Artikkelen sto først på trykk i Slekt og data, medlemsblad for DIS-Norge, nr. 1/2005.
Slektsforskningens fundament er basert på innhenting og bearbeiding av opplysninger som kan knyttes til en enkeltperson. Denne bruken av personopplysninger kan stille personvernet overfor utfordringer, selv om forskningen har et beskyttelsesverdig og samfunnsnyttig formål. Dette gjelder i særlig grad slektsforskning knyttet til bruk av Internett.
Med ”personvern” menes enkeltmenneskets grunnleggende interesse i å trekke en beskyttende grense rundt sin egen person. Interessen som ivaretas er ideell, og vernes gjennom blant annet Europeiske menneskerettskonvensjon og EU’s personverndirektiv, som begge er gjort til en del av norsk rett. Personvernregelverket bygger på det hensyn at det er i samfunnets interesse at borgeren i størst mulig utstrekning skal kunne ha kontroll over egne personopplysninger.
Personopplysningsloven
Loven regulerer behandling av opplysninger og vurderinger som kan knyttes til en enkeltperson. Formålet med loven er å beskytte den enkelte mot at personvernet blir krenket gjennom behandlingen.
Det er innledningsvis verdt å bemerke at loven i utgangspunktet regulerer enhver bruk av personopplysninger. Dette omfatter innsamling, registrering, sammenstilling, lagring, utlevering eller en kombinasjon av slike bruksmåter. Forutsetningen er imidlertid at opplysningene direkte eller indirekte kan knyttes til en enkeltperson. Navn, fødselsdato, fødested, opplysninger om familieforhold etc, er typiske personopplysninger i denne sammenheng. Hvis opplysningene samtidig sier noe om enkeltpersonens helseforhold, rasemessige eller etniske bakgrunn, religiøse oppfatning, vandel etc. vil opplysningene anses som sensitive, og underlegges særlig strenge regler etter loven.
Et annet sentralt vilkår for at personopplysningsloven skal komme til anvendelse, er at enkeltpersonen det behandles personopplysninger om, er levende. I følge forarbeidene til loven omfattes ikke opplysninger om en avdød person, med mindre opplysningen også kan knyttes til en levende person. Denne noe uklare begrensningen skal ivareta etterlattes personvern, men det er ikke klart etter loven hvilke typer opplysninger som omfattes, hvor nært tilknytningsforhold det må være mellom den avdøde og etterlatte, eller om det er noen ”bindingstid” for behandling av personopplysningene. Enkelte eksempler kan imidlertid illustrere at personverntrusselen er så betydelig vis a vis de etterlatte, at loven bør gis anvendelse, dette omfatter for eksempel offentliggjøring av obduksjonsrapporter og offentliggjøring av sykejournal like etter dødsfallet. Riksarkivarens retningslinjer for offentliggjøring kan etter tilsynets oppfatning brukes som norm i slike tilfelle. For øvrig er slektsforskeren etter tilsynets oppfatning tillagt et forskningsetisk ansvar for å vurdere om det er betenkelig å offentliggjøre opplysningene. Etterlattes personvern etter loven vil trolig vurderes når denne skal etterkontrolleres og revideres i 2005.
Vesentlige unntak fra loven
Personopplysningsloven omfatter ikke ”behandling av personopplysninger som den enkelte foretar for rent personlige eller andre private formål.” Lovgiver ønsket ikke å regulere denne typen behandling, all den tid personverntrusselen ble ansett for liten, i tillegg til at regulering ble oppfattet som et uønsket inngrep i den enkeltes privatliv. Unntaket omfatter for eksempel innsamling og bearbeiding av slektsdata som forskeren foretar på sin egen private PC eller kartotek, uten at opplysningene offentliggjøres eller på annen måte tilgjengeliggjøres. Unntaket omfatter på den annen side ikke foreningers eller klubbers behandling av personopplysninger, all den tid behandlingen foretas utenfor den rent private sfære, i tillegg til at mengden opplysninger som behandles presumptivt er større, slik at personverntrusselen øker. På samme måte vil økonomisk aktivitet som overstiger det som er vanlig for fritidsaktiviteter, ikke være omfattet av unntaket. Slektsforskning med kommersielle elementer, f.eks enkeltpersoner som leverer slektsforskningstjenester mot betaling, vil følgelig heller ikke være omfattet av unntaket. På samme måte kommer unntaket ikke til anvendelse når en forening eller et historielag går sammen om å gi ut en slektsbok/bygdebok og samtidig tjener noen kroner på dette. I slike tilfeller vil man vanskelig kunne si at formålet er rent personlig eller privat. Loven gir imidlertid ytterligere unntak for ivaretakelse av ytringsfriheten, som vil kunne være relevant i sistnevnte sammenheng*.
Den moderne slektsforskning gjør i vesentlig grad bruk av elektroniske hjelpemidler og kommunikasjonsnett. Forskningsdataene legges for eksempel ut på slektsforskerens private internettsider. Kan slik publisering sies å være foretatt for rent personlige eller andre private formål, slik at loven ikke gis anvendelse?
