11 Behandling av personopplysninger for arkiv-, forsknings- og statistikkformål

11.1 Supplerende rettsgrunnlag for behandling av alminnelige personopplysninger uten samtykke

11.1.1 Gjeldende rett

Gjeldende personopplysningslov inneholder ikke et særlig behandlingsgrunnlag for behandling av alminnelige personopplysninger for arkiv-, forsknings- eller statistikkformål. Slik behandling kan skje med grunnlag i de alminnelige behandlingsgrunnlagene i personopplysningsloven § 8. For forskningsformål er det særlig aktuelt å behandle personopplysninger enten på grunnlag av samtykke eller fordi behandlingen er nødvendig for å utføre en oppgave av allmenn interesse eller for å ivareta en berettiget interesse som ikke overstiges av hensynet til registrertes personvern, jf. henholdsvis bokstav d og f. For arkiv- og statistikkformål er bokstav d om allmenn interesse et særlig aktuelt behandlingsgrunnlag. Der det foreligger en plikt til å arkivere eller føre statistikk, vil også personopplysningsloven § 8 bokstav b om rettslig forpliktelse være aktuell. Behandlingen kan i noen utstrekning også ha grunnlag i annen lovgivning, for eksempel arkivlova, statistikkloven eller helseforskningsloven.

Personopplysningsloven § 11 annet ledd åpner for viderebehandling av personopplysninger for historiske, statistiske eller vitenskapelige formål. Slik behandling anses ikke uforenlig med de opprinnelige formålene med innsamlingen av opplysningene dersom samfunnets interesse i at behandlingen finner sted, klart overstiger ulempene for den enkelte.

11.1.2 Forordningen

Heller ikke forordningen oppstiller et særlig behandlingsgrunnlag for arkiv-, forsknings- eller statistikkformål. Slik behandling må forankres i et av de alminnelige behandlingsgrunnlagene i artikkel 6 nr. 1. Som beskrevet i punkt 6.3 viderefører artikkel 6 nr. 1 de alminnelige behandlingsgrunnlagene i dagens personopplysningslov, herunder samtykke (bokstav a), rettslig forpliktelse (bokstav c), allmenn interesse (bokstav e) og en interesseavveining (bokstav f).

Når det gjelder samtykke til behandling for forskningsformål, følger det av fortalepunkt 33 at den registrerte kan gi et bredt samtykke, det vil si å «gi sitt samtykke til visse områder innen vitenskapelig forskning når dette er i samsvar med anerkjente etiske standarder for vitenskapelig forskning». Så langt formålet tillater det, bør imidlertid den registrerte ha mulighet til å «gi sitt samtykke bare til visse forskningsområder eller deler av forskningsprosjekter».

Ved behandling for arkiv-, forsknings- eller statistikkformål på grunnlag av artikkel 6 nr. 1 bokstav e er det på vanlig måte nødvendig med et supplerende rettsgrunnlag, jf. artikkel 6 nr. 3, som er nærmere beskrevet i punkt 6.3.2.

På samme måte som gjeldende lov åpner forordningen for viderebehandling for arkiv-, forsknings- og statistikkformål. Etter artikkel 5 nr. 1 bokstav b skal viderebehandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål ikke anses som uforenlig med de opprinnelige formålene med innsamlingen, forutsatt at behandlingen skjer i samsvar med artikkel 89 nr. 1. Det følger av fortalepunkt 50 at det ved viderebehandling for forenlige formål ikke er nødvendig med et nytt behandlingsgrunnlag i tillegg til det som ligger til grunn for innsamlingen av opplysningene. Forutsetningen må være at det er tale om den samme behandlingsansvarlige. Så lenge behandlingen skjer i samsvar med artikkel 89 nr. 1, kan den behandlingsansvarlige altså viderebehandle personopplysningene for arkiv-, forsknings- og statistikkformål uten at det er nødvendig med et eget behandlingsgrunnlag for viderebehandlingen. Dersom viderebehandlingen består i at opplysninger utleveres til andre behandlingsansvarlige, må imidlertid den behandlingsansvarlige som mottar personopplysningene, kunne påvise et eget behandlingsgrunnlag.

Etter forordningen artikkel 89 nr. 1 skal behandling for arkiv-, forsknings- og statistikkformål «omfattes av nødvendige garantier i samsvar med denne forordning for å sikre den registrertes rettigheter og friheter». Det følger videre at disse garantiene «skal sikre at det er innført tekniske og organisatoriske tiltak for særlig å sikre at prinsippet om dataminimering overholdes». Videre følger det at tiltakene «kan omfatte pseudonymisering, forutsatt at nevnte formål kan oppfylles på denne måten», og endelig at dersom formålene «kan oppfylles ved viderebehandling som ikke gjør det mulig eller ikke lenger gjør det mulig å identifisere de registrerte, skal formålene oppfylles på denne måten».

Forordningen åpner for at det i nasjonal rett kan fastsettes nødvendige garantier for behandling for arkiv-, forsknings- og statistikkformål, jf. fortalepunkt 156. Forordningen skiller ikke på dette punktet mellom behandlingsgrunnlagene. Det er altså samme adgang til å fastsette garantier for behandlinger som skjer på grunnlag av samtykke eller en berettiget interesse, jf. artikkel 6 nr. 1 bokstav a og f, som for behandlinger som skjer på grunnlag av en rettslig forpliktelse eller allmenn interesse, jf. artikkel 6 nr. 1 bokstav c og e. Når behandlingsgrunnlaget er artikkel 6 nr. 1 bokstav c og e, gir også artikkel 6 nr. 2 og 3 på vanlig måte grunnlag for å fastsette nasjonale utfyllende regler, jf. punkt 6.5.

11.1.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet ingen supplerende rettsgrunnlag for behandling for arkiv-, forsknings- og statistikkformål på grunnlag av forordningen artikkel 6 nr. 1 bokstav e. Det ble imidlertid bedt om høringsinstansenes syn på om det er behov for en lovregulering som kan utgjøre behandlingsgrunnlag for private forskningsinstitusjoner.

11.1.4 Høringsinstansenes syn

Alle høringsinstansene som uttaler seg om spørsmålet, mener at det er behov for en lovregulering som gir supplerende rettsgrunnlag for forskning på alminnelige opplysninger. Dette er Helse- og omsorgsdepartementet, Kunnskapsdepartementet, Datatilsynet, Folkehelseinstituttet, Administrasjonen i De nasjonale forskningsetiske komiteene, Den nasjonale forskningsetiske komité for samfunnsvitenskap og humaniora, Norsk senter for forskningsdata, Forskningsinstituttenes Fellesarena, Universitets- og høgskolerådet, Universitetet i Bergen, Norges teknisk-naturvitenskapelige universitet, Den norske legeforening og Brækhus Advokatfirma DA. Kunnskapsdepartementet uttaler:

«Kunnskapsdepartementet mener derfor at en lovbestemmelse som skissert av JD i høringsnotatet pkt. 7.1.3. er nødvendig for å sikre at all forskning, og da også forskning i privat regi og offentlige forskningsinstitusjoner som ikke er opprettet med hjemmel i lov, har et lovlig grunnlag for å behandle personopplysninger, også der det ikke foreligger samtykke».

Norges idrettshøgskole og Norsk senter for forskningsdata mener at det er behov for en generell bestemmelse om sammenstilling og utlevering av opplysninger til forskning. Norsk senter for forskningsdata uttaler:

«For å sikre forskningen bedre tilgang til data, mener NSD det er viktig å få inn en generell bestemmelse i den nye personopplysningsloven som gir adgang til sammenstilling og utlevering av personopplysninger til forskingsformål. En slik bestemmelse vil legge føringer for en bedre og likere utforming av særlovgivningen. Det vil gi entydig signal til alle som forvalter særlovgivningen og viktige registre som forskningen trenger tilgang til, om at det er lov å utlevere data til forskning også i personidentifiserbar form når det er nødvendig for forskningsformålet.»

Få høringsinstanser har uttalt seg om innholdet i eller plasseringen av regler som gir supplerende rettsgrunnlag for forskning. Datatilsynet mener at reglene bør finnes i særlovgivning:

«Datatilsynet mener videre at det ikke er hensiktsmessig at det gis en hjemmel som gjelder et såpass avgrenset område i den generelle personopplysningsloven. Personopplysningloven bør heller gi føringer for hva en slik hjemmel bør inneholde, og overlate til særlovgivningen å gi relevante hjemler for å oppfylle forutsetningene i forordningen.»

Når det gjelder behandling for arkivformål, uttaler Kunnskapsdepartementet og Norsk senter for forskningsdata at det kan være behov for rettsgrunnlag for arkivering av forskningsdata. Norsk senter for forskningsdata uttaler:

«For at NSD og andre arkiver som lagrer og formidler data til forskningsformål skal kunne fortsette med dette, er det viktig at loven gir tydelig adgang til å behandle persondata til arkivformål i allmennhetens interesse. Arkivloven gir i dag adgang til arkivering. Men forholdet mellom arkivplikten etter arkivloven og sletteplikten etter personopplysningsloven kan være uklar. Dette kan føre til tolkningstvil om forskningsarkivenes adgang til å arkivere persondata til forskningsformål uten samtykke. Den beste måten å sikre behandlingsgrunnlag for forskningsdataarkiv som ikke omfattes av bestemmelsene i arkivloven er etter vår vurdering å innføre en uttrykkelig lovbestemmelse i ny personopplysningslov som supplerer forordningen. En slik hjemmel vil utgjøre en viktig garanti for fremtidig forskning på eksisterende data.»

11.1.5 Departementets vurdering

11.1.5.1 Supplerende rettsgrunnlag for behandling for arkiv-, forsknings- og statistikkformål uten samtykke

Departementet er enig med høringsinstansene i at det bør fastsettes et supplerende rettsgrunnlag som åpner for behandling av personopplysninger for forskningsformål i allmennhetens interesse, jf. forordningen artikkel 6 nr. 1 bokstav e, se lovforslaget § 8. Etter departementets syn bør en slik bestemmelse gjelde generelt og ikke sondre mellom hvordan forskningen er finansiert eller organisert. Bestemmelsen er ment å videreføre den generelle adgangen etter gjeldende rett til å behandle personopplysninger for forskningsformål for å utføre en oppgave av allmenn interesse.

