7 Behandling av personopplysninger

7.1 Forslaget i høringsnotatet

Høringsforslaget § 4 inneholdt en bestemmelse om utvalgets grunnlag for å behandle personopplysninger. I bestemmelsens andre ledd ble det foreslått en begrensning i innsynsretten etter personvernforordningen artikkel 15. Det ble gitt følgende redegjørelse i høringsnotatet for forslaget:

«4.5.1 Adgang til å behandle personopplysninger

Departementet foreslår å lovfeste i § 4 at utvalget kan behandle personopplysninger som er nødvendige for formålet med utvalgets arbeid uten samtykke fra den som opplysningene gjelder. Departementet viser til at utvalget vil kunne innhente særlige kategorier av personopplysninger, og i noen tilfeller personopplysninger om straffbare forhold. Verken samtykke eller anonymisering anses som tilstrekkelig for utvalgets innhenting av personopplysninger, og departementet legger til grunn at et særskilt grunnlag for behandling av personopplysninger er nødvendig.

Formålet med utvalgets arbeid er å få svar på om det har forekommet ulovlige eller uetiske forhold i forbindelse med utenlandsadopsjoner til Norge. Departementet mener at selv om utvalgets behandling av personopplysninger kan være inngripende, er samfunnsnytten av behandlingen så stor at den begrunner dette. Departementet går derfor inn for å fastsette en lovbestemmelse som eksplisitt gir utvalget rett til å behandle personopplysninger som er nødvendige for formålet med utvalgets arbeid. Dette skal kunne gjøres uten samtykke fra dem opplysningene gjelder, og også omfatte personopplysninger som nevnt i personvernforordningen artikkel 9 og 10.

4.5.2 Begrensninger i retten til innsyn i egne personopplysninger

Departementet foreslår videre i lovutkastet § 4 andre ledd at retten til innsyn etter personvernforordningen artikkel 15 ikke gjelder dersom det vil kreve en uforholdsmessig stor innsats å gi innsyn.

Departementet viser til at det følger av personvernforordningen artikkel 23 nr. 1 bokstav e at nasjonal rett kan begrense rettighetene til den registrerte når en slik begrensning overholder det vesentligste innholdet i de grunnleggende rettighetene og frihetene, og er et nødvendig og forholdsmessig tiltak i et demokratisk samfunn for å sikre «viktige mål av generell allmenn interesse».

Med grunnlag i personvernforordningen artikkel 23 nr. 1 bokstav e, forslås det derfor et unntak fra den registrertes rett til innsyn i personopplysningene om vedkommende etter personvernforordningen artikkel 15. På bakgrunn av at utvalgets arbeid skal foregå innenfor en tidsavgrenset periode på i utgangspunktet to år, er departementets vurdering at det ikke er hensiktsmessig dersom en for stor del av utvalgets arbeidstid går med til å behandle innsynskrav. Departementet foreslår derfor at denne innsynsretten ikke skal gjelde dersom det vil kreve en uforholdsmessig stor innsats å gi innsyn.

Departementet påpeker at utvalget må gjøre en konkret vurdering av om det vil kreve en uforholdsmessig stor innsats å gi innsyn eller ikke. I dette ligger også en vurdering av nødvendighet, herunder en konkret vurdering av de ulike typene informasjon som omfattes av innsynskravet etter artikkel 15, og hvor stor del av utvalgets arbeidstid som vil gå til å behandle innsynskravet. Det vises til at tilsvarende unntak gjelder ved behandling av personopplysninger for vitenskapelige forskningsformål.

Bestemmelsen innebærer at den registrertes rett til innsyn ikke gjelder «så langt det vil kreve en uforholdsmessig stor innsats å gi innsyn». Formuleringen «så langt» er vesentlig for at begrensningen i innsynsretten skal være i tråd med forholdsmessighetskravet i personvernforordningen artikkel 23. Forholdsmessighetsvurderingen skal være i samsvar med det som gjelder for vitenskapelige forskningsformål etter personopplysningsloven § 17, jf. Prop. 56 LS (2017–2018) side 217–218:

«Det kan bare gjøres unntak i den utstrekning innsyn er uforholdsmessig. Det må derfor foretas en konkret vurdering av de ulike typene informasjon som omfattes av artikkel 15. Det kan for eksempel kreve en uforholdsmessig innsats å gi en kopi av personopplysningene som behandles, jf. artikkel 15 nr. 3, men ikke å gi slik generell informasjon som er nevnt i artikkel 15 nr. 1 og 2. Da vil det foreligge innsynsrett etter artikkel 15 nr. 1 og 2, men ikke etter nr. 3. I forholdsmessighetsvurderingen inngår ikke bare den enkelte innsynsbegjæringen; også den samlede mengden av innsynsbegjæringer og potensielle innsynsbegjæringer kan tas i betraktning.»

