Personvernnemndas vedtak 2. februar 2021 (Mari Bø Haugstad, Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin)
Saken gjelder klage fra A og B på Datatilsynets vedtak 8. september 2020 der Datatilsynet kom til at Æ barneverntjenestes behandling av personopplysninger var lovlig. Det er spørsmål om behandlingsgrunnlag for utlevering av personopplysninger fra én barneverntjeneste til en annen, spørsmål om behandlingsgrunnlag for fortsatt behandling av opplysningene, samt krav om retting og sletting, subsidiært begrenset behandling av opplysninger.
Sakens bakgrunn
I forbindelse med en undersøkelsessak etter barnevernloven i barneverntjenesten i Y knyttet til klagernes datter, D, og hennes barn, utleverte Æ barneverntjeneste opplysninger til barneverntjenesten i Y. Æ barnevern er en interkommunal barneverntjeneste for Ø, Å og X kommuner. Barneverntjenesten i X hadde på 90-tallet en undersøkelsessak i klagernes hjem, som endte med at [antall] av klagernes [antall] barn ble plassert i fosterhjem, blant annet D.
Æ barnevern sendte uttalelsen til barneverntjenesten i Y 17. september 2018. I uttalelsen framkommer det opplysninger om oppveksten til D og barnevernets vurdering av omsorgssituasjonen i foreldrehjemmet og bakgrunnen for omsorgsovertakelsessaken den gangen.
I et familieråd i regi av barneverntjenesten i Y i september 2018, vedrørende D og hennes barn, hvor D, far til hennes barn, barnets farmor og farfar, samt Ds foreldre (A og B) var til stede, ble det framlagt et skriftlig innlegg utarbeidet av barneverntjenesten hvor opplysningene «[m]or har selv levd i omsorgssvikt og vold fra egne foreldre» ble gjort tilgjengelig for alle deltakerne i møte.
A og B klaget over det de oppfattet som ulovlig behandling av personopplysninger til personvernombudet i Ø kommune 12. april 2019. De sendte tilsvarende klage til personvernombudet i Y kommune (PVN-2020-17).
A og B brakte saken inn for Datatilsynet 19. juni 2019 og klaget på barnevernets behandling av personopplysninger. Klagen omhandlet både behandling av personopplysninger på helsestasjonen i X (PVN-2020-16) og behandling av personopplysninger i Æ barneverntjeneste. Æ barneverntjeneste er en interkommunal barneverntjeneste for Ø, Å og X kommuner. Datatilsynet la opprinnelig til grunn at X kommune også var behandlingsansvarlig for behandling av personopplysninger i Æ barnevern og behandlet derfor sakene samlet. I klageomgangen ble det avklart at det er Ø kommune (som vertskommune) som er behandlingsansvarlig for den behandlingen av personopplysninger som skjer i den interkommunale barneverntjenesten. Denne delen av Datatilsynets opprinnelige vedtak ble derfor under klageforberedelsen hos Datatilsynet behandlet på nytt som egen sak og det ble truffet nytt vedtak som omhandlet bare Ø kommune v/Æ barnevern.
Personvernombudet i Ø konkluderte i brev til klagerne 7. februar 2020 med at behandlingen av personopplysninger var lovlig og orienterte om adgangen til å bringe saken inn for Datatilsynet.
Datatilsynet fattet vedtak i saken 8. september 2020, med følgende konklusjon:
«Datatilsynet har kommet til at Ø kommune ved Æ barnevern ikke har behandlet de aktuelle personopplysningene ulovlig etter personvernregelverket. Videre har vi kommet til at retten til retting etter personvernforordningen artikkel 16 er oppfylt, mens vilkårene for sletting etter artikkel 17 eller begrensning etter artikkel 18 ikke er til stede.»
A og B framsatte rettidig klage på Datatilsynets vedtak. Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sitt vedtak. Saken ble oversendt Personvernnemnda 17. november 2020. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. A og B innga kommentarer i brev 2. desember 2020.
Saken ble behandlet i nemndas møte 2. februar 2021. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem og Morten Goodwin. Sekretariatsleder Anette Klem Funderud var også tilstede.
Datatilsynets vedtak i hovedtrekk
Særlige kategorier av personopplysninger
Datatilsynet legger til grunn at opplysninger om vold/omsorgssvikt overfor klagernes datter D ikke omfattes av særlige kategorier personopplysninger etter personvernforordningen artikkel 9.