Departementet mener videre at et slikt supplerende rettsgrunnlag også bør gjelde behandling for arkiv- og statistikkformål. Også for disse formålene bør den alminnelige adgangen til å behandle personopplysninger for å utføre en oppgave av allmenn interesse videreføres. Det vises særlig til de behandlingene som ikke omfattes av arkivlova eller statistikkloven. Videre er det en nær sammenheng mellom behandling for forskningsformål og arkiv- og statistikkformål. Disse formålene er i stor grad regulert samlet i forordningen, jf. særlig reglene om viderebehandling for slike formål, jf. artikkel 5 nr. 1 bokstav b, samt artikkel 89 nr. 1.

Bestemmelsen bør etter departementets syn være begrenset til å gi generelt supplerende rettsgrunnlag for behandling for arkiv-, forsknings- og statistikkformål på grunnlag av artikkel 6 nr. 1 bokstav e, jf. artikkel 6 nr. 3. Det vil si at bestemmelsen ikke bør gi noen uttømmende regulering av adgangen til behandling av personopplysninger for disse formålene eller på annen måte begrense adgangen til behandling på andre grunnlag. I stedet bør bestemmelsen gjelde ved siden av øvrige bestemmelser som åpner for behandling. Bestemmelsen bør derfor ikke berøre adgangen til å behandle personopplysninger på grunnlag av de andre behandlingsgrunnlagene i artikkel 6 nr. 1, for eksempel samtykke etter bokstav a eller en interesseavveining etter bokstav f. Videre bør det uavhengig av en slik bestemmelse være adgang til behandling på grunnlag av artikkel 6 nr. 1 bokstav e og et annet supplerende rettsgrunnlag, for eksempel arkivlova.

Etter departementets syn bør bestemmelser som gir supplerende rettsgrunnlag, så langt som mulig spesifisere hvilke formål personopplysningene kan behandles for. Når det gjelder arkiv-, forsknings- og statistikkformål, er det imidlertid etter departementets oppfatning verken nødvendig eller hensiktsmessig å forsøke å angi mer spesifikke behandlingsformål innenfor de overordnede formålene arkiv, forskning og statistikk. I stedet bør formålsangivelsen svare til det som anses som «arkivformål i allmennhetens interesse», «formål knyttet til vitenskapelig eller historisk forskning» og «statistiske formål» i forordningens forstand, jf. artikkel 5 nr. 1 bokstav b og fortalepunkt 158 til 160 og 162. Departementet kan ikke se at forordningen stiller krav om ytterligere spesifisering av disse formålene i nasjonal rett. Det må anses tilstrekkelig at formålene angis like spesifikt som i artikkel 5 nr. 1 bokstav b, som også åpner for viderebehandling for disse formålene uten at det er nødvendig med et eget grunnlag for viderebehandlingen, jf. artikkel 6 nr. 4 og fortalepunkt 51.

Det er etter departements syn vesentlig å sikre at behandlingen omfattes av nødvendige garantier og tiltak for å sikre at behandlingen er i tråd med forordningens krav, og for øvrig at den registrertes personvern ivaretas. At behandling for arkiv-, forsknings- og statistikkformål skal være omfattet av nødvendige garantier, følger direkte av artikkel 89 nr. 1. Det følger av denne bestemmelsen at behandlingen skal «omfattes av nødvendige garantier i samsvar med denne forordning for å sikre den registrertes rettigheter og friheter». Etter departementets syn må denne bestemmelsen forstås slik at den retter seg direkte mot den behandlingsansvarlige, ikke mot nasjonale myndigheter. Bestemmelsen gir ikke anvisning på at garantiene skal fastsettes i medlemsstatenes nasjonale rett. Forordningen er likevel ikke til hinder for at det fastsettes nærmere garantier i nasjonal rett, jf. fortalepunkt 156.

Etter departementets syn bør det av pedagogiske grunner fastsettes at behandlingen må være omfattet av nødvendige garantier i samsvar med artikkel 89 nr. 1. Det er ikke hensiktsmessig å forsøke å spesifisere disse garantiene nærmere.

11.1.5.2 Særlig om sammenstilling og utlevering av personopplysninger til arkiv-, forsknings- og statistikkformål

Departementet har merket seg synspunktene til Norges idrettshøgskole og Norsk senter for forskningsdata om behov for en generell bestemmelse om sammenstilling og utlevering av personopplysninger til forskning. Departementet viser i denne forbindelse til omtalen av artikkel 5 nr. 1 bokstav b og fortalepunkt 50 i punkt 11.2.2 over. Det følger av artikkel 5 nr. 1 bokstav b at viderebehandling av personopplysninger for arkiv-, forsknings- eller statistikkformål i samsvar med artikkel 89 nr. 1 skal anses som forenlig med innsamlingsformålet. Videre følger det av fortalepunkt 50 at den behandlingsansvarlige ikke trenger et nytt rettslig grunnlag for å viderebehandle personopplysninger for forenlige formål.

Sammenstilling og utlevering av personopplysninger til en annen behandlingsansvarlig som skal benytte personopplysningene til arkiv-, forsknings- eller statistikkformål, må etter artikkel 5 nr. 1 bokstav b anses som forenlig viderebehandling. Den behandlingsansvarlige som utleverer personopplysningene, trenger dermed ikke et særskilt behandlingsgrunnlag for utleveringen. Det er derfor etter departementets syn ikke nødvendig å utforme en generell bestemmelse som gir supplerende rettsgrunnlag for sammenstilling og utlevering etter artikkel 6 nr. 1 bokstav e, jf. nr. 3. Det understrekes at den behandlingsansvarlige må sørge for at sammenstillingen og utleveringen er omfattet av nødvendige garantier i tråd artikkel 89 nr. 1, jf. også artikkel 5 nr. 1 bokstav b, og at det på vanlig måte ikke er adgang til å utlevere flere personopplysninger enn det som er nødvendig for formålet. Det understrekes også at den behandlingsansvarlige som mottar personopplysningene som utleveres, må påvise et behandlingsgrunnlag etter artikkel 6 nr. 1. Forslaget til § 8 vil kunne gi supplerende rettsgrunnlag i den forbindelse, jf. punkt 11.1.5.1 over.

Dersom utlevering vil utgjøre et inngrep i retten til privatliv etter Grunnloven § 102 og EMK artikkel 8, må det på vanlig måte vurderes om det er nødvendig med mer spesifikke lov- eller forskriftsbestemmelser og/eller garantier for å oppfylle Grunnlovens og EMKs krav om rettsgrunnlag for inngrep, jf. punkt 6.4. Slike mer spesifikke lov- eller forskriftsbestemmelser bør etter departementets syn fastsettes i særlovgivningen, og ikke i den generelle personopplysningsloven.

Departementet understreker endelig at taushetsplikt kan være til hinder for utlevering. I så fall er det nødvendig med et unntak fra taushetsplikten, for eksempel vedtak om utlevering til forskning etter forvaltningsloven § 13 d.

11.2 Behandling av særlige kategorier av personopplysninger uten samtykke

11.2.1 Gjeldende rett

Personopplysningsloven § 9 første ledd bokstav h åpner for behandling av sensitive personopplysninger når «behandlingen er nødvendig for historiske, statistiske eller vitenskapelige formål, og samfunnets interesse i at behandlingen finner sted klart overstiger ulempene den kan medføre for den enkelte».

Behandlingen krever som hovedregel konsesjon fra Datatilsynet, jf. personopplysningsloven § 33 første ledd. I personopplysningsforskriften § 7-27 første ledd er det imidlertid gjort unntak fra konsesjonsplikten for forskningsprosjekter som er tilrådd av personvernombud, samt tilrådd av regional forskningsetisk komité der det gjelder medisinsk og helsefaglig forskning. Unntaket gjelder ikke forskningsprosjekter av «stort omfang og lang varighet» eller forskning på «store datasett som ikke er pseudonymisert eller avidentifisert på annen sikker måte», samt frafallsanalyser som ikke er basert på samtykke, jf. forskriften § 7-27 annet ledd.

Behandling av sensitive personopplysninger for arkiv-, forsknings- og statistikkformål uten samtykke kan i tillegg skje i medhold av særlovgivningen, herunder arkivlova, statistikkloven, helseforskningsloven og helseregisterloven med forskrifter.

11.2.2 Forordningen

Forordningen artikkel 9 nr. 2 bokstav j åpner for at særlige kategorier av personopplysninger kan behandles når det er «nødvendig for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål». Behandlingen må skje «i samsvar med artikkel 89 nr. 1» og «på grunnlag av unionsretten eller medlemsstatenes nasjonale rett som skal stå i et rimelig forhold til det mål som søkes oppnådd, være forenlig med det grunnleggende innholdet i retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser». Bestemmelsen åpner for at det i nasjonal rett kan gjøres unntak fra forbudet i artikkel 9 nr. 1 for behandling for arkiv-, forsknings- og statistikkformål. Det vises til punkt 7.1.3 for generell omtale av kravet til nasjonale bestemmelser og om egnede og særlige tiltak.

Etter forordningen artikkel 10 kan «personopplysninger om straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak» bare behandles «under en offentlig myndighets kontroll eller dersom behandlingen er tillatt i henhold til unionsretten eller medlemsstatenes nasjonale rett som sikrer nødvendige garantier for de registrertes rettigheter og friheter», jf. kapittel 8 om denne bestemmelsen.

