Personvernnemndas vedtak 18. mars 2019 (Mari Bø Haugstad, Bjørnar Borvik, Line Coll, Gisle Hannemyr, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem).
Saken gjelder klage fra A på Datatilsynets vedtak 17. april 2018 om avslag på krav om sletting av saksdokumenter i arkivet til Fylkesmannen i X.
Sakens bakgrunn
A klaget til Fylkesmannen i X på en kommunelege i 1990. A har i ettertid opplevd klagesaken som en belastning og har bedt om at alle dokumentene fra klagesaken slettes fra fylkesmannens arkiv. Dokumentene som er lagret inneholder blant annet opplysninger om As helse og innleggelse på psykiatrisk avdeling.
A har opplyst at han to ganger anmodet Fylkesmannen i X om sletting av dokumentene knyttet til klagesaken på kommunelegen. Begge gangene ble anmodningen om sletting avslått med henvisning til arkivloven. I brev fra Fylkesmannen 4. april 2017 ble han informert om muligheten til å kontakte Datatilsynet som kunne fatte vedtak om at retten til sletting kunne gå foran reglene i arkivloven §§ 9 og 18, etter at Riksarkivaren var hørt, jf. personopplysningsloven 2000 § 28 fjerde ledd.
A kontaktet Datatilsynet første gang 5. april 2017 med krav om sletting av klagesaksdokumenter fra arkivet til Fylkesmannen i X. I brev fra Datatilsynet til A 19. juli 2017 la tilsynet til grunn at dokumentasjonsbehov tilsa at dokumentene ikke kunne slettes fra Fylkesmannen i Xs arkiv, jf. personopplysningsloven 2000 § 28 tredje ledd bokstav b. Tilsynet viste til at et alternativ til sletting var at personopplysningene kunne sperres. Da ville saken fremdeles finnes i arkivet, men tilgangen til opplysningene begrenses. Datatilsynet ba A henvende seg til Fylkesmannen i X om sperring av personopplysningene.
A sendte deretter et nytt krav om sletting av dokumentene til Datatilsynet 25. august 2017.
Datatilsynet ba Riksarkivaren om en vurdering i brev 28. november 2017, jf. personopplysningsloven 2000 § 28 fjerde ledd.
Riksarkivaren uttalte blant annet følgende i brev til Datatilsynet 5. februar 2018:
«Arkivlovens formål er å sikre at arkiv av vesentlig verdi blir bevart og gjort tilgjengelig for ettertiden, jf. arkivloven § 1. Det rettslige utgangspunktet er et kassasjonsforbud i arkivloven § 9 c. Det innebærer at offentlig arkiv ikke kan kasseres (tilintetgjøres) uten at det er hjemlet i arkivloven med forskrifter eller at Riksarkivaren har gitt særskilt samtykke til kassasjon. Statlige organer skal utarbeide egne spesifiserte bevarings- og kassasjonsregler. Reglene skal være godkjent av Riksarkivaren før de kan tas i bruk, jf. arkivforskriften § 16 første og annet ledd.
I den foreliggende saken er det fremsatt krav om sletting av arkivdokumenter i en sak som handler om psykisk helsevern og klage på kommunelege. Dokumentene hører inn under sakskategorier som i henhold til gjeldende bevarings- og kassasjonsregler for fylkesmannsembeter er vedtatt bevart for ettertiden.
Bevaring av denne type dokumentasjon er begrunnet i flere hensyn. Sakene dokumenterer utøvelse av en viktig offentlig oppgave der helsemyndigheters beslutninger og handlinger ofte kan innebære komplekse avveininger og betydelig grad av helsefaglig skjønn. Utfallet kan medføre omfattende og dyptgripende konsekvenser for enkeltpersoner. Dokumentasjonen vil ha stor rettsikkerhetsverdi for de enkelte blant annet for å kunne påvise eventuell mangelfull oppfølging eller feilbehandling. Den vil også kunne ha en rettssikkerhetsverdi for de som har innehatt offentlige roller som helsepersonell dersom det i ettertid stilles spørsmål ved behandlingen og myndighetsutøvelsen. Arkivdokumentene vil være verdifulle som forvaltingsdokumentasjon på at det har vært en sak og hva som ble gjort i den. Dokumentasjonen vil også kunne ha en betydelig forskningsmessig verdi. Det må i den forbindelse tas i betraktning at enkeltsaker inngår i en større sammenheng både i fylkesmannens arkiv og offentlige arkiver generelt. I forskningsøyemed vil det være behov for å se dokumentasjon på tvers av enkeltsakene. Sammen med dokumenter i andre tilsvarende saker, vil dokumentasjonen samlet danne grunnlag for å etterprøve myndigheters beslutninger og handlinger samt belyse utviklingen over tid utfra forskjellige samfunnsmedisinske, rettssikkerhetsmessige og forvaltningsmessige forskningsperspektiver.
