Hvem omfattes av unntakene?
I dette kapittelet vil vi beskrive nærmere hva hovedinnholdet i personopplysningsloven § 3 betyr.
§ 3 Forholdet til ytrings- og informasjonsfriheten
"Så langt det er nødvendig for utøvelsen av retten til ytrings- og informasjonsfrihet, gjelder ikke personvernforordningen og loven her ved behandling av personopplysninger for journalistiske formål eller med henblikk på akademiske, kunstneriske eller litterære ytringer. Ved vurderingen av i hvilken utstrekning personvernforordningen og loven her gjelder ved behandlingen, skal det særlig tas hensyn til
a. samfunnets interesse i behandlingen eller ytringer den leder frem til
b. atferdsnormer, etiske retningslinjer og selvdømmeordninger eller lignende som bidrar til å ivareta den registrertes personvern ved behandlingen
c. negative konsekvenser en anvendelse av bestemmelser i personvernforordningen eller loven her kan få for utøvelsen av ytrings- og informasjonsfriheten
d. konsekvensene behandlingen kan få for den registrerte, og om den registrerte har et særskilt behov for vern.
Uavhengig av hva som følger av første ledd, kan det ikke gjøres unntak fra personvernforordningen artikkel 24, 26, 28, 29, 32, 33 nr. 2 og 40 til 43, jf. kapittel I, VI, VIII, X og XI og kapittel 1, 2, 6 og 7 i loven her.
Når medier som er omfattet av medieansvarsloven, behandler personopplysninger utelukkende for formålene som nevnt i første ledd, gjelder kun bestemmelsene som nevnt i annet ledd."
Uredigerte medier
Den første delen av bestemmelsen retter seg i stor grad mot det vi har valgt å kalle uredigerte medier. Med uredigerte medier menes her publiseringsplattformer uten en sentral redaktørfunksjon underlagt medieansvarsloven. Eksempler på dette kan være blogger, debattforum og sosiale medieplattformer.
For at det skal kunne gjøres unntak fra personvernregelverket, må det i disse tilfellene for det første foreligge en ytring med et journalistisk formål, eller ytringer som er å anse som akademiske, kunstneriske eller litterære. Dersom det er tilfellet, kan det gjøres unntak fra personvernregelverket hvis det er nødvendig for utøvelsen av retten til ytrings- og informasjonsfriheten. Bestemmelsen legger altså opp til at det skal foretas en konkret nødvendighetsvurdering av behovet for unntak fra personvernregelverket.
Vurderingen som må gjøres etter den generelle unntaksbestemmelsen er dermed todelt:
- Skjer det en behandling av personopplysninger for journalistiske formål, eller med henblikk på akademiske, kunstneriske eller litterære ytringer? Hvis svaret er ja:
- Er det nødvendig å gjøre unntak fra personvernregleverket i den konkrete situasjonen av hensyn til utøvelsen av retten til ytrings- og informasjonsfriheten, og i så fall i hvilken utstrekning/omfang?
Bestemmelsen lister videre opp en rekke momenter det skal legges vekt på i nødvendighetsvurderingen (listen er ikke uttømmende). Vi vil komme nærmere inn på denne vurderingen i kapittel 4.
Redaktørstyrte medier
I den andre delen av bestemmelsen er det tatt inn en særskilt unntaksregel for redaktørstyrte medier som er omfattet av medieansvarsloven. Når disse behandler personopplysninger utelukkende for journalistiske, akademiske, litterære eller kunstneriske formål, vil de automatisk være unntatt fra store deler av personopplysningsloven.
Medieansvarsloven gjelder for medier som driver regelmessig journalistisk produksjon og publisering av nyheter, aktualitetsstoff, samfunnsdebatt eller annet innhold av allmenn interesse.
Vurderingen som må gjøres etter denne bestemmelsen er dermed todelt:
- Er mediet omfattet av medieansvarsloven? Hvis ja:
- Skjer det en behandling av personopplysninger utelukkende for journalistiske, akademiske, kunstneriske eller litterære formål?
- Hvis ja: Unntaksbestemmelsen kommer til anvendelse og gjør automatisk unntak fra store deler av loven.
- Hvis nei: Ytringen må vurderes etter den generelle unntaksbestemmelsen.
Bestemmelser som vil gjelde uansett
Personopplysningsloven § 3, annet ledd (lovdata.no) lister opp noen bestemmelser i personvernforordningen og personopplysningsloven som uansett alltid vil gjelde - både for de uredigerte og redaktørstyrte mediene.
Dette omfatter reglene om behandlingsansvarlige og databehandlere og plikten til å ha en databehandleravtale, plikten til å ha informasjonssikkerhet og internkontroll, reglene om atferdsnormer/bransjenormer og sertifiseringer, og bestemmelsene om tilsyn og sanksjoner.
Dere kan lese mer om de generelle pliktene på en egen samleside