11.2.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet en generell lovbestemmelse om behandling av særlige kategorier av personopplysninger for arkiv-, forsknings- og statistikkformål uten samtykke, jf. forordningen artikkel 9 nr. 2 bokstav j, med utgangspunkt i at det ikke i tilstrekkelig grad finnes særlovgivning som åpner for behandlingen:

«I de tilfellene særlovgivningen åpner for behandling av sensitive personopplysninger for arkiv-, forsknings- eller statistikkformål, og rettsgrunnlaget tilfredsstiller kravene i artikkel 9 nr. 2 bokstav j, vil det være adgang til behandling med grunnlag i den aktuelle særloven. Behandling av opplysninger til disse formålene er i noen grad regulert i eksisterende særlovgivning, se særlig arkivlova med forskrifter, statistikkloven med forskrifter, helseforskningsloven og helseregisterloven med forskrifter. Forskning på andre sensitive opplysninger enn helseopplysninger og behandling av opplysninger i private arkiver er imidlertid i liten grad lovregulert. Etter departementets syn er det på denne bakgrunn nødvendig med en generell lovbestemmelse som åpner for behandling av sensitive opplysninger for arkiv-, forsknings- og statistikkformål uten samtykke.»

Departementet foreslo å videreføre adgangen til å behandle særlige kategorier av personopplysninger for disse formålene når samfunnets interesse i at behandlingen finner sted, klart overstiger ulempene for den enkelte. I tillegg foreslo departementet visse ytterligere vilkår i lys av kravet om proporsjonalitet og egnede særlige tiltak i forordningen artikkel 9 nr. 2 bokstav j.

Det ble i høringsnotatet tatt utgangspunkt i at det som hovedregel bør innhentes samtykke til behandling av særlige kategorier av opplysninger når behandlingen ikke er regulert i særlov. Departementet foreslo derfor at en generell lovbestemmelse som åpner for behandling av særlige kategorier av personopplysninger for arkiv-, forsknings- og statistikkformål, bør sette som vilkår at innhenting av samtykke etter forordningen artikkel 9 nr. 2 bokstav a er umulig eller uforholdsmessig vanskelig.

Videre foreslo departementet at det burde være et vilkår at den behandlingsansvarlige setter i verk egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser. Departementet uttalte at et slikt vilkår dels ville overlappe med det generelle kravet om «nødvendige garantier» i artikkel 89 nr. 1, men at det også kunne innebære strengere krav.

Endelig mente departementet at det burde settes vilkår om at den behandlingsansvarlige har utpekt personvernombud og at personvernombudet har tilrådd behandlingen. Det ble vist til at behandlingen ikke lenger vil være underlagt konsesjonsplikt. Departementet pekte på at et slikt vilkår vil bidra til å sikre at vilkårene for behandling er oppfylt, at behandlingen omfattes av «nødvendige garantier» etter artikkel 89 nr. 1, og at det sikres egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser. Det ble foreslått at kravet om tilråding også skulle gjelde for forskningsprosjekter som behandler særlige kategorier av personopplysninger i medhold av den registrertes samtykke etter forordningen artikkel 9 nr. 2 bokstav a.

11.2.4 Høringsinstansenes syn

Alle høringsinstansene som uttaler seg om spørsmålet, mener at det bør gis lovregler som åpner for behandling av særlige kategorier av personopplysninger til arkiv-, forsknings- og statistikkformål uten samtykke.

Få høringsinstanser har uttalt seg om forslaget om å videreføre vilkåret om at samfunnets interesse i at behandlingen finner sted, klart må overstige ulempene for den enkelte. Helse Stavanger HF støtter det foreslåtte vilkåret. Norsk senter for forskningsdata uttaler at vilkåret også gjelder i dag, og at det ikke vil endre forskningens vilkår i nevneverdig grad. Datatilsynet mener at vilkåret har liten tilleggsverdi ved siden av forordningens regler:

«Vi mener også at kravet om interesseovervekt i bokstav b gir liten garanti. Ansvaret for å gjøre disse vurderingene overlates til den databehandlingsansvarlige, som selvsagt har en stor egeninteresse i å gjennomføre sin behandling. Den vurderingen som bokstav b pålegger ansvarlige å gjøre, følger i stor grad av de øvrige kravene i forordningen, blant annet gjennom prinsippene i artikkel 5 og i unntaket fra forbudet i artikkel 9 j. Det har derfor liten tilleggsverdi å presisere plikten til å gjøre en slik avveining i bokstav b.»

De høringsinstansene som uttaler seg om det foreslåtte vilkåret om at innhenting av samtykke må være umulig eller uforholdsmessig vanskelig, er kritiske til forslaget. Administrasjonen i De nasjonale forskningsetiske komiteene mener at forslaget, i strid med forordningens system, gjør samtykke til hovedregel:

«Administrasjonen i De nasjonale forskningsetiske komiteene mener departementets forslag bryter med forordningen artikkel 9 nr. 2 bokstav j som et selvstendig behandlingsgrunnlag på linje med samtykke etter bokstav a. Det norske forslaget gjør samtykke til hovedregel, og begrenser bokstav j i forordningen som et selvstendig behandlingsgrunnlag.»

Også Norsk senter for forskningsdata peker på at forordningen ikke gjør samtykke til hovedregelen, og uttaler at det ikke må være en for høy terskel for forskning uten samtykke:

«NSD bemerker at ordlyden i forslagets § 6 første ledd bokstav a) gir samtykke forrang foran de andre behandlingsgrunnlagene. Vi kan ikke se at forordningen art. 6 og art. 9 legger opp til en så tydelig rangering, og oppfatter det derfor som et noe strengere krav (begrensning) departementet foreslår skal gjelde ved behandling av sensitive personopplysninger til arkiv-/ forskningsformål. Kravet om at samtykke skal vurderes først gjelder også i dag. Det innebærer at behandlingsansvarlig alltid må begrunne hvorfor samtykke ikke kan innhentes, der dette er umulig eller uforholdsmessig vanskelig. Vår erfaring er at dette vanligvis ikke skaper store problemer for forskningen. Når forsker er i direkte kontakt med utvalget (som ved intervju- og spørreundersøkelser), er det naturlig å innhente samtykke. Når forsker ikke er i kontakt (som ved registerstudier, dokumentanalyser og noen former for observasjonsstudier), er det ofte ikke så vanskelig å argumentere for at forskningen ikke kan baseres på samtykke. Grunnene er gjerne at utvalget er stort, forsker mangler kontaktopplysninger eller er ikke i direkte kontakt etc. Det er imidlertid viktig at det ikke utvikler seg en praksis hvor det blir for høy terskel for å definere innhentingen av samtykke som «uforholdsmessig vanskelig». NSD vil anbefale at Norge her legger seg på samme linje som andre land.»

Flere høringsinstanser uttaler at et krav om samtykke kan være til hinder for viktig forskning. Disse er Administrasjonen i De nasjonale forskningsetiske komiteene, Den nasjonale forskningsetiske komité for samfunnsvitenskap og humaniora, Den norske historiske forening og Norges teknisk-naturvitenskapelige universitet. Administrasjonen i De nasjonale forskningsetiske komiteene uttaler:

«Det er ikke alltid praktisk mulig eller etisk forsvarlig å innhente samtykke til forskning. Dette gjelder særlig ved kritisk samfunnsforskning, som for eksempel forskning på voldelige relasjoner, korrupsjon, kriminelle nettverk og ekstremisme. Denne typen forskning krever egne forskningsmetoder, for eksempel at forskeren går «under cover». Forslaget til § 6 i loven kan føre til at norske forskere ikke kan bruke anerkjente vitenskapelig metoder innenfor sitt fagområde, som igjen vil gå ut over kvaliteten på forskningen. I mange tilfeller vil det ikke være mulig å gjennomføre forskningen hvis det er krav om samtykke. Det norske samfunnet risikerer dermed å miste kunnskap om viktige og vanskelige temaer.»

Også Den nasjonale forskningsetiske komité for samfunnsvitenskap og humaniora peker på at forskning med samtykke i noen tilfeller kan ha større forskningsetiske implikasjoner enn forskning med samtykke.

Datatilsynet mener at det foreslåtte vilkåret om at innhenting av samtykke må være umulig eller uforholdsmessig vanskelig, i liten grad vil fungere som en garanti for personvernet:

«Vi kan ikke se at bokstav a innebærer en særlig garanti, da den ikke gjør annet enn å beskrive en situasjon hvor det er nødvendig å ha et annet hjemmelsgrunnlag. Den legger til en viss grad opp til at man må foreta en vurdering av om innhenting av samtykke er umulig eller uforholdsmessig vanskelig, og det kan synes som om man mener at det som en hovedregel skal innhentes samtykke. Innen forskningsformål vil det svært ofte vil være umulig eller i alle fall uforholdsmessig vanskelig å innhente samtykke. Dette gjelder særlig når datagrunnlaget omfatter mange registrerte. Det er i tillegg et klart påtrykk fra sentrale myndigheter om at det i større grad skal tas i bruk reservasjonsrett fremfor samtykke i medisinske kvalitetsregistre. Bestemmelsens bokstav a gir etter Datatilsynets oppfatning derfor liten anvisning på tiltak som kan fungere som garantier for at personvernet ivaretas.»

Få høringsinstanser uttaler seg om det foreslåtte vilkåret om at den behandlingsansvarlige må sette i verk egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser. Norsk senter for forskningsdata uttaler at vilkåret også gjelder i dag, og at det ikke vil endre forskningens vilkår i særlig grad. Datatilsynet mener at vilkåret gir liten tilleggsverdi:

«Lovforslagets § 6 bokstav c er i all hovedsak en kopi av teksten i forordningen. Departementet viser til at «et slikt vilkår vil delvis overlappe det generelle kravet om «nødvendige garantier» i artikkel 89 nr. 1, men kan også innebære strengere krav der dette er påkrevd i lys av opplysningenes sensitiv». Slike krav til garantier må konkretiseres gjennom nasjonal lovgivning og at det således ikke er riktig å si at de overlapper det som følger av forordningen. Dette er også lagt til grunn i den danske utredningen. Helt konkret mener vi at kravene i artikkel 89 om garantier må spesifiseres i nasjonal rett, herunder kravet til å vurdere anonymisering og pseudonymisering. Bokstav c gir derfor liten tilleggsverdi, og kan ikke sies å være en garanti for ivaretakelse av forskningsdeltakeres personvern.»