Når det gjelder muligheten for å få overprøvd et eventuelt avslag på slike innsynskrav, viser departementet til at det er mulig å klage til Datatilsynet som er den alminnelige klageinstansen for klager over avslag på slike innsynskrav. Departementet presiserer imidlertid at Datatilsynet ikke er overordnet forvaltningsorgan for beslutninger om å gjøre unntak fra innsynsretten.

Unntaket fra innsynsretten er ikke ment å begrense den registrertes rett til å klage og å bruke rettsmidler etter personvernforordningen kapittel 8. Departementet foreslår ingen ytterligere begrensninger i den registrertes rettigheter etter personvernforordningen.

Utvalget skal løpende vurdere om de personopplysningene som til enhver tid behandles, er nødvendige for å gjennomføre oppgavene i utvalgets mandat. Departementet viser her til personvernforordningen artikkel 5 nr. 1 bokstav c og e. Etter bokstav c om dataminimering skal behandling av personopplysninger være adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for. Etter bokstav e skal opplysningene ikke lagres lenger enn det som er nødvendig for formålet.

Departementet legger til grunn at granskingsutvalget selv vil være behandlingsansvarlig etter personvernforordningen artikkel 4 nr. 7, siden utvalget vil gjennomføre sitt arbeid uavhengig av Barne- og familiedepartementet og andre organer. Det presiseres derfor i lovutkastet § 4 tredje ledd at utvalget er behandlingsansvarlig frem til utvalget har avsluttet sitt arbeid. Som behandlingsansvarlig skal utvalget etter personvernforordningen artikkel 24 nr. 1 gjennomføre egnede tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen utføres i samsvar med forordningen. Det skal også foreta en vurdering av personvernkonsekvenser etter personvernforordningen artikkel 35 i den grad denne bestemmelsen kommer til anvendelse.»

7.2 Høringsinstansenes syn

Datatilsynet bemerker at personvernforordningen artikkel 9 nr. 2 bokstav g stiller uttrykkelige krav til at det skal foreligge egnede og særlige tiltak (garantier) for å verne den registrertes grunnleggende rettigheter og interesser ved behandling av særlige kategorier av personopplysninger. Datatilsynet mener departementet har vurdert og tatt inn flere slike tiltak i lovforslaget. Tilsynet har ikke innvendinger mot lovforslagets annet ledd, og viser til at utvalget skal gjøre konkrete vurderinger av om det vil kreve en uforholdsmessig stor innsats å gi innsyn eller ikke, og at denne vurderingen skal være i samsvar med det som gjelder for vitenskapelige forskningsformål etter personopplysningsloven. Datatilsynet ser det som positivt at det presiseres i loven at utvalget er behandlingsansvarlig frem til arbeidet avsluttes. Datatilsynet understreker at det ved gjennomføringen av egnede tekniske og organisatoriske tiltak etter personvernsforordningen artikkel 24 nr. 1 skal tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i. Det vises også til at artikkel 24 nr. 1 innebærer en plikt til å også foreta en ny gjennomgang av tiltakene og oppdatering av disse ved behov.

Barne-, ungdoms- og familiedirektoratet (Bufdir) anser at lovforslaget § 4 ivaretar hensynet til privatpersoners rett til og behov for anonymitet og utvalgets behov for opplysninger i enkeltsaker.

Den Norske Legeforening viser til at det er viktig at utvalget har et bevisst forhold til nødvendighetskriteriet i personvernforordningen artikkel 5 nr. 1 bokstav c. Legeforeningen bemerker at utvalget som behandlingsansvarlig etter forordningen vil ha et selvstendig ansvar for å sikre at kravet om nødvendighet er oppfylt.

Kripos påpeker at dersom utvalget har behov for opplysninger fra politi- og påtalemyndigheten, vil disse i utgangspunktet være unntatt fra retten til innsyn etter personvernforordningen uavhengig av hvilken innsats innsyn vil kreve, jf. personopplysningsloven § 16 første ledd bokstav d og politiregisterloven § 23 annet ledd. Kripos presiserer at ved begjæringer om innsyn i opplysninger utlevert fra politiet, må politiet kontaktes for en vurdering av om opplysningene omfattes av unntaket i personopplysningsloven § 16 første ledd bokstav d. Politidirektoratet støtter Kripos sitt innspill.

Adopsjonsforum mener forslaget til § 4 annet ledd svekker retten til innsyn. Flere organisasjoner for adopterte stiller seg kritiske til denne delen av høringsforslaget. Dette gjelder Norsk-Koreansk Rettighetsgruppe, Adopsjon i endring og Romantisert Innvandring. Det trekkes her frem at adopterte burde få tilgang til informasjon om seg selv og egen adopsjonsprosess.

