Personvernnemndas vedtak 2. februar 2021 (Mari Bø Haugstad, Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin)
Saken gjelder klage fra A og B på Datatilsynets vedtak 16. januar 2020 der Datatilsynet kom til at barneverntjenesten i Ys behandling av personopplysninger var lovlig. Det er spørsmål om behandlingsgrunnlag for innhenting og utlevering av personopplysninger, behandlingsgrunnlag for fortsatt oppbevaring av opplysningene, samt krav om innsyn, retting, sletting, subsidiært begrenset behandling av opplysninger.
Sakens bakgrunn
A og Bs klage over barneverntjenesten i Ys behandling av personopplysninger er knyttet til to ulike undersøkelsessaker i barneverntjenesten. De to undersøkelsessakene gjelder henholdsvis klagernes datter, C, og hennes barn, samt klagernes datter, D, og hennes barn.
I forbindelse med undersøkelsessaken knyttet til klagernes datter, C, og hennes barn, innhentet barneverntjenesten i Y opplysninger fra helsestasjonen i X.
I brevet fra helsestasjonen til barneverntjenesten 4. april 2018 framkommer det:
«Angående det siste punktet nr. 10: Andre opplysninger som kan ha betydning. Mor har selv vokst opp i et hjem der barnevernet har vært tungt inne, særlig overfor mors […] yngre søsken. Mor er nummer […], i en søskenflokk på […]. Det endte med plassering i nye hjem for dem alle grunnet omsorgssvikt og vold i hjemmet. Ved denne tiden er mor blitt cirka 16 år, og flytter selv ut. Se vedlagt notat fra 1998 om mor.»
Med «mor» i dette notatet siktes det til C, klagernes datter, og det er omsorgssituasjonen hjemme hos klagerne som omtales, herunder at [antall] av deres barn (Cs yngre søsken) ble plassert i nye hjem. Det vedlagte notatet fra 1998 gir ytterligere opplysninger om Cs situasjon under oppveksten. Notatet om C er ikke en del av sakens dokumenter. C er heller ikke part i denne saken og dokumentet er ikke innhentet.
Da C og barnet senere flyttet til Z kommune sendte barneverntjenesten i Y bekymringsmelding til barneverntjenesten i Z kommune, og sendte blant annet med opplysningene om C fra helsestasjonen i X.
I forbindelse med undersøkelsessaken knyttet til klagernes datter, D, og hennes barn, innhentet barneverntjenesten i Y opplysninger om D og hennes omsorgssituasjon under oppveksten fra Æ barnevern. I brev 17. september 2018 redegjorde Æ barneverntjeneste kort for Ds omsorgssituasjon og bakgrunnen for at D ble akuttplassert utenfor hjemmet da hun var 13 år gammel, samt barneverntjenestens oppfølging av henne etter dette.
I et familieråd i regi av barneverntjenesten i september 2018 vedrørende D og hennes barn, hvor D, far til hennes barn, barnets farmor og farfar, samt Ds foreldre (klagerne) var til stede, ble det framlagt et skriftlig innlegg utarbeidet av barneverntjenesten hvor opplysningene «[m]or har selv levd i omsorgssvikt og vold fra egne foreldre» var nedtegnet skriftlig og ble gjort tilgjengelig for alle deltakerne i møtet.
A og B klaget på barneverntjenestens behandling av personopplysninger til personvernombudet i Y kommune. De sendte tilsvarende klage til personvernombudet i Ø kommune (PVN-2020-22), til Z kommune (PVN-2020-18) og til helsestasjonen i X kommune (PVN-2020-16). Personvernombudet i Y kommune konkluderte i brev til klagerne 7. juni 2019 med at behandlingen av personopplysningene var lovlig og orienterte om adgangen til å bringe saken inn for Datatilsynet.
A og B brakte saken inn for Datatilsynet 19. juni 2019 og klaget på barnevernets behandling av personopplysninger.