Datatilsynet uttaler videre:

«Det vil i tillegg være en svært vanskelig oppgave for Datatilsynet å kontrollere etterlevelse av artikkel 89, utover at de formelle beslutningsprosessene er fulgt.»

Høringsinstansene er delt i synet på om behandlingen bør være betinget av at det er utpekt personvernombud og at personvernombudet tilråder behandlingen. Administrasjonen i De nasjonale forskningsetiske komiteene, Norsk senter for forskningsdata, Helse Bergen HF, Helse Stavanger HF, Forskningsinstituttenes Fellesarena, Den norske legeforening og Kulturrådet støtter forslaget i høringsnotatet. Norsk senter for forskningsdata uttaler:

«Vi mener det er fornuftig med vilkår om tilrådning fra personvernombud, enten behandlingen av sensitive opplysninger baseres på samtykke eller ikke. Vår erfaring er at forskere ofte har behov for forhåndsveiledning for å sikre at man ikke trår feil i forhold til regelverket, f. eks. når det gjelder hvorvidt man behandler personopplysninger, hva som må til for at samtykke skal være gyldig, hva informasjonen til de registrerte bør inneholde, og hvilke sikkerhetstiltak man bør sette inn. Forhåndsveiledningen bidrar i mange tilfeller ikke bare til bedre personvern, men også til bedre vilkår for forskningen.»

De høringsinstansene som mener at det bør gjelde et krav om tilråding, og som uttaler seg om hvorvidt dette også bør gjelde for samtykkebasert forskning, mener at kravet også bør gjelde slik forskning. Disse er Administrasjonen i De nasjonale forskningsetiske komiteene, Norsk senter for forskningsdata, Forskningsinstituttenes Fellesarena og Den norske legeforening. Den norske legeforening uttaler:

«Vi støtter også forslaget om at tilrådning fra personvernrådgiver både skal gjelde hvor forskningen baserer seg på samtykke, og hvor forskningen baserer seg på den særskilte hjemmelen som er foreslått, da vi opplever at dette ivaretar personvernet på en god måte.»

Datatilsynet, Statens sivilrettsforvaltning, Folkehelseinstituttet, Finans Norge og Juristforbundet går imot vilkåret om tilråding fra personvernombud. Datatilsynet, Folkehelseinstituttet og Juristforbundet uttaler at et krav om tilråding er uheldig i lys av personvernombudets uavhengige stilling. Juristforbundet uttaler:

«Kravet til tilrådning fra personvernombud/personvernrådgiver fremstår etter Juristforbundets vurdering som uheldig, da dette vil sette vedkommende i en ikke ønskelig situasjon overfor den behandlingsansvarlige og kan rokke ved ombudets/rådgivers uavhengighet. Juristforbundet foreslår derfor at formuleringen endres slik at det i stedet fremgår at vurderingen skal forelegges vedkommende til uttalelse.»

Datatilsynet mener at vilkåret innebærer en utvidelse av plikten til å ha personvernombud, og at det vil skje en utvidelse av personvernombudets plikter i strid med forordningen. Datatilsynet mener også at interne personvernombud ikke nødvendigvis har de nødvendige kvalifikasjonene for å foreta vurderinger av forskningsprosjekter:

«En tilråding for gjennomføringen av et forskningsprosjekt vil kreve en rekke andre kvalifikasjoner av en personvernrådgiver, i tillegg til at oppgavene vil bli betydelig flere for de rådgiverne som er tilknyttet virksomheter som driver med forskning og annen sekundærbruk av data.

[… ]

Datatilsynet mener det er en risiko for at forslaget i § 6 legger opp til en løsning som i praksis vil bli vanskelig å gjennomføre for virksomhetsinterne personvernrådgivere, særlig i kombinasjon med andre oppgaver som de også forventes å gjøre. Dette kan medføre at virksomheter som driver med forskning vil bli nødt til å tilknytte seg eksterne som gjennomfører disse oppgavene for seg. Dette kan igjen føre til at forordningens intensjon om å bygge ned byråkratiet og ordninger med forhåndsgodkjenning undergraves.»

Også Folkehelseinstituttet uttaler at et vilkår om tilråding fører til en utvidelse av personvernombudets oppgaver, og at vurderinger av forskningsprosjekter vil kreve særlige kvalifikasjoner. Folkehelseinstituttet mener også at kravet er overflødig ved siden av plikten til å vurdere personvernkonsekvenser:

«Folkehelseinstituttet peker videre på at de behandlingsaktiviteter departementet her foreslår skal forutsette tilrådning fra personvernrådgiveren, antas å ville omfattes av kravet til vurdering av personvernkonsekvenser i forordningen artikkel 35. Det følger av artikkel 35 nr. 2 at den behandlingsansvarlige skal rådføre seg med personvernrådgiveren i forbindelse med vurdering av personvernkonsekvenser, og Folkehelseinstituttet er usikker på om det derfor er behov for et slikt tilleggskrav om tilrådning.»

Både Datatilsynet og Folkehelseinstituttet uttaler videre at det er behov for å regulere nærmere hva som skal inngå i personvernombudets vurdering.

Forskerforbundet mener at det for mange arkivinstitusjoner vil være uforholdsmessig å utpeke personvernombud, og at det bør være et alternativ til tilråding at den behandlingsansvarlige er tilsluttet og etterlever en bransjenorm. Næringslivets Hovedorganisasjon uttaler at et krav om personvernombud for forskningsformål bør være knyttet til den relevante behandlingen, og ikke nødvendigvis resten av den behandlingsansvarliges virksomhet.

Datatilsynet, Folkehelseinstituttet, Oslo universitetssykehus HF og Helse Bergen HF peker på at det er behov for å avklare forholdet mellom personvernombudets tilråding og helseforskningslovens krav om forhåndsgodkjenning fra regional komité for medisinsk og helsefaglig forskningsetikk (REK). Administrasjonen i De nasjonale forskningsetiske komiteene mener at det ikke bør gjelde et krav om godkjenning både fra REK og personvernombudet.

Når det gjelder utformingen av bestemmelsen, mener Næringslivets Hovedorganisasjon at den foreslåtte lovbestemmelsen er for skjønnsmessig. Datatilsynet mener at den foreslåtte bestemmelsen er for vidt formulert:

«Datatilsynet mener at det foreslåtte bestemmelsen i § 6 er for vidt formulert og at det er grunn til å tro at den ikke oppfyller kravene til klarhet i hjemmelsgrunnlaget som følger av lovlighetsprinsippet og forordningens artikkel 6 nr. 1 bokstav e og artikkel 6 nr. 3, samt kravene til garantier i artikkel 89. Når garantien forhåndsgodkjenning (krav om konsesjon) nå bortfaller, blir behovet for en klar lovhjemmel enda sterkere.»

Datatilsynet uttaler videre at det bør sondres mellom de ulike formålene som artikkel 89 omfatter.

11.2.5 Departementets vurdering

11.2.5.1 Behov for en generell bestemmelse om behandling for arkiv-, forsknings- og statistikkformål uten samtykke

Etter departementets syn bør regler om behandling av særlige kategorier av personopplysninger for arkiv-, forsknings- og statistikkformål uten samtykke fortrinnsvis være regulert i særlovgivning og ikke i den generelle personopplysningsloven. I dag er imidlertid slik behandling bare i noen grad regulert i særlovgivning. Departementet foreslår derfor at det gis en bestemmelse i den generelle personopplysningsloven som åpner for slik behandling, og som vil kunne tillate behandlingen i den utstrekning ikke annet er bestemt i særlovgivningen, jf. lovforslaget § 9.

11.2.5.2 Grunnvilkårene for behandlingen

Etter departementets syn bør det fortsatt være et vilkår for behandlingen at samfunnets interesse i at behandlingen finner sted, klart overstiger ulempene for den enkelte. Vilkåret bør etter departementets oppfatning gjelde for både arkiv-, forsknings- og statistikkformål. Departementet er enig med Datatilsynet i at mange av momentene som inngår i en slik vurdering, i stor grad også inngår i vurderingene av de grunnleggende prinsippene i forordningen artikkel 5. Departementet er imidlertid ikke enig med Datatilsynet i at det samme vilkåret kan utledes av artikkel 9 nr. 2 bokstav j. I noen grad kan nok vurderingen overlappe med den vurderingen den behandlingsansvarlige må gjøre av om behandlingen er «nødvendig» etter artikkel 9 nr. 2 bokstav j. Forordningen overlater imidlertid til nasjonal rett å tillate behandling ved nasjonale bestemmelser «som skal stå i et rimelig forhold til det mål som søkes oppnådd». Et krav om klar interesseovervekt bidrar etter departementets syn til å sikre en slik proporsjonalitet. Vilkåret har også nær sammenheng med plikten til å sørge for garantier for den registrertes rettigheter og friheter, jf. under, som nettopp tar sikte på å begrense personvernulempene for den registrerte. Vurderingen må foretas av den behandlingsansvarlige, men Datatilsynet kan kontrollere den behandlingsansvarliges vurdering.

Departementet er enig med Administrasjonen i De nasjonale forskningsetiske komiteene og Norsk senter for forskningsdata i at samtykke ikke er noen hovedregel etter forordningen eller på annen måte har forrang etter forordningens system. På bakgrunn av høringen foreslår departementet ikke at bestemmelsen skal ta utgangspunkt i en hovedregel om samtykke, og departementet går ikke inn for et vilkår om at innhenting av samtykke må være umulig eller uforholdsmessig vanskelig. Ved vurderingen av om samfunnets interesse klart overstiger ulempene for den enkelte, må det imidlertid legges vekt på at behandlingen skjer uten den registrertes samtykke.

