Personvernnemndas vedtak 2. februar 2021 (Mari Bø Haugstad, Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin)
Saken gjelder klage fra A og B på Datatilsynets vedtak 16. januar 2020 der Datatilsynet kom til at Z barneverns behandling av personopplysninger var lovlig. Det er spørsmål om behandlingsgrunnlag og krav om innsyn, retting, sletting, subsidiært begrenset behandling av opplysninger.
Sakens bakgrunn
Barneverntjenesten i Y foretok i 2018 undersøkelser i familien til klagernes datter, C, og hennes barn, jf. barnevernloven § 4-3. Da C og barnet flyttet til Z kommune sendte barneverntjenesten i Y i august 2018 en bekymringsmelding til barneverntjenesten i Z kommune og undersøkelsessaken fortsatte der.
Sammen med bekymringsmeldingen mottok Z barneverntjeneste blant annet et brev fra helsestasjonen i X som barneverntjenesten i Y hadde hentet inn. I brevet fra helsestasjonen til barneverntjenesten 4. april 2018 framkommer det:
«Angående det siste punktet nr. 10: Andre opplysninger som kan ha betydning. Mor har selv vokst opp i et hjem der barnevernet har vært tungt inne, særlig overfor mors […] yngre søsken. Mor er nummer […], i en søskenflokk på […]. Det endte med plassering i nye hjem for dem alle grunnet omsorgssvikt og vold i hjemmet. Ved denne tiden er mor blitt cirka 16 år, og flytter selv ut. Se vedlagt notat fra 1998 om mor.»
Med «mor» i dette notatet siktes det til C, klagernes datter og det er omsorgssituasjonen hjemme hos klagerne som omtales, herunder at [antall] av deres barn (Cs yngre søsken) ble plassert i nye hjem. Det vedlagte notatet fra 1998 gir ytterligere opplysninger om Cs situasjon under oppveksten. Notatet om C er ikke en del av sakens dokumenter. C er heller ikke part i denne saken og dokumentet er ikke innhentet.
Barneverntjenesten i Z kommune iverksatte frivillige hjelpetiltak i familien (veiledning) og avsluttet barnevernsaken i april 2019 etter å ha sett positive endringer etter gjennomførte hjelpetiltak.
A og B klaget i april 2019 til Z kommune over ulovlig behandling av personopplysninger hos barneverntjenesten og krevde opplysningene slettet. De sendte tilsvarende klage til personvernombudene i Y kommune og X kommune. Z kommune avslo 14. mai 2019 klagernes krav om sletting og konkluderte med at det ikke hadde skjedd noen ulovlig behandling av opplysninger.
A og B klaget saken inn for Datatilsynet 19. juni 2019 og klaget på Z kommunes behandling av personopplysninger.
Datatilsynet fattet vedtak i saken 16. januar 2020 med slik konklusjon:
«Datatilsynet har kommet til at [Z] kommune ikke har behandlet de aktuelle personopplysningene ulovlig etter personvernregelverket. Videre har vi kommet til at retten til retting etter personvernforordningen artikkel 16 er oppfylt, mens vilkårene for sletting etter artikkel 17 eller begrensning etter artikkel 18 ikke er til stede.»
A og B framsatte rettidig klage 6. februar 2020 på Datatilsynets vedtak. Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sitt vedtak. Saken ble oversendt Personvernnemnda 28. september 2020. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. A og B innga kommentarer i brev 23. oktober 2020.
Saken ble behandlet i nemndas møte 2. februar 2021. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem og Morten Goodwin. Sekretariatsleder Anette Klem Funderud var også tilstede.
Datatilsynets vedtak i hovedtrekk
Særlige kategorier av personopplysninger
Datatilsynet legger til grunn at opplysninger om vold/omsorgssvikt overfor klagernes datter C ikke omfattes av særlige kategorier personopplysninger etter personvernforordningen artikkel 9.