Vi vurderer det slik at tilintetgjøring av denne type dokumentasjon kan medføre uønskede og uopprettelige konsekvenser for rettssikkerhetshensyn, arkivformål og forskningsformål. I denne saken er det også et viktig moment at dokumentene inngår i et større og sammensatt sakskompleks på tvers av flere offentlige organer. Dersom enkeltsaker og enkeltdokumenter vurderes isolert og tilintetgjøres, kan det medføre at det i ettertid skapes et skjevt og feilaktig bilde av faktiske forhold med negative konsekvenser for innbyggere eller forvaltingen.
På ovennevnte bakgrunn vil Riksarkivaren fraråde at dokumentasjon i denne type saker blir tilintetgjort. Vi vil samtidig slutte oss til Datatilsynets tidligere anbefaling om sperring av personopplysninger. Slik vi ser det, kan sperring være en egnet løsning til å ivareta både personvernhensyn og dokumentasjonshensyn i de tilfeller der offentlig arkiv anses å være av betydelig verdi for ettertiden, og det er fare for uønskede konsekvenser dersom dokumentasjonen tilintetgjøres.»
Datatilsynet avslo i vedtak 17. april 2018 As krav om sletting av klagesaksdokumentene hos Fylkesmannen i X, jf. personopplysningsloven 2000 § 28. Datatilsynet viste igjen til mulighetene for å sperre dokumentene. Datatilsynet innhentet ikke uttalelse fra Fylkesmannen i X i sakens anledning fordi fylkesmannen allerede hadde avslått klagers anmodning om sletting, og Datatilsynet hadde mottatt kopi av dokumentene som A ønsket slettet. Tilsynet anså derfor saken som tilstrekkelig opplyst uten fylkesmannens uttalelse, jf. forvaltningsloven § 17 første ledd.
A framsatte rettidig klage på Datatilsynets vedtak 30. april 2018. I klagen vistes det til As klageskriv 27. april 2018.
Saken ble oversendt til Personvernnemnda ved Datatilsynets brev 11. juni 2018. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med eventuelle kommentarer. A har i brev til nemnda 12. juni 2018 gitt sine kommentarer.
Partene og Datatilsynet ble i brev fra nemnda 2. november 2018 varslet om forlenget saksbehandlingstid og orientert om ny personvernlovgivning fra 20. juli 2018, med mulighet til å inngi merknader knyttet til ny lov. Ingen av partene har gitt noen kommentarer til lovvalgspørsmålet. Datatilsynet har i brev til nemnda 31. januar 2019 bemerket at nemnda bør vurdere om denne saken skal behandles etter personopplysningsloven 2000, til tross for at nemnda i sin praksis etter 20. juli 2018 har lagt personopplysningsloven 2018 og EUs personvernforordning (GDPR) til grunn. Det redegjøres nærmere for Datatilsynets vurdering av dette spørsmålet nedenfor under «Datatilsynets vurdering».
Saken ble behandlet i nemndas møte 18. mars 2019. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Line Coll, Gisle Hannemyr, Hans Marius Graasvold, Hans Marius Tessem og Ellen Økland Blinkenberg. Nemndas sekretær, Anette Klem Funderud var også tilstede.
A har i hovedsak anført
Arkivmaterialet hos Fylkesmannen i X er ufullstendig. Fylkeslegen slettet i 1990 kommunelegens beslutningsgrunnlag som utgjorde to dokumenter. I tillegg har fylkesmannen fremdeles lagret tre brev i sitt arkiv som han ønsker slettet. Alle tre dokumentene knytter seg til klagen hans på kommunelegen i 1990. Konkret dreier dette seg om hans klageskriv, kommunelegens svar på klagen og hans kommentarer til kommunelegens svar.
Personangrepene mot ham som står i disse tre arkiverte brevene i papirformat dreier seg om hans privatliv for nesten 30 år siden. Han blir beskyldt for misbruk av penger, men pengene var hans. Han skyldte ikke penger, og hadde ikke brukt dem opp. Han ble anklaget for å ha «gått i stå», men han var i stand til å klage. Han ble anklaget for ikke å kunne ivareta egen sak og det ble fremsatt grovt krenkende personkarakteristikker.