Departementet har merket seg Datatilsynets synspunkt om at den foreslåtte bestemmelsen i høringsnotatet er for vidt formulert, og at det etter tilsynets vurdering er grunn til å tro at en slik bestemmelse ikke vil oppfylle forordningens krav til nasjonale bestemmelser. Etter departementets vurdering er det på dette området vanskelig å komme utenom at lovreglene i betydelig grad må være skjønnsmessige. For eksempel kan departementet ikke se at det bør gis lovregler om hvilke mer spesifikke formål innenfor arkiv, forskning og statistikk det er tillatt å behandle opplysningene for, hvilke typer særlige kategorier av personopplysninger som kan behandles i forskjellige typetilfeller, hvilke kategorier av registrerte det kan behandles opplysninger om eller hvor lenge opplysningene kan lagres eller lignende. Det vil være vanskelig å utforme slike bestemmelser som treffer i praksis, og det vil gi et omfangsrikt og detaljert regelverk. Slike bestemmelser vil etter departementets syn være uhensiktsmessige, og det er vanskelig å se at slike regler skal være påkrevet etter forordningen. Generelle lovregler om behandling for disse formålene må nødvendigvis ha betydelige elementer av skjønn. I tråd med forordningens system må vurderingene i første rekke foretas av den behandlingsansvarlige. Etter departementets syn er det i tråd med forordningen at bestemmelsen oppstiller en interesseavveining som grunnvilkår for lovlig behandling og at det samme vilkåret gjelder for et vidt spekter av behandlinger. Det vises til lovforslaget § 9 første ledd første punktum.

11.2.5.3 Egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser

Når grunnvilkåret for lovlig behandling er en interesseavveining med et betydelig innslag av skjønn, blir det vesentlig å sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser. Den behandlingsansvarliges plikt etter forordningen artikkel 89 nr. 1 til å sørge for «nødvendige garantier» for å sikre den registrertes rettigheter og friheter gjelder på vanlig måte. Det foreslås at det henvises til denne bestemmelsen av pedagogiske årsaker, se lovforslaget § 9 første ledd annet punktum.

Når det gjelder ytterligere egnede og særlige tiltak for å verne den registrertes rettigheter og interesser, jf. forordningen artikkel 9 nr. 2 bokstav j, mener departementet som nevnt i forrige punkt at det ikke bør lovfestes nærmere regler om for eksempel hvilke mer spesifikke formål innenfor arkiv, forskning og statistikk det er tillatt å behandle opplysningene for, hvilke typer særlige kategorier av personopplysninger som kan behandles i forskjellige typetilfeller, hvilke kategorier av registrerte det kan behandles opplysninger om eller hvor lenge opplysningene kan lagres eller lignende. På dette området er det neppe til å unngå at den behandlingsansvarlige i det enkelte tilfelle må foreta en rekke skjønnsmessige vurderinger av hvordan de registrertes rettigheter og interesser skal ivaretas og av forordningens regler for øvrig. Etter departementets oppfatning kan det imidlertid på dette området være hensiktsmessig at loven gir anvisning på nærmere prosedyrer eller mekanismer som den behandlingsansvarlige skal følge for å sikre at det blir foretatt gode vurderinger. Departementet foreslo en slik mekanisme i høringsnotatet, nemlig at den behandlingsansvarlige skal utpeke personvernombud og at personvernombudet skal tilråde behandlingen. Høringsinstansene er delt i synet på dette forslaget.

Etter departementets vurdering bør en generell lovbestemmelse som åpner for behandling av særlige kategorier av personopplysninger for arkiv-, forsknings- og statistikkformål uten samtykke, legge til rette for at behandlingen blir vurdert av noen med god kjennskap til personvernreglene og en uavhengig stilling overfor den behandlingsansvarlige. Etter gjeldende rett ivaretas disse hensynene ved at den behandlingsansvarlige må søke konsesjon fra Datatilsynet, eller for visse forskningsprosjekters vedkommende at det gis tilråding fra personvernombud i stedet for konsesjon. Når konsesjonsplikten ikke videreføres, mener departementet at det bør tilstrebes å finne andre løsninger for å ivareta hensynet til kvalifiserte og uavhengige vurderinger. For å ivareta dette hensynet er det etter departementets syn imidlertid ikke noe mål i seg selv at det skal gjelde et formelt krav om tilråding eller godkjenning. Departementet foreslår på denne bakgrunn at den behandlingsansvarlige skal rådføre seg med personvernombudet eller en annen rådgiver som har tilsvarende kvalifikasjoner og uavhengighet, om hvorvidt behandlingen tilfredsstiller forordningens krav og øvrige krav fastsatt i eller i medhold av loven, jf. lovforslaget § 9 annet ledd første punktum. Plikten til å rådføre seg innebærer at den behandlingsansvarlige må innhente personvernombudets eller rådgiverens konkrete vurdering av den planlagte behandlingen og om denne etter ombudets eller rådgiverens synspunkt vil være i tråd med forordningens eller lovens krav, se forslaget til annet ledd annet punktum. Ombudet eller rådgiveren trenger imidlertid ikke å gi noen formell godkjennelse eller tilrådning.

Flere høringsinstanser fremhever at personvernombudet ikke nødvendigvis er kvalifisert til å tilråde behandlinger. Etter departementets vurdering bør dette synspunktet tillegges beskjeden vekt. Det må etter departementets syn forutsettes at den som er personvernombud for en behandlingsansvarlig som behandler personopplysninger for arkiv-, forsknings- og statistikkformål, har de nødvendige kvalifikasjonene for å ta stilling til om behandlingene oppfyller forordningens og lovens krav. Det følger av forordningen artikkel 37 nr. 5 at personvernombudet skal ha dybdekunnskap om personvernlovgivning og praksis samt være kvalifisert til å utføre oppgavene nevnt i artikkel 39, noe som blant annet omfatter rådgivning om forpliktelsene etter forordningen og kontroll av om reglene i forordningen og andre personvernregler overholdes, jf. artikkel 39 nr. 1 bokstav a og b.

Den behandlingsansvarlige bør imidlertid etter departementets syn stå fritt til å velge mellom å rådføre seg med noen som er utpekt som personvernombud i henhold til artikkel 37, eller en annen tilsvarende kvalifisert og uavhengig rådgiver. Departementet foreslår at kravene til dem som ikke er utpekt som personvernombud i forordningens forstand, uttrykkes gjennom at disse må oppfylle visse av kravene som etter forordningen gjelder for et personvernombud. For det første bør det gjelde krav om faglige kvalifikasjoner, jf. artikkel 37 nr. 5. For det andre bør vedkommende enten være ansatt hos den behandlingsansvarlige eller utføre oppgaven på grunnlag av en tjenesteavtale, jf. artikkel 37 nr. 6. For det tredje bør vedkommende ikke kunne motta instrukser om oppgaven eller straffes eller avsettes for å utføre den, jf. artikkel 38 nr. 3 første og annet punktum.

En rådføring med personvernombud eller tilsvarende rådgiver er etter departementets vurdering overflødig dersom den behandlingsansvarlige uansett må utføre en vurdering av personvernkonsekvenser etter forordningen artikkel 35. Det foreslås derfor at plikten til rådføring ikke gjelder i disse tilfellene, jf. lovforslaget § 9 annet ledd tredje punktum.

11.2.5.4 Tilsvarende anvendelse for forskning basert på samtykke

Som nevnt i punkt 11.1.2 over åpner forordningen for at det fastsettes nærmere garantier for behandling av personopplysninger for forskningsformål uavhengig av behandlingsgrunnlaget. Etter departementets oppfatning bør denne adgangen benyttes til å gi vilkåret om rådføring med personvernombud eller annen rådgiver tilsvarende anvendelse ved forskning på særlige kategorier av personopplysninger og opplysninger om straffbare forhold mv. som er basert på den registrertes samtykke, se lovforslaget § 10 og § 11 annet ledd bokstav a. Det gjelder i dag krav om konsesjon eller tilråding fra personvernombud også for samtykkebasert behandling, og etter departementets syn gjør hensynet til kvalifiserte og uavhengige vurderinger seg gjeldende med samme tyngde her. Kravene vil bare gjelde så langt ikke annet er bestemt i særlovgivningen, jf. lovforslaget § 2 første ledd.

11.2.5.5 Forskriftshjemmel

Departementet foreslår at det gis en hjemmel for å fastsette forskrifter med nærmere bestemmelser om behandling av særlige kategorier av personopplysninger for arkiv-, forsknings- og statistikkformål, som blant annet kan benyttes til å presisere vilkårene for behandling nærmere dersom det viser seg å bli nødvendig.

11.3 Særlige unntak fra den registrertes rettigheter

11.3.1 Gjeldende rett

Personopplysningsloven inneholder visse særregler om den registrertes rettigheter ved behandling for arkiv-, forsknings- og statistikkformål. I forlengelsen av personopplysningsloven § 11 annet ledd om unntak fra formålsbegrensningen gjør personopplysningsloven § 28 annet ledd unntak fra sletteplikten for opplysninger som lagres for slike formål, når samfunnets interesse i lagringen av dem klart overstiger ulempen for den enkelte, jf. første punktum. Opplysningene skal imidlertid oppbevares på en måte som ikke gjør det mulig å identifisere den registrerte lenger enn nødvendig, jf. annet punktum.

I personopplysningsloven § 28 første ledd annet punktum er det presisert at forbudet mot lagring av unødvendige personopplysninger ikke gjelder opplysninger som skal «oppbevares i henhold til arkivloven eller annen lovgivning». Retten til sletting av sterkt belastende opplysninger, jf. personopplysningsloven § 28 tredje ledd, kan imidlertid etter vedtak fra Datatilsynet gå foran arkivlovas regler om kassasjon og råderett over arkiv, jf. personopplysningsloven § 28 fjerde ledd. Også etter krav om retting av mangelfulle personopplysninger kan Datatilsynet på nærmere vilkår bestemme at opplysningene skal slettes, og vedtaket går foran arkivlovas regler, jf. personopplysningsloven § 27 tredje ledd siste punktum.