Tilsynet reiser spørsmålet om opplysningene utgjør opplysninger om «lovovertredelser» som omfattes av personvernforordningen artikkel 10, men konkluderer med at slike opplysninger uansett vil kunne behandles dersom det skjer «under en offentlig myndighets kontroll», noe som er tilfellet i denne saken, jf. Prop. 56 LS (2017-2018) kapittel 8.5.
Behandlingsgrunnlag
Datatilsynet har konkludert med at de aktuelle opplysningene ikke behandles ulovlig av barneverntjenesten i Z kommune.
Datatilsynet legger til grunn at kommunen som behandlingsansvarlig har en arkivplikt, jf. arkivlova § 6 og forskrift om offentlige arkiv. Videre behandling av opplysningene vil da kunne være nødvendig for å oppfylle en rettslig forpliktelse, jf. personvernforordningen artikkel 6 bokstav c. Datatilsynet legger også til grunn at behandlingen er nødvendig for å utøve offentlig myndighet, jf. artikkel 6 nr. 1 bokstav e og viser til at barneverntjenesten har vist til at opplysninger om en parts forhistorie kan være relevante selv om de er 20 år gamle. Datatilsynet viser til at tilsynet vanskelig kan overprøve denne barnevernfaglige vurderingen.
Innsyn
Datatilsynet tar ikke stilling til spørsmålet om innsynsrett og viser til at klagerne må rette en henvendelse til kommunen og be om innsyn i notatet fra 1998 dersom de ønsker det. Dersom kravet eventuelt avslås, kan klagerne ta ny kontakt med Datatilsynet for en vurdering av retten til innsyn.
Sletting
Datatilsynet konkluderer med at personopplysningene i den aktuelle saken ikke skal slettes, da personvernforordningen artikkel 17 nr. 3 bokstav b og d er til hinder for dette. Tilsynet viser til kommunens arkivplikt etter arkivlova med tilhørende forskrift. Tilsynet viser til også til Personvernnemndas avgjørelse, PVN-2018-02, der flertallet kom til at opplysninger som var nødvendige for å forklare og vurdere barnevernets framgangsmåte og beslutninger ikke kunne slettes, selv om klager opplevde opplysningene som sterkt belastende.
Begrenset behandling
Datatilsynet legger til grunn at en rett til begrenset behandling forutsetter at behandlingsansvarlig kan kontrollere riktigheten av de aktuelle personopplysningene, jf. personvernforordningen artikkel 18 nr. 1 bokstav a. Begrensningen vil i tilfelle gjelde fram til opplysningenes riktighet er avklart. I og med at Datatilsynet tidligere har konkludert med at det ikke er mulig å si om opplysningene er riktige eller ikke, kan de registrerte etter tilsynets vurdering ikke ha krav på begrensning av behandlingen av personopplysningene.
Retting
Tilsynet påpeker at saken gjelder opplysninger om subjektive påstander som ikke lar seg bekrefte eller avkrefte og at retting da kan gjennomføres ved at den registrerte legger fram en supplerende erklæring for å komplettere opplysninger som foreligger. Datatilsynet legger til grunn at A og Bs rett til retting etter personvernforordningen artikkel 16 er oppfylt gjennom klagen til Z kommune 16. april 2019.
Datatilsynets konklusjon
Datatilsynet har kommet til at Z kommune ikke har behandlet de aktuelle personopplysningene ulovlig etter personvernregelverket, samt at retten til retting etter personvernforordningen artikkel 16 er oppfylt, mens vilkårene for sletting etter artikkel 17 eller begrensning etter artikkel 18 ikke er til stede.
A og Bs syn på saken i korte trekk
Barneverntjenesten i Z har behandlet deres personopplysninger ulovlig i forbindelse med en undersøkelsessak i datterens familie.