Tilsynet reiser spørsmålet om opplysningene utgjør opplysninger om «lovovertredelser» som omfattes av personvernforordningen artikkel 10, men konkluderer med at slike opplysninger uansett vil kunne behandles dersom det skjer «under en offentlig myndighets kontroll», noe som er tilfellet i denne saken, jf. Prop. 56 LS (2017-2018) kapittel 8.5.
Utlevering av opplysninger fra Æ barnevern til barneverntjenesten i Y
Etter forvaltningsloven § 13b nr. 3 kan taushetsbelagte opplysninger gjøres tilgjengelig for andre som arbeider i samme organ/etat i den utstrekning som trengs for en hensiktsmessig arbeidsordning.
Det faller utenfor Datatilsynets myndighet å vurdere om barneverntjenestens taushetsplikt er overholdt. Tilsynet legger imidlertid til grunn at barneverntjenesten i Norge anses som ett og samme organ, uavhengig av om det er tale om kommunalt eller statlig nivå og på tvers av kommuner/distrikter, jf. Barne- og familiedepartementets Rundskriv Q-2005-24 punkt 6.1.5. Barneverntjenesten i Ø kommune kunne dermed utlevere personopplysninger til annen barneverntjeneste i medhold av forvaltningsloven § 13b nr. 3, forutsatt at utleveringen var nødvendig for å ivareta en hensiktsmessig arbeidsordning mellom barneverntjenestene.
Personvernforordningen artikkel 6 nr. 1 bokstav e åpner for utlevering av personopplysninger der dette nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt.
Ø kommune ved Æ barnevern er gitt et samfunnsoppdrag gjennom barnevernloven. Barnevernet har flere plikter i form av generelle oppgaver og særlige tiltak, se lovens kapittel 3 og 4. Innhenting og utlevering av opplysninger vil kunne være en naturlig del av utførelsen av disse pliktene.
Det kan også argumenteres for at Ø kommune gjennom utleveringen til annen barneverntjeneste oppfylte en rettslig forpliktelse, jf. personvernforordningen artikkel 6 nr. 1 bokstav c.
Etter Datatilsynets vurdering har Æ barnevern hjemmel i personvernforordningen artikkel 6 nr. 1 bokstav c og e for å utlevere de aktuelle personopplysningene til barneverntjenesten i Y.
Fortsatt behandling av personopplysningene hos Æ barnevern - behandlingsgrunnlag
Datatilsynet konkluderer med at fortsatt behandling av personopplysningene er lovlig fordi kommunen har arkivplikt etter arkivlova. Kommunen har behandlingsgrunnlag for fortsatt behandling fordi behandlingen er nødvendig for å oppfylle en rettslig forpliktelse, jf. personvernforordningen artikkel 6 bokstav c, jf. arkiveringsplikten i arkivlova § 6 og forskrift om offentlige arkiv, samt Riksarkivarens forskrift. Datatilsynet viser videre til at fortsatt behandling også er nødvendig for å utøve offentlig myndighet, jf. artikkel 6 nr. 1 bokstav e.
Datatilsynet legger til grunn at behandlingen er lovlig etter personvernforordningen artikkel 10 fordi tilsynet ikke har holdepunkter for at Æ barnevern ikke kan oppfylle kravene til nødvendige garantier for de registrertes rettigheter og friheter.
Sletting
Datatilsynet konkluderer med at personopplysningene i den aktuelle saken ikke skal slettes, da personvernforordningen artikkel 17 nr. 3 bokstav b og d er til hinder for dette. Tilsynet viser til kommunens arkivplikt etter arkivlova med tilhørende forskrift. Tilsynet viser til også til Personvernnemndas avgjørelse, PVN-2018-02, der flertallet kom til at opplysninger som var nødvendige for å forklare og vurdere barnevernets framgangsmåte og beslutninger ikke kunne slettes, selv om klager opplevde opplysningene som sterkt belastende.
Datatilsynet har ikke informasjon som tilsier at Ø kommune ikke oppfyller kravene til bevaring av opplysninger for arkivformål, jf. personvernforordningen artikkel 89 nr. 1.
Begrenset behandling
Datatilsynet legger til grunn at en rett til begrenset behandling forutsetter at behandlingsansvarlig kan kontrollere riktigheten av de aktuelle personopplysningene, jf. personvernforordningen artikkel 18 nr. 1 bokstav a. Begrensningen vil i tilfelle gjelde fram til opplysningenes riktighet er avklart.