Datatilsynet fattet vedtak i saken 16. januar 2020 med følgende konklusjon:
«Datatilsynet har kommet til at Y kommune ikke har behandlet de aktuelle personopplysningene ulovlig etter personvernregelverket. Videre har vi kommet til at retten til retting etter personvernforordningen artikkel 16 er oppfylt, mens vilkårene for sletting etter artikkel 17 eller begrensning etter artikkel 18 ikke er til stede.»
A og B framsatte rettidig klage 5. februar 2020 på Datatilsynets vedtak. Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sitt vedtak. Saken ble oversendt Personvernnemnda 28. september 2020. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. A og B innga kommentarer i brev 23. oktober 2020.
Saken ble behandlet i nemndas møte 2. februar 2021. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem og Morten Goodwin. Sekretariatsleder Anette Klem Funderud var også tilstede.
Datatilsynets vedtak i hovedtrekk
Særlige kategorier av personopplysninger
Datatilsynet legger til grunn at opplysninger om vold/omsorgssvikt overfor klagernes datter C ikke omfattes av særlige kategorier personopplysninger etter personvernforordningen artikkel 9. Tilsynet omtaler ikke opplysningene om D.
Tilsynet reiser spørsmålet om opplysningene utgjør opplysninger om «lovovertredelser» som omfattes av personvernforordningen artikkel 10, men konkluderer med at slike opplysninger uansett vil kunne behandles dersom det skjer «under en offentlig myndighets kontroll», noe som er tilfellet i denne saken, jf. Prop. 56 LS (2017-2018) kapittel 8.5.
Behandlingsgrunnlag
Datatilsynet har konkludert med at de aktuelle opplysningene ikke behandles ulovlig av Y kommune.
Datatilsynet legger til grunn at kommunen som behandlingsansvarlig har en arkivplikt, jf. arkivlova § 6 og forskrift om offentlige arkiv. Videre behandling av opplysningene vil da kunne være nødvendig for å oppfylle en rettslig forpliktelse, jf. personvernforordningen artikkel 6 bokstav c. Datatilsynet legger også til grunn at behandlingen er nødvendig for å utøve offentlig myndighet, jf. artikkel 6 nr. 1 bokstav e og viser til at barneverntjenesten har vurdert opplysningene som nødvendig underlagsdokumentasjon på oppfølgingen av mor og barn. Datatilsynet viser til at tilsynet vanskelig kan overprøve denne barnevernfaglige vurderingen.
Utlevering av opplysninger til barnevernet i Z kommune
Etter Datatilsynets vurdering kan utleveringen av personopplysningene fra Y til Z barneverntjeneste vurderes som et ledd i oppfyllelsen av en rettslig forpliktelse som påhvilte Y kommune, jf. personvernforordningen artikkel 6 nr. 1 bokstav c. Tilsynet peker også på at det kan argumenteres for at barneverntjenesten ved utleveringen utøvet offentlig myndighet, jf. artikkel 6 nr. 1 bokstav e.
Tilsynet konkluderer med at utleveringen var lovlig.
Innsyn
Tilsynet viser til at Y kommune anser det som utilrådelig at A og B får kjennskap til opplysningene av hensyn til deres helse eller forholdet til personer som står dem nær, og har avslått innsynskravet med hjemmel i personopplysningsloven § 16 bokstav c. Tilsynet forutsetter at vurderingen bygger på barnevernfaglige skjønn, noe tilsynet ikke har forutsetninger for å overprøve og konkluderer med at det ikke er grunnlag for å endre kommunens avslag om innsyn i/kopi av opplysningene i barnevernsaken.
Sletting
Datatilsynet konkluderer med at personopplysningene i den aktuelle saken ikke skal slettes, da personvernforordningen artikkel 17 nr. 3 bokstav b og d er til hinder for dette. Tilsynet viser til kommunens arkivplikt etter arkivlova med tilhørende forskrift. Tilsynet viser til også til Personvernnemndas avgjørelse, PVN-2018-02, der flertallet kom til at opplysninger som var nødvendige for å forklare og vurdere barnevernets framgangsmåte og beslutninger ikke kunne slettes, selv om klager opplevde opplysningene som sterkt belastende.