Barneverntjenesten i Z mottok det aktuelle notatet fra 1998 fra barneverntjenesten i Y som mente det var nødvendig for Z kommune å behandle personopplysninger om dem. Notatet inneholder påstander om omsorgssvikt og vold i deres hjem. De har ikke fått innsyn i notatet, men det er sannsynlig at de har lest det for over 20 år siden, da de den gang var part i sak for Fylkesnemnda. Opplysningene som barneverntjenesten har behandlet er sensitive opplysninger om dem.
Opplysningene om dem er unøyaktige og uriktige. Det har aldri foregått noen politietterforskning knyttet til spørsmål om vold og omsorgssvikt i hjemmet, og det foreligger heller ingen tiltale eller dom for noe slikt forhold. Deres datter C har aldri vært under barnevernets omsorg. Opplysningene er stigmatiserende og belastende for dem.
Angivelige opplysninger om vold og omsorgssvikt overfor C er verken nødvendig, forholdsmessig eller relevant i undersøkelsessaken som gjelder situasjonen for C og hennes barn, og ikke dem som barnets besteforeldre. Barneverntjenesten må vurdere omsorgssituasjonen tilfredsstillende uten bruk av disse opplysningene og formålet kan oppnås med andre midler.
Da barneverntjenesten i Z avsluttet undersøkelsessaken ble ikke personopplysninger om A og B nevnt i begrunnelsen for vedtaket med et eneste ord. Personopplysninger om dem har dermed hatt minimal eller ingen betydning for vedtaket. Resultatet hadde blitt det samme uansett om personopplysningene om dem hadde blitt behandlet eller ikke. Behandlingen av de omstridte personopplysningene om A og B var unødvendig i denne saken.
Personopplysningene om dem som foreldre, ble samlet inn for å vurdere omsorgsituasjonen i deres familie for mange år siden. Gjenbruk av opplysningene i forbindelse med en undersøkelsessak ca. 20 år senere er ikke i tråd med personvernregelverket.
Behandlingen er i strid med Grunnloven § 102 og Den europeiske menneskerettighetskonvensjon (EMK) artikkel 8 om retten til privatliv, jf. rettspraksis fra Den europeiske menneskerettsdomstolen (EMD).
Opplysningene om dem som Z kommune besitter om påstått vold og omsorgssvikt overfor deres døtre, må slettes i tråd med personvernforordningen artikkel 17.
Subsidiært til slettekravet må behandlingen begrenses i henhold til forordningen artikkel 18. Det betyr at personopplysningene bare skal kunne brukes til et bestemt angitt formål, og sperres for bruk til andre formål enn det som gjorde at personopplysningene ikke ble slettet.
I den grad opplysningene ikke slettes, må opplysningene kompletteres i form av en supplerende erklæring fra dem i henhold til forordningen artikkel 16.
Z kommunes syn på saken i korte trekk
Kommunen kan ikke kommentere den konkrete barnevernsaken, som er bakgrunnen for at opplysningene er innhentet, på grunn av taushetsplikten, jf. barnevernloven § 6-7. Kommunen bekrefter at de mottok personopplysninger fra barneverntjenesten i Y og at disse opplysningene skriver seg mange år tilbake i tid.
Barneverntjenesten i Z kommune har ikke behandlet opplysninger ulovlig. Kommunen vil først redegjøre for sine plikter etter barnevernloven og deretter redegjøre for hvordan barnevernloven forholder seg til personvernlovgivningen, før det gis en kort begrunnelse for hvorfor klagen ikke kan tas til følge.
Barnevernloven
Barneverntjenesten trer generelt i funksjon når det mottas bekymringsmeldinger. Disse bekymringsmeldingene har barneverntjenesten en ubetinget plikt til å gå inn i, gjennom å foreta nærmere undersøkelser, og å følge opp. Dette følger av barnevernloven § 4-2 og § 4-3.