Etter personopplysningsloven § 18 siste ledd gjelder ikke den registrertes innsynsrett dersom personopplysningene «behandles utelukkende for historiske, statistiske eller vitenskapelige formål og behandlingen ikke får noen direkte betydning for den registrerte». Også personopplysningsloven § 20 annet ledd bokstav b, som gjør unntak fra informasjonsplikten når varsling er «umulig eller uforholdsmessig vanskelig», er av betydning i denne forbindelse.

11.3.2 Forordningen

I forordningen er behandling for arkiv-, forsknings- og statistikkformål bare i liten grad særregulert. Det finnes imidlertid noen særregler og unntak, og det er i tillegg en viss adgang til å fastsette nasjonale regler om dette. En sentral bestemmelse i denne forbindelse er artikkel 89, som gir nærmere regler om «garantier og unntak» ved behandling av personopplysninger for «arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål». Bestemmelsen har ingen parallell i gjeldende personopplysningslov eller i 95-direktivet. Etter artikkel 89 nr. 1 skal behandling med disse formålene omfattes av «nødvendige garantier» i samsvar med forordningen, herunder tekniske og organisatoriske tiltak for å sikre dataminimering, samt pseudonymisering og anonymisering dersom formålene med behandlingen kan oppnås med slike tiltak. I artikkel 89 nr. 2 og 3 åpnes det for at det i unionsretten eller i nasjonal rett kan fastsettes unntak fra visse av forordningens regler om den registrertes rettigheter. Bestemmelsen skiller mellom behandling for forskning og statistikk på den ene side og behandling for arkivformål i allmennhetens interesse på den andre.

Unntak for behandling for forskning og statistikk reguleres av artikkel 89 nr. 2. Bestemmelsen åpner for at det i nasjonal rett gjøres unntak fra artikkel 15 (rett til innsyn), 16 (rett til retting), 18 (rett til begrensning av behandling) og 21 (rett til å protestere). Unntakene må fastsettes med forbehold for kravene i artikkel 89 nr. 1, og kan gjelde i den grad «det er sannsynlig» at rettighetene «vil gjøre det umulig eller i alvorlig grad vil hindre oppfyllelsen» av de spesifikke formålene med behandlingen, og slike unntak er «nødvendig» for å oppfylle formålet.

Artikkel 89 nr. 3 åpner for unntak i nasjonal rett for behandling for arkivformål i allmennhetens interesse, på samme vilkår som i nr. 2. Det kan gjøres unntak fra de samme bestemmelsene som etter nr. 2, og i tillegg fra artikkel 19 (underretningsplikt for retting, sletting og begrensning av behandling) og 20 (rett til dataportabilitet).

Artikkel 89 nr. 4 regulerer tilfellene der behandlingen har andre formål i tillegg til arkiv, forskning og statistikk. I slike tilfeller kommer unntakene bare til anvendelse på behandlingen for arkiv, forskning og statistikk.

Ved siden av artikkel 89 finnes det enkelte unntak fra den registrertes rettigheter ved behandling for arkiv-, forsknings- og statistikkformål som følger direkte av forordningen. Etter artikkel 14 nr. 5 bokstav b gjelder ikke informasjonsplikten i bestemmelsen dersom det vil være umulig eller kreve en uforholdsmessig innsats å gi informasjon, og behandling for arkiv, forskning og statistikk er særskilt nevnt. Bestemmelsen viderefører på dette punktet gjeldende personopplysningslov § 20 annet ledd bokstav b, men arkiv, forskning og statistikk er ikke særskilt nevnt i dagens lov. Artikkel 14 nr. 5 bokstav b gjør videre unntak for informasjonsplikten når informasjonen vil gjøre det umulig eller i alvorlig grad vil hindre oppfyllelsen av formålene med behandling for arkiv, forskning og statistikk i samsvar med artikkel 89 nr. 1. Dette unntaket er nytt sammenlignet med gjeldende lov.

Artikkel 17 nr. 3 bokstav d gjør på samme vilkår som i artikkel 14 nr. 5 bokstav b unntak fra retten til sletting. Den registrerte har altså ikke krav på sletting dersom dette vil umuliggjøre eller i alvorlig grad hindre oppfyllelsen av formålene med behandling for arkiv, forskning og statistikk i samsvar med artikkel 89 nr. 1. Det kan videre nevnes at den registrerte heller ikke har rett til sletting dersom behandlingen er nødvendig for å oppfylle en rettslig forpliktelse etter unionsretten eller nasjonal rett eller for å utføre en oppgave i allmennhetens interesse, jf. artikkel 17 nr. 3 bokstav b. Dette innebærer at arkivlovas regler om kassasjon og innskrenket råderett på samme måte som i dag vil gå foran retten til sletting, jf. § 28 første ledd i dagens lov. I motsetning til gjeldende personopplysningslov gir forordningen ingen kompetanse for Datatilsynet til å fatte vedtak om sletting som går foran arkivlovgivningen, sml. gjeldende personopplysningslov § 27 tredje ledd og § 28 fjerde ledd.

Etter artikkel 21 nr. 6 er retten til å protestere begrenset ved behandling for vitenskapelige og historiske forskningsformål og statistikk. Ved slik behandling gjelder ikke retten til å protestere så lenge behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse.

Regelen i gjeldende lov § 18 siste ledd om at den registrertes innsynsrett ikke gjelder når personopplysningene behandles utelukkende for historiske, statistiske eller vitenskapelige formål og behandlingen ikke får noen direkte betydning for den registrerte, har ingen parallell i forordningen.

11.3.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet å benytte adgangen i artikkel 89 nr. 2 og 3 til å fastsette nasjonale regler som gjør unntak fra den registrertes rettigheter ved behandling for arkivformål i allmennhetens interesse, forskningsformål og statistiske formål. For behandling for forskningsformål og statistiske formål foreslo departementet at det i tråd med artikkel 89 nr. 2 gjøres unntak fra artikkel 15 (rett til innsyn), 16 (rett til retting), 18 (rett til begrensning av behandling) og 21 (rett til å protestere). For behandling for arkivformål i allmennhetens interesse foreslo departementet at det i tillegg gjøres unntak fra artikkel 19 (underretningsplikt for retting, sletting og begrensning av behandling) og 20 (rett til dataportabilitet), i tråd med artikkel 89 nr. 3. Etter departementets syn burde vilkårene i den nasjonale unntaksregelen ligge tett opp til vilkårene i artikkel 89, slik at det gjøres unntak i den utstrekning rettighetene vil gjøre det umulig eller i alvorlig grad vil hindre oppfyllelsen av formålene med behandlingen. Dette vil også være tilsvarende vilkår som allerede følger direkte av forordningen artikkel 14 nr. 5 bokstav b og 17 nr. 3 bokstav d om unntak fra henholdsvis retten til informasjon og retten til sletting. Det ble bedt om høringsinstansenes syn på om bestemmelsene burde utformes mer kasuistisk.

Videre foreslo departementet å videreføre unntaksregelen i § 18 siste ledd i gjeldende lov, som gjør unntak fra innsynsretten ved behandling utelukkende for historiske, statistiske eller vitenskapelige formål som «ikke får noen direkte betydning for den registrerte». Departementet la til grunn at artikkel 23 gir grunnlag for et slikt unntak, fordi hensynet til å sikre gode rammevilkår for arkiv, forskning og statistikk er et mål av generell allmenn interesse, jf. artikkel 23 nr. 1 bokstav e. Som følge av kravet om proporsjonalitet i artikkel 23 nr. 1 foreslo imidlertid departementet et tilleggsvilkår om at det vil kreve en uforholdsmessig stor innsats å gi innsyn.

11.3.4 Høringsinstansenes syn

Kulturdepartementet, Arkivverket, Statistisk sentralbyrå, Brønnøysundregistrene, Norsk senter for forskningsdata, Norges teknisk-naturvitenskapelige universitet, Universitetet i Oslo, Nasjonalbiblioteket, Den norske legeforening og Brækhus Advokatfirma DA støtter forslaget om å fastsette unntaksregler som bygger på forordningen artikkel 89 nr. 2 og 3. Brækhus Advokatfirma DA uttaler:

«Brækhus støtter departementets forslag om å innføre unntaksregler i samsvar med forordningen artikkel 89 nr. 2 og 3. Vilkåret om at det bare kan gjøres unntak fra disse rettighetene i den grad overholdelse av rettighetene vil gjøre det umulig eller i alvorlig grad vil hindre oppfyllelsen av de spesifikke formålene, vil sette en viktig grense for i hvilke tilfeller man kan gjøre unntak fra den registrertes rettigheter.»

Den norske legeforening uttaler:

«Vi støtter departementets forslag til regulering, og at denne gjøres generell. Mer kasuistiske regler på området vil kunne bli for stivbent og ikke robust over tid, særlig tatt i betraktning at dette er et område i stadig utvikling. Vi foreslår å konkretisere enkelte unntak fra retten til innsyn og at disse er oppstilt som eksempler i lovteksten. Dette vil gjøre det klarere for befolkningen hvilke typetilfeller en tar sikte på, samtidig som bestemmelsens fleksibilitet vil sikres. Et nærliggende eksempel som kan benyttes er registerforskning, der det vil kreve uforholdsmessig stor innsats, eller snarere være umulig, å gi alle de registrerte alle de rettigheter som følger av forordningen.»

Statens sivilrettsforvaltning støtter at det gjøres unntak for behandling for arkivformål i allmennhetens interesse. Juristforbundet støtter forslaget så langt det gjelder arkivformål, men mener at forslaget går lenger enn det som er nødvendig når det gjelder forsknings- og statistikkformål, og uttaler:

«Juristforbundet støtter forslaget om unntak for de registrertes rettigheter når det gjelder behandling utelukkende for arkivformål i allmenhetens interesse så langt rettighetene vil gjøre det umulig eller i alvorlig grad vil hindre at målene med behandlingen nås.