7.3 Departementets vurderinger

7.3.1 Behandling av personopplysninger

Departementet opprettholder forslaget i høringsnotatet om behandling av personopplysninger. Forslaget til § 4 første ledd gir et supplerende rettsgrunnlag for utlevering og innhenting av personopplysninger i samsvar med personvernforordningen artikkel 6 nr. 3, jf. nr. 1 bokstav e, og åpner for viderebehandling i samsvar med artikkel 6 nr. 4. Hjemmelen omfatter også særlige kategorier av personopplysninger etter personvernforordningen artikkel 9 nr. 2 bokstav g, og personopplysninger om straffedommer og lovovertredelser etter artikkel 10.

Departementet mener at behandling av særlige kategorier av personopplysninger er forholdsmessig sett opp mot samfunnsnytten av utvalgets arbeid. De tiltakene som er foreslått fastsatt i loven, deriblant begrensning av tilgang til opplysninger hva gjelder innhold, personkrets og tid, og forbud mot bruk av informasjonen i senere straffesaker eller sivile saker, eller som dokumentasjon i tilsynssaker som kan gi grunnlag for reaksjoner mot enkeltpersoner, er tilstrekkelige for å verne den registrertes grunnleggende rettigheter og interesser, jf. personvernforordningen artikkel 9 nr. 2 bokstav g.

Departementet er videre enig med Den Norske Legeforening i viktigheten av at utvalget som behandlingsansvarlig selv tar ansvar for at de personopplysningene utvalget behandler, er adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for, jf. personvernforordningen artikkel 5 nr. 1 bokstav c. Det påhviler også et ansvar på avgiverorganet til å foreta en vurdering av hvilke personopplysninger som er nødvendige for utvalget, og om det er mulig å anonymisere eller avidentifisere personopplysningene før de utleveres til utvalget. Departementet går ikke inn for at det skal uttrykkelig fastsettes i loven at anonyme eller pseudonyme opplysninger skal brukes dersom det er tilstrekkelig for å dekke utvalgets informasjonsbehov, da dette følger av dataminimeringsprinsippet i personvernforordningen artikkel 5 nr. 1 bokstav c.

7.3.2 Begrensninger i retten til innsyn i egne personopplysninger

Departementet opprettholder forslaget til § 4 andre ledd, som innebærer et unntak fra den registrertes rett til innsyn i personopplysningene om vedkommende etter personvernforordningen artikkel 15, dersom det kreves en uforholdsmessig stor innsats å gi innsyn. Forholdsmessighetsvurderingen etter lovforslaget § 4 andre ledd skal være i samsvar med det som gjelder for vitenskapelige forskningsformål etter personopplysningsloven § 17, jf. Prop. 56 LS (2017–2018) side 217–218.

Som nevnt i høringsnotatet inntatt i punkt 7.1, følger det av personvernforordningen artikkel 23 nr. 1 bokstav e at nasjonal rett kan begrense rettighetene til den registrerte når en slik begrensning overholder det vesentligste innholdet i de grunnleggende rettighetene og frihetene, og er et nødvendig og forholdsmessig tiltak i et demokratisk samfunn for å sikre «viktige mål av generell allmenn interesse». Det vises videre til departementets vurderinger i høringsnotatet, hvor det blant annet trekkes frem at utvalget i utgangspunktet bare skal arbeide i to år. Departementet mener det ikke er hensiktsmessig for granskingen dersom en for stor del av utvalgets arbeidstid går med til å behandle innsynskrav, som erfaringsvis kan være mange og omfattende på adopsjonsfeltet.

Unntaket i lovforslaget § 4 andre ledd er forenlig med retten til innsyn ved at unntaket kun gjelder «dersom det vil kreve en uforholdsmessig stor innsats å gi innsyn». Dette innebærer at den registrerte fortsatt har rett til innsyn i opplysninger om vedkommende selv etter personvernforordningen artikkel 15 dersom det ikke krever en uforholdsmessig stor innsats å gi vedkommende innsyn. Departementet legger til grunn at utvalget skal foreta en konkret vurdering av om det er forholdsmessig å gi innsyn eller ikke. I dette inngår også en vurdering av nødvendighet, herunder en konkret vurdering av de ulike typene informasjon som omfattes av innsynskravet etter artikkel 15, og hvor stor del av utvalgets arbeidstid som vil gå til å behandle innsynskrav. Det er kun dersom det etter denne vurderingen fremstår uforholdsmessig å behandle innsynskravet at unntaket kan sies å være nødvendig. Det vises for øvrig til utvalgets mandat når det gjelder kravet om å sikre «viktige mål av generell allmenn interesse», jf. personvernforordningen artikkel 23 nr. 1 bokstav e.