Det er ikke mulig å si om opplysningene er riktige eller ikke, ettersom saken gjelder subjektive og uverifiserbare påstander om vold/omsorgssvikt. De registrerte har derfor etter tilsynets vurdering ikke krav på begrensning av behandlingen av personopplysningene.
Retting
Tilsynet påpeker at saken gjelder opplysninger om subjektive påstander som ikke lar seg bekrefte eller avkrefte og at retting da kan gjennomføres ved at den registrerte legger fram en supplerende erklæring for å komplettere opplysninger som foreligger. Datatilsynet legger til grunn at A og Bs rett til retting etter personvernforordningen artikkel 16 er oppfylt gjennom klagen til Ø kommune.
Datatilsynets konklusjon
Datatilsynet har kommet til at Ø kommune v/Æ barnevern ikke har behandlet de aktuelle personopplysningene ulovlig etter personvernforordningen, samt at retten til retting etter personvernforordningen artikkel 16 er oppfylt, mens vilkårene for sletting etter artikkel 17 eller begrensning etter artikkel 18 ikke er til stede.
A og Bs syn på saken i korte trekk
Æ barnevern har behandlet deres personopplysninger ulovlig i forbindelse med en undersøkelsessak i deres datters familie.
Æ barnevern sendte personopplysninger til barneverntjenesten i Y med opplysninger om dem fra en 20 år gammel barnevernsak da de den gang var part i sak for Fylkesnemnda. Ø kommune er felles behandlingsansvarlig med Y kommune, jf. personvernforordningen artikkel 26.
Opplysningene som barnevernet har behandlet er sensitive og er verken nødvendig, forholdsmessig eller relevant i undersøkelsessaken som gjelder situasjonen for datteren og hennes barn født i 2018, og ikke dem som barnets besteforeldre.
Barneverntjenesten må vurdere omsorgssituasjonen tilfredsstillende uten bruk av disse opplysningene og formålet kan oppnås med andre midler.
Personopplysningene om dem som foreldre, ble samlet inn for å vurdere omsorgsituasjonen i deres familie for mange år siden. Gjenbruk av opplysningene i forbindelse med en undersøkelsessak ca. 20 år senere er ikke i tråd med personvernregelverket.
Behandlingen er i strid med Grunnloven § 102 og EMK artikkel 8 om retten til privatliv, jf. rettspraksis fra Den europeiske menneskerettsdomstolen (EMD).
Opplysningene om dem som Æ barnevern besitter om påstått vold og omsorgssvikt overfor deres barn, må slettes i tråd med personvernforordningen artikkel 17. Behandlingen av personopplysningene er ikke i samsvar med personvernforordningen artikkel 89 nr. 1.
Subsidiært til slettekravet må behandlingen begrenses i henhold til forordningen artikkel 18. Det betyr at personopplysningene bare skal kunne brukes til et bestemt angitt formål, og sperres for bruk til andre formål enn det som gjorde at personopplysningene ikke ble slettet.
I den grad opplysningene ikke slettes, må opplysningene kompletteres i form av en supplerende erklæring fra dem i henhold til forordningen artikkel 16.
Ø kommunes syn på saken i korte trekk
l barnevernsaker har kommunen en omfattende bevaringsplikt i Riksarkivarens forskrift § 7-28 (9). Barne-, ungdoms- og familiedirektoratet (Bufdir) har fastslått at opplysninger i barnevernsaker, av hensyn til barnet, som hovedregel bør oppbevares i 100 år (like lenge som taushetsplikten). Personopplysningene som framkommer i barnevernsak vedrørende klagernes barn er arkivert i tråd med dette.
Etter anmodning om opplysninger fra barneverntjenesten i Y ble det 17. september 2018 gitt en svært begrenset uttalelse basert på den omfattende dokumentasjonen som foreligger i barnevernsaken fra Ds oppvekst. Det var kun nødvendig og relevant informasjon for saken vedrørende Ds eget barn som ble oversendt.
Informasjon om foreldres egen oppvekst anses nødvendig og relevant fordi omsorgsbetingelsene foreldre har hatt under egen oppvekst vil kunne virke inn på hvordan de klarer å ivareta egne barn. Barneverntjenesten foretar en konkret vurdering av hvordan foreldrenes egen oppvekst påvirker deres omsorg for egne barn utfra kjennskap til barnas omsorgssituasjon. Dette er en av mange faktorer barneverntjenesten vurderer i forbindelse med omsorgsovertakelse.