I noen saker ledsages bekymringsmeldingen av utfyllende informasjon. Dette gjelder særlig hvor bekymringsmeldingen kommer fra andre offentlige instanser, for eksempel barneverntjenesten i en annen kommune som barnet og familien tidligere har hatt kontakt med. I saker med alvorlig bekymring, og hvor informasjonstilfanget er begrenset, har barneverntjenesten anledning til å innhente ytterligere opplysninger. Dette følger av barnevernloven § 6-4.
Av stor betydning er også de opplysninger foreldrene selv gir om sin fungering, sin bakgrunn/oppvekst, opplevelser, behov og så videre. Denne type informasjon nedtegnes regelmessig i en journal.
Denne informasjonsinnhentingen er av avgjørende betydning for å danne seg et korrekt bilde av barnets og familiens situasjon slik at nødvendige hjelpetiltak eventuelt kan settes inn.
De opplysningene som barneverntjenesten arbeider med er svært sensitive. Opplysningene «eies» av foreldrene/barnet, og det er strenge begrensninger på barneverntjenestens adgang til å gi andre innsyn i disse. Som et utgangspunkt kan opplysningene bare brukes til det formål de er innhentet for, og adgang til spredning til andre er sterkt begrenset. Det er foreldrene og eventuelt barnet som er parter i en barnevernsak, og som således kan utøve partsrettigheter, herunder rett til innsyn i dokumenter.
Personopplysningslovgivningen
Z kommune, herunder barneverntjenesten, er svært opptatt av å ivareta personvernhensyn, og etterleve de krav som personvernlovgivningen stiller. Barneverntjenesten innhenter og lagrer personopplysninger bare så langt det er nødvendig for å ivareta de plikter kommunen har etter lovgivningen, jf. personvernforordningen artikkel 5.
Kommunen har behandlingsgrunnlag for behandlingen av personopplysninger i artikkel 6 nr. 1 bokstav e (nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt), eventuelt artikkel 6 nr. 1 bokstav c (nødvendig for å oppfylle en rettslig forpliktelse).
Z kommune er enig i at det er den aktuelle omsorgssituasjonen som er det sentrale i en barnevernsak. Men for forforståelse av den aktuelle omsorgssituasjonen er det ofte relevant å få innsikt i forhistorien. I forhistorien kan det ligge kunnskap til forståelse av de utfordringer en familie for tiden står i. Derfor vil denne type informasjon ikke være irrelevant, men det vil sjelden eller aldri være slik at «20 år gamle personopplysninger» i seg selv vil danne grunnlag for tiltak i dag. Relevansen av slik bakgrunnshistorie bestemmes også av hvordan for eksempel foreldrene selv i dag årsaksforklarer sine vansker og utfordringer.
Barneverntjenesten bestreber seg naturligvis på å innhente og bygge på korrekte, etterprøvbare opplysninger. Opplysninger om rent objektive forhold skal alltid være korrekte.
Det ligger imidlertid i sakens natur at de opplysningene barneverntjenesten arbeider med, i stor grad bygger på subjektive opplevelser og følelser hos de som har stått midt oppi ulike typer livsproblemer. For eksempel vil et barns utsagn/opplevelse av «å ikke ha det bra hjemme», ikke alltid kunne «bevises» eller slås fast som en objektiv sannhet. Det samme vil gjelde når en forelder beskriver egen vanskelig oppvekst.
Barneverntjenesten har likevel plikt til å ta vedkommende sin opplevelse og virkelighetsoppfatning i betraktning, og det gjelder selv om det i denne virkelighetsbeskrivelsen kan ligge indirekte anklager og bebreidelser av andre personer. Videre spredning av disse opplysningene begrenses gjennom reglene om taushetsplikt.
Kommunen kan ikke slette personopplysningene. Opplysningene er arkivverdige og barnevernet har arkivplikt etter arkivlova, jf. personvernforordningen artikkel 17 nr. 3 bokstav d og arkivlova § 9.