Kommunelegen trengte seg inn i hans privatliv og skadet hans navn og rykte. Han var ikke tilknyttet psykisk helsevern, men legen tvang ham til slik behandling. Tvangen opphørte etter at fylkeslegen hadde fattet sin avgjørelse. Da hadde ikke kommunelegen noe å fare med.
Han var ikke kommunelegens pasient. Kommunelegen var heller ikke psykiater. Kommunelegens angrep på ham ble foranlediget av rykter og sladder fra ansatte i kommunen. Han hadde nemlig klaget på kommunens hjemmetjeneste for sin syke mor. Både han og hans avdøde mor er omtalt i brevene i fylkesmannens arkiv. Dette er høyst private opplysninger fra kommunelegen som oppleves krenkende.
Fylkesmannen i X
Fylkesmannen i X har avslått As anmodning om sletting av dokumentene. Fylkesmannen i X har blitt orientert om saken i Personvernnemnda, men har ikke benyttet anledningen til å gi noen kommentarer.
Datatilsynets vurdering
Nærmere om lovvalgsspørsmålet
Datatilsynet har behandlet saken etter personopplysningsloven 2000. Etter at saken ble oversendt til Personvernnemnda er ny personopplysningslov 2018 trådt i kraft. Spørsmålet er om nemnda skal behandle saken etter gammel eller ny lov.
Personvernforordningen har ingen regler om lovvalg i saker som oppstod før forordningen fikk anvendelse, men som løses etter det samme tidspunktet. Personopplysningsloven 2018 § 33 har overgangsregler for saker om overtredelsesgebyr, men sier ikke noe om lovvalget i saker som ikke gjelder overtredelsesgebyr.
Under henvisning til departementet uttalelse i Prop.56 LS (2017-2018), side 196 om at vedtak hos Datatilsynet og Personvernnemnda i utgangspunktet må fattes på grunnlag av de til enhver tid gjeldene materielle regler, har Personvernnemnda lagt til grunn at det er de materielle reglene på vedtakstidspunktet som skal anvendes, altså personopplysningsloven 2018 og GDPR.
Datatilsynet har også lagt til grunn dette standpunktet som en hovedregel ved sin behandling av disse sakene. Datatilsynet mener imidlertid at det er grunn til å nyansere dette standpunktet i enkelte tilfeller. Dette gjelder for eksempel i saker som handler om fysiske personers individuelle rettigheter, og hvor en vurdering etter det nye regelverket ville innebære et rettighetstap for det samme individet.
I slike saker mener tilsynet altså at det må vurderes om den registrerte ville hatt bedre rettigheter om saken hadde vært bedømt etter personopplysningsloven 2000, enn hva vedkommende kan påberope etter personopplysningsloven 2018 og personvernforordningen. Selv om et av formålene med personvernforordningen er å styrke den registrertes rettigheter, kan det likevel tenkes at det tidligere regelverket ga individet bedre rettigheter, for eksempel fordi personverndirektivet ga større rom for nasjonale regler enn hva personvernforordningen gjør.
Etter tilsynets vurdering gjør disse hensynene seg gjeldende i noen av sakene som gjelder retting og sletting av personopplysninger. Etter personopplysningsloven 2000 kunne retting, i noen tilfeller, skje ved at opplysningene ble slettet uten å bli erstattet med nye opplysninger, eller at opplysningene ble sperret, se personopplysningsloven 2000 § 27 tredje ledd. Datatilsynet hadde også hjemmel til å vedta sletting av opplysninger som var «sterkt belastende» for den registrerte, etter en helhetsvurdering, jf. 28 tredje ledd. I begge tilfellene kunne Datatilsynets vedtak gå foran reglene i arkivloven §§ 9 og 18, forutsatt at Riksarkivaren først var hørt.
Tilsvarende rett til retting i form av sletting finnes ikke i personvernforordningen. Datatilsynet har heller ikke hjemmel, hverken i personopplysningsloven 2018 eller personvernforordningen, til å fatte vedtak om at sletting av personopplysninger går foran reglene i arkivlova §§ 9 og 18.