Begrenset behandling
Datatilsynet legger til grunn at en rett til begrenset behandling forutsetter at behandlingsansvarlig kan kontrollere riktigheten av de aktuelle personopplysningene, jf. personvernforordningen artikkel 18 nr. 1 bokstav a. Begrensningen vil i tilfelle gjelde fram til opplysningenes riktighet er avklart. I og med at Datatilsynet tidligere har konkludert med at det ikke er mulig å si om opplysningene er riktige eller ikke, kan de registrerte etter tilsynets vurdering ikke ha krav på begrensning av behandlingen av personopplysningene.
Retting
Tilsynet påpeker at saken gjelder opplysninger om subjektive påstander som ikke lar seg bekrefte eller avkrefte og at retting da kan gjennomføres ved at den registrerte legger fram en supplerende erklæring for å komplettere opplysninger som foreligger. Datatilsynet legger til grunn at A og Bs rett til retting etter personvernforordningen artikkel 16 er oppfylt gjennom klagen til Y kommune.
Datatilsynets konklusjon
Datatilsynet har kommet til at Y kommune ikke har behandlet de aktuelle personopplysningene ulovlig etter personvernregelverket, samt at retten til retting etter personvernforordningen artikkel 16 er oppfylt, mens vilkårene for sletting etter artikkel 17 eller begrensning etter artikkel 18 ikke er til stede.
A og Bs syn på saken i korte trekk
Barneverntjenesten i Y har ulovlig innhentet, behandlet og videresendt deres personopplysninger i forbindelse med undersøkelsessaker i deres døtres familier.
Barneverntjenesten i Y har innhentet sensitive opplysninger om dem fra Æ barnevern, noe de ble kjent med da de deltok i familieråd 14. september 2018. I familierådet var mor og far til barnet, barnets farfar og farmor, og A og B til stede. Opplysninger om at deres døtre skal ha levd under omsorgssvikt og vold fra egne foreldre framgikk av et skriftlig innlegg som var tilgjengelig for alle møtedeltakerne. Opplysningene ble formidlet til private tredjepersoner. De hadde aldri tidligere truffet barnets farmor og farfar som var tiltenkt en rolle som mulige fosterforeldre til barnet. Denne spredningen til private tredjepersoner er et alvorlig brudd på taushetsplikten.
Barnevernets innhenting og utlevering av personopplysninger om dem i forbindelse med barnevernets undersøkelsessak overfor C og hennes barn er ulovlig. Opplysningene i notatet fra 1998 er ikke korrekte og barneverntjenesten har spredd uriktig informasjon.
Personopplysningene om dem ble samlet inn for å vurdere omsorgsituasjonen i deres familie for mange år siden. Gjenbruk av opplysningene i forbindelse med en undersøkelsessak ca. 20 år senere er ikke i tråd med personvernregelverket. Det er ikke lenger nødvendig for det opprinnelige formålet å lagre å bruke disse personopplysningene når de ikke lenger har noen omsorgsoppgaver.
Opplysninger om vold og omsorgssvikt overfor deres barn er verken nødvendig, forholdsmessig eller relevant i undersøkelsessaken som gjelder situasjonen for døtrene og deres barn, og ikke dem som barnets besteforeldre.
Barneverntjenesten må vurdere omsorgssituasjonen i nye undersøkelsessaker uten å undersøke i gammel familiehistorie, dvs. uten bruk av disse opplysningene. Formålet kan oppnås med andre midler.
Behandlingen er i strid med Grunnloven § 102, Den europeiske menneskerettighetskonvensjon (EMK) artikkel 8 om retten til privatliv, jf. rettspraksis fra Den europeiske menneskerettsdomstolen (EMD).
Opplysningene om dem som Y kommune besitter om påstått vold og omsorgssvikt overfor deres barn, må slettes i tråd med personvernforordningen artikkel 17.
Subsidiært til slettekravet må behandlingen begrenses i henhold til forordningen artikkel 18. Det betyr at personopplysningene bare skal kunne brukes til et bestemt angitt formål, og sperres for bruk til andre formål enn det som gjorde at personopplysningene ikke ble slettet.