Utover de opplysninger som barneverntjenesten i Z har mottatt fra barneverntjenesten i Y, foreligger det intet som direkte omhandler klagerne. Det foregår heller ingen aktuell innsamling av nye opplysninger, verken om klagerne eller omstendighetene som barneverntjenesten i Y har informert om.
De opplysningene som er mottatt fra barneverntjenesten i Y er journalført og lagret i henhold til arkivlovens bestemmelser og innenfor rammen av personvernforordningen. Dokumentene/journalen er påført en påtegning som viser at klagerne har påklaget registreringen, og kommunens vurdering og konklusjon.
Personvernnemndas vurdering
Personvernnemnda skal ta stilling til om barneverntjenesten i Z har behandlet personopplysninger ulovlig. Det er spørsmål om barnevernets behandlingsgrunnlag for å behandle gamle opplysninger i en ny undersøkelsessak, samt krav om innsyn, retting, sletting, eventuelt begrenset behandling av opplysninger i barneverntjenestens arkiv.
Behandlingsansvar
A og B har klaget over det de oppfatter som ulovlig behandling av i hovedsak de samme personopplysningene i fire ulike kommuner og har anført at kommunene har felles behandlingsansvar. Det dreier seg om opplysninger opprinnelig innsamlet i X kommune i forbindelse med en barnevernsak vedrørende klagerne og deres omsorg for sine barn. Disse opplysningene er senere utlevert til barneverntjenester i andre kommuner og brukt i barnevernsaker som gjelder to av klagernes barn og deres omsorg for sine barn.
Datatilsynet har behandlet klagen i fire separate saker, en for hver kommune, og har ansett den enkelte kommune som behandlingsansvarlig for den behandlingen som har skjedd i hver kommune. Nemnda er enig med Datatilsynet i at det er riktig å anse den enkelte kommune som behandlingsansvarlig for den behandlingen av personopplysninger som har skjedd i hver kommune, og at ikke alle kommunene har felles behandlingsansvar for all behandling i alle kommunene. Også nemnda har derfor behandlet klagen i fire separate saker; PVN-2020-16, PVN-2020-17 og PVN-2020-22, i tillegg til denne saken PVN 2020-18.
Nemnda legger til grunn at det er Z kommune som er behandlingsansvarlig for den behandlingen av personopplysninger som skjer i Z barnevern.
Særlige kategorier av opplysninger
I de oversendte dokumentene fra barneverntjenesten i Y framkommer det at C, som barn, var utsatt for «omsorgssvikt og vold i hjemmet». Personvernnemnda er enig med Datatilsynet i at dette ikke er opplysninger som faller inn under særlige kategorier av opplysninger i personvernforordningen artikkel 9. Hvilke opplysninger som framkommer om C i det vedlagte notatet fra helsestasjonen er ikke kjent. I og med at det er et notat som er utarbeidet på helsestasjonen i forbindelse med deres kontakt med en den gang 16 år gammel jente, er det en klar presumpsjon for at notatet inneholder opplysninger om enten fysisk eller psykisk helse for C, og nemnda legger det til grunn. Det betyr at opplysningene i notatet faller inn under særlige kategorier av opplysninger i artikkel 9 nr. 1 og behandling av dem forutsetter at et av vilkårene i artikkel 9 nr. 2 er oppfylt.
Behandlingsgrunnlag
Barneverntjenesten i Z mottok opplysningene fra barnevernet i en annen kommune. Barneverntjenestens bruk og lagring av personopplysningene representerer en behandling av personopplysninger som, for å være lovlig, må ha behandlingsgrunnlag i ett av alternativene i personvernforordningen artikkel 6. I tillegg må behandlingen falle inn under ett av alternativene i artikkel 9 nr. 2 bokstav a – j.