Dette mener tilsynet er en endring som kan være egnet til å svekke de registrertes rettigheter. I den forbindelse bør man legge vekt på at klager har fremmet sin klage før det nye regelverket fikk anvendelse. Klager har da hatt en berettiget forventning om at saken ville bli behandlet etter de reglene som gjaldt på klagetidspunktet. Datatilsynet mener at det er gode grunner for at saker som den foreliggende, som gjelder retting av opplysninger i form av sletting etter personopplysningsloven 2000 § 28 tredje ledd, også bør behandles etter personopplysningsloven 2000 i klageomgangen.
Sletting av personopplysninger – personopplysningsloven 2000 § 28
Det er et grunnleggende personvernprinsipp at personopplysninger ikke skal lagres lenger enn det som er nødvendig for å oppnå formålet med behandlingen, jf. personopplysningsloven 2000 § 11 første ledd bokstav e. Dersom personopplysningene ikke deretter skal oppbevares i henhold til arkivloven eller annen lovgivning, skal de slettes, jf. personopplysningsloven 2000 § 28 første ledd.
Den registrerte kan kreve at opplysninger som er sterkt belastende, skal sperres eller slettes. Vilkårene for sletting eller sperring er at det ikke strider mot annen lov, og det er forsvarlig ut fra en samlet vurdering av bl.a. andres behov for dokumentasjon, hensynet til den registrerte, kulturhistoriske hensyn og de ressurser som gjennomføringen av kravet forutsetter. Dette følger av personopplysningsloven 2000 § 28 tredje ledd. Etter bestemmelsens fjerde ledd kan Datatilsynet fatte vedtak om at retten til sletting av personopplysninger går foran reglene i arkivloven §§ 9 og 18, etter at Riksarkivaren er hørt. Datatilsynet har innhentet en uttalelse fra Riksarkivaren, som i uttalelsen 5. februar 2018 la til grunn at klagesaken ikke kan slettes.
Datatilsynet avslo i vedtak 17. april 2018 kravet om sletting av dokumentene i saksarkivet til Fylkesmannen i X, jf. personopplysningsloven § 28 tredje ledd bokstav b. Tilsynet mener at fylkesmannen har behov for å dokumentere at det har vært en sak og hva som er gjort i den den. Sletting vil medføre at det ikke lenger vil være synlig at det har vært en sak. Et alternativ til sletting er at personopplysninger sperres. Riksarkivaren peker også på at sperring vil være en egnet løsning som ivaretar både personvernhensyn og dokumentasjonshensyn.
Personvernnemndas vurdering
Personvernnemnda skal ta stilling til om A kan kreve at Fylkesmannen i X skal slette dokumenter i en klagesak fra A vedrørende en kommunelege.
Lovvalg
Nemnda vil først si noe om hvilken lov som kommer til anvendelse i saken.
A brakte saken inn for Datatilsynet 5. april og 25. august 2017. Datatilsynet vurderte saken etter personopplysningsloven 2000 før tilsynet oversendte saken til Personvernnemnda i juni 2018.
Ny lov om behandling av personopplysninger (personopplysningloven 2018) trådte i kraft 20. juli 2018. Det følger av personopplysningsloven 2018 § 1 at Europaparlaments- og rådsforordning (EU) 679/2016 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (GDPR eller forordningen), gjelder som norsk lov fra 20. juli 2018. Fra samme tidspunkt er personopplysningsloven 2000 opphevet.
De materielle reglene i forordningen er i stor grad en videreføring og videreutvikling av personopplysningsloven 2000. Samtidig innebærer reglene en rekke endringer, både på detaljnivå og av mer grunnleggende karakter. De registrertes rettigheter er på flere punkter styrket, jf. forarbeidene til personopplysningsloven 2018, Prop.56 LS (2017–2018) side 9.
Datatilsynet har gitt uttrykk for at ettersom A klaget før GDPR trådte i kraft, og således hadde en berettiget forventning om at saken ville bli behandlet etter reglene som gjaldt på klagetidspunktet, tilsier rimelighetshensyn at nemnda behandler denne saken etter personopplysningsloven 2000.
Nemnda er ikke enig i den vurderingen.
Ved innføringen av nye personvernregler i juli 2018 vurderte lovgiver hvorvidt det skulle gis overgangsregler, og vedtok å innføre overgangsregler om overtredelsesgebyr, jf. personopplysningsloven 2018 § 33. Det følger av denne bestemmelsen at reglene om behandling av personopplysninger som gjaldt på handlingstidspunktet, skal legges til grunn når det treffes vedtak om overtredelsesgebyr, med mindre lovgivningen på tidspunktet for avgjørelsen fører til et mer gunstig resultat for den behandlingsansvarlige. I denne saken er det ikke spørsmål om ileggelse av overtredelsesgebyr, og det følger da forutsetningsvis av personopplysningsloven 2018 § 33 at det er loven, slik den lyder på avgjørelsestidspunktet, som skal legges til grunn for Personvernnemndas vedtak.
