynet. Datatilsynet har ikke anledning til å føre tilsyn på en måte som strider mot kildevernet. Datatilsynets tilsyn kan heller ikke utgjøre forhåndssensur av ytringer i strid med Grunnloven § 100 fjerde ledd.

Til ikrafttredelsesbestemmelsen

Loven trer i kraft fra den tiden Kongen bestemmer, med unntak av endringen i offentleglova § 5, som trer i kraft straks. De enkelte bestemmelsene kan settes i kraft til ulik tid. Ulikt ikrafttredelsestidspunkt kan for eksempel være aktuelt dersom det kreves noe tid til forberedelser før endringene i personopplysningsloven kan settes i kraft, mens det nye unntaket fra innsyn i offentleglova § 26 kan gjelde fra et tidigere tidspunkt.