Barneverntjenestens oppgaver og plikter følger av barnevernloven. Når barneverntjenesten mottar bekymringsmeldinger om barn har barneverntjenesten en ubetinget plikt til å gå inn i og foreta nærmere undersøkelser, jf. barnevernloven §§ 4-2 og 4-3. I dette ligger en plikt til å samle inn og behandle opplysninger om barnet og barnets familie. Barneverntjenesten vil ha behandlingsgrunnlag for slik behandling av opplysninger i artikkel 6 nr. 1 bokstav c (nødvendig for å oppfylle en rettslig forpliktelse) og i artikkel 6 nr. 1 bokstav e (nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt), jf. barnevernlovens bestemmelser. I den grad det i notatet fra helsestasjonen fra 1998 er opplysninger om Cs psykiske eller fysiske helse, har kommunen også behandlingsgrunnlag i artikkel 9 nr. 2 bokstav g, jf. barnevernlovens bestemmelser.
Opplysningene som behandles må være «adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for», jf. artikkel 5 bokstav c. Nemnda har kommet til at også disse vilkårene er oppfylt, selv om opplysningene er gamle og beskriver omsorgssituasjonen, slik den ble oppfattet av barneverntjenesten, hjemme hos C og hennes foreldre (klagerne). Cs forhistorie kan gi kunnskap til forståelse av de utfordringer hun som mor har i dag. At dette innebærer at det også indirekte behandles opplysninger om Cs foreldre, som ikke er parter i den barnevernsaken som Z kommune har behandlet, endrer ikke denne vurderingen. Det er heller ikke avgjørende at C ikke ble plassert i fosterhjem den gangen. Det er opplyst at de [antall] yngste av en søskenflokk på [antall] ble plassert i fosterhjem. C, som var en av de eldste, flyttet ut, men ikke i fosterhjem. Nemnda viser til barneverntjenestens redegjørelse for betydningen av denne typen opplysninger om omsorgspersoners oppvekst og egen omsorg som barn.
I den grad opplysningene som behandles også omfatter opplysning om lovovertredelser er personvernforordningen artikkel 10 ikke til hinder for dette i og med at behandlingen skjer under en offentlig myndighets kontroll og er tillatt etter barnevernloven og forvaltningsloven.
Z kommunes behandling av opplysninger om C (hennes omsorgssituasjon hjemme hos sine foreldre og opplysninger gitt om henne i et notat fra helsestasjonen da hun var 16 år) er dermed lovlig og i tråd med personvernforordningen.
Innsyn
A og B har bedt om innsyn i notatet om C fra 1998. Rett til innsyn i et dokument reguleres av forvaltningsloven og offentlighetsloven. Nemnda forstår Z kommunes uttalelse i brev til klagerne 14. mai 2019 slik at de ikke gir A og B innsyn i notatet under henvisning til taushetsplikten, jf. barnevernloven § 6-7. Kommunen viser til at det er foreldrene og eventuelt barnet som er parter i en barnevernsak, og som er de som kan utøve partsrettigheter, herunder kreve innsyn i dokumenter. Klage over barneverntjenestens vedtak om innsyn kan påklages til fylkesmannen, jf. barnevernloven § 6-5.
Det nemnda kan ta stilling til er den eller de registrertes krav til innsyn etter personvernforordningen artikkel 15. Etter denne bestemmelsen har den registrerte rett til å få en bekreftelse fra den behandlingsansvarlige på om personopplysninger om vedkommende behandles, og dersom det er tilfellet, innsyn i disse personopplysningene. Retten gjelder uavhengig om man er part eller ikke. Artikkel 15 gir imidlertid ikke rett til innsyn i opplysninger om andre enn den registrerte selv. Det følger videre av artikkel 15 nr. 4 at retten til å motta en kopi som nevnt i artikkel 15. nr. 3 ikke skal ha negativ innvirkning på andres rettigheter og friheter. Nemnda legger til grunn at i den grad opplysningene i notatet er omfattet av barneverntjenestens taushetsplikt, kan notatet ikke utleveres til andre enn barnevernsakens parter (C).