I den grad opplysningene ikke slettes, må opplysningene kompletteres i form av en supplerende erklæring fra dem i henhold til forordningen artikkel 16.
Y kommunes syn på saken i korte trekk
Det følger av personvernforordningen artikkel 6 bokstav e at behandling av personopplysninger er lovlig dersom det er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt.
Barneverntjenesten har hjemmel i barnevernloven § 6-4 andre ledd til å innhente personopplysninger fra offentlige myndigheter. Det rettslige grunnlaget tilfredsstiller kravet i EMK artikkel 8 om nødvendighet og formålstjenlighet.
I sak hvor et barns omsorgssituasjon, og mor og fars omsorgsevne vurderes, vil tidligere familiehistorikk være relevant og nødvendig informasjon å innhente for barneverntjenesten fordi det kan si noe om hva de selv har erfart som barn og kan påvirke hvordan de er som foreldre. Ved å få innsikt i dette vil barneverntjenesten ha bedre grunnlag for å forstå den omsorgen som gis, samt ha bedre forutsetninger for å veilede foreldrene.
Taushetsplikten er ikke er til hinder for at opplysningene brukes for å oppnå det formål de er gitt eller innhentet for, jf. forvaltningsloven § 13 b første ledd nr. 2. Opplysningene kan blant annet brukes i forbindelse med saksforberedelse, avgjørelse, gjennomføring av avgjørelser, oppfølging og kontroll. Bestemmelsen åpner for at opplysninger i en barnevernsak kan formidles til personer i andre forvaltningsorganer utenfor barnevernmyndigheten eller andre personer som trekkes inn i behandlingen av en barnevernsak.
Kommunen kan ikke slette personopplysningene. Opplysningene er arkivverdige og barnevernet har arkivplikt etter arkivlova, jf. personvernforordningen artikkel 17 nr. 3 bokstav d. Arkivlovas regler om kassasjon og innskrenket rådighet går foran retten til sletting. Også artikkel 17 nr. 3 bokstav e er til hinder for sletting. Opplysningene kan ha vesentlig betydning for ettertiden og kan dokumentere barnevernets vurderinger og handlinger i forbindelse med rettskrav. Manglende skriftlighet og dokumentasjon i barnevernsaker vil også utgjøre brudd på god forvaltningsskikk og alminnelige forvaltningsrettslige prinsipper om forsvarlig saksbehandling, og vil kunne være et brudd på barnevernloven § 1-4.
Det er ikke grunnlag for begrenset behandling etter artikkel 18 nr. 1 bokstav a. I barnevernsaker vil det ofte være uenighet om de faktiske forhold. Opplysningene er innhentet som en del av barnevernets saksforberedelse, og dokumentasjonen er arkivverdig.
Det er heller ikke grunnlag for retting etter artikkel 16. Selv om det er uenighet om tolkningen av de faktiske forhold, er det ikke grunnlag for å si at opplysningene ikke er korrekte, eller at de er ufullstendige. A og B kan framlegge en supplerende erklæring, som vil lagres sammen med øvrige opplysninger i saken.
A og B har fått innsyn i opplysninger og all informasjon de har krav på etter artikkel 15 nr. 1 a –h. Kommunen har ikke etterkommet kravet om kopi av opplysningene etter artikkel 15. nr. 3. De aktuelle personopplysningene er i hovedsak subjektive uttalelser som er gitt i forbindelse med barnevernsaken hvor foreldrene var part. Kommunen er ikke kjent med hvor mye av opplysningene som tidligere er gjort kjent for A og B. Kommunen mener det er en risiko for at opplysningene kan være til skade for andre som står A og B nær, jf. personopplysningsloven § 16 bokstav c.
Personvernnemndas vurdering
Personvernnemnda skal ta stilling til om barneverntjenesten i Y har behandlet personopplysninger ulovlig. Det er spørsmål om behandlingsgrunnlag for innhenting og utlevering av personopplysninger fra og til barneverntjenester i andre kommuner, samt krav om innsyn, retting, sletting, eventuelt begrenset behandling av opplysninger i barneverntjenestens arkiv.