Det finnes også andre begrensninger i retten til innsyn etter personvernforordningen artikkel 15. Det følger av personopplysningsloven § 16 første ledd bokstav d at retten ikke omfatter opplysninger som i lov eller med hjemmel i lov er underlagt taushetsplikt. Der opplysninger er taushetsbelagte av hensyn til den registrertes personvern, er ikke taushetsplikten til hinder for at den registrerte kan få innsyn i egne personopplysninger. Enkelte taushetspliktbestemmelser skal imidlertid ivareta andre hensyn enn hensynet til den registrerte, slik Kripos og Politidirektoratet viser til i sine høringsinnspill. Dette gjelder blant annet politiregisterloven § 23 annet ledd, som pålegger taushetsplikt for «opplysninger som det ut fra hensynet til etterforskningen i den enkelte sak, hensynet til spanings- og etterretningsvirksomheten eller hensynet til politiets operative virksomhet og organiseringen av denne er nødvendig å holde hemmelig». Slike opplysninger vil derfor i utgangspunktet være unntatt fra retten til innsyn etter personvernforordningen artikkel 15, uavhengig av om det vil kreve en uforholdsmessig stor innsats å gi innsyn, jf. lovforslaget § 4 annet ledd.

Slik Kripos og Politidirektoratet viser til, gir politiregisterloven § 23 annet ledd strengere regler om taushetsplikt enn det som følger av forvaltningsloven. Dersom politiet gir utvalget opplysninger som er undergitt strengere regler om taushetsplikt enn det som følger av forvaltningsloven, skal disse strengere reglene etter lovforslaget gjelde for utvalget og de som utfører arbeid eller tjeneste for utvalget, jf. lovforslaget § 3 andre ledd og punkt 6.3.1. Tilsvarende vil spørsmålet om å nekte den registrerte innsyn med hjemmel i personopplysningsloven § 16 første ledd bokstav d måtte vurderes ut fra denne strengere taushetsplikten.

Dersom utvalget mottar innsynsbegjæringer i opplysninger som er utlevert fra politiet, bør politiet kontaktes for en vurdering av om opplysningene er omfattet av unntaket. Det er imidlertid utvalget som tar den endelige beslutningen, og departementet vil ikke foreslå en plikt for utvalget til å konsultere politiet eller påtalemyndigheten i lovforslaget. Et slikt pålegg kan bli forstått som en avgrensing av innsynsretten etter personvernforordningen artikkel 15, og det kreves da hjemmelsgrunnlag i forordningen artikkel 23. Det sentrale vil i alle tilfelle være om opplysningene er av en slik karakter at det er grunn til å vurdere nærmere om det er behov og grunnlag for unntak fra innsynsretten etter personopplysningsloven §§ 16 eller 17. Det bør vurderes ut fra de konkrete opplysningene og omstendighetene ellers om en skal kontakte politiet eller påtalemyndigheten for å få innspill til dette.

Når det gjelder muligheten for den registrerte til å få overprøvd et eventuelt avslag på innsynskrav, viser departementet til at slike avslag kan påklages til Datatilsynet, som er den alminnelige klageinstansen for klager over avslag på slike innsynskrav. Departementet finner derfor ikke grunn til å fastsette dette uttrykkelig i loven her, men understreker at Datatilsynet ikke er noe overordnet forvaltningsorgan på området. Ved klager på utvalgets avgjørelser etter offentleglova, er derimot departementet klageinstans.

7.3.3 Behandlingsansvarlig etter personvernforordningen

Departementet opprettholder også lovforslaget § 4 tredje ledd om at utvalget selv vil være behandlingsansvarlig etter personvernforordningen artikkel 4 nr. 7 og at utvalget opphører å være behandlingsansvarlig når arbeidet er avsluttet. Behandlingsansvaret vil da følge personvernforordningens alminnelige regler, det vil si at behandlingsansvaret ligger hos den som «bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes», jf. art. 4 nr. 7. Som nevnt i merknadene til § 4 i høringsnotatet, vil behandlingsansvarlig etter at utvalget har avsluttet sitt arbeid være organet som overtar materialet etter at utvalget ikke lenger eksisterer, det vil si Barne- og familiedepartementet. Arkivverket er behandlingsansvarlig for arkivmateriale som avleveres til arkivdepot.

Departementet understreker, som Datatilsynet også har trukket frem, at utvalget skal som behandlingsansvarlig gjennomføre egnede tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen utføres i samsvar med forordningen, jf. personvernforordningen artikkel 24 nr. 1. Det skal da tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i. Artikkel 24 nr. 1 innebærer også en plikt til å også foreta en ny gjennomgang av tiltakene og oppdatere disse ved behov.