Kravet om innsyn etter personvernforordningen artikkel 15 tas etter dette ikke til følge.
Sletting
A og B har også bedt om at opplysningene slettes, jf. personvernforordningen artikkel 17. Nemnda oppfatter at A og B primært viser til artikkel 17 nr. 1 bokstav a som grunnlag for sletting: «personopplysningene er ikke lenger nødvendige for formålet som de ble samlet inn eller behandlet for».
Nemnda vil først bemerke at artikkel 17 nr. 1 gir «den registrerte» på visse vilkår rett til å få opplysninger om seg slettet. Det omtalte notatet fra 1998 som kreves slettet omhandler primært C, som den gangen var barn, men nå er voksen. Notatet er innhentet av Z kommune i forbindelse med en undersøkelsessak etter barnevernloven hvor C er part. Cs foreldre har ikke uten videre rett til å kreve sletting av opplysninger om seg selv som indirekte framkommer av registrerte opplysninger om C. I og med at nemnda ikke er kjent med innholdet i det aktuelle notatet og nemnda uansett har kommet til at det etter arkivlova ikke er adgang til å etterkomme kravet om sletting, går ikke nemnda nærmere inn på denne problemstillingen.
Artikkel 17 nr. 3 bokstav b og d gjør unntak fra retten til sletting dersom behandlingen av personopplysninger er nødvendig
«b) for å oppfylle en rettslig forpliktelse som krever behandling i henhold til unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, eller for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt,
[…]
d) for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1 i den grad rettigheten nevnt i nr. 1 sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås, […]»
Om unntakene i artikkel 17 nr. 3 bokstav b og d sier departementet i Prop. 56 LS (2017-2018) side 81:
«Artikkel 17 nr. 3 bokstav d gjør på samme vilkår som i artikkel 14 nr. 5 bokstav b unntak fra retten til sletting. Den registrerte har altså ikke krav på sletting dersom dette vil umuliggjøre eller i alvorlig grad hindre oppfyllelsen av formålene med behandling for arkiv, forskning og statistikk i samsvar med artikkel 89 nr. 1. Det kan videre nevnes at den registrerte heller ikke har rett til sletting dersom behandlingen er nødvendig for å oppfylle en rettslig forpliktelse etter unionsretten eller nasjonal rett eller for å utføre en oppgave i allmennhetens interesse, jf. artikkel 17 nr. 3 bokstav b. Dette innebærer at arkivlovas regler om kassasjon og innskrenket råderett på samme måte som i dag vil gå foran retten til sletting, jf. § 28 første ledd i dagens lov [2000]. I motsetning til gjeldende personopplysningslov [2000] gir forordningen ingen kompetanse for Datatilsynet til å fatte vedtak om sletting som går foran arkivlovgivningen, sml. gjeldende personopplysningslov [2000] § 27 tredje ledd og § 28 fjerde ledd.»
Barnevernsaken i Z ble avsluttet 15. april 2019 etter frivillige hjelpetiltak. Formålet med fortsatt oppbevaring av opplysningene er nå begrunnet i arkivformål i allmennhetens interesse, jf. bestemmelsene om arkivverdig materiale i arkivlova. Det følger av personvernforordningen artikkel 5 nr. 1 bokstav b at en viderebehandling av opplysninger for arkivformål i allmennhetens interesse ikke anses uforenlig med det opprinnelige formålet.
Arkivlova med forskrifter har regler om arkivering og bevaring av dokumenter. Formålet med arkivlova er ifølge loven § 1:
«å tryggja arkiv som har monaleg kulturelt eller forskningsmessig verde eller som inneheld rettsleg eller viktig forvaltningsmessig dokumentasjon, slik at desse kan verta tekne vare på og gjorde tilgjengelege for ettertida».