Behandlingsansvar
Nemnda legger til grunn at det er Y kommune som er behandlingsansvarlig for den behandlingen av personopplysninger som skjer i barneverntjenesten i Y.
Særlige kategorier av opplysninger
Både når det gjelder opplysningene om C og opplysningene om D framkommer det at de som barn var utsatt for «omsorgssvikt og vold i hjemmet». Personvernnemnda er enig med Datatilsynet i at dette ikke er opplysninger som faller inn under særlige kategorier av opplysninger i personvernforordningen artikkel 9. Hvilke opplysninger som framkommer om C i det vedlagte notatet fra helsestasjonen er ikke kjent. I og med at det er et notat som er utarbeidet på helsestasjonen i forbindelse med deres kontakt med en den gang 16 år gammel jente, er det en klar presumpsjon for at notatet inneholder opplysninger om enten fysisk eller psykisk helse for C, og nemnda legger det til grunn. Det betyr at opplysningene i notatet faller inn under særlige kategorier av opplysninger i artikkel 9 nr. 1 og behandling av dem forutsetter at et av vilkårene i artikkel 9 nr. 2 er oppfylt.
Behandlingsgrunnlag
Barneverntjenesten i Y mottok opplysningene fra helsestasjonen i X kommune. Opplysningene om C ble senere videreformidlet til Z kommune, da C flyttet dit. Opplysningene om D ble behandlet av barneverntjenesten i Y og ble videreformidlet i nettverksmøte med andre familiemedlemmer i september 2018. Barneverntjenestens bruk og oppbevaring av personopplysningene representerer en behandling av personopplysninger som, for å være lovlig, må ha behandlingsgrunnlag i ett av alternativene i personvernforordningen artikkel 6. I tillegg må behandlingen av opplysningene fra helsestasjonen fra 1998 om C falle inn under ett av alternativene i artikkel 9 nr. 2 bokstav a – j.
Barneverntjenestens oppgaver og plikter følger av barnevernloven. Når barneverntjenesten mottar bekymringsmeldinger om barn har barneverntjenesten en ubetinget plikt til å gå inn i og foreta nærmere undersøkelser, jf. barnevernloven §§ 4-2 og 4-3. I dette ligger en plikt til å samle inn og behandle opplysninger om barnet og barnets familie. Barneverntjenesten vil ha behandlingsgrunnlag for slik behandling av opplysninger i artikkel 6 nr. 1 bokstav c (nødvendig for å oppfylle en rettslig forpliktelse) og i artikkel 6 nr. 1 bokstav e (nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt), jf. barnevernlovens bestemmelser. I den grad det i notatet fra helsestasjonen fra 1998 er opplysninger om Cs psykiske eller fysiske helse, har kommunen også behandlingsgrunnlag i artikkel 9 nr. 2 bokstav g, jf. barnevernlovens bestemmelser.
A og Bs innvendinger mot bruk av opplysningene er knyttet til at de mener opplysningene er uriktige, at de er for gamle og at de verken er nødvendige eller relevante i undersøkelsessaker som gjelder klagernes døtre og deres barn.
Opplysningene som behandles må være «adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for», jf. artikkel 5 bokstav c. Nemnda har kommet til at også disse vilkårene er oppfylt, selv om opplysningene er gamle og beskriver omsorgssituasjonen, slik den ble oppfattet av barneverntjenesten, hjemme hos C og D og deres foreldre (klagerne). Nemnda legger til grunn at opplysninger om omsorgssituasjonen i C og Ds barndomshjem kan ha betydning også for vurderingen av deres omsorgsevne for egne barn i de to undersøkelsessakene. Nemnda viser til kommunens redegjørelse for betydningen av slike opplysninger. C og Ds forhistorie kan gi kunnskap til forståelse av de utfordringer de som mødre har i dag. At dette innebærer at det også indirekte behandles opplysninger om C og Ds foreldre, som ikke er parter i noen av de barnevernsakene som barneverntjenesten i Y har behandlet, endrer ikke denne vurderingen.