Kommunens behandling av personopplysninger i denne saken har vært lovlig og forsvarlig.
Personvernnemndas vurdering
Personvernnemnda skal ta stilling til om Æ barnevern har behandlet personopplysninger ulovlig. Det er spørsmål om behandlingsgrunnlag for utlevering av personopplysninger til barneverntjeneste i annen kommune, samt krav om retting, sletting, eventuelt begrenset behandling av opplysninger i barnevernets arkiv.
Behandlingsansvar
A og B har klaget over det de oppfatter som ulovlig behandling av i hovedsak de samme personopplysningene i fire ulike kommuner og har anført at kommunene har felles behandlingsansvar. Det dreier seg om opplysninger opprinnelig innsamlet i X kommune i forbindelse med en barnevernsak vedrørende klagerne og deres omsorg for sine barn. Disse opplysningene er senere utlevert til barneverntjenester i andre kommuner og brukt i barnevernsaker som gjelder to av klagernes barn og deres omsorg for sine barn.
Datatilsynet har behandlet klagen i fire separate saker, en for hver kommune, og har ansett den enkelte kommune som behandlingsansvarlig for den behandlingen som har skjedd i hver kommune. Nemnda er enig med Datatilsynet i at det er riktig å anse den enkelte kommune som behandlingsansvarlig for den behandlingen av personopplysninger som har skjedd i hver kommune, og at ikke alle kommunene har felles behandlingsansvar for all behandling i alle kommunene. Også nemnda har derfor behandlet klagen i fire separate saker; PVN-2020-16, PVN-2020-17 og PVN-2020-18, i tillegg til denne saken PVN 2020-22.
Nemnda legger til grunn at det er Ø kommune (som vertskommune) som er behandlingsansvarlig for den behandlingen av personopplysninger som skjer i den interkommunale Æ barneverntjenesten.
Særlige kategorier av opplysninger
Nemnda legger til grunn at det i de utleverte opplysningene i uttalelsen fra barnevernet framkommer opplysninger om oppveksten til klagernes datter, D, og omsorgssituasjonen hjemme hos klagerne hvor det er beskrevet «vold og omsorgssvikt» som bakgrunn for at D og […] av hennes søsken ble plassert i fosterhjem. Nemnda er enig med Datatilsynet i at dette ikke er opplysninger som faller inn under særlige kategorier av opplysninger i personvernforordningen artikkel 9.
Ø kommune har opplyst at uttalelsen inneholdt svært begrenset informasjon sett hen til den omfattende dokumentasjonen som foreligger i barnevernsaken fra Ds oppvekst, og det kun var informasjon som barnevernet anså som nødvendig og relevant i saken knyttet til Ds barn som ble utlevert. Det er ikke holdepunkter for at uttalelsen inneholder helseopplysninger om D, og nemnda legger det til grunn.
Utlevering av personopplysninger til barneverntjenesten i Y
Æ barneverns utlevering av personopplysninger til barneverntjenesten representerer en behandling av personopplysninger som, for å være lovlig, må ha behandlingsgrunnlag i et av alternativene i personvernforordningen artikkel 6.
Det framkommer ikke av sakens dokumenter om D, som er part i undersøkelsessaken for barnevernet, samtykket i at barneverntjenesten innhentet opplysninger om henne, noe som ville gitt barneverntjenesten behandlingsgrunnlag for å utlevere opplysningene etter artikkel 6 nr. 1 bokstav a. Nemnda legger derfor for sin vurdering til grunn at det ikke foreligger slikt samtykke.
Barnevernets primære oppgave er å sikre at barn og unge som lever under forhold som kan skade deres helse og utvikling, får nødvendig hjelp og omsorg til rett tid, jf. barnevernloven § 1-1. I utgangspunktet er barneverntjenesten underlagt taushetsplikt om alle personlige forhold etter barnevernloven § 6-7, jf. forvaltningsloven § 13. Taushetsplikten er imidlertid ikke til hinder for at barneverntjenesten gjør taushetsbelagte opplysninger tilgjengelig for andre som arbeider i samme organ eller etat. Forutsetningen er at spredningen av opplysninger ikke går lenger enn det som trengs for en hensiktsmessig arbeids- og arkivordning, jf. forvaltningsloven § 13b første ledd nr. 3. I barne- og familiedepartementets rundskriv Q-2005-24 punkt 6.1.5 uttales det at barneverntjenester i ulike distrikt og kommuner anses å tilhøre samme organ eller etat, slik at taushetsplikten ikke er til hinder for at en barneverntjeneste i en kommune utleverer opplysninger til en barneverntjeneste i en annen kommune, hvor barnet og/eller foreldrene nå oppholder seg. Nemnda legger denne vurderingen til grunn.