Av Riksarkivarens forskrift (forskrift 19. desember 2017 nr. 2286) § 7-1 bokstav c følger det at formålet blant annet er å:
«sikre at arkiv ikke blir kassert før rettslige og forvaltningsmessige dokumentasjonsbehov er bortfalt.»
I forskriftens del III er det fastsatt hvilke sakstyper som ikke kan slettes («gjøres til gjenstand for kassasjon»), se § 7-23 og § 7-28 niende ledd. I § 7-28, niende ledd, bokstav d er det bestemt at «saker knyttet til særlige tiltak i henhold til barnevernsloven, inkludert undersøkelser av bekymringsmeldinger, utredninger, saksbehandling, tiltak og oppfølging av tiltak» skal bevares for ettertiden og ikke gjøres til gjenstand for kassasjon. Barneverntjenesten i Z kan derfor ikke pålegges å slette disse opplysningene. Dette følger både av personvernforordningen § 17 nr. 3 bokstav b (rettslig forpliktelse), jf. arkivlova § 9 bokstav c, og av personvernforordningen artikkel 17 nr. 3 bokstav d (arkivformål i allmennhetens interesse).
Kravet om sletting tas etter dette ikke til følge.
Begrenset behandling
Subsidiært har A og B påberopt retten til begrensning av behandlingen etter personvernforordningen artikkel 18.
Retten til begrenset behandling er ny rettighet ved ikrafttredelsen av personopplysningsloven 2018. Begrensning av behandling er i forordningen artikkel 4 nr. 3 definert som «merking av lagrede personopplysninger med det som mål å begrense behandlingen av disse i framtiden».
Retten til begrensning etter artikkel 18 nr. 1 inntrer dersom a) opplysningenes riktighet er omtvistet, b) behandlingen er ulovlig og den registrerte motsetter seg sletting av personopplysningene og i stedet anmoder om begrensning, c) behandling ikke lenger er nødvendig, men opplysningene trengs for å fastsette, gjøre gjeldende eller forsvare et rettskrav, eller d) den registrerte har protestert mot videre behandling i medhold av artikkel 21 nr. 1, i påvente av en avgjørelse av om videre behandling kan skje.
Nemnda slutter seg til Datatilsynets vurdering om at A og B ikke fyller vilkårene for begrensning av behandlingen av personopplysningene, jf. personvernforordningen artikkel 18. Selv om riktigheten av opplysningene er omtvistet ved at A og B bestrider riktigheten av dem, vil nemnda for det første peke på at denne saken i stor grad dreier seg om opplysninger som det ikke er aktuelt å få verifisert. Det dreier seg dels om subjektive vurderinger fra helsestasjonen og barnevernmyndighetene som beskriver disses vurdering av de faktiske forholdene. Videre er det etter nemndas oppfatning ikke naturlig å pålegge begrenset behandling av opplysninger som klagerne ikke har innsynsrett i, jf. ovenfor. Nemnda anser samlet sett at A og Bs personvern er tilfredsstillende ivaretatt ved at de gis rett til å framlegge en supplerende erklæring, jf. nedenfor.
Vilkårene for begrenset behandling etter artikkel 18 er dermed ikke til stede.
Retting
I likhet med Datatilsynet legger nemnda til grunn at A og B gjennom klagen til Z kommune har fått adgang til å framlegge en supplerende erklæring, slik at retten til retting etter personvernforordningen artikkel 16 er oppfylt.
Konklusjon
A og B får ikke medhold i sin klage. Z kommunes behandling av personopplysninger er lovlig og i tråd med personvernforordningen. De registrerte opplysningene kan ikke kreves slettet etter artikkel 17 eller begrenses etter artikkel 18. A og B har ikke krav på ytterligere innsyn i opplysningene etter artikkel 15. Retten til retting er oppfylt gjennom en supplerende erklæring.
Datatilsynets vedtak opprettholdes.
Vedtaket er enstemmig.
Oslo, 2. februar 2021
Mari Bø Haugstad
Leder