I utgangspunktet er barneverntjenesten underlagt taushetsplikt om alle personlige forhold etter barnevernloven § 6-7, jf. forvaltningsloven § 13. Taushetsplikten er imidlertid ikke til hinder for at barneverntjenesten gjør taushetsbelagte opplysninger tilgjengelig for andre som arbeider i samme organ eller etat. Forutsetningen er at spredningen av opplysninger ikke går lenger enn det som trengs for en hensiktsmessig arbeids- og arkivordning, jf. forvaltningsloven § 13b første ledd nr. 3. I barne- og familiedepartementets rundskriv Q-2005-24 punkt 6.1.5 uttales det at barneverntjenester i ulike distrikt og kommuner anses å tilhøre samme organ eller etat, slik at taushetsplikten ikke er til hinder for at en barneverntjeneste i en kommune utleverer opplysninger til en barneverntjeneste i en annen kommune, hvor barnet og/eller foreldrene nå oppholder seg. Nemnda legger denne vurderingen til grunn.
Videre følger det av forvaltningsloven § 13b første ledd nr. 2 at taushetsplikten ikke er til hinder for at opplysningene brukes for å oppnå det formål de er gitt eller innhentet for. Det framkommer av barne- og familiedepartementets rundskriv Q-2005-24 punkt 6.1.4 at det i dette ligger en adgang for barneverntjenesten til å formidle opplysninger også til private i forbindelse med sin behandling av en barnevernsak, for eksempel til deltakere i et nettverksmøte hvor det diskuteres mulig fosterhjemsplassering for et barn (nemndas eksempel). Barneverntjenesten må vurdere om nødvendighetskravet er oppfylt både i forhold til hvem det er aktuelt å formidle opplysninger til og hvilke opplysninger det er aktuelt å formidle. Den konkrete vurderingen av dette er det vanskelig for nemnda å ha noen mening om uten å kjenne hele barnevernsaken. For nemnda er det derfor tilstrekkelig å vise til barnevernets egen vurdering av dette.
Barneverntjenestens behandling av opplysninger om C og Ds omsorgssituasjon hjemme hos sine foreldre er dermed lovlig og i tråd med personvernforordningen. Det samme gjelder barneverntjenesten i Ys oversendelse av opplysningene om C til barnevernet i Z kommune da C og barnet flyttet dit.
I den grad opplysningene som behandles også omfatter opplysning om lovovertredelser er personvernforordningen artikkel 10 ikke til hinder for dette i og med at behandlingen skjer under en offentlig myndighets kontroll og er tillatt etter barnevernloven og forvaltningsloven.
Innsyn
A og B har bedt om innsyn i opplysningene om dem hos barneverntjenesten i Y. I realiteten innebærer det et krav om innsyn i opplysningene som barneverntjenesten behandler/har behandlet i barnevernsakene til klagernes to døtre, C og D. Rett til innsyn i et dokument reguleres av forvaltningsloven og offentlighetsloven.
Det nemnda kan ta stilling til er den eller de registrertes krav til innsyn etter personvernforordningen artikkel 15. Etter denne bestemmelsen har den registrerte rett til å få en bekreftelse fra den behandlingsansvarlige på om personopplysninger om vedkommende behandles, og dersom det er tilfellet, innsyn i disse personopplysningene. Artikkel 15 gir ikke rett til innsyn i opplysninger om andre enn den registrerte selv. Det følger videre av artikkel 15 nr. 4 at retten til å motta en kopi som nevnt i artikkel 15. nr. 3 ikke skal ha negativ innvirkning på andres rettigheter og friheter. Nemnda legger til grunn at i den grad opplysningene er omfattet av barneverntjenestens taushetsplikt, kan opplysningene ikke utleveres til andre enn sakens parter (henholdsvis C og D).
Kravet om innsyn etter personvernforordningen artikkel 15 tas etter dette ikke til følge.
