Spesielt om uredigerte medier
Når det publiseres ytringer for journalistiske, akademiske, kunstneriske eller litterære formål i uredigerte medier, kan det altså gjøres unntak fra personvernreglene "så langt det er nødvendig for utøvelsen av retten til ytrings- og informasjonsfrihet". Hva innebærer så det?
Nødvendighetsvurderingen gjelder i første rekke de ulike formene for behandlinger som omfattes av journalistiske formål i uredigerte medier. Med uredigerte medier menes som tidligere nevnt publiseringsplattformer uten en sentral redaktørfunksjons underlagt medieansvarsloven slik som blogger, debattforumer og sosiale medieplattformer.
Vurderingen skal sikre at det ikke blir gjort unntak fra personvernregelverket i uforholdsmessig stor grad. Det som er sentralt, er derfor å finne ut om det er nødvendig å gjøre unntak fra personvernregelverket i den konkrete situasjonen av hensyn til retten til ytrings- og informasjonsfriheten. Det er for eksempel ikke adgang til å gjøre unntak fra personvernreglene fordi det vil være praktisk eller gunstig.
§ 3 Forholdet til ytrings- og informasjonsfriheten (første del)
"Så langt det er nødvendig for utøvelsen av retten til ytrings- og informasjonsfrihet, gjelder ikke personvernforordningen og loven her ved behandling av personopplysninger for journalistiske formål eller med henblikk på akademiske, kunstneriske eller litterære ytringer. Ved vurderingen av i hvilken utstrekning personvernforordningen og loven her gjelder ved behandlingen, skal det særlig tas hensyn til
a. samfunnets interesse i behandlingen eller ytringer den leder frem til
b. atferdsnormer, etiske retningslinjer og selvdømmeordninger eller lignende som bidrar til å ivareta den registrertes personvern ved behandlingen
c. negative konsekvenser en anvendelse av bestemmelser i personvernforordningen eller loven her kan få for utøvelsen av ytrings- og informasjonsfriheten
d. konsekvensene behandlingen kan få for den registrerte, og om den registrerte har et særskilt behov for vern."
Det er ikke et krav at behandlingen bare har ett formål, men en behandling som skjer for eksempel bare til journalistiske formål, vil ha et langt sterkere vern etter ytrings- og informasjonsfriheten enn behandlinger som samtidig har andre formål. I en nødvendighetsvurdering vil det derfor normalt ha betydning om behandlingen utelukkende skjer for journalistiske formål, eller om den også har andre formål.
Resultatet av en nødvendighetsvurdering vil variere basert på ulike situasjoner. For noen ytringer vil det innebære at det gjøres unntak for de fleste bestemmelsene i personvernregelverket, mens for andre ytringer vil noen bestemmelser fremdeles gjelde. For eksempel kan man etter en nødvendighetsvurdering komme frem til at det ikke kan gjøres unntak fra kravet til behandlingsgrunnlag, slik som for eksempel samtykke. Vurderingen kan også resultere i at den som blir omtalt skal beholde rettighetene som følger av personvernregleverket, slik som for eksempel retten til sletting.
Momenter som skal vektlegges
I personopplysningsloven § 3 er det en liste over momenter som det skal legges vekt på i nødvendighetsvurderingen. Det skal altså gjøres en helhetsvurdering basert på alle disse momentene dersom det er aktuelt å gjøre unntak fra personvernforordningen.
Merk at i tillegg til det som står i selve lovteksten, kan også andre hensyn være relevante. Vi anbefaler sterkt at alle vurderingene som gjøres blir dokumentert. Datatilsynet vil kunne kontrollere og overprøve vurderinger som blir gjort.
Vi skal her se nærmere på de fire momentene som er nevnt i lovteksten:
a. Samfunnets interesse i behandlingen eller ytringer den leder frem til
Det skal altså legges vekt på samfunnets interesse i behandlingen eller ytringen den leder frem til. Desto større samfunnsinteressen er, jo større vekt skal det legges på hensynet til at den ansvarlige ikke skal trenge å forholde seg til personvernregelverket.