Departementet foreslår imidlertid også å gjøre unntak fra den registrertes rettigheter ved formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål og ber særlig om høringsinstansenes syn på dette. Denne unntaksbestemmelsen har en generell utforming og vil gjelde for både offentlig og privat virksomhet. Juristforbundet er enig i at et unntak bør være begrenset til situasjoner hvor utøvelse av rettighetene vil gjøre det umulig eller i alvorlig grad hindre at formålene med behandlingen nås, men mener likevel at forslaget til unntaksbestemmelser går for langt. Juristforbundet ber om at departementet på nytt vurderer behovet for å gjøre unntak fra den registrertes rett til innsyn i opplysningene som behandles. Retten til innsyn er grunnleggende for at den registrerte skal kunne utøve andre rettigheter, for eksempel retten til sletting og dataportabilitet, og bør derfor ikke innskrenkes ytterligere enn det som følger av lovforslaget § 13.»

Datatilsynet mener at de foreslåtte unntakene med utgangspunkt i artikkel 89 nr. 2 og 3 er for generelle, og at det må vurderes nærmere om behovet for unntak er dekket i sektorlovgivningen:

«Vi mener videre at departementet i høringsnotatets punkt 31.3 gjør en for overfladisk vurdering av de krav til unntak som følger av artikkel 89 nr. 2 og 3 og artikkel 23. Unntakene i § 14 blir dermed for generelle, ut fra de krav som følger av forordningen artikkel 89 nummer 2 og 3, samt artikkel 23. En unntaksbestemmelse bør utformes mer kasuistisk. Vi anbefaler at det gjøres konkrete vurderinger av hvilke tilfeller som ikke er tilfredsstillende dekket i sektorlovgivningen, og at det eventuelt gjøres tilpasninger der. Vi viser først og fremst til arkivloven og statistikkloven, samt en eventuell ny forskningslov. En slik gjennomgang vil klargjøre om det er strengt nødvendig å utforme et slikt generelt unntak og om det er forholdsmessig.»

Høringsinstansene er delt i synet på om bestemmelser med utgangspunkt i artikkel 89 nr. 2 og 3 bør være generelle eller utformes mer kasuistisk.Brækhus Advokatfirma DA mener at bestemmelsene ikke bør utformes mer kasuistisk.

Folkehelseinstituttet uttaler at bestemmelsene bør være generelle, men at rekkevidden bør klargjøres nærmere. Arkivverket uttaler at det i første omgang kan være best å fastsette generelle unntak for å se hvilke utfordringer som oppstår.

Datatilsynet mener at unntaksbestemmelsene bør konkretiseres, og uttaler:

«Det er uklart for oss hva som skal til før en behandling er innenfor unntakene i § 14. Kriteriene for å kunne gjøre unntaket gjeldende, er for det første at behandlingens formål blir «umulig» å nå. Dette må anses som en meget høy terskel, og det er vanskelig å forestille hvilke tilfeller dette skulle vært begrunnelsen. Det er også vanskelig å fastslå hvilke konkrete situasjoner de ulike rettighetene i «alvorlig grad» vil hindre oppfyllelse av formålene. Rekkevidden av bestemmelsen kan derfor neppe sies å være tilstrekkelig konkretisert.

Det er også helt uklart hvilke kategorier av behandlingsansvarlige som kan omfattes av bestemmelsen. Det er heller ikke gitt noen garantier mot misbruk av unntaket. Dette kunne for eksempel vært krav til oppbevaringsperioder før sletting, eller krav om informasjon om unntaket når dette ikke lenger i alvorlig grad vil hindre oppfyllelse av formålet. En viktig garanti som kunne berettiget unntak fra rettighetene er innføring av krav om pseudonymisering og anonymisering i § 6, jf. artikkel 89 nr. 1. Slik behandling har også en sammenheng med forordningens artikkel 11 om behandling som ikke krever identifikasjon.»

Forslaget om å videreføre unntaket fra innsynsretten ved behandling for arkiv-, forsknings- og statistikkformål som ikke får direkte betydning for den registrerte, støttes av Kulturdepartementet, Brønnøysundregistrene, Statens sivilrettsforvaltning, Statistisk sentralbyrå, Forbrukerrådet, Nasjonalbiblioteket, Norges teknisk-naturvitenskapelige universitet, Universitetet i Oslo, Norsk senter for forskningsdata, Den norske legeforening og Brækhus Advokatfirma DA.

Kantar TNS AS og Virke markedsanalyse støtter forslaget om å videreføre unntaksregelen, men ikke forslaget om at det i tillegg må kreves uforholdsmessig stor innsats å gi innsyn. Kantar TNS AS uttaler:

«Hvis det skal åpnes for innsynsrett i tilfeller der det ikke vil kreve en uforholdsmessig stor innsats å gi innsyn, vil det medføre at det må oppbevares en koblingsnøkkel mellom kontaktdata og svar på undersøkelser lenger enn det dagens interne retningslinjer gir anledning til. Dette vil føre til en større personvernrisiko. Kantar behandler store mengder personopplysninger og selv om pseudonymisering er et godt sikkerhetstiltak er det først når nøkkelen er slettet at opplysningene virkelig er trygge. Hvis Kantar må oppbevare nøkkelen like lenge som Kantar kan oppbevare svarene, vil dette øke risikoen for sikkerhetsbrudd betraktelig. Hvis slettingen av nøkkelen fører til at svarene på undersøkelsene er anonymisert og derfor ikke lenger er personopplysninger, er dette uproblematisk. Slik er det ikke alltid, og Kantar må derfor også innføre et system som gjør det mulig å skille spørreundersøkelser der svarene vil være anonyme uten kontaktdata med undersøkelser der det er mulig å koble svar med person selv uten kontaktdata. Dette vil være ressurskrevende.»

Datatilsynet støtter ikke forslaget, og mener at kravene etter forordningen artikkel 23 nr. 2 ikke er tilstrekkelig vurdert. Datatilsynet uttaler videre om de foreslåtte vilkårene:

«Vi vil bemerke at behandlingen av slik bruk av data, altså såkalte sekundære formål, kun i sjeldne tilfeller vil ha direkte betydning for den registrerte. Dette unntaket oppfattes dermed som meget vidt, og det vil i praksis innebære en betydelig svekkelse av den enkelte borgers personopplysningsvern. Retten til informasjon og rett til å vite om behandlinger av sine egne opplysninger, er å anse som en høyt beskyttelsesverdig rettighet, til tross for at man ikke har bestemmelsesrett over behandlingen i noen annen form.

Det andre kriteriet er at det blir uforholdsmessig vanskelig å gi innsyn. Etter dagens praksis, legger Datatilsynet til grunn at det med dagens teknologi og med alle nasjonale tjenester for kommunikasjon som utvikles, kun i sjeldne tilfeller gjøres unntak fra informasjonsplikten. Unntakene begrunnes ofte i at det ikke behandles identitetsopplysninger, at det er et stort antall deltakere eller at det er meget kostbart. I tilfeller hvor det er et høyt antall registrerte, stiller vi som regel vilkår om at informasjonen gis kollektivt gjennom for eksempel en nettside eller i lokalaviser. Hovedregelen er imidlertid at de registrerte skal informeres individuelt.»

Flere høringsinstanser har gitt uttrykk for at det er behov for flere unntak fra den registrertes rettigheter enn det som ble foreslått i høringsnotatet. Norsk senter for forskningsdata, Universitetet i Oslo, Universitets- og høgskolerådet og Helse Stavanger HF uttaler at det er behov for unntak fra retten til dataportabilitet ved behandling for forskningsformål. Universitets- og høgskolerådet uttaler:

«Dataportabilitet i forskningsprosjekter kan være sterkt uheldig. Dersom forskningsdeltakere skal kunne kreve å ta med seg sine personopplysninger, vil dette gå på bekostning av legitimitet og etikk i forskning. Det er viktig å sikre at forskningsdata via den registrertes rett til dataportabilitet, ikke blir gjenstand for handelsvare og kommersiell virksomhet.»

Norsk senter for forskningsdata mener at et unntak fra retten til dataportabilitet også er nødvendig ved behandling for statistikkformål. Videre mener Norsk senter for forskningsdata at det bør gjøres unntak fra underretningsplikten etter forordningen artikkel 19 ved behandling for forsknings- og statistikkformål.

Statistisk sentralbyrå uttaler at unntaket for innsynsrett når behandlingen ikke får direkte betydning for den registrerte og innsyn medfører uforholdsmessig stor innsats, bør utvides til også å gjelde retten til retting, begrensning og innsigelse:

«Unntaket i § 14 tredje ledd for rett til innsyn (art 15) utvides dersom behandlingen ikke får direkte betydning for den registrerte, og trer inn dersom rettigheten medfører uforholdsmessig stor innsats. SSB mener det bør være samme terskel for unntak fra rettigheter etter artiklene 16, 18 og 21 som for artikkel 15. Dersom departementet mener det blir for vid unntaksbestemmelse, kan det vurderes å begrense en slik utvidelse av unntak for artiklene 16, 18 og 21 til behandling som er hjemlet i statistikkloven»

Kantar TNS AS og Virke markedsanalyse mener at det bør fastsettes unntak fra informasjonsplikten for statistiske undersøkelser der opplysningene innhentes fra den registrerte. Kantar TNS AS uttaler:

«Respondenter som må lese gjennom et dokument før de kan svare på undersøkelsen vil mest sannsynlig ikke ønske å delta. Dette vil føre til at deltagerandelen på statistiske undersøkelser går drastisk ned og dette svekker datagrunnlaget.»