Dette er også omtalt i forarbeidene til personopplysningsloven 2018, Prop.56 LS (2017-2018) side 196, hvor departementet blant annet uttaler:
«Det vil være en rekke saker som verserer for tilsynsmyndigheten og Personvernnemnda på ikraftsettingstidspunktet for den nye personopplysningsloven [2018]. Forordningen inneholder ingen overgangsbestemmelser som regulerer behandlingen av slike saker. Utgangspunktet vil være at vedtak hos Datatilsynet og Personvernnemnda vil måtte fattes på grunnlag av de til enhver tid gjeldende materielle regler».
Lovgiver har med andre ord valgt ikke å bestemme at personopplysningsloven 2000 fortsatt skal komme til anvendelse for saker som er kommet inn, enten til Datatilsynet eller til Personvernnemnda, før personopplysningsloven 2018 trådte i kraft. Dersom lovvalgspørsmålet i den enkelte sak som følge av dette skulle avhenge av en konkret vurdering av om gammel eller ny lov gir den registrerte bedre eller dårligere rettigheter, ville det innebære en svært uoversiktlig situasjon både for de registrerte og de behandlingsansvarlige. Nemnda legger til grunn at de nye bestemmelsene som følger av personopplysningsloven 2018 og GDPR er et resultat av en avveining av den registrertes behov for å ha kontroll på personopplysninger om seg selv og den behandlingsansvarliges behov for å behandle personopplysninger. Selv om enkeltelementer ved den registrertes rettigheter (for eksempel knyttet til retten til retting og sletting av opplysninger) skulle være svakere etter den nye loven, betyr ikke det nødvendigvis at den registrertes rettigheter, samlet sett, likevel ikke er styrket. Dersom man lar enkeltelementer fra gammel lov fortsatt komme til anvendelse for de sakene som ble avgjort av Datatilsynet før ny lov trådte i kraft, vil man kunne forrykke den balansen mellom hensynet til den registrerte og hensynet til den behandlingsansvarlige som er kommet til uttrykk ved vedtakelsen av ny lov. En slik ordning vil etter nemndas vurdering forutsette lovhjemmel i form av overgangsbestemmelser. Etter nemndas vurdering er det derfor ikke lovhjemmel for å gi en behandlingsansvarlig pålegg om å slette personopplysninger etter personopplysningsloven 2000, dersom personopplysningsloven 2018 ikke gir tilstrekkelig hjemmel for det samme pålegget, når pålegget gis først etter at personopplysningsloven 2018 trådte i kraft. Selv om saken oppsto før den nye loven trådte i kraft og Datatilsynet vurderte saken etter personopplysningsloven 2000, skal nemnda altså behandle saken etter personopplysningsloven 2018.
Spørsmålet for nemnda blir etter dette om A med hjemmel i personopplysningsloven 2018 og GDPR kan kreve personopplysninger om seg slettet fra Fylkesmannens arkiv.
Spørsmål om sletting
GDPR artikkel 17 regulerer retten til sletting. Artikkel 17 nr. 1 bokstav c fastslår blant annet:
«1. Den registrerte skal ha rett til å få personopplysninger om seg selv slettet av den behandlingsansvarlige uten ugrunnet opphold, og den behandlingsansvarlige skal ha plikt til å slette personopplysninger uten ugrunnet opphold dersom et av de følgende forhold gjør seg gjeldende:
[…]
c) den registrerte protesterer mot behandlingen i henhold til artikkel 21 nr. 1, og det ikke finnes mer tungtveiende berettigede grunner til behandlingen […]»
A har protestert på Fylkesmannens behandling (dvs. fortsatt lagring) av personopplysninger om seg. Etter artikkel 17 nr. 1 bokstav c forutsetter fortsatt lagring av opplysningene da at det foreligger «mer tungtveiende berettigede grunner til behandlingen». GDPR artikkel 17 nr. 3 åpner imidlertid for en rekke unntak fra retten til sletting. I forarbeidene til personopplysningsloven 2018, Prop.56 LS (2017-2018), side 65, uttaler departementet om denne bestemmelsen:
«Bestemmelsen gir den registrerte rett til sletting av personopplysninger på en rekke ulike grunnlag, jf. artikkel 17 nr. 1 bokstav a til f. Regelen er imidlertid i stor grad knyttet til om vilkårene for behandling av personopplysningene er oppfylt, og medfører derfor først og fremst en tydeliggjøring og ingen vesentlig utvidelse av plikten til sletting. Retten til sletting av sterkt belastende personopplysninger etter personopplysningsloven [2000] § 28 tredje ledd har ingen klar parallell i forordningen.»