Sletting
A og B har også bedt om at opplysningene slettes, jf. personvernforordningen artikkel 17. Nemnda oppfatter at A og B primært viser til artikkel 17 nr. 1 bokstav a som grunnlag for sletting: «personopplysningene er ikke lenger nødvendige for formålet som de ble samlet inn eller behandlet for».
Artikkel 17 nr. 1 gir «den registrerte» på visse vilkår rett til å få opplysninger om seg slettet. I dette tilfellet dreier det seg om opplysninger primært om klagernes to døtre, C og D, og opplysninger om deres oppvekst og omsorgssituasjon i foreldrehjemmet. C og Ds foreldre har ikke uten videre rett til å kreve sletting av opplysninger om seg selv som indirekte framkommer av registrerte opplysninger om C og D. I og med at nemnda ikke er kjent med detaljene om hvilke opplysninger som framkommer og nemnda uansett har kommet til at det etter arkivlova ikke er adgang til å etterkomme kravet om sletting, går ikke nemnda nærmere inn på denne problemstillingen.
Artikkel 17 nr. 3 bokstav b og d gjør unntak fra retten til sletting dersom behandlingen av personopplysninger er nødvendig
«b) for å oppfylle en rettslig forpliktelse som krever behandling i henhold til unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, eller for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt,
[…]
d) for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1 i den grad rettigheten nevnt i nr. 1 sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås, […]»
Om unntakene i artikkel 17 nr. 3 bokstav b og d sier departementet i Prop. 56 LS (2017-2018) side 81:
«Artikkel 17 nr. 3 bokstav d gjør på samme vilkår som i artikkel 14 nr. 5 bokstav b unntak fra retten til sletting. Den registrerte har altså ikke krav på sletting dersom dette vil umuliggjøre eller i alvorlig grad hindre oppfyllelsen av formålene med behandling for arkiv, forskning og statistikk i samsvar med artikkel 89 nr. 1. Det kan videre nevnes at den registrerte heller ikke har rett til sletting dersom behandlingen er nødvendig for å oppfylle en rettslig forpliktelse etter unionsretten eller nasjonal rett eller for å utføre en oppgave i allmennhetens interesse, jf. artikkel 17 nr. 3 bokstav b. Dette innebærer at arkivlovas regler om kassasjon og innskrenket råderett på samme måte som i dag vil gå foran retten til sletting, jf. § 28 første ledd i dagens lov [2000]. I motsetning til gjeldende personopplysningslov [2000] gir forordningen ingen kompetanse for Datatilsynet til å fatte vedtak om sletting som går foran arkivlovgivningen, sml. gjeldende personopplysningslov [2000] § 27 tredje ledd og § 28 fjerde ledd.»
Barnevernsaken vedrørende C og hennes barn ble avsluttet 15. april 2019 etter frivillige hjelpetiltak. Formålet med fortsatt oppbevaring av opplysningene er nå begrunnet i arkivformål i allmennhetens interesse, jf. bestemmelsene om arkivverdig materiale i arkivlova. Det følger av personvernforordningen artikkel 5 nr. 1 bokstav b at en viderebehandling av opplysninger for arkivformål i allmennhetens interesse ikke anses uforenlig med det opprinnelige formålet.
Nemnda er ikke kjent med om barnevernsaken vedrørende D og hennes barn er avsluttet eller ikke. Dersom den ikke er avsluttet vil fortsatt oppbevaring og bruk av opplysningene ha behandlingsgrunnlag i artikkel 6 nr. 1 bokstav c (nødvendig for å oppfylle en rettslig forpliktelse) og i artikkel 6 nr. 1 bokstav e (nødvendig for å utføre en oppgave i allmennhetens interesse eller utøver offentlig myndighet som den behandlingsansvarlige er pålagt), jf. barnevernlovens bestemmelser. Dersom den er avsluttet vil det være arkivlova som gir behandlingsgrunnlag.
Arkivlova med forskrifter har regler om arkivering og bevaring av dokumenter. Formålet med arkivlova er ifølge loven § 1:
«å tryggja arkiv som har monaleg kulturelt eller forskningsmessig verde eller som inneheld rettsleg eller viktig forvaltningsmessig dokumentasjon, slik at desse kan verta tekne vare på og gjorde tilgjengelege for ettertida».