11.3.5 Departementets vurdering

11.3.5.1 Generelt

Det er delte meninger blant høringsinstansene om i hvilken utstrekning det bør gjøres unntak fra den registrertes rettigheter ved behandling for arkiv-, forsknings- og statistikkformål. Departementet tar utgangspunkt i at det ikke bør gjøres unntak i større grad enn det som er nødvendig og forholdsmessig. I denne vurderingen må det legges vekt på at arkiv, forskning og statistikk har en særlig samfunnsverdi. Disse behandlingsformålene er også på flere punkter gitt en særstilling i forordningen. Hensynet til å sikre gode rammevilkår for arkiv, forskning og statistikk må likevel balanseres mot hensynet til den registrertes personvern. Det bemerkes også at det ikke nødvendigvis er noen motsetning mellom hensynet til arkiv-, forsknings- og statistikkformålet og rettigheter for den registrerte. Den behandlingsansvarlige og den registrerte vil for eksempel gjerne ha en felles interesse i å sikre korrekte og oppdaterte opplysninger.

11.3.5.2 Unntak fra innsynsretten

Etter departementets syn bør det fortsatt gjelde særlige unntak fra innsynsretten ved behandling av personopplysninger for arkiv-, forsknings- og statistikkformål, og departementet foreslår derfor at det fastsettes et slikt unntak med grunnlag i forordningen artikkel 23 nr. 1 bokstav e og artikkel 89 nr. 2 og 3. Behandlingen vil i disse tilfellene ofte ikke ha noen rettsvirkninger eller direkte faktiske virkninger for den registrerte. At behandlingen ikke har rettsvirkninger eller direkte faktiske virkninger, er imidlertid etter departementets syn ikke i seg selv en tungtveiende nok begrunnelse for at det ikke skal være innsynsrett, jf. kravet om nødvendighet og proporsjonalitet. Uavhengig av rettslige og direkte faktiske virkninger vil behandlingen kunne oppleves som et inngrep i personvernet.

Dersom innsynsrett i tillegg vil være uforholdsmessig ressurskrevende for den behandlingsansvarlige, er det imidlertid etter departementets vurdering nødvendig og proporsjonalt å gjøre unntak. Departementet foreslår på denne bakgrunn at det kan gjøres unntak fra innsynsretten etter forordningen artikkel 15 dersom behandlingen ikke får noen rettslige eller direkte faktiske virkninger for den registrerte, men bare så langt det vil kreve uforholdsmessig stor innsats å gi innsyn, se lovforslaget § 17 første ledd bokstav a, jf. tredje ledd.

Tredje ledd er ment som en videreføring av vilkåret etter gjeldende lov § 18 siste ledd om at behandlingen ikke får noen direkte betydning for den registrerte. Departementet foreslår imidlertid at ordlyden direkte betydning erstattes med «rettslige eller direkte faktiske virkninger», som etter departementets syn er mer presist. Tredje ledd er videre formulert som et unntak i stedet for et vilkår, uten at dette er ment å ha noen betydning for rekkevidden.

At unntaket bare gjelder «så langt» det vil kreve uforholdsmessig stor innsats, innebærer at det vil kunne foreligge en begrenset innsynsrett. Det kan for eksempel kreve en uforholdsmessig innsats å gi en kopi av personopplysningene som behandles, jf. artikkel 15 nr. 3, men ikke å gi slik generell informasjon som er nevnt i artikkel 15 nr. 1 og 2. Da vil det foreligge innsynsrett etter artikkel 15 nr. 1 og 2, men ikke etter nr. 3. Departementet mener at et slikt unntak tilfredsstiller kravene i artikkel 23, og departementet kan ikke se at behovet for unntak er dekket i særlovgivningen.

Departementet har merket seg at Kantar TNS AS i høringen gir uttrykk for at en forholdsmessighetsbegrensning kan føre til at de må oppbevare koblingsnøkler mellom kontaktdata og svar på undersøkelser lenger enn i dag for å kunne gi innsyn. Departementet viser i denne sammenhengen til at den behandlingsansvarlige etter forordningen artikkel 11 ikke har plikt til å bevare flere opplysninger for å kunne identifisere den registrerte enn det behandlingsformålet tilsier bare for å oppfylle forordningens krav. Den behandlingsansvarlige trenger altså ikke bevare ellers overflødige opplysninger utelukkende for å kunne gi innsyn.

Departementet foreslår videre at det gjøres unntak for innsynsrett i den grad det er sannsynlig at innsyn vil gjøre det umulig eller i alvorlig grad vil hindre at målene med behandlingen nås, med grunnlag i artikkel 89 nr. 2 og 3, se lovforslaget § 17 første ledd bokstav b. Et slikt unntak er etter departementets syn en nødvendig forlengelse av unntaket fra informasjonsplikten i artikkel 14 nr. 5 bokstav b, som gir adgang til å gjøre unntak fra informasjonsretten i den grad informasjonen «sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås». Unntaket er ment å omfatte de tilfellene der innsynsrett vil hindre oppnåelse av behandlingsformålet av andre grunner enn at innsyn er ressurskrevende, for eksempel i et forskningsprosjekt der full innsynsrett vil gjøre oppnåelsen av forskningsformålet umulig. Departementet kan ikke se at dette unntaksbehovet er dekket i særlovgivningen.

11.3.5.3 Retting, sletting og begrensning av behandling

Forordningen artikkel 17 nr. 3 bokstav d gjør unntak fra retten til sletting ved behandling for arkiv-, forsknings- og statistikkformål i den grad rettigheten «sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås». Artikkel 89 nr. 2 og 3 åpner for at et tilsvarende unntak fastsettes for retten til retting og begrensning av behandling, jf. artikkel 16 og 18. Departementet foreslår at et tilsvarende unntak gjøres gjeldende også for disse rettighetene, se lovforslaget § 17 annet ledd.

Når det gjelder retten til retting, antar departementet at den behandlingsansvarlige og den registrerte ofte vil ha en felles interesse i at personopplysningene som behandles, er riktige. Dersom en ubegrenset rett til retting likevel vil være ødeleggende for oppnåelsen av behandlingsformålet, bør det likevel være adgang til å gjøre unntak. Det samme gjelder etter departementets oppfatning for retten til begrensning av behandling etter artikkel 18.

Etter departementets syn bør heller ikke unntakene for retting og begrensning komme til anvendelse dersom behandlingen får rettsvirkninger eller direkte faktisk betydning for den registrerte, jf. forslagets tredje ledd.

11.3.5.4 Øvrige unntak

Artikkel 19 pålegger den behandlingsansvarlige en underretningsplikt til mottagere av personopplysninger om at det er foretatt retting, sletting eller begrensning av behandling. Plikten gjelder bare så langt underretning ikke er umulig eller vil medføre uforholdsmessig stor innsats. Artikkel 89 åpner for å gjøre unntak fra bestemmelsen for behandling for arkivformål i allmennhetens interesse, jf. nr. 3, men ikke for forsknings- og statistikkformål, jf. nr. 2. Etter departementet syn er det ikke på nåværende tidspunkt tilstrekkelige holdepunkter for at unntak for arkivformål på grunnlag av artikkel 89 nr. 3 er nødvendig, og det foreslås derfor ingen lovbestemmelse om dette. Departementet viser til at artikkel 19 kun gjelder i den utstrekning artikkel 16 til 18 kommer til anvendelse, og at forordningen artikkel 17 nr. 3 bokstav d og lovforslaget § 17 annet ledd gjør unntak fra disse rettighetene. Videre gjelder plikten etter artikkel 19 ikke dersom underretning vil kreve uforholdsmessig stor innsats. Dersom det viser seg å være nødvendig med ytterligere unntak, kan slike fastsettes på et senere tidspunkt og eventuelt i særlovgivningen.

Artikkel 89 åpner videre for unntak fra retten til dataportabilitet etter artikkel 20 ved behandling for arkivformål, jf. nr. 3, men ikke for forsknings- og statistikkformål, jf. nr. 2. Etter departementets syn fremstår det ikke som nødvendig å fastsette unntak fra artikkel 20 for behandling for arkivformål. Retten til dataportabilitet gjelder bare så langt behandlingen er basert på den registrertes samtykke eller avtale, jf. artikkel 20 nr. 1 bokstav a. Departementet legger til grunn at disse behandlingsgrunnlagene sjelden vil være aktuelle for arkivformål, og at det derfor neppe er nødvendig med et særlig unntak på dette punktet.

Flere høringsinstanser gir uttrykk for at det er behov for å benytte forordningen artikkel 23 til å gjøre unntak fra retten til dataportabilitet ved behandling for forsknings- og statistikkformål. Departementet er enig i at en rett til dataportabilitet synes å passe dårlig i disse tilfellene. Samtidig er det etter departementets oppfatning uklart på nåværende tidspunkt hvordan retten vil fungere, og om det kommer til å være en utfordring i praksis at de registrerte ønsker å forsøke å benytte retten til dataportabilitet. Etter departementets syn er det derfor ikke på nåværende tidspunkt tilstrekkelige holdepunkter for at det er nødvendig å fastsette unntak etter artikkel 23 nr. 1 på dette punktet.

Artikkel 89 åpner for at det kan gjøres unntak fra retten til å protestere etter artikkel 21, for både arkiv-, forsknings- og statistikkformål. Når det gjelder forskning og statistikk, følger det allerede et unntak i artikkel 21 nr. 6. Etter departementets vurdering er det på nåværende tidspunkt ikke holdepunkter for at det er nødvendig med ytterligere unntak på dette punktet. Når det gjelder arkiv, bemerker departementet at retten til å protestere bare gjelder for behandling på grunnlag av artikkel 6 nr. 1 bokstav e og f, og ikke dersom behandlingen er nødvendig for å oppfylle en rettslig forpliktelse, jf. artikkel 6 nr. 1 bokstav c. Den registrerte kan derfor ikke protestere på grunnlag av artikkel 21 ved behandling for arkivformål som den behandlingsansvarlige er forpliktet til på grunnlag av arkivlovgivningen. Departementet foreslår på denne bakgrunn ingen nærmere unntak fra retten til å protestere.