Den europeiske menneskerettighetsdomstolen har gjennom sin praksis lagt til grunn at ytringer som skal fremme informasjonsutveksling i det offentlige rom, skape debatt eller avdekke kritikkverdige forhold av allmenn interesse, typisk vil ha et sterkt vern. Å tilfredsstille en bestemt leserkrets nysgjerrighet i andres privatliv, vil vanligvis ikke anses å være i samfunnets interesse.
Eksempel
Graden av samfunnets interesse i en artikkel som retter et kritisk blikk på en politikers flyforbruk i jobbsammenheng, vil nok anses større enn et blogginnlegg som eksponerer private ferieplaner til den samme politikeren og hennes familie.
Identifisering av personer
Det er også relevant å vurdere samfunnets interesse i at personer identifiseres i en ytring, og graden av identifikasjon. Selv om forholdet som omtales kan ha en samfunnsinteresse, er det ikke nødvendigvis slik at det er en tilsvarende interesse i at enkeltpersoner blir identifisert.
Det vil her kunne være relevant å vurdere om reglene om dataminimering og behandlingsgrunnlag bør gjelde, slik at det kan tas stilling til i hvilken grad det er grunnlag for å indentifisere enkeltpersoner.
Eksempel
En privatperson publiserer en rekke intervjuer av barn på sin YouTube-kanal. Formålet med ytringene er å kritisere hvordan norske kommuner håndterer mobbesaker i skolen.
I dette scenariet er det mye som kan tale for at behandlingen av personopplysninger har et journalistisk formål. Hvorvidt det skal gjøres unntak fra kravene i personvernregelverket, vil dermed bero på en nødvendighetsvurdering. Her vil det være relevant å vurdere om det er nødvendig av hensyn til ytrings- og informasjonsfriheten å eksponere barna med navn og bilde for å oppnå det journalistiske formålet. Selv om forholdet som omtales kan ha en samfunnsinteresse, må det likevel stilles spørsmål ved om det foreligger tilsvarende interesse i at barna indentifiseres.
Hvorvidt ytringen dreier seg om en offentlig person kan også ha relevans. Personvernhensyn gjør seg i mindre grad gjeldende dersom ytringen dreier seg om en offentlig person. Dersom ytringen utelukkende gjelder noens personlige forhold, står personvernhensynene likevel sterkt selv om det er en offentlig person.
Eksempel
En person publiserer en tekst på nett som handler om hvordan en navngitt kjent person fra finanseliten unngår skattlegging. Vedkommende er en av Norges rikeste mennesker og er et kjent ansikt i norsk offentlighet. Teksten retter et kritisk søkelys på hvordan systemet gjør det mulig å utnytte smutthull i loven for å unngå beskatning. I teksten blir det publisert dokumentasjon som viser hvordan vedkommende på en kynisk måte har gått frem for å unngå beskatning. Formålet med teksten å belyse et samfunnsproblem og skape debatt.
Datatilsynet mener teksten vil ha et journalistisk formål og være unntatt fra de fleste reglene i personopplysningsloven.
Dersom det også publiseres informasjon av privat karakter slik som for eksempel informasjon om vedkommendes psykiske helse, pågående seperasjon fra kona og/eller bilder av vedkommes barn, mener vi det ikke har noen samfunnsinteresse og at det for denne delen av teksten ikke kan gjøres unntak fra reglene i personopplysningsloven.
Må vurdere alle deler av behandlingen
Vurderingen gjelder samfunnsinteressen av "behandlingen eller ytringen den leder frem til". Det er altså ikke bare selve ytringen som skal vurderes, men også behandlingen som skjer i forkant av selve ytringen. Samfunnet vil også kunne ha en interesse i at en behandling av personopplysninger finner sted, selv om det ikke resulterer i en ytring.
b. Atferdsnormer, etiske retningslinjer, selvdømmingsordninger eller lignende som skal ivareta personvernet
Det skal legges vekt på atferdsnormer, etiske retningslinjer, selvdømmeordninger eller lignende forutsatt at disse bidrar til å ivareta den registrertes personvern. Det er ikke et krav om at disse mekanismene utelukkende eller direkte har til hensikt å ivareta de registrertes personvern. Dette kan være en indirekte konsekvens.