Av Riksarkivarens forskrift (forskrift 19. desember 2017 nr. 2286) § 7-1 bokstav c følger det at formålet blant annet er å:
«sikre at arkiv ikke blir kassert før rettslige og forvaltningsmessige dokumentasjonsbehov er bortfalt.»
I forskriftens del III er det fastsatt hvilke sakstyper som ikke kan slettes («gjøres til gjenstand for kassasjon»), se § 7-23 og § 7-28 niende ledd. I § 7-28, niende ledd, bokstav d er det bestemt at «saker knyttet til særlige tiltak i henhold til barnevernsloven, inkludert undersøkelser av bekymringsmeldinger, utredninger, saksbehandling, tiltak og oppfølging av tiltak» skal bevares for ettertiden og ikke gjøres til gjenstand for kassasjon. Barneverntjenesten i Y kan derfor ikke pålegges å slette disse opplysningene. Dette følger både av personvernforordningen § 17 nr. 3 bokstav b (rettslig forpliktelse), jf. arkivlova § 9 bokstav c, og av personvernforordningen artikkel 17 nr. 3 bokstav d (arkivformål i allmennhetens interesse).
Kravet om sletting tas etter dette ikke til følge.
Begrenset behandling
Subsidiært har A og B påberopt retten til begrensning av behandlingen etter personvernforordningen artikkel 18.
Retten til begrenset behandling er en ny rettighet ved ikrafttredelsen av personopplysningsloven 2018. Begrensning av behandling er i forordningen artikkel 4 nr. 3 definert som «merking av lagrede personopplysninger med det som mål å begrense behandlingen av disse i framtiden».
Retten til begrensning etter artikkel 18 nr. 1 inntrer dersom a) opplysningenes riktighet er omtvistet, b) behandlingen er ulovlig og den registrerte motsetter seg sletting av personopplysningene og i stedet anmoder om begrensning, c) behandling ikke lenger er nødvendig, men opplysningene trengs for å fastsette, gjøre gjeldende eller forsvare et rettskrav, eller d) den registrerte har protestert mot videre behandling i medhold av artikkel 21 nr. 1, i påvente av en avgjørelse av om videre behandling kan skje.
Nemnda slutter seg til Datatilsynets vurdering om at A og B ikke fyller vilkårene for begrensning av behandlingen av personopplysningene, jf. personvernforordningen artikkel 18. Selv om riktigheten av opplysningene er omtvistet ved at A og B bestrider riktigheten av dem, vil nemnda for det første peke på at denne saken i stor grad dreier seg om opplysninger som det ikke er aktuelt å få verifisert. Det dreier seg dels om subjektive vurderinger fra helsestasjonen og barnevernmyndighetene som beskriver disses vurdering av de faktiske forholdene. Videre er det etter nemndas oppfatning ikke naturlig å pålegge begrenset behandling av opplysninger som klagerne ikke har innsynsrett i, jf. ovenfor. Nemnda anser samlet sett at A og Bs personvern er tilfredsstillende ivaretatt ved at de gis rett til å framlegge en supplerende erklæring, jf. nedenfor.
Vilkårene for begrenset behandling etter artikkel 18 er dermed ikke til stede.
Retting
I likhet med Datatilsynet legger nemnda til grunn at A og B er gitt anledning til å framlegge en supplerende erklæring, slik at retten til retting etter personvernforordningen artikkel 16 er oppfylt.
Konklusjon
A og B får ikke medhold i sin klage. Behandlingen av personopplysninger ved barneverntjenesten i Y er lovlig og i tråd med personvernforordningen. De registrerte opplysningene kan ikke kreves slettet etter artikkel 17 eller begrenses etter artikkel 18. A og B har ikke krav på ytterligere innsyn i opplysningene etter artikkel 15. Retten til retting er oppfylt gjennom en supplerende erklæring.
Datatilsynets vedtak opprettholdes.
Vedtaket er enstemmig.
Oslo, 2. februar 2021
Mari Bø Haugstad
Leder