Før 2003, la Datatilsynet til grunn at de fleste private internettsider var unntatt fra personopplysningslovens anvendelse, all den tid slike sider i de fleste tilfeller var lagt ut for rent personlige eller andre private formål. Tilsynet vurderte i praksis om internettsidene hadde kommersielle elementer, i den forstand at den var opprettet med ønske om økonomisk inntjening, jf. over. En slik vurdering av det subjektive formålet, hadde støtte i forarbeidene til loven.
I 2003 avsa imidlertid EU domstolen avgjørelse i den såkalte Lindqvistsaken. Bodil Lindqvist var tiltalt i Sverige for overtredelse av den svenske personuppgiftslagen, som ivaretar Sveriges forpliktelser etter EU’s personverndirektiv. Overtredelsene omfattet blant annet publisering av personopplysninger om arbeidskolleger på en privat hjemmeside, uten at disse hadde samtykket til publiseringen. Det var på det rene at siden ikke var opprettet med økonomisk vinnings hensikt. Et sentralt spørsmål i saken var hvordan personverndirektivets unntak for behandling av personopplysninger som utføres av fysiske personer som ledd i rent personlige eller familiemessige aktiviteter skulle forstås i forhold til privatpersoners internettsider. EU- domstolen slo fast at det avgjørende vurderingstema etter direktivets unntak, er om personopplysningene er gjort tilgjengelig for et ubestemt antall personer. Lindqvist hadde lagt personopplysningene ut på Internett, og ble på denne bakgrunn domfelt i Sverige for publiseringen.
Konsekvensen av EU- domstolens avgjørelse i Lindqvistsaken er at de fleste internettsider med personopplysninger opprettet av privatpersoner vil omfattes av personverndirektivet, og dermed av den norske personopplysningsloven. Det avgjørende vurderingstema etter personopplysningslovens unntak for privat behandling, er følgelig ikke lengre om formålet med behandlingen har økonomiske elementer, men om personopplysningene er tilgjengeliggjort for et ubestemt antall personer. Det er imidlertid verdt å merke seg at Lindqvistsaken bare gjaldt publisering på Internett. I andre tilfelle må formålet med behandlingen fortsatt kunne tillegges vekt når unntaket vurderes.
En interessant, men fortsatt uavklart problemstilling som har oppstått etter Lindqvistsaken, er om brukerbegrensning til nettstedet kan medføre at unntaket i direktivet og loven for privat behandling av personopplysninger, likevel gis anvendelse. Kan behandlingen for eksempel unntas regulering etter loven når bare personer med brukernavn og passord kan skaffe seg tilgang til personopplysningene? I forhold til ulike foreninger og klubber, er det avgjørende at behandlingen ikke kan anses for rent privat eller personlig, jf. over. Spørsmålet er derfor bare relevant i forhold til privatpersoner som for eksempel gir sin nærmeste familie tilgang til nettstedet med eget brukernavn og passord. Trolig faller slike tilfelle under unntaket slik dette fortolkes etter Lindqvistsaken. Hvis derimot enhver som ønsker det, kan skaffe seg brukernavn og passord og dermed tilgang til nettstedet og de personopplysninger som der fremgår, fremstår det som mer tvilsomt om unntaket for privat behandling kommer til anvendelse. Den mest plausible løsning er trolig at slike sider ikke omfattes av unntaket all den tid kretsen av personer som kan skaffe seg tilgang til personopplysningene fortsatt er ubestemt, jf. over.
Anvendelse av loven. Sentrale plikter
Under forutsetning av at slektsforskningsdataene er knyttet til levende personer, og ikke behandles til private formål, vil personopplysningsloven etter dette som hovedregel komme til anvendelse. Loven pålegger den som er ansvarlig for behandlingen av personopplysninger en rekke plikter, for eksempel plikt til å kunne vise til et gyldig rettsgrunnlag for behandlingen, plikt til å behandle personopplysningene til et på forhånd spesifikt angitt formål, samt plikt til å sørge for at personopplysningene er korrekte og oppdaterte.
Et særlig interessant spørsmål i denne sammenheng er hvilket rettsgrunnlag slektsforskeren må kunne vise til når slektsdata knyttet til nålevende personer publiseres på Internett. Kreves det alltid samtykke fra den opplysningene er knyttet til? Datatilsynet ser det hensiktsmessig å trekke et skille mellom ulike opplysningstyper her. Forutsatt at opplysningene kun omfatter personnavn og slektstilknytning, er tilsynet av den oppfatning at disse opplysningene kan publiseres uten samtykke fra de(n) omtalte. Dette begrunnes med at personverntrusselen anses liten, all den tid opplysningene til en viss grad allerede er offentlig tilgjengelig. Personer som på eget initiativ fremsetter ønske om at slike opplysninger om en ikke skal publiseres, bør imidlertid få medhold på dette punkt. Hvis opplysningene derimot er mer detaljerte enn personnavn og slektstilknytning, anser tilsynet det for påkrevd å innhente samtykke fra den som omtales, før personopplysningene publiseres. Personverninteressen vil her trolig veie tyngre enn forskerens interesse i å publisere personopplysningene.
* For behandling av personopplysninger utelukkende for kunstneriske, litterære eller journalistiske, herunder opinionsdannende, formål gjelder bare loven i begrenset utstrekning. Dette gjelder selv om behandlingen ikke kan sies å være foretatt for rent personlige eller andre private formål, for eksempel publisering av slektsforskningsbøker inneholdende personopplysninger