Begrepene "atferdsnormer" og "etiske retningslinjer" er ment å skulle tolkes vidt, men de aktuelle normene og retningslinjene må ha en viss legitimitet og oppslutning. Det understrekes at en atferdsnorm i denne sammenhengen ikke er begrenset til å forstås som atferdsnorm etter personvernforordningen § 40. Når det gjelder "selvdømmingsorgan eller lignende", omfatter det både selvdømmingsordninger og andre relevante ordninger som har en lignende funksjon som en selvdømmeordning.
Forskningsetiske normer, utvalg, komiteer og lignende etter forskningsloven – og som bidrar til å ivareta personvernet ved behandlingen – vil være relevante å se hen til i vurderingen av akademiske ytringer.
c. Negative konsekvenser for ytrings- og informasjonsfriheten
Ytrings- og informasjonsfriheten skal gis tilstrekkelig plass. Det må derfor gjøres en vurdering av hva slags negativ innvirkning ulike bestemmelser i personvernforordningen eller personopplysningsloven kan ha for ytringsfriheten. Enkelte bestemmelser, slik som retten til retting av uriktige opplysninger eller supplering av ufullstendig personopplysninger, vil være mindre inngripende enn for eksempel retten til sletting.
Bestemmelsene som direkte regulerer adgangen til å behandle personopplysninger, vil som oftest gripe inn i ytringsfriheten i stor grad. De mest praktiske eksemplene på dette er reglene om rettslig grunnlag i artikkel 6, og artikkel 9 og 10 om særlige kategorier av personopplysninger og opplysninger om straffbare forhold. Det samme kan gjelde for prinsippene om formålsbegrensing, dataminimering og lagringsbegrensing.
Man må også vurdere de samlede virkingene av reglene. Bestemmelser som isolert sett ikke vurderes for inngripende, kan likevel samlet sett medføre at inngrepet i ytrings- og informasjonsfriheten blir for stor.
Det kan også vurderes om enkelte bestemmelser bare bør gjelde delvis, eller om reglene skal gis utsatt anvendelse. Dette kan for eksempel være at den registrerte får en begrenset innsynsrett eller at den registrertes rett til å protestere først inntrer når ytringen er publisert.
Videre må det legges vekt på det mer overordnede hensynet til å gi ytrings- og informasjonsfriheten tilstrekkelig albuerom. For en behandlingsansvarlig kan det være utfordrende å fortløpende ta stilling til om reglene etterleves og å vite at Datatilsynet vil ha myndighet til å føre tilsyn, noe som kan gi en nedkjølingseffekt for den som ønsker å komme med ytringen.
d. Konsekvensene for den registrerte
Det skal legges vekt på konsekvensene behandlingen vil ha for den registrerte. Dersom behandlingen er inngripende for den registrerte, trekker det i retning av at deres interesser bør sikres gjennom personvernreglene.
Hva som er tema, formålet og innholdet av behandlingen, er relevant for å avgjøre hvor inngripende behandlingen er. Det er særlig relevant å vurdere om personopplysningene gjør det mulig for allmennheten å identifisere den registrerte, eller om dette kun vil gjelde en begrenset krets.
Barn har et særskilt behov for vern. Barn kan for eksempel ikke på samme måte som vokse forutse konsekvensene av en publisering. Publisering av private og sensitive personopplysninger om barn er særlig inngripende. Det kan få negative konsekvenser i nåtid for barna som er omtalt, men også videre i livet. Ofre eller pårørende i saker som gjelder ulykker eller kriminelle forhold, er også grupper som kan ha særskilt behov for vern.
For personer som ikke har en samfunnsfunksjon, gjør personvernhensyn seg i større grad gjeldende, enn dersom den omtalte er en offentlig person. Offentlige personer må som tidligere nevnt tåle mer inngripende behandling av personopplysninger, men det går likevel også her en grense for behandling av personopplysninger av personlig karakter.