Etter artikkel 17 nr. 3 bokstav d kan den behandlingsansvarlige ikke pålegges å slette personopplysningene dersom opplysningene er nødvendig for:
«arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1 i den grad rettigheten nevnt i nr. 1 sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås […].»
Om dette unntaket sier departementet i Prop.56 LS (2017-2018) på side 81:
«Dette innebærer at arkivlovas regler om kassasjon og innskrenket råderett på samme måte som i dag vil gå foran retten til sletting, jf. § 28 første ledd i dagens lov [2000]. I motsetning til gjeldende personopplysningslov [2000] gir forordningen ingen kompetanse for Datatilsynet til å fatte vedtak om sletting som går foran arkivlovgivningen, sml. gjeldende personopplysningslov [2000] § 27 tredje ledd og § 28 fjerde ledd.»
Det innebærer at A ikke kan kreve opplysningene om seg slettet fra Fylkesmannens arkiv dersom fortsatt lagring av opplysningene er begrunnet i arkivformål i allmennhetens interesse, jf. GDPR artikkel 6 nr. 1 bokstav e, jf. personopplysningsloven 2018 § 8 og GDPR artikkel 9 nr. 2 bokstav j (for helseopplysninger som tilhører særlige kategorier personopplysninger).
Datatilsynet har innhentet Riksarkivarens syn og det framgår at Riksarkivaren anser fortsatt lagring av de aktuelle dokumentene som nødvendig. Riksarkivaren har ikke samtykket til kassasjon av dokumentene, men mener derimot at dokumentene som inngår i fylkesmannens arkiv har en betydelig verdi for ettertiden og at det er fare for uønskede konsekvenser dersom dokumentasjonen eller deler av den tilintetgjøres. Riksarkivaren uttalte i sitt brev til Datatilsynet at tilintetgjøring av de aktuelle dokumentene kan medføre uønskede og uopprettelige konsekvenser for rettssikkerhetshensyn, arkivformål og forskningsformål. Nemnda legger etter dette til grunn at fylkesmannen har behandlingsgrunnlag for fortsatt lagring av personopplysningene i GDPR artikkel 6 nr. 1 bokstav e, jf. personopplysningsloven 2018 § 8 og GDPR artikkel 9 nr. 2 bokstav j.
Nemnda bemerker i tillegg at når de aktuelle personopplysningene representerer materiale som er underlagt bevaringsplikt etter arkivloven § 6 jf. § 9, jf. Riksarkivarens uttalelse 5. februar 2018, så har Fylkesmannen også en rettslig forpliktelse til å oppbevare opplysningene jf. GDPR artikkel 6 nr. 1 bokstav c.
Nemnda har merket seg at Datatilsynet og Riksarkivaren har fremhevet sperring som et alternativ til sletting, uten at det er truffet vedtak om dette. Personopplysningsloven og GDPR gir ikke lenger hjemmel for å pålegge sperring av opplysninger. Nemnda vil imidlertid bemerke at de grunnleggende prinsippene for behandling av personopplysninger i GDPR artikkel 5 medfører begrensninger i lovlig bruk av opplysningene, jf. særlig GDPR artikkel 5 første ledd bokstav c og f. Formålsbegrensningsprinsippet som fremgår av GDPR artikkel 5 første ledd bokstav c vil innebære at opplysningene ikke kan behandles til andre formål enn arkivformål.
Personvernnemnda har på denne bakgrunn kommet til at A ikke kan kreve personopplysningene om seg slettet etter GDPR artikkel 17 nr. 3 bokstav d.
A får ikke medhold i sin klage.
Vedtaket er enstemmig.
Vedtak
Datatilsynets vedtak opprettholdes. Fylkesmannen i X pålegges ikke å slette dokumenter med As personopplysninger fra arkivet selv om han har protestert mot behandlingen, jf. GDPR artikkel 17 nr. 3 bokstav d.
Oslo, 18. mars 2019
Mari Bø Haugstad
Leder