Nemnda er enig med Datatilsynet i at personvernforordningen artikkel 6 nr. 1 bokstav e gir Æ barnevern behandlingsgrunnlag for å utlevere de aktuelle opplysningene til barneverntjenesten i Y. Utleveringen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt.
Opplysningene som utleveres må være «adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for», jf. artikkel 5 bokstav c. Nemnda har kommet til at også disse vilkårene er oppfylt, selv om opplysningene er gamle og beskriver omsorgssituasjonen, slik den ble oppfattet av barneverntjenesten, hjemme hos D og hennes foreldre (klagerne). Nemnda viser til barneverntjenestens redegjørelse for betydningen av denne typen opplysninger, samt Æ barneverns redegjørelse for at de foretok en konkret vurdering av hvilke opplysninger, fra en ellers omfattende dokumentmengde, som kunne være relevante for Ds situasjon i dag og hennes omsorg for sitt barn.
I den grad opplysningene som behandles også omfatter opplysning om lovovertredelser er personvernforordningen artikkel 10 ikke til hinder for dette i og med at behandlingen skjer under en offentlig myndighets kontroll og er tillatt etter barnevernloven og forvaltningsloven.
Sletting
A og B har bedt om at opplysningene slettes, jf. personvernforordningen artikkel 17. Nemnda oppfatter at A og B primært viser til artikkel 17 nr. 1 bokstav a som grunnlag for sletting: «personopplysningene er ikke lenger nødvendige for formålet som de ble samlet inn eller behandlet for».
Nemnda vil først bemerke at artikkel 17 nr. 1 gir «den registrerte» på visse vilkår rett til å få opplysninger om seg slettet. Uttalelsen som kreves slettet omhandler primært D, som den gangen var barn, men nå er voksen. Ds foreldre har ikke uten videre rett til å kreve sletting av opplysninger om seg selv som indirekte framkommer av registrerte opplysninger om D. I og med at nemnda uansett har kommet til at det ikke er grunnlag for å etterkomme kravet om sletting, går ikke nemnda nærmere inn på denne problemstillingen.
Artikkel 17 nr. 3 bokstav b og d gjør unntak fra retten til sletting dersom behandlingen av personopplysninger er nødvendig
«b) for å oppfylle en rettslig forpliktelse som krever behandling i henhold til unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, eller for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt,
[…]
d) for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1 i den grad rettigheten nevnt i nr. 1 sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås, […]»
Om unntakene i artikkel 17 nr. 3 bokstav b og d sier departementet i Prop. 56 LS (2017-2018) side 81:
«Artikkel 17 nr. 3 bokstav d gjør på samme vilkår som i artikkel 14 nr. 5 bokstav b unntak fra retten til sletting. Den registrerte har altså ikke krav på sletting dersom dette vil umuliggjøre eller i alvorlig grad hindre oppfyllelsen av formålene med behandling for arkiv, forskning og statistikk i samsvar med artikkel 89 nr. 1. Det kan videre nevnes at den registrerte heller ikke har rett til sletting dersom behandlingen er nødvendig for å oppfylle en rettslig forpliktelse etter unionsretten eller nasjonal rett eller for å utføre en oppgave i allmennhetens interesse, jf. artikkel 17 nr. 3 bokstav b. Dette innebærer at arkivlovas regler om kassasjon og innskrenket råderett på samme måte som i dag vil gå foran retten til sletting, jf. § 28 første ledd i dagens lov [2000]. I motsetning til gjeldende personopplysningslov [2000] gir forordningen ingen kompetanse for Datatilsynet til å fatte vedtak om sletting som går foran arkivlovgivningen, sml. gjeldende personopplysningslov [2000] § 27 tredje ledd og § 28 fjerde ledd.»
Æ barnevern har ikke lenger noe oppfølging av D og formålet med fortsatt oppbevaring av opplysningene er nå begrunnet i arkivformål i allmennhetens interesse, jf. bestemmelsene om arkivverdig materiale i arkivlova. Det følger av personvernforordningen artikkel 5 nr. 1 bokstav b at en viderebehandling av opplysninger for arkivformål i allmennhetens interesse ikke anses uforenlig med det opprinnelige formålet.
Arkivlova med forskrifter har regler om arkivering og bevaring av dokumenter. Formålet med arkivlova er ifølge loven § 1:
«å tryggja arkiv som har monaleg kulturelt eller forskningsmessig verde eller som inneheld rettsleg eller viktig forvaltningsmessig dokumentasjon, slik at desse kan verta tekne vare på og gjorde tilgjengelege for ettertida».
Av Riksarkivarens forskrift (forskrift 19. desember 2017 nr. 2286) § 7-1 bokstav c følger det at formålet blant annet er å:
«sikre at arkiv ikke blir kassert før rettslige og forvaltningsmessige dokumentasjonsbehov er bortfalt.»
I forskriftens del III er det fastsatt hvilke sakstyper som ikke kan slettes («gjøres til gjenstand for kassasjon»), se § 7-23 og i forskriften § 7-28 niende ledd. I § 7-28, niende ledd, bokstav d er det bestemt at «saker knyttet til særlige tiltak i henhold til barnevernsloven, inkludert undersøkelser av bekymringsmeldinger, utredninger, saksbehandling, tiltak og oppfølging av tiltak» skal bevares for ettertiden og ikke gjøres til gjenstand for kassasjon. Æ barnevern kan derfor ikke pålegges å slette disse opplysningene. Dette følger både av personvernforordningen § 17 nr. 3 bokstav b (rettslig forpliktelse), jf. arkivlova § 9 bokstav c, og av personvernforordningen artikkel 17 nr. 3 bokstav d (arkivformål i allmennhetens interesse).
Kravet om sletting tas etter dette ikke til følge.
Begrenset behandling
Subsidiært har A og B påberopt retten til begrensning av behandlingen etter personvernforordningen artikkel 18.
Retten til begrenset behandling er en ny rettighet ved ikrafttredelsen av personopplysningsloven 2018. Begrensning av behandling er i forordningen artikkel 4 nr. 3 definert som «merking av lagrede personopplysninger med det som mål å begrense behandlingen av disse i framtiden».
Retten til begrensning etter artikkel 18 nr. 1 inntrer dersom a) opplysningenes riktighet er omtvistet, b) behandlingen er ulovlig og den registrerte motsetter seg sletting av personopplysningene og i stedet anmoder om begrensning, c) behandling ikke lenger er nødvendig, men opplysningene trengs for å fastsette, gjøre gjeldende eller forsvare et rettskrav, eller d) den registrerte har protestert mot videre behandling i medhold av artikkel 21 nr. 1, i påvente av en avgjørelse av om videre behandling kan skje.
Nemnda slutter seg til Datatilsynets vurdering om at A og B ikke fyller vilkårene for begrensning av behandlingen av personopplysningene, jf. personvernforordningen artikkel 18. Selv om riktigheten av opplysningene er omtvistet ved at A og B bestrider riktigheten av dem, vil nemnda for det første peke på at denne saken i stor grad dreier seg om opplysninger som det ikke er aktuelt å få verifisert. Det dreier seg dels om subjektive vurderinger fra helsestasjonen og barnevernmyndighetene som beskriver disses vurdering av de faktiske forholdene. Videre er det etter nemndas oppfatning ikke naturlig å pålegge begrenset behandling av opplysninger som klagerne ikke har innsynsrett i, jf. ovenfor. Nemnda anser samlet sett at A og Bs personvern er tilfredsstillende ivaretatt ved at de gis rett til å framlegge en supplerende erklæring, jf. nedenfor.
Vilkårene for begrenset behandling etter artikkel 18 er dermed ikke til stede.
Retting
I likhet med Datatilsynet legger nemnda til grunn at A og B gjennom klagen til Ø kommune har fått adgang til å framlegge en supplerende erklæring, slik at retten til retting etter personvernforordningen artikkel 16 er oppfylt.
Konklusjon
A og B får ikke medhold i sin klage. Behandlingen av personopplysninger ved Æ barnevern er lovlig og i tråd med personvernforordningen. De registrerte opplysningene kan ikke kreves slettet etter artikkel 17 eller begrenses etter artikkel 18. Retten til retting er oppfylt gjennom en supplerende erklæring.
Datatilsynets vedtak opprettholdes.
Vedtaket er enstemmig.
Oslo, 2. februar 2021
Mari Bø